Download as PDF, PPTX
Uploaded byAleksey Lukatskiy
Новая триада законодательства по финансовой безопасности
Документ обсуждает законодательные изменения и требования к критической информационной инфраструктуре (КИИ) в сфере финансовой кибербезопасности в России. Он охватывает процедурные аспекты categorization и уведомление о инцидентах, а также роль различных государственных органов и финансовых организаций. Указываются требования к техническим средствам и взаимодействию субъектов КИИ с государственными системами защиты информации.
Law◦
More Related Content
Similar to Новая триада законодательства по финансовой безопасности
Новая триада законодательства по финансовой безопасности
- 1. Бизнес-консультант по безопасности Новаятриада законодательства финансовой кибербезопасности Алексей Лукацкий
- 2. О чем мыбудем говорить? КИИ ГОСТ 382-П
- 3.
- 4.
- 5. Субъект ли яили право имею?.. • Субъекты КИИ – государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или ином законном основании принадлежат ИС, ИТС, АСУ, функционирующие в сфере… !
- 6. Сферы, в которыхесть КИИ 1. Здравоохранение 2. Наука 3. Транспорт 4. Связь 5. Энергетика 6. Банковская сфера и финансовые рынки 7. ТЭК 8. Атомная энергетика 9. Оборонная промышленность 10. Ракетно-космическая промышленность 11. Горнодобывающая промышленность 12. Металлургическая промышленность 13. Химическая промышленность 14. Обеспечение взаимодействия между пп.1-13 !
- 7. Есть ли уменя объекты КИИ? • Множество разных ИС АБС Процессинг ДБО Кадры Бухгалтерия Web-сайт СКУД и др. • Такие системы являются объектами КИИ, но скорее всего незначимыми !
- 8. А вот вПП-127 говорится о критических процессах… • Есть два подхода От закона: все ИС – это объекты КИИ От ПП-127: только те ИС, которые обслуживают критические процессы – это объекты КИИ • А какая разница? !
- 9. Процедура категорирования 1. Определениевсех процессов 2. Выявление критических процессов 3. Определение объектов, которые обрабатывают информацию, необходимую для обеспечения выполнения критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов, формирование перечня объектов КИИ, подлежащих категорированию 4. Оценка последствий 5. Установление соответствия объектов КИИ значениям показателей критериев и присвоение одной из категорий
- 10. У кого могутбыть значимые объекты? • 31 финансовая организация с участием государства • 1 банк как стратегическое предприятие и стратегическое АО • 11 системно значимых кредитных организаций • 4 системно значимые инфраструктурные организации финансового рынка • 8 операторов услуг платежной инфраструктуры системно и (или) социально значимых (но не национально значимых) платежных систем
- 11. Финансовые организации сучастием государства • Банк России • Сбербанк • Внешэкономбанк • Национальный Клиринговый Центр • ВТБ • Россельхозбанк • Газпромбанк • Глобэкс (как дочка ВЭБ) • Связь-Банк (как дочка ВЭБ) • МСП Банк (как дочка Федеральной корпорация по развитию малого и среднего предпринимательства) • Российский капитал (как дочка АИЖК) • ВБРР • Почта Банк (как дочка ВТБ и Почты России) • РНКБ (как дочка Росимущества) • Еврофинанс Моснарбанк (как дочка ГПБ и ВТБ) • Крайинвестбанк • Дальневосточный Банк • Акибанк • Алмазэргиэнбанк • Московское Ипотечное Агентство • Росэксимбанк • БМ-Банк • Русь • Хакасский Муниципальный Банк • Банк Казани • Почтобанк (не путать с Почта Банк) • Новикомбанк • НСПК • Открытие • Бинбанк • Ростбанк • Уралприватбанк Оценка автора
- 12. Системно значимые кредитные организации •АО ЮниКредит Банк • Банк ГПБ • Банк ВТБ • АО «АЛЬФА-БАНК» • ПАО Сбербанк • ПАО «Московский Кредитный Банк» • ПАО Банк «ФК Открытие» • ПАО РОСБАНК • ПАО «Промсвязьбанк» • АО «Райффайзенбанк» • АО «Россельхозбанк» Оценка автора
- 13. Системно значимые инфраструктурные организациифинансового рынка • Центральный депозитарий • Расчетный депозитарий • Репозитарий • Центральный контрагент Оценка автора
- 14. Операторы услуг платежнойинфраструктуры системно и (или) социально значимых ПС • Русславбанк и ВТБ (для CONTACT) • НСПК, Банк России (для Visa) • Платежный центр, Золотая корона (для Золотой короны) • Национальный расчетный депозитарий (для НРД) • НСПК, Банк России (для MasterCard) • ВТБ (для ПС ВТБ) • Сбербанк (для ПС Сбербанка) • Рапида, ВТБ (для Рапиды) Оценка автора Не путать с национально значимыми ПС!
