1. Регулирование ИБ в
банковской индустрии
России
Алексей Лукацкий,
бизнес-консультант по безопасности
© 2011 Cisco and/or its affiliates. All rights reserved. 1

2. 1000 банков
Центральный банк
ФСТЭК, ФСБ, РКН, PCI Council
ФЗ «О техническое регулировании»
© 2011 Cisco and/or its affiliates. All rights reserved. 2/34

3. © 2011 Cisco and/or its affiliates. All rights reserved. 3

4. • 2000 год - Начаты работы по созданию Стандарта.
• 2003 год - Создан ПК3 ТК 362 Госстандарта для отработки Стандарта и
последующих документов
• 2004 год - Принята первая редакция Стандарта. Проведена первая
апробации Стандарта в ГУ по г. СПб
• 2005 год - Проведена апробация в опытной зоне (12 +2 региональных
подразделений)
• 2005 год - Стандарт внедрен в нескольких банках
• 2006 год - По результатам апробации подготовлена и введена в
действие вторая редакция Стандарта
• 2006 год - Создана ассоциация ABISS и открыта специализированная
страничка на сайте Банка России в Интернет
• 2007 год - Приняты четыре документа – сформирован первичный блок
Комплекса
© 2011 Cisco and/or its affiliates. All rights reserved. 4/34

5. Документы
ЦБ
ISO 27xxx
СТО
1.0
Мнение
ФСБ
Члены
ТК 362
© 2011 Cisco and/or its affiliates. All rights reserved. 5/34

6. СТО РС
Отраслевая
Рекомендации Руководство
Общие Методика частная
Аудит ИБ по по самооценке Методика Требования
положения оценки модель угроз
1.1-2007 документации соответствия оценки рисков по ИБ ПДн
1.0-2010 соответствия безопасности
в области ИБ ИБ 2.2-2009 2.3-2010
v1 1.2-2010 ПДн
v4 2.0-2007 2.1-2007 v1 v1
v3 2.4-2010
v1 v1
v1
• СТО – стандарт организации
• РС – рекомендации по стандартизации
© 2011 Cisco and/or its affiliates. All rights reserved. 6/34

7. • ISO определяет меры ISO СТО 1.0
по защите исходя из
оценки рисков
27000 Глава 3. Термины
• Набор защитных мер
в СТО обязателен к 27001
Глава 8. Система
применение менеджмента ИБ
Оценка рисков Глава 7. Система
позволяет добавить 27002
ИБ
защитные мероприятия,
но не уменьшить их Глава 8 в части
перечень 27003
осознания
• Требования СТО
адаптированы к 27014
банкам
Преимущественно
крупным
© 2011 Cisco and/or its affiliates. All rights reserved. 7/34

8. • СТО позволяет
формировать ISO СТО
численные оценки
СТО 1.0. Глава 9.
27002
• СТО вводит единые Проверка
критерии оценки по
СТО 1.2. Оценка
частным показателям 27004
соответствия
• СТО позволяет
сравнивать 27006 СТО 1.1. Аудит ИБ
различные банки
27008 РС 2.1 Самооценка
• СТО вводит новое
руководство по
самооценке
© 2011 Cisco and/or its affiliates. All rights reserved. 8/34

9. • Результаты аудита уровня ИБ
банка демонстрируют
соответствие четвертому
уровню по пятиуровневой
шкале соответствия
требованиям СТО БР ИББС-
1.0-2010
• Банк России рекомендует по
методике оценки СТО БР
ИББС-1.2-2010 иметь
организациям БС РФ уровень
не ниже 4-го
Рис. 1. Круговая диаграмма оценок по
групповым показателям
© 2011 Cisco and/or its affiliates. All rights reserved. 9/34

10. Выбор метода оценки соответствия
20%
Внешний аудит
Самооценка
80%
© 2011 Cisco and/or its affiliates. All rights reserved. 10/34

11. • Банк России уже
провел первичную
оценку рисков и ISO СТО
разработал набор
защитных мер в СТО 27001
СТО 1.0. Глава 8.
1.0 СМИБ
• Под специфику РС 2.2. Оценка
27005
рисков
конкретного банка
можно провести свою РС 2.4. Модель
оценку рисков и угроз ПДн
разработать свои
защитные меры
© 2011 Cisco and/or its affiliates. All rights reserved. 11/34

