Nowe technologie, nowe ryzyko: Jak AI i dyrektywa DORA kształtują cyberbezpieczeństwo w finansach
Sektor finansowy rozwija się w niespotykanym dotąd tempie, a zaawansowane technologie całkowicie zmieniają zasady gry. Ten postęp niesie jednak ze sobą poważne wyzwania. Cyberprzestępcy coraz sprawniej wykorzystują sztuczną inteligencję, zmuszając instytucje do ciągłej zmiany strategii obronnych. Joanna Chmielak, Enterprise Sales Manager w firmie Fortinet wyjaśnia, jak organizacje mogą radzić sobie z napędzanymi przez AI zagrożeniami oraz jaką rolę w budowaniu cyfrowej odporności rynku odgrywają nowe regulacje, w tym dyrektywa DORA.
Jak gwałtowny rozwój zaawansowanych technologii, takich jak sztuczna inteligencja, zmienia fundamenty działania dzisiejszych instytucji finansowych i gdzie pojawiają się największe luki operacyjne?
Joanna Chmielak : Dynamiczny rozwój zaawansowanych technologii zmienia dziś sektor finansowy znacznie szerzej niż tylko na poziomie narzędzi. Banki, ubezpieczyciele i firmy branży fintech nie tyle wdrażają AI, co przebudowują swoje modele działania wokół danych, automatyzacji i chmury. To przyspiesza innowacje, ale jednocześnie powoduje, że instytucje funkcjonują w coraz bardziej złożonym i zależnym ekosystemie technologicznym.
Największe luki operacyjne pojawiają się na styku nowoczesnych usług, starszych systemów oraz rozbudowanego ekosystemu partnerów. Im więcej integracji, usług chmurowych i interfejsów API, czyli mechanizmów umożliwiających łączenie systemów i wymianę danych między nimi, tym trudniej utrzymać pełną widoczność danych i ryzyka. Sektor finansowy, jako część infrastruktury krytycznej, musi dziś zarządzać bezpieczeństwem nie tylko własnych systemów, lecz także całego ekosystemu powiązań. Z raportu SecurityScorecard wynika, że na przestrzeni ostatnich dwóch lat aż 96 proc. europejskich banków odnotowało incydent bezpieczeństwa u partnera trzeciego, a 97 proc. u dostawcy czwartego poziomu.
Wdrażanie nowych technologii zawsze niesie ze sobą ryzyko. Jakie są obecnie najbardziej krytyczne zagrożenia cyberbezpieczeństwa, z którymi sektor finansowy musi się natychmiast zmierzyć?
Joanna Chmielak : Obecnie sektor finansowy mierzy się przede wszystkim z nową generacją zagrożeń, które łączą klasyczne techniki ataku z wykorzystaniem sztucznej inteligencji. Coraz częściej obserwujemy kampanie oparte na deepfake’ach, precyzyjnie przygotowane ataki phishingowe czy próby manipulowania danymi wykorzystywanymi przez modele AI. Firma Anthropic szacuje, że wystarczy już 250 odpowiednio zmanipulowanych dokumentów, aby wpłynąć na sposób działania modelu i obniżyć wiarygodność jego wyników. To szczególnie niebezpieczne, ponieważ może prowadzić do podejmowania błędnych decyzji biznesowych na podstawie fałszywych informacji.
Drugim krytycznym obszarem jest bezpieczeństwo łańcucha dostaw i zależności między instytucjami. Cyberataki coraz rzadziej są wymierzone bezpośrednio w bank, a częściej w jego partnerów lub dostawców. Równolegle nie znikają groźby, które znamy od lat – jak ransomware czy kradzież tożsamości – ale dziś są one znacznie bardziej zautomatyzowane i trudniejsze do wykrycia. W efekcie instytucje finansowe muszą jednocześnie radzić sobie z nowymi, zaawansowanymi scenariuszami ataków oraz rosnącą skalą dobrze znanych zagrożeń.
W jaki sposób banki i firmy fintech mogą skutecznie balansować między potrzebą wdrażania szybkich innowacji a koniecznością spełniania coraz surowszych wymogów regulacyjnych?
