Банковский бизнес основан на доверии клиентов и опирается на работу с большими массивами конфиденциальных данных. Всего одна ошибка в защите банка может привести к его банкротству или отзыву лицензии. Именно поэтому информационной безопасности традиционно уделяется огромное внимание. Неслучайно российская банковская система не только следует международным стандартам ИБ, но и имеет собственные отраслевые стандарты.

ИНСТРУМЕНТ ВОЗДЕЙСТВИЯ

С января 2012 года новая версия стандарта PCI DSS 2.о, вступившая в силу с i января гон года, стала обязательна для соответствия. По словам европейского директора PCI Security Standards Council (PCI SSC) Джереми Кинга, версия 2.о не отличается принципиально от предыдущей версии, в ней лишь содержится ряд уточнений и разъяснений существующих требований, а также некоторые изменения проверочных процедур. Кинг отметил, что совет PCI SSC стремился сделать стандарт более действенным, понятным и простым для использования.

Европейский директор PCI SSC также подчеркнул, что стандарт касается не только технологий, но и всех составляющих деятельности организации, в том числе людей и бизнес-процессов. Выполнение требований стандарта серьезно повышает безопасность платежных транзакций, однако сам по себе стандарт PCI DSS не является инструментом обеспечения безопасности - скорее это инструмент воздействия на риски безопасности через управление и контроль. Такое понимание стандарта совпадает с его трактовкой Центральным банком Российской Федерации. «Главное управление безопасности и защиты информации ЦБ РФ считает внедрение стандарта PCI DSS важным направлением, которое оказывает существенное влияние на реальную безопасность банковских операций», - отмечает заместитель начальника ГУБ и ЗИ ЦБ РФ Андрей Курило. Поэтому рассматривается возможность включения PCI DSS в комплекс стандартов Банка России (БР ИББС).

В Центробанке активно ведется работа по сравнению требований стандартов Банка России и PCI DSS. Эксперты говорят о том, что PCI DSS шире, чем СТО БР ИББС, как по территории действия, так и по охвату сфер экономики. Кроме того, требования PCI DSS достаточно подробны. Детальное рассмотрение показывает, что они практически полностью отражены в СТО БР ИББС.

РЕКОМЕНДАТЕЛЬНО-ОБЯЗАТЕЛЬНЫЕ СТАНДАРТЫ

Основным документом, которым руководствуется в своей деятельности служба информационной безопасности банка, является специальный отраслевой стандарт Банка России - «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения». Он содержит ряд рекомендаций по организации работы служб ИБ, их задачам, целям и обязанностям. Данный стандарт носит рекомендательный характер. Банки имеют возможность самостоятельно выбрать, принимать ли для себя стандарт Банка России или выполнять требования ФСТЭК и ФСБ России по защите персональных данных.

Эксперты считают, что в этом есть определенная проблема с точки зрения обеспечения информационной безопасности банковской деятельности. Еще в 20Ю году было выпущено так называемое «письмо шестерых» (ЦБ РФ, АРБ, Ассоциации «Россия», ФСТЭК, Роском-надзора, ФСБ), которое рекомендовало организациям банковской сферы сделать стандарты Банка России в сфере информационной безопасности обязательными и руководствоваться ими при проведении работ по защите персональных данных, банковской и коммерческой тайны. В результате о своем намерении присоединиться к системе стандартов БР ИББС заявили практически все российские кредитно-финансовые организации. Примерно 5о% начали следовать стандартам, около 50% уже провели оценку и самооценку соответствия.

ПРАКТИЧЕСКИЕ ШАГИ

В качестве конкретных практических действий, выполнение которых необходимо в целях обеспечения соответствия требованиям законодательства, перед банками, использующими отраслевой стандарт, встают несколько последовательных задач. Во-первых, выделение в составе ИТ-инфраструктуры информационных систем персональных данных (ИСПДн). Во-вторых, проведение классификации. В-третьих, разработка пакета необходимых организационно-распорядительных документов. При этом следует учитывать, что перечень документов не ограничивается Методическими рекомендациями по выполнению законодательных требований при обработке персональных данных в организациях банковской системы Российской Федерации. В соответствии с Методикой СТО БР ИББС-1.2 должны быть разработаны дополнительные документы с целью повышения оценки всех частных показателей, попадающих в область оценки степени выполнения требований СТО БР ИББС-i.o.

Четвертая задача - настроить должным образом существующие средства защиты или внедрить в случае необходимости дополнительные, разработать техническую и эксплуатационную документацию. Наконец, нужно провести оценку соответствия банка требованиям стандарта, оформить результаты этой оценки и предоставить их Банку России и другим регуляторам в сфере информационной безопасности (ФСТЭК, Роском-надзору и ФСБ).