Skip to main content
Для фінансових послуг

Тренінг з кібербезпеки для фінансових послуг

Симуляції аудиторського рівня для команд казначейства, роздрібного банкінгу, кредитування та фінтеху. BEC, імперсонація для шахрайства з переказами, діпфейк-дзвінки CEO та credential stuffing, поєднані з вимогами GLBA, NYDFS Part 500, FFIEC та PCI DSS v4.0.

Автор Перевірено

Чому щорічні відеокурси з відповідності не працюють для фінансового персоналу

Сектор фінансових послуг втратив понад $2,9 мільярда від BEC та шахрайств з переказами за останній звітний рік FBI IC3, а середня сума BEC-переказу тепер перевищує $125 000. Ціллю стають співробітники казначейства, відділу платежів і відділень, які працюють з клієнтами. Більшість успішних атак починається з одного листа чи телефонного дзвінка, що обходить загальний SAT-курс, який користувач закінчив півроку тому.

Регулятори скоротили розрив між навчанням та відповідальністю. NYDFS 23 NYCRR 500.14(a)(3) вимагає регулярного тренінгу з обізнаності з кібербезпеки, що базується на оцінці ризиків покритого субʼєкта. Поправки 2024 року до GLBA Safeguards Rule розширили зобовʼязання щодо навчання для небанківських фінансових установ. Експерти FFIEC тепер вимагають доказів зміни поведінки та фішингостійких практик, а не лише списку проходження.

RansomLeak замінює театр відповідності інтерактивними 3D-симуляціями, що відпрацьовують саме ті рішення, які приводять до втрати грошей. Персонал казначейства тренує перевірку змін у платежах постачальникам поза каналом. Касири відділень тренують відмову від вішинг-дзвінків з імʼям керівника. Офіцери з відповідності отримують готові до аудиту пакети доказів, повʼязані з кожною регуляторною рамкою, що експортуються як SCORM 1.2 або 2004 у будь-яку банківську LMS.

Шаблони загроз, специфічні для фінансових послуг

1

BEC проти казначейства та платежів

Перенаправлення платежів постачальникам, відведення зарплат та шахрайські запити на перекази є найбільшими категоріями втрат у фінансовому BEC. Команди казначейства та платежів потребують сценарної практики для перевірки зворотного дзвінка, подвійного контролю та підтвердження поза каналом.

2

Діпфейк-голосові дзвінки CEO та CFO

Кілька банків втратили шести- та семизначні суми через AI-голосові клон-дзвінки від імені керівників. Тренінг має відпрацьовувати протокол перевірки, а не ознаки попередження, бо ознаки тепер занадто переконливі, щоб помітити їх у реальному часі.

3

Credential stuffing на клієнтських порталах

Перевикористані паролі клієнтів і недостатнє MFA в онлайн-банкінгу та брокерських акаунтах призводять до захоплення акаунтів. Персонал клієнтського обслуговування і антишахрайства має розпізнавати шаблони атак та посилювати step-up автентифікацію в підозрілих сесіях.

4

Фішинг для облікових даних SWIFT, Fedwire та ACH

Оператори переказів та команди кореспондентського банкінгу мають облікові дані, що рухають мільйони з одного кліку. Один успішний фішинговий лист проти оператора переказу може спричинити втрати рівня Bangladesh Bank. Цільовий тренінг для цих ролей є обовʼязковим.

5

Імперсонація постачальників і третіх сторін

Зловмисники видають себе за основні процесинги, картярські мережі, KYC-вендорів та аудиторські фірми, щоб викрадати VPN- та адмін-облікові дані. Очікування OCC Bulletin 2013-29 щодо ризиків третіх сторін тепер поширюються на те, як персонал перевіряє комунікацію з постачальниками.

Фреймворки відповідності, які охоплює ця сторінка

Відповідність регуляціям, що визначають більшість рішень про закупівлю в галузі фінансових послуг.

