Семинар RISSPA "Информационная безопасность 2011: итоги, тенденции, перспективы"

Только сейчас нашлось время и собрались мысли, чтобы поделиться впечатлениями от семинара RISSPA "Информационная безопасность 2011: итоги, тенденции, перспективы", который прошел 8 декабря в гостинице "Золотое кольцо".

Общий обзор прошедшего мероприятия уже сделал Валерий Коржов, я же хотел бы остановиться на вопросах, относящихся к банковскому сектору.  

Основные тезисы, связанный с темой ИБ в банковской сфере, прозвучали в выступлении Алексея Лукацкого:

• Легитимность информационных писем Консультационного центра АРБ - в Консультационный центр входят представители РКН, ФСБ, ФСТЭК, ЦБ, АРБ и Ассоциация "Россия", поэтому его информационные письма можно рассматривать как мнение регуляторов - это конечно не официальные документы РКН, ФСБ и ФСТЭК, но позиции, изложенные в письмах, согласованы с этими регуляторами (применительно к кредитным организация) и могут применяться банками при реализации требований по обработке и обеспечению безопасности ПДн.
• Необходимость лицензии на ТЗКИ для собственных нужд - ФСТЭК занял жесткую позицию: деятельность по ТЗКИ для собственных нужд организации является лицензируемой деятельностью, поскольку п.5. ч.1 ст. 12 ФЗ "О лицензировании .." для лицензирования деятельности по ТЗКИ исключение "для обеспечения собственных нужд" не предусмотрено. Данная позиция находит подтверждение и в официальных ответах ФСТЭК, например, тут. Так что вперед 7 млн. операторов =).
• Новинки в Комплексе БР ИББС: 
• РС "Методика назначения и описания ролей" - принята и должна скоро появиться;
• РС "Методика классификации активов" - под вопросом, документ получился  очень большой, да и тема сложная, по которой нет однозначного мнения у экспертов - история с этим документом тянется уже порядка 4 лет;
• РС "Требования по обеспечению безопасности СКЗИ" - планируется к разработке.
• Развитие регулирования ИБ банков: 
• Упор на отраслевые стандарты, разрабатываемые в рамках ТК 122 и рабочих групп ЦБ;
• В ноябре в ЦБ создана рабочая группа по разработке требований по защите Национальной платежной системы - за основу будут брать требования PCI DSS, но в чистом виде этот стандарт использоваться не будет - планируется его трансформация в документ ЦБ;
• Банк России стал официальным регулятором - требования СТО станут обязательными;
• На фоне общей тенденции закручивания гаек (обязательной сертификации, возвращения аттестации, необходимости лицензирования и т.п.) для кредитных организаций есть и будут послабления, в рамках того же Комплекса БР ИББС. 

Кстати, фото с этого семинара можно найти на страничке RISSPA в Facebook.

Консультационный центр АРБ опубликовал информационное письмо, касающееся применения банками СТО БР ИББС в свете изменившегося 152-ФЗ

Консультационный центр АРБ опубликовал новое информационное письмо (№ 5) "Об организации работы CИБ банковских учреждений России в связи с принятием Федерального закона  от 25 июля 2011 года № 261-ФЗ "О внесении изменений в Федеральный закон "О персональных данных".

Напомню, что ранее Консультационный центр АРБ обращалась к банковскому сообществу с  просьбой направлять в их адрес проблемные вопросы, с которыми сталкиваются банки в свете новой редакции 152-ФЗ.

Новое письмо как раз и является ответом, на поступившие в АРБ запросы.

Итак, обо всем по порядку:  

1. Подход к реализации требований по ПДн в банках: в связи с тем, что до настоящего времени не завершено формирование законодательной базы, направленной на выполнение новых требований по защите ПДн, то подход к обеспечению безопасности ПДн в организациях БС РФ остается прежним:

• в случае введения в организации БС РФ Комплекса БР ИББС, следует продолжать руководствоваться отраслевыми документами, содержащими положения по обработке и обеспечению безопасности ПДн, а также порядком, рекомендованном в Письме-обращении;
• в том случае, если не планируется введение комплекса БР ИББС, следует руководствоваться ранее изданными нормативными актами, а впоследствии подзаконными актами, предусмотренными ст. 19 ФЗ № 261 от 25 июля 2011 года, после их издания.  

2. Статус СТО БР ИББС в свете принятия новой редакции 152-ФЗ: легитимный:

• Банк России совместно с РКН, ФСБ  и ФСТЭК ведет работу по согласованию подходов к выполнению БС РФ требований новой редакции 152-ФЗ;
• изучается вопрос о внесении изменений в Комплекс БР ИББС - т.е. решение еще не принято;
• рассматривается возможность выпуска новой редакции письма-обращения Банка Росси, Ассоциации российских банков,  Ассоциации региональных банков России (Ассоциация «Россия») и регуляторов - новое письмо шестерых с адаптацией к новой редакции 152-ФЗ,  о котором уже говорилось на различных мероприятиях. 

3. Срок приведения в соответствие требования по обработке и защите ПДн: остался прежним - до 1 июля 2011,  т.е. все уже должно соответствовать. 

4. АБС и ИСПДн: в части классификации ИСПДн и их отнесения к АБС в дополнение к положениям п. 7.10.9 СТО БР ИББС-1.0-2010 дано следующее разъяснение: 

"Специалисты Банка самостоятельно, проведя обследование эксплуатируемых систем, должны сделать обоснованный вывод на основе сведений о функциях и технологиях АБС о возможности отнесения к ИСПДн. При этом должны учитываться следующие данные: цели создания системы, обрабатываемые в ней персональные данные и т.д."

т.е. банк сам определяет, какая АБС является ИСПДн, а какая нет. Об этом, кстати, уже говорилось в информационном письме № 2 Консультационного центра. 

5. Необходимость использования сертифицированных СЗИ: равнение на СТО БР ИББС, согласно которому эта мера является рекомендованной (см. п.7.4.2 СТО БР ИББС-1.0.2010), в отношении СКЗИ - используются сертифицированные или имеющие разрешение ФСБ СКЗИ (см. п.7.7.2 СТО БР ИББС-1.0.-2010).