12. © 2011 Cisco and/or its affiliates. All rights reserved. 12/34

13. • Как отраслевой регулятор Банк России не наделен (пока)
законодателем правом нормативного регулирования
вопросов информационной безопасности в кредитных
организациях
• В связи с этим Банк России вынужден:
Разрабатывать и внедрять стандарты, имеющие рекомендательный
статус, создавать механизмы их внедрения
Ограничиваться разработкой рекомендаций для банков
Использовать договорные механизмы взаимодействия с банками
Опираться на требования по безопасности, изложенные в
техдокументации на оборудование, в основном, криптографическое.
При этом в целом, нормативное регулирование носит кусочный и не
сбалансированный характер, приводящий к ослаблению системы
безопасности в целом и росту расходов
© 2011 Cisco and/or its affiliates. All rights reserved.
13
13/34

14. © 2011 Cisco and/or its affiliates. All rights reserved. 14

15. • 2006 год – Принят № 152-ФЗ «О персональных данных»
• 2007 год – Начало отчета по реализации требований ФЗ
• 2008 год – Разработка первичных технических требований
• 2009 год – Осмысление требований, общее отрезвление,
начало разработки отраслевых норм, учитывающих
требования по защите ПД
• 2010 год (июль) – Согласование отраслевых норм
(стандартов) с регуляторами, выпуск «Письма шестерых»
• 2010 год (декабрь) – Перенос сроков реализации ст.25 ФЗ 152
на полгода
• 2011 год – Работа с перспективой внедрения над новой
редакцией ФЗ «О персональных данных»
© 2011 Cisco and/or its affiliates. All rights reserved. 15/34

16. • СТО формирует
единый набор
требований для
защиты КТ, БТ и ПДн
ISO СТО
• Процесс оценки РС 2.3. Защита
27002
соответствия также ИСПДн
унифицирован для
СТО 1.0. Раздел
всех видов 29100
7.10
защищаемой
информации
29101
• СТО уже вводит
требования по
защите ПДн (ISO
2910x – пока проект)
© 2011 Cisco and/or its affiliates. All rights reserved. 16/34

17. ФСБ
ФСТЭК
СТО
© 2011 Cisco and/or its affiliates. All rights reserved. 17/34

18. © 2011 Cisco and/or its affiliates. All rights reserved. 18/34

19. 50
45
40
35 Приняли
Планируют
30
25
20
2007 2010
© 2011 Cisco and/or its affiliates. All rights reserved. 19/34

20. • Максимальные темпы проста присоединения были в октябре
2010 (через 3 месяца после принятия СТО)
• Можно ожидать присоединения 75-80% банков
• Отказались внедрять стандарт, но не отказались выполнять
ФЗ-152 5-10%
• Заняли выжидательную позицию 10-15%, в основном мелкие
банки
• По мнению Банка России это, видимо, предельные значения
метода убеждения
• В случае нормативного принуждения показатели были бы
гораздо выше
© 2011 Cisco and/or its affiliates. All rights reserved.
20
20/34

21. Уровни соответствия
Оценки, содержащиеся
в Подтверждении соответствия 0 I II III IV V
0 - 0,25 0,25 - 0,5 0,5 - 0,7 0,7 - 0,85 0,85 - 0,95 0,95 - 1
Регуляторы % организаций
Роскомнадзор 4,5 9 28,8 25,9 3 28,8
ФСТЭК России 1.5 12,1 27,3 28,8 19,7 10,6
ФСБ России 0 6,5 22,6 24 32,4 14,5
Итоговый уровень (Банк России) 5,7 35,7 22,8 18,6 14,3 2,9
• На приведение банка в соответствие с требованиями стандартов
требуется несколько лет
• Оценка соответствия тоже требует времени
21
© 2011 Cisco and/or its affiliates. All rights reserved. 21/34

22. © 2011 Cisco and/or its affiliates. All rights reserved. 22

23. Термины и
Классификатор
определения
0.0
0.1
Рекомендации по выполнению
законодательных требований при
обработке ПДн
• РС «Требования по обеспечению безопасности СКЗИ» (план)
• РС «Методика классификация активов» (план)
• РС «Методика назначения и описания ролей» (план)
© 2011 Cisco and/or its affiliates. All rights reserved. 23/34

