What Drives Cyber Losses at U.S. Banks? Potential Statistical Markers
Met behulp van nieuwe individuele gegevens op bankniveau onthult deze studie dat de cyberverliesratio's bij Amerikaanse banken een U-vormige relatie vertonen met de grootte van de bank en primair worden gedreven door idiosyncratische factoren, hoewel meer winstgevende en efficiënte banken de neiging hebben lagere verliesratio's te ervaren wanneer er voor grootte wordt gecontroleerd.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Elke bank bezit een digitale kluis, niet alleen voor geld, maar ook voor de enorme stromen gegevens die de moderne economie draaiende houden. Het beschermen van deze kluizen is een constante strijd tegen cyberaanvallen, die kunnen variëren van kleine storingen tot massale diefstallen die de financiële stabiliteit bedreigen. Jarenlang hebben toezichthouders en bankleiders zich afgevraagd wie het meest kwetsbaar is: zijn het de reusachtige instellingen met complexe, uitgestrekte netwerken, of de kleinere lokale banken met minder middelen om sterke verdedigingen op te bouwen? Om dit te beantwoorden, hebben onderzoekers een manier nodig om het gemiddelde bedrag te meten dat een bank in een typisch jaar zou kunnen verliezen door deze digitale dreigingen. Dit cijfer, bekend als de gemiddelde jaarlijkse loss, dient als een nulmeting voor het begrijpen van risico's en helpt functionarissen beslissen hoeveel verzekering ze moeten kopen of hoeveel ze aan beveiliging moeten uitgeven. Tot voor kort was er echter geen duidelijk beeld van hoe deze potentiële verliezen veranderden naarmate banken groter of kleiner werden, waardoor er een gat ontstond in het begrip van waar de grootste gevaren werkelijk liggen.
Een team onderzoekers van de Federal Reserve Bank of Dallas zette zich in om dit gat te vullen door nieuwe, gedetailleerde schattingen van cyberrisico's te combineren met standaard financiële gegevens van duizenden Amerikaanse banken. Ze gebruikten een geavanceerd modelleringsplatform dat tienduizenden potentiële cyberincidenten simuleert, variërend van datadiefstal en ransomware-eisen tot serviceonderbrekingen. Door deze gesimuleerde verliesgegevens samen met reële cijfers over de prestaties van banken in statistische modellen te voeren, probeerden ze de specifieke factoren te identificeren die deze verliezen doen stijgen of dalen. Hun doel was om voorbij gokwerk te gaan en de werkelijke statistische indicatoren te vinden die wijzen op een hoger of lager risico op financieel verlies door cybergebeurtenissen.
De onderzoekers ontdekten een patroon dat de algemene aanname dat grotere banken simpelweg meer risico lopen, tegenspreekt. In plaats van een rechte lijn waarbij het risico gestaag toeneemt of afneemt met de grootte, onthulden de gegevens een duidelijke U-vorm. Het risico op geldverlies door cyberaanvallen is het grootst voor de kleinste banken en de grootste banken, terwijl het het laagste punt bereikt bij middelgrote instellingen. Deze bevinding daagt het idee uit dat het cyberrisico simpelweg afneemt naarmate banken groter worden. De kleinste banken missen vaak de diepe zakken die nodig zijn om te investeren in robuuste beveiligingssystemen, waardoor ze gemakkelijke doelwitten zijn. Daartegenover staan de grootste banken die, ondanks hun enorme beveiligingsbudgetten, zo complex zijn en dergelijke waardevolle gegevens bevatten dat ze zeer aantrekkelijke, hoog-belonende doelwitten blijven voor aanvallers. Middelgrote banken lijken in een "sweet spot" te zitten, waarbij ze genoeg middelen bezitten om zichzelf effectief te verdedigen zonder de overweldigende complexiteit die reusachtige instellingen kwetsbaar maakt.
Buiten de vorm van de curve om, vonden de onderzoekers dat de omvang van een bank de meest krachtige voorspeller is van het cyberverliespercentage. Zodra de omvang van de bank is meegerekend, hebben andere standaard financiële maatstaven verrassend weinig kracht om te verklaren waarom de ene bank meer verliest dan de andere. Dit suggereert dat het cyberrisico een groot, uniek element bevat dat specifiek is voor elke instelling en dat niet gemakkelijk voorspeld kan worden door enkel naar hun balansen te kijken. Onder de factoren die er wel toe doen, ontdekden de onderzoekers echter dat meer winstgevende en efficiënte banken de neiging hebben om lagere verliespercentages te hebben. Dit impliceert dat banken met een sterke financiële gezondheid en goed management wellicht beter in staat zijn om te investeren in de beveiligingsmaatregelen die verliezen voorkomen, of dat hun operationele discipline zich uitstrekt tot hun digitale verdediging.
De studie vertrouwde op gegevens uit 2023 en richtte zich op "attritionele" verliezen, oftewel de frequente, kleinschalige incidenten die regelmatig voorkomen, in plaats van zeldzame, catastrofale gebeurtenissen die het hele systeem zouden kunnen schudden. Hoewel de cijfers klein zijn — gemiddeld net iets meer dan één basispunt van de omzet van een bank — zijn de patronen die ze onthullen significant voor toezichthouders. De bevindingen suggereren dat een eenheidsbenadering voor cyberrisico onvoldoende is. In plaats daarvan moeten toezichthouders erkennen dat de dreigingen waar een kleine lokale bank mee te maken heeft, fundamenteel verschillen van de dreigingen voor een wereldwijde reus, en dat het middengebied een verrassende mate van veiligheid biedt. Naarmate kunstmatige intelligentie en nieuwe aanvallingsmethoden evolueren, zullen deze basismetingen essentieel blijven voor het begrijpen van hoe het financiële systeem standhoudt tegen de altijd aanwezige digitale dreiging.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.