Специалисты Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) начали активно участвовать в проверках банков. Ранее информбезопасность банков проверялась исходя из представленных ими документов. Новый подход дает возможность проверить на практике реализацию заявленных банками в рамках самоаттестации мер по борьбе с киберугрозами.
Фото: Kacper Pempel/Illustration, Reuters
О том, что специалисты FinCERT стали участвовать в проверках банков совместно со специалистами главной инспекции Банка России (ГИБР), рассказали "Ъ" участники рынка. Эту информацию подтвердили в ЦБ. FinCERT был создан ЦБ для организации обмена информацией между правоохранителями, регулятором и банками об атаках и подготовки рекомендаций по защите. "В ходе проведения проверок кредитных организаций в рамках полномочий Банка России могут проверяться вопросы, связанные с положением 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств...",— отметили в пресс-службе ЦБ.— К проведению указанных проверок могут привлекаться специалисты главного управления безопасности и защиты информации ЦБ (ГУБиЗИ)". FinCERT — структурное подразделение ГУБиЗИ. По словам замначальника ГУБиЗИ Артема Сычева, специалистов FinCERT приглашают в случае необходимости сотрудники головной инспекции, как экспертов "по техническим вопросам", самостоятельно инициировать проверки FinCERT не намерен. Он отметил, что до конца года планируется провести около ста проверок банков по информбезопасности в рамках 382-П.
В банках, которые уже столкнулись с проверками с участием сотрудников FinCERT, отмечают значительное повышение внимания к информбезопасности. "Это полноценная проверка с осмотром оборудования, программного обеспечения, а не как раньше — чисто документальная",— отметил собеседник "Ъ" из банка в топ-30. Вовлечение специалистов FinCERT в проверки участники рынка связывают с тем, что банки зачастую не слишком хорошо соблюдают собственные правила информбезопасности. "Были прецеденты, когда банк провел самоаттестацию информационной безопасности и после этого был успешно атакован,— отмечает один из собеседников "Ъ".— Возникают вопросы соответствия реальной ситуации в банке представленной ранее ЦБ". По данным ЦБ, самоаттестацию по информбезопасности прошло около 300 российских банков.
По словам участников рынка, в рамках инспекций с участием сотрудников FinCERT проверяется соблюдение не только требований, но и рекомендаций ЦБ. "Часть документов регулятора носит рекомендательный характер, и, насколько мне известно, при проверках смотрят на предмет соответствия и им, когда у банка есть соответствующие операции, а следовательно, и риски хищений по ним",— отмечает вице-президент ассоциации региональных банков "Россия" Алина Ветрова. Как ранее сообщал Артем Сычев, рекомендациями ЦБ по информбезопасности уже пользуется около 500 российских банков.
По мнению участников рынка, уже в ближайшее время активность FinCERT в проверках банков может существенно возрасти и выйти на новый уровень. Как ранее заявлял первый зампред ЦБ Георгий Лунтовский, регулятор готовит ряд требований и стандартов в области информационной безопасности. "Изменения, которые предполагаются в законодательстве, а также принятие соответствующего ГОСТа, который будет обязателен для исполнения, позволят нам существенно продвинуться в этом направлении в текущем году",— отмечал он. "Если ЦБ намерен сделать рекомендации FinCert обязательными, значит, он будет и контролировать выполнение этих требований,— отмечает специалист по информационной безопасности банка из топ-100.— Уже сейчас специалисты FinCert работаю в пилотном режиме, набивают руку, чтобы после обязательности рекомендаций работать в полную силу". Сейчас в FinCERT работает 16 человек, которые физически не могут участвовать в большом числе проверок. Официально в ЦБ не говорят о глобальном расширении штата FinCERT, однако источники "Ъ" отмечают, что в ближайшем будущем число сотрудников FinCERT может вырасти примерно до 50 человек.
Активное вовлечение FinCERT в проверки банков может создать сложности небольшим игрокам, уверены эксперты. "Если оценить затраты банков, то можно смело сказать: первые две сотни смогут выполнить все требования ЦБ по информбезопасности,— отмечает замруководителя Zecurion Александр Ковалев.— Для небольших банков это будет сложнее из-за ограниченности бюджетов".