К изданию готовится третья редакция Стандарта ЦБ РФ «Обеспечение информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС-1.0-2006)». Что это за документ, для чего он нужен, каков его статус? Какие кары грозят тем банкам, которые не захотят его внедрять? Соответствует ли он международным регламентам?

Эти и другие вопросы обсуждались на заседании круглого стола в Банке России. В нем приняли участие Михаил Сенаторов, заместитель председателя ЦБ РФ, директор Департамента информационных систем; Андрей Курило, зам. начальника ГУ безопасности и защиты информации ЦБ РФ; Юрий Лаврухин, начальник Управления Федеральной службы по техническому и экспортному контролю (ФСТЭК России).

Вел разговор генеральный директор НБЖ Владимир Снегирев.

РЕКОМЕНДОВАТЬ НЕ ЗНАЧИТ НАСТАИВАТЬ

НБЖ: Первая версия Стандарта появилась в 2004 году, он уже пережил два издания, скоро ожидается третье. Почему появилась необходимость вводить подобный стандарт? Были ли какие-либо инциденты, связанные с утечкой важных сведений из-за недостаточного уровня информационной безопасности в коммерческих банках или самом ЦБ? Как велась работа над Стандартом, кто принимал в ней участие?

М. СЕНАТОРОВ: - В начале века утечки данных действительно были. Многие помнят появление на рынке баз данных по платежам Московского региона. Естественно, пришлось проводить большую работу внутри Центробанка, были привлечены специалисты разных подразделений, создана рабочая группа, которая занималась анализом ситуации и выработкой рекомендаций по закрытию возможных «мест», через которые могла пройти утечка. Потребовалось создание такого документа, как «Требования по информационной безопасности в Банке России». Андрей Петрович Курило был одним из авторов этого документа.

А. КУРИЛО: - Мы создали специальный технический подкомитет по информационной безопасности при Госстандарте с участием ФСТЭК. В него вошли представители 16 крупнейших кредитных организаций России и Государственного научно-исследовательского института проблем технической защиты информации при ФСТЭК.

Разработка положений осуществляется следующим образом: действует инициативная группа, в которую входят представители различных структур. Группа под эгидой Банка России работает над проектами будущего Стандарта. Затем ЦБ вносит проекты в технический комитет, который их рассматривает, готовит свои заключения и замечания, дорабатывает его и затем рекомендует Банку России ввести Стандарт в действие.

Вторая редакция Стандарта, принятая в 2006 году, подготовлена именно так. Это позволяет уже на уровне технического комитета снимать множество вопросов, которые возникают у банков при практическом применении документов. Для реализации и внедрения Стандарта создано сообщество ABISS, которое сейчас играет заметную роль в банковской системе. ABISS - некоммерческая организация, ее деятельность контролируется координационным комитетом, председателем которого является президент АРБ Гарегин Тосунян. В состав комитета входят также участники нашего круглого стола Михаил Юрьевич Сенаторов и Юрий Николаевич Лаврухин. В ABISS принимаются банки, которые хотят соответствовать Стандарту ЦБ. В нее вошло уже более 25 банков, их число растет с каждым годом.

НБЖ: Как согласуется принятие на себя Центробанком функции регулятора в области информационной безопасности с целями, задачами и полномочиями ЦБ, установленными федеральным законодательством?

Ю. ЛАВРУХИН: - Существуют федеральные органы исполнительной власти, которые устанавливают правила игры в области информационной безопасности. По части технической защиты информации - это наша Федеральная служба по техническому и экспертному контролю. Она подведомственна Министерству обороны. На нас возложено все, что касается решения задач технической защиты информации некриптографическими методами защиты.

Есть еще целый ряд органов федеральной исполнительной власти, которые эту задачу решают. И по документам, которые они разрабатывают, живет вся страна. Вместе с тем наш совместный с Центробанком анализ показал, что существуют особенности защиты именно банковской информации. Нынешний Стандарт разрабатывался с их учетом. Сейчас ведется аналогичная работа по созданию таких стандартов для других отраслей. Кстати добавлю, что в разработке Стандарта участвовала головная научно-исследовательская организация по технической защите информации в стране наш институт работал над тем, чтобы Стандарт не противоречил документам федерального уровня, чтобы все там было сбалансировано.

DRESS-СODE ПО СТАНДАРТУ

НБЖ: Вопросы для этого круглого стола мы готовили совместно с представителями банков. Главный вопрос, который их волнует: будет ли Стандарт Банка России обязательным для исполнения всеми участниками рынка? Кроме того, некоторые отмечают, что Стандарт по многим вопросам «расплывчат».

