卡内基国际和平基金会-Lessons-Learned-and-Evolving-Practices-of-the-TIBER-Framework-for-Resilience-Testing-in-the-Netherlands_21页_836kb

总结：TIBER框架在荷兰的实施经验与关键实践

核心内容

本文档总结了荷兰中央银行（DNB）在2016年至2018年间实施TIBER（基于威胁情报的伦理红队测试）框架的经验，以及其在2019年至2021年间的扩展和国际影响。TIBER框架旨在通过模拟高级威胁行为，测试和提升金融体系的网络安全韧性。

主要观点

• TIBER框架的起源：TIBER框架的启动源于荷兰金融体系对网络安全威胁的高度重视，以及国际标准（如CPMI-IOSCO）对金融基础设施网络安全的要求。
• 框架的实践性：TIBER框架强调通过实际测试来评估金融机构的网络安全韧性，而不是仅仅依赖理论分析或合规检查。
• 红队测试的重要性：红队测试模拟真实攻击场景，使金融机构能够发现自身的弱点，并通过经验学习进行改进。
• 信任与合作：TIBER框架的成功依赖于金融机构与监管机构之间的信任和合作，尤其是通过共享测试结果和经验，增强整个金融生态系统的韧性。
• 框架的扩展：TIBER框架已从最初的金融关键基础设施（FCI）扩展到保险和养老金行业，以应对潜在的系统性风险。

关键信息

框架的三大支柱

1. 测试实践：通过红队测试模拟高级威胁行为，确保测试过程的一致性和质量。
2. 增强韧性：提升金融机构的防御能力，包括检测、响应和恢复机制。
3. 构建安全基础：遵循国际标准（如ISO、COBIT、NIST）建立和维护安全基础。

TIBER框架的实施阶段

• 准备阶段：确定参与机构，建立测试团队，并制定测试流程。
• 启动阶段：与行业代表合作，确保框架的自愿性和信任基础。
• 测试阶段：进行为期12周的测试，涵盖攻击周期的各个阶段，包括侦察、渗透和数据外泄。
• 持续与扩展阶段：测试经验被用于改进框架，并扩展至其他高风险行业。

测试流程中的关键角色

• 白队：负责测试的整体规划和管理，由机构内部人员组成。
• 威胁情报团队：负责开发针对性的威胁情报，以确保测试的客观性和准确性。
• 红队：由外部机构执行，模拟高级威胁行为。
• 蓝队：由机构内部人员组成，负责检测和响应测试中的攻击行为。

其他重要措施

• Scenario X：为红队提供更大的自由度，测试尚未出现但可能在未来出现的威胁场景。
• 信息共享机制：通过保密会议共享测试结果和经验，提升整体安全意识。
• 国际影响：TIBER框架已被欧盟采纳，并在其他地区受到关注，推动了国际间一致的网络安全测试方法。

国际发展

• TIBER-EU框架：2018年5月由欧盟推出，作为TIBER框架的扩展，适用于更广泛的金融行业。
• ECB的指导文件：2018年8月发布红队测试服务采购指南，2018年12月发布白队领导指南，进一步规范了测试流程。
• 知识中心：ECB建立了知识中心，促进TIBER-EU框架在欧元区内的实施和共享。

结论

TIBER框架在荷兰的实施表明，通过信任、合作和实际测试，金融机构能够显著提升其网络安全韧性。框架的成功不仅体现在个体机构的改进，也在于整个金融生态系统的协同进步。未来，TIBER框架有望在国际范围内进一步推广，推动全球金融体系的网络安全标准统一和能力提升。