Joanna Chmielak : W sektorze finansowym nie wystarczy już szybko wdrożyć nowej usługi, aplikacji czy modelu AI. Nowe rozwiązania trzeba projektować tak, by od początku spełniały wymogi odporności operacyjnej, zarządzania ryzykiem, ochrony danych i nadzoru nad partnerami. Widać to wyraźnie w podejściu regulatorów – w Unii Europejskiej rośnie znaczenie rozporządzenia DORA, które porządkuje zasady odporności cyfrowej i wzmacnia nadzór m.in. nad ryzykiem związanym z podmiotami trzecimi. Jednocześnie, jak wskazuje raport Fortinet 2025 State of Operational Technology and Cybersecurity, dwie na trzy firmy na świecie spodziewają się dalszego wzrostu presji regulacyjnej w najbliższych latach.
W praktyce oznacza to, że banki i firmy fintech powinny rozwijać innowacje w modelu „compliance by design”, czyli uwzględniać wymogi regulacyjne już na etapie projektowania. Najlepiej radzą sobie te podmioty, które upraszczają architekturę, ograniczają liczbę silosów i budują wspólne standardy dla bezpieczeństwa, ryzyka i zgodności. To pozwala szybciej wdrażać nowe rozwiązania, a jednocześnie lepiej kontrolować ich wpływ na stabilność operacyjną. Innymi słowy, w finansach przewagę zyskują dziś nie ci, którzy wdrażają najwięcej, ale ci, którzy potrafią robić to szybko, spójnie oraz w sposób możliwy do obrony podczas audytów i kontroli.
Prywatność danych to kluczowa kwestia z perspektywy konsumentów. Jak podmioty finansowe mogą budować i utrzymywać zaufanie klientów, gdy ich usługi w tak dużym stopniu opierają się na zaawansowanej analizie ogromnych zbiorów danych?
Joanna Chmielak : Zaufanie klientów w sektorze finansowym zależy dziś od tego, czy instytucje mają realną kontrolę nad danymi – nie tylko je zabezpieczają, ale też potrafią pokazać, jak są wykorzystywane. Problem nie polega już wyłącznie na zapobieganiu wyciekom, ale również na tym, w jaki sposób dane są wykorzystywane w modelach analitycznych i systemach bazujących na sztucznej inteligencji. Klienci często nie mają pełnej świadomości, gdzie trafiają ich dane i jakie decyzje są na ich podstawie podejmowane, choć to właśnie te decyzje – kredytowe, ubezpieczeniowe czy inwestycyjne – mają dla nich bezpośrednie konsekwencje.
Dlatego kluczowe staje się zapewnienie widoczności przepływu danych oraz kontroli nad ich użyciem w całym cyklu życia. W praktyce oznacza to zarządzanie dostępem do informacji, monitorowanie, gdzie i w jakim celu dane są wykorzystywane oraz minimalizowanie ryzyka ich niekontrolowanego udostępniania, także w narzędziach opartych na AI. To szczególnie istotne w sytuacji, gdy nawet niewielka liczba zmanipulowanych danych może wpłynąć na działanie modeli. W efekcie zaufanie przestaje być wyłącznie kwestią komunikacji, a staje się bezpośrednim wynikiem tego, czy instytucja potrafi wykazać, że panuje nad danymi w całym cyklu ich życia.
Wiele tradycyjnych instytucji finansowych nadal korzysta z przestarzałych systemów. Jakie są największe przeszkody i ryzyka związane z integracją nowoczesnych rozwiązań technologicznych z tą starszą infrastrukturą?
Joanna Chmielak : Największym wyzwaniem nie jest dziś samo istnienie starszych systemów, ale sposób, w jaki są one łączone z nowoczesnymi rozwiązaniami. W wielu instytucjach finansowych nowe technologie nie zastępują istniejącej infrastruktury lecz są do niej „doklejane”, co prowadzi do powstawania złożonych i trudnych w zarządzaniu środowisk. Każda taka integracja zwiększa ryzyko błędów konfiguracyjnych, luk bezpieczeństwa oraz utraty kontroli nad przepływem danych.