М. СЕНАТОРОВ: - Он создан на основе международных стандартов, но отличается тем, что специально ориентирован на вопросы защиты информации именно в банковской сфере и адаптирован к нашим условиям. Стандарт информационной безопасности был разработан для Банка России, но поскольку он носит достаточно широкий характер, им могут пользоваться и коммерческие банки. Кстати, часть из них уже поняла пользу этого документа. По существующей практике стандарты информационной безопасности и все международные стандарты не являются обязательными. Их соблюдение носит добровольный характер. Но если вы хотите соответствовать определенному уровню, то должны придерживаться этих стандартов. Это похоже на ситуацию с дресс-кодом. Скажем, он рекомендован в вашей компании, и те, кто его не придерживается, выглядят, как белые вороны.

А чего хотят банки, когда говорят о «расплывчатости»? Они хотят, чтобы мы записали в этом Стандарте, что Иванов, Петров, Сидоров должны стоять на левом краю, другие - на правом краю, этот играет по центру, а этот - вратарь. Такого не будет, потому что каждый банк уникален, у всех свои особенности работы, свои группы клиентов. Есть розничные банки, которые работают главным образом с физическими лицами. Для них основным документом является закон о защите персональных данных физических лиц. Другие работают с корпоративными клиентами. Там иные требования.

Я понимаю, почему у банков возникает этот вопрос. В последнее время аудиторские компании стали у них спрашивать: знакомы ли вы со Стандартом? Банки отвечают: знакомы. Вы выполняете рекомендации Стандарта? Да, выполняем. Покажите.

Все чаще надежность банка определяется, исходя из параметров, связанных не только с финансовой деятельностью. С какими провайдерами они работают, какие системы защиты используют, как эти системы структурированы, как ведется анализ информации о сбоях, каким образом управляется система выхода из сбоев? Это все - вопросы устойчивости и надежности банка. Потому аудиторы и стали обращать на них внимание. Подчеркну еще раз - никто не собирается делать Стандарт СТО БР ИББС обязательным!

А. КУРИЛО: - Я бы хотел добавить насчет «расплывчатости». Нельзя останавливаться только на первой книге, Стандарте «Основные положения». Рядом следует положить методику оценки соответствия требованиям основного документа, а также рекомендации по системе документов. В методике содержится более 400 вопросов, очень конкретных. И чтобы ответить на них, надо опереться на определенные документы, изучить конкретную технологию или участок технологии и только после этого определять: соответствует банк Стандарту или нет.

НБЖ: Аудиторы так и делают?

М. СЕНАТОРОВ: - Перед аудиторами, которые приходят проверять банк, не стоит задача аудита IT-безопасности. Это совершенно отдельная область, которая только развивается. Подготовленных людей и методик, по которым все могут одинаково работать, практически нет.

Мне кажется, что только лет через десять ЦБ введет довольно жесткие требования по защите информационной безопасности, которые будут предъявляться аудиторами. Это неизбежно, потому что вопрос защиты информации объективно становится все более важным для нормального функционирования банковской системы.

НБЖ: А что говорят банки, которые не хотят внедрять Стандарт?

М. СЕНАТОРОВ: - Все крупные банки понимают, что вопросы информационной безопасности для них очень важны. Поэтому они либо используют Стандарт Банка России, либо с помощью международных консультантов, привлеченных для создания систем защиты, приводят свою деятельность в соответствие с другими международными стандартами.

Во всех этих банках работа ведется, они прекрасно выстроены в этом фарватере. Что касается мелких банков, то среди них распространено мнение «зачем защищаться, если у меня всего два-три айтишника?» Не хотят тратиться. Понять их можно. Когда у тебя большой коллектив, создать систему контроля и управления организационно сложно, но людей для этого достаточно. Когда же банк небольшой, надо увеличивать штат, создавать рабочие места, а это дополнительные расходы.

А. КУРИЛО: - Интересна статистика, которую мы собрали. Оказывается, банки, которые не планировали входить в систему страхования вкладов, не хотели реализовывать и требования Стандарта. Но я считаю, это больше психологическая проблема. Многие банки надеются, что сойдет и так. А надо, чтобы они начали думать по-другому.

Ю. ЛАВРУХИН: - Я тоже считаю, что этот Стандарт должен остаться рекомендательным. Ведь банки, участвующие в работе со сведениями, составляющими государственную тайну, обязательно придерживаются государственных нормативных документов по этому вопросу. Приняты серьезные документы по защите персональных данных в целом по стране, и банки тоже выполняют их требования. Все части этой системы развиваются, не должно возникать впечатления, что по информационной безопасности все факультативно.

ЕЩЕ ОДИН ПОВОД УСПОКОИТЬСЯ

НБЖ: Очень многие банки считают, что не существует единой методологии внедрения Стандарта. Так ли это? Какие изменения будут в третьей редакции? Что должен делать банк, если он решил соответствовать Стандарту?

