ICBC Financial Services превратила атаку программы-вымогателя в проверку ответственности при клиринге казначейских ценных бумаг

Кратко

• ICBC Financial Services относится к досье о рисках и ответственности, потому что инцидент с программой-вымогателем в ноябре 2023 года связал сдерживание кибератаки с клирингом на рынке казначейских бумаг, ведением книг и записей брокера-дилера, подтверждениями клиентам, расчетами резервов и доказательной базой для регулятора.
• Главный вопрос не в том, пострадал ли один брокер-дилер от киберинцидента. Вопрос в том, может ли регулируемый участник рынка доказать, что серьезный киберперебой не перенес скрытый расчетный, учетный, подтверждающий и капитальный риск на клиентов, клиринговых партнеров, контрагентов и рынок.
• Административное производство SEC по ссылкеhttps://www.sec.gov/enforcement-litigation/administrative-proceedings/34-101794-sи приказ по ссылкеhttps://www.sec.gov/files/litigation/admin/2024/34-101794.pdf— основной публичный документ, фиксирующий инцидент с программой-вымогателем, нарушение книг и записей, прекращение клиринговых связей, пробелы в системах по операциям с фиксированной доходностью и акциями, влияние на расчет резервов, нарушения подтверждений клиентам, сотрудничество и меры по устранению последствий.
• Репортажи Reuters по ссылкамhttps://www.reuters.com/business/finance/ransomware-attack-chinas-icbc-disrupts-us-treasury-market-trades-2023-11-09/иhttps://www.reuters.com/technology/cybersecurity/icbc-ransomware-attack-triggers-global-regulator-trader-scrutiny-2023-11-10/используются как публичная хронология и рыночный контекст, а заявления Казначейства США по ссылкамhttps://home.treasury.gov/news/press-releases/jy1922иhttps://home.treasury.gov/news/press-releases/jy2029показывают, как официальные лица США описывали риск программ-вымогателей в финансовом секторе.
• Эта статья считает документы регулятора более весомым доказательством, чем сообщения СМИ или заявления злоумышленников. Она не утверждает непубличный вектор первоначального доступа, выплату выкупа, кражу данных, контроль конкретного вредоносного ПО, потери клиентов или сбой расчетов на всем рынке сверх того, что подтверждает публичный протокол.

Почему это дело относится к досье о рисках и ответственности

Инцидент в ICBC Financial Services — полезный тест на ответственность, потому что киберустойчивость брокера-дилера — это не только внутренний технологический вопрос. Записи брокера-дилера — часть системы доказательств, которой пользуются клиенты, регуляторы, клиринговые фирмы, клиринговые агенты, контрагенты, аудиторы и команды по управлению рисками, чтобы понять, что произошло. Если программа-вымогатель блокирует доступ к системам и вынуждает фирму прекратить связи с клиринговыми фирмами и агентами, инцидент становится событием, влияющим на рыночные операции, еще до вынесения публичного предписания.

В приказе SEC по ссылкеисточник: SECуказано, что в ноябре 2023 года ICBC Financial Services стала жертвой кибератаки программы-вымогателя. Согласно приказу, атака нарушила доступ фирмы к информации в книгах и записях в различных системах и возможность ее обновлять, а также вынудила фирму прекратить связи с клиринговыми фирмами и клиринговыми агентами. Там также сказано, что в период с 8 ноября 2023 года по 1 марта 2024 года фирма не поддерживала актуальность своих книг и записей и не направляла клиентам письменные подтверждения по сделкам с ценными бумагами. Это подтвержденные публичные выводы, зафиксированные в мировом соглашении с SEC.

Это важно, потому что рынок казначейских бумаг считается глубоким, ликвидным и основополагающим, но этот рынок зависит от обыденных операционных доказательств. Сделки, операции РЕПО, клиринговые заявки, блоттеры, главные книги, реестры ценных бумаг, расчеты резервов, расчеты чистого капитала и письменные подтверждения — не административное украшение. Это контрольный след, который позволяет фирмам знать свои позиции, клиентам — условия сделок, регуляторам — проверять соблюдение требований, а контрагентам — решать, сдержан ли операционный риск.

Публичная рыночная история стала видна почти сразу. Reuters сообщило по ссылкеисточник: reuters.com, что атака программы-вымогателя на американское подразделение Industrial and Commercial Bank of China нарушила проведение сделок на рынке казначейских облигаций США. Позже Reuters сообщило по ссылкеисточник: reuters.com, что инцидент привлек внимание регуляторов и трейдеров. Эти репортажи полезны как хронология, но приказ SEC позже дал более устойчивую запись об ответственности: инцидент затруднил торговлю, затронул записи и оставил невыполненными конкретные обязательства по книгам, записям и подтверждениям на определенный период.