Drugim istotnym problemem jest ograniczona widoczność i spójność zarządzania w takim hybrydowym środowisku. Starsze systemy często nie były projektowane z myślą o dzisiejszych wymaganiach w zakresie bezpieczeństwa czy integracji, co utrudnia wdrażanie jednolitych polityk ochrony. W efekcie instytucje muszą utrzymywać równolegle różne standardy i mechanizmy zabezpieczeń, co zwiększa złożoność operacyjną i podatność na incydenty. Na styku tych dwóch światów – starego i nowego – często pojawiają się luki, które mogą zostać wykorzystane przez atakujących.
Czynnik ludzki pozostaje niezastąpiony, ale rynek pracy się zmienia. Jak branża radzi sobie z obecną luką kompetencyjną i w jaki sposób przygotowuje pracowników na zarządzanie nowymi rodzajami ryzyka technologicznego?
Joanna Chmielak : Luka kompetencyjna w cyberbezpieczeństwie to dziś jedno z największych wyzwań dla sektora finansowego i całej gospodarki. Z raportu Fortinet wynika, że aż 86 proc. firm na świecie doświadczyło w ciągu ostatnich 12 miesięcy naruszenia bezpieczeństwa. Jednocześnie niedobór specjalistów znacząco wydłuża czas reakcji na incydenty i zwiększa ich skalę. W praktyce oznacza to, że organizacje nie tylko muszą mierzyć się z coraz bardziej zaawansowanymi zagrożeniami, ale często nie mają wystarczających zasobów, by odpowiednio szybko na nie reagować.
W odpowiedzi na ten problem firmy coraz częściej łączą rozwój kompetencji pracowników z automatyzacją i wykorzystaniem sztucznej inteligencji. Zamiast polegać wyłącznie na rozbudowie zespołów, inwestują w rozwiązania, które wspierają analizę incydentów i pozwalają lepiej zarządzać ogromną liczbą alertów. Jednocześnie rośnie znaczenie szkoleń i budowania świadomości wśród pracowników, którzy pozostają pierwszą linią obrony. W efekcie przygotowanie do nowych rodzajów ryzyka technologicznego nie opiera się już tylko na wiedzy specjalistycznej, ale na połączeniu kompetencji ludzi i narzędzi, które pozwalają działać szybciej i bardziej precyzyjnie.
Patrząc w przyszłość, która z nowo powstających technologii stanowi według Pani największe, a wciąż niedoceniane ryzyko dla długoterminowej stabilności rynków finansowych?
Joanna Chmielak : W perspektywie najbliższych lat jednym z najpoważniejszych, a wciąż niedoszacowanych zagrożeń dla sektora finansowego jest rozwój technologii kwantowej. Eksperci wskazują, że w horyzoncie 5–10 lat może dojść do przełomu, który podważy bezpieczeństwo obecnie stosowanych mechanizmów kryptograficznych. W praktyce oznaczałoby to możliwość łamania zabezpieczeń chroniących transakcje finansowe czy komunikację w czasie liczonym nie w latach, lecz w godzinach. Co istotne, zagrożenie to ma już dziś wymiar praktyczny – scenariusz „zbierz teraz, odszyfruj później” zakłada, że dane przechwycone przez cyberprzestępców obecnie mogą zostać wykorzystane w przyszłości, gdy technologia kwantowa osiągnie odpowiednią dojrzałość.
Jednocześnie sektor finansowy, jako element infrastruktury krytycznej, musi mierzyć się z równoległym przyspieszeniem zagrożeń związanych z AI. Sztuczna inteligencja zwiększa skalę i skuteczność ataków, umożliwiając m.in. tworzenie wiarygodnych oszustw czy manipulowanie danymi wykorzystywanymi przez systemy analityczne. W efekcie instytucje finansowe funkcjonują dziś w środowisku skumulowanych ryzyk – krótkoterminowych, związanych z automatyzacją ataków oraz długoterminowych, wynikających z rozwoju technologii kwantowej. Połączenie tych dwóch trendów sprawia, że cyberbezpieczeństwo przestaje być wyłącznie kwestią operacyjną, a staje się jednym z kluczowych czynników stabilności całego systemu finansowego, a pośrednio również gospodarki kraju.
Mariusz Gryżewski
Dodaj komentarz