На Магнитке традиционно проводилась закрытая сессия ФинЦЕРТа, на которой присутствовали только представители Банка России и поднадзорных организаций, которые могли откровенно задавать вопросы регулятору и получать на них ответы. На Уральском форуме в этом году решили эту традицию продолжить и позвали меня, чтобы промодерировать эту секцию.
Надо сразу сказать «спасибо» ДИБ Банка России, который зная мое отношение к регуляторам и нормативке, все равно позвал меня вести эту сессию.
Я раньше на таких сессия не присутствовал и поэтому поступил просто — объявил сбор вопросов от отрасли в профильных чатиках в Телеге, подсобрал вопросов, которые слышал в последнее время от коллег, а также понадеялся, что и на самой сессии найдутся представители финансовых организаций, которые захотят прямо задать вопросы регулятору, который был в полном составе (все руководители ДИБа — Андрей Выборнов, Алексей Голенищев, Юрий Лысенко, Андрей Соколов, Вадим Уваров, Григорий Царев). Но профессиональный чатик меня немного разочаровал 🙁 Вопросы про регуляторику в нем задаются ежедневно, но почему-то мало кто захотел эти вопросы транслировать на закрытую сессию. Объяснения были простые — «а нас там все равно не будет«, «вот если бы была запись или трансляция«, «регулятор все равно ничего конкретного не скажет«, «грош цена этой сессии, так как там нет официальной позиции регулятора, а всего лишь частное мнение«… Заранее видя такое отношение, я пробежался по чату «ИБ в Финсекторе» и сформировал перечень часто задаваемых вопросов, которые и озвучил на сессии.
Я осознанно не задавал очень технических или детальных вопросов, связанных с конкретными пунктами нормативных актов Банка России, так как мы бы тогда погрязли в этом и не смогли бы рассмотреть более стратегические темы.
Руководство ДИБ Банка России разрешило мне пересказать то, о чем говорилось на сессии, что я и сделаю ниже в формате FAQ.
Ответ: Это непроходная тема, так как ЦБ не имеет права давать рекомендации о том, как реализовывать то или иное требование.
Мой комментарий: Как по мне, так это странно. ФСТЭК спокойно выпустила рекомендации по реализации 17-го приказа. Такие методики или рекомендации сняли бы львиную долю претензий к регулятору в части непроработанности и нереализуемости требований положений Банка России и ГОСТов.
Ответ: Нет, такой возможности нет. А в части АСОИ есть соответствующий чатик регулятора, в котором все вопросы по ФинЦЕРТу можно оперативно задавать. Если нужны ответы, то надо направлять запросы через АСОИ или по иным официальным каналам.
Ответ: Недавно было разослано письмо по данному вопросу.
Мой комментарий: Письма не видел — ничего не могу сказать, насколько оно отвечает на вопрос.
Ответ: Да, в рамках регуляторной гильотины. Но это небыстро и непросто.
Мой комментарий: Это, кстати, интересный вопрос и не только к ЦБ. Сколько вообще документов регуляторов было отменено? Было бы интересно посмотреть соотношение принятых и отмененных требований.
Ответ: Приоритет имеет Положение Банка России. Если есть конфликт между ГОСТом и Положениями, то руководствоваться надо Положениями Банка России.
Ответ: 250-й Указ принимали без учета мнения ЦБ, но он не видит проблемы в этой части. Это всего лишь вопрос времени.
Мой комментарий: Есть официальные ответы Минцифры и Банка России касательно применения 250-го Указа в финансовых организациях.
Ответ: Это выходит за рамки деятельности ДИБ. Статистики по числу уже утвержденных зампредов, отвечающих за ИБ, в ДИБ нет.
Мой комментарий: Мне кажется, на 250-й Указ уже все подзабили. Ответственности же никакой.
Ответ: Физлица могут продолжать использовать простую электронную подпись в соответствие с требованиями 63-ФЗ.
Ответ: Контактируйте с Банком России.