Поэтому вопрос об ответственности шире, чем операционное неудобство. Инцидент с программой-вымогателем можно локализовать с точки зрения сети, но при этом бизнес останется неспособным подтвердить операции в требуемой форме. Рынок в целом может пережить его, но на уровне фирмы вскроется слабая подготовка. Последствия можно устранить позже, но это все равно покажет, что ручные обходные процедуры, офлайн-таблицы, альтернативные клиринговые договоренности и пост-инцидентная сверка не эквивалентны нормальной контролируемой работе.

Подтвержденный публичный протокол начинается с шифрования, прекращения связей и пробелов в учете

В приказе SEC содержится краткая подтвержденная хронология. Там сказано, что 8 ноября 2023 года ICBC Financial Services обнаружила, что вредоносное ПО заблокировало доступ к ее компьютерным системам и данным, зашифровав данные и программы в ее сети. Инцидент оказал значительное влияние на операции. Названы два непосредственных операционных последствия: нарушение доступа к информации в книгах и записях в различных системах и прекращение связей с клиринговыми фирмами и клиринговыми агентами, что затруднило торговлю.

Это описание важно, потому что определяет программу-вымогателя через ее деловые последствия. Публичному протоколу не нужно знать каждый внутренний хост или криминалистический артефакт, чтобы определить зону ответственности. Фирма не могла получить доступ к обязательным записям и обновлять их. Ей пришлось разорвать связи с клиринговыми партнерами. Ей пришлось сократить операции. Ей пришлось обеспечить финансирование, сотрудничать с клиринговыми партнерами, помогать клиентам найти альтернативные клиринговые фирмы и привлекать сторонних специалистов по кибербезопасности для локализации и устранения последствий, согласно приказу SEC.

В приказе также названы затронутые категории записей. Система ICBC Financial Services по операциям с фиксированной доходностью и РЕПО, обозначенная в приказе как TSS, не обновлялась своевременно. Фирма обновляла систему вручную и создала офлайн-таблицу для фиксации отдельных сделок с фиксированной доходностью, но в течение некоторого периода различные книги и записи были неполными или неточными.

В приказе перечислены блоттеры по операциям с фиксированной доходностью, главные книги, счета главной книги, реестр ценных бумаг, меморандумы о брокерских приказах, меморандумы о покупке или продаже ценных бумаг и подтверждения покупок и продаж ценных бумаг.

Система по акциям также пострадала. Согласно приказу SEC, система по акциям, в которой велся консолидированный реестр ценных бумаг, не обновлялась своевременно с учетом различных операций с акциями. Фирме пришлось восстановить доступ к системе и воссоздать утраченные сделки. В течение некоторого периода блоттеры, главные книги, счета главной книги, реестр ценных бумаг, меморандумы о брокерских приказах, меморандумы о покупке или продаже ценных бумаг и подтверждения покупок и продаж ценных бумаг были неполными или неточными.

Далее в приказе записи связываются с капиталом и защитными резервами клиентов. Там сказано, что неточные книги и записи в системах TSS и по акциям затронули расчеты резервов по клиентским счетам и счетам PAB брокеров-дилеров. Поскольку фирма не могла подготовить точные и полные главные книги и сведения по счетам главной книги и не могла получить доступ к своей системе по акциям, она в течение некоторого периода готовила расчеты резервов для клиентских счетов и счетов PAB на основе оценочных данных и неполных записей.

Она также потеряла доступ к своей системе главной книги и оборотно-сальдовой ведомости, и ее расчеты чистого капитала в течение некоторого периода были неточными, поскольку основывались на доступных неполных записях.

Эта последовательность превращает киберинцидент в проблему регуляторных доказательств. Недостаточно сказать, что торговля была перенаправлена или что системы в итоге вернулись. Вопрос об ответственности в том, может ли фирма восстановить записи с достаточной точностью, чтобы выполнить требования Правила 17a-3, Правила 10b-10, логику защитных резервов клиентов и дисциплину чистого капитала. В протоколе SEC ответ таков: фирма нарушила соответствующие требования, при этом Комиссия выбрала порицание и предписание о прекращении и воздержании без гражданско-правового штрафа из-за сотрудничества и мер по устранению последствий.

Непрерывность клиринга казначейских бумаг зависит от «скучных» доказательств

Устойчивость рынка казначейских бумаг часто обсуждается через ликвидность, балансы дилеров, плечо хедж-фондов, центральный клиринг и волатильность. Это реальные вопросы. Но инцидент в ICBC Financial Services показывает, что операционные доказательства не менее важны. Сделку с казначейскими бумагами или РЕПО нельзя считать полностью контролируемой, если фирма не может вести в актуальном состоянии блоттер, главную книгу, реестр ценных бумаг, меморандум о приказе, меморандум о покупке или продаже, записи о подтверждениях, расчет резервов и подтверждение чистого капитала, необходимые для доказательства того, что произошло.

