Буквально через месяц все информационные системы персональных данных, созданные до момента вступления в силу Федерального закона №152, должны быть приведены в соответствие с его требованиями. Однако банки не спешат ради этого делать миллионные инвестиции в свои IT-системы, надеясь на то, что закон будет пересмотрен, а его вступление в силу - отложено на несколько лет.

«РАЗНОШЕРСТНЫЕ» ОПЕРАТОРЫ НЕ ИДУТ ПОД ОДИН СТАНДАРТ

Федеральный закон №152 «О персональных данных» распространяется не только на банки, но и на все организации, которые, так или иначе, работают с информацией о физических лицах. Под категорию «приближенных» попадают страховые компании, мобильные операторы, учебные заведения, учреждения здравоохранения, органы муниципальной и федеральной власти и так далее.

Возможно, именно стремление законотворцев «объять необъятное» и вызвало основную массу проблем, над которыми сегодня ломает голову деловое сообщество. На практике оказалось, что операторы имеют между собой мало общего, а потому «подогнать» их под единый стандарт - все равно что разработать единую форму одежды для всех климатических поясов. Перечисленные выше структуры, во-первых, имеют различную техническую базу, во-вторых - различный цикл жизни документов, в-третьих - они руководствуются в своей деятельности различными нормативными документами.

Так как закон универсальный, то регуляторами в данном случае выступают федеральные органы - Роскомнадзор, Федеральная служба по техническому и экспортному контролю и Федеральная служба безопасности. Главный банковский надзорный орган - Банк России -в данном случае в число регуляторов не включен. И сегодня именно ЦБ выступает в роли одного из главных защитников и «проводников» интересов банкиров.

С КЕМ НЕ БЫВАЕТ

Наиболее подготовленными из «разношерстной» компании операторов по обработке персональных данных оказались банки. Что неудивительно: кредитные организации традиционно работают с банковской и коммерческой тайной, а потому имеют достаточно серьезную систему информационной безопасности.

Конечно, нельзя сказать, что в банковской сфере тишь да гладь. Участники рынка признают, что в этой сфере периодически возникают нештатные ситуации, которые ведут к утечке конфиденциальной информации.

Так, недавно в одном из крупнейших российских банков произошел случай, когда анкеты с личными данными граждан, получивших отказ по кредитным заявкам, оказались на городской свалке. Или другой пример: группа мошенников внедрила своих людей в филиалы одного из крупных розничных банков, а также в подразделения почтовой связи, и производила хищение средств с кредитных карт. В результате этих противоправных действий пострадали около 450 человек, а ущерб, по оценкам экспертов, оценивается в миллион долларов.

Тем не менее эти прецеденты - не повод для паники. Во-первых, как отмечает заместитель начальника Главного управления безопасности и защиты информации Банка России Андрей Курило, масштаб бедствия не слишком велик. «Если сравнивать объемы происходящих ежедневно банковских операций с количеством неправомерных инцидентов, то получится очень маленькая цифра», - поясняет он. Во-вторых, причиной утечки информации становятся чаще всего не технические проблемы, а нарушения в сфере управления. Поэтому разработка очередной порции «техтребований» не поможет повысить уровень информационной безопасности. Гораздо больший результат, по мнению Банка России, принесет выполнение тех стандартов и требований, которые уже существуют. К тому же многие банкиры считают, что они не работают с такими персональными данными, которые требовали бы дополнительной защиты. Лучшим подтверждением того, что существующая система безопасности работает эффективно, является отсутствие каких-либо нареканий со стороны клиентов банка.

У оппонентов ФЗ №152 есть и другой аргумент: по их мнению, вступление в силу этого нормативного документа может создать дополнительные риски. Например, конкуренты, по их мнению, получат возможность искусственно инициировать против банков судебные иски о несанкционированной утечке персональных данных. Нелишне напомнить, что за подобные нарушения закон предусматривает достаточно строгое наказание - вплоть до запрета занимать руководящую должность сроком до пяти лет.

ВОПРОС В НЕСКОЛЬКО МИЛЛИОНОВ ДОЛЛАРОВ

Еще один контраргумент, который банкиры приводят не в первую очередь, но который является очень серьезным в дискуссии: нужен или не нужен ФЗ №152. Для приведения своих IT-систем в соответствие с законом банкам потребуется внести изменения в технические средства, программное обеспечение, систему внутреннего документооборота и т. д. Иными словами, кредитным организациям придется «перелопатить» практически всю IT-инфраструктуру.

Проблема заключается в том, что в большинстве банков выделить персональные данные в отдельный «узел» и создать непосредственно в нем предусмотренную систему защиты (установить межсетевые экраны, средства от НСД и прочее) невозможно. Основная масса существующих АБС устанавливалась более десяти лет назад, и информация о том, как устроено «ядро» системы, давно канула в Лету. В этом случае требования по безопасности необходимо применять ко всей АБС. Но при таком подходе возникают две проблемы. Во-первых, «влезать» в АБС достаточно опасно, так как она может начать выдавать ошибки. Во-вторых, переоборудовать всю систему - дорогое удовольствие. Например, в одном из банков рассказали, что когда прорабатывали вопрос приведения системы в соответствие с ФЗ №152, то запрашивали у интеграторов предварительную оценку проекта. Оказалось, что цена комплекса мероприятий по «защите» одной информационной системы варьируется от 4 млн руб. до $2,5 млн. Необходимо учесть, что в банке таких информационных систем может быть несколько десятков.