А. КУРИЛО: - Это немного устаревшая точка зрения. Сейчас существует пять документов, которые достаточно серьезно разъясняют методологию.

Во-первых, это «Стандарт. Основные положения» - версия 2006-го года. С учетом многочисленных замечаний уже подготовлена третья редакция, которая многие вопросы снимет. Уточнена терминология и изменены некоторые настройки.

Второй основательно переработанный документ - «Методика оценки соответствия требованиям стандарта». К примеру, по методике не очень точно считались показатели уровня соответствия Стандарту. Почему? Потому что в ней порядка четырехсот вопросов. Иногда возникала ситуация, когда в банке даже не было того бизнеса, который оценивается с помощью методики. И не было механизма, который помог бы исключить ненужные вопросы. Банк был вынужден отвечать на них отрицательно, эти ответы резко снижали качество оценки. Сейчас разработан специальный подход, с помощью которого ненужные вопросы исключаются, поэтому методика уже более точно позволяет оценивать ситуацию.

В комплект документов входит также «Стандарт аудита информационной безопасности», предназначенный в основном для компаний, которые будут проводить внешний аудит, и носящий также рекомендательный характер. Кроме того, есть методические разъяснения того, какой комплект документов должен существовать в банке, если он соответствует требованиям Стандарта. В «Методике проведения самооценки» даны рекомендации банку, который хочет провести самооценку. Дело в том, что, руководствуясь Стандартом ЦБ РФ, любой банк может оценить свою ситуацию по шкале зрелости. Это очень удобно, потому что после этого уже можно разрабатывать план по устранению замечаний. Как это делать самостоятельно или с приглашенными консультантами, банк определяет сам. Кстати, цены за проведение оценки состояния банка привлеченными специалистами, на мой взгляд, невысоки Банк России, например, платит менее двух миллионов рублей за конкретную работу по оценке соответствия.

Именно с учетом всего вышесказанного Стандарт Банка России можно считать довольно мягким. Он адаптирован к нашим условиям и создавался с учетом того, что уровень безопасности в банках разный, и предстоит большая работа по повышению этого уровня во всей банковской системе в целом. Весь перечень документов опубликован на сайте ABISS. Я бы рекомендовал банкам, которые хотят «подтянуть» свое соответствие Стандарту, обращаться в это сообщество. Будучи его членом, банк имеет возможность получать компетентные консультации из первых рук.

НБЖ: Андрей Петрович, вы можете привести какой-нибудь пример из практики - как внедрение Стандарта улучшило или ухудшило ситуацию в банке?

А. КУРИЛО: - Пожалуйста. Существует очевидная проблема - отключение электроэнергии. Это довольно часто случается. Электроэнергия отключается, затем через некоторое время снова подается. Был случай, когда в это время электрики внешних сетей переключили фазы между собой, система бесперебойного питания не почувствовала это и пропустила энергию дальше, на сервера, а они остановились. В результате «падает» АБС, все останавливается и наступает анархия в деятельности коллектива офиса.

После этого начинается процедура восстановления. Тут выясняется, что источники бесперебойного питания не соответствуют необходимым требованиям и всплывает целый ряд других неучтенных проблем.

Стандарт же рекомендует следующее: оцените всю инфраструктуру, связанную с проблемой обеспечения электроэнергией, отстройте ее нормально - поставьте источники питания, отключите дополнительных потребителей и т.д. Следующая рекомендация: проведите тренировку персонала на случай отключения. В Стандарте все предусмотрено.

Мне известны примеры, когда после того как банк отладил всю процедуру по энергообеспечению с учетом рекомендаций, аварийные отключения перестали носить катастрофический характер.

Мне известны примеры, когда после того как банк отладил всю процедуру по энергообеспечению с учетом рекомендаций, аварийные отключения перестали носить катастрофический характер.

НБЖ: ЦБ РФ будет контролировать соблюдение Стандарта? Какие действия будут предприниматься в отношении тех банков, которые ему не соответствуют? Будут ли какие-то преференции у тех, кто выполняет рекомендации?

М. СЕНАТОРОВ: - Вопрос о контроле находится в самой начальной стадии обсуждения. А вот вопрос о преференциях даже пока не рассматривается.

Что касается контроля, то все те специалисты Банка России, с которыми я обсуждал эту тему, высказывали мнение: будет контроль проводиться или нет - его результаты не будут учитываться при выведении суммарной оценки по результатам обследования. Это рекомендательная технология. Такая практика полностью соответствует практике работы Федеральной резервной системы США. Там аудиторы, которые изучают уровень информационной безопасности, оценивают ситуацию на рекомендательном уровне. В инспекционный акт инспекторской проверки эти данные не записываются. Выдаются лишь некие рекомендации. Наказывать за невыполнение требований безопасности нельзя, наоборот - необходимо способствовать тому, чтобы эти требования выполнялись.