Так что, господа банкиры, кто присоединился к СТО БР ИББС, но еще не начал работы по приведению ИБ своих банков в соответствие - самое время начать, пока еще есть возможность использовать деньги из бюджета 2011 года. Пожалуй это лучшее для них применение =) .

Также в письме Консультационного центра АРБ даны разъяснений по другим вопросам обработки ПДн, которые будут интересны не только банкирам, но и другим операторам ПДн: 

• определение уровней защищенности ПД и мер по защите ПД; 
• несогласованность терминов в новой редакции 152-ФЗ и действующими нормативными актами Правительства; 
• обработка ПДн уволившихся сотрудников,  а также клиентов, после расторжения  договоров с ними; 
• обработка ПДн кандидатов на работу; 
• необходимость сбора согласий по договорам, заключенным до принятия 152-ФЗ;
• обработка ПДн в рамках международных транзакций; 
• необходимость учета жестких дисков, на которых обрабатываются ПДн;
• возможные «юридические последствия» отказа предоставления субъектом ПДн;
• уведомление РКН об изменении сведений, изложенных в первоначальном уведомлении «о намерении осуществлять обработку ПДн»; 
• возможные формы согласия на обработку ПДн, в том числе при наличии договора с субъектом ПДн;
• возможные формы отзыва на обработку ПДн; 
• необходимость пересмотра и переделки системы защиты ПДн в случае выхода новых нормативных актов по тематике ПДн. 

В письме затронут также интересный момент, относительно отнесения фотографии к биометрическим ПДн, который вызывает много споров между операторами и регуляторами. Мнение АРБ такое:   

"... фотография или видеозапись, на которой запечатлен человек, могут считаться биометрическими данными (является носителем биометрических ПДн)  только в том случае, если они представлены в электронном виде и получены с применением специальных технологий и технических средств, позволяющих выполнять определенные требования, предъявляемые к форматам записи изображения  (например, в случае фотографии установленные ГОСТ Р ИСО\ МЭК 19794-5-2006)."

т.е. все ксерокопии и сканы с фотографиями, равно как и фото (веб-камеры или фотоаппараты) и видео записи к биометрическим можно не относить.

Место оценки рисков ИБ во внедрении стандарта СТО БР ИББС

В данном посте хотел бы остановиться на таком вопросе, как место оценки рисков ИБ в реализации требований СТО БР ИББС-1.0-2010 (далее - Стандарт):

• насколько оценка рисков ИБ необходима при выполнении работ по приведению информационной безопасности кредитной организации в соответствие с требованиями Стандарта и повышении реального уровня ИБ организации;
• насколько наличие или отсутствие оценки рисков ИБ влияет на уровень соответствия ИБ требованиям Стандарта.

Начнем по порядку.

Как уже много раз говорилось, Стандарт несет в своей основе риск-ориентированный подход к выбору требований по обеспечению информационной безопасности. Однако,  вместе с тем, в самом Стандарте (п.п. 7.1.1, 7.11.4 СТО БР ИББС-1.0-2010) также говорится, что требования к системе ИБ кредитной организации должны основываться не только на результатах оценки рисков ИБ, но в первую очередь на положениях самого Стандарта. Так требования подразделов 7.2-7.11 Стандарта образуют базовый набор требований к системе ИБ, применимый к большинству кредитных организаций, и должен рассматриваться как базовый набор мер по обеспечению ИБ. При проведении работ по приведению ИБ кредитной организации в соответствие требованиям Стандарта в первую очередь необходимо сфокусироваться на реализации именно этих базовых требований.   

В соответствии же с особенностями конкретной кредитной организации данный базовый набор требований может быть расширен путем выполнения деятельности по анализу и оценки рисков ИБ и составлению плана обработки недопустимых рисков ИБ. Т.е. оценка рисков ИБ призвана помочь в формировании дополнительных требований по обеспечению ИБ для ликвидации актуальных угроз ИБ, характерных для конкретной кредитной организации. Дальнейшая реализация дополнительных требований ИБ осуществляется в рамках обработки рисков ИБ  и реализации разработанного плана обработки рисков.

Таким образом, если по результатам оценки соответствия получены результаты, что ИБ в организации находится на начальных уровнях соответствия (нулевой или первый, а может даже и второй), то браться сразу за оценку рисков ИБ, как инструмент обеспечения реальной безопасности, наверное не совсем уместно. Для начала реализуйте те требования к системе ИБ, которые уже сформированы в разделе 7 стандарта, запустите функционирование процессов обеспечения ИБ в соответствии с требованиями раздела 8 Стандарта (такие как управление активами, управление инцидентами ИБ, мониторинг и контроль защитных мер, анализ функционирования СОИБ, реализация улучшений СОИБ  и т.п.). Только после реализации этих подготовительных мероприятий есть смысл переходить к оценки рисков ИБ: и риски будут ниже, так как в банке уже будут реализованы (полностью или частично) базовые защитные меры, и результаты будет более конкретны и полезны для повышения уровня ИБ.

Если же браться за оценку рисков ИБ когда, как говорится, по линии ИБ и конь не валялся, то можно, во-первых, зазря уработаться, а во-вторых, получить в итоге в качестве необходимых для внедрения мер в большей степени те же самые меры, что уже прописаны в Стандарте.

Таким образом, деятельность по управлению рисками ИБ – это все-таки прерогатива организаций с высоким уровнем соответствия ИБ (третий и выше) и высоким уровнем организации менеджмента и осознания ИБ, оценка же рисков ИБ при общем низком уровне ИБ – в большей степени трата денег (особенно при привлечении консультантов) и времени сотрудников банка, которые можно было направить на более полезные действия.

Что касается влияния наличия или отсутствия оценки рисков ИБ на уровень соответствия ИБ требованиям Стандарта (так сказать математики), то многочисленные расчеты показывают, что реализация только базовых требований ИБ, изложенных в разделах 7-8 СТО БР ИББС-1.0 (за исключением требований к деятельности по оценке и обработке рисков ИБ), могут вывести кредитную организацию максимум на третий уровень соответствия требованиям СТО БР ИББС. Для дальнейшего поступательного движения в направлении к рекомендуемому уровню соответствия ИБ без запуска функционирования систему управления рисками ИБ никак не обойтись!