Еще большее недоумение у банкиров вызывает требование закона о проведении обязательной аттестации. Андрей Курило поясняет: аттестация - это формальная процедура, которая не означает, что риска утечки персональных данных в данном банке нет ни при каких «раскладах». Наличие аттестации свидетельствует только о том, что существующие в банке информационные системы соответствуют техническим требованиям, которые предъявляют Роскомнадзор, Федеральная служба по техническому и экспортному контролю и Федеральная служба безопасности.

Кроме того, аттестация - очень «капризная»  процедура.  «Если Центральный банк внесет изменения в платежные документы или в систему расчетов, то банку потребуется проходить аттестацию заново», - подчеркивает Андрей Курило. При этом представитель ЦБ признает, что подобные изменения вносятся достаточно часто и в результате есть риск возникновения бесконечных процессов, требующих от банков и временных, и финансовых затрат.

Но изменение в информационных системах и прохождение аттестации - это только техническая сторона вопроса. Есть еще множество формальных нововведений, которые вызывают «отторжение» у банкиров. Например, для проведения обработки персональных данных оператору необходимо получить от субъекта письменное разрешение. «Сейчас для осуществления квартплаты в банке нам достаточно заполнить квитанцию и внести средства. Согласно новому закону, гражданину необходимо будет написать заявление, что он не против обработки его персональных данных. Представьте, насколько одна только эта процедура затянет процесс обработки документов. Это неизбежно повлечет за собой удлинение очередей и увеличение затрат со стороны оператора», - поясняет начальник управления информационной безопасности Россельхозбанка Артем Сычев.

Все эти процедуры, резюмируют банкиры, ведут к удорожанию услуг не только для банков, но и для граждан. Чтобы избежать подобных последствий, кредитные организации призывают законодательные органы отказаться от модели контроля технических требований к защите персональных данных. Взамен они предлагают перейти на риск-ориентированную модель самостоятельного определения операторами персональных данных применяемых мер. Конечно, при жестком обеспечении механизма возмещения причиненного вреда субъектам персональных данных. Такой подход, по их мнению, является более эффективным, чем тот, который «прописан» в ФЗ №152. К тому же работу в этом направлении уже несколько лет ведет Банк России. И как показывает практика, определенных результатов уже удалось добиться.

ЛУЧШЕ СТАНДАРТ ЦБ, ЧЕМ ФЗ №152

Буквально несколько лет назад в банковском сообществе звучало много отрицательных высказываний по поводу внедрения Стандарта безопасности Банка России. Регулятору потребовалось немало времени и сил для того, чтобы убедить «подопечных» в необходимости установить единые требования и повысить уровень эффективности мероприятий по обеспечению информационной безопасности организаций банковской системы. Медленно и ненавязчиво Банк России продвигал документ. При этом требования носили не обязательный, а рекомендательный характер. В результате регулятору удалось добиться того, что более половины банков уже соответствуют требованиям стандарта, а еще около 40% либо находятся в процессе его внедрения, либо планируют сделать это в ближайшее время.

На пресс-конференции, прошедшей в Ассоциации российских банков в конце октября, банкиры рапортовали: «Сегодня существует много стандартов по информационной безопасности. Оценки их эффективности различаются, но, как показала практика, аккуратная постепенная работа - без перегибов, без принятия нормативов как обязательных -является наиболее результативной. Именно так действует Центральный банк. За несколько лет планомерной работы регулятору удалось дать кредитным организациям четкие ориентиры, куда и как двигаться. Мы приходим к единому мнению: продвижение Стандарта Банка России, ориентированного не только на защиту персональных данных, но и на защиту всех видов тайн, которые обрабатываются в банке, сегодня является наиболее верным решением».

Стоит отметить, что банки давно оценили преимущества использования систем информационной безопасности и работают не только по внутренним, но и по международным стандартам ISO, которые приносят реальный экономический эффект. Так, один из банков внедрил международный стандарт в карточной системе и за год получил прибыль в миллион долларов за счет того, что перестал списывать «нестыковки» и маленькие хищения. Банкиры, оценив преимущества от подобных внедрений, задают вполне логичный вопрос: зачем проводить аттестацию, если есть стандарт, который дает реальный результат - прибыль?

DURA LEX SED LEX

Однако рассуждения рассуждениями, а определенно можно сказать одно: обратный ход закон не получит. Сейчас Банк России и Ассоциация российских банков разрабатывают предложения по внесению в него изменений, которые, с одной стороны, помогут обеспечить права граждан, а с другой - оградят бизнес от непомерных расходов. «В результате консультаций, проведенных АРБ при поддержке ЦБ и участии Роскомнадзора и ФСБ, нам удалось сформулировать вопросы, которые требуют детального рассмотрения. На парламентских слушаниях в Государственной Думе с участием профильных комитетов наши предложения нашли поддержку», - рассказал исполнительный вице-президент АРБ Андрей Емелин.

По мнению представителей банковского сообщества, наиболее эффективно решить вопрос защиты персональных данных помогут отраслевые стандарты (носящие характер рекомендаций, а не требований), утверждаемые отраслевыми регуляторами. Такой подход позволит учесть специфику банковской деятельности и устранить расхождения нового закона с другими нормативными документами.

Учитывая существующие реалии, реализовать благую цель - защитить персональные данные и частную жизнь - гораздо проще. История показывает, что полностью отказываться от прошлого опыта нельзя. Планомерное продолжение начатой работы по внедрению стандартов безопасности принесет гораздо больший эффект.

К тому же сейчас перед банками объективно стоит другая задача - восстановление кредитования. И миллионные инвестиции в IT-обес-печение способны сегодня подорвать финансовое состояние не только конкретного института, но и всей экономики. Поэтому можно предположить, что те поправки, которые подготовила АРБ совместно с Центральным банком, найдут поддержку у законодателей.