По сообщению Коммерсантъ в письме ЦБ, полученном банками 28 марта, регулятор просит применения компенсирующих мер для обеспечения ИБ на фоне введенных санкций и ухода с российского рынка профильных иностранных компаний. Наличие обновлений и сертификации оборудования и ПО также являются нормативными требованиями. В ЦБ пояснили, что письмо выпущено «для поддержки участников финансового рынка» и что регулятор «принял решение пересмотреть порядок применения мер в отношении банков за нарушения».

Участники рынка ожидали разъяснения позиции регулятора и внесения изменений в нормативные акты, которые позволят им искать аналоги используемого ПО и оборудования без риска предписаний со стороны ЦБ. В банках отмечают, что такие меры можно подобрать далеко не всегда, особенно если приходят сообщения о большом количестве уязвимостей при отсутствии обновлений. «Компенсирующие меры были и в действовавшем с 2012 года положении 383-П, и банки периодически пытались их применять, однако случаи, когда ЦБ счел их достаточными, неизвестны»,— рассказал бывший сотрудник ЦБ.

Собеседник «Ъ», близкий к ЦБ, пояснил, что предписания регулятора касаются участка платежной системы Банка России и клиентских платежей, в том числе дистанционного банковского обслуживания, мобильных приложений. Оно также коснется систем антифрода, периметровой защиты (межсетевые экраны, обнаружение вторжений, анти-DDoS, антивирусы), но не имеет отношения к показателям бесперебойности СБП и реагирования на инциденты по несанкционированным платежам.

По словам независимого эксперта по кибербезопасности Алексея Лукацкого, так как на практике проверяющим из ЦБ непросто доказать достаточность компенсирующих мер, данное письмо приведет к тому, что безопасникам придется больше заниматься «бумажной безопасностью» и писать для регулятора доказательства, а не заниматься реальными проблемами.

Источник: Коммерсантъ