IT業界社群及資訊平台

【快速轉身】新加坡金管局更新安全指引 供應鏈攻擊成頭號打擊對象

新加坡政府一向希望取代香港的亞洲金融中心地位,而在維護網絡安全政策方面,反應更比港府敏捷得多。最新動作是修改了金融業的科技風險管理指引,強調行業必須加強對第三方服務供應商的規管,相信跟近年頻頻發生的供應鏈攻擊 (supply chain attack) 有絕大關係,例如令人聞風喪膽的 SolarWinds 事件……

現時金融業在發展網上業務時,傾向與第三方服務供應商合作,例如 IT 管理工具、數據備份及災難復原服務等,雖然金融業本身有嚴格的網絡安全法規要遵守,但在第三方服務供應商上卻難以監管,黑客組織自然會捨難取易,選擇向這些服務供應商發動攻擊,從而入侵金融機構。最近 SolarWinds 火燒連環船事件就可看出,如果能成功入侵第三方服務供應商,成效有可能更大。

而今次新加坡金融管理局修訂的科技風險管理指引,明顯針對供應鏈攻擊而來,因為在新指引下,金融業必須嚴格監督第三方服務供應商,同時亦就任命第三方供應商及高級 IT 管理人員方面提供建議,例如必須嚴格監管對方員工是否有足夠的技能或證書,而在聘用 CIO 或 CISO 等職位時,亦要考慮對方是否持有相關的認證。在兩方面配合下,便能確保服務供應商有高規格安全標準之餘,金融機構內部亦有懂得如何監管服務供應商的能力。

此外,新加坡金管局亦規定金融業界必須確立網絡威脅情報分享平台,交換彼此收集到的網絡威脅資訊,以供業界定期進行內部滲透測試,堵塞可被入侵的漏洞。在這方面,雖然香港金管局推出的網絡安全防衛計劃 (C-RAF) 內亦有類似的分享平台,不過就未見業界踴躍參與,至於新加坡方面會如何「強硬」推進,就要拭目以待。

資料來源:http://zd.net/3iqX4ds

Privacy Preference Center