Новая брошюра от компании LETA - "Практический подход к внедрению требований СТО БР ИББС-1.0 в организациях БС РФ"

Компания LETA подготовила и опубликовала брошюру по СТО БР ИББС - "Практический подход к внедрению требований стандарта Банка России по информационной безопасности в организациях банковской системы РФ". 

Фишкой данной брошюры является то, что в ней не просто перечислен набор рекомендаций по приведению информационной безопасности организаций банковской системы РФ в соответствие требованиям СТО БР ИББС-1.0, а представлен взгляд на требования Стандарта с точки зрения его практической реализации в кредитных организациях.

Ни для кого, я думаю, не секрет, что реализация требований СТО БР ИББС-1.0 довольно сложная задача, которую так просто, в лоб, не решишь. В настоящий момент СТО БР ИББС-1.0 содержит более 300 частных требований по ИБ, разбитых на 34 групповых показателя. При этом группировка требований мало согласуется с практическими шагами по внедрению требований Стандарта в кредитных организациях, а в большей степени предназначена для оценки соответствия ИБ. 

В связи с этим экспертами компании LETA (в коем числе и автор сего блога) была продела довольна большая работа по перегруппировке требований стандарта, дабы обеспечить большее понимание со стороны кредитных организаций тех шагов, которые необходимы каждой из них для достижения желаемого ими уровня информационной безопасности.

В брошюре так же представлена предлагаемая компанией LETA общая стратегия по выстраиванию в кредитных организациях системы обеспечения информационной безопасности, основанная на постепенном повышении уровня ИБ путем реализации наборов мероприятий, необходимых для выхода на тот или иной уровень соответствия.

Подробности читайте в брошюре.

ИнфоБезопасность 2011 - Банковский день

Вчера побывал на Банковском дне ИнфоБезопасности 2011. Помимо посещения стендов и общения с коллегами я успел посетить мероприятия по следующим тематикам:

- ОНиВД в стандарте АРБ - встреча с разработчиками стандарта;

- ДБО в свете последних изменений законодательства. Проблемы безопасности ДБО;

- Безопасность банковских приложений;

- Практические вопросы внедрения СТО БР ИББС-1.0-2010

Итак вкратце о каждом.

Круглый стол: ОНиВД в стандарте АРБ - встреча с разработчиками стандарта:

В разработке стандарта АРБ по ОНиВД принимали участие 15 банков, ряд организаций-консультантов и ЦБ, как негласный согласователь. Стандарт разработан на основе лучших практик BS-25999 и с учетом Положения ЦБ 242-П, так в него привнесены те же вопросы ликвидности, которых нет в BS-25999. Текущая версия стандарта - 7.3. При этом представитель ЦБ, присутствовавший на круглом столе, заявил, что официальной процедуры согласования стандартов с ЦБ нет (как и полномочий на это у ЦБ), поэтому ждать официальных подписей от ЦБ на стандарте ждать не стоит. Разработчики же в свою очередь все-таки стараются по максимуму учесть в своих документах замечания представителей ЦБ. 

По мнению разработчиков стандарта, наилучшим форматом его внедрения является вариант с сертификацией, поскольку на выходе организация получает официальное подтверждение независимой стороны о уровне организации по линии ОНиВД. В качестве варианта сертификации предложили проходить сертификацию по BS-25999, которая по сути перекрывает более 90 % стандарта АРБ. 

Всего, помимо стандарта по ОНиВД, Координационым комитетом АРБ по стандартам качества банковской деятельности сейчас разработано порядка 15 стандартов по банковской деятельности, которые они продвигают среди кредитных организаций. 

Круглый стол: Безопасность банковских приложений:

Честно говоря, не самое интересно мероприятие получилось. Слушателей было мало, а к концу осталось еще меньше. Поднимались в основном общие вопросы обеспечения ИБ банковских, а порой и других приложений, например, такие как:

- организация парольной защиты и применение усиленной аутентификации;

- наличие НДВ в разрабатываемых банковских системах;

- обеспечение ИБ на жизненном цикле банковских приложений, в том числе вопросы ИБ при внедрении и эксплуатации АБС.

Но по сути ничего нового и особо интересного сказано не было (не в упрек организаторам и ведущим круглого стола, видимо тема такая) - как результат, вопросов у аудитории особо не возникло =). 

Круглый стол: Практические вопросы внедрения СТО БР ИББС-1.0-2010: 

Вполне предсказуемо основными вопросами, поднимаемыми в рамках круглого стола, были вопросы реализации требований по персональным данным. Чувствовался откровенный мандраж со стороны представителей банков по поводу пошатнувшего статуса СТО БР ИББС и письма шестерых в связи с принятием новой редакции 152-ФЗ. Банкиры интересовались прецедентами проверок регуляторов банков по СТО БР ИББС, но поскольку фактов таких проверок не было, то, по-моему, это только усиливает общее напряжение, потому как не понятно, чего же ждать. 

Лично я считаю, что все основные опасения, не то чтобы не обоснованы, но явно завышены. Письмо шестерых никто не отменял, потому договоренности между ЦБ и регуляторами по-прежнему в силе. Да, ЦБ еще не успел отреагировать на изменения в 152-ФЗ, но ведь и правительство и регуляторы не особо торопятся с этим. Все-таки в России живем, все должны понимать, что быстро ничего не бывает. 

Кредитные организации должны осознавать, что отказ от Стандарта СТО БР ИББС, явно не будет плюсом для кредитной организации, особенно если она уже заявила о его принятии. Поэтому, господа банкиры, если в Ваших организациях выбран курс на внедрение Стандарта ЦБ, то надо планировать и постепенно двигаться в направлении соответствия - никто же от банков не требует моментального результата, все понимают, что внедрение Стандарта, это вопрос как минимум 2-3 лет. Но и затягивать особо не следует =). 

Круглый стол: ДБО в свете последних изменений законодательства. Проблемы безопасности ДБО:

На этом мероприятии хотелось бы остановиться поподробнее, поскольку оно было довольно интересным, насыщенным информацией, а слушателей было больше, чем посадочных мест, так что опоздавшим пришлось слушать стоя.

В докладчиках были представители банков, компании BSS - разработчика систем ДБО, разработчиков средств защиты для ДБО (Алладин, Актив)  и Илья Сачков от Group-IB.