- 15. Нюансы категорирования • Категорируетсяне субъект, а объект КИИ • Разные объекты могут иметь разные категории • Последствия оцениваются для отдельного объекта КИИ • Ни с кем согласовывать перечень не надо ! Вы помните ПП-584?
- 16. Что надо ещеделать для выполнения закона? ☔ Категорирование Обеспечение ИБ (ФСТЭК) Обнаружение атак (ФСБ) Присоединение к ГосСОПКЕ
- 17. Чем будет регулироватьсяГосСОПКА? Пока проекты приказов
- 18. Порядок информирования ФСБоб инцидентах • Информировать надо обо всех инцидентах на всех объектах КИИ (а не только на значимых) • Информация отправляется через инфраструктуру НКЦКИ или посредством почтовой, факсимильной, электронной или телефонной связи • Формат определяется НКЦКИ • Если субъект КИИ – финансовая организация, то информирование в два адреса – ФСБ и ЦБ Об этом же говорит и новая редакция 382-П
- 19. Почему ФинЦЕРТ –не центр ГосСОПКИ? • ФинЦЕРТ не является ни ведомственным, ни корпоративным центром ГосСОПКА и финансовые организации должны самостоятельно направлять данные об инцидентах в ГосСОПКУ !
- 20. Обмен данными сГосСОПКОЙ • Обмен информацией об инцидентах между субъектами КИИ не позднее 24-х часов с момента обнаружения между собой и дублированием через НКЦКИ • Обмен посредством почтовой, факсимильной, электронной и телефонной связи или инфраструктуры НКЦКИ • Информация иностранным организациям направляется через НКЦКИ 12 часов - в случае принятия положительного решения об этом 24 часа – в случае отказа
- 21. Как передаются сведенияоб инцидентах? Субъекты с значимыми объектами • Через техническую инфраструктуру НКЦКИ • Если подключение к инфраструктуре отсутствует, то посредством почтовой, факсимильной, электронной или телефонной связи Иные субъекты • Посредством почтовой, факсимильной, электронной или телефонной связи • При наличии подключения к технической инфраструктуре НКЦКИ – через нее
- 22. Какие сведения получаетГосСОПКА? • Информация из реестра значимых объектов КИИ • Информация об отсутствии необходимости присвоения объекту КИИ одной из категорий значимости • Информация об исключении объекта КИИ из реестра значимых объектов КИИ, а также об изменении категории значимости значимого объекта КИИ • Информация по итогам проведения государственного контроля в области обеспечения безопасности значимых объектов КИИ о нарушении требований по обеспечению безопасности значимых объектов КИИ, в результате которого создаются предпосылки возникновения компьютерных инцидентов Эти сведения предоставляются ФСТЭК в течение 5 дней
- 23. Какие сведения получаетГосСОПКА? • О компьютерных инцидентах, произошедших на объектах КИИ Дата, время и место Наличие связи между инцидентом и атакой Связь с другими инцидентами Состав технических параметров инцидента Последствия • Иная информация в области обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, представление которой субъектами КИИ и иными не являющимися субъектами КИИ органами и организациями, в том числе иностранными и международными, согласовано с НКЦКИ
