Выброс негативной внутренней информации может привести даже крупный банк к краху. Наверное, поэтому за рубежом кредитные организации относят к структурам с повышенной степенью риска. Во избежание подобных ситуаций ЦБ РФ планирует ввести единый стандарт информационной безопасности банков
НБЖ № 10(12), 2004
«Тайны банковского двора», стр. 64-65

Действительно, на сегодняшний день основным документом, которым руководствуется в своей деятельности служба информационной безопасности банка, является специальный отраслевой стандарт Банка России - «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» (СТО БР ИББС). Он содержит ряд рекомендаций по организации служб ИБ, разъясняет их задачи, цели и обязанности.

В процессе создания данного стандарта внимательно изучался опыт других стран в области стандартизации ИБ, особенно Германии и Франции.

По словам заместителя начальника Главного управления безопасности и защиты информации Банка России Андрея Курило, в мировой практике применяется шкала защищенности системы, где нулевой уровень означает, что ИБ абсолютно не обеспечена и любая атака способна нарушить работоспособность предприятия. Шестой уровень является показателем того, что систему взломать практически невозможно. Соблюдение стандарта ЦБ РФ гарантирует четвертый уровень безопасности, при котором риски ИБ становятся вполне регулируемыми.

Данный стандарт носит рекомендательный характер и предоставляет банкам возможность самостоятельного выбора: следовать ли рекомендациям Банка России или выполнять требования ФСТЭК и ФСБ России по защите персональных данных. Еще в 2010 году было выпущено так называемое «письмо шестерых» (ЦБ РФ, АРБ, Ассоциации «Россия», ФСТЭК, Роскомнадзора, ФСБ), которое рекомендовало организациям банковской сферы принять комплекс документов Банка России в области стандартизации, сделав их для себя обязательными. Авторы письма предлагали финансово-кредитным организациям руководствоваться данными документами при проведении работ по защите персональных данных, банковской и коммерческой тайны.

Сделать стандарт обязательным с точки зрения законодательства в силу ряда причин не удалось. Но Банк России сумел добиться того, чтобы финансово-кредитные организации закрепили СТО БР ИББС своими внутренними документами и стали реализовывать его в своей деятельности. На сегодняшний день данный стандарт внедряют больше половины российских банков.

Стандарт Банка России является «открытым», его редакции оперативно обновляются, в частности, в соответствии с законодательными новациями. Например, с требованиями Федерального закона «О персональных данных» или законопроекта о национальной платежной системе.

В последнее время все чаще озвучивается идея о необходимости интеграции российского отраслевого стандарта информационной безопасности с требованиями, принятыми в мировых платежных системах.

В Центробанке активно ведется работа по сравнению требований стандартов Банка России и PCI DSS. Эксперты указывают на то, что PCI DSS шире, чем СТО БР ИББС, как по территории действия, так и по охвату сфер экономики. Иными словами, PCI DSS - для всех, СТО БР ИББС - только для банков, поэтому второй является более узкопрофессиональным. Еще один плюс, с точки зрения экспертов, в том, что Стандарт Банка России достаточно гибок. Например, в международном стандарте ISO (международный стандарт качества - The International Organization for Standartization) выносится категоричное суждение: банк либо соответствует требованиям стандарта, либо не соответствует. А Стандарт ЦБ РФ не выносит приговора, зато он позволяет определить, какого уровня зрелости достиг банк. После этого можно разработать список замечаний и план совершенствования системы безопасности на несколько лет вперед.