В рамках круглого стола были затронуты следующие темы:

Изменения в законодательстве и их влияния на ДБО:

- принятие 63-ФЗ "Об электронной подписи" и выделение неквалифицированной и квалифицированной ЭП повлечет определенные изменения в функционировании систем ДБО;

- в перспективе в системах ДБО общая тенденция на использование именно квалифицированной ЭП и соответствующих сертифицированных средств. 

Отсутствие стандартизации в ДБО:  

- есть отдельные рекомендации в виде писем ЦБ по вопросам ИБ ДБО (36-Т, 141-Т и др.), но единого свода требований пока нет;

- в АРБ организована рабочая группа по системам ДБО, которая будет заниматься этими вопросами, но в ближайшее время особо можно ничего не ждать, появление первых драфтов - не ранее чем через год; 

- недостаток документов, регламентирующих ИБ в ДБО,  во многом обусловлено тем, что не с кого требовать - основные проблемы возникают на стороне клиентов, а не банков. 

Тенденции преступности в ДБО (выступление Сачкова И.):
Основные причины постоянного роста объемом мошенничества в ДБО:
- сверхприбыли,
- чувство безнаказанности,

- дыры в законодательстве РФ.

В настоящее время в России действуют 6 преступных групп, занимающихся мошенничеством в ДБО, средний заработок каждого члена группы ~ 10 млн. $ в месяц. При этом привлечение мошенников к ответственности является сложно реализуемой задачей. Сложность расследования преступлений в ДБО в частности связана с их распределенностью по нескольким регионам - правоохранительные органы порой откровенно футболят расследование из региона в регион. 

Необходимо срочный пересмотр и внесение изменений в УК в части ужесточения наказаний за участие в преступлениях, связанных в ДБО. Кроме того, необходимо внесение изменений в ФЗ "О банках и банковской деятельности" в части расширения полномочий банков по приостановлению подозрительных операций (на текущий момент законных оснований для остановки мошеннических платежей порой не хватает). 

Мошенники обладают огромным потенциалом, их средства атаки позволяют обойти токены на раз. Практически никто сейчас не может считать себя защищенным.

Кроме того наблюдаются следующие тенденции: 

- повышение профессионализма мошенников при заметании следов - порой приходится использовать специальные средства восстановления информации  (например, средства анализа остаточной намагниченности), дабы восстановить хоть что-то;

- появляется национальный срез среди крышивания обналички средств, полученных через мошенничество в ДБО;

- более 50 % атак по прежнему нацелены на незащищенные хранилища ключевой информации (дискеты);

- практически 100 % атак идут именно на АРМ клиентов ДБО, атаки на АРМ банков были зафиксированы лишь дважды.

Основные векторы атак в ДБО: 

- кража ключевых носителей; 

- проведение операций без ведома пользователя (при подключенном токене);

- подмена платежных документов во время их подписи и отправки. 

Меры противодействия мошенничеству в ДБО:

- финансовый мониторинг (хотя антифрод не всегда срабатывает, т.к., например, в случае последних двух типов атак платежки уходят с тех же компьютеров клиентов); 

- системы подтверждения (например, телефон) отправленных платежей по всем или крупным операциям. 

Также в рамках круглого стола были представлены новые разработки компаний Алладин и Актив, позволяющие во-первых обеспечить доверенность среды на стороны клиента ДБО, а во-вторых обеспечивающие визуализацию платежной информации в этой доверенной среде в момент подписания. Обсуждение одного из подобных решений (Рутокен PINPad) - есть на сайте Банкира. Решения подобного класса показались довольно интересными аудитории, а Илья Сачков попросил их предоставить Group-IB для экспертной оценки.

Решения по автоматизации оценки соответствия ИБ - Обзор новой версии BSAT

В продолжение тематики автоматизации процедур оценки соответствия ИБ кредитных организаций требованиям СТО БР ИББС-1.0 в данном посте хочу поподробнее остановиться на решении от компании LeetSoft, которая анонсировала выход новой версии своей программы BSAT 1.2.

Рассмотрим ее функционал с учетом последних обновлений.

• Радует интерфейс программы - видно, что разработчики постарались сделать его достаточно простым, понятным и удобным в плане работы с ним - хотя местами все-таки намельчили =).
  
• Как я уже говорил ранее, разработчики BSAT в своей программе впервые реализовали раздельную оценок частных показателей по двум шкалам, предлагая аудиторам вместо выставления конечных оценок (0; 0,25; 0,5; 0,75; 1), оценивать отдельно "степень документированности" и "степень выполнения" требования частного показателя (если они присутствуют), а расчет оценки самого частного показателя система берет на себя. Подобное решение с практической точки зрение более удобно и понятно при оценке частных показателей ИБ, да к тому же позволяет потом, при возвращении к частному показателю, быстро понять из каких соображений получилась итоговая оценка. Жаль только, что в BSAT итоговая оценка частного показателя не отображают в самом окне оценки, а доступна только в выгрузках, хотя это м.б. и не столь существенно (напомню, подобный функционал в настоящее время есть у нового решения ISM Revision, но нет в Estimate Tool и в ExactFlow "Оценка соответствия").
  
  
  
• Наконец-то разработчики реализовали в версии 1.2 системы возможность прикрепления к частным показателям свидетельств аудита ИБ (документы, устные высказывания, наблюдения),  что на мой взгляд является большим плюсом для таких систем, поскольку позволяет в одном месте аккумулировать все сведения, касающиеся оценки соответствия.
  
  
  
  Правда нашел ряд недоработок в реализации этого функционала, например такие как:
• отсутствие возможности загрузки самих документов - сейчас можно забить только наименование документа, кем и когда он был утвержден и краткое его описание, при этом поля "утвержден" и "дата документа" являются обязательными для заполнения и не позволяют прикрепить документ, не обладающий такими параметрами (например, какой-нибудь журнал или лист ознакомления) - я бы все-таки порекомендовал в качестве обязательного параметра оставить только "наименование документа";
• возможность прикрепления к каждому частному показателю только одного опроса и одного наблюдения, хотя по факту часто бывает, что их может быть и несколько.
• В системе добавились выгрузки свидетельств аудита в разрезе частных показателей ИБ, но при этом нет общей выгрузки тех же перечней документов, опросов или наблюдений - в отдельных случаях они могут пригодиться.
  