- 24. Как субъекты реагируютна инциденты? • Реагирование на КИ с задействованием собственных сил и средств • Информирование ФСБ для получения практической помощи • Ждать каких-то методических рекомендаций пока не стоит – ориентируйтесь на документы Банка России по управлению инцидентами
- 25. Кому и какотправлять данные об инцидентах? • По 552-П и проекту 382-П данные об инцидентах надо направлять в ФинЦЕРТ • По ФЗ-187 данные об инцидентах надо направлять в ГосСОПКУ и ФинЦЕРТ • Проект стандарта СТО БР ИББС 1.5 определяет формат информационного обмена об инцидентах Стандарт согласован с ФСБ
- 26. О каких инцидентахнужно сообщать? 1. ВПО (включая APT и бот-агентов) 2. Несанкционированный доступ 3. Эксплуатация уязвимости 4. DoS/DDoS 5. Перебор паролей 6. Центр управления бот-сети 7. Фишинг (мошенничество) 8. Вредоносный ресурс 9. Запрещенный контент 10.Сканирование ресурсов 11.Спам 12.Нарушение политики безопасности 13.Другое Для каждого типа инцидента описывается свой объем информации ! Об этом типе инцидентов в последнее время много писали СМИ
- 27. Технические средства ГосСОПКА •Средства обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на КИ обеспечивают следующие задачи: Средства обнаружения атак Средства предупреждения атак Средства ликвидации последствий атак и реагирования на компьютерные инциденты Средства поиска признаков атак Средства обмена информацией, необходимой субъектам КИИ при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак Средства криптографической защиты такой информации Одно или несколько средств
- 28. Требования к техническимсредствам ГосСОПКА • Отсутствие принудительного обновления ПО и управления с территории иностранного государства • Отсутствие возможности несанкционированной передачи информации, включая технологическую, в том числе их разработчику (производителю) • Возможность осуществления их модернизации силами российских организаций без участия иностранных организаций и организаций с иностранными инвестициями • Обеспечение гарантийной и технической поддержкой российскими организациями без участия иностранных организаций и организаций с иностранными инвестициями • Отсутствие недекларированных возможностей в ПО
- 29. Требования к средствамв части обнаружения атак • Сбор и первичная обработка информации, поступающей от источников событий информационной безопасности • Автоматический анализ событий ИБ и выявление компьютерных инцидентов (компьютерных атак) • Ретроспективный анализ данных и выявление не обнаруженных ранее компьютерных инцидентов SIEM???
- 30. Требования к средствамв части предупреждения атак • Сбор и обработка сведений об инфраструктуре контролируемых информационных ресурсов и справочной информации • Сбор и обработка сведений об уязвимостях и недостатках в настройке ПО, используемого на объектах контролируемых информационных ресурсов • Учет угроз безопасности информации Сканеры уязвимостей и анализаторы векторов атак???
- 31. Требования к средствамв части ликвидации последствий атак • Учет и обработка компьютерных инцидентов • Управление процессами реагирования на компьютерные инциденты и ликвидации последствий компьютерных атак • Обеспечение взаимодействия с НКЦКИ • Информационно-аналитическое сопровождение IRP???
