ЦБ ужесточил требования к банкам по защите от киберугроз

Здание ЦБ (Фото: Евгений Разумный / Ведомости / ТАСС)

Банк России ужесточает требования по защите средств банков и их клиентов от киберпреступников. Об этом говорится в положении ЦБ, опубликованном 21 мая. Документ одобрен руководством ЦБ, ФСБ и Федеральной службы по техническому и экспортному контролю.

Если раньше банки должны были обеспечивать информационную безопасность лишь при проведении операций по переводу денег, то теперь от них потребуют также делать это при привлечении вкладов (как от физических, так и от юридических лиц), размещении привлеченных средств и ведении банковских счетов клиентов.

Для всех банков по умолчанию будет действовать стандартный уровень защиты информации. Наиболее важные организации банковского рынка обязаны будут перейти на усиленный уровень защиты. К таким организациям в документе отнесены:

• 11 системно значимых банков: Сбербанк, ВТБ, Альфа-банк, Газпромбанк, Промсвязьбанк, Райффайзенбанк, РСХБ, Росбанк, Московский кредитный банк, «ЮниКредит» и «ФК Открытие»;
• Национальный расчетный депозитарий как оператор услуг системно значимой платежной системы;
• 30 значимых на рынке платежных услуг организаций. Помимо девяти системно значимых банков (кроме Промсвязьбанка и «ЮниКредита») туда входят, например, «Тинькофф», «Восточный», Почта Банк, МТС-банк, Совкомбанк, а также сервис «Яндекс.Деньги».

Принципы стандартного и усиленного уровней защиты прописаны в ГОСТе 2017 года. Основные различия касаются того, нужно ли для защиты информации применять технические меры (с помощью аппаратных и программных систем) или же организационные (вводить разного рода ограничения на работу информационной системы). Для разных видов банков имеются, например, следующие ограничения:

• крупные банки, имея усиленный уровень защиты, должны автоматически блокировать учетные записи уволенных сотрудников и тех, кто более 90 дней не находится на рабочем месте;
• со стандартным уровнем защиты достаточно однофакторной аутентификации пользователя при подключении к системам банка, с усиленным нужна уже многофакторная;
• помещения с устройствами, дающими доступ к системам банка, должны быть оборудованы средствами контроля доступа, видеонаблюдением и сигнализацией при усиленном уровне защиты;
• с усиленным уровнем защиты требуется автоматическая фиксация неавторизованного подключения к банковскому Wi-Fi;
• обновление ПО систем защиты при усиленном уровне должно быть автоматическим, при стандартном же достаточно ручного (организационного) способа.
• другие ключевые требования — внедрение усиленной электронной подписи клиента, выполнение всех требований ФСБ при работе со средствами криптозащиты, уведомление ЦБ обо всех инцидентах информбезопасности, а также регистрация действий клиента и работников банка при обработке платежной информации, отмечает директор департамента информационной безопасности Росбанка Михаил Иванов.

Эти и другие меры, по замыслу ЦБ, призваны предотвратить несанкционированный доступ ко всем клиентским операциям. Раз в год банки должны тестировать информационные системы на возможность проникновения и анализировать уязвимости.

Почему банки оказались не готовы к атакам хакеров

Технологии и медиа

Если банк получает статус, требующий перейти от стандартного к усиленному уровню защиты, ему дается полтора года на приведение своих систем в соответствие нормам. Положение о том, какие банки должны обеспечить какой уровень защиты, вступает в силу через полтора года — с 1 января 2021 года.

Требования заложили в бюджеты

ЦБ уже давно готовил банковский сектор к усилению требований по безопасности транзакций, так что для многих организаций это не новость, а скорее практика, сказал РБК директор департамента информационной безопасности Московского кредитного банка Вячеслав Касимов. «К изменениям мы были готовы. Недостающие активности вроде аудита на соответствие ГОСТу мы закладывали в планы и бюджетировали в конце 2018 года», — пояснил Касимов.

В феврале 2019 года киберкриминалисты компании Group-IB подсчитали, что 74% российских банков не готовы к атакам киберпреступников. Это связано с невысоким уровнем организации защиты: отсутствием плана реагирования, невозможностью быстрой мобилизации ресурсов и т.д. При этом именно на банковский сектор, по данным Group-IB, приходится две трети кибератак на российские компании. По их подсчетам, кибератаки на финансовую сферу за год с лета 2017-го по лето 2018 года нанесли около 3 млрд руб. ущерба.