На странице SEC о правилах клиринга казначейских бумаг по ссылкеисточник: SECпоясняется, что Комиссия приняла стандарты для охватываемых клиринговых агентств по казначейским ценным бумагам США, а также поправки, направленные на защиту инвесторов, снижение риска и повышение операционной эффективности. Отраслевое руководство SIFMA по ссылкеисточник: sifma.orgописывает внедрение центрального клиринга как крупное структурное изменение. Эти источники не являются выводами об ICBC Financial Services. Они объясняют, почему клиринговые связи, маржа, готовность участников и операционная устойчивость находятся в центре реформы рынка казначейских бумаг.

Обоснованный вывод состоит в том, что непрерывность клиринга казначейских бумаг должна проверяться как на уровне участника, так и на уровне клирингового агентства. У охватываемого клирингового агентства могут быть строгие правила, но участник клиринга все равно может столкнуться с киберинцидентом, который вынудит его отключиться. У фирмы может быть альтернативная клиринговая поддержка, но инцидент все равно может создать пробелы в записях. Рынок может продолжать работать, но клиентам пострадавшей фирмы все равно нужны подтверждения и точные записи. Устойчивость — это цепочка, а не отдельная площадка.

В заявлениях Казначейства США по ссылкеисточник: home.treasury.govинцидент с программой-вымогателем в аффилированной структуре ICBC был описан как затронувший клиентский клиринговый бизнес. В более поздних заявлениях по ссылкеисточник: home.treasury.govи ION, и ICBC приводились как свежие примеры программ-вымогателей, нарушающих работу финансового сектора, и отмечалась координирующая роль Казначейства для финансовых институтов и регулирующих органов. Значение этих заявлений не в том, что Казначейство сделало конкретные юридические выводы по делу. Оно в том, что официальное публичное обсуждение поместило ICBC Financial Services в более широкую модель инцидентов с программами-вымогателями, затрагивающих финансовые рынки.

Записка Fitch по ссылкеисточник: fitchratings.comполезна как контекст, поскольку она представила инцидент как предупреждение о перебоях в платежах и операционном риске. Обсуждение DTCC по ссылкеисточник: dtcc.comтакже полезно, поскольку помещает риск программ-вымогателей в контекст оценки системного риска. Эти источники следует читать как рыночный контекст, а не как замену приказу SEC.

Практический урок в том, что планы непрерывности должны включать уровень записей. Если фирме приходится прекращать связи с клиринговыми фирмами и клиринговыми агентами, ей нужен контролируемый путь для незавершенных сделок, сверок, альтернативных клиринговых инструкций, подтверждений клиентам, расчетов резервов, финансирования и коммуникации с регуляторами. Если она использует офлайн-таблицы, эти таблицы должны контролироваться, сверяться и возвращаться в системы с доказательствами. Если она сокращает операции, фирма должна знать, какие сделки продолжит исполнять и как будут создаваться подтверждения.

Книги и записи стали предметом ответственности, а не техническим приложением

Приказ SEC напоминает: обязанности по ведению книг и записей не приостанавливаются из-за того, что злоумышленник затруднил доступ к записям. Правило 17a-3(a) Закона о биржах, доступное в тексте регулирования по ссылкеисточник: ecfr.gov, требует, чтобы брокеры-дилеры создавали и поддерживали в актуальном состоянии определенные записи. Правило 10b-10(a) Закона о биржах, доступное по ссылкеисточник: ecfr.gov, требует, чтобы брокеры-дилеры предоставляли клиентам письменное уведомление с информацией о сделке до или в момент завершения соответствующих сделок с ценными бумагами. Приказ SEC применил эти обязательства к фактам инцидента.

Поэтому это дело — не общая история «слабой кибербезопасности». Это история о регулируемых доказательствах в условиях операционного стресса. Фирма может иметь самые лучшие намерения во время атаки программы-вымогателя и все равно не справиться, если запасной процесс не может создавать актуальные и точные записи. Ручное восстановление не обязательно ошибочно; во многих инцидентах оно необходимо. Но ручное восстановление должно быть достаточно контролируемым, чтобы поддерживать актуальность обязательных записей, создавать подтверждения, обеспечивать расчеты резервов и избегать скрытых расхождений.

Детали системы по операциям с фиксированной доходностью и РЕПО важны, потому что операции с казначейскими бумагами и РЕПО требуют интенсивного учета. Блоттер или главная книга по фиксированной доходности — это не просто бэк-офисный артефакт. Это источник для позиций, расчетов, финансирования, клиентских и регуляторных представлений. Сделка РЕПО связывает обеспечение, денежные средства, срок, ставку, контрагента и режим маржи. Если среда учета неполна, риск не только в том, что кто-то не может найти сделку.

