В СФ поддержали создание общих правил тестирования банковских облачных платформ

Важно на практике проверять, продолжит ли работать банковский сервис при недоступности одной площадки, сколько времени займёт восстановление и удастся ли сохранить данные об операциях, сказал «СенатИнформ» замглавы Совета по развитию цифровой экономики при СФ, первый зампред Комитета верхней палаты по конституционному законодательству и госстроительству Артём Шейкин.

Единые критерии тестирования облачных платформ для банковского сектора разрабатывают облачные провайдеры и финансовые организации, сообщили «Ведомости». В частности, предусматривается проверка соответствия облачного контура банка требованиям в отношении объектов критической информационной инфраструктуры (КИИ). Речь идёт о контроле доступа, взаимодействии с уязвимостями и мерах восстановления после сбоев. Раньше к банковскому сектору такие требования не предъявляли. 

По словам сенатора Артёма Шейкина, единые критерии нужны, чтобы банки могли сравнивать облачные платформы по понятным и проверяемым параметрам. «Для финансовой организации важны сохранность данных, непрерывность работы и возможность быстро восстановить сервис после сбоя», — сказал он. От этого зависит, смогут ли граждане вовремя провести платёж, воспользоваться приложением или получить другую банковскую услугу.

Общая методика позволит заранее определить, какие испытания должна пройти платформа и чем подтверждаются их результаты, подчеркнул парламентарий. При разработке критериев необходимо отталкиваться от категории значимости объекта и применять базовый набор мер из соответствующих актов, адаптируя его под конкретные угрозы и архитектуру. Приказ ФСТЭК № 239 устанавливает требования к безопасности значимых объектов КИИ, поэтому при разработке критериев важно учитывать статус конкретной системы и применимые к ней нормы.

Проверки стоит делать более глубокими и приближенными к реальным условиям работы банка. Прежде всего, нужно оценивать, кто имеет доступ к данным, как разграничены права сотрудников банка и провайдера, насколько надёжно изолированы системы разных клиентов

Также нужно оценивать, как выявляют и устраняют уязвимости, каким образом фиксируются подозрительные действия. Большое значение имеют испытания под высокой нагрузкой системы и при отказе её отдельных компонентов. По словам Шейкина, наличие резервной копии полезно только тогда, когда из неё действительно можно восстановить работоспособную систему.

Сенатор уверен, что необходимо заранее распределить обязанности банка и провайдера: кто обнаруживает инцидент, кого уведомляет и какие действия предпринимает. Результаты испытаний должны помогать устранению конкретных недостатков. При этом после существенных обновлений платформы проверки стоит повторять, поскольку изменение её компонентов или настроек может повлиять на безопасность и устойчивость банковских сервисов.

Заместитель Председателя СФ Николай Журавлёв говорил, что необходимо как можно быстрее внедрять дополнительные меры защиты граждан от киберпреступников в финансовой сфере. Он отметил, что более 70% всех кибератак в мире приходится на банки, платёжные системы и инвестиционные платформы.

Ранее вице-премьер Дмитрий Григоренко сообщил, что третий пакет мер против телефонных и онлайн-мошенников находится на заключительном этапе разработки. В законопроект вошло почти 20 инициатив.

Председатель Совета Федерации Валентина Матвиенко отмечала, что появляются новые виды мошенничества, и для борьбы с этим явлением нужно работать на опережение, а не вдогонку.

СенатИнформ