EBC ostrzega banki przed cyberatakami wspieranymi przez AI. Mają przygotować plany działania do końca października

Europejski Bank Centralny wysłał do szefów największych banków list dotyczący zagrożeń cyberbezpieczeństwa wspieranych przez sztuczną inteligencję. Nadzorca nie pisze o futurystycznym ryzyku, tylko o zmianie, która już wpływa na tempo działania przestępców i grup hakerskich.

W piśmie podpisanym przez Claudię Buch, przewodniczącą Rady ds. Nadzoru EBC, bank centralny wskazuje, że nowe modele AI potrafią szybciej identyfikować podatności w oprogramowaniu i generować działające exploity. W praktyce skraca to czas między odkryciem luki a jej wykorzystaniem w ataku. EBC podkreśla, że nie jest to jednorazowe zjawisko związane z konkretnym narzędziem, ale długoterminowa zmiana w krajobrazie cyberzagrożeń.

Nadzorca zaznacza przy tym, że AI nie tworzy zupełnie nowych kategorii ryzyka. Problem polega raczej na tym, że zwiększa szybkość i skalę materializowania się zagrożeń, które banki już znają: ataków na systemy wystawione do internetu, podatności w oprogramowaniu dostawców, luk w komponentach open source, problemów z aktualizacjami czy incydentów w łańcuchu dostaw IT.

EBC oczekuje od największych instytucji bankowych przygotowania kompleksowego planu działania. Ma on obejmować konkretne działania, zasoby, podział odpowiedzialności i harmonogram wdrożenia. Banki mają przekazać te plany swoim wspólnym zespołom nadzorczym, czyli JST, do 31 października 2026 r.

W krótkim terminie EBC wskazuje trzy priorytety: przyspieszenie zarządzania podatnościami i łatkami bezpieczeństwa, wzmocnienie monitoringu oraz detekcji, a także sprawdzenie, czy zarządzanie ryzykiem dostawców IT odpowiada obecnej sytuacji. Szczególny nacisk położono na systemy wystawione na zewnątrz, technologie brzegowe, chmurę, połączenia VPN, oprogramowanie firm trzecich i komponenty open source.

W dłuższej perspektywie banki mają wzmacniać odporność operacyjną. EBC wymienia m.in. zasadę obrony warstwowej, cyberhigienę, segmentację i mikrosegmentację sieci, zasady zero trust, uwierzytelnianie wieloskładnikowe, pełniejsze logowanie zdarzeń, bezpieczne tworzenie oprogramowania oraz wymianę informacji o zagrożeniach między instytucjami.

Co ważne, EBC nie ogranicza tematu do samej sztucznej inteligencji. W liście pojawia się także zapowiedź osobnego pisma dotyczącego komputerów kwantowych i ich wpływu na tradycyjne metody szyfrowania. Nadzorca wskazuje, że przejście na kryptografię postkwantową może potrwać dłużej, ale przygotowania powinny rozpocząć się już teraz.

List EBC ukazał się równolegle z ostrzeżeniem Europejskiej Rady ds. Ryzyka Systemowego. ESRB oceniła, że modele frontier AI mogą zwiększać szybkość, skalę i złożoność cyberataków na sektor finansowy. Rada zwróciła też uwagę na strategiczną zależność Europy od wiodących dostawców AI spoza Unii Europejskiej.

Dla Polski pismo EBC ma znaczenie pośrednie. Krajowe banki nie są bezpośrednio objęte jednolitym nadzorem EBC tak jak największe banki ze strefy euro, ale działają w tym samym unijnym otoczeniu regulacyjnym, w tym pod reżimem DORA. A ten stawia na odporność cyfrową, zarządzanie ryzykiem dostawców ICT i gotowość do obsługi poważnych incydentów operacyjnych. Innymi słowy: nawet jeśli list formalnie nie trafił do zarządów polskich banków jako adresatów SSM, jego kierunek jest jasnym sygnałem dla całego sektora finansowego.

Polecana lektura

"Człowiek i AI. Jak ludzie i technologia będą tworzyć razem przyszłość pracy"

To jest link afiliacyjny. Kupując za jego pomocą, wspieracie rozwój bloga, a cena dla Was pozostaje bez zmian.

Sprawdź cenę