Риск в том, что искаженная картина главной книги проникает в расчеты резервов, чистый капитал, выписки клиентам, сверки и управленческие решения.

Детали системы по акциям важны по той же причине. Согласно приказу SEC, система по акциям вела консолидированный реестр ценных бумаг, и доступ к ней нужно было восстановить, а утраченные сделки — воссоздать. Это означает, что один киберинцидент затронул продуктовые и учетные системы. Проверка ответственности в том, смогла ли фирма сохранить достаточно полную операционную картину, пока системы были недоступны, и пока она решала, какие операции безопасно продолжать.

Подтверждения клиентам — отдельный уровень ответственности. Согласно приказу SEC, ICBC Financial Services после инцидента исполнила различные клиентские сделки, но в течение некоторого периода не направляла подтверждения сделок до или в момент завершения каждой сделки. Это важно, потому что подтверждения дают клиентам базовые доказательства сделки: стороны, цену, сумму, статус агента или принципала, дату, время и другую требуемую информацию. Клиент не должен ждать восстановления после кибератаки, чтобы узнать условия завершенной сделки с ценными бумагами.

Обоснованный вывод состоит в том, что реагирование брокера-дилера на инциденты должно рассматривать подтверждения как критическую услугу, а не как второстепенную бумажную задачу. Если обычные системы подтверждений недоступны, резервный процесс должен определять, какие сделки могут продолжаться, как будут создаваться письменные уведомления, кто их утверждает, как они регистрируются и как более поздние системные записи будут сверяться с выданными уведомлениями. Публичный приказ показывает, что этот контроль в течение некоторого периода не работал.

Приказ не раскрывает каждую внутреннюю причину, поэтому статья не строит предположений сверх вывода.

Сотрудничество и устранение последствий изменили исход разбирательства, но не урок

На административной странице SEC указано, что Комиссия решила не вводить гражданско-правовые штрафы, поскольку ICBC Financial Services незамедлительно приняла меры по устранению последствий и сотрудничала с проверкой и расследованием сотрудников. В приказе сказано, что фирма сотрудничала с сотрудниками Отдела проверок, незамедлительно прекратила связи, сократила операции, обеспечила финансирование, сотрудничала с клиринговыми партнерами, помогала клиентам найти альтернативные клиринговые фирмы и оперативно привлекла сторонних специалистов по кибербезопасности для локализации и устранения последствий.

Эти факты важны. Анализ ответственности не должен игнорировать сотрудничество. Фирма, которая прекращает небезопасные связи, работает с клиринговыми партнерами, помогает клиентам найти альтернативные клиринговые фирмы и привлекает специалистов, делает то, что может снизить вред. Отсутствие гражданско-правового штрафа в мировом соглашении с SEC — часть публичного результата ответственности. Это указывает на то, что регуляторы признали сотрудничество и устранение последствий, даже установив нарушения.

Но сотрудничество не стирает операционный урок. В том же приказе сказано, что нарушения указывали, в частности, на необходимость лучшей подготовки ответчика к потенциально серьезному киберинциденту. Там сказано, что фирма впоследствии расследовала инцидент и решила, что ей необходимо усилить управление, ресурсы кибербезопасности, а также процессы оценки и снижения рисков. Это ключевое предложение, потому что оно возлагает ответственность на подготовку, а не только на реагирование. Фирма не просто столкнулась с неудачным внешним событием; публичный протокол говорит, что подготовка была недостаточной.

Обоснованный вывод состоит в том, что устранение последствий следует оценивать против режимов отказа, перечисленных в приказе. Совершенствование управления должно делать киберинциденты вопросом операционной устойчивости для совета директоров и старшего руководства, а не только для команды безопасности. Усиление ресурсов кибербезопасности должно улучшить обнаружение, локализацию, резервное копирование, защиту конечных точек, сегментацию, управление привилегированным доступом и возможности восстановления.

Оценка рисков должна охватывать продуктовые системы, клиринговые связи, подтверждения клиентам, расчеты резервов, поддержку чистого капитала, готовность ручных обходных процедур и альтернативные клиринговые процессы.

Неизвестного остается много. Публичный протокол не раскрывает точные изменения в управлении, новых владельцев контрольных процессов, результаты командно-штабных учений, архитектуру резервного копирования, дизайн сегментации, инструменты защиты конечных точек, сроки восстановления по системам, выводы сторонних специалистов, независимую валидацию или долгосрочные результаты аудита. Статья не утверждает, что какой-то конкретный контроль существует. Она говорит, что приказ SEC определяет категории, которые должны быть усилены.

