Развитие цифровых технологий обработки банковской информации делает особенно актуальным обеспечение информационной безопасности. По данным ФинЦЕРТ (Центра мониторинга и реагирования на компьютерные атаки в банковской сфере), киберхищения сегодня намного более актуальны, чем «классические» ограбления. Деятельность всех финансовых организаций, действующих в Российской Федерации, регулируется Центральным Банком. Здесь производится оценка информационных угроз и возможностей их осуществления, а также расчет финансовых потерь и разработка предложений по их предотвращению. Службы, обеспечивающие защиту банковской информации и тайну платежных операций, в своей работе опираются на документы по информационной безопасности банка, разработанные руководством страны и ЦБ России.

Основные документы по защите информации в российских банках

К ним относятся акты и постановления, касающиеся требований к организации безопасной работы банков, а также положения, разработанные ЦБ РФ. По мере появления новых информационных угроз в них вносятся поправки и дополнения.

Федеральный закон «О национальной платежной системе»

В статьях 27 и 28 этого документа («Обеспечение защиты информации в платежной системе» и «Управление рисками в платежной системе») говорится о том, что ответственными за защиту информации являются:

• организации, занимающиеся переводом денег (операторы платежных систем);
• лица, обеспечивающие поставку оборудования для платежей через электронные системы, а также для электронной переписки с клиентами банков;
• создатели приложений, с помощью которых осуществляются платежи, компьютерных программ для оплаты товаров и услуг, пополнения баланса на электронной банковской карте и выведения с нее наличных денег.

Операторы по переводу денег и оказанию услуг информируют ЦБ РФ о любых происшествиях, связанных с попытками снятия денег со счетов или карт посторонними. Сведения поступают в ЦБ, где имеется база таких данных. В ответ организации получают рекомендации, касающиеся мер противодействия мошенникам и усиления информационной безопасности.

Список инцидентов, связанных с несанкционированными денежными операциями, согласовывается с ФСБ России, размещается в документах ЦБ РФ:

• Стандарт Банка России (СТО БР) «Безопасность финансовых операций»;
• Руководство участника обработки инцидентов (АСОИ) ФинЦЕРТ БР.

Сюда входят, в частности, такие нарушения, как внедрение вирусных программ, размещение в сети текстов запрещенного содержания и фишинговых сайтов, использование мошенниками приемов социальной инженерии.

Положение ЦБ «О требованиях к обеспечению защиты информации»

Здесь указывается, какая информация требует защиты, деятельность каких организаций контролируется ЦБ России. Отмечается, что огласке не подлежат следующие сведения:

• данные о платежных операциях, суммы переводимых денег, условия расходовании денег с банковского счета;
• персональные данные банковских клиентов и владельцев пластиковых карт;
• подробности о способах шифрования информации, использовании аппаратных средств;
• сведения о балансе на банковских счетах или электронных картах.

В документе говорится о том, что необходимо ограничивать доступ сотрудников финансовых учреждений к конфиденциальным сведениям. Требуется обеспечить информационную безопасность на всех этапах обработки и использования секретных данных. Важно исключить несанкционированный доступ в систему посторонних и защитить ее от внедрения вирусных программ. Сделать невозможным похищение денег через интернет, банкомат или платежные терминалы (при осуществлении платежей и снятии наличных сумм).

В учреждениях финансово-кредитного профиля, в том числе и в их филиалах, должна быть служба обеспечения информационной безопасности. Ее задачами являются инструктаж персонала по охране конфиденциальности, разработка и принятие мер защиты, их совершенствование, а также анализ и устранение причин нарушений.

В положении указывается, что для выполнения всех этих требований необходимо следующее:

• продуманная идентификация и аутентификация сотрудников, работающих с конфиденциальной информацией, сведение к минимуму их доступа в систему;
• соблюдение правил авторизации клиентов, использование электронных подписей, фиксирование действий пользователей платежной системы;
• двойной контроль за работой сотрудников при выполнении особо важных операций;
• привлечение сотрудников службы защиты информации к мероприятиям по созданию или усовершенствованию систем информации;
• использование программного обеспечения, сертифицированного ФСТЭК Российской Федерации и отвечающего требованиям информационной безопасности;
• создание инструкций для пользователей интернет-банкинга. В них должна содержаться информация о способах обнаружения вредоносных программ, обновления паролей доступа, защиты от утечки данных;
• соблюдение правил приема, отправления и хранения электронных сообщений, касающихся денежных операций;
• ежегодное тестирование состояния информационной безопасности в финансовых организациях для обнаружения уязвимых мест.

Раз в два года проводится оценка соблюдения мер безопасности операторами платежной системы и услуг финансовой инфраструктуры, выполнения ими требований безопасной работы. Анализ проводит ФСТЭК. 

Оценка дается на основании отчетов, предоставляемых по нескольким формам:

• 0403202 – о требованиях к обеспечению информационной защиты при переводе денег;
• 0403203 – о несоблюдении операторами сроков оказания услуг по переводу денежных средств; 
• 0409258 – о незаконных действиях с электронными картами. 

В положениях ЦБ отмечается, что сведения о совершенных денежных переводах, действиях операторов и возникающих инцидентах (например, выводе денег без ведома клиентов) должны храниться в базе данных в зашифрованном виде на протяжении 5 лет.

Документ Центрального Банка России «Основные направления развития ИБ кредитно-финансовой сферы на 2019-2020 годы»

ЦБ РФ извещает финансовые организации о появлении новых типов кибератак и регламентирует способы реагирования на действия киберпреступников.

В документе говорится о необходимости повышенного внимания к оценке уровней киберриска в каждой кредитно-финансовой организации.

Вносятся предложения по обеспечению их готовности противостоять кибератакам и усилению защиты от подобных угроз. Предлагается порядок оценки информационных рисков, а также материальных затрат на покрытие возможных потерь.

***

В документах, касающихся информационной безопасности банковской системы обсуждаются вопросы защиты конфиденциальных данных и исключения правонарушений в сфере платежных услуг. Руководящую роль в контроле финансовой системы играет Центральный Банк России. Основой работы служб обеспечения информационной защиты в финансовых организациях являются законодательные Положения Центрального Банка. В них говорится об опасности хищений с использованием вирусных компьютерных программ и прямого обмана людей с помощью приемов социальной инженерии. Отмечается важность оценки угроз и рисков похищения персональных данных граждан. Разрабатываются методы противостояния киберрискам и выявления нарушений, связанных с вторжением злоумышленников в информационные системы финансовых организаций.

15.06.2020