Национальный банк Республики Беларусь разрабатывает проект государственной программы развития системы безналичных расчётов по розничным платежам на 20132015 годы, выполнение которой должно довести их долю от 25 до 50% розничной торговли. Опыт белорусских специалистов по обеспечению информационной безопасности кредитно-финансовой сферы и платёжных систем может быть интересен и полезен для российских коллег.
СТРУКТУРА БАНКОВСКОЙ СИСТЕМЫ
Государственным регулятором, Национальным банком Республики Беларусь, по состоянию на 1 ноября 2012 года зарегистрировано 32 банка. Межбанковские расчёты обеспечивает платёжная система Республики Беларусь – BISS, которая насчитывает 35 участников: все 32 зарегистрированных банка, сам Национальный банк Республики Беларусь, Межгосударственный банк (Москва) и Банк развития Республики Беларусь. Национальной платёжной системой в области банковских пластиковых карт является система «Белкарт».
НОРМАТИВНО-ПРАВОВАЯ БАЗА
Нормативно-правовую базу обеспечения информационной безопасности банков и платёжных систем составляют «Концепция национальной безопасности Республики Беларусь», законы Республики Беларусь «Об информации, информатизации и защите информации», «О государственных секретах», «Об электронном документе и электронной цифровой подписи», а также Указы Президента Республики Беларусь.
Отдельные правовые нормы защиты информации содержатся в Гражданском и Уголовном кодексах РБ, указах Президента РБ, постановлениях Совета Министров РБ (например, в постановлении от 26 мая 2009 года №675 «О некоторых вопросах защиты информации»), а также в руководящих документах Национального банка, нормативных правовых актах министерств и иных республиканских органов государственного управления.
Так, например, законом Республики Беларусь «Об информации, информатизации и защите информации» регулируются общественные отношения, возникающие при обработке, распространении и пользовании информацией, а также создании и использовании информационных технологий, организации и обеспечении защиты информации.
Закон Республики Беларусь «Об электронном документе и электронной цифровой подписи» устанавливает правовые основы применения электронных документов, определяет основные требования, предъявляемые к электронным документам. А также – правовые условия использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе является равнозначной собственноручной подписи в документе на бумажном носителе.
ТРИ ГРУППЫ СТАНДАРТОВ
Особую часть нормативно-правового обеспечения информационной безопасности составляют технические нормативные правовые акты – стандарты и технические кодексы установившейся практики.
Первая группа стандартов в своей основе – международные стандарты, принятые и используемые в качестве национальных. Это стандарты серии 34.101 «Информационные технологии и безопасность. Критерии оценки безопасности информационных технологий». Стандарты устанавливают общие подходы к формированию требований и оценке безопасности информационных технологий.
В стандартах определены виды требований безопасности, содержится их систематизированный каталог, а также критерии и уровни оценки безопасности информационных технологий. По этим параметрам оценивается правильность использования средств безопасности и стойкость механизмов защиты.
Вторая группа стандартов нормирует криптографическую защиту информации. Это стандарты СТБ 1176.1-99 «Информационная технология. Защита информации. Функция хеширования», СТБ 1176.2-99 «Информационная технология. Защита информации. Процедуры выработки и проверки электронной цифровой подписи» и другие. Ими руководствуются при разработке средств криптографической защиты для гарантии криптостойкости ЭЦП.
Третья группа - серия стандартов СТБ ISO/IEC 27000, содержащих лучшие практики и рекомендации для создания, развития и эксплуатации систем управления информационной безопасностью (СУИБ) предприятия. Эта серия – белорусские аналоги международных стандартов, определяющих требования к СУИБ, управление рисками, метрики и измерения, а также порядок внедрения. Данные стандарты применимы для всех типов организаций – государственных и некоммерческих организаций, а также для коммерческих предприятий.
Рассмотренная нормативно-правовая база деятельности по обеспечению информационной безопасности является основой построения систем защиты информации. В соответствии с действующими нормами должны разрабатываться и применяться внутренние локальные нормативные правовые акты организаций, регламентирующие вопросы управления информационной безопасностью – регламенты, инструкции, положения.
ЗАЩИТА ЭЛЕКТРОННЫХ ПЛАТЕЖЕЙ
Совместным письмом Национального банка Республики Беларусь и Министерства внутренних дел РБ № 33-24/609 от 15 декабря 2011 года и № 14/5115 от 29 декабря 2011 года в банки был направлен Свод рекомендаций по противодействию мошенничеству в области электронных платежей (далее – Рекомендации).