• В системе не реализована оценка уточняющих вопросов по персональным данным Приложения "В" СТО БР ИББС-1.2-2010, а также нет оценки влияния уточняющих вопросов на оценки частных показателей ИБ. В этом плане разработчики ограничились лишь отображением списка уточняющих вопросов для частных показателей ИБ, как некой подсказки при оценке частного показателя. - На мой взгляд это все-таки не полноценный учет, так как подобное решение не несет реальной автоматизации действий аудитора, а заставляет его каждый раз при оценке частного показателя, у которого есть уточняющие вопросы, заново оценивать эти вопросы в наложении с требованием самого частного показателя. Меня, как аудитора, подобная автоматизация не особо прельщает.
• В системе не реализована раздельная оценка частных показателей ИБ в рамках групповых показателей М1-М6 по направлениям банковского платежного, информационного и технологического процесса, в рамках которого обрабатываются ПДн.
  
• В системе жестко проставлены способы оценки по всем частным показателям ИБ (оцениваются только по документированию / только по выполнению / по документированию и выполнению), при этом поменять их не представляется возможным, как, например, можно в Estimate Tool в настройках программы или в ISM Revision в процессе оценке показателей.
  
• Неоспоримым плюсом системы является экспорт и импорт результатов оценок, а также возможность создание оценки на основе существующей, в том числе предыдущей, оценки соответствие. В случае с самооценками - эта функция весьма полезна для банков, так как позволяет сосредоточиться на описании только изменений, произошедших с момента прошлой самооценки. К сожалению в демо-версии системы функции импорта/экспорта не доступны, поэтому оценить их возможности нет.
  

В целом впечатления система оставляет вполне положительные как в плане ее реализации, так и функционала. Единственное пожелание к разработчикам, это все-таки подумать над большей автоматизацией (все тот же учет вопросов приложения "В").

Оценка частных показателей в рамках групповых показателей М1-М6 СТО БР ИББС-1.2-2010 по трем направлениям (БПТП, БИТП, БТППДн)

Сегодня зашел спор насчет того, нужно ли при проведении оценки соответствия ИБ требованиям СТО БР ИББС-1.0 оценивать частные показатели ИБ в рамках групповых показателей М1-М6 СТО БР ИББС-1.2-2010 отдельно по трем направлениям или достаточно выбирать минимальную оценку применительно сразу ко всем оцениваемым направлениям. В связи с эти в рамках данного поста я хочу последовательно изложить свою позицию по этому вопросу. Итак, начнем по порядку. 

Оценка соответствия ИБ требования Стандарта СТО БР ИББС-1.0 выполняется в соответствии с Методикой оценки соответствия СТО БР ИББС-1.2, которая является Стандартом, т. е. ее требования обязательны для выполнения.

Согласно п.7.4 СТО БР ИББС-1.2:

"Оценивание частных показателей в рамках групповых показателей М1÷М6 необходимо осуществлять раздельно по результатам анализа выполнения соответствующих требований СТО БР ИББС -1.0 по следующим направлениям:
— банковский платежный технологический процесс (М7) - (далее - БПТП);
— банковский информационный технологический процесс (М8) - (далее - БИТП);
— банковский технологический процесс, в рамках которого обрабатываются персональные данные (М10) - (далее - БТППДн)."

Далее, согласно п. 7.7 СТО БР ИББС-1.2 оценки М1-М6, полученные по направлениям БПТП, БИТП, БТППДн используются при формировании оценок:
— EVбптп (степень выполнения требований СТО БР ИББС- 1.0, регламентирующих БПТП) - оценки М1-М6 берутся применительно к БПТП;
— EVбитп (степень выполнения требований СТО БР ИББС- 1.0, регламентирующих БИТП) - оценки М1-М6 берутся применительно к БИТП;

— EV1озпд (степень выполнения требований СТО БР ИББС -1.0, регламентирующих защиту ПДн в ИСПДн, без учета оценки степени выполнения требований СТО БР ИББС -1.0 по обеспечению ИБ при использовании СКЗИ) и EV2озпд (степень выполнения требований СТО БР ИББС -1.0, регламентирующих защиту ПДн в ИСПДн, с учетом оценки степени выполнения требований СТО БР ИББС -1.0 по обеспечению ИБ при использовании СКЗИ) - оценки М1-М6 берутся применительно к БТППДн.

И это четко прописано в Стандарте, поэтому разночтений насчет этого быть не должно (!).

Далее оценки EVбитп, EVбптп, EV1озпд, EV2озпд, полученные с учетом оценивания М1-М6 по направлениям БПТП, БИТП, БТППДн, в соответствии с  п.7.6 СТО БР ИББС-1.2 формируют итоговую оценку EV1, отражающую степень выполнения требований СТО БР ИББС -1.0 по направлению “текущий уровень ИБ организации” (EV 1 определяется по наименьшему значению из оценок EVбитп, EVбптп и  EV2озпд).

А в соответствии с  п.11.6 СТО БР ИББС-1.2 оценка EV1озпд и оценка группового показателя М6 (EVм6), опять таки полученная применительно только к БТППДн, включаются в "Подтверждение соответствия организации БС РФ требоватниям СТО БР ИББС-1.0", направляемое регуляторам.

Кроме того, как справедливо было замечено, уточняющие вопросы частных показателей Приложения "В" СТО БР ИББС-1.2, согласно разделу 10 того же СТО БР ББС-1.2, рассматриваются только применительно к БТППДн. При оценке по БПТП и БИТП уточняющие вопросы можно не учитывать.

Надеюсь, я привел достаточно оснований, что оценивать частные показатели в рамках групповых М1-М6 все-таки надо раздельно по БПТП, БИТП и БТППДн (ввиду текущих требований Стандарта СТО БР ИББС-1.2).

Теперь вкратце хотел бы остановиться на том, чем же будет отличаться результат, если оценивать М1-М6 в общем по всем направлениям сразу, например, путем выбора минимальной оценки по БПТП, БИТП и БТППДн, как это предлагается тут. В этом случае, все оценки будут усредняться (а вернее минимизироваться) на уровне частных показателей, в итоге оценка общего группового показателя будет не более минимальной из оценок, которые можно было бы получить, если оценивали отдельно по трем направлениям (а может быть и меньше, так как один частный показатель применительно к БПТП может быть больше чем применительно к БИТП, а другой показатель наоборот по БПТП меньше, а по БИТП больше, в итоге, выбирая минимальную из оценок, мы получаем, что итоговая оценка частного показателя получится меньше все трех оценок, получаемых при отдельной оценке по направлениям).

