Банк России разработал новые требования к информбезопасности, соблюдая которые банки должны минимизировать риски киберугроз. Речь идет о привлечении банками для реализации этих функций сторонних компаний. Но далеко не все банки смогут выполнить требования регулятора по нивелированию рисков. И в то же время стандарт не исключает полностью привлечения недобросовестных игроков на аутсорсинг, предупреждают эксперты.
Фото: Антон Белицкий, Коммерсантъ / купить фото
На этой неделе на общественное обсуждение был вывешен проект документа Банка России «Управление риском нарушения информационной безопасности на аутсорсинге», в котором ЦБ указывает на риски для информационной безопасности банка от привлечения аутсорсеров и выдвигает требования по их минимизации. Риски от привлечения сторонних организаций, указывает регулятор, в том, что можно выбрать поставщика, не обладающего нужными знаниями или ресурсами, а также в том, что сам банк может слабо контролировать его действия. Результатом некачественной работы таких компаний может стать появление уязвимости в системе информзащиты банка и даже хищения средств кредитной организации. Стандарт вступит в силу уже с 1 января 2018 года.
Для снижения рисков в этой сфере ЦБ требует от банков разработать политику взаимодействия с аутсорсером, то есть четко определить перечень услуг сторонней компании и список функций, которые осуществляет сам банк. Документ следует утвердить на совете директоров. Также необходимо четко разделить и обозначить сферы ответственности банка и компании-аутсорсера. При передаче существенных функций ЦБ требует от банков проводить периодический мониторинг возможности реализации риска нарушения информбезопасности (на основании собственной оценки или привлеченной консалтинговой компании), а также степень тяжести последствий от реализации риска нарушения информбезопасности (которая напрямую зависит от сумм операций по переводу денег, остатков на корсчетах и т. д.). Банкам, признанным ЦБ системно значимыми (сейчас их 11), регулятор рекомендует о планах передачи определенных функций на аутсорсинг заблаговременно ставить в известность FinCert.
Артем Сычев, заместитель начальника главного управления безопасности и защиты информации Банка России, 2 февраля 2017 года
На Западе ситуация с хищениями гораздо хуже, чем у нас
Повышенное внимание ЦБ к этому вопросу закономерно, признают участники рынка, однако видят определенные риски выполнения данных требований. «Стандарт подразумевает разработку банком большого массива новых документов, которых в большинстве использующих услуги аутсорсеров банков до сих пор не было»,— отмечает эксперт RTM Group Евгений Царев. С ним солидарен и заместитель гендиректора по сервису «Информзащиты» Максим Темнов. «На рынке сейчас есть небольшие банки, где информбезопасностью занимаются всего один-два человека, и они просто не в состоянии проделать тот громадный объем работы, что требует ЦБ для приглашения экспертов на аутсорсинг»,— указывает он. Хотя в целом риски действительно реальны, признают эксперты. «Нередко бывает, что источником атаки на банк является некий интегратор, который имеет прямой доступ к среде разработки в банке, а иногда и доступ к “боевым серверам”»,— отмечает заместитель руководителя лаборатории компьютерной криминалистики компании Group-IB Сергей Никитин.
Сами кредитные организации восприняли документ довольно сдержанно. «По логике стандарт должен исключить возможность привлечения на аутсорсинг фирм типа “Рога и копыта” с низкими ценами и таким же качеством услуг,— отмечает руководитель службы информбезопасности банка из топ-30.— Но стандарт не исключает подобный риск». Да и в целом нужен ли аутсорсинг в сфере информбезопасности при таких требованиях регулятора — большой вопрос, рассуждают банкиры. «В перспективе стоимость аутсорсинга может быть сопоставима по расходам с содержанием собственной службы информбезопасности»,— отмечает глава управления информбезопасности ОТП-банка Сергей Чернокозинский.