Окончание срока проведения банками оценки соответствия выполнения требований 382-П: когда?

Ожидаемая паника все-таки наблюдается. В небольших масштабах, пока без жертв, затоптанных бегущими, но все-таки отмечена. Итак, бессмертное: «Шеф, все пропало…».

Это я про окончание срока проведения оценки банками соответствия выполнения требований «Положения о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» (382-П). В июле прошлого года я писал, что после принятия 3007-У тема оценки соответствия и отчета из теоретической перетекла в сугубо практическую плоскость. Коллеги из банков меня тогда заверили, что беспокойство мое напрасно, все под контролем, и к проблеме они давно готовы.

Восставший после новогодних каникул кредитно-финансовый народ подтянулся в родные учреждения и вот это самое «Шеф, все пропало…» стало реальностью. Руководство банков с разной степенью вежливости интересуется, а что там у нас с отчетом и когда на самом деле надо было его отправить. О чем думали раньше и куда смотрели. Кто будет отвечать и как. Ну и так далее, вы знаете эти послепраздничные разговоры в строю.

Итак, следуя далее заявленному кинематографическому канону, «по советам моих товарищей», поскольку количество вопросов на эту тему в наше агентство уже зашкалило, мы решили изложить нашу точку зрения публично, а если будет тема для дискуссии – тем лучше. Коллективный разум, ныне именуемый краудсорсингом, – великая сила.

Итак, Федеральный закон от 27.06.2011 № 161-ФЗ «О национальной платежной системе» в ст. 27 родил необходимость принятия Правительством России требований к защите информации о средствах и методах обеспечения информационной безопасности, персональных данных и об иной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации, проверять выполнение которых должны ФСБ и ФСТЭК (части 1 и 2), а Банком России - требований к защите информации при осуществлении переводов денежных средств, которые он же, Банк России, будет и проверять (часть 3).

Не будем сейчас обсуждать тему пересечения множеств, в частности, относится ли информация при осуществлении переводов денежных средств к подлежащей обязательной защите в соответствии с законодательством - это тема отдельной ветки обсуждения.

Отметим лишь, что ст. 27 закона родила Постановление Правительства  от 13.06.2012 № 584 «Об утверждении Положения о защите информации в платежной системе» (П-584) и «Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» от 09.06.2012 N 382-П (382-П).

П-584 установило, что организация и проведение контроля и оценки выполнения требований к защите информации на собственных объектах инфраструктуры проводится участниками отношений (банками в данном случае) не реже 1 раза в 2 года самостоятельно или с привлечением на договорной основе организации, имеющей лицензию на деятельность по технической защите конфиденциальной информации. Отсчет пошел с 1 июля 2012 года. Первая оценка должна быть закончена, соответственно, до 30 июня 2014 года включительно. Про отчетность и адрес, по которому ее надо направлять, в документе нет ни слова.

А вот 382-П родило сомнения. Оно вступило в силу также 1 июля 2012 года и в первоначальной редакции определяло, что подпадающие под его действия участники платежной системы обеспечивают проведение оценки соответствия не реже одного раза в два года, а также по требованию Банка России, и, таким образом, первая оценка должны была бы быть завершена до 30 июня 2014 года включительно, если не поступит иного указания Банка.

И оно поступило. 5 июня 2013 года Председатель Центробанка подписал Указание № 3007-У «О внесении изменений в Положение Банка России от 9 июня 2012 года № 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств"». Указание вступало в силу в силу со дня его официального опубликования в «Вестнике Банка России», за исключением подпункта 1.3 и абзацев второго, третьего и четвертого подпункта 1.6 пункта 1, вводящих дополнительные требования к безопасности, которые вступают в силу по истечении 180 дней после дня его официального опубликования.

В соответствии с п.3 Указания организация, являющаяся на день его вступления в силу оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести оценку соответствия в течение шести месяцев с этого самого дня.

Указание опубликовано и вступило в силу 10 июня 2013 года. Значит, первую оценку соответствия надо было закончить не позже 9 января 2014 года.

Тут появляется маленький, но весьма интересный нюанс. 6 месяцев истекают 9 января, а 180 дней – 6 января. Кто не почувствовал разницу: если дата окончания оценки соответствия – 9 января (первый рабочий день нового года), то в оценку должны быть включены данные по выполнению требований п.п.28-29.4 382-П в редакции 3007-У, а если оценка закончена до 6 января (в декабре, например), то эти требования учитывать не надо.

Теперь об отчете. Пункт 2.15.3 382-П требует сформировать отчет и хранить его в порядке, установленном соответствующим оператором (банком, например).

А вот что делать с ним дальше, определяет уже Указание Банка России от 09.06.2012 N 2831-У «Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств». В соответствии с п.2 Указания, отчетность по форме 0403202 «Сведения о выполнении операторами платежных систем, операторами услуг платежной инфраструктуры, операторами по переводу денежных средств требований к обеспечению защиты информации при осуществлении переводов денежных средств» предоставляется ими не позднее 30 рабочих дней со дня завершения проведения оценки требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных 382-П.

Т.е. смотрим дату утверждения отчета об оценке соответствия, отсчитываем 30 РАБОЧИХ дней и получаем дату предоставления отчета. Если отчет утвержден последним допустимым днем, 9-м января 2014 года, отчет в Банк России надо представить не позднее 20 февраля.

Вот такая арифметика Магницкого.