- 32. Требования к СКЗИ •СКЗИ должны быть сертифицированными
- 33. Порядок, технические условияустановки и эксплуатации техсредств ГосСОПКИ • Документ определяет порядок и техусловия установки и эксплуатации техсредств ГосСОПКИ, за исключением средств поиска признаков атак у операторов связи и в банковской сфере и иных сферах финансового рынка • Установка средств согласовывается субъектом с НКЦКИ • Установка, прием в эксплуатацию, эксплуатация осуществляются субъектом КИИ или привлекаемой по договору организацией
- 34. Порядок реагирования наинциденты • Субъект осуществляет реагирование на инциденты в соответствие с разработанным планом Для значимых объектов - обязательно • Один раз в год осуществляется тестирование плана (киберучения) • Может понадобиться согласование с 8-м Центром ФСБ регламента взаимодействия с подразделениями ФСБ для реагирования на инциденты В каких случаях нужно взаимодействие с ФСБ непонятно
- 35. Надо ли мнезащищаться, если у меня нет значимых объектов КИИ? • Необходимо обеспечить информирование ГосСОПКИ и Банка России (если речь идет о финансовых организациях) об инцидентах • Необходимо содействовать сотрудникам ФСБ при расследовании инцидентов • Порядок информирования и содействия должны быть еще разработаны
- 36. ФСТЭК vs ФСБ ФСТЭК •Требования по защите отдельных объектов КИИ • Надзор за выполнением требований по защите • Требования к средствам защиты ИС/ИТС/АСУ ФСБ • Требования к центрам ГосСОПКИ • Требования к техническим средствам центров ГосСОПКИ • Оценка состояния защищенности • Требования по обнаружению и реагированию на атаки Предотвращение Обнаружение Реагирование
- 37. Обратите внимание! Значимые Незначимые Объекты КИИ Требования побезопасности ФСТЭК предъявляются только к значимым объектам КИИ Незначимые объекты КИИ могут продолжать относиться к ИСПДн, АСУ ТП, АБС и т.п.
- 38. Обратите внимание! Незначимый объект 21-й приказ 31-й приказ (v2014) 17 приказ ГОСТ ЦБ 382-П PCI DSS ... Действующиедокументы по ИБ ФСТЭК, Банка России, ФСБ, Минкомсвязи продолжают действовать!
- 39. Что подготовила ФСТЭК? •Требования к созданию системы безопасности значимых объектов КИИ (общие требования для субъектов КИИ) Приказ №235 • Требования по безопасности значимых объектов КИИ (по аналогии с 17-м и 31-м приказами ФСТЭК) Приказ №239
- 40. Ключевые моменты • Привлекаемыедля защиты организации должны быть лицензиатами • Оценка соответствия средств защиты в форме сертификации, испытаний или приемки • Средства защиты должны иметь поддержку • Не допускается Удаленный или локальный бесконтрольный доступ или обновление внешними лицами Передача информации разработчику средства защиты без контроля со стороны субъекта КИИ
- 41. Требования по защите •Сопоставимы с требованиями 21/31-го приказов, но имеются и определенные отличия: Ориентация только на значимые объекты 3 категории значимости Перечисление списка объектов защиты Более детальный раздел по анализу и моделированию угроз Разработка ПО осуществляется в соответствие с ГОСТом на SDLC Анализ уязвимостей, в том числе в коде ПО, архитектуры и конфигурации Информирование и обучение персонала
- 42. Новые требования позащите • Анализ сетевого трафика (NTA) • Анализ действий пользователей (UEBA) • Проведение внутреннего и внешнего аудита • Антивирус для почты и иных сервисов • Антивирусы разных производителей • Песочница • Защита от DDoS В остальном сопоставимо с требованиями 21-го приказа
- 43.
- 44. Новая редакция 382-П •Установление правил организации работ и оценки соответствия АБС и приложений, применяемых для перевода денежных средств • Отказ от самооценки • Разделение контуров подготовки и подтверждения поручений на осуществление перевода денежных средств • Информирование об инцидентах и новое понятие инцидента • Переход на российскую криптографию в НПС и для защиты ПДн
- 45. Информирование об инцидентах •Вводится обязанность по информированию ЦБ об инцидентах ИБ, а также о планируемых мероприятиях по раскрытию информации о инцидентах • Перечень инцидентов будет опубликован на сайте Банка России (СТО 1.5?) • Порядок уведомления должен быть согласован с ФСБ • Статус СТО 1.5??? • Протокол обмена, формат карточки инцидента???