Ответ: Сейчас идет диалог с Роскомнадзором в этой части.
Мой комментарий: Я бы сильно не рассчитывал на изменения, так как требования по уведомлению установлены на уровне ФЗ и никакие договоренности не могут этого изменить. А если они и появятся, то в любой момент могут быть отменены или изменены.
Ответ: Да, планируется.
Мой комментарий: В 2018-м году, на Магнитке, на тот же самый вопрос прозвучал ровно такой же ответ. Вообще, за последние 6 лет ситуация в этой части вообще не поменялась. Финансовые организации живут в рамках джентльменского соглашения между ЦБ и ФСБ и оно сейчас устраивает все стороны, которые не хотят ломать сложившуюся практику и инициировать ради этого внесение изменений в ФЗ (а ведь именно он требует отправлять данные об инцидентах одновременно в ФСБ и в ЦБ).
Ответ: Да, будет. В частности в индикаторы добавится больше контекста, например, поля Last Seen / First Seen.
Мой комментарий: Мне не совсем понятно, зачем буквально следовать прилетающим фидам и бездумно засовывать их в средства защиты? Почему нельзя, например, сравнивать прилетающие IOCи с имеющейся TI-платформой и при нахождении новых IOCов проверять их на адекватность? Никто же не блокирует 8.8.8.8 только потому, что этот IP прилетел в фидах от регулятора? Или блокирует?
Ответ: ЦБ понимает необходимость применения open source решений в области ИБ в ситуациях, когда на рынке отсутствуют иные решения, необходимые для обеспечения ИБ финансовых организаций.
Мой комментарий: Тут главное — не забыть учесть еще и требования ФСТЭК и ФСБ, которые вроде на словах тоже не против open source, но в своих документах требуют наличия техподдержки у всех средств защиты, используемых в КИИ.
Ответ: Однозначного требования применения только сертифицированных средств защиты нет. Надо использовать комбинированный подход.
Ответ: Готовится ФЗ, который уточнит этот момент.
Ответ: Нисколько, но ФСТЭК будет рада это делать.
Мой комментарий: Насчет «ФСТЭК будет рада» у меня есть сомнения. Непонятно, на соответствие чему она должна сертифицировать прикладное ПО, участвующее в переводе денежных средств, если такое ПО не является средством защиты информации?
Ответ: ЦБ не видит проблемы в этом.
Мой комментарий: Мне кажется, ЦБ уже немного сам запутался в своих же требованиях по оценке соответствия. Например, согласно 719-П операторы по переводу денежных средств должны провести оценку соответствия прикладного ПО в виде сертификации ФСТЭК или по ОУД4 ГОСТ 15408-3 (п.1.2), а также провести сертификацию по 5-му УД (4-му — для значимых организаций) согласно 131-го приказа ФСТЭК (п.2.5). Отсюда и возник вопрос — достаточно ли будет просто УД ФСТЭК?
Ответ: Все надо делать через ФинЦЕРТ.
Ответ: Идет проработка этого вопроса с РКН, чтобы можно было о таких инцидентах сообщать только через ФинЦЕРТ.
Мой комментарий: Вот это было бы хорошо, если все требования по информированию об инцидентах замыкались на ФинЦЕРТ и не надо было каждому регулятору (ФСБ, ЦБ, РКН и т.п.) слать свое собственное уведомление.
Ответ: Да.
Мой комментарий: Но пауза и интонация, с которыми прозвучал ответ, а также ржач в зале, который последовал за ним, подсказывают, что правильный ответ был все-таки «нет» 🙂
Ответ: Достаточно сертификата ФСТЭК.
Мой комментарий: Но если к вам придет проверка ФСБ, этого будет недостаточно. Из зала также прозвучал комментарий, что проверка ЦБ также требовала сертификата ФСБ на МСЭ.
Ответ: Эта форма находится не введении ДИБа.
Ответ: Увы, никак.
