SEBI verhängt 1 Crore Rupien Strafe gegen CDSL wegen Malware-Angriffs 2022

Die indische Wertpapier- und Börsenaufsichtsbehörde (SEBI) hat gegen Central Depository Services (India) Limited (CDSL) eine Geldstrafe von 1 Crore Rupien (ca. 110.000 Euro) verhängt. Die Strafe basiert auf mehreren Versäumnissen im Bereich Cybersicherheit und Einhaltung regulatorischer Vorschriften, die nach einem Malware-Angriff auf die Systeme des Unternehmens im November 2022 aufgedeckt wurden und zu Verzögerungen bei der Wertpapierabwicklung führten.

In einer am 20. Juli veröffentlichten Anordnung stellte die SEBI fest, dass CDSL es versäumt hat, einen kritischen, internetnahen Server als kritische Ressource einzustufen, obligatorische Cybersicherheitskontrollen zu implementieren und seine Systeme angemessen zu überwachen. Diese Unterlassungen ermöglichten es dem Malware-Angriff, wichtige Depositorium-Operationen zu kompromittieren. Die SEBI stellte jedoch die Verfahren zur Verhängung von Geldstrafen gegen den ehemaligen Chief Information Security Officer und Chief Technology Officer des Unternehmens ein.

Der Vorfall, der am 18. November 2022 von CDSL gemeldet wurde, betraf mehrere interne Maschinen und führte zu einer Verzögerung bei der Abwicklung von Wertpapiergeschäften. Obwohl CDSL angab, dass keine vertraulichen Informationen oder Anlegerdaten kompromittiert wurden und der normale Betrieb innerhalb von zwei Tagen wieder aufgenommen wurde, betonte die SEBI, dass nachträgliche Korrekturmaßnahmen frühere regulatorische Versäumnisse nicht entschuldigen.

Die Untersuchung der SEBI ergab, dass CDSL einen internetexponierten Active Directory Federation Services (ADFS) Server nicht als kritische Ressource eingestuft und von der Schwachstellenanalyse ausgeschlossen hatte. Darüber hinaus wurde die Katastrophenwiederherstellungsinfrastruktur des Unternehmens durch die Malware kompromittiert, was gegen die Anforderungen der SEBI an die Geschäftskontinuität und die Wiederherstellungsfristen verstieß.