Компаниям, работающим на рынке ценных бумаг, предлагается проанализировать риски и усилить безопасность информационных систем.

15 апреля — крайний срок для компаний, работающих на рынке ценных бумаг, завершить проверку и оценку информационной безопасности и реализовать меры по устранению рисков и слабых мест своих систем, включая систему обслуживания онлайн-транзакций с ценными бумагами.

Что касается инцидента, в ходе которого 24 марта система компании VNDIRECT Securities подверглась кибератаке, что сделало невозможным хозяйственную деятельность предприятия и транзакции многих инвесторов в ценные бумаги, Департамент информационной безопасности (Министерство информации и коммуникаций), являющийся государственным агентством по управлению сетевой информационной безопасностью, только что выпустил документ, требующий от компаний, работающих с ценными бумагами, усилить безопасность информационных систем, находящихся под их управлением.

Департамент информационной безопасности заявил, что недавние инциденты кибербезопасности в системах некоторых компаний, работающих с ценными бумагами, нанесли серьезный ущерб этим компаниям, а также вызвали путаницу и в некоторой степени повлияли на доверие пользователей к безопасности фондовых бирж Вьетнама в частности и финансового рынка в целом.

Для обеспечения безопасности информационных систем компаний, работающих на рынке ценных бумаг, Департамент информационной безопасности рекомендует этим предприятиям с настоящего момента и до 15 апреля сосредоточиться на завершении проверки, проверки и оценки обеспечения информационной безопасности информационных систем, находящихся под их управлением, и незамедлительно принять меры по устранению рисков, уязвимостей и недостатков систем, особенно в отношении систем управления счетами клиентов, обслуживающих онлайн-транзакции с ценными бумагами.

Компаниям, работающим с ценными бумагами, необходимо проанализировать и организовать обеспечение безопасности информационных систем по уровням, в частности, организовать статистику и классифицировать информационные системы, находящиеся под их управлением; разработать планы внедрения для завершения положений об обеспечении безопасности информационных систем по уровням.

Цель — обеспечить, чтобы не позднее сентября 100% действующих информационных систем были утверждены по уровням безопасности; полностью реализовать планы обеспечения информационной безопасности в соответствии с утвержденными документами предложений по уровням.

Организовать эффективную, существенную, регулярную и непрерывную реализацию работ по обеспечению информационной безопасности в соответствии с четырехуровневой моделью, в частности, путем повышения пропускной способности профессионального уровня мониторинга и защиты, а также поддержания постоянной и стабильной связи и обмена информацией с Национальным центром мониторинга кибербезопасности Министерства информации и коммуникаций.

Департамент информационной безопасности рекомендует компаниям, работающим в сфере ценных бумаг, параллельно с разработкой плана реагирования на инциденты в информационных системах, находящихся под его управлением, также внедрить план периодического резервного копирования систем и важных данных для оперативного восстановления в случае возникновения атак на шифрование данных.

Провести анализ и содействовать внедрению мер реагирования на инциденты сетевой информационной безопасности во Вьетнаме; периодически выявлять угрозы для оперативного обнаружения признаков вторжения в систему. В случае обнаружения серьёзных уязвимостей безопасности в системах после их устранения подразделению необходимо немедленно выявлять угрозы для определения вероятности предыдущих вторжений.

Департамент информационной безопасности также рекомендует компаниям, работающим в сфере ценных бумаг, проверять и обновлять исправления информационной безопасности для важных систем в соответствии с предупреждениями Департамента информационной безопасности и связанных с ним агентств и организаций. Одновременно с этим необходимо периодически проверять, оценивать и анализировать информацию для своевременного выявления уязвимостей и недостатков информационной безопасности, существующих в системе.

ТРАН БИНЬ

Источник