Странам всё труднее в одиночку бороться с транснациональными бандами киберпреступников и «рыцарями плаща и кинжала», ставящим под удар безопасность банковских систем и средства клиентов. Поэтому вслед за Россией одна за другой бывшие республики СССР укрепляют защиту банков: ужесточают требования к безопасности и создают «центры быстрого реагирования» на инциденты.
Центральный банк Азербайджана (ЦБА) утвердил правила безопасности информационных систем в банках страны. Они вступили в силу 31 декабря 2014 года, сообщает Интерфакс. Согласно правилам, основными требованиями к информационным системам (ИС) и информационным технологиям (IT) являются эффективное управление рисками, возникающими в связи с проблемами в ИС и IT банков, наличие процедур последовательной деятельности ИС в чрезвычайных ситуациях, распределение среди сотрудников банка полномочий в связи с использованием и управлением ИС и IT, назначение в банках системных администраторов и администраторов по безопасности и т.д. Кроме того, правила содержат разделы, касающиеся ввода данных в ИС, процедур при чрезвычайных ситуациях, управления рисками, информационной безопасности. Раздел об информационной безопасности включает требования к серверам банка, комнатам, в которых находятся серверы, функциям пользователей и администраторов ИС, применению систем криптографической защиты.
В России уже существуют подобные требования к обеспечению информационной безопасности в банковских учреждениях на основе нормативных требований отраслевых стандартов Банка России СТО БР ИББС-1.0-2014. О них неоднократно писал журнал «Информационная безопасность банков», некоторые аспекты защиты, касающиеся специфики информационной безопасности в банках, подробно рассмотрены в статье на сайте Anti-Malware.ru.
Также Совет безопасности России решил создать центр реагирования на инциденты информационной безопасности в финансовой сфере, который будет называться FinCERT, сообщают «Ведомости» со ссылкой на информированные источники из Центробанка и ФСБ. Центр будет создаваться на базе «Национальной системы платежных карт» (НСПК). Его задача — противостоять мошенничеству с пластиковыми картами. Собеседники издания не смогли пояснить, почему сфера действия FinCERT ограничивается защитой банковских карт. Возможно, это лишь пилотный проект, который в дальнейшем охватит весь финансовый сектор.
У НСПК сегодня нет планов построения центра FinCERT, сообщили изданию в пресс-службе компании. Отказался от комментариев и представитель Центробанка. В мире уже существует большое количество центров реагирования на компьютерные инциденты (CERT) — как национальных, работающих при поддержке госструктур, так и частных. Как правило, все они работают в тесном сотрудничестве с правоохранительными органами. В России работают RU-CERT (создан НИИ развития общественных сетей), GOV-CERT.RU (создан ФСБ России) и частный CERT-GIB (принадлежит Group IB).
Как показывают опросы специалистов в области ИБ, предлагаемые правительствами и спецслужбами стандарты и требования к информационной безопасности финансовых структур, повышают уровень знаний персонала и положительно сказываются на безопасности компаний. Так, по данным опроса SecureData, 45% британских IT-специалистов отметили, что такие правительственные инициативы по безопасности как CERT-UK и Operation Waking Shark II помогли им повысить уровень осведомленности в вопросах ИБ в своих компаниях. Однако есть и другой вывод британских исследователей: чем меньше организация, тем меньше внимания обращают на вопросы информационной безопасности ее сотрудники.
.jpg)