Консалтинг ИБ для финансовых учреждений

FAQ

• Как часто нужно проводить независимый аудит информационной безопасности финансовым организациям?

  Кредитные организации и субъекты национальной платежной системы обязаны проводить независимый аудит раз в два года. Большинство некредитных финансовых организаций (НФО) — не реже одного раза в 3 года. Также обязательна ежегодная оценка соответствия для систем, связанных с Единой биометрической системой (ЕБС).

  Участник платформы цифрового рубля должны раз в два года привлекать организации со специальной лицензией ФСТЭК для оценки соответствия требованиям Положение ЦБ РФ № 833.

• Обязательно ли банкам проводить тестирование на проникновение (пентест) для банка?

  Согласно положениям ЦБ (№ 683-П, 719-П, 757-П) банки и некредитные финансовые организации обязаны проводить тестирование не реже одного раза в год. Периодичность пентестов устанавливается внутренними документами банка на основе оценки рисков.

• Какие именно системы банка должны обязательно тестировать на проникновение?

  Пентесту должны подвергаться объекты информационной инфраструктуры, используемые для осуществления банковских операций. В обязательном порядке это включает интернет и мобильный банк (приложения и серверная часть, все системы дистанционного банковского обслуживания, ПО, вычислительное и телекоммуникационное оборудование и т.д. Недостаточно тестировать только системы внешнего периметра, необходимо проводить пентесты и в отношении внутренних компонентов.

• В чем специфика защиты персональных данных (152-ФЗ) в финансовом секторе?

  Финансовые организации обрабатывают особые категории ПДн (биометрия, финансовые транзакции) в огромных объемах. Требования ужесточены стандартами ЦБ и необходимостью обеспечения безопасности в рамках Единой биометрической системы (ЕБС). Подход должен быть комплексным: от правовых документов до технических средств шифрования и мониторинга.

• Какие лицензии и сертификаты должны быть у подрядчика по ИБ для работы с банками?

  Для проведения легитимных работ необходимы следующие документы:

  • Лицензии ФСТЭК и ФСБ на деятельность по ТЗКИ и криптографии.
  • Сертификаты специалистов международного уровня (CISA, CISSP, CISM) и по национальным стандартам.

• Выполнение каких требований проверяет Банк России в сфере ИБ?

  Банк России проверяет комплексное соблюдение требований, основными из которых являются:

  • Положения ЦБ РФ 850-П и 779-П, 716-П, 833-П, 851-П и другие.
  • Серия национальных стандартов ГОСТ Р 57580.

  Также регуляторами в области информационной безопасности в банковской сфере выступают ФСТЭК, Роскомнадзор, ФСБ РФ и другие, которые проверяют выполнение требований своих ведомственных нормативных актов.