Mangelnde Reife belastet den Finanz- und Zahlungssektor Brasiliens, wie eine Studie von Kryptus zeigt

Nur die Hälfte der Informationssicherheitsexperten verfügt über umfassende Kenntnisse im Bereich Cybersicherheit. Die Kryptografie-Kenntnisse liegen sogar noch niedriger (34 %).

Die Sektoren bleiben anfällig, da Hardware-Schutzmaßnahmen für Transaktionen nur unzureichend eingesetzt werden.
Unternehmen ergreifen immer noch Maßnahmen, die nur oberflächliche Sicherheit bieten.
Hohe Kosten und fehlende regulatorische Verpflichtungen sind Hindernisse für die Einführung komplexerer Lösungen.
Cloud-Kryptodienst gilt als sichere und kostengünstige Alternative.

Der Finanz- und Zahlungssektor gehört zu den am stärksten von Cyberangriffen betroffenen Sektoren in Brasilien. Da neue Arten von Diensten auf den Markt kommen und die Zahl der Transaktionen steigt, nehmen auch die Sicherheitsbedrohungen zu. Laut einer Umfrage von Kryptus, einem multinationalen Unternehmen, das auf Kryptographie und Cybersicherheit spezialisiert ist, sind einige Institutionen des Landes trotz potenzieller Schwachstellen immer noch investiert wenig in robustere Schutzmaßnahmen.

Das Unternehmen führte eine Umfrage unter 30 Technologie- und Informationssicherheitsmanagern von Finanzinstituten durch, darunter Banken, Kreditgenossenschaften, Konsortialverwalter, Vermittler, Pensionspläne und Kartenverwalter aus acht Bundesstaaten: Santa Catarina, Paraná, São Paulo, Minas Gerais, Rio de Janeiro, Espírito Santo, Ceará und Paraíba. Die Studie weist darauf hin, dass es diesen Segmenten in Sachen Cybersicherheit noch an Reife mangelt. „Bei der Analyse der wichtigsten Produkt- und Dienstleistungsauswahlen zur Gewährleistung des Informationsschutzes in Unternehmen fällt die Einführung von Maßnahmen auf, die auf einer oberflächlichen Sicherheitsebene liegen, wie etwa VPN und Benutzer-/Passwort-Authentifizierung“, sagt Willian Oliveira, Product Owner bei Kryptus.

Bei komplexen Architekturen mit robusteren Sicherheitsmaßnahmen, die ein höheres Maß an Investitionen oder technischem Wissen erfordern, nehmen die Unternehmen weniger Anschaffungen vor. Mehr als die Hälfte der Befragten verfügt nicht über Lösungen, die eine tiefere Sicherheitsebene bieten, wie etwa Sicherheitszentren. Sicherheitsoperationen (SOCs), die sichere Verwaltung digitaler Zertifikate und die kryptografische Sicherheitsmodule (HSMs).

45 % der Institutionen, die angaben, über kein HSM zu verfügen, zogen die Möglichkeit einer Investition in die Technologie nicht einmal in Betracht. Selbst Befragte, die die Notwendigkeit der Verwendung eines HSM erkennen, nennen nach wie vor den Preis, fehlende Branchenregulierung und das Verständnis der Vorteile als Haupthindernisse für eine effektive Einführung.

Die Situation wird noch schlimmer, wenn man darauf hinweist, dass 42 % der Befragten angeben, keine andere Art von Lösung zum Verschlüsseln und Schützen kryptografischer Schlüssel zu verwenden. „Dies zeigt, wie wichtig Regulierung für die Priorisierung von Investitionen ist, da sie nicht nur verpflichtend ist, sondern auch als Aufklärungsinstrument für Entscheidungsträger fungiert, die aufgrund mangelnder Technologiekenntnisse nicht investieren“, erklärt der Geschäftsführer.

Was das Kompetenzniveau der Informationssicherheitsexperten betrifft, gaben nur 50 % der Befragten an, über ein hohes Maß an Verständnis für Cybersicherheit zu verfügen. Bei Kenntnissen in Kryptographie ist der Anteil mit 34 % sogar noch niedriger.

Auf der Grundlage dieser Daten zieht Oliveira zwei Hypothesen in Betracht. „Erstens sind die Fachleute in diesem Bereich zwar über die Risiken informiert, denen die Unternehmen ausgesetzt sind, können sich aber nicht für die Priorisierung von Investitionen in geeignete Lösungen einsetzen. Zweitens fehlt es diesen Fachleuten an tieferen Kenntnissen über die Risiken und die zu ihrer Eindämmung erforderlichen Maßnahmen. In diesem Fall ist es zwingend erforderlich, dass die Unternehmen mithilfe spezialisierter Partner in die Schulung und Weiterbildung ihrer Teams investieren“, empfiehlt er.

Über die Art der Lösung, die Unternehmen übernehmen möchten, die Cloud-HSM hat eine größere Akzeptanz bei Zahlungsinstituten. Innerhalb dieses Profils haben 60 % der Befragten bereits über die Anschaffung der Technologie nachgedacht. „Der geringere Investitionswert, der Vorteil einer skalierbaren Struktur und das gleiche Sicherheitsniveau wie bei einem vor Ort installierten HSM sind Merkmale, die die Aufmerksamkeit dieser Unternehmen unabhängig von ihrer Größe geweckt haben“, betont Oliveira.

Auf der anderen Seite weisen Banken, Kreditgenossenschaften und Konsortialverwalter ein anderes Profil auf. Nur 30 % schätzten die Notwendigkeit eines Cloud-HSM ein. „Das liegt daran, dass in der Branche die Ausrüstung bevorzugt vor Ort installiert wird, aufgrund der mehr Kontrolle im physischen Management die dieser Gerätetyp bietet“, so sein Fazit.