Далее лавина нарастает, оценки EVбитп, EVбптп, EV1озпд, EV2озпд при оценивании в общем по всем направлениям получаются не больше (а может и меньше) оценок, которые были бы получены при отдельном оценивании по направлениям.

Все это хитросплетение приведет к тому, что итоговая оценка EV1, а за ней и итоговый уровень R будет меньше того уровня, который должен получить при оценке в соответствии с требованиями Стандарта.

Вот такая вот петрушка =).


P.S. Напоследок хотел бы высказать свое мнение, насчет оправданности приведенных выше требований Стандарта по отдельному оцениванию показателей М1-М6 по направлениям БПТП, БИТП и БТППДн.

Я, как и многие мои коллеги, считаю, что все-таки с этим требованием ЦБ несколько перегнул палку. Отдельная оценка по разным направляем усложняет процесс оценки соответствия, увеличия трудозатраты на ее выполнение и документирование результатов. - Мне кажется вполне было бы достаточно введения учета уточняющих вопросов Приложения "В" и оценок по М9-М10, особенно с учетом того, что оценка большей части частных показателей из M1-M6 действительно может не отличаться по разным направлениям (о чем также справедливо было отмечено тут).

Если обратиться к истории и заглянуть в предыдущую версию Стандарта СТО БР ИББС-1.2, то там мы обнаружим п. 7.4 совсем в другой редакции: 

"Оценивание частных показателей в рамках групповых показателей М1÷М6 необходи мо осуществлять по результатам анализа выполнения соответствующих требований СТО БР ИББС -1.0 применительно к организации в целом, включая банковский платежный технологический процесс (М7) и банковский информационный технологический процесс (М8)."

Т.е. раньше в этом плане все было просто отлично - Но (!). Пришел 2010 г. и новые редакции Стандартов, адаптированные под требования законодательства по обработке и обеспечению безопасности ПДн, которые и внесли свои коррективы. 

Поэтому, т.к. теперь требование звучит иначе, то деваться пока некуда, надо оценивать так, как того требует Стандарт, а не пытаться искать оправдания нежеланию более детального анализа выполнения требований по ИБ в организациях БС РФ. Тем более (как я уже говорил тут) этому официально учат аудиторов на курсах в АИС.

Делать же по другому - значит не в полной мере выполнять требования Стандарта.

Новое решение по автоматизации оценки соответствия ИБ требованиям СТО БР ИББС-1.0 - часть 2.

<< начало.
После довольно плотного тестирования новой системы "ISM Revision: Audit Manager" от компании ISM SYSTEMS впечатления у меня остались вполне положительные, а местами система просто порадовала - она буквально вобрала в себя все лучшее, что есть у аналогов, и значительно дополнила общий функционал, а именно:

• В системе впервые реализована раздельная оценка частных показателей в рамках групповых показателей М1-М6 по следующим направлениям:
• банковский платежный технологический процесс;
• банковский информационный технологический процесс;
• банковский технологический процесс, в рамках которого обрабатываются персональные данные.

Новое решение по автоматизации оценки соответствия ИБ требованиям СТО БР ИББС-1.0

Буквально на днях на рынке появилось новое решение по автоматизации оценки соответствия ИБ организаций БС РФ требованиям Стандарта СТО БР ИББС-1.0 под названием "ISM Revision: Audit Manager" (источник тут). 

Разработчиком данного решения является молодая компания ISM SYSTEMS, основанная (если верить описанию с сайта компании) в 2011г. с целью создания программных решений по автоматизации процессов управления информационной безопасностью. 

Первым и довольно значительным отличием данного решения от представленных на сегодняшний день на рынке аналогов (Estimate Tool от ООО НПФ "Кристалл"; BSAT от компании LeetSoft; ExactFlow "Оценка соответствия" компании PACIFICA) является то, что этот инструментарий по замыслам разработчиков (опять-таки если верить описаниям с их сайта) будет не просто отдельным приложением, реализующим только оценку соответствия, но одним из модулей в общей системе автоматизации процессов управления информационной безопасностью, построенной в соответствии с требованиям Стандарта Банка России по информационной безопасности.

Первое заседание Подкомитета № 1 "Безопасность финансовых (банковских) операций" Технического комитета № 122 "Стандарты финансовых операций"

3 августа 2011 года состоялось первое (учредительное) заседание Подкомитета № 1 "Безопасность финансовых (банковских) операций" Технического комитета № 122 "Стандарты финансовых операций", в котором приняли участие представители 26 организаций-членов подкомитета.

Как многие помнят, Банком России ранее было принято решение о переносе всех работ, связанных с совершенствованием и развитием стандартов Банка России по информационной безопасности, именно в Подкомитет № 1 "Безопасность финансовых (банковских) операций" вновь образованного в конце 2010г. Технического комитета № 122, являющегося по сути российским аналогом Технического комитета № 68 Международной организации по стандартизации (ISO).

По итогам заседания принято решение о продолжении деятельности по развитию и реализации в банковской сфере Комплекса БР ИББС и сформированы в рамках подкомитета 4 рабочие группы, которые будут заниматься этой деятельностью по следующим направлениям:

1. Совершенствование основополагающего стандарта Банка России СТО БР ИББС-1.0-2010 и поддерживающих его документов в части обработки информации в соответствии с практикой кредитных организаций и с учетом реализации требований Федерального закона № 152-ФЗ "О персональных данных" (с изменениями) и Федерального закона № 161-ФЗ "О национальной платежной системе".

2. Подготовка предложений по доработке документов Комплекса БР ИББС в направлении реализации требований статьи 19 Федерального закона от 25.07.2011 № 261-ФЗ "О внесении изменений в Федеральный закон "О персональных данных" и статьи 27 Федерального закона от 27 июня 2011 г. № 161-ФЗ "О национальной платежной системе", а также требований соответствующих подзаконных актов.

3. Подготовка предложений по включению стандарта безопасности индустрии платежных карт PCI DSS в состав Комплекса БР ИББС.

4. Выработка требований к обеспечению информационной безопасности при использовании технологий дистанционного банковского обслуживания.

