IT and Cyber Security Risk

IT risk is part of operational risk but has grown with core banking systems, mobile banking, cards, QR and ATM networks.

Common threats: phishing and social engineering, card skimming, SIM swap and OTP fraud, ransomware, insider misuse, DDoS attacks on payment systems, and failure of core banking or data centres.

Typical controls: IT governance and an information security policy, role-based access and multi-factor authentication, encryption, patching, network segmentation, logging and a security operations centre, vendor risk management, staff awareness, incident response and reporting, and a tested Disaster Recovery / Business Continuity Plan.

Nepal framework:

• NRB issued IT Guidelines (2012) for BFIs and Cyber Resilience Guidelines 2023 for institutions licensed by its Payment Systems Department, such as payment system operators and payment service providers.
• Directive 5 requires DR/BCP drills every year and only chip-based cards.
• The Electronic Transaction Act, 2063 defines computer-related offences.

सूचना प्रविधि जोखिम सञ्चालन जोखिमकै अंश हो, तर कोर बैंकिङ, मोबाइल बैंकिङ, कार्ड, क्यूआर र एटीएम सञ्जाल बढेसँगै यसको महत्त्व बढेको छ।

सामान्य खतरा: फिसिङ र सामाजिक इन्जिनियरिङ, कार्ड स्किमिङ, सिम स्वाप र ओटीपी ठगी, र्‍यान्समवेयर, भित्री कर्मचारीको दुरुपयोग, भुक्तानी प्रणालीमा DDoS आक्रमण र कोर बैंकिङ वा डाटा सेन्टर अवरुद्ध हुनु।

नियन्त्रण: सूचना प्रविधि सुशासन र सूचना सुरक्षा नीति, भूमिकामा आधारित पहुँच र बहु-तह प्रमाणीकरण, इन्क्रिप्सन, प्याचिङ, नेटवर्क विभाजन, लगिङ र सेक्युरिटी अपरेसन सेन्टर, विक्रेता जोखिम व्यवस्थापन, कर्मचारी सचेतना, घटना प्रतिकार्य र प्रतिवेदन तथा परीक्षण गरिएको विपद् पुनर्लाभ र व्यवसाय निरन्तरता योजना।

नेपालको व्यवस्था:

• राष्ट्र बैंकले IT Guidelines (2012) र भुक्तानी प्रणाली विभागबाट इजाजतप्राप्त संस्थाका लागि Cyber Resilience Guidelines 2023 जारी गरेको छ।
• निर्देशन नं. ५ ले DR/BCP को वार्षिक अभ्यास र चिपमा आधारित कार्ड मात्र जारी गर्न भनेको छ।
• विद्युतीय (इलेक्ट्रोनिक) कारोबार ऐन, २०६३ ले कम्प्युटरसम्बन्धी कसुर परिभाषित गरेको छ।