Ю. ЛАВРУХИН: - Я хочу подчеркнуть важный, на мой взгляд, момент. Этот Стандарт никто никому не навязывает. Но он нужен банку. Для чего? Чтобы банк был уверен, что он будет функционировать без утечки информации, что в системах, которые сегодня внедряются, завтра не будет сбоя. Мне бы хотелось, чтобы наше обсуждение помогло банкам это понять.

М. СЕНАТОРОВ: - Аудит подтверждает достоверность финансовой информации банка за проверяемый период. Это его основная задача. Проверяя банк, аудитор пишет так называемый комментарий к проверке, который является закрытым документом и предоставляется только руководству банка. Если там, например, речь идет о «аудите информационной безопасности», то руководителю банка сообщается о том, что в этой области есть проблемы. Подчеркиваю - это делается только для руководства банка. Никаких рейтингов соответствия никто и никогда публиковать не будет, ведь эта информация может повредить имиджу банка. Она в определенной степени субъективна, именно потому является закрытой. Руководитель банка сам решает, что с ней делать.

НБЖ: Соответствует ли Стандарт ЦБ международным стандартам и нормам? Какова международная практика? Например, разрабатывает ли Федеральная резервная система в США требования по информационной безопасности для американских банков?

А. КУРИЛО: - Существует международный комитет по стандартизации - ISO. В него входит ряд подкомитетов, разрабатывающих стандарты по безопасности, в том числе и для банков. Одновременно в крупных странах существует процедура приведения международных стандартов в соответствие с национальными особенностями. Особенно это распространенно в США, Германии, Франции. Стандарты ISO у них не действуют напрямую. Например, в США есть собственные стандарты, которые разрабатывает некий конгломерат ведомств. ФРС в этом хоть и не играет первой роли, тем не менее ее мнение учитывается. А вот если сравнивать полномочия ФРС и Центрального Банка Российской Федерации, то окажется, что в области обеспечения информационной безопасности и контроля в кредитных организациях у ФРС полномочий гораздо больше.

Кстати, неплохо отлажены процедуры стандартизации в некоторых странах СНГ, например, в Казахстане, Украине, в Азербайджане, в Армении. Хотя они идут по несколько другому пути - по пути прямого заимствования международ ных стандартов. Но при этом огромное внимание уделяется обучению персонала банка.

Многие законодательные акты, которые принимаются в России, разрабатываются с использованием зарубежных аналогов. Но зарубежный аналог очень сложно напрямую перенести в нашу среду, поэтому всегда предварительно проводится серьезный анализ, по существу - его декомпозиция на принципы. То же было и при разработке нашего Стандарта. Мы самым серьезным образом изучили международные документы и лучшие зарубежные практики в области обеспечении безопасности. В результате сейчас даже международные аудиторы отмечают, что если мероприятия по выполнению Стандарта ЦБ прошли в российской кредитной организации, ее достаточно легко привести в соответствие международному стандарту.

НБЖ: Соответствует ли новому Стандарту инфраструктура самого Центробанка?

А. КУРИЛО: - Стандартом установлен рекомендуемый балл - четвертый уровень на шкале зрелости. У нас сейчас в среднем пока несколько меньше рекомендованного уровня. Почему? Сразу соответствовать рекомендованному стандартом уровню практически невозможно. Необходим определенный переходный процесс. Сейчас такая работа ведется. У нас от трех до шести подразделений Центрального банка ежегодно проверяются на соответствие требованиям Стандарта внешним аудитором. Все без исключения подразделения регулярно проводят самооценку на соответствие требованиям стандарта безопасности.

Ю. ЛАВРУХИН: - Мы очень внимательно отслеживаем, что происходит в области безопасности и в субъектах РФ, и в отраслях. По нашим оценкам, в Центробанке высокий уровень информационной защиты. И в организационном, и в техническом плане Банк России всегда лучше других.

ВМЕСТО ЭПИЛОГА

М. СЕНАТОРОВ: - Хочу сказать, что тема, которую поднял Национальный банковский журнал, с каждым днем становится все актуальнее для банковского сообщества. Число угроз безопасности все время растет. Концентрация информации на электронных носителях увеличивается. Попытки хищения денег, информации будут всегда. Атаки криминальной среды становятся все более серьезными, потому что ее инструментарий развивается вместе с технологиями. Очевидно, что средства защиты также должны совершенствоваться. И поскольку деятельность банка уже невозможно представить без электронных технологий, информационная защита его ресурсов - а это, по сути, активы банка - становится все более значимой.