Эволюция отчетности по инцидентам Банка России

ЦБ выложил у себя на сайте проект указания Банка России «О внесении изменений в Указание Банка России от 9 июня 2012 года № 2831-У «Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств», который меняет порядок отчетности по инцидентам в области ИБ, установленную в 203-й форме (202-я остается без изменений).

Основных изменений в новой форме два:

• переход от ежемесячной к ежеквартальной и полугодовой отчетности
• уход от подробной информации об инцидентах и сдвиг акцента в сторону указания финансовых потерь от инцидентов.

Проект Указания исключает из формы отчетности 0403203 вопросы технической реализации инцидентов защиты информации, указывающих на причины их возникновения, а также обязанность операторов по переводу денежных средств и операторов услуг платежной инфраструктуры по предоставлению сведений о технических способах реализации инцидентов защиты информации. Это не значит, что ЦБ не интересует эта информация, просто она уходит в другие формы отчетности.

Первой ласточкой стало положение 552-П, которое требует отправлять данные об инцидентах с АРМ КБР в ФинЦЕРТ в течение 3-х часов после наступления инцидента. Однако этим желание ЦБ получать оперативную информацию об инцидентах не ограничилось. В проекте новой версии 382-П указано, что участники НПС должны сообщать обо всех инцидентах ИБ в ФинЦЕРТ в порядке, установленном Банком России. Логично предположить (хотя 100%-й гарантии не дам), что ЦБ не будет изобретать велосипед и повторит вариант с 552-П, то есть будет требовать сообщать обо всех инцидентах (а не только с АРМ КБР) в течении трех часов.

Таким образом, ЦБ хочет изменить подходы к отчетности об инцидентах, заставив своих подопечных (пока только банки и операторов услуг платежной инфраструктуры и операторов платежных систем, но в перспективе не исключаю и остальные финансовые организации) пересмотреть свои системы управления инцидентами в сторону большей оперативности.

Однако, оставался вопрос с PR-составляющей (куда уж без нее). Ведь надо регулярно отчитываться о суммах похищенных или готовящихся к хищению денежных средств - журналисты любят такие показатели. Да и динамику хищений киберпреступниками знать полезно. Поэтому новая версия 203-й отчетности сфокусировалась именно на этом, а точнее на 3-х основных цифрах:

• суммы готовящихся к хищению средств
• суммы незаконно переведенных средств
• суммы возвращенных средств (это новация - раньше такого не было). 

Вступает новое указание с 1-го января 2018-го года.

Однако и это еще не все. В мае в Госдуму был внесен законопроект о внесении изменений в 161-ФЗ "О национальной платежной системе", в котором среди прочего от банков требуется уведомлять ЦБ обо всех мошеннических операциях (перечень будет установлен Банком России). Тут очень много темных пятен - и в части процедуры уведомления, и в части перспектив самого законопроекта. Поэтому и говорить про него пока рано (отсюда и пунктир на иллюстрации).

ЗЫ. 258-я форма (по инцидентам с платежными картами) изменений не претерпела. Связано это с тем, что она разработана была не ГУБЗИ, которое не отвечает за ее изменение.

ЗЗЫ. По проекту новой отчетности ЦБ принимает предложения до 7-го сентября.