Кибербезопасность в условиях электронного банкинга. Практическое пособие

В части договорных отношений с организациями – провайдерами услуг связи важным является наличие в договоре положения, предусматривающего ответственность провайдера за качественное и бесперебойное предоставление услуг, ответственность в случае возникновения сбоев не по вине кредитной организации и ответственность провайдера за сохранность и целостность информации в случае, если часть ресурсов информационного контура обслуживается специалистами провайдера или арендуется кредитной организацией у провайдера, и т. д.

Помимо включения в договоры с провайдерами положений об обеспечении информационной безопасности и конфиденциальности клиентской и банковской информации, в кредитной организации могут быть разработаны соответствующие внутренние документы, такие как:

– порядок (порядки) соблюдения конфиденциальности клиентской информации;

– порядок (порядки) соблюдения конфиденциальности банковской информации;

– должностные инструкции сотрудников, ответственных за соблюдение информационной безопасности и конфиденциальности информации клиентов и банковской информации об операциях и сделках;

– различные документы, регламентирующие порядок взаимодействия кредитной организации и провайдеров по вопросам обеспечения информационной безопасности и конфиденциальности информации.

Следует отметить, что содержание документов, регламентирующих порядок взаимодействия кредитной организации и провайдеров по вопросам обеспечения информационной безопасности и конфиденциальности информации, должно быть направлено на обеспечение приемлемого уровня «прозрачности» провайдера с учетом специфики его организационной структуры.

Такая «прозрачность» в отношении вопросов информационной безопасности может быть обеспечена возможностью осуществления проверок или мониторинга провайдера со стороны СВК кредитной организации по данным вопросам.

Другим вариантом может быть периодический мониторинг качества организации работы по обеспечению информационной безопасности и конфиденциальности информации специализированными аудиторскими компаниями. В этом случае в документах, о которых идет речь, может содержаться положение о возможности доступа специалистов СВК или службы информационной безопасности (СИБ) к актам или другим документам, подготовленным аудиторами.

Хорошей практикой является наличие у провайдера собственных СВК и СИБ либо отдельных квалифицированных в данной области специалистов.

Наличие таких специалистов, очевидно, стало бы фактором, повышающим эффективность взаимодействия кредитной организации и провайдера по обозначенным вопросам.

В случае, когда провайдер (в силу финансового состояния или объемов бизнеса) не обладает такими СВК и СИБ, становится очевидной необходимость наличия документов, регламентирующих взаимодействие кредитной организации и провайдера по данным вопросам. Отсутствие у провайдера таких документов и служб является фактором, значительно повышающим риски.

Следует отметить, что основная ответственность перед клиентами за обеспечение информационной безопасности и конфиденциальности клиентской информации ложится на кредитную организацию. Качественная организация взаимодействия с провайдерами является лишь одним из факторов (хотя и значительным) обеспечения «прозрачности» и уменьшения риска нарушения целостности, потери или утечки данных о клиенте и его операциях посредством СЭБ.

Кредитная организация определяет методы обеспечения информационной безопасности и конфиденциальности информации, к которым могут относиться:

1) общий мониторинг источников рисков, связанных с деятельностью провайдера;

2) оценка и мониторинг финансового состояния провайдера, в том числе:

– частоты сменяемости топ-менеджмента;

– текучести кадров;

– стабильности развития бизнеса, частоты изменения основных направлений бизнеса;

– профессиональных навыков и опыта работы ключевых сотрудников в области информационных технологий, непосредственно связанных с особенностями реализации СЭБ;

3) разработка и использование специализированных процедур оценки технологических особенностей провайдера, возможностей его оборудования и т. д.;

4) разработка и использование совместной или согласованной между кредитной организацией и провайдером политики обеспечения информационной безопасности и конфиденциальности информации;

5) разработка и использование процедур, обеспечивающих информирование клиентов кредитной организации о состоянии информационной безопасности и конфиденциальности их данных, о способах противодействия и предупреждения угроз информационной безопасности и конфиденциальности информации и т. д.

Обеспечение непрерывности функционирования СЭБ

Другим немаловажным фактором, который необходимо учитывать уже на этапе разработки СЭБ, является обеспечение непрерывности ее функционирования, возможности системы быстро восстанавливать свою работоспособность в случае непредвиденных сбоев и других проявлений источников рисков.