- 46. Оценка соответствия банковскогоПО • Прикладное ПО, используемое для осуществления переводов денежных средств, должно быть сертифицировано ФСТЭК или в отношении которого проведен анализ уязвимостей по ОУД4 • Где взять столько испытательных лабораторий? • Разработчики готовы? • ФСТЭК отказывается от «Общих критериев» • Agile-разработка? • Постоянные обновления банковского ПО под регулярно обновляемые требования ЦБ • Оценка проводится лицензиатами ФСТЭК
- 47. Разделение контуров • Применяютсяпри осуществлении переводов денежных средств с использованием сети «Интернет» и (или) размещении клиентских компонентов на средствах вычислительной техники, для которых оператором по переводу денежных средств не обеспечивается непосредственный контроль защиты информации от воздействия вредоносного кода
- 48. …и его альтернатива •Альтернатива: • ограничение максимальной суммы перевода денежных средств за одну операцию и (или) за определенных период времени • определение перечня возможных получателей денежных средств • определение временного периода, в который могут быть совершены переводы денежных средств • определение географического местоположения устройств, с использованием которых может осуществляться подготовка и (или) подтверждение клиентом электронных сообщений • определение перечня устройств, с использованием которых может осуществляться подготовка и (или) подтверждение клиентом электронных сообщений, на основе идентификаторов указанных устройств • определение перечня предоставляемых услуг, связанных с осуществлением переводов денежных средств
- 49. Переход на российскуюкриптографию • Все значимые платежные системы (например, Сбербанк, Visa, Master Card и НСПК) должны перейти на • Российскую криптографию • Отечественные HSM и иные СКЗИ с поддержкой зарубежных алгоритмов, согласованных с ФСБ • Банкоматы, POS-терминалы, ДБО… • Сертификация отечественных СКЗИ в МПС??? • Мгновенно перейти нельзя – поддержка двух систем шифрования?
- 50. Сроки Требование Сроки Сертификация прикладногоПО или оценка уязвимостей по ОУД4 01.01.2020 Пентесты и анализ уязвимостей объектов информационной инфраструктуры 01.07.2018 Разделение контуров 01.01.2020 Применение в значимых платежных системах HSM на базе иностранных криптографических алгоритмов, согласованных ФСБ, и вообще иностранных СКЗИ 01.01.2024 Применение в значимых платежных системах HSM на базе иностранных криптоалгоритмов и ГОСТов по криптографии, подтвержденных ФСБ 01.01.2031 Применение в значимых платежных системах СКЗИ на базе иностранных криптоалгоритмов и ГОСТов по криптографии (исключая HSM), подтвержденных ФСБ 01.01.2031 Применение в национально значимых платежных системах HSM на базе иностранных криптоалгоритмов и ГОСТов по криптографии, подтвержденных ФСБ, в соответствие с 3342-У про требования к ИТ в национально значимых платежных системах 01.01.2031
- 51. Будущая редакция 382-П •Изменение идеологии • Исключение технических вопросов обеспечения информационной безопасности • Установление нормативных ссылок на ГОСТ • Установление только технологических и организационных требований
- 52.
