29.8.17

Эволюция отчетности по инцидентам Банка России

ЦБ выложил у себя на сайте проект указания Банка России «О внесении изменений в Указание Банка России от 9 июня 2012 года № 2831-У «Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств», который меняет порядок отчетности по инцидентам в области ИБ, установленную в 203-й форме (202-я остается без изменений).

Основных изменений в новой форме два:
  • переход от ежемесячной к ежеквартальной и полугодовой отчетности
  • уход от подробной информации об инцидентах и сдвиг акцента в сторону указания финансовых потерь от инцидентов.
Проект Указания исключает из формы отчетности 0403203 вопросы технической реализации инцидентов защиты информации, указывающих на причины их возникновения, а также обязанность операторов по переводу денежных средств и операторов услуг платежной инфраструктуры по предоставлению сведений о технических способах реализации инцидентов защиты информации. Это не значит, что ЦБ не интересует эта информация, просто она уходит в другие формы отчетности.

Первой ласточкой стало положение 552-П, которое требует отправлять данные об инцидентах с АРМ КБР в ФинЦЕРТ в течение 3-х часов после наступления инцидента. Однако этим желание ЦБ получать оперативную информацию об инцидентах не ограничилось. В проекте новой версии 382-П указано, что участники НПС должны сообщать обо всех инцидентах ИБ в ФинЦЕРТ в порядке, установленном Банком России. Логично предположить (хотя 100%-й гарантии не дам), что ЦБ не будет изобретать велосипед и повторит вариант с 552-П, то есть будет требовать сообщать обо всех инцидентах (а не только с АРМ КБР) в течении трех часов.

Таким образом, ЦБ хочет изменить подходы к отчетности об инцидентах, заставив своих подопечных (пока только банки и операторов услуг платежной инфраструктуры и операторов платежных систем, но в перспективе не исключаю и остальные финансовые организации) пересмотреть свои системы управления инцидентами в сторону большей оперативности.

Однако, оставался вопрос с PR-составляющей (куда уж без нее). Ведь надо регулярно отчитываться о суммах похищенных или готовящихся к хищению денежных средств - журналисты любят такие показатели. Да и динамику хищений киберпреступниками знать полезно. Поэтому новая версия 203-й отчетности сфокусировалась именно на этом, а точнее на 3-х основных цифрах:
  • суммы готовящихся к хищению средств
  • суммы незаконно переведенных средств
  • суммы возвращенных средств (это новация - раньше такого не было). 
Вступает новое указание с 1-го января 2018-го года.



Однако и это еще не все. В мае в Госдуму был внесен законопроект о внесении изменений в 161-ФЗ "О национальной платежной системе", в котором среди прочего от банков требуется уведомлять ЦБ обо всех мошеннических операциях (перечень будет установлен Банком России). Тут очень много темных пятен - и в части процедуры уведомления, и в части перспектив самого законопроекта. Поэтому и говорить про него пока рано (отсюда и пунктир на иллюстрации).

ЗЫ. 258-я форма (по инцидентам с платежными картами) изменений не претерпела. Связано это с тем, что она разработана была не ГУБЗИ, которое не отвечает за ее изменение.

ЗЗЫ. По проекту новой отчетности ЦБ принимает предложения до 7-го сентября.

4 коммент.:

Unknown комментирует...

Очень порадовал новый термин "суммы готовящихся к хищению средств" и время реагирования в течении 3 часов.

Получается мы как сб видим что рука вора тянется в карман чтобы вытянуть кошелек.
Мы обязательно пересчитываем сколько денег в кошельке.
Пересчитав мы сразу идем писать срочный отчет, всего же 3 часа дается, где указываем "суммы готовящихся к хищению средств".
Затем вернувшись удостоверяется что кошелька в кармане уже нет
и принимаемся писать отчет с "суммы незаконно переведенных средств".
Когда второй отчет отправлен мы начинаем
пытаться найти вора и вернуть кошелек.
И вернув кошелек с победным чувством пишем отчет
"суммы возвращенных средств".

Вот так и живем )

Алексей Лукацкий комментирует...

Ну зачем передергивать?

Суммы, готовящиеся к хищению, - это то, что пытались снять, но не смогли. Например, по причине отличной работы антифрода, который остановил транзакцию. И сообщать об этом надо раз в квартал или раз в полгода - зависит от размера организации. А 3 часа - это для уведомления об инцидентах, где цифры потерь не фигурируют.

Дмитрий комментирует...

Насколько я знаю 203-я форма была передана в ведение ДНПС, которому интересна финансовая составляющая, и совсем не интересны технические детали и всякие там вредоносные коды...

Алексей Лукацкий комментирует...

В смысле обратно передана? Из ГУБЗИ?