Требования НБУ - можно ли их выполнить?

Под таким девизом прошло на этой неделе заседание клуба БИТ (Клуб Банковских IT-Менеджеров).
На повестке дня было обсуждение подходов по внедрению двух банковских стандартов по информационной безопасности.

Основным докладчиком выступил директор одной из консалтинговых фирм, которая "рискнула" продать услуги по внедрению СУИБ одному из крупных украинских банков еще до разъяснений Нацбанка "а что собственно нужно делать и по какой методологии". Примечательно, что на заседании присутствовала Ирина Сергеевна Ивченко - главный автор адаптированных стандартов. Занимательно было наблюдать, как консультант ссылался на то, что продали услуги банку, проконсультировавшись и заручившись поддержкой НБУ, а Ирина Сергеевна комментировала места в подходе (уже проданном!) с которыми она не согласна (терминология и т.д.).

Пользуясь случаем, расспросил у Ирины Сергеевны смущающие меня места в методических рекомендациях. Речь идет о документе, который  Национальный банк недавно опубликовал  - "методические рекомендации по внедрению системы управления безопасностью в соответствии со стандартами Национального банка Украины". В силу того, что документ имеет статус проекта, банки все еще имеют шанс внести свою лепту и прокомментировать либо дополнить не понравившиеся фрагменты. Времени на это есть еще две недели - до 6 декабря.
Основные моменты нашей беседы  с Ириной Сергеевной (ИС):

• Раздел 4.1 Классификация информации (стр.4) Мое врожденное занудство Моя педантичность не позволила пройти мимо того факта, что методические рекомендации содержат разъяснения только по поводу классификации по конфиденциальности информации. Ни слова про целостность и доступность. А стандарт требует. Создается благоприятная почва для того, чтобы понять не правильно и упростить себе жизнь. По крайней мере попробовать.
  Комментарии ИС - стандарт все равно требует - делать нужно.

• Раздел 4.1 Описание критичных бизнес процессов... (стр.5) Рекомендации касательно того, что для каждого бизнес-приложения должен быть определен бизнес-владелец. Рекомендовано один. Естественный вопрос - кто владелец ОДБ?
  Комментарии ИС - возможно определение группового владельца.
  Размышления по следам - коллективный владелец - коллективная безответственность ответственность. Задача по классификации информации и другим решениям будет достаточно не тривиальной задачей, если мы вдруг захотим построить эффективную СУИБ
• Раздел 4.1  Описание организационной структуры, которую охватывает СУИБ (стр.7). Понятно, что взято из 27003. Вопрос зачем? В стандарте украинским по-белому написано - "весь банк". Вопрос риторический. Идем дальше.
• Раздел 5.2 Оценка рисков (стр.9) Упоминается загадочная методика оценки рисков. Вопрос какая?
  Комментарии ИС - НБУ разрабатывает собственную методику оценки рисков. Выйдет в январе. Вопрос будет ли она обязательной - вопрос не решен. Методика отличная от IRAM (один из кандидатов рассматривающихся ранее) и при этом более сложная.
  Размышления по следам - Консультант в своем докладе упомянул, что будут использовать собственную методику оценки рисков в деньгах. Для меня осталось загадкой, что банк будет делать с купленной оценкой, если в январе НБУ вдруг скажет, что оценка должна выполняться  только по их методике. С другой стороны, Нацбанк вряд ли будет выкручивать руки и делать свою методику единственно допустимой. Ждем января.
• Раздел 6.3 Документы верхнего уровня (стр. 12) Вышеупомянутое занудство Вышеупомянутая педантичность не позволила пройти мимо описки. В описании первой группы верхнеуровневых документов (второй абзац раздела) упоминается стратегия развития банка. На самом деле, имеется в виду стратегия информационной безопасности.
  Комментарии ИС - в тексте допущена описка. Необходимо исправление.
• Раздел 6.4 Документы среднего уровня (стр. 14) В разделе А12 меня смутил документ "Описание процедур управления ключевой информацией". Долго ломал голову "что это за информация?". Оказалось все банально - речь идет о криптоключах.

Закончить хочется все-таки на мажорной ноте. Не смотря на кажущуюся при беглом взгляде на "методические рекомендации" бесполезность данного документа, впечатление обманчивое. При более детальном изучении приходит понимание, что документ раскрывает много подводных камней, с которыми непременно столкнуться те, кто внедряет СУИБ впервые. Разжевана Детально описана роль высшего руководства и важность его участия. Расписано, что необходимо сделать и в какой последовательности. Приведен перечень документов под каждые разделы и даже пример политики. В общем, как ни крути, польза от документа для большинства банков очевидная.

P.S. Да, совсем забыл. Вопрос сезона: "Что будет за несоответствие". Ирина Сергеевна сообщила, что НБУ пересматривает список санкций, применяемых банкам "за невыполнение" с учетом новых стандартов. Но что там будет - пока секрет. Не нужно быть Капитаном Очевидность, чтобы понять, что если санкции не серьезные, банкам легче платить штрафы, чем выполнять дорогостоящие рекомендации стандартов. Ждем января и официальных комментариев НБУ.

P.P.S. В 27001 есть одна лазейка, которая позволяет растягивать удовольствие от внедрения стандарта на несколько лет, при этом ежегодно обеспечивая полное соответствие. О нем, кстати, Ирина Сергеевна тоже неоднократно напоминала. Нет денег на внедрение? Выход прост:

1. Делаем подготовительную часть (назначаем ответственных, делаем документы верхнего уровня)
2. Проводим инвентаризацию и классификацию ресурсов СУИБ (термин из стандарта, т.к. слово "активы" не прижилось из-за конфликта с "банковскими активами")
3. Проводим оценку рисков
4. Финальная часть - осознаем наши риски  их и принимаем (в соответствующем документе). В стиле "Мы, руководство банка находясь в здравом уме и трезвой памяти, знаем о рисках блаблабла  и принимаем их на текущий год по причине отсутствия средств на контроли."
5. Все, до следующего года мы соответствуем.
6. Занавес

P.P.P.S. Отдельное спасибо хочется сказать за раздел 7. Внедрение и функционирование СУИБ. Стандарт требует на ежегодной основе проводить внутренний аудит СУИБ. Логичный вопрос - где банки возьму сразу столько специалистов? Методические рекомендации отвечают на данный вопрос лаконично: нет своих - привлекайте внешних. Консультанты  на несколько лет вперед работой обеспечены.

ALL OVER ANTIRISK IT

В Киеве прошло мероприятие с загадочным названием «ALL OVER ANTIRISK IT» УСТОЙЧИВЫЕ СИСТЕМЫ И РИСКИ: ТРЕБОВАНИЯ. ОГРАНИЧЕНИЯ. ПРОБЛЕМЫ.
За замысловатым названием кроется тематическая конференция, посвященная вопросам обеспечения непрерывности бизнеса.
Вопросы обеспечения непрерывности бизнеса на текущий момент очень популярны для украинских компаний. Особо острый интерес проявляется в банковской и околобанковской сфере, а также в ритейле. По этой причине народ пошел на мероприятие достаточно охотно и вопреки поостывшему интересу к конференциями (даже бесплатным и с фуршетом), которые проводятся чуть ли не каждую неделю прижатыми кризисом интеграторами и вендорами. Почтил своим вниманием мероприятие и Национальный Банк.

Ваш покорный слуга делал  вводный мини-семинар (даже скорее микро-семинар), на тему "что такое BCP и зачем оно нужно?",  модерировал круглый стол, посвященный вопросам "все что вы хотели знать про BCP, но боялись спросить", а также сделал небольшой доклад на тему "как составить эффективный SLA".  Материалы для последнего готовил, мой коллега - Алексей Назаренков, который по объективным причинам не смог присутствовать, но успел заблаговременно поделиться прекрасным материалом. За что ему отдельное спасибо.
За сим выкладываю презентации.

BCP intro

View more presentations from Vladimir Matviychuk.

как составить грамотный Slа

View more presentations from Vladimir Matviychuk.

Материалы других докладчиков и фото с мероприятия вскоре обещал выложить организатор у себя на сайте.

Кто последний за банковской тайной?

1 ноября, госдума России приняла в третьем чтении правительственный закон о порядке обмена информацией, составляющей банковскую тайну.  Правом получать от кредитных организаций документы и информацию, составляющие банковскую тайну, наделяются:

• Росфиннадзор
• налоговая 
• таможенные органы 

В каких случаях, в каком порядке и объеме можно получать информацию и документы  регламентируется федеральным законом "О валютном регулировании и валютном контроле". Закон предусматривает соответствующие изменения в федеральные законы "О банках и банковской деятельности" и "О валютном регулировании и валютном контроле".

Служба безопасности Украины старается не отставать от восточных соседей и активно выступает за "получение информации о движении средств на расчетных счетах субъектов хозяйствования без раскрытия банковской тайны в судах".

Похоже, что закон "о банках и банковской деятельности", а также соответствующие документы, регламентирующие вопросы банковской тайны, скоро будут обрастать дополнениями.

Кража личности как пандемия массового психоза

Интернет пестрит душещипательными заголовками. "Интернет-пользователям грозит новый вид мошенничества – кража личности", "Кража личности – новый вид сетевого преступления" - пугают нас журналисты, плохо понимающие о чем пишут, но здорово подхватывающие темы, которые потенциально поднимут посещаемость их желтых интернет изданий. Приводятся устрашающие цифры потерь и страшная статистика, которой охотно делятся консультанты  и поставщики решений по информационной безопасности. Плевать, что статистика притянута за уши. О происхождении цифр "статистики" просто помолчим. Главное - НОВАЯ УГРОЗА!

Попробуем разобраться в новой интернет-угрозе. Для начала "новая".  Обратимся к википедии:

Кража личности (англ. Identity theft) — преступление, при котором незаконно используются персональные данные человека для получения материальной выгоды. Термин появился в 1964 и является неточным, так как саму личность украсть невозможно. 

1964 год. В космическом смысле прошел действительно очень короткий промежуток времени и угрозу можно назвать новой. Интернет-угрозой назвать тяжелее, ведь интернет появился только через 5 лет, а социальные сети, которые являются корнем всех зол источником угрозы, через 31 год! Все новое - это хорошо забытое старое. В то время преступления базировались на краже и использовании чужих номеров социального страхования. Теперь же собирают данные из социальных сетей. 

Что же делать? Ответ на данный вопрос очевиден - завернуться в простыню и медленно, чтобы не создавать паники, ползти на кладбище.  с умом использовать социальные сети и не раскрывать душу первому попавшемуся боту.

Стандарты по управлению информационной безопасностью в банковской системе Украины вступили в силу.

Свершилось! То, о чем так долго говорили большевики на нацбанковских конференциях наконец произошло. Пусть и с опозданием почти на год, Национальный банк Украины принял два стандарта:

• СОУ Н НБУ 65.1 СУІБ 1.0:2010 “Методи захисту в банківській діяльності. Система управління інформаційною безпекою. Вимоги” (ISO/IES 27001:2005, МОD)
• СОУ Н НБУ 65.1 СУІБ 2.0:2010 “Методи захисту в банківській діяльності. Звід правил для управління інформаційною безпекою” (ISO/IES 27002:2005, МОD)

По своей сути, как не трудно догадаться из названия, это локализированные версии ISO/IES 27001:2005 и ISO/IES 27002:2005
Стандарты вступаю в силу со дня опубликования постановления (№ 474 от 28 октября 2010 г.).
Банки должны привести  системы управления информационной безопасностью в соответствие с требованиями стандарта до 01.10.2011г.
Также Национальный банк грозится в течение 90 дней осчастливить банки:

• методическими рекомендациями касательно внедрения стандартов
• рекомендации касательно перечня, содержания и правил заполнения документов, которые должны быть созданы во время внедрения стандартов
• рекомендации касательно методик оценки рисков, связанных с информационными технологиями

Срок на внедрения, мягко скажем, оптимистичный. На текущий момент не все банки Украины могут похвастаться выделенной функцией информационной безопасности (помимо администратора защиты информации, который занимается сугубо ключами, как требует 112 постановление). Про функцию внутреннего аудита ИТ лучше просто помолчать. Да и нет сейчас на рынке столько готовых специалистов по аудиту, вздумай банки в срочном порядке ими обзавестись. В общем, прогноз на 01.10.2011 скептический. Но начало положено. Будем радоваться малому в ожидании большого.