RBI erlässt neuen Cybersicherheitsrahmen für Geschäftsbanken
Die indische Zentralbank RBI hat einen neuen Cybersicherheitsrahmen herausgegeben, der von Geschäftsbanken regelmäßige Schwachstellenbewertungen und Penetrationstests verlangt. Der Rahmen ersetzt bestehende Einzelanweisungen durch einheitliche Richtlinien.
Die Reserve Bank of India (RBI) hat einen neuen, umfassenden Rahmen für die Cybersicherheit von Geschäftsbanken eingeführt, der sofort wirksam wird. Dieser Rahmen fasst frühere, verstreute Anweisungen zusammen und ersetzt diese durch ein einheitliches Regelwerk, das sich auf Technologie, Risiko, Resilienz und Absicherung konzentriert.
Die neuen Vorschriften schreiben vor, dass Banken alle sechs Monate Schwachstellenbewertungen und jährlich Penetrationstests für kritische internetfähige Systeme durchführen müssen. Darüber hinaus müssen halbjährlich Notfallwiederherstellungsübungen für kritische Systeme stattfinden. Diese Anforderungen gelten für Geschäftsbanken, mit Ausnahme von Kleinfinanzbanken, Zahlungsbanken und Lokalbanken.
Der Rahmen legt detaillierte Anforderungen in mehreren Schlüsselbereichen fest. Dazu gehören ein strenges Management von Daten und Informationswerten, sichere Konfigurationen von Systemen und Infrastruktur, robuste Praktiken für Netz- und Anwendungssicherheit sowie strenge Maßnahmen zur Zugriffskontrolle und Kundenauthentifizierung. Er spezifiziert auch Protokolle für E-Mail, Wechselmedien und das Management von Drittanbietern, sowie für operative Resilienz und Reaktion auf Vorfälle.
Banken sind verpflichtet, aktuelle Bestandsverzeichnisse von Informationswerten zu führen, Daten nach Sensitivität zu klassifizieren und sie während ihres gesamten Lebenszyklus zu schützen. Die Systemsicherheit erfordert sichere Konfigurationen, den Einsatz von Anti-Malware-Software und die Einhaltung starker kryptografischer Standards. Die Netz- und Anwendungssicherheit wird sich auf sichere Entwicklungspraktiken und gründliche Tests konzentrieren.
Zu den wichtigsten operativen Vorschriften gehören die Implementierung der Multi-Faktor-Authentifizierung für privilegierte Benutzer und kritische Aktivitäten, die Einrichtung von Strategien zur Verhinderung von Datenverlusten und die Meldung von Cybersicherheitsvorfällen innerhalb von sechs Stunden an die DAKSH-Plattform. Der Rahmen weist auch den Bankvorständen die Verantwortung zu, IT- und Cybersicherheitsrichtlinien jährlich zu genehmigen und zu überprüfen, wobei das leitende Management die strategische Umsetzung überwacht.