Атрибуция атаки и заявления о выкупе — это не доказательства ответственности

Публичные сообщения об инциденте включали обсуждение киберпреступных группировок, заявлений о выкупе и возможных технических векторов. Reuters сообщало о публичных заявлениях и реакции рынка. Репортаж SCMP по ссылкеисточник: scmp.comдобавил публичную хронологию и контекст глобального рынка. Некоторые комментарии экспертов по безопасности связывали инцидент с LockBit или проблемами Citrix. Эти материалы могут быть полезны для понимания обстановки, но они не являются основным доказательством ответственности в этой статье.

Причина осторожности проста. Злоумышленники могут лгать. Заявления о выплате выкупа могут быть непроверяемыми. Предположения о первоначальном доступе могут быть ошибочными или неполными. Наблюдение исследователя безопасности об уязвимой инфраструктуре — не то же самое, что криминалистический вывод. Рыночный слух о сбоях сделок — не то же самое, что вывод регулятора. Публичный анализ ответственности не должен превращать заявления в факты только потому, что речь идет о крупном банке и крупном рынке.

Подтвержденных публичных фактов достаточно. Приказ SEC подтверждает шифрование программой-вымогателем, влияние на операции, прекращение связей с клиринговыми фирмами и агентами, затруднение торговли, неполные или неточные книги и записи, сбои с подтверждениями клиентам, последствия для расчета резервов, последствия для расчета чистого капитала, сотрудничество и меры по устранению последствий. Заявления Казначейства подтверждают, что официальные лица США рассматривали инцидент как пример программы-вымогателя, повлиявшей на операции финансового сектора и клиентский клиринговый бизнес.

Reuters подтверждает публичные сообщения о нарушении рынка и внимание регуляторов.

Для установления ответственности больше ничего не нужно.

Ресурсы CISA по программам-вымогателям по ссылкамисточник: cisa.govиисточник: cisa.govдают общий контекст реагирования и устойчивости. Структура кибербезопасности NIST по ссылкеисточник: nist.govи NIST SP 800-61 Rev. 3 по ссылкеисточник: csrc.nist.govдают словарь для выявления, защиты, обнаружения, реагирования, восстановления, коммуникации и улучшения. Эти источники не являются закрытыми доказательствами по ICBC Financial Services. Они объясняют, что должен уметь показывать подготовленный жизненный цикл инцидента.

Поэтому правильная публичная позиция — дисциплинированная. Инцидент можно называть атакой программы-вымогателя, потому что так сказано в приказе SEC. Можно говорить, что он затронул клиентский клиринговый бизнес, потому что так сказало Казначейство. Можно говорить, что он нарушил сделки на рынке казначейских бумаг, потому что Reuters сообщило этот публичный рыночный контекст. Но эта статья не утверждает конкретный путь эксплуатации, выплату выкупа, утечку данных, потери клиентов или умышленные нарушения сверх урегулированных выводов SEC.

Ручные обходные процедуры необходимы, но опасны, когда становятся системой учета

В приказе SEC указано, что ICBC Financial Services вручную обновляла систему и создала офлайн-таблицу для фиксации отдельных сделок с фиксированной доходностью. В чрезвычайной ситуации это может быть неизбежно. Риск в том, что таблица может стать параллельной системой учета без контроля, обычно ожидаемого в регулируемой среде брокера-дилера: контроля доступа, управления версиями, процесса утверждения, сверки, обработки исключений, независимого анализа, хранения и возможности аудита.

Ручные обходные процедуры особенно чувствительны в операциях с фиксированной доходностью и РЕПО, потому что важны поля. Цена, количество, основная сумма, дата расчетов, контрагент, обеспечение, ставка, срок, книга, счет и клиринговый маршрут могут влиять на последующие записи. Одно пропущенное поле может стать расхождением в главной книге. Задержанное подтверждение может стать проблемой доказательств для клиента. Неполная главная книга может стать оценочным расчетом резерва или чистого капитала.

Это не абстрактные опасения: приказ SEC связывает неполные записи с расчетами резервов для клиентских счетов и счетов PAB, а также с расчетами чистого капитала.

Обоснованный вывод состоит в том, что планы кибернепрерывности для брокеров-дилеров должны содержать заранее одобренные процессы работы в деградированном режиме. Эти процессы должны определять, какие типы сделок могут продолжаться, какие требуют приостановки, как фиксируются доказательства сделок, как создаются подтверждения, как связываются с клиринговыми агентами, как координируются альтернативные клиринговые фирмы, как обеспечивается финансирование, как рассчитываются и позже корректируются резервы и чистый капитал, и как регуляторы уведомляются о пробеле.

Процесс должен отрабатываться до инцидента, потому что проектирование его под давлением шифрования — это именно тот момент, когда ошибки становятся вероятными.

Есть также вопрос об ответственности вокруг «актуальных» записей. Фирма может восстановить записи позже. Но Правило 17a-3 касается создания и поддержания актуальных записей, и клиентам нужны доказательства сделки в момент ее завершения. Последующее восстановление может снизить остаточный вред, но не может полностью заменить актуальные записи и своевременные подтверждения. Именно поэтому приказ SEC важен, даже несмотря на сотрудничество и устранение последствий в ICBC Financial Services.

