Регулятор New Zealand Financial Markets Authority (FMA) опубликовал обличительный обзор фондовой биржи NZX после серии громких распределенных атак типа «отказ в обслуживании», в результате которых оператор в августе прошлого года несколько дней подряд отключался от сети.
NZX является лицензированным оператором рынка, который обязан выполнять конкретные общие обязательства в соответствии с Правилами поведения на финансовых рынках 2013 года.
К ним относятся требования обеспечения справедливых, упорядоченных и прозрачных рынков и наличия достаточных финансовых, технологических и людских ресурсов для их функционирования.
DDoS-атаки на NZX были предсказуемы, обнаружила FMA, отметив, что предупреждения агентства кибербезопасности правительства Новой Зеландии о таких атаках были опубликованы еще в ноябре 2019 года.
Несмотря на это, FMA обнаружила, что реакция NZX на DDoS-атаки была неадекватной и отсутствовала на нескольких уровнях, каталогизируя множество недостатков на единственном в стране рынке акций.
«Планирование антикризисного управления, по-видимому, было рудиментарным и полностью зависело от технологических альтернатив, которые также могут быть недоступны в ходе DDoS-атаки или другого нарушения кибербезопасности», — сказал FMA.
NZX была вынуждена спешно реорганизовать свою сетевую инфраструктуру, переместив многие доступные извне части в Akamai, чтобы справиться с кибератаками.
Неадекватные процессы и дисциплины ИТ-безопасности, введенные только в 2019 году, подверглись резкой критике со стороны FMA.
«В результате, с точки зрения ИТ-безопасности, возникла неоптимальная надежность приложений, плохой сетевой дизайн и незащищенная инфраструктура», — сказал FMA.
По словам FMA, внутренние культурные факторы также способствовали тому, что NZX не располагала достаточными технологическими ресурсами.
FMA критиковала биржу за то, что она не взяла на себя ответственность за известные системные и отраслевые проблемы или за то, что она действовала достаточно быстро, чтобы устранить возникшие проблемы.
«NZX редко принимает вину и не является откровенным и открытым, когда что-то идет не так», — сказал FMA.
В дополнение к августовскому инциденту с DDoS-атакой обзор FMA [pdf] включал более ранние технологические сбои в марте и апреле 2020 года, когда NZX не хватало мощностей на своей платформе для поддержки объемов торговли, испытываемых в то время.
Торговая система NZX также не смогла справиться с нулевой или отрицательной доходностью, проблема, которая возникла, когда процентные ставки пошли вниз в прошлом году.
По мнению FMA, NZX не выполнила своих юридических обязательств.
«Мы рассматриваем ситуацию, когда рынок не может работать в течение своих стандартных временных рамок, как нарушение этого обязательства», — написала FMA.
Однако NZX оспорила эту точку зрения, заявив, что, хотя рынок был закрыт, он не является ни несправедливым, ни беспорядочным, ни недостаточно прозрачным.
Хотя FMA имеет право отозвать лицензию NZX, неясно, сделает ли она это или попросит применить другие санкции.
В декабре прошлого года Международный валютный фонд сослался на то, что торговля на NZX была остановлена на несколько дней, поскольку это может привести к потере доверия по поводу проблем целостности рынка.
Остановка торгов могла спугнуть инвесторов и вкладчиков, чтобы они потребовали возврата средств или аннулировали свои счета, используемые продукты и услуги, заявили в МВФ.
