Кибербезопасность в условиях электронного банкинга. Практическое пособие - Коллектив авторов

мониторинга провайдера со стороны СВК кредитной организации по данным вопросам.

Другим вариантом может быть периодический мониторинг качества организации работы по обеспечению информационной безопасности и конфиденциальности информации специализированными аудиторскими компаниями. В этом случае в документах, о которых идет речь, может содержаться положение о возможности доступа специалистов СВК или службы информационной безопасности (СИБ) к актам или другим документам, подготовленным аудиторами.

Хорошей практикой является наличие у провайдера собственных СВК и СИБ либо отдельных квалифицированных в данной области специалистов.

Наличие таких специалистов, очевидно, стало бы фактором, повышающим эффективность взаимодействия кредитной организации и провайдера по обозначенным вопросам.

В случае, когда провайдер (в силу финансового состояния или объемов бизнеса) не обладает такими СВК и СИБ, становится очевидной необходимость наличия документов, регламентирующих взаимодействие кредитной организации и провайдера по данным вопросам. Отсутствие у провайдера таких документов и служб является фактором, значительно повышающим риски.

Следует отметить, что основная ответственность перед клиентами за обеспечение информационной безопасности и конфиденциальности клиентской информации ложится на кредитную организацию. Качественная организация взаимодействия с провайдерами является лишь одним из факторов (хотя и значительным) обеспечения «прозрачности» и уменьшения риска нарушения целостности, потери или утечки данных о клиенте и его операциях посредством СЭБ.

Кредитная организация определяет методы обеспечения информационной безопасности и конфиденциальности информации, к которым могут относиться:

1) общий мониторинг источников рисков, связанных с деятельностью провайдера;

2) оценка и мониторинг финансового состояния провайдера, в том числе:

– частоты сменяемости топ-менеджмента;

– текучести кадров;

– стабильности развития бизнеса, частоты изменения основных направлений бизнеса;

– профессиональных навыков и опыта работы ключевых сотрудников в области информационных технологий, непосредственно связанных с особенностями реализации СЭБ;

3) разработка и использование специализированных процедур оценки технологических особенностей провайдера, возможностей его оборудования и т. д.;

4) разработка и использование совместной или согласованной между кредитной организацией и провайдером политики обеспечения информационной безопасности и конфиденциальности информации;

5) разработка и использование процедур, обеспечивающих информирование клиентов кредитной организации о состоянии информационной безопасности и конфиденциальности их данных, о способах противодействия и предупреждения угроз информационной безопасности и конфиденциальности информации и т. д.

Обеспечение непрерывности функционирования СЭБ

Другим немаловажным фактором, который необходимо учитывать уже на этапе разработки СЭБ, является обеспечение непрерывности ее функционирования, возможности системы быстро восстанавливать свою работоспособность в случае непредвиденных сбоев и других проявлений источников рисков.

Положения в части обеспечения непрерывности функционирования СЭБ рекомендуется включать как в договоры с провайдерами и поставщиками, так и во внутренние документы кредитной организации. Эти положения должны четко разграничивать ответственность за обеспечение непрерывности функционирования системы между кредитной организацией, провайдерами и поставщиками оборудования и программного обеспечения, используемого в составе информационного контура системы.

Например, необходимо отразить следующие моменты:

– конкретные временные ограничения по устранению сбоев и неисправностей в поставленном контрагентами по договору оборудовании или программном обеспечении;

– ответственность провайдера за предоставление резервного канала связи, который может быть задействован в короткие сроки и обеспечивать должное качество связи.

В кредитной организации должны быть разработаны соответствующие внутренние документы, описывающие:

– функции структурных подразделений кредитной организации в части обеспечения непрерывности функционирования СЭБ и процедуры реализации данных функций;

– порядок информирования органов управления кредитной организации и других структурных подразделений, а также клиентов кредитной организации о возникновении нештатных ситуаций, способных привести к нарушению непрерывности функционирования СЭБ, и реализуемых или требуемых мероприятиях, направленных на устранение причин;

– план обеспечения непрерывности и восстановления работоспособности СЭБ;

– методики стресс-тестирования в части непрерывности функционирования СЭБ.

