Кибербезопасность в условиях электронного банкинга. Практическое пособие

– службы по связям с общественностью;

– юридической службы;

– других служб (при необходимости).

Основными задачами членов комиссии являются правильная классификация нештатных ситуаций[127] и выбор процедур реагирования в соответствии с планом обеспечения непрерывности функционирования СЭБ.

Так, например, право наделять отрицательное воздействие внешнего фактора на деятельность банка статусом «кризисная ситуация» и предлагать соответствующие процедуры предоставляется:

– по вопросам электроснабжения – члену антикризисного комитета, руководителю службы хозяйственного обеспечения;

– по вопросам качества систем связи – члену антикризисного комитета, начальнику управления информатики;

– по вопросам репутационного риска – члену антикризисного комитета, руководителю службы по связям с общественностью;

– по вопросам возникших правовых коллизий, связанных с обслуживанием клиентов посредством СЭБ, – руководителю юридической службы и т. д.

Окончательное решение о работе банка по антикризисному плану принимает председатель антикризисной комиссии. То есть поддержка функционирования банка в нештатной ситуации в соответствии с ее характером, координация деятельности структурных подразделений, руководителей и отдельных сотрудников возлагаются на председателя антикризисной комиссии.

Условием для принятия такого решения является наступление события, квалифицируемого как кризисная ситуация.

Председателем антикризисной комиссии может быть либо руководитель кредитной организации, либо куратор по ИТ, если ему делегированы данные полномочия.

Стресс-тестирование

Чтобы повысить эффективность плана обеспечения непрерывности функционирования системы, мероприятия, направленные на обеспечение непрерывности ее функционирования, необходимо разрабатывать на основе результатов стресс-тестирования – процедур, позволяющих оценить качественное и количественное влияние наиболее вероятных источников рисков на основные показатели функционирования кредитной организации.

Процедуры стресс-тестирования могут учитывать функционирование как отдельных участков информационного контура СЭБ (например, внешних участков – аппаратных и программных средств клиентов кредитной организации или ее провайдеров; внутренних участков – автоматизированного рабочего места операциониста, контролера, администратора системы и т. д.), так и информационного контура в целом.

При этом в процедурах стресс-тестирования могут использоваться простейшие сценарии, когда анализируется воздействие одного или нескольких факторов (источников) рисков. Следует отметить, что использование простейших сценариев целесообразно в отношении отдельных сегментов или элементов информационного контура СЭБ, части ее функциональных возможностей.

Предпочтительно использовать комплексные сценарии, что значительно расширяет анализ потенциального воздействия источников рисков и позволяет получить более объективные результаты.

Достоверная оценка потенциального комплексного воздействия основных источников рисков на функционирование СЭБ значительно повышает качество разрабатываемых процедур реагирования на такое воздействие в целях обеспечения непрерывности или восстановления функционирования системы.

Договоры с клиентами

Относительно разработки типовых договоров с клиентами на обслуживание посредством СЭБ следует отметить, что для минимизации правового и репутационного рисков целесообразно унифицировать договоры на подключение к СЭБ. При такой унификации нужно учитывать, что различным клиентам могут быть предоставлены неодинаковые права и возможности, что делает необходимой разработку соответствующих типовых договоров.

Помимо типовых форм договора могут быть разработаны типовые формы заявлений:

– на предоставление услуг посредством СЭБ;

– изменение вариантов обслуживания.

В общем случае договор на подключение и обслуживание в СЭБ между кредитной организацией и ее клиентом может содержать следующие положения:

– предмет договора;

– права и обязанности сторон;

– ответственность сторон;

– стоимость услуг;

– срок действия договора;

– прочие условия.

В разделе, раскрывающем предмет договора, могут оговариваться:

– перечень и объем предоставляемых услуг;

– возможность и порядок изменения вариантов обслуживания;

– порядок проведения расчетных операций в электронной форме по открытому клиентом в банке счету;

– способ передачи кредитной организацией клиенту необходимых программных или аппаратных средств, в том числе используемых для генерирования ключей электронной цифровой подписи, состав передаваемых программных и аппаратных средств;

– способы обмена электронными документами между кредитной организацией и клиентом.

В разделе, посвященном правам и обязанностям сторон, могут быть раскрыты:

– обязанность банка обеспечивать возможность передачи электронных документов в СЭБ по указанным клиентом адресам;

– перечень случаев, в которых банк имеет право не исполнять электронные документы клиента;