24. • В декабре 2010 года в России при Росстандарте создан
новый технический комитет - ТК 122 «Стандартизация в
области финансовых услуг»
ТК 122 соответствует ISO TC 68 “Financial Services»
• Базовая организация – Центральный банк
• В связи с определенными разногласиями работы по
стандартизации в области информационной безопасности в
кредитно-финансовой сфере будут перенесены из ТК 362 и
продолжены в рамках одного из подкомитетов ТК 122
© 2011 Cisco and/or its affiliates. All rights reserved.
24
24/34

25. Наименование
Соответствующие Специализация технического комитета
технического комитета (ТК)/
структуры ИСО (подкомитета) по виду продукции, услуг
подкомитета (ПК)
ТК 122
ISO/TC 68
«Стандарты финансовых Стандарты финансовых операций
“Financial Services”
операций»
ТК122/ПК № 1 ISO/TC 68/SC 2
Обеспечение безопасности банковской
«Безопасность финансовых “Security management and general
деятельности и финансовых операций
(банковских) операций» banking operations”
ТК122/ПК № 2 ISO/TC 68/SC 4 Стандарты осуществления операций с
«Технологии операций на финансовых “Securities and related financial ценными бумагами и производными
рынках» instruments” финансовыми инструментами
Автоматизация исполнения основных
ТК122/ПК № 3
ISO/TC68/SC 7 банковских операций, в том числе связанных
«Технологии основных финансовых
“Core banking” осуществлением платежей и переводом
(банковских) операций»
денежных средств
ТК122/ПК № 4 ISO/TC 68/SC 7/WG 9 Стандартизация процессов расчетов с
«Пластиковые карты и иные “Cards and related retail financial использованием банковских карт и
розничные банковские услуги» services“ инструментов розничных платежей
ТК122/ПК № 5 ISO/TC 68/SC 7/WG 10 Стандартизация технологий осуществления
«Мобильные платежи» “Mobile payments“ мобильных платежей
25
© 2011 Cisco and/or its affiliates. All rights reserved. 25/34

26. • Упор на отраслевые стандарты
Разработанные в рамках ТК 122
• Будут разрабатываться новые требования по безопасности
Платежные системы, ДБО…
• Банк России станет официальным регулятором
СТО станет обязательным к применению
• Саморегуляция также возможна
© 2011 Cisco and/or its affiliates. All rights reserved.
26
26/34

27. © 2011 Cisco and/or its affiliates. All rights reserved. 27

28. • ABISS - сообщество организаций, деятельность которых
направлена на развитие и продвижение стандарта Банка
России СТО БР ИББС-1.0, его последующих версий и
дополнений, а также других стандартов, положений и
методических указаний БР, регламентирующих вопросы
информационной безопасности организаций банковской
системы РФ
13 организаций-консультантов – членов ABISS
9 организаций консультантов – кандидатов в члены ABISS
40 кредитных организаций
7 образовательных учреждений
© 2011 Cisco and/or its affiliates. All rights reserved. 28/34

29. ЦБ
ABISS
Консультанты Банки
© 2011 Cisco and/or its affiliates. All rights reserved. 29/34

30. ФСТЭК ФСБ ЦБ РКН
ABISS
Консультанты Банки
© 2011 Cisco and/or its affiliates. All rights reserved. 30/34

31. • Под саморегулированием понимается самостоятельная и
инициативная деятельность, которая осуществляется
субъектами предпринимательской или профессиональной
деятельности и содержанием которой являются разработка и
установление стандартов и правил указанной деятельности, а
также контроль за соблюдением требований указанных
стандартов и правил
• Саморегулирование в соответствии с настоящим
Федеральным законом осуществляется на условиях
объединения субъектов предпринимательской или
профессиональной деятельности в саморегулируемые
организации
© 2011 Cisco and/or its affiliates. All rights reserved. 31/34

32. © 2011 Cisco and/or its affiliates. All rights reserved. 32

33. Стандарт Объект Статус Обязательность Санкции Оценка
защиты соответствия
ISO 270хх Вся КИ Международный Рекомендация Нет Аудит
стандарт
СТО БР БТ, КТ, Отраслевой Рекомендация Нет Аудит,
ПДн стандарт (де-юре) самооценка
Обязательный
(де-факто)
ФЗ-152 ПДн Закон Обязательный Штраф Отсутствует
PCI DSS БТ, ПДн Международный Обязательный Штраф Аудит,
стандарт (де-юре) самооценка
Рекомендация
(де-факто)
© 2011 Cisco and/or its affiliates. All rights reserved. 33/34

34. Спасибо
за внимание!