Статья не утверждает, что офлайн-таблица фирмы была небрежной, злонамеренной или уникально неадекватной. Приказ SEC не дает такого уровня детализации. Дело уже: когда для фиксации регулируемых сделок нужна ручная таблица, ее следует рассматривать как критический объект контроля. Если ее быстро не сверить и строго не управлять ею, фирма может потерять цепочку доказательств, которая делает обязательства брокера-дилера проверяемыми.

Инцидент показывает, почему карты зависимостей от третьих сторон и клиринга должны быть рабочим инструментом

Дело не только в собственных системах фирмы. Согласно приказу SEC, ICBC Financial Services прекратила связи с клиринговыми фирмами и клиринговыми агентами. Она сотрудничала с клиринговыми партнерами и помогала клиентам найти альтернативные клиринговые фирмы. Этот язык показывает карту зависимостей в действии. У фирмы были клиринговые отношения, которые пришлось разорвать, партнеры, с которыми нужно было координироваться, и клиенты, которым требовались альтернативные маршруты.

Карты зависимостей от третьих сторон и клиринга часто существуют для аудитов, но это дело показывает, что они должны быть рабочими инструментами. Полезная карта должна определять клиринговых агентов, клиринговые фирмы, расчетные банки, источники финансирования, рыночные утилиты, потоки данных, поставщиков подтверждений, каналы обмена сообщениями, группы клиентов и контакты для эскалации. Она также должна определять, что происходит, если нарушенным узлом становится сама фирма, а не третья сторона.

Многие программы управления рисками третьих сторон сосредоточены на сбое поставщика; этот инцидент потребовал, чтобы фирма сама стала источником риска для своих партнеров и клиентов.

Руководство федеральных банковских агентств по управлению рисками третьих сторон по ссылкеисточник: federalreserve.govне является источником, специфичным для ICBC Financial Services, но полезно как контекст для управления рисками на всем жизненном цикле, планирования непрерывности и отношений, поддерживающих критически важную деятельность. Заявления Казначейства об облаке и кибербезопасности финансового сектора по ссылкеисточник: home.treasury.govтакже обсуждают прозрачность, концентрацию и операционную устойчивость. Принцип переносится на клиринговые отношения: устойчивость зависит от знания того, какие зависимости критичны и как сообщать о сбое одной из них.

Обоснованный вывод состоит в том, что альтернативная клиринговая поддержка должна планироваться заранее. Согласно приказу SEC, фирма помогала клиентам найти альтернативные клиринговые фирмы. Это важное действие по устранению последствий. Более сильная позиция до инцидента определяла бы, как сортируются клиенты, какие юридические и операционные документы нужны, какие позиции и сделки могут быть переданы или перенаправлены, какие инструкции безопасно отправлять, какие одобрения клиентов требуются и как фирма предотвращает путаницу или двойную обработку.

Неизвестные остаются. Публичный протокол не раскрывает, скольким клиентам понадобились альтернативные клиринговые фирмы, как быстро были созданы альтернативы, сколько незавершенных сделок было затронуто, произошел ли сбой каких-либо сделок, понес ли какой-либо клиент прямые потери или пришлось ли какому-либо клиринговому партнеру поглощать операционные издержки. Статья не утверждает эти результаты. Она определяет доказательства зависимостей, которые должен содержать полный анализ ответственности.

Регуляторная ответственность сильнее, когда киберконтроль связан с рыночным контролем

Приказ SEC эффективен, потому что связывает киберсбой с обязательствами брокера-дилера. Он не просто говорит, что фирма столкнулась с программой-вымогателем. Он определяет, какие обязательства нарушены: книги и записи согласно Разделу 17(a), Правилу 17a-3(a) и подтверждения клиентам согласно Правилу 10b-10(a). Он также описывает последствия для расчета резервов и чистого капитала. Эта связь важна, потому что киберинцидент в регулируемой финансовой фирме следует оценивать по тому, продолжались ли регулируемые функции в контролируемой форме.

Тематическая страница SEC по кибербезопасности по ссылкеисточник: SECдает более широкий контекст того, как кибербезопасность пересекается с рынками ценных бумаг. Страница SEC о правилах клиринга казначейских бумаг дает контекст рыночной структуры. Годовой отчет FSOC за 2024 год по ссылкеисточник: home.treasury.govобсуждает структуру финансового рынка, операционный риск, технологический риск и важность рынка казначейских бумаг. Вместе эти источники показывают, что киберустойчивость, структура рынка, клиринг и операционный риск больше не являются отдельными разговорами.

