ЦБ разрабатывает новый этап зачистки банковского сектора

Как следует из проекта указания регулятора, ЦБ намерен ужесточить требования к программному обеспечению (ПО), используемому при переводе средств: софт должен пройти сертификацию на отсутствие недекларированных возможностей в Федеральной службе по техническому и экспортному контролю (ФСТЭК), подведомственной Минобороны.

Альтернатива – анализ уязвимостей на соответствие определенным требованиям, указывает консультант по безопасности Cisco Алексей Лукацкий, но правил такого анализа документ не определяет. Его должна проводить компания, имеющая лицензию ФСТЭК, говорит Игорь Легезин, директор направления информационной безопасности разработчика и поставщика IT-решений «Диасофт».

В 2016 году злоумышленники девять раз находили уязвимости в банках и вывели с их корсчетов в ЦБ 2,18 млрд рублей, сообщал регулятор.

При расчетах картами существует международный стандарт безопасности PA DSS, соответствие которому — это требование Visa и Mastercard, говорит А. Лукацкий. Новые же требования ЦБ шире и жестче, так как распространяются на любые формы денежных переводов.

ЦБ прописал в указании достаточно высокие требования, однако они не относятся ко всей АБС, а имеют отношение только к блоку, касающемуся проведения платежей, рассказывает Легезин.

Проблемы с соблюдением новых требований ЦБ могут возникнуть из-за регулярных обновлений программ. Сертификат после многих месяцев проверки выдается на конкретную версию системы, указывает ведущий аналитик департамента банковского ПО RS-Bank компании R-Style Softlab Сергей Ветров, а в таких системах, как АБС, обновления выходят каждые несколько дней, значит, очередное обновление может оказаться несертифицированным.

С. Ветров надеется на то, что риски, связанные с версионностью решений, будут учтены. Вопрос обсуждается, говорит И. Легезин, скорее всего, не нужно будет сертифицировать или тестировать каждое обновление ПО, речь идет только о глобальных изменениях.

Больше всего сложностей А. Лукацкий ожидает у «дочек» иностранных банков: у них зачастую используется зарубежное ПО, предоставляемое головной структурой.

По проекту ЦБ новые требования вступят в силу с июля 2018 года.

По материалам газеты Ведомости