- 53. Новый ГОСТ • Положениянастоящего стандарта, предназначены для использования кредитными организациями и некредитными финансовыми организациями • Объектами стандартизации разрабатываемого проекта национального стандарта являются уровни защиты информации и соответствующий им базовый состав организационных и технических мер защиты информации • ГОСТ 57580.1-2017
- 54. Выбор защитных мер •Выбор мер по обеспечению безопасности, подлежащих реализации в системе защиты, включает • выбор базового состава мер • адаптацию выбранного базового набора мер применительно к структурно-функциональным характеристикам ИС, реализуемым ИТ, особенностям функционирования ИС • уточнение (включает дополнение или исключение) • дополнение адаптированного базового набора мер по обеспечению безопасности дополнительными мерами, установленными иными нормативными актами Базовый уровень Адаптация (уточнение) базового набора Дополнение уточненного адаптированного набора Компенсационные меры
- 55. Уровни защиты • Стандартопределяет три уровня защиты информации: • уровень 3 – минимальный • уровень 2 – стандартный • уровень 1 – усиленный • Уровень защиты информации для конкретной области применения устанавливается Банком России и зависит от: • вида деятельности финансовой организации, состава реализуемых бизнес- процессов и (или) технологических процессов • объема финансовых операций • размера организации, отнесения финансовой организации к категории малых предприятий и микропредприятий • значимости финансовой организации для финансового рынка и национальной платежной системы
- 56. Защитные меры/процессы • «Обеспечениезащиты информации при управлении доступом»: • управление учетными записями и правами субъектов логического доступа • идентификация, аутентификация, авторизация и разграничение доступа при осуществлении логического доступа • защита информации при осуществлении физического доступа • идентификация, классификация и учет ресурсов и объектов доступа • «Обеспечение защиты вычислительных сетей»: • сегментация и межсетевое экранирование вычислительных сетей • выявление сетевых вторжений и атак • защита информации, передаваемой по вычислительным сетям • защита беспроводных сетей
- 57. Защитные меры/процессы • «Контрольцелостности и защищенности информационной инфраструктуры» • «Антивирусная защита» • «Предотвращение утечек информации, защита машинных носителей информации (МНИ)» • «Управление инцидентами защиты информации»: • мониторинг и анализ событий защиты информации; • обнаружение инцидентов защиты информации и реагирование на них; • «Защита среды виртуализации» • «Защита информации при осуществлении удаленного логического доступа с использованием мобильных (переносных) устройств»
- 58. Сертификация средств защитыи прикладного ПО
- 59. Можно ли отказатьсяот сертификации?
- 60. Дорожная карта стандартизациипо ИБ Банка России • Домен УКР – «управление киберриском» • Домен ЗИ – «защита информации» • Домен СО – «мониторинг киберрисков и ситуационная осведомленность» • Домен ОНД – «обеспечение непрерывности выполнения бизнес и технологических процессов финансовых организаций в случае реализации информационных угроз» • Домен УА – «управлением киберриском при аутсорсинге и использовании сторонних информационных услуг (сервисов)» • Домен УИ – «управление инцидентами ИБ»
- 61. Стандарты по защите информации ГО СТ57580.1 ГО СТ 57580.2 Стандарты по ОИБ и управлению рисками О бщ ие положения О ценка соответствия Аудит ИБ Аутсорсинг и использование информационных сервисов Аутсорсинг Использование инф ормационных сервисов О ценка соответствия Стандарты по управлению инцидентами Требования и меры организации Сбор и анализ технических данных Взаимодействие с Ф инЦЕРТ (СТО 1.5) Стандарт по непрерывности Требования и меры реализации О ценка соответствия Мониторинг киберрисков и ситуационная осведомленность Требования и меры реализации О ценка соответствия Направления стандартизации Банка России Источник: план работы ПК1 ТК122
- 62. Подводим итоги • ЦБполучает новые полномочия по регулированию вопросов кибербезопасности финансовых организаций (не только банков) и будет усиливать работы в этом направлении • ФСБ тормозит процесс реализации мер по информированию об инцидентах, что приводит к неопределенности • ФСТЭК не будет вмешиваться в процесс ИБ финансовых организаций (исключая, возможно, ЗОКИИ) • Требования ГОСТ 57580.1 и 239-го приказа пересекаются на 100% в части технической реализации • В 239-м больше защитных мер • В ГОСТ больше организационно-процессных мер • Сертификация средств защиты не является обязательной, в отличие от СКЗИ и прикладного финансового ПО (привет, PA DSS)
- 63.