Мой комментарий: Не знаю, мне кажется, ЦБ мог бы собрать разработчиков и намекнуть им на то, что не надо пользоваться ситуацией и выкручивать руки. И хотя ЦБ говорит, что их игнорируют, мне опять же кажется, что при желании ЦБ бы мог найти нужные слова и аргументы.
Ответ: Как считаете нужным. Планов по разработке отдельных требования по моделированию угроз не установлено и не планируется.
Ответ: Пока нет.
Ответ: Это пентесты и киберучения.
Ответ: Если такого требования нет в ГОСТе, то на ваше усмотрение и исходя из вашей модели нарушителя и угроз.
Помимо указанных вопросов, руководство ДИБ Банка России также озвучило и ряд других моментов:
- Сейчас планируют менять 930-й приказ Минцифры в части сроков аудита ЕБС.
- Планируется ужесточение контроля времени ответа по операциям без согласия. Ответ надо будет давать в течение 24 часов. Также рекомендую посмотреть ответы ЦБ по данному вопросу.
- ТК122 будут перетряхивать, так как (хотя это явно и не было озвучено) складывается впечатление, что многие члены комитета только отбывают в нем повинность, но ни хрена не делают или занимаются отписками, а также неглядя голосуют «за» все вносимые документы. Поэтому сейчас есть возможность у желающих подать свою кандидатуру на вступление в ТК122 (она всегда была).
- 10-го февраля был утвержден обновленный СТО БР БФБО-1.5-2018 по формам взаимодействия с Банком России (ФинЦЕРТ) участников информационного обмена. В него, среди прочего, включили уведомления по операционной надежности и ряду других вопросов (вроде как по ПДн тоже, но до конца не уверен).
- Про инициативу о запрете проведения финансовых операций через мессенджеры ЦБ был не в курсе. Но Департамент НПС уже работает по данному вопросу.
Наконец, в очередной раз встал вопрос о качестве подготавливаемых ДИБом документов, необходимости их ревизии, пересмотру и синхронизации терминологии, сокращению числа «Пешек» и «Ушек», увязывании новых документов с ранее выпущенными.
В чем отличия простоя от деградации и нарушения техпроцесса? А в чем отличие информационных угроз от угроз безопасности информации? А чем отличаются риски ИБ от киберрисков?
Руководство ДИБа предложило сформировать инициативную группу, которая бы смогла не просто огульно обвинять регулятора во всех смертных грехах, а выйти с реальными предложениями, которые можно было бы обсудить и, при целесообразности, принять к рассмотрению. Желающие это сделать могут написать через АСОИ ФинЦЕРТа или Выборнову А.О. Во время обсуждения этого вопроса было поднято 7-8 рук желающих из 200 человек, присутствовавших на закрытой секции.
Не все интересующие отрасль вопросы я задал на закрытой секции, так как часть из них касалась будущих планов Банка России (например, когда ГОСТы 57580.3/4 будут включены в нормативные акты ЦБ), а про это было запланировано несколько отдельных секций на Уральском форуме. Но с учетом написанного вчера про форматы секций не уверен, что эти вопросы были рассмотрены 🙁
Ну и чтобы не делать отдельную заметку, еще парочка новостей, которые имеют отношение к кибербезопасности финансовых организаций:
- ТК122 начал рассмотрение проекта стандарта Банка России СТО БР БФБО-1.8-2023 «Обеспечение безопасности финансовых сервисов при проведении дистанционной идентификации и аутентификации. Состав мер защиты информации».
- Я получил ответ на вопрос одного из банков, который входит в международную финансовую группу и по корпоративным правилам должен передавать данные об инцидентах в головной SOC. Вопрос касался запрета такой передачи, упомянутой в 368-м приказе ФСБ. Так вот данный запрет касается передачи данных только в специализированные организации, осуществляющие деятельность в области реагирования на компьютерные инциденты; внутренние SOC финансовых организаций в их число не включаются и поэтому согласовывать с НКЦКИ отправку каждого тикета за пределы РФ не нужно.