Обоснованный вывод состоит в том, что кибертестирование должно включать тестирование регуляторных результатов. Командно-штабное учение, в котором спрашивают только, можно ли восстановить системы, неполно. Для брокера-дилера упражнение должно спрашивать, можно ли в условиях стресса подготовить блоттеры, главные книги, реестры ценных бумаг, подтверждения, расчеты резервов, расчеты чистого капитала, уведомления клиентам, сообщения клиринговым агентам, альтернативные клиринговые инструкции и отчеты для регуляторов. Если эти артефакты невозможно подготовить, фирма может технически восстанавливаться, но юридически не выполнять свои обязательства.

Доказательства для регулятора также должны быть своевременными. Приказ SEC охватывает период с 8 ноября 2023 года по 1 марта 2024 года. Это долгий период, в течение которого проблема с ведением записей оставалась в публичном окне правоприменения. Это не означает, что все системы были одинаково недоступны весь период, и приказ этого не говорит. Это означает, что вопрос ответственности выходил за пределы первой недели инцидента. Восстановление следует измерять восстановлением доказательств по конкретным обязательствам, а не первым днем, когда система вернулась в строй.

Здесь операционные и юридические команды должны работать вместе. Команды безопасности могут сказать, что локализация удалась. Технологические команды могут сказать, что приложения восстановлены. Бизнес-команды могут сказать, что торговля возобновилась. Юристы и комплаенс все равно должны спросить, актуальны ли обязательные записи, своевременны ли подтверждения, точны ли расчеты резервов и задокументированы ли регуляторные обязательства. Ответственность существует, когда эти представления сходятся, а не когда одна команда объявляет успех.

Как должна выглядеть ответственная программа устранения последствий после приказа SEC

Приказ SEC определяет категории, которые должна охватывать ответственная программа устранения последствий, хотя и не публикует внутреннюю дорожную карту фирмы. Первая категория — управление. Брокер-дилер, работающий с клирингом казначейских бумаг, должен уметь показать, что серьезные киберсценарии рассматриваются как сценарии непрерывности бизнеса, защиты клиентов и рыночного риска, а не только как сценарии информационной безопасности.

Это означает, что старшее руководство должно получать карту сценариев, показывающую, что происходит с записями по фиксированной доходности, записями по акциям, подтверждениями клиентам, расчетами резервов, расчетами чистого капитала, клиринговыми связями, финансированием и коммуникацией с клиентами, если критическая среда будет зашифрована.

Вторая категория — право собственности на доказательства. Каждая обязательная запись должна иметь ответственного в чрезвычайной ситуации, резервный источник, процесс работы в деградированном режиме, правило сверки и порог уведомления регулятора. У блоттера по фиксированной доходности может быть один владелец, у консолидированного реестра ценных бумаг — другой, у подтверждений клиентам — третий. В обычной работе эти записи могут автоматически двигаться через общие системы, но инцидент с программой-вымогателем может их разделить.

Ответственное устранение последствий требует назвать лицо или функцию, отвечающую за восстановление каждой записи, и доказать, что восстановленная запись соответствует реальности сделок.

Третья категория — контроль ручных процедур. Упоминание офлайн-таблицы в приказе SEC должно подтолкнуть фирмы к вопросу: являются ли аварийные таблицы заранее спроектированными, с контролем доступа, версионированием, независимой проверкой и сверкой с исходными системами. Дело не в том, что таблицы запрещены. В чрезвычайной ситуации таблица может быть самым быстрым способом сохранить доказательства сделок. Дело в том, что таблица, используемая для регулируемых сделок, не должна становиться импровизированным черным ящиком.

До следующего инцидента у нее должны быть шаблон, определения полей, шаги утверждения, правила хранения и доказательства сверки.

Четвертая категория — клиринговая и клиентская коммуникация. Если связи с клиринговыми фирмами и клиринговыми агентами нужно прекратить, фирма должна знать, как сообщить клиентам, какие операции приостановлены, какие альтернативные маршруты существуют, как обрабатываются незавершенные сделки, как будут выглядеть подтверждения и когда записи будут сверены. Расплывчатая коммуникация может создать дублирующие инструкции, небезопасные обходные пути и ненужные рыночные слухи. Точная коммуникация может снизить операционную нагрузку и облегчить последующий разбор доказательств.

Пятая категория — независимая валидация. Фирма может считать, что устранение последствий завершено, пока пробелы остаются в подтверждениях, резервах или поддержке чистого капитала. Ответственная программа устранения последствий использовала бы внутренний аудит, комплаенс-тестирование, внешних специалистов или сопоставимую независимую функцию, чтобы проверить, выдержит ли восстановленный процесс еще один серьезный сценарий. Публичный протокол не показывает, внедрила ли ICBC Financial Services именно эти меры.

