Банкиров принудят охранять информацию о своих клиентах

«Халява» с пренебрежением информационной безопасностью (ИБ) для российских банков скоро закончиться. К 2009 году рекомендации ЦБ по усилению ИБ превратятся в требования. Впрочем, по данным NewsInfo.ru, их выполнение будет не столь болезненным, как это освещает ряд деловых изданий.

Вопросы, связанные с информационной безопасностью банков вышли на первый план после громких скандалов, связанных с утечками данных о клиентах различных банков. Наиболее известные случаи связаны с утечками из ЦБ РФ базы банковских проводок, а также поступлением в продажу нелегальной базы данных заемщиков крупнейших российских банков.

В последнем случае жертвами неизвестных доселе воров стало 700 тысяч заемщиков, среди которых большая часть – рядовые граждане, оформлявшие когда-либо потребительский кредит. Практически все они теперь попали в базы данных компаний, проводящих агрессивный маркетинг, и телефоны заемщиков теперь разрываются от разного рода навязчивых предложений.

Тягостная картина дополняется низкой активностью банков по защите собственной информации. Так, стандарт Банка России по информационной безопасности готовы исполнять лишь 16% банков – такие данные получило Сообщество пользователей стандартов Банка России по информационной безопасности (ABISS) в рамках исследования, результаты которого обнародовала газета «Коммерсантъ».

Результаты голосования на сайте ABISS еще менее утешительны: лишь 8% кредитных организаций, принявших участие в опросе, внедрили системы ИБ, предписанные стандартом.

В чем же причина столь низкой активности? Авторы газеты сделали предположение, что всему виной высокая стоимость внедрения подобных систем – по их данным, порядка сотен тысяч долларов, что может подорвать мелкие и средние банки.

Однако, по данным NewsInfo.ru, дело явно не в стоимости.

По мнению нашего компетентного источника, близкого к Центробанку России и попросившего сохранить его анонимность, в том, что банкам в настоящее время не удается соблюдать требования Стандарта, ничего в этом страшного нет. «Это достаточно трудозатратная вещь, сразу её не осилить. Как правило, малым и средним банкам сложно разобраться в нем и подготовить весь комплекс защиты»,   сказал наш собеседник.

В чем вообще смысл этого стандарта? Собеседник NewsInfo.ru напомнил, что в 90-х годах, когда банки только озаботились вопросами безопасности, ещё не было ясного понимания   от чего защищаться. «Большие деньги вкладывали в то, что сейчас даже смешно назвать, в частности, в защиту от электромагнитных излучений», - смеется наш собеседник, отмечая, что это характерно, в первую очередь, для государственных структур, работающих с секретной информацией.

Отметим, что, согласно одному из прежних исследований ABISS, кража информации относится к наиболее опасной угрозе информационной безопасности (так считают 45% специалистов опрошенных в результате исследования организаций).

При этом внутренние угрозы информбезопасности   нарушение конфиденциальности и утрату информации   имеют больший приоритет перед внешними.

«Поэтому стандарт и гласит о том, что основной источник опасности сидит внутри банка – это инсайдерская информация, инсайдеры,   подчеркнул наш источник.   А поэтому, и ориентируйтесь на защиту от них,  а не от абстрактных хакеров».

Так как же защититься? В первую очередь, большой акцент делался на организационные меры по защите, что и разъясняет ЦБ в своем рекомендательном стандарте. В этом документе прописано всё   начиная от подготовки документации, политики информационной безопасности до модели потенциального нарушителя.

При этом реальная стоимость подобных мероприятий далека от тех сумм, которые озвучил «Коммерсантъ». Ни о каких сотнях тысяч долларов речь не идет.

По данным нашего источника, который аппелирует к опыту крупных российских банков из топ-10, вполне реально уложиться в бюджет порядка нескольких десятков тысяч долларов. И это при привлечении компаний-подрядчиков. Если обходиться собственными силами, то этот бюджет можно значительно оптимизировать.

А тратиться все равно рано или поздно придется. Наш источник выразил надежду, что Стандарт войдет в обязательное требование, что и будет в русле требований международного соглашения «Базель-2» по операционным рискам.

Другие наши источники назвали примерный срок, когда Стандарт станет непременным требованием работы кредитных организаций: в 2009-2010 годах.

Причем не только Центральный Банк, как регулятор, заинтересован в здоровой, устойчивой банковской структуре, чтобы банковская система развивалась без всяких катаклизмов. Напомним, что в России создание стандарта информационной безопасности было инициировано коммерческими банками.

Справка по соглашению «Базель-2»

Свод нормативов, именуемых Базель–2, содержит рекомендации по совершенствованию техники оценки кредитных рисков и их управлению, а также рекомендации по развитию надзора над рисками, состоянием риск — менеджмента и рыночной дисциплины.

1) «Базель–2» связывает нормативную базу с рисками активов и управлением рисками — более высокое качество портфеля означает меньший объем регулятивного капитала (и наоборот).

2) В результате этого вопросу снижения рисков уделено больше внимания — применяется большее число инструментов снижения риска — и он учитывается в большей степени путем снижения требований к капиталу.

3) «Базель–2» использует давление со стороны его участников для обеспечения выполнения требований (раскрытие информации)

Сергей Малинин