Во всем мире главным достоинством банка считается его надежность. Поэтому как зарубежные организации, так и Банк России формулируют свои требования и рекомендации к работе банков, в том числе и в сфере информационной безопасности. Компания InfoWatch и сообщество ABISS при поддержке Центробанка и АРБ провели исследование «Стандарт Банка России по ITбезопасности: внедрять или не внедрять?»

Как известно, сегодня наибольшую угрозу безопасности банка несут инсайдеры. С точки зрения IТ, банки - достаточно консервативные структуры с формализованными процессами. Поэтому утечки за счет внешних угроз проявляют себя на порядок менее ярко, чем вопросы, связанные с деятельностью инсайдеров. Стандарт Банка России по IТ-безопасности (СТО БР ИББС-1.0-2006) был создан с целью решить именно эту проблему. Сегодня стандарт носит рекомендательный характер, и поэтому крайне важным остается вопрос применения этого стандарта в российских банках.

ЕЩЕ РАЗ О BASEL II

Международное банковское сообщество уже давно озабочено вопросами стабилизации экономики. Поэтому сегодня существует уже несколько формализованных стандартов банковской деятельности. В частности, договор Basel I предписывал банкам выделять резервный капитал под кредитные и рыночные риски.

Второе базельское соглашение было принято в 2001 году для того, чтобы регламентировать единый подход к управлению рисками в финансовых организациях во всем мире. Это соглашение, принятое базельским комитетом по банковскому надзору и регулированию, уже применяется в ряде стран, в том числе во всех странах Евросоюза, в США, Японии, Индии. Россия планирует присоединиться к базельскому договору в 2009 году.

Basel II предполагает резервирование не только специфических для банков кредитных и рыночных рисков, но также и операционных рисков, в разряд которых попадает деятельность инсайдеров. Надо отметить, что категория рисков, связанных с ИБ, стоит обособленно, поскольку риски, потенциально наносимые инсайдерами, достаточно сложно оценить. При недостаточно защищенной инфраструктуре каждый сотрудник может «вынести» базу клиентов из банка. Но Basel II это стратегический документ, призванный определять грани политики банка в целом, и информационные технологии являются лишь одним из ресурсов, необходимых банку для совершения операций.

Пункт 644 соглашения Basel II определяет операционный риск как «риск убытка в результате неадекватных или ошибочных внутренних процессов, действий сотрудников и систем или внешних событий». То есть, с точки зрения авторов соглашения, неадекватные действия сотрудников (в том числе инсайдерская деятельность) являются проблемой банка, поэтому он должен выделять часть капитала, чтобы покрыть эти риски в случае возникновения конкретного инцидента.

Но как оценить, какой урон могут нанести банку инсайдеры? Не проводить оценку и резервировать под инсайдерские риски избыточный капитал слишком расточительно, поскольку выводить деньги из оборота означает снижать свою прибыльность. Можно ограничить доступ к банковским ресурсам для пользователей. Но это достаточно сложная задача, т. к. все равно остаются принципиально слабые места. При жестких ограничениях начинают страдать сотрудники, которым необходим быстрый доступ к конфиденциальной информации данное неудобство снизит эффективность работы ключевых служащих, что недопустимо. Оптимальным выходом может стать внедрение системы защиты от утечек данных, что позволит точнее оценивать инсайдерские риски.

У российских банков практически нет выбора, ведь к 2009 году они должны будут выполнять хотя бы части требований Basel II. По оценкам экспертов InfoWatch, требованиям договора смогут соответствовать максимум 15 крупнейших банков России.

Впрочем, Basel II предполагает инвестиции в различные сферы IТ - не только в безопасность. Прежде чем оценивать риски и подсчитывать капиталы, банк должен сначала консолидировать информацию со всех филиалов и проверить ее на актуальность и целостность. Такой подход диктует необходимость внедрения централизованной системы хранения данных.

В любом случае банкам лучше начать действовать уже сегодня, поскольку серьезные IТ-проекты требуют времени на свою реализацию, а требования Basel II станут актуальны уже в ближайшие два года.

О СТАНДАРТЕ БАНКА РОССИИ

В отличие от Basel II, стандарт ЦБ РФ ориентирован только на обеспечение безопасности в банках и носит не принудительный, а рекомендательный характер, что, впрочем, может измениться в любое время.

Некоторые специалисты рассматривают стандарт Банка России как структурированный промежуточный этап для перехода к соответствию Basel II. Дело в том, что международный стандарт Basel II описывает лишь общие положения и требования к ИБ, оставляя за банками право самостоятельно выбирать способы их реализации. Стандарт Центрального банка РФ, в свою очередь, предлагает вполне конкретные меры для минимизации операционных рисков и борьбы с инсайдерами. В его основе лежит регламентация жизненного цикла ПО и критерии оценки уровня эффективности средств информационной безопасности как от внутренних, так и от внешних угроз.

То, что стандарт носит риск-ориентированный характер, дает банку только плюсы. Во-первых, появляется возможность оценить уровень рисков по утвержденной свыше методологии. Во-вторых, стандарт не привязывает банк к той или иной системе, оставляя выбор поставщика систем безопасности за банком.

После обнародования стандарта была создана ассоциация ABISS (Association for Banking Information Security Standards - сообщество пользователей стандартов Центрального банка РФ), призванная продвигать его в банковской сфере. ABISS уже сегодня пользуется немалым авторитетом в банковской среде.

