2017年-德勤全球_Cyber_regulation_in_Asia_Pacific_24页_2mb

文档总结：亚太地区金融机构的网络安全监管与挑战

核心内容概述

本报告旨在为亚太地区（APAC）活跃的金融机构（FIs）提供关于网络安全监管的洞察，并帮助其制定清晰的策略。报告分析了网络安全风险对金融系统的影响，探讨了亚太地区各国的监管趋势，并提出了应对挑战的建议。

主要观点

• 网络安全风险日益严重：全球及亚太地区的网络攻击频率和复杂性持续上升，给金融系统带来了巨大威胁。据估计，网络犯罪每年造成5750亿美元的损失，而金融机构是主要目标。
• 监管趋势：构建网络安全韧性：许多亚太地区的监管机构正在推动建立网络安全韧性，强调通过测试和更新安全计划来增强组织的敏捷性和恢复能力。
• 监管环境分散且不统一：亚太地区的网络安全监管政策在各国之间存在差异，缺乏统一标准。这给金融机构带来了理解不同国家法规的挑战。
• 治理与战略的重要性：有效的网络安全管理需要高层治理支持，并将网络安全纳入战略和业务目标中。同时，应建立跨部门的协作机制。
• 技术依赖与供应链安全：金融机构在技术依赖和供应链安全方面面临挑战，特别是在外包和跨境数据传输方面。
• 信息共享与协同应对：监管机构鼓励金融机构之间以及与监管者之间的信息共享，以提高整体的网络安全水平。
• 人才培养与能力建设：各国监管机构强调提升从业人员的网络安全技能和知识，以应对不断变化的威胁。

关键信息

网络安全影响与挑战

• 全球与区域趋势：网络攻击成本占全球GDP的1%，网络犯罪损失高达5750亿美元。金融机构是主要目标，且攻击可能影响整个金融生态系统。
• 技术依赖：金融机构间的相互依赖性高，一个机构的网络安全漏洞可能影响其他机构。
• 人力资源短缺：许多机构缺乏专业的网络安全人才，导致难以应对快速变化的威胁。
• 内部控制不足：部分机构在网络安全管理上缺乏内部资源投入，仅关注外部防护。

网络安全框架

• Deloitte全球网络安全战略框架：该框架包括三个核心策略：Secure（主动保护）、Vigilant（主动发现和应对威胁）和Resilient（建立应对能力）。
• 治理：有效治理是网络安全战略的基础，需确保高层支持和文化融入。
• 战略：制定明确的网络安全战略，以平衡安全与业务发展。
• 执行：通过实施具体措施、测试和更新计划，提高整体安全水平。

各国监管趋势与最新发展

澳大利亚

• 监管框架：澳大利亚的网络安全法规分散在多个立法和指导文件中，但正在向集中化发展。
• ASIC报告429：强调董事会参与、主动政策、安全框架和第三方风险管理。
• APRA信息文件：鼓励定期测试、包括外包方在风险评估中、及时响应和持续改进。
• 未来趋势：数据处理不当是关注重点，新立法要求严重数据泄露报告。

中国

• 《网络安全法》：2016年通过，2017年生效，涵盖数据本地化、网络安全政策和年度评估。
• 补充措施：包括《网络产品和服务安全审查办法》、《互联网新闻信息服务管理规定》和《关键信息基础设施保护草案》。
• 监管机构措施：银保监会（CBRC和CIRC）发布技术风险管理指南，要求银行加强数据治理和信息分类。
• 未来趋势：预计将出台更多标准，加强金融机构的应对能力。

香港

• HKMA措施：发布《网络安全风险管理指引》和《网络安全强化计划》，包括评估框架、培训计划和信息共享平台。
• SFC措施：将网络安全作为监管重点，要求金融机构实施预防、检测和响应措施。
• 未来趋势：加强网络安全实验室建设，提升监管政策框架。

印度

• 监管框架：尽管缺乏统一的网络安全框架，但印度的金融监管机构（如RBI、IRDAI和SEBI）已发布相关指导文件。
• RBI措施：要求银行实施ISO标准、制定网络安全政策、进行定期审计和危机管理。
• IRDAI措施：保险行业需实施网络安全政策和危机管理计划。
• SEBI措施：要求证券交易所和清算机构加强网络安全治理和监控。
• 未来趋势：预计设立专门的网络安全响应团队。

建议

• 制定统一的网络安全策略：金融机构应制定涵盖整个地区的网络安全策略，以应对不同国家的监管要求。
• 加强治理与文化：高层需积极参与，将网络安全纳入战略目标，并建立内部文化。
• 提升技术与人力资源：投资于网络安全技术和专业人员，确保技术与业务战略的一致性。
• 推动信息共享与协作：与监管机构、同行和其他利益相关方共享信息，建立协同应对机制。
• 定期测试与更新：进行攻击演练、模拟测试和风险评估，确保计划的有效性和更新。

结论

亚太地区的金融机构面临日益复杂的网络安全挑战，需在治理、战略和执行层面采取综合措施。随着各国监管政策的演进，构建网络安全韧性将成为未来发展的关键方向。