Эти рекомендации были разработаны рабочей группой по противодействию мошенничеству в области электронных платежей, созданной в соответствии с распоряжениями Председателя Правления Национального банка Республики Беларусь № 1056 от 31 декабря 2010 года и № 213 от 25 марта 2011 года. В состав рабочей группы были включены представители Национального банка и других банков Республики Беларусь, Министерства внутренних дел Республики Беларусь, ОАО «Банковский процессинговый центр», ООО «Мастеркард» (Москва), Украинского регионального офиса международной платёжной системы VISA (Киев).
Рекомендации по противодействию мошенничеству в сфере электронных платежей разработаны по следующим направлениям:
- организация взаимодействия между банками, процессинговыми центрами и органами Министерства внутренних дел в случае выявления мошенничества с банковскими пластиковыми карточками;
- обеспечение безопасного функционирования программно-технической инфраструктуры банков, ОАО БПЦ, ООО «ВЕБ ПЭЙ» и аналогичных организаций, участвующих в обработке интернет-транзакций с использованием банковских пластиковых карточек;
- оценка надёжности интернет-магазинов, подключаемых белорусскими банками-эквайерами; т противодействие мошенничеству при совершении расчетов в сети интернет по банковским пластиковым карточкам;
- оформление банками документов, позволяющих подтверждать ущерб, причиненный резидентам иностранных государств в результате мошенничества в области интернет-эквайринга на территории Республики Беларусь.
Целями рекомендаций являются:
- апробация на практике мероприятий и требований, направленных на предупреждение преступных посягательств;
- сохранение фактических материалов, способствующих раскрытию преступлений;
- обеспечение чёткого взаимодействия между банками, организациями и органами Министерства внутренних дел РБ при проведении следственных мероприятий.
Применение рекомендаций в практической деятельности указанных субъектов хозяйствования и органов МВД РБ позволяет накопить опыт, на основе которого совершенствуются действующие и разрабатываются новые отраслевые нормативные правовые акты, в том числе технические.
КОНТРОЛЬ, НАДЗОР И ИНФРАСТРУКТУРА
Функции государственного контроля и надзора за выполнением банками и платёжными системами установленных требований к обеспечению информационной безопасности Банковский кодекс РБ возлагает на Национальный банк Республики Беларусь. Другим государственным регулятором в этой области – использование средств криптографической защиты информации, электронной подписи и защиты персональных данных – является Оперативный аналитический центр при Президенте РБ – ОАЦ (http://oac.gov.by).
Среди объектов контрольно-надзорной деятельности – рынок продуктов и услуг решений для обеспечения информационной безопасности финансовой сферы. В Беларуси он представлен несколькими десятками фирм разной формы собственности, деятельность которых ведётся на основе выданных лицензий. Список фирм, имеющих соответствующие лицензии, представлен на сайте ОАЦ.
Подготовка − обучение и повышение квалификации специалистов в сфере информационной безопасности для кредитно-финансовых организаций и платёжных систем осуществляется главным образом Белорусским государственным университетом и Белорусским государственным университетом информатики и радиоэлектроники
Существует программа обучения по специальностям, связанным с обеспечением информационной безопасности и защитой информации, которая согласована и утверждена Советом Министров РБ. Эта программа достаточно широкая, она включает обучение и подготовку кадров в том числе и для банковской системы. Ряд функций в учебном процессе выполняют фирмы – поставщики продуктов и услуг в области информационной безопасности.
В Республике Беларусь проводятся разнообразные отраслевые деловые мероприятия по тематике информационной безопасности финансового сектора и электронных расчётов. Из последних значимых мероприятий – прошедший 21–22 ноября 2012 года в Минске IX форум «БанкИТ'12» (http://bankit.by), организованный Национальным банком Республики Беларусь, Научно-технологической ассоциацией «Инфопарк» и Ассоциацией белорусских банков.
В форуме приняли участие более 1150 представителей банков, 1Т-компаний, государственных органов и других организаций. Участники представляли Беларусь, Россию, Украину, Казахстан, Армению, Латвию, Литву, Бельгию, Великобританию, Германию и Польшу.
Довольно широкий круг мероприятий проводится совместно с Банком России, в сотрудничестве с органами ЕврАзЭС и Союзного государства.
* * *
