Российские банки будут обязаны обеспечить защиту от киберугроз

Новый стандарт в сфере кибербезопасности представил Центробанк России. Банки, у которых нет ресурсов его обеспечить, будут обязаны обращаться к компаниям, предоставляющим такого рода услуги. Аутсорсеры же будут оказывать помощь финансовым учреждениям в выстраивании систем кибербезопасности в срок до шести недель, а затем на постоянной основе осуществлять мониторинг и контроль защиты в круглосуточном режиме и обучение персонала.

ЦБ России в разработанном стандарте, направленном на обеспечение кибербезопасности, определил три варианта взаимодействия банков с компаниями-аутсорсерами, которые будут работать над обеспечением их защиты от кибервторжений, пишет издание iz.ru. Как отмечает замначальника главного управления безопасности и защиты информации ЦБ Артем Сычев, шаги в развитии аутсорсинга по этому направлению были предприняты потому, что «для небольших и средних банков вопросы, связанные с кибербезопасностью и ИТ в целом, весьма недешевые и сложные».

Три модели работы со сторонними компаниями

Согласно новому стандарту регулятора, банки могут взаимодействовать с аутсорсерами по трем моделям – на долговременной, среднесрочной и кратковременной основе. Если при использовании первой модели сторонняя компания будет осуществлять мониторинг кибератак на финансовое учреждение и реагированием на них, то взаимодействие по второй модели предполагает проектирование компанией системы, обеспечивающей кибербезопасность (например, разработку для банка собственного центра мониторинга и реагирования на киберугрозы). При кратковременном сотрудничестве банки будут привлекать аутсорсеров лишь тогда, когда возрастет уровень киберрисков.

Затраты и риски по оценкам экспертов

Сейчас подобный сервис оказывают 30 компаний. Соответственно, их услуги можно представить в виде базового, расширенного и премиального пакетов. При выборе банком первой модели взаимодействия компания работает в режиме 8х5, второй и третьей – 24х7. До 30 мин отводится на обнаружение критически опасных кибератак в рамках базового пакета, до 20 мин – в рамках расширенного и до 10 мин – при выборе премиального. На анализ ситуации отводится 45, 30 и 20 мин соответственно, а на выдачу рекомендаций по устранению инцидента отводится 2 ч, 1,5 ч и 45 мин.

Оценивая в денежном выражении подобного рода услуги, руководитель направления аутсорсинга ИБ центра информбезопасности компании «Инфосистемы джет» Екатерина Сюртукова отмечает, что стоимость расширенного пакета будет выше в 1,2-1,5 раза по сравнению с базовым, а премиального – в 1,5–1,7 раза. Так, за базовый пакет услуг небольшим банкам придется заплатить 250 тыс. руб. в месяц, а крупным – до 2,5 млн. Она пояснила: «Если требуется режим 24х7, стоимость услуг будет включать содержание круглосуточной службы. Если нужен высокий уровень компетенции, учитываются расходы на расширенный штат специалистов для оперативного реагирования на инциденты. Стоимость услуг защиты от DDoS-атак зависит от полосы защищенного трафика, доступность которого необходимо обеспечить. Стоимость же оказания услуг защиты веб-приложений – от количества и сложности веб-сайтов, которые нужно обезопасить».

Зампред Локо-банка Андрей Люшин считает, что наиболее эффективным будет долговременное взаимодействие с аутсорсерами. Заместитель директора центра компетенций по экспертным сервисам Positive Technologies Алексей Новиков отмечает, что «важно, чтобы аутсорсинг информбезопасности не превратился в мониторинг ИТ-инцидентов. Или чтобы при выстраивании долговременных взаимоотношений у аутсорсинговой компании «не замыливался глаз» в отношении происходящих в инфраструктуре банка событий». В число рисков для банков эксперты относят и зависимость от провайдеров, и возможность потери конфиденциальных данных.