Срок подачи отчетов по исполнению банками требований нового стандарта в области информационной безопасности ГОСТ Р 57580.1−2017 должен наступить в январе 2021 года. Илья Тихонов, руководитель направлений «Комплаенс» и «Аудит» управления информационной безопасности Softline, рассказывает NBJ о том, как идет подготовка по приведению ИБ-инфраструктуры кредитных организаций к требованиям ГОСТ, и какие факторы необходимо учитывать при выборе подрядчика.

К реализации проектов по приведению ИБ-инфраструктуры в соответствие с ГОСТ приступило уже 80% российских финансовых организаций. Причем, высокая активность видна как в центре, так и в регионах – например, Softline сегодня ведет ряд проектов в Сибири и на Волге.

Осенью, понимая, что на фоне пандемии и вынужденной удаленки финансовый сектор потерял несколько месяцев в работе по переходу на новый ГОСТ, Центробанк дал отсрочку по предоставлению отчетов некредитным организациям, остальным же увеличил сроки исполнения только по отдельным пунктам (например, информационным письмом от 14.05.2020 № ИН-014-56/88 Банк России сообщал о неприменении в связи с коронавирусной инфекцией в период до 1 июля 2021 мер в случае нарушения кредитными организациями пункта 4 Положения № 683-П, в котором описаны требования к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении прикладного программного обеспечения автоматизированных систем и приложений). Несмотря на то, что пока не выпущена даже форма отчетности по исполнению нового стандарта, его требования должны будут исполняться банками с 1 января, и частота запросов о предоставлении результатов внутренних аудитов со стороны регулятора говорит о том, что ситуация не будет брошена на самотек.

Как правило, проект по приведению ИБ-инфраструктуры в соответствие с требованиями нового ГОСТ состоит из пяти этапов:

1. Аудит
2. Составление рекомендаций
3. Разработка документации и моделей угроз
4. Разработка технического решения, поставка и внедрение
5. Заключительный аудит и составление отчета для предоставления в ЦБ.

На его реализацию у большинства банков уходит порядка трех месяцев (в зависимости от величины организации и уровня зрелости инфраструктуры).

Изначально предполагалось, что большую часть требований нового ГОСТ можно будет закрыть организационными мерами, так как банки, как правило, имеют достаточно зрелую инфраструктуру с точки зрения обеспечения информационной безопасности. Но после первых проведенных внутренних аудитов стало ясно, что внедрять технические средства защиты придется почти в ста процентах случаев – если не в ближайшее время, то как минимум после 2021 года. Особенно это касается финансовых организаций, попадающих под действие Положения Банка России № 684-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”, зрелость инфраструктуры которых как правило заметно отстает от требований регулятора.

Чаще всего Softline рекомендует своим заказчикам внедрять системы IDM, SIEM, DLP (вариативно). Для исполнения части процессов (в частности, процесса 8 «Защита информации при осуществлении удаленного логического доступа с использованием мобильных (переносных) устройств» и процесса 6 «Управление инцидентами защиты информации») уместным будет внедрение Security Operation Center (SOC), в том числе, облачного. Сегодня можно считать, что для прохождения ГОСТ достаточно наличия базового набора СЗИ: межсетевого экрана, VPN ГОСТ, системы резервного копирования, СКУД и антивирусного ПО, при правильных их настройках.

Отдельно отмечу, что планирование работ по внедрению технических решений в рамках нового ГОСТ ведется на фоне предложений Минцифры о переводе критической информационной инфраструктуры (под определение которой попадают многие банки) на импортонезависимое ПО и оборудование в 2024-2025 годах. Это значит, что уже сегодня заказчикам лучше строить план внедрений с учетом требований Минцифры и рассматривать российскую альтернативу для тех категорий средств защиты, где это возможно.

Одной из важнейших задач на данном этапе внедрения нового ГОСТ является правильный выбор организации, которая будет проводить первоначальный и итоговый аудит. Оптимально, если аудитор может предложить вам комплексный подход к реализации проекта – от обследования инфраструктуры и составления перечня рекомендаций до внедрения средств защиты и подготовки отчетной документации. Часть процессов, в том числе, создание и обслуживание SOC, сервис-провайдер может полностью взять на себя. Модель аутсорсинга информационной безопасности в данном случае поможет банку снять с себя большую часть нагрузки и ускорить процесс перехода на новый стандарт.

При выборе подрядчика лучше отдавать предпочтение организациям, давно работающим с финансовой сферой, стоит обратить внимание в частности на опыт в проведении аудитов на соответствие Положению №382-П Центробанка России и Стандарту Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС) – именно они стали в некоторой степени прототипами нового ГОСТ. Даже если ИБ-компания предоставляет вам все возможные сертификаты о прохождении обучения в области аудита по ГОСТ ГОСТ Р 57580.1−2017, куда важнее наличие реальных кейсов и отзывов. Очень важно, пробы подрядчик понимал особенности бизнес-процессов в финансовой сфере и мог произвести глубокий анализ инфраструктуры. По нашему опыту, на рынке нередки случаи, когда провайдер позволяет себе проводить такие работы формально, что в дальнейшем оборачивается проблемами для заказчика – обосновать результаты некачественно проведенного аудита перед Банком России оказывается непросто.

Опыт Softline показывает, что соответствовать даже самым высоким требованиям в области обеспечения информационной безопасности возможно при ответственном подходе заказчика к реализации требований регулятора и внимательном отношении к выбору подрядчика.