Кибербезопасность в условиях электронного банкинга. Практическое пособие

Положения в части обеспечения непрерывности функционирования СЭБ рекомендуется включать как в договоры с провайдерами и поставщиками, так и во внутренние документы кредитной организации. Эти положения должны четко разграничивать ответственность за обеспечение непрерывности функционирования системы между кредитной организацией, провайдерами и поставщиками оборудования и программного обеспечения, используемого в составе информационного контура системы.

Например, необходимо отразить следующие моменты:

– конкретные временные ограничения по устранению сбоев и неисправностей в поставленном контрагентами по договору оборудовании или программном обеспечении;

– ответственность провайдера за предоставление резервного канала связи, который может быть задействован в короткие сроки и обеспечивать должное качество связи.

В кредитной организации должны быть разработаны соответствующие внутренние документы, описывающие:

– функции структурных подразделений кредитной организации в части обеспечения непрерывности функционирования СЭБ и процедуры реализации данных функций;

– порядок информирования органов управления кредитной организации и других структурных подразделений, а также клиентов кредитной организации о возникновении нештатных ситуаций, способных привести к нарушению непрерывности функционирования СЭБ, и реализуемых или требуемых мероприятиях, направленных на устранение причин;

– план обеспечения непрерывности и восстановления работоспособности СЭБ;

– методики стресс-тестирования в части непрерывности функционирования СЭБ.

При разработке указанных документов кредитной организации следует учитывать все наиболее вероятные сценарии, способные привести к нарушению непрерывности функционирования СЭБ. К их числу могут относиться:

– сетевые (хакерские) атаки на ресурсы кредитной организации или провайдера;

– механическое нарушение основного и дублирующего каналов связи с провайдером;

– выход из строя сервера баз данных СЭБ;

– выход из строя сервера приложений СЭБ;

– временное отключение электроэнергии в сети;

– отключение резервного источника электропитания СЭБ;

– воздействие компьютерных вирусов на СЭБ или на ее отдельные модули.

Ключевым документом, разработанным в целях обеспечения непрерывности функционирования СЭБ, является план обеспечения непрерывности и восстановления работоспособности системы. Такой план должен основываться на перечне наиболее критичных для работоспособности СЭБ воздействий.

В целях обеспечения эффективности плана данные воздействия могут быть классифицированы по степени возможного материального ущерба кредитной организации и ее клиентам, а также по вероятности их возникновения.

В отношении каждого из видов возможного воздействия на СЭБ план должен предусматривать соответствующие действия кредитной организации, ее клиентов и провайдеров. Наиболее подробно должны быть прописаны внутренние восстановительные процедуры самой кредитной организации с описанием действий ее внутренних подразделений, а также с указанием временных параметров осуществления данных процедур.

Помимо процедур восстановления работоспособности СЭБ план должен предусматривать процедуры по организации проведения операций клиентов альтернативными способами (без использования СЭБ) в наиболее короткие сроки.

Процедуры, регламентированные планом, должны учитывать зафиксированное в договорах с поставщиками программного обеспечения и оборудования распределение ответственности.

Качественная разработка плана должна учитывать возможные действия в целях реагирования на сбои не только кредитной организации, но и провайдеров, а также возможности оперативного привлечения к устранению неисправностей других организаций, оказывающих сервисные услуги в области информационных технологий.

Помимо плана обеспечения непрерывности функционирования СЭБ в кредитной организации должны быть регламентированы:

– способы мониторинга СЭБ, ее внешней и внутренней среды с целью выявления и предупреждения воздействий, способных нарушить непрерывность функционирования системы;

– методики оценки ущерба (материального и нематериального) в случае негативных воздействий или кризисных ситуаций;

– процедуры и рекомендации по уведомлению клиентов в случае нарушения непрерывности функционирования СЭБ.

Целесообразно создать в кредитной организации службу поддержки клиентов в части функционирования СЭБ.

Антикризисная комиссия

Также в целях координации деятельности структурных подразделений в условиях возникновения сбоя и приостановки работы СЭБ (в соответствии с закрепленными за ними функциями по устранению нарушений в работе СЭБ и организации альтернативных способов проведения операций) в кредитной организации распоряжением ее руководства может быть сформирована антикризисная группа или комиссия из руководителей соответствующих подразделений, в состав которой могут входить руководители:

– службы информационных технологий;

– службы информационной безопасности;

– службы операционной работы;

– службы хозяйственного обеспечения;