В основу стандарта ЦБ РФ легли проверенные положения международных стандартов по управлению IТ-безопасностью (ISO 17799, 13335), а также российские стандарты описания жизненного цикла программных средств и критерии оценки IТ-безопасности (ГОСТ Р ИСО/МЭК 15408-1-2-3). Для оценки уязвимостей и рисков был выбран подход OCTAVE, а также применены некоторые положения британской методологии оценки информационных рисков CRAMM

Кроме того, при подготовке стандарта использованы лучшие практики американского закона SOX, в котором жестко регламентированы средства внутреннего контроля. Стандарт не привязывает банки к конкретным средствам контроля, но четко регламентирует точки, где необходим постоянный контроль, а также принципы хранения историй переписок и сообщений в централизованном архиве, доступ к которому должен иметь только сотрудник службы ИБ.

БАНКИ ПОЧТИ ГОТОВЫ

В этом году компанией InfoWatch и ассоциацией ABISS было проведено исследование «Стандарт Банка России по IT-безопасности: внедрять или не внедрять?», в котором принял участие 101 российский банк. Представители банков ответили на различные вопросы относительно своей инфраструктуры, а также прояснили свою позицию относительно применения стандарта СТО ИББР.

В целом исследование показало позитивную тенденцию повышения интереса банков к стандарту ЦБ РФ. В 2007 году число российских банков, которые проявили желание принять участие в опросе InfoWatch и ABISS, увеличилось вдвое, это говорит о том, что банковский сектор все больше внимания уделяет вопросам ИБ.

Проведенный опрос выявил несколько интересных тенденций. Вопервых, информационные системы российских банков продолжают укрупняться. Сегодня 31% опрошенных банков держит парк компьютеров количеством от 250 до 1000 штук, 11% - менее 100, в то время как 7% банков насчитывает более 10 тыс. рабочих станций.

На фоне этой тенденции любопытен тот факт (рис. 1), что 91% опрошенных успели достаточно подробно ознакомиться с новым стандартом Банка России по информационной безопасности и только 9% считают, что они не знакомы с обсуждаемым документом. Конечно, многие IТ-директоры ждут решения насчет применения или неприменения стандарта, чтобы произвести детальную проработку документа.

Деятельность 5% отечественных банков, принявших участие в исследовании, уже сегодня соответствует стандарту Банка России. Согласно оценкам InfoWatch, в ближайшие два года более 70% банков страны сообщат о планируемых сроках проведения работ по реализации стандарта Банка России. При этом 15% банков вовсе не планируют принимать во внимание стандарт ЦБ РФ. Раз такие банки приняли участие в опросе, значит, вопросы ИБ их интересуют, но они пока не знают, как реализовать проект, ведущий к соответствию стандарту. Эксперты InfoWatch предполагают, что такая задержка связана с грядущими президентскими выборами. Многие хотят проверить, что принесут политические перестановки (если таковые будут), и не хотят спешить внедрять новые системы. У некоторых мелких банков просто нет ресурсов для столь масштабных проектов.

Тем не менее больше трети опрошенных банков (38%) респондентов планируют провести проекты для соответствия стандарту Банка России уже в 2007 году.

ЧЕГО НЕ ХВАТАЕТ?

Большинство опрошенных сообщили о том (рис. 2), что внедрение стандарта затрудняется отсутствием четкой методологии. 49% ожидают большей прозрачности процесса, которая, впрочем, вряд ли появится, пока рынок не накопит приличный опыт внедрений. 40% банков испытывают недостаток IТбюджета для реализации проекта такого масштаба, что также объяснимо - сегодня практически все заняты «урезанием» расходов на IТ, а вопросы информационной безопасности, как известно, являются исключительно затратными. 31% опрошенных отметили неясность экономической эффективности процесса, а 30% пожаловались на полную незаинтересованность руководства банка.

Если же рассматривать новый стандарт по ИБ через призму прямой деятельности банка, то только 34% респондентов высказались в пользу улучшения качества работы банка (рис. 3). Впрочем, негативно настроенных оказалось не так много - всего 5%. Это значит, что позитивные настроения в отношении стандарта всетаки преобладают в банковском сообществе.

Самыми популярными предложениями по облегчению внедрения стандарта оказались идеи выпуска типовых форм документов, на базе которых можно было бы сформулировать всю номенклатуру внедрения, а также расширение стандарта дополнительными руководствами, которые помогли бы уточнить более узкие вопросы. Различные семинары нужны лишь 38% банковских IТ-руководителей. А 48% желают видеть централизованную базу, в которой были бы упорядочены данные об успешных внедрениях стандарта в других банках. И лишь 2% опрошенных (всего два банка) считают, что все условия для практической реализации стандарта уже созданы.

ПРОГНОЗ ОПТИМИСТИЧЕН

Новый стандарт можно считать российской альтернативой западным актам, адаптированной к экономической специфике постсоветского пространства. И хотя не так много банков реализовали стандарт сегодня, до конца десятилетия этот процесс пройдут уже 70% российских банков. Такой прогноз позволяет предположить оптимистичное развитие банковского сектора в России.

Очевидно, по мере прихода в Россию требований Basel II в 2009 году стандарт ЦБ РФ станет носить не рекомендательный, а скорее обязательный характер. Ведь он, по сути, предлагает оптимальный способ обеспечения информационой безопасности и систему защиты от утечек в целом.

Учитывая немалый опыт, который, очевидно, накопится за ближайшие годы, внедрение стандарта ЦБ РФ для российских банков станет наиболее простым способом добиться соответствия требованиям Basel II в области операционных рисков.