Дело в том, что приказ SEC дает достаточно деталей, чтобы определить доказательства ремонта, которые серьезный участник рынка должен уметь представить.

Подтвержденные факты, обоснованные выводы и неизвестные

Подтвержденные публичные факты включают то, что ICBC Financial Services, LLC, зарегистрированная в Делавэре, с основным местом деятельности в Нью-Йорке и являющаяся полностью принадлежащей дочерней компанией Industrial and Commercial Bank of China Limited, зарегистрирована в SEC в качестве брокера-дилера. Подтвержденные факты также включают то, что в ноябре 2023 года она стала жертвой кибератаки программы-вымогателя, что вредоносное ПО заблокировало доступ к системам и данным, зашифровав данные и программы, и что инцидент существенно повлиял на операции.

Подтвержденные публичные факты включают нарушение доступа к информации в книгах и записях в различных системах и возможности ее обновлять, прекращение связей с клиринговыми фирмами и клиринговыми агентами и затруднение торговли. Подтвержденные факты также включают то, что в течение соответствующего периода книги и записи фирмы не поддерживались в актуальном состоянии и содержали неполную или неточную информацию, в том числе в записях по операциям с фиксированной доходностью и РЕПО, записях по акциям, расчетах резервов и поддержке чистого капитала.

Подтвержденные публичные факты включают то, что фирма после инцидента исполнила различные клиентские сделки, но в течение некоторого периода не направляла подтверждения сделок до или в момент завершения каждой сделки. Подтвержденные факты включают вывод SEC об умышленных нарушениях Раздела 17(a), Правила 17a-3(a) и Правила 10b-10(a), урегулирование фирмой дела без признания или отрицания выводов, предписание о прекращении и воздержании, порицание и отсутствие гражданско-правового штрафа, поскольку SEC учла сотрудничество и меры по устранению последствий.

Обоснованные выводы включают мнение о том, что непрерывность клиринга казначейских бумаг, ведение книг и записей брокера-дилера, доставка подтверждений, расчет резервов и чистого капитала, альтернативная клиринговая поддержка, коммуникация с клиринговыми агентами и управление ручными обходными процедурами — все это зоны ответственности в этом инциденте. Обоснованные выводы также включают мнение о том, что киберустойчивость брокера-дилера должна проверяться по регуляторным артефактам, а не только по восстановлению серверов.

Неизвестные остаются важными. Публичный протокол не раскрывает точный вектор первоначального доступа, точного злоумышленника, требование о выкупе, статус выплаты выкупа, была ли похищена информация, полное число затронутых клиентов или сделок, полный график восстановления систем, все последствия для клиринговых партнеров, все результаты альтернативного клиринга для клиентов, все договоренности о финансировании, все выводы сторонних специалистов, все этапы устранения последствий или частную надзорную переписку. Статья не заполняет эти пробелы обвинениями.

Долговременный тест на ответственность

Долговременный тест на ответственность — может ли регулируемый брокер-дилер продолжать доказывать исполнение своих рыночных обязательств, реагируя на программу-вымогателя. Публичный протокол ICBC Financial Services показывает, что программа-вымогатель может превратить локализацию кибератаки в проблему клиринга, записей, подтверждений, резервов, капитала и доказательств для клиентов. Он также показывает, что сотрудничество и устранение последствий имеют значение, поскольку SEC не ввела гражданско-правовой штраф.

Но основной урок строже: к серьезным киберинцидентам следует готовиться заранее, и подготовка должна быть достаточно сильной, чтобы поддерживать актуальность регулируемых доказательств или восстанавливать их через строго контролируемые процедуры деградированного режима.

Для клиентов урок в том, что подтверждения и записи — часть защиты. Клиент не должен полагаться на обещание, что фирма восстановит сделку позже, если закон требует своевременного уведомления и актуальных записей. Для клиринговых партнеров урок в том, что планы отключения и альтернативной маршрутизации должны отрабатываться. Для регуляторов урок в том, что киберпроверки должны тестировать, выживают ли обязательства по ведению записей, резервам, чистому капиталу и подтверждениям в условиях операционного стресса.

Для реформаторов рыночной структуры урок в том, что устойчивость центрального клиринга зависит от устойчивости участников не меньше, чем от дизайна инфраструктуры.

ICBC Financial Services сделала программу-вымогателя тестом на ответственность в клиринге казначейских бумаг, потому что инцидент затронул слой доказательств критически важного рынка. Фирма контролировала свои системы, записи, связи и планы на случай чрезвычайных ситуаций. Клиенты и контрагенты зависели от этих систем, чтобы знать, что произошло и какие обязательства остались. Ответственность требовала большего, чем восстановление компьютеров. Она требовала доказать сделки, записи, подтверждения, резервы, капитал, клиринговые решения и устранение последствий с помощью доказательств, достаточно надежных для клиентов, партнеров и регуляторов.