Многие эксперты в области банковской информационной безопасности отмечают тенденцию последних лет, связанную с ужесточением законодательных требований как чисто технического, так и организационного характера. В 2012 году вышло Положение Центрального банка № 382-П, обязывающее каждую кредитную организацию иметь службу информационной безопасности, появилась и масса других предписаний: по мониторингу инцидентов, разработке внутренних регламентов, установке антивирусных программ, ведению отчетности, консультированию клиентов по вопросам информационной безопасности. Кому из банков по плечу выполнение всех обязательных и рекомендуемых требований?

ПРИВЫЧКА – ВТОРАЯ НАТУРА

Доскональное следование всем регуляторным и законодательным нормам может повлечь за собой серьезные финансовые последствия для небольших кредитных организаций: расходы на приобретение специализированных технических средств, оплату работы нанятого персонала при определенном стечении обстоятельств могут превысить прибыль финорганизации. Можно ли избежать этого? Существуют ли доступные решения и недорогие проекты, способные обеспечить информационную безопасность в банках?

Заместитель начальника департамента экономической безопасности Запсибкомбанка Андрей Чавыкин считает вопрос цены ИБ сугубо индивидуальным: «Необходимо четкое понимание, что, от кого и как необходимо защищать. В совокупности с рисками, массивом защищаемой информации, моделями угроз и разновидностью нарушителя вы сможете определить приемлемый уровень защиты, а в зависимости от этого будет формироваться стоимость защиты. На первоначальном этапе готовые решения для достижения первоочередных целей есть, но информационная безопасность обеспечивается комплексом непрерывных мероприятий, которые могут совершенствоваться бесконечно и влиять на стоимость тех или иных проектов».

«Из доступных решений самым простым видится аутсорсинг инфраструктуры и отдельных бизнес-процессов для организации соответствия банка стандарту», – делится своей точкой зрения начальник управления собственного процессинга БФА Банка Александр Васильев.

Начальник службы информационной безопасности банка «Кредит-Москва» Николай Беляков убежден в том, что необходимости соблюдать все стандарты нет. «Менеджеру информационной безопасности стоит задаться вопросом: «Так ли нужно реализовывать абсолютно все стандарты?» Ответ любого профессионала – нет. Реализация всех стандартов – болезненный путь в никуда, – считает специалист. – В первую очередь стандарты следует разделить на две группы. Первая – это стандарты, которые фактически нельзя так называть, так как это требования, обязательные к исполнению, например PCI DSS. К этой же категории следует отнести требования регуляторов, утвержденные на законодательном уровне. Эта группа небольшая, тем не менее она создает наибольшие трудности в реализации. Вторая группа – остальные стандарты, которые вбирают в себя лучшие практики, наработанные всем миром в вашей области деятельности».

Рассказывая о доступных решениях для информационной безопасности, директор карточного процессинга РУССЛАВБАНКа Александр Богдасаров упоминает стандарт PCI DSS. «Как и в любом деле, к прохождению процедуры PCI DSS необходим дифференцированный подход. К примеру, если банк проводит не более 300 тысяч транзакций в год и не подключен напрямую к международным платежным системам (работает через сторонний процессинг), в соответствии с требованиями PCI DSS, ему достаточно периодически самостоятельно проводить оценку путем заполнения так называемого листа самооценки (Self Assessment Questionnaire, SAQ). В этом случае затраты на сертификацию крайне малы», – подчеркивает специалист.

Международный стандарт PCI DSS (Payment Card Industry Data Security Standard) призван уравновешивать интересы банков и их клиентов. Разработчиками PCI DSS – перечня требований к обеспечению безопасности платежей – в свое время выступили компании American Express, Discover, JCB, MasterCard и Visa. Продукт появился в России и странах СНГ в 2006 году.

Стандарт представляет собой список требований (как общего характера, так и технологических) к информационной безопасности данных пластиковых карт. Они объединены в 12 разделов, соблюдение требований по каждому из них проверяется контрольной картой, она же позволяет переходить от одной части стандарта к другой. С технической точки зрения PCI DSS представлен серверами и сетевыми устройствами, которые обслуживаются специально обученными сотрудниками. Компания раз в год должна подтверждать свое соответствие стандарту.

Александр Васильев (БФА Банк) считает, что соответствовать стандарту безопасности данных банковских карт необходимо постоянно, не только перед процедурой аудита. «К сожалению, не всегда верно трактуется прямая взаимосвязь между соответствием стандарту безопасности и минимизацией финансовых потерь организации, отсюда странное отношение к стандарту как к чему-то отдаленному и необязательному, – констатирует эксперт. – Формально сертификат, подтверждающий соответствие PCI DSS, является актуальным только на момент прохождения аудита и не гарантирует соответствие инфраструктуры и ПО стандарту PCI DSS после того, как аудитор покинет проверяемый объект. Поэтому я бы говорил о том, что соблюдение стандарта должно стать такой же привычкой, как запирать дверь своей квартиры».

