Кибербезопасность в условиях электронного банкинга. Практическое пособие

1. В банках должны постоянно вестись электронные журналы, в которых осуществляется фиксация всех событий в системе и их описаний по всем транзакциям в рамках ЭБ, чтобы способствовать формированию четких аудиторских записей и аргументации в разрешении спорных вопросов.

2. СЭБ следует разрабатывать и внедрять таким образом, чтобы обеспечивались фиксация и сохранение учитываемых в судебном разбирательстве свидетельств, а также предотвращение воздействия извне и получения фальшивых улик.

3. В случаях, когда за системы обработки и связанные с ними аудиторские записи отвечает сторонний провайдер услуг:

– банку следует обеспечить себе доступ к требуемым ему аудиторским записям, которые делает провайдер услуг;

– аудиторские записи, обеспечиваемые провайдером услуг, должны соответствовать стандартам, установленным в данном банке.

Принцип 10: банкам следует принимать должные меры для сохранения конфиденциальности важнейшей информации в области ЭБ. Меры, принимаемые для сохранения конфиденциальности, должны быть соразмерны значимости передаваемой и (или) хранимой в базах данных информации.

Конфиденциальность определяется как уверенность в том, что важная информация в банке остается частной и не просматривается или не используется никем, кроме имеющих на это право (авторизацию).

Недопустимое использование или неавторизованное раскрытие данных подвергает банк как репутационному, так и правовому рискам. Внедрение технологии ЭБ приводит к появлению дополнительных проблем с безопасностью для банка, поскольку увеличивает возможности доступа к информации, передаваемой через открытую сеть связи или хранимой в базах данных, со стороны неавторизованных либо нежелательных лиц или же использования ее такими способами, которые не предполагались клиентом, предоставившим данную информацию.

Кроме того, активное использование услуг провайдеров может привести к раскрытию важнейших банковских данных посторонним лицам.

Для того чтобы предотвратить проблемы с сохранением конфиденциальности важнейшей банковской информации в части ЭБ, необходимо гарантировать, что:

– доступ ко всем конфиденциальным банковским данным и информации возможен только для должным образом авторизованных и аутентифицированных лиц, агентов или систем;

– для всех конфиденциальных банковских данных в процессе передачи через открытые, частные или внутренние сети связи обеспечиваются безопасность и защита от несанкционированного просмотра или изменения;

– в случаях использования заказной обработки обеспечивается соответствие стандартам и способам контроля банка над использованием данных и их защитой;

– весь доступ к данным ограниченного использования фиксируется и приняты необходимые меры по защите журналов регистрации доступа к этим данным от внешнего воздействия.

5.2.3. Управление правовым и репутационным рисками (Принципы 11–14)

Специфические законы и правила защиты клиента и обеспечения конфиденциальности в разных юрисдикциях варьируются. В общем случае банки несут четко определенную ответственность за обеспечение соответствия уровням требований относительно раскрытия информации, защиты клиентских данных и доступности деловых операций, близким к тем уровням, которые они обеспечивали бы, если бы осуществляли деловые операции через традиционные каналы предоставления банковских услуг.

Принцип 11: банкам следует убедиться в том, что на их вебсайтах представлена правильная информация, позволяющая потенциальным клиентам сделать обоснованные заключения относительно самого банка и его организационно-правовой формы еще до проведения транзакций через СЭБ.

Для того чтобы минимизировать правовой и репутационный риски, связанные с деятельностью в области ЭБ, осуществляемой как локально, так и трансгранично, банки еще до того, как начать осуществлять транзакции в рамках ЭБ, должны удостовериться, что на их веб-сайтах представлена правильная информация о самом банке и его правовом статусе.

В число примеров информации такого рода, которую банк может представить на своем веб-сайте, входят:

– название банка и сведения о местоположении его головного офиса (а также региональных офисов, если они есть);

– указание на основной орган (или органы) надзора за банком, ответственный за осуществление надзора за головным офисом данного банка;

– способы контакта клиентов банка с его центром обслуживания клиентов, решающим проблемы с услугами, рассматривающим жалобы, подозрения в неправомочном использовании счетов и т. п.;