Хотелось бы верить, что результаты работы этих групп будут должным образом скоррелированны друг с другом.

Источник тут.

К сожалению на сайте самого Подкомитета № 1 информации о пройденном заседании нет. Надеюсь, что их сайт все-таки заживет новой жизнью после возобновления работы подкомитета, так как в настоящее время он не подает особых признаков жизни.

АРБ просит банки задавать вопросы по поводу новой редакции 152-ФЗ

Ассоциация российских банков опубликовала на страничке Консультационного центра АРБ письмо от 27.09.2011, в котором обратилась к коммерческим банкам - членам АРБ с  просьбой в срок до 1 сентября сформулировать и направить в адрес Консультационного центра АРБ перечень проблемных вопросов, вытекающих из новой редакции ФЗ-152.

Обобщение полученных от банков запросов позволит разработать дополнительные методики практической реализации  порядка применения его отдельных положений, а также обратиться в регулирующие органы за соответствующими разъяснениями.


Так что, господа банкиры, пишите письма в АРБ.

Интересно, примет ли АРБ письма от банков - не членов АРБ и тех же интеграторов.
У них тоже есть свои вопросы.

Текст письма тут.

Учет Приложения "В" СТО БР ИББС-1.2-2010 при оценке частных показателей ИБ - ч.0

В этом посте хотел бы вернуться немного назад в повествовании об уточняющих вопросах Приложения "В" СТО БР ИББС-1.0 и остановиться на том, что это вообще за вопросы и насколько необходимо их учитывать при оценке соответствия ИБ организаций БС РФ.

Из Таблицы 1 Приложения "В" видно, что уточняющие вопросы являются ничем иным, как отражением отдельных требований РС БР ИББС-2.3-2010 "Требования по обеспечению безопасности ПДн в ИСПДн организаций БС РФ" (всего в Таблице 1 Приложении «В» приведено 34 уточняющих вопроса).  Поскольку требования в РС БР ИББС-2.3 разбиты по классам ИСПДн, то и в Приложении «В» разным классам ИСПДн соответствуют разные наборы уточняющих вопросов (Таблица 2 Приложения «В»):

Письмо АРБ Председателю Правительства РФ Путину В.В. "О новой редакции статьи 19 Федерального закона № 152-ФЗ «О персональных данных»"

Вот и Ассоциация Российских Банков созрела с реакцией на принятие законопроекта № 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (в части уточнения условий и правил обработки персональных данных)". 

12.07.2011 - АРБ направила письмо Председателю Правительства РФ и в Совет Федерации ФС РФ с просьбой:

"рассмотреть вопрос о внесении официальным представителем Правительства в Совете Федерации Федерального Собрания Российской Федерации предложения об отклонении Советом Федерации проекта федерального закона № 282499-5 «О внесении изменений в Федеральный закон «О персональных данных» в целях его доработки согласительной комиссией палат Федерального Собрания Российской Федерации с учетом изложенных (в письме) обстоятельств".

13.07.2011 - Совет Федерации принял законопроект большинством голосов (122 - за, 3 - против, 11 - воздержалось).  Комментарии тут и тут.

Итак, на решение Совета Федерации письмо никак не повлияло (видимо не дошло). 

Будет ли толк от него в дальнейшем - покажет время. 

• Полный текст письма тут.
• Справка к письму тут

Обновление от 18.07.2011:
События продолжают развиваться: в связи с тем, что законопроект 13 июля был принят Советом Федерации, АРБ опубликовано новое письмо: "О новой редакции статьи 19 Федерального закона № 152-ФЗ «О персональных данных»" - теперь уже в адрес Президента РФ.
Просьба все та же:

"...рассмотреть вопрос об отклонении Федерального закона "О внесении изменений в Федеральный закон "О персональных данных".

Открытое письмо Д.А. Медведеву о внесении поправок в ФЗ 152 "О персональных данных"

Как многие из Вас уже знают, 5 июля в третьем чтении был принят законопроект № 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (в части уточнения условий и правил обработки персональных данных)", но совсем не в той форме, в какой планировался ранее.

В связи с этим ряд экспертов в области информационной безопасности (Бондаренко Александр, Волков Алексей, Лукацкий Алексей, Токаренко Александр, Царев Евгений) подготовили открытое письмо Президенту РФ Д.А. Медведеву, текст которого приводится ниже.

Чтобы повысить эффективность данного письма, ОЧЕНЬ ЖЕЛАТЕЛЬНО, чтобы каждый, не равнодушный к этой теме, направил его ЛИЧНО от своего имени в адрес Президента через сайт kremlin.ru. Там необходимо ввести свои фамилию, имя и адрес электронной почты, и приложить файл с обращением, замените "подписантов" на свое имя и отправляйте! 

Чем больше запросов будет в адрес Президента, тем больше шансов, что на письмо обратят внимание - лично я уже отправил от себя это обращение.

 

Текст открытого письма: 

Учет Приложения "В" СТО БР ИББС-1.2-2010 при оценке частных показателей ИБ - ч.1

В данном посте я хотел бы отразить свое понимание требований СТО БР ИББС-1.2-2010 по учету уточняющих вопросов Приложения "В" СТО БР ИББС-1.2 "Уточняющие вопросы частных показателей ИБ для оценки степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в ИСПДн".

Поскольку эта тема достаточно обширна и вызывает много споров, то охватить сразу всё не получится, поэтому я разбил ее на несколько постов, связанных одной тематикой.

В первой части я бы хотел остановиться на общем порядке учета уточняющих вопросов Приложения "В" СТО БР ИББС-1.0 (т.е. требований РС БР ИББС-2.3) при оценке частных показателей ИБ, выделив 4 этапа работ по этой деятельности.

Рейтинг системных интеграторов по ИБ в России за 2008-2011г.г.

Хоть и с небольшим опозданием, но все-таки хочется упомянуть о проведенном информационно-аналитическим центром Anti-Malware.ru анализе рынка системной интеграции в России по направлению информационной безопасности.

В исследовании приводятся расчеты за трехлетний период с 2008г. по 2010г. по таким показателям, как:
- общий объем продаж продуктов и услуг по направлению ИБ;
- объем продаж услуг по направлению ИБ;
- объем поставки ПО и оборудования по ИБ;
- соотношение поставки/услуги в доходах интеграторов по направлению ИБ;
- доли рынка интеграторов по направлению ИБ;
а также делается прогноз развития рынка ИБ в 2011 году.

