Заместитель начальника главного управления безопасности и защиты информации Банка России Артем Сычев в кулуарах Международного банковского форума «Банки России — XXI век» рассказал «Новости Банков» о разработке требований к компаниям, оказывающим услуги аутсорсинга на рынке информационной безопасности (ИБ), и о том, что ждет участников Finopolis 2016 в Казани.
— На прошлой неделе SWIFT разослал очередное письмо, в котором, не называя банки, сообщил, что возникли проблемы и необходимо усиливать меры безопасности. По намекам можно понять, что речь идет о серьезных взломах...
— В этих письмах не говорится о чем-то новом. SWIFT обобщил имеющуюся информацию и постарался довести ее до максимального количества клиентов. Я бы расценивал письмо как часть политики, проводимой SWIFT для повышения внимания к вопросам безопасности.
Рекомендации, сформулированные FinCERT, идеально подходят для той ситуации, которую описывает SWIFT
Принцип, примененный в этих атаках, точно такой же, какой мы в свое время видели в атаках на АРМ КБР (автоматизированное рабочее место клиента Банка России.— «Новости Банков»). И рекомендации, сформулированные FinCERT, идеально подходят для той ситуации, которую описывает SWIFT.
— Можно ли говорить, что письмо в первую очередь направлено на борьбу с разгильдяйством банков в вопросах безопасности?
— Мне кажется, речь идет об упорядочении информации.
Банки будут обязаны тестировать свою инфраструктуру на предмет уязвимостей и возможность взлома
Если раньше банк оценивал риски атаки низко, это не значит, что он был разгильдяем. Просто была такая оценка рисков. Теперь есть повод ее пересмотреть.
Мы тоже меняем требования к банкам со, скажем так, общих, организационных на ориентированные на практический результат. Например, банки будут обязаны тестировать свою инфраструктуру на предмет уязвимостей и возможность взлома.
— А как это реально проверять? Ведь у нас больше 600 банков, и атака может происходить не через головной офис, а через один из филиалов в глубинке.
— Есть международный опыт. Глобальные платежные системы оставляют за собой право перепроверки аудита, проводимого независимыми структурами, внешними оценщиками. С нашей стороны будут сформулированы обязательные критерии для организаций, оказывающих услуги такого рода. Дальше возникает вопрос доверия к их работе, но это как раз предмет обсуждения как с смой отраслью, так и с финансовыми организациями.
Сейчас идет разработка рекомендаций в области стандартизации аутсорсинга ИБ
Внешняя оценка ИБ — точно такая же аутсорсинговая услуга, как и любая другая в IT. Но если критерии оценки аутсорсера и качества его работы понятны, то такие же критерии в сфере информационной безопасности пока не сформированы. Именно поэтому сейчас идет разработка рекомендаций в области стандартизации аутсорсинга ИБ. И мы думаем, что ряд критериев можно будет применять к оценщикам ИБ.
— В мировой прессе сейчас много материалов о том, что растет количество взломов не только банков, но и счетов пользователей — через мобильные устройства, например. Насколько эти проблемы входят в вашу сферу ответственности?
— Что касается конечного пользователя, это вопрос не наш. Это к организации, которая ему услуги оказывает. Ущерб конечного потребителя отражается на балансе кредитной организации, и это ее проблема. Но вопрос обеспечения внимания и должного контроля за качеством услуг — это уже зона ответственности Банка России.
Мы будем создавать систему наблюдения за тем, как банки соблюдают сформулированные принципы.
— В октябре в Казани состоится Finopolis, где у вас целая пленарная дискуссия. О чем пойдет речь?
— В этом году у нас будет два направления. Первое — пленарная дискуссия об информационной безопасности в целом. Второе — отдельный разговор об аутсорсинге в этой области.
Проблемы в сфере информационной безопасности имеют трансграничную природу
Дискуссия будет нацелена на обсуждение проблем ближайшего будущего и пути их предотвращения.
Мы очень надеемся на то, что удастся провести интересное мероприятие с точки зрения международного опыта. У нас будут представители Европейского банка, Cyber Security Malaysia, а основной доклад сделает Евгений Касперский. Проблемы в сфере информационной безопасности имеют трансграничную природу.
