👉В конце прошлой недели Банк России
объявил о мерах поддержки финансовых учреждений в период пандемии и перевода сотрудников на "удаленку". К примеру, ЦБ
предложил:
📌 временно снизить регуляторную и надзорную нагрузку; 📌ограничить мероприятия, требующие личного присутствия сотрудников в офисах;
📌увеличить сроки на предоставление отчетности;
📌снизить количество несрочных запросов в финансовые организации.
🔸"Выступая с подобными мерами, ЦБ РФ, действительно, идет на серьезные уступки в части надзора и отчетности, но это не значит, что регулятор "закроет глаза" на серьезные нарушения и соблюдение требований по кибербезопасности в целом, — считает
Антон Фишман, руководитель департамента системных решений Group-IB. — В период пандемии, когда многие компании переходят на удаленную работу, особенно важно, чтобы банки продолжали работать без перебоев. Чтобы люди, сидя дома, могли свободно распоряжаться своими деньгами, оплачивать услуги, получать зарплату. Все эти финансовые сервисы завязаны на огромное количество внутренних процессов и инфраструктуру, которую надо поддерживать и управлять в том числе и в условиях «удаленки». Готовых сценариев нет, приходится экспериментировать на ходу.
🔸Напомним, что требования Банка России накладывают ограничение на ряд операций с точки зрения защиты информации: не все операции можно выполнять дистанционно (например, с АРМ КБР не допускается удалённая работа), а, во-вторых, есть жесткие требования по подготовке отчетности и срокам предоставления информации по запросам.
🔸В выпущенных ЦБ мерах говорится о том, что Центральный банк воздержится от применения мер в соответствии с 86-ФЗ, которые говорят о проверках и возможных штрафах за нарушение требований нормативных актов.
🔸С другой стороны — и это очень важно! — выпущенный документ о мерах не является нормативным актом, поэтому в случае инцидента — успешной кибератаки, хищения денежных средств или утечки персональных данных, Банк России может спросить с виновника — в отношении нарушителя решения будут приниматься, исходя из комплекса обстоятельств, включая тяжесть самого нарушения, ущерба и усилий банка по минимизации последствий.
🔸 Говоря другими словами, по закону за ЦБ формально остается право наказать нарушителя, но пользоваться им регулятор будет только в самых крайних случаях, когда банк не просто нарушил предписания, а действовал некорректно и своими действиями (или бездействием) причинил значительный ущерб.
🕵️♂️При том, что крупные банки в России достаточно зрелые, они оснащены технологиями и кадрами, ошибки при проектировании и функционировании удаленной инфраструктуры вполне вероятны, поэтому наш совет — несмотря на то, что времени мало, пригласить экспертов для разработки модели рисков и угроз, провести аудит и пентесты системы, проработать план реагирования на инциденты".
