Соответствовать, нельзя игнорировать, или Драйверы роста популярности Compliance

Если принимать во внимание картину в целом, субъектами НПС могут быть банки, владельцы систем электронных платежей, операторы мобильной связи, консалтинговые и страховые организации, почтовые отделения и др. Кроме того, допускается участие в НПС международных финансовых организаций и иностранных банков.

Это первая редакция закона № 161-ФЗ, причем некоторая часть его норм начнет действовать лишь с 1 января 2013 года. Как правило, законопроекты проходят несколько редакций, поэтому высока вероятность того, что новые поправки будут внесены и в законодательство о НПС. Пока же рассмотрим то, что мы имеем на сегодня.

Рис. 1. Схема расчетов с использованием банковских карт

Обзор нормативно-правовых документов

Сфера деятельности закона «О национальной платежной системе» регулируется множеством нормативно-правовых актов. Это и Федеральный закон № 395-1 «О банках и банковской деятельности», и Положение ЦБ РФ № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» и многие другие. Да и сам закон № 161-ФЗ содержит в себе большое количество ссылок на другие Федеральные законы. Проанализируем основные нормативно-правовые акты, разработанные в рамках законодательства о НПС (см. рис. 2).

Требования по информационной безопасности в НПС устанавливаются как Правительством, так и ЦБ РФ. Постановление ПП-584 определяет требования к информационной безопасности и защите данных для всех субъектов НПС, Положение 382-П – к защите информации (ЗИ) в зависимости от роли субъектов. Однозначного соотношения требований 382-П и ПП-584 не прослеживается.

Указание 2831-У устанавливает формы отчетности по обеспечению ЗИ и сроки ее предоставления.

Положения 380-П и 381-П определяют порядок наблюдения и надзора за соблюдением требований закона. Контроль в НПС будет осуществлять ЦБ РФ в порядке, согласованном с ФСТЭК и ФСБ. Но не стоит забывать и о защите персональных данных (ПДн): функции по контролю и надзору безопасности ПДн будет, как и ранее, осуществлять Роскомнадзор. На данный момент дать оценку эффективности вышеперечисленных нормативно-правовых актов затруднительно, только со временем практика их применения позволит выявить все плюсы и минусы.

Рис. 2. Структура нормативно-правовых актов

Выполнение требований закона № 161-ФЗ. С чего начать?

К каждому субъекту НПС закон предъявляет достаточно объемные требования. Так, например, ключевых субъектов – операторов платежных систем – он обязывает проводить большую работу по разработке методики анализа и рисков, реагированию на инциденты и информированию операторов платежной инфраструктуры об их выявлении.

Первоочередной задачей организации является определение своего места в рамках одной или нескольких платежных систем. На данном этапе методологические ошибки и неверное понимание нормативной базы могут привести к избыточности и чрезмерной жёсткости предъявляемых требований. Учитывая Положение ЦБ РФ № 382-П, общий порядок действий при реализации требований закона представляется таким:

1. В зависимости от роли вашей организации как субъекта НПС нужно направить регистрационное заявление либо уведомление в ЦБ РФ.
2. Необходимо создать структурное подразделение либо назначить сотрудника, ответственного за ИБ, и включить требования по ЗИ в должностные инструкции сотрудников, работающих с платежной системой.
3. Спроектировать систему технической защиты информации с учетом возможности перехвата данных в интернете.
4. Установить правила доступа к средствам обработки информации.
5. Разработать пакет внутренних документов о ЗИ.
6. Организовать мониторинг выполнения установленных правил, выявление инцидентов и построить систему реагирования.

В отличие от закона № 152-ФЗ «О персональных данных», где ФСТЭК, ФСБ и Роскомнадзор контролируют всех операторов ПДн, закон № 161-ФЗ имеет иерархическую схему контроля. Так, за соблюдением банковскими агентами (субагентами) требований Положения ЦБ РФ № 382-П следит не ЦБ РФ, а оператор по переводу денежных средств. Оператор платежной системы, в свою очередь, контролирует операторов по переводу денежных средств и операторов услуг платежной инфраструктуры (см. рис. 3).

Кроме того, продолжает оставаться в силе и традиционная процедура сбора и предоставления отчётности в ЦБ РФ, информация о выполнении требований к участию в НПС по факту дополняет ее. Она включает в себя отчет об инцидентах и правонарушениях в сфере электронных платежей (ежемесячно) и отчет по результатам оценки выполнения требований по ЗИ (не реже чем раз в два года, а также по требованию ЦБ РФ). Отметим, что для кредитных организаций (например, банков), каких большинство, дело обстоит проще: они уже привыкли отчитываться перед ЦБ РФ. Иначе дело обстоит с некредитными организациями (например, QIWI, Деньги ВКонтакте): раньше их отчётность ЦБ РФ не собирал, но теперь будет.

Сроки, отведённые субъектам НПС на приведение своей деятельности в соответствие требованиям закона, очень сжаты. Три месяца дается кредитным организациям, осуществляющим перевод электронных денежных средств, и шесть месяцев – организациям, осуществляющим деятельность операторов платежных систем.

Рис. 3. Схема отчетности

Стандарт СТО БР и закон № 161-ФЗ. Принцип совместимости

Не секрет, что требования Положения ЦБ РФ № 382-П разработаны на базе стандарта СТО БР ИББС-1.0-2010 «Обеспечение информационной безопасности организации банковской системы РФ» Мы проанализировали требования Положения ЦБ РФ № 382-П и стандарта СТО БР, в табл. 1 (см. стр. 22) приведен результат этого анализа.

Из таблицы видно, что Положение ЦБ РФ № 382-П включает в себя множество пунктов стандарта СТО БР и предъявляет к субъектам НПС вполне ожидаемые требования. При этом Положение, в отличие от стандарта, носит обязательный характер. Отсюда можно сделать вывод, что, по большому счету, организациям, которые реализовали требования стандарта СТО БР и внедрили необходимые процессы ИБ, а не просто разработали организационно-распорядительную документацию, для соответствия требованиям закона № 161-ФЗ не придется существенно затрагивать (корректировать) свою деятельность по ИБ. А тем организациям, которые решили не соответствовать стандарту СТО БР, многое будет в новинку.

В заключение хотелось бы сказать о том, что проведения организациями формализованных действий (мероприятий) с последующей оценкой соответствия требованиям закона № 161-ФЗ будет вполне достаточно для отчетности перед ЦБ РФ, но в то же время недостаточно для достижения и поддержания высокого уровня зрелости ИБ. Только систематизация процессов обеспечения ИБ, расстановка приоритетов в этой области, достижение адекватности системы ИБ существующим рискам и ее прозрачности дадут организациям возможность в любое время быть готовыми к проверкам регуляторов.

Разработать процесс внедрения метрик оценки эффективности, освоить методику организации защиты информации, создать выделенное подразделение ИБ и, наконец, найти на все это время, может далеко не каждая организация. Поэтому практика привлечения сторонних специалистов, обладающих методологией и опытом выполнения работ по информационной безопасности, для многих остается актуальной.

Табл. 1. Анализ требований СТО БР и 382-П

[1] Положение ЦБ РФ № 382-П не включает требования по защите ПДн. Защита ПДн, обрабатываемых при переводе денежных средств, осуществляется в соответствии с законодательством РФ.