GLBA Safeguards Rule (поправки 2024 року)

FTC Safeguards Rule за 16 CFR Part 314 вимагає, щоб небанківські фінансові установи проводили тренінг з обізнаності з безпеки і оновлювали його зі зміною ризиків. Поправки 2024 року розширили сферу застосування і додали зобовʼязання щодо повідомлення про інциденти.

Читати посібник

NYDFS 23 NYCRR Part 500

Розділ 500.14(a)(3) вимагає регулярного тренінгу з обізнаності з кібербезпеки на основі оцінки ризиків. Друга поправка 2023 року додала вимоги щодо фішингостійкої автентифікації та сертифікації вищого керівництва.

FFIEC Information Security Booklet

Експерти FFIEC використовують посібник з інформаційної безпеки та інструмент оцінки кібербезпеки для оцінки зрілості тренінгу персоналу. Докази зміни поведінки, результати фішинг-симуляцій і рольовий контент тепер є стандартними очікуваннями.

PCI DSS v4.0

Вимога 12.6.3 встановлює обовʼязкове щорічне навчання з обізнаності з безпеки, що охоплює загрози, актуальні для середовища даних карток, включно з фішингом і соціальною інженерією. Майбутні вимоги v4.0 повністю набувають чинності у 2025 році.

OCC Bulletin 2013-29 і SOX

Очікування щодо керування ризиками третіх сторін поширюються на те, як персонал працює з комунікацією від постачальників. Докази внутрішнього контролю SOX 404 дедалі частіше посилаються на записи про навчання персоналу як на засіб запобігання шахрайству.

Підібрані вправи для галузі фінансових послуг

Вибрано з каталогу 100+ вправ і пріоритезовано саме для цієї галузі.

Компрометація бізнес-електронної пошти

BEC і шахрайство з переказами є найбільшою категорією разових втрат у фінансових послугах. Персоналу казначейства, платежів і фінансів ця вправа потрібна найбільше.

Спробувати вправу

Клонування голосу за допомогою діпфейків

AI-голосові клони CEO та CFO викликали семизначні втрати від переказів у кількох банках. Відпрацьовує протокол перевірки зворотного дзвінка, що зупиняє ці атаки.

Спробувати вправу

Вішинг (голосовий фішинг)

Персонал відділень, антишахрайства і хелп-деску є типовими цілями вішингу. Тренування відмови від розголошення облікових даних і змін акаунтів по телефону.

Спробувати вправу

Фішинг на базі AI

Генеративний AI усунув ознаки граматики і тону, які раніше шукав персонал відділень і операцій. Ця вправа оновлює сценарій реагування.

Спробувати вправу

Налаштування MFA та фішингостійка автентифікація

Друга поправка NYDFS 500 і FFIEC підштовхують до фішингостійкого MFA. Ця вправа охоплює FIDO2-ключі, push-fatigue і гігієну відновлення.

Спробувати вправу

Обізнаність про credential stuffing

Захоплення клієнтських акаунтів є одним з найбільших джерел шахрайських повернень. Команди клієнтського обслуговування і антишахрайства вивчають шаблон атаки і реагування.

Спробувати вправу

Загрози, які охоплює ця програма

Перейдіть до тематичного посібника для кожного типу атаки та до вправ, що тренують захист від нього.

Що таке тренінг з обізнаності з безпеки для фінансових послуг?

Тренінг з обізнаності з безпеки для фінансових послуг - це регулятивна освітня програма, яка готує персонал банків, кредитних спілок, брокер-дилерів і фінтеху розпізнавати та відмовлятися від спроб соціальної інженерії, фішингу і шахрайства, націлених на фінансові робочі процеси. Він обовʼязковий, у різних формах, за GLBA Safeguards Rule (16 CFR Part 314), NYDFS 23 NYCRR 500.14(a)(3), рекомендаціями FFIEC та PCI DSS v4.0 вимога 12.6.3.

На практиці тренінг для фінансових послуг має робити більше, ніж навчати загальному виявленню фішингу. Він має відпрацьовувати рольові рішення для затвердження переказів, перевірки змін постачальників, автентифікації касирів, тріажу захоплень акаунтів та гігієни облікових даних в ІТ. Експерти тепер вимагають доказів зміни поведінки та впровадження фішингостійкої автентифікації, а не записів про проходження.