Итожим. Оценку соответствия 382-П надо было завершить и утвердить внутренний отчет не позднее 9 января 2014 года. Отчет в Банк России надо представить не позднее 20 февраля, причем если отчет утвержден 7-9 января, в него должна войти оценка соответствия требованиям п.п.28-29.4 382-П в редакции 3007-У.

До 30 июня этого же года надо завершить контроль и оценку выполнения требований к защите информации на собственных объектах инфраструктуры, установленных Постановлением Правительства № 584 (и, похоже, это не совсем то, что написано в оценке соответствия 382-П). Отчитываться не надо.

Но надо быть готовым к проверкам Банка России, ФСБ и ФСТЭК по всем рассмотренным требованиям.

И, в заключении, про бумажную безопасность. Государственные риски – одни из самых серьезных. Оштрафованных и лишенных лицензий больше, чем подвергнутых взлому с реальными последствиями. А бумажная безопасность – это, в том числе, и умение читать и понимать документы.

Если в обсуждении изложенной мною точки зрения поучаствуют представители  ГУБЗИ, Департамента национальной платежной системы и Главной инспекции кредитных организаций Банка России, укажут на возможные несоответствия и неточности или подтвердят правоту, думаю, представители банковского сообщества будут весьма благодарны.

СМС-оповещения о движении средств по счету: всегда ли это безопасно

Купил как-то в Штатах местную SIM-карту. И стали с тех пор на мой номер приходить СМС-ки о состоянии текущего банковского счета прежнего владельца телефонного номера и движении средств по нему в Bank of America. Примерно такие.

Посмеялись мы над забывчивостью владельца, не сообщившего в банк о смене номера мобильного телефона, и, как казалось, история на этом и закончилась.

Но, оказывается, есть банки, с которыми в такие игры лучше не играть.

Примерно такая же история, что и со мной, приключилась с одной юной особой, и не в Америке, а на родных просторах. И банк был несколько другой. И стал он девушке не только об операциях по счету кредитной карты сообщать, но и настойчиво предлагать воспользоваться  услугами «Мобильного банка». Если так предлагают, то почему бы не воспользоваться? Оказалось, чтобы денежки со счета забывчивого предыдущего владельца перевести на свой счет не просто, а очень просто. Надо на заветный короткий номер отправить распоряжение в виде СМС о переводе средств ну, например, на лицевой счет этой самой SIM-карты. И все! Банк, в глаза не видевший ни девушку, ни кредитную карту в ее руках, карточный счет благополучно обнулил, пополнив телефонный счет на ту же сумму. Ну, а дальше еще проще – девушка бежит в «Юнистрим» и полученную сумму благополучно обналичивает.

А банк сообщает о переводе средств не только авантюристке, но и владельцу кредитной карты. Наличие двух номеров, привязанных к счету, и, соответственно, двух подключений «Мобильного банка» к двум разным симкам банк все это время (2,5 года с моменты смены владельцем телефонного номера) нисколько не смущали. На два номера рассылать – так на два. С двух номеров получать распоряжения по средствам – ничего особенного, можем и с двух.

Интерес появился только после опустошения счета и жалобы клиента. Предприимчивая новая владелица SIM-карты свои данные указала честно, ее вычислили, нашли и осудили за кражу по пункту «в» части 2 ст.158 УК (в) (причинение значительного ущерба гражданину). Дело было в богоугодном Дивееве, и, видимо, близость святого места к районному суду сделала самый гуманный суд в мире гуманным до крайности. При максимальном штрафе по этой части статьи в 200 тысяч рублей суд ограничился наказанием в 5 тысяч, то ли посчитав, что сам по себе процесс поспособствовал полному  исправлению, то ли войдя в тяжелое материальное положение воришки, покусившейся аж на 18 с небольшим тысяч. Даже КоАП за мелкое хищение (до 1 тысячи рублей) предусматривает штраф не менее этой самой тысячи до пятикратной стоимости похищенного имущества.

О частном определении  в отношении банка, предоставившего такие невиданно простые возможности для хищения чужого имущества, ничего не сообщается. Видимо, его и не было. О том, что банк после этого перестроил систему мобильного управления счетами, тоже сведений не поступало. В результате возникает вопрос, способствует ли подобный приговор предотвращению краж и не возникает вопрос о том, почему банки так настойчиво добивались (и добились) переноса срока вступления в силу статьи 9 нового 161-ФЗ «О национальной платежной системе», обязывающей возместить клиенту сумму операции, совершенной без согласия клиента после получения уведомления об этом в установленный срок.

В общем, будьте бдительны. Тем более что мошенники ищут все новые и новые способы изъятия денежных средств со счетов и на каждую новую защитную меру в системах дистанционного банковского обслуживания (ДБО) и электронных платежей находят свои контрмеры. Вот и Брайан Кребс, эксперт по компьютерной безопасности, сообщает, что для коммуникаторов на Android’е создана вредоносная программа Perkele, перехватывающая СМС-сообщения, передаваемые системами ДБО. Программа заточена под интернет-банкинг 69 конкретных банков 10 стран (России в этом списке пока нет, а вот относительно зарубежных банков, работающих в России и использующих родные системы ДБО, этого уверенно сказать нельзя). Perkele работает с другой вредоносной программой, которая меняет инструкции в банковском клиенте на смартфоне и от его имени требует установки для двухуровневой аутентификации дополнительную программу (естественно, Perkele). Кребс сообщает, что версия программы для атаки на клиентов одного банка стоит всего тысячу долларов, а полная версия (для 69 банков) – пятнадцать тысяч.

Будьте бдительны!