При разработке указанных документов кредитной организации следует учитывать все наиболее вероятные сценарии, способные привести к нарушению непрерывности функционирования СЭБ. К их числу могут относиться:

– сетевые (хакерские) атаки на ресурсы кредитной организации или провайдера;

– механическое нарушение основного и дублирующего каналов связи с провайдером;

– выход из строя сервера баз данных СЭБ;

– выход из строя сервера приложений СЭБ;

– временное отключение электроэнергии в сети;

– отключение резервного источника электропитания СЭБ;

– воздействие компьютерных вирусов на СЭБ или на ее отдельные модули.

Ключевым документом, разработанным в целях обеспечения непрерывности функционирования СЭБ, является план обеспечения непрерывности и восстановления работоспособности системы. Такой план должен основываться на перечне наиболее критичных для работоспособности СЭБ воздействий.

В целях обеспечения эффективности плана данные воздействия могут быть классифицированы по степени возможного материального ущерба кредитной организации и ее клиентам, а также по вероятности их возникновения.

В отношении каждого из видов возможного воздействия на СЭБ план должен предусматривать соответствующие действия кредитной организации, ее клиентов и провайдеров. Наиболее подробно должны быть прописаны внутренние восстановительные процедуры самой кредитной организации с описанием действий ее внутренних подразделений, а также с указанием временных параметров осуществления данных процедур.

Помимо процедур восстановления работоспособности СЭБ план должен предусматривать процедуры по организации проведения операций клиентов альтернативными способами (без использования СЭБ) в наиболее короткие сроки.

Процедуры, регламентированные планом, должны учитывать зафиксированное в договорах с поставщиками программного обеспечения и оборудования распределение ответственности.

Качественная разработка плана должна учитывать возможные действия в целях реагирования на сбои не только кредитной организации, но и провайдеров, а также возможности оперативного привлечения к устранению неисправностей других организаций, оказывающих сервисные услуги в области информационных технологий.

Помимо плана обеспечения непрерывности функционирования СЭБ в кредитной организации должны быть регламентированы:

– способы мониторинга СЭБ, ее внешней и внутренней среды с целью выявления и предупреждения воздействий, способных нарушить непрерывность функционирования системы;

– методики оценки ущерба (материального и нематериального) в случае негативных воздействий или кризисных ситуаций;

– процедуры и рекомендации по уведомлению клиентов в случае нарушения непрерывности функционирования СЭБ.

Целесообразно создать в кредитной организации службу поддержки клиентов в части функционирования СЭБ.

Антикризисная комиссия

Также в целях координации деятельности структурных подразделений в условиях возникновения сбоя и приостановки работы СЭБ (в соответствии с закрепленными за ними функциями по устранению нарушений в работе СЭБ и организации альтернативных способов проведения операций) в кредитной организации распоряжением ее руководства может быть сформирована антикризисная группа или комиссия из руководителей соответствующих подразделений, в состав которой могут входить руководители:

– службы информационных технологий;

– службы информационной безопасности;

– службы операционной работы;

– службы хозяйственного обеспечения;

– службы по связям с общественностью;

– юридической службы;

– других служб (при необходимости).

Основными задачами членов комиссии являются правильная классификация нештатных ситуаций[127] и выбор процедур реагирования в соответствии с планом обеспечения непрерывности функционирования СЭБ.

Так, например, право наделять отрицательное воздействие внешнего фактора на деятельность банка статусом «кризисная ситуация» и предлагать соответствующие процедуры предоставляется:

– по вопросам электроснабжения – члену антикризисного комитета, руководителю службы хозяйственного обеспечения;

– по вопросам качества систем связи – члену антикризисного комитета, начальнику управления информатики;

– по вопросам репутационного риска – члену антикризисного комитета, руководителю службы по связям с общественностью;

– по вопросам возникших правовых коллизий, связанных с обслуживанием клиентов посредством СЭБ, – руководителю юридической службы и т. д.

Окончательное решение о работе банка по антикризисному плану принимает председатель антикризисной комиссии. То есть поддержка функционирования банка в нештатной ситуации в соответствии с ее характером, координация деятельности структурных подразделений, руководителей и отдельных сотрудников возлагаются на председателя антикризисной комиссии.

Условием для принятия такого решения является наступление события, квалифицируемого как кризисная ситуация.

Председателем антикризисной комиссии может быть либо руководитель кредитной организации, либо