Руководитель Комитета Ассоциации российских банков по информационной безопасности Андрей ФЕДОРЕЦ cпециально для Национального банковского журнала (NBJ) прокомментировал опубликованный 9 июня проект указания Банка России «О внесении изменений в Положение Банка России от 17 августа 2023 года № 821-П».

Анализ указания позволяет понять, что он, в целом, обеспечивает гармонизацию требований Положения  Банка России от 17 августа 2023 года № 821-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований  к обеспечению защиты информации при осуществлении переводов денежных средств» (далее – Положение Банка России № 821-П), а также установления дополнительных требований по защите информации для субъектов национальной платежной системы.

Так, из 821-П вывели отсылку к недействующему ныне Положению Банка России №683-П и ввели ссылку на актуальное Положение № 851-П «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента». Это касается и некоторого ряда других НПА, действие который на сегодня расширено новыми Указаниями Банка России.

Что касается повышенных требований, которые вводятся проектом Указания, то эти требования на самом деле не расширяют существующие, а сводят множество требований, существующих в разнородных документах в единые, которые теперь будут приводиться в Положении Банка России № 821-П.

Если, например, в явном виде требования к расчету значений показателей оценки выполнения требований к мерам защиты информации в отношении технологии безопасной обработки защищаемой информации и оценки выполнения требований к мерам защиты информации в отношении прикладного программного обеспечения автоматизированных систем и приложений в явном виде не указывались, но без их реализации невозможно было сделать отчетность по результатам аудита ГОСТа (форма 0409071). Теперь такие требования будут указаны в явном виде, но это повлечёт дополнительные расходы как со стороны вендоров банковского ПО, так и для организаций финансовой сферы, которые используют такое ПО.

Также, для множества субъектов в явном виде определяются права на реализацию процессов разработки программного обеспечения и приложений, включающих меры обеспечения безопасного жизненного цикла разработки программного обеспечения и приложений. Такая конкретизация также повлечёт достаточно высокие расходы на различные процессы аудита и приведения процессов разработки ПО к жизненно необходимым действиям, ведь множество утечек данных происходит в организациях, которые используют программные продукты, не проходящие ранее жесткие процедуры аудита жизненного цикла и контроля качества реализации требований информационной безопасности.

Это же касается и установления обязанности реализовывать наиболее высокий из требуемых нормативными актами Банка России уровень защиты информации, в случае если в отношении объектов информационной инфраструктуры субъекта НПС действуют требования, установленные Центральным банком. Де-факто такие требования были, однако де-юро они не были описаны и их применение следовало из других НПА, что позволяло не так бережно относиться к их исполнению.

Исходя из этого, следует то, что ввод изменений в 821-П не ужесточает, а оформляет в едином документе множество разнообразных требований, при определении в явном виде списка субъектов финансовой сферы, что, при первом взгляде, выглядит ужесточением, однако таковым на самом деле не является. Но, конечно же, подобный подход потребует действительной реализации множеством организаций требований Центрального банка по защите информации и реальным подходам к информационной безопасности организаций. И да. Это увеличит расходы организаций, особенно не очень крупных, которые ранее могли их фактически не исполнять.