Лекция 5. Нормативная база защиты информации в кредитно-финансовой сфере (2 часа)

Подкомитет «Защита информации в кредитно-финансовой сфере» Госстандарта России

В конце ноября 2006 года прошло первое заседание подкомитета «Защита информации в кредитно-финансовой сфере», входящего в состав технического комитета «Защита информации» Госстандарта России. Подкомитет образован по инициативе Банка России в целях общенационального нормативного регулирования процессов обеспечения и аудита информационной безопасности в кредитно-финансовых организациях России.

Идея выработки единого подхода к защите информации в финансовой сфере возникла сравнительно давно, но в последние годы обсуждалась в банковском сообществе более плотно и обстоятельно. За рубежом эти задачи хорошо проработаны, развиты и им уделяется большое внимание. Российская банковская система в ее нынешнем виде формировалась в течение последних десяти лет, и на первых этапах стояла задача — создать и запустить ее в работу, чтобы обеспечить переход от одной экономической формации к другой.

К сегодняшнему дню многие финансовые и банковские институты сложились, и вопросы защиты информации, правил обращения с ней, безопасного тиражирования и распространения стали по-настоящему актуальными для банков. Прежде всего потому, что банк открытая структура, работающая с большим числом клиентов, которая, с одной стороны, должна быть доступна всем клиентам, а с другой — быть достаточно защищенной и минимизирующей риск нанесения ущерба клиентам из-за ошибочных или злоумышленных действий.

Банк работает с деньгами других экономических и финансовых субъектов. Трудности, с которыми он встречается и которые непременно становятся известными, если они серьезны, способны очень быстро вынудить другие кредитные учреждения закрыть ему линии рефинансирования или побудить клиентов забрать либо не возобновлять свои вклады, что не замедлит вызвать кризис ликвидности. Видимо, в том числе и по этой причине в зарубежном сообществе банки относят к критическим структурам, ибо дестабилизация работы даже одного из се компонентов может привести к системному обвалу, что уже создает угрозу государству.

Постоянно растущий импорт зарубежных финансовых технологий влечет за собой и импорт проблем, связанных с этими технологиями. Пример тому — все возрастающее использование кредитных карт в финансовых операциях. За рубежом ущерб от злоумышленных действий с «пластиком» достигает миллиардов долларов, да и наши пользователи кредитных карт все чаще сталкиваются с проблемами хищения денежных средств с кредитных карт или их подделки.

Международная практика показывает, что только тесное сотрудничество национальных органов по стандартизации в области информационной безопасности с национальными банками может создать основу для обеспечения необходимого уровня информационной безопасности кредитно-финансовых организаций этих стран и национальных банковских систем. Так, Банк Франции тесно взаимодействует с Французским комитетом по банковским организациям и стандартизации и Генеральным секретариатом по национальной безопасности, немецкий Бундесбанк — с Федеральным ведомством по информационной безопасности, а в составе международной организации по стандартизации ISO действует специальный подкомитет по банковской безопасности.

Анализ зарубежного опыта стандартизации в области информационной безопасности для кредитно-финансовой сферы показывает, что создание качественного документа затруднительно, если не привлекать к этой работе крупные коммерческие банки, банковские ассоциации и компетентные государственные организации.

Наша национальная банковская система находится сегодня в состоянии, когда дальнейшее развитие финансового и банковского дела неизбежно приводит к тому, что обеспечение информационной безопасности становится одним из приоритетов. Это уже осознано зарубежными финансовыми организациями, а сам факт создания подкомитета «Защита информации в кредитно-финансовой сфере» показывает, что и в российском банковском сообществе пришли к пониманию, что пора формировать единые правила и принципы регулирования деятельности в этой области, включая аудит информационной безопасности ИТ-систем и организации в целом.

Подкомитет образован в составе 362-го технического комитета Госстандарта России, который создан на основе совместного приказа Гостехкомиссии и Госстандарта и осуществляет разработку, согласование и подготовку к утверждению нормативных документов по стандартизации в области защиты информации на государственном и международном (региональном) уровнях. Подкомитету делегированы полномочия этого технического комитета в части разработки документов по стандартизации в области защиты информации и обеспечения информационной безопасности для кредитно-финансовой сферы России. Основная цель образования подкомитета — создать в стране орган, который координировал бы работы в этой области. Его деятельность затрагивает несколько направлений:

• 1. Разработка предложений в планы государственной стандартизации в области, касающейся защиты информации и обеспечения информационной безопасности в кредитно-финансовой сфере России;
• 2. Разработка проектов национальных стандартов и других нормативных документов по стандартизации, оценке соответствия, аудита и сертификации для организаций кредитно-финансовой сферы страны;
• 3. Проведение необходимых научно-исследовательских и опытноконструкторских работ по направлению деятельности подкомитета, а также своевременного приобретения и перевода необходимой зарубежной научно-технической литературы, требуемой для практической деятельности подкомитета;
• 4. Экспертиза стандартов по защите информации и информационной безопасности, разработанных кредитно-финансовыми организациями.

В соответствии с приказом Председателя ТК 362 в состав подкомитета вошли следующие организации:

• — Банк России, представленный Главным управлением безопасности и защиты информации и Департаментом информационных систем;
• — Ассоциация российских банков;
• — Акционерный коммерческий сберегательный банк РФ;
• — Ассоциация региональных банков России;
• — Московская межбанковская валютная биржа;
• — Национальная валютная ассоциация;
• — Альфа-Банк;
• — Россельхозбанк;
• — Гостехкомиссия России;
• — Государственный научно-исследовательский испытательный институт проблем технической защиты информации Гостехкомиссии России;
• — Государственный таможенный комитет РФ;
• — ООО НПФ «Кристалл»;
• — ООО «Линс-М».

Согласно Положению подкомитет открыт для приема новых членов, их участие в работе нс только нс ограничивается, но и приветствуется (тс, кто хотят участвовать в этой деятельности, должны обратиться к начальнику Главного управления безопасности и защиты информации Банка России). Это связано с тем, что, как следует из направлений деятельности подкомитета, результаты его деятельности, представленные общенациональными стандартами и иными нормативными актами в области защиты информации и информационной безопасности, должны представлять собой обобщенный практический опыт работы субъектов российской кредитно-финансовой сферы с учетом использования международного опыта, и после принятия нормативных документов будут распространяться на все субъекты этой области экономики страны. Поэтому (чтобы не повторилась ситуация с законом об электронной цифровой подписи) участие в работе подкомитета входит в круг интересов каждого банка, заинтересованного в пропаганде своих наработок и использовании опыта других структур для дальнейшего развития бизнеса.

На первом заседании подкомитета рассмотрены основные организационные и технические вопросы и планы работы на 2004 год.

Организационные вопросы включали выбор руководящего состава подкомитета, обсуждение проекта Положения о подкомитете, включая рассмотрение порядка его работы и освещения ее результатов в средствах массовой информации, а также на специализированном сайте.

Среди технических вопросов можно отметить вопрос, вызвавший наиболее жаркие дискуссии среди участников заседания и посвященный разработке банковского стандарта по обеспечению информационной безопасности в организациях кредитно-финансовой сферы и подходам по аудиту реализации положений этого стандарта.

Результаты своей деятельности подкомитет «Защита информации в кредитно-финансовой сфере» планирует регулярно освещать на страницах журнала «Банковское дело в Москве».