> **来源：[研报客](https://pc.yanbaoke.cn)** # FSI 简报：银行网络安全风险评估测试总结 ## 核心内容 FSI简报探讨了当前银行业在面对日益频繁和复杂的网络风险时，所进行的网络压力测试。这些测试旨在增强银行及整个金融体系的运营弹性，通过识别漏洞、测试应对机制和评估恢复能力，为监管机构和企业提供了宝贵的经验教训。简报还分析了不同国家和地区所采用的两种主要测试方法：以系统为中心的测试和以公司为中心的测试。 ## 主要观点 - **网络风险的上升**：随着网络攻击频率和复杂性的增加，其潜在影响也不断扩大，促使监管机构采取行动，通过压力测试评估银行的应对能力。 - **测试方法的多样性**：存在两种主要方法：以系统为中心的测试关注整个金融体系的韧性，而以公司为中心的测试则聚焦于单个机构的运营能力和恢复机制。 - **测试的非强制性和学习性质**：网络压力测试通常不是及格/不及格的测试，而是作为学习工具，用于识别漏洞和改进措施。 - **方法论的重要性**：测试的设计、实施和后续跟进需要明确的目标和一致的方法，以确保测试的有效性和可比性。 - **合作与透明度**：尽管测试结果通常保密以避免被恶意分子利用，但部分机构已开始公开关键发现，以提高行业透明度和促进最佳实践。 ## 关键信息 ### 1. 测试目的与方法 - **以系统为中心**：评估整个金融体系的韧性，关注网络事件对系统稳定性的潜在影响。 - **以公司为中心**：评估单个机构的应对和恢复能力，识别其运营韧性中的弱点。 ### 2. 测试设计要素 - **样本选择**：系统测试可能包括关键银行和非银行机构，而公司测试通常聚焦于国内银行。 - **情景设计**：基于定性叙述，模拟网络攻击对运营、财务和信心渠道的影响。 - **资源需求**：需要跨部门的专业人员参与，可能涉及外部顾问。 - **测试实施**：包括多个阶段，如情景激活、响应评估、现场检查和后续讨论。 - **后续跟进**：提供公司特定报告，鼓励企业采取补救措施并融入持续改进机制。 ### 3. 测试的挑战与机遇 - **保密性与透明度**：测试结果通常保密，但部分机构开始公开关键教训以促进行业学习。 - **跨司法管辖区协调**：跨境测试面临挑战，需加强协调机制。 - **定性评估的优势**：有助于识别复杂影响，但可能缺乏定量分析的精确性。 - **未来发展方向**：测试应扩展至跨境和跨行业中断，纳入非银行机构和第三方服务提供商，以全面评估系统性风险。 ## 测试方法对比 ### 表1：两种网络压力测试方法对比 | 特点 | 系统导向测试 | 公司导向测试 | |------|---------------|----------------| | 动机 | 评估系统韧性，确保金融稳定性 | 评估公司自身韧性 | | 范围 | 跨行业、跨市场，涵盖多个机构 | 聚焦于单个公司 | | 情景 | 更广泛，可能包括系统级影响 | 更具体，聚焦于公司核心业务 | | 参与 | 志愿参与，但需确保代表性 | 强制参与，通常由监管机构主导 | | 资源 | 高级/专业，可能涉及多个部门 | 高级/专业，专注于公司内部 | | 后续 | 强调系统性影响与行业改进 | 强调审慎监管与公司内部调整 | | 披露 | 有限，包含汇总结果与主要教训 | 更有限，通常不披露公司层面信息 | ## 测试案例 - **英格兰银行**：采用CBEST框架，测试范围包括英国银行和金融市场基础设施（FMI），并强调系统性影响。 - **欧洲央行（ECB）**：进行年度网络压力测试，关注受监管银行的网络安全框架，强调运营弹性。 - **丹麦金融监管局（DFSA）**：进行基于威胁情报的道德红队测试，强调对关键ICT中断的应对能力。 ## 未来展望 - **测试迭代与扩展**：测试应定期进行，以适应不断变化的风险环境，并可能纳入更广泛的行业和跨境影响。 - **方法论完善**：随着经验积累，测试框架和方法将逐步完善，提高其系统性和实用性。 - **政策与实践结合**：监管机构应将测试结果与政策工具结合，推动行业整体提升网络韧性。 ## 结论 网络压力测试是监管机构和银行提升应对网络风险能力的重要工具。尽管目前仍处于发展阶段，但已显示出其在增强运营弹性、识别系统性风险和促进最佳实践方面的价值。未来，测试应更加系统化，并考虑更广泛的行业参与和跨境协调，以更好地应对日益复杂的网络威胁。