С 2019 года небольшие банки смогут не представлять в ЦБ полные отчеты о кибератаках. После вступления в силу пропорционального регулирования подробно сообщать о киберинцидентах будут только организации с универсальной лицензией, сообщили газете «Известия» в Банке России, пояснив, что для оценки финансовой составляющей потерь от кибератак нужны продвинутые технологические и математические инструменты, которыми небольшой банк с базовой лицензией может не обладать.
«Для банков с базовой лицензией может остаться более простой для расчета и контроля критерий эффективности системы управления киберрисками. Это доля пропущенных (реализованных) значимых инцидентов информационной безопасности по отношению ко всем зарегистрированным инцидентам в течение отчетного периода», — рассказали газете в пресс-службе ЦБ.
В документах, которые банки направляют в ЦБ сегодня, должны фиксироваться все случаи, связанные с нарушениями при переводе денежных средств клиентами: к примеру, кражи CVV-кода и других данных карты при оплате счета в ресторане или случаи скимминга (когда злоумышленники устанавливают на банкоматы специальные считывающие устройства, а затем похищают деньги). Финансовые организации представляют в ЦБ таблицу, где отражены сам факт инцидента со способом нанесения ущерба, его дата, оператор платежной системы, последствия нарушения, предпринятые действия по устранению его последствий, а также факт обращения в правоохранительные органы. Если нарушений нет, во всех соответствующих графах проставляются нули.
На основе отчетности о кибератаках Центробанк формирует и оценивает наиболее распространенные проблемы в обеспечении безопасности российских банков и в результате разрабатывает нормативные документы и рекомендации. Их исполнение позволяет банкам избегать появления подобных проблем в будущем. Основным источником таких отчетов являются большие банки: чем крупнее инфраструктура банка, тем привлекательнее он для атакующих, отметил директор Positive Technologies по методологии и стандартизации Дмитрий Кузнецов. Поэтому ЦБ опирается на информацию от крупных банков как на репрезентативную выборку, поясняет эксперт.
Иллюстрация к статье: