Кибербезопасность в условиях электронного банкинга. Практическое пособие

Постановление Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» [22]. Вводится перечень показателей критериев значимости объектов КИИ Российской Федерации и их значений, а также определяется порядок категорирования этих объектов.

Категорирование осуществляется субъектами КИИ в отношении принадлежащих им на праве собственности, аренды или ином законном основании объектов КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ.

Устанавливаются три категории значимости. Самая высокая категория – первая, самая низкая – третья. Определен перечень исходных данных для категорирования.

Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов. Перечень объектов в течение пяти рабочих дней после утверждения направляется в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ (ФСТЭК России).

Определен перечень сведений о результатах присвоения объекту КИИ одной из категорий значимости (либо об отсутствии необходимости присвоения ему одной из таких категорий), направляемых в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ. Форма направления сведений о результатах присвоения объекту КИИ Российской Федерации одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий утверждена Приказом ФСТЭК России от 22.12.2017 № 236 [36].

Следует отметить, что проект данного постановления Правительства Российской Федерации был согласован с Центральным банком Российской Федерации.

По информации ФСТЭК России, в настоящее время насчитывается более 250 систем банковской сферы и иных сфер финансового рынка, подлежащих категорированию в качестве объектов КИИ. Как минимум половина из этих систем так или иначе относится к системам электронного банкинга, и доля их будет только увеличиваться.

Основными проблемными вопросами категорирования, с которыми приходится сталкиваться субъекту КИИ, являются:

– определение принадлежности к субъектам КИИ;

– определение критических процессов;

– определение перечня объектов КИИ, подлежащих категорированию;

– определение необходимости согласования перечня объектов КИИ с государственным органом или российским юридическим лицом;

– подготовка сведений о результатах категорирования объектов КИИ.

Требования к созданию систем безопасности значимых объектов КИИ Российской Федерации и обеспечению их функционирования утверждены Приказом ФСТЭК России от 21.12.2017 № 235 [33]. Документ определяет требования к силам, программным и программно-аппаратным средствам обеспечения безопасности значимых объектов КИИ, к организационно-распорядительным документам, к функционированию системы безопасности в части организации работ.

Требования по обеспечению безопасности значимых объектов КИИ утверждены Приказом ФСТЭК России от 25.12.2017 № 239 [34]. Документом в зависимости от категории значимости и угроз безопасности информации определены следующие организационные и технические меры, подлежащие реализации:

– идентификация и аутентификация;

– управление доступом;

– ограничение программной среды;

– защита машинных носителей информации;

– аудит безопасности;

– антивирусная защита;

– предотвращение вторжений (компьютерных атак);

– обеспечение целостности;

– обеспечение доступности;

– защита технических средств и систем;

– защита информационной (автоматизированной) системы и ее компонентов;

– планирование мероприятий по обеспечению безопасности;

– управление конфигурацией;

– управление обновлениями программного обеспечения;

– реагирование на инциденты информационной безопасности;

– обеспечение действий в нештатных (непредвиденных) ситуациях;

– информирование и обучение персонала.

Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом КИИ.