SEBI määräsi CDSL:lle miljoonan rupian sakot tietoturvaloukkauksesta

Intian arvopaperi- ja pörssilautakunta (SEBI) on määrännyt Central Depository Services (India) Limitedille (CDSL) yhden miljoonan rupian (noin 120 000 euron) sakot useista kyberturvallisuus- ja sääntelyrikkomuksista. Nämä rikkomukset mahdollistivat haittaohjelmahyökkäyksen yhtiön järjestelmiin marraskuussa 2022, mikä aiheutti viivytyksiä arvopapereiden selvityksissä.

SEBI:n 20. heinäkuuta antaman määräyksen mukaan CDSL epäonnistui luokittelemaan kriittisenä verkkoyhteydessä olevan palvelimen kriittiseksi resurssiksi, toteuttamaan pakollisia kyberturvallisuustoimia ja valvomaan järjestelmiään riittävästi. Sääntelyviranomainen kuitenkin hylkäsi aiemmat sakkoehdotukset CDSL:n entistä tietoturvapäällikköä ja teknologiajohtajaa vastaan.

Hyökkäys joulukuussa 2022 vaikutti useisiin CDSL:n sisäisiin koneisiin ja johti jopa puolen päivän pysähdykseen arvopaperien selvityksissä. Vaikka CDSL väitti, ettei luottamuksellisia tietoja tai sijoittajadataa vaarantunut, ja onnistui palauttamaan normaalin toiminnan kahdessa päivässä, SEBI korosti, että tapauksen jälkeiset korjaustoimet eivät oikeuta aiempia laiminlyöntejä.

SEBI:n mukaan CDSL jätti luokittelematta internetiin yhdistetyn ADFS-palvelimen (Active Directory Federation Services) kriittiseksi resurssiksi ja jätti sen ulkopuolelle haavoittuvuustestauksista. Lisäksi yhtiön katastrofipalautussuunnitelma epäonnistui, sillä haittaohjelma oli ehtinyt levitä myös palautusympäristöön. SEBI totesi, että CDSL rikkoi liiketoiminnan jatkuvuutta ja katastrofipalautusta koskevia vaatimuksia sen vuoksi, ettei yritys julistanut katastrofia ja palauttanut toimintaa säädetyssä ajassa.