Данный анализ будет довольно полезен заказчикам при выборе и оценке интеграторов, привлекаемых ими для проведения работ по направлению информационной безопасности, поскольку является неким независимым и профессиональным источников информации о состоянии рынка ИБ в России.

Режим охраны внутрибанковской информации

В ходе изучения тематики инвентаризации и классификации информационных активов в банках на портале ib-bank.ru наткнулся на интереснейшую, на мой взгляд, статью начальника отдела системной экспертизы Департамента информационных технологий ОАО "Промсвязьбанк" Дзержинского Ф.Я. "О тайне внутрибанковской информации"

Эта статья о том, что для банков вытекает из ст. 26 ФЗ "О банках и банковской деятельности": "Все служащие кредитной организации обязаны хранить тайну об операциях, счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону".

Если с первой частью фразы ("тайну об операциях, счетах и вкладах ее клиентов и корреспондентов") все понятно - это сведения составляющие банковскую тайну, то вот насчет второй части ("а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону") как раз и возникают вопросы.

В статье подобные сведения обозначаются термином "устанавливаемые сведения кредитной организации" (УСКО) и показывается каким образом банк может использовать эту статью для охраны внутрибанковской информации, не относящейся к какой-то из установленных ФЗ видам тайн (банковская тайна, коммерческая тайна и т.п.).

Статья конечно 2008г., но с того времени в этом направлении мало что изменилось...

Законопроект устанавливает уголовную ответственность за использование поддельных пластиковых карт

В Госдуму внесен интересный законопроект, устанавливающий уголовную ответственность за использование поддельных пластиковых карт, который может, в случае принятия, уменьшить криминализацию на рынке пластиковых карт.

Текст законопроекта можно скачать тут.
Электронная карта законопроекта находится здесь.

В проекте предлагается внести изменения в статью 187 УК РФ "Изготовление или сбыт поддельных кредитных либо расчетных карт и иных платежных документов", выделив из нее в различные статьи преступления связанные с поддельными платежными документами, не являшихся ценными бумагами, и поддельными платежными картами:

• Статья 187 "Изготовление или сбыт поддельных платежных документов";
• Статья 187.1 "Изготовление или введение в оборот поддельных платежных карт".

При этом под введением в оборот поддельной платежной карты понимается осуществление с её помощью расчётов при оплате товаров, работ, услуг, получение наличных денежных средств в банкоматах, а также пунктах выдачи наличных денежных средств или действия по совершению сделок с указанной картой, предполагающие её переход к иному владельцу (продажа, обмен, дарение и т.п.) - т.е. использование пластиковой карты.

Если законопроект станет реальностью, то, по замыслу авторов, за пользование поддельной платежной картой можно будет получить от двух до шести лет со штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет либо без такового. В отношении группы лиц, а равно с причинением ущерба в особо крупном размере санкции будут еще суровей - до восьми лет лишения свободы.

На сегодняшний же день в действующем законодательстве уголовная статья есть лишь за изготовление и сбыт поддельных карт.

Свежая статистика по принятию Стандарта СТО БР ИББС-1.0

На III Конференции "IT-безопасность в финансовом секторе", состоявшейся 16 марта 2011 года в Москве, была представлена свежая статистика принятия Стандарта СТО БР ИББС.

Так, Валерий Харламов, начальник отдела методологии обеспечения безопасности информационных ресурсов главного управления безопасности и защиты информации Банка России, в своем выступлении сообщил, что в результате опроса 853 участников банковской системы РФ выяснилось, что 46,9% кредитно-финансовых организаций (из заявленных 853) уже приняли решение о вводе комплекса стандартов БР ИБСС. 361 организация (примерно 42% от общего числа) планирует вводить стандарты в ближайшее время, при этом 284 из них (такие как Альфа Банк, Петрокоммерц) – уже в 2011 году. План мероприятий по приведению организации в соответствие с требованиями Комплекса БР ИБСС утвержден в 381 организациях БС РФ. Около 380 членов БС РФ планируют его утвердить, из них 198 – в первом полугодии 2011 года.

При этом ряд банков открыто заявляют об отказе в принятии стандарта СТО БР ИББС - таких порядка 5-10%, как правило, небольших банков. Там жалуются, что выполнение требований отраслевого стандарта информационной безопасности для них «непосильно дорого».

На III Межбанковская конференция «Информационная безопасность банков», прошедшей в феврале 2011г. в Магнитогорске была представлена следующая статистика ввода в действие Комплекса СТО БР ИББС (было опрошено 668 организаций БС РФ):

• приняли решение о вводе - 311 (46,6%).
• планируют ввод - 288 (43,1%), из них 223 – в 2011г.

В динамике получается как-то так:

Откуда ноги растут у уровней соответствия ИБ требованиям СТО БР ИББС-1.0

Согласно СТО БР ИББС-1.2-2010 итоговый уровень соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 (R) выражается в числовом виде значением от 0 до 1.

При этом выделяются 6 уровней соответствия ИБ организации требованиям стандарта, исходя из значения R:

• нулевой - значение R лежит в интервале от 0 до 0,25;
• первый - значение R лежит в интервале от 0,25 до 0,5;
• второй - значение R лежит в интервале от 0,5 до 0,7;
• третий - значение R лежит в интервале от 0,7 до 0,85;
• четвертый - значение R лежит в интервале от 0,85 до 0,95;
• пятый - значение R лежит в интервале от 0,95 до 1 включительно.  
  

А теперь вопрос: а откуда же взялись эти самые шесть уровней соответствия? Все знают? 

Ресурсы с информацией об инцидентах безопасности

Наткнулся в Интернете на интересный ресурс с информацией о преступлениях в банковской сфере (с 2004г. и по настоящее время). Есть среди них и преступления, относящиеся к ИБ. 

Недавно о подобного рода ресурсах писал Александр Бондаренко , а вернее об их катастрофической нехватке применительно к инцидентам информационной безопасности в России (да и другим тоже). Его стараниями на сайте LinkedIn создана подгруппа, посвященная опубликованию и обсуждению произошедших инцидентов ИБ. На данный момент собрана информация о 14 инцидентах ИБ.