С коллегой согласен Александр Богдасаров (РУССЛАВБАНК): «Прохождение процедуры соответствия международным стандартам PCI DSS должно стать правилом хорошего тона для любых организаций и финансовых институтов, хранящих, передающих или обрабатывающих данные платежных карт. При этом важно не только первичное прохождение этой процедуры, но и периодическое подтверждение соответствия, что позволяет своевременно выявлять и устранять новые угрозы и уязвимости, эффективно предотвращать утечки информации».

«Лишь на первичной стадии внедрения стандарта PCI DSS возникают различного рода сложности, но после подтверждения его соответствия и постоянного поддержания соблюдение требований начинает походить на привычку мыть руки перед едой», – убежден Андрей Чавыкин (Запсибкомбанк).

МНОГО ПРОБЛЕМ, НО ЕЩЕ БОЛЬШЕ ПЛЮСОВ

Последняя версия стандарта PCI DSS (3.0) появилась в ноябре 2013 года и уже в феврале 2014 года была переведена на русский язык. Обновленные правила вступят в силу 1 января 2015 года. Напомним, что первый официальный перевод PCI DSS на русский язык появился летом 2013 года в версии стандарта 2.0. Продукт можно считать полностью адаптированным для применения в России. Отмечают ли банки особенности и сложности процедуры внедрения стандарта в зависимости от ИТ-архитектуры банка или от других, не менее важных особенностей кредитной организации?

«Требования стандарта PCI DSS, а их не менее 250, должны выполняться в полном объеме, поэтому говорить о каких-либо различиях или индивидуальном характере проектов не приходится. Есть лишь разница в архитектуре и принципах реализации стандарта в отдельно взятом банке, а также в степени готовности информационной безопасности к началу проекта», – считает Андрей Чавыкин (Запсибкомбанк).

Александр Васильев (БФА Банк) выделяет особенность применения PCI DSS в отечественных банках. «Российская специфика заключается в том, что у нас достаточно молодое законодательство в сфере регулирования банковского бизнеса, поэтому некоторые процессы, описанные в стандарте, как нельзя лучше дополняют нормативную базу кредитных организаций», – поясняет специалист.

Одновременно с появлением стандарта PCI DSS в России вышел закон № 152-ФЗ «О персональных данных», дающий мегарегулятору право осуществлять проверки в банках на предмет соблюдения требований по защите персональной информации. Эксперты склонны считать, что международный стандарт и нормативный акт не дублируют друг друга.

«Сравнивать эти два документа не совсем корректно, – уверен Андрей Чавыкин (Запсибкомбанк). – Закон устанавливает правила высшего уровня, а стандарт требует точного исполнения четко определенных действий или требований на низшем, более глубоком уровне. Кроме того, закон № 152-ФЗ в той или иной степени предусматривает прямой контакт с субъектом персональных данных, чего нет в стандарте PCI DSS, где требования предъявляются к самим информационным системам и данным карт, защита которых не предусматривает непосредственное общение с клиентом».

Аналогичного мнения придерживается Александр Васильев (БФА Банк): «В части предмета стандарта и закона мало общего: в первом случае мы имеем набор данных платежного средства, во втором это могут быть сведения, компрометация и огласка которых могут нанести прямой или косвенный репутационный ущерб субъекту. Есть некоторое сходство в методах защиты, но различны объекты применения, отчетные органы и др.»

Говоря о возможностях стандарта PCI DSS, эксперты отмечают его влияние на имидж кредитной организации. «Благодаря применению стандарта открываются возможности и способности защищать данные платежных карт клиентов, повышать общий уровень безопасности, что в конечном варианте приводит к улучшению имиджа банка и сокращению репутационных рисков, а также к увеличению количества клиентов», – комментирует Андрей Чавыкин (Запсибкомбанк).

«К новым возможностям PCI DSS в первую очередь можно отнести расширение бизнеса банка в сфере безналичных платежей, так как сегодня международные платежные системы относятся к организациям, которые не используют стандарт PCI DSS, с большой осторожностью, – отмечает Александр Богдасаров (РУССЛАВБАНК). – Также наличие сертификата PCI DSS – весьма весомая имиджевая составляющая, что позволяет, например, выходить на новые, ранее недоступные рынки».

Александр Васильев (БФА Банк) сделал акцент на экономической целесообразности следования PCI DSS. «Стандарт безопасности – это набор требований к защите информации. В целом данные мероприятия дают гарантию минимизации финансовых потерь и, как следствие, удешевления себестоимости проекта. Также облегчается работа с партнерами на мировом уровне», – подчеркивает эксперт.

По данным исследования «Лаборатории Касперского» «Информационная безопасность бизнеса» за 2013 год, главным приоритетом российских ИТ-специалистов остается защита данных, этим озадачено более 40% компаний. К счастью, доступные решения, способные обеспечить информационную безопасность кредитных организаций, существуют.