RansomLeak проводить навчання через інтерактивні 3D-симуляції, а не пасивні відео. Платформа експортує SCORM 1.2 та 2004 у будь-яку банківську LMS, надає готові до аудиту пакети доказів, повʼязані з GLBA, NYDFS Part 500, FFIEC та PCI DSS v4.0, і включає сценарії для BEC, імперсонації для шахрайства з переказами, діпфейк-дзвінків CEO, вішингу, credential stuffing і фішингу для облікових даних SWIFT. Офіцери з відповідності отримують один експорт на цикл аудиту.

Часті запитання

Що найчастіше запитують покупці у галузі фінансових послуг.

Чи відповідає тренінг RansomLeak вимогам NYDFS 23 NYCRR Part 500?

Так. Каталог відповідає Розділу 500.14(a)(3) щодо тренінгу з обізнаності з кібербезпеки та очікуванням 500.14(a)(2) щодо фішингостійкої автентифікації, введеним у другій поправці 2023 року. Записи про проходження та індивідуальні звіти про докази оформлено у структурі, яку зазвичай вимагають експерти NYDFS.

Як навчання відповідає FTC Safeguards Rule?

Поправки 2024 року до GLBA Safeguards Rule на 16 CFR Part 314.4(e) вимагають, щоб небанківські фінансові установи проводили тренінг з обізнаності з безпеки та підтримували його актуальність відповідно до оцінки ризиків. Каталог охоплює всі категорії, названі у правилі, та оновлюється щомісяця при появі нових шаблонів загроз.

Як часто персонал фінансових послуг має проходити повторне навчання?

Більшість регуляторів очікують принаймні щорічного навчання плюс рольових оновлень після суттєвих змін у системах чи загрозах. Провідні банки тепер проводять повне щорічне оновлення плюс щомісячні мікромодулі. RansomLeak підтримує обидва ритми, а шаблони призначення автоматично обробляють рольовий контент.

Чи охоплюєте ви діпфейки та атаки на основі AI?

Так. Каталог містить окремі вправи для клонування голосу за допомогою діпфейків, фішингу на базі AI та китобійного фішингу з діпфейк-відео. Команди казначейства і фінансів тренують протоколи перевірки поза каналом, що зупиняють шахрайство з AI-клон-голосовими переказами незалежно від того, наскільки переконливим є аудіо.

Чи може платформа експортувати докази до нашої LMS для аудиту?

Кожна вправа експортується як пакет SCORM 1.2 та SCORM 2004, протестовано з 50+ LMS, включно з Cornerstone, Workday, SAP SuccessFactors, Saba, Moodle та Docebo. Звіти про проходження, оцінки, час виконання та охоплення тем по кожному співробітнику експортуються у PDF, CSV та Excel для перевірки експертом.

Чи охоплює контент вимогу 12.6 PCI DSS v4.0?

Так. Вимога 12.6.3 встановлює обовʼязкове щорічне навчання з фішингу та соціальної інженерії, актуальної для середовища даних карток, з майбутніми контролями v4.0, що набувають чинності у 2025 році. Вправи з фішингу, вішингу та credential stuffing безпосередньо відповідають мові вимог і дають готові для експертів докази.

Чим це відрізняється від інструменту фішинг-симуляцій?

Фішинг-симуляції перевіряють, чи натисне хтось на посилання. Інтерактивні симуляції навчають звичкам перевірки, що запобігають натисканню, а також робочим процесам перевірки переказів, змін постачальників та повідомлення про інциденти, які жоден тест на основі електронних листів не може відпрацювати. Більшість банків використовують обидва підходи: симуляції як вимірювальний шар над поведінковим навчанням.

Запустити цю програму у галузі фінансових послуг

Запишіться на 30-хвилинну демонстрацію, адаптовану під ваш персонал, LMS та аудиторський графік.