Кибербезопасность в условиях электронного банкинга. Практическое пособие - [161]

Подробнее ознакомиться с этими исследованиями и заглянуть в будущее можно, например, в [72].

10.3. Краткий обзор нормативной базы по критическим информационным инфраструктурам

Когда умные и честные люди действуют заодно, глупцы и мошенники отступают.

Шарль Дюкло, французский историк, королевский историограф XVIII в.

10.3.1. Основные документы

Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [48] (далее – Закон № 187-ФЗ), вступивший в силу с 1 января 2018 г., регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.

Под безопасностью КИИ в Законе № 187-ФЗ понимается состояние защищенности КИИ, обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак.

Под компьютерной атакой понимается целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты КИИ, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации.

Под объектами КИИ понимаются информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ (п. 7 ст. 2 Закона № 187-ФЗ).

В свою очередь субъектами КИИ являются государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей (п. 8 ст. 2 Закона № 187-ФЗ).

Таким образом, Закон № 187-ФЗ и его подзаконные акты можно и нужно применять для обеспечения безопасности функционирования систем электронного банкинга.

Рассмотрим основные положения этих документов.

Постановление Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» [22]. Вводится перечень показателей критериев значимости объектов КИИ Российской Федерации и их значений, а также определяется порядок категорирования этих объектов.

Категорирование осуществляется субъектами КИИ в отношении принадлежащих им на праве собственности, аренды или ином законном основании объектов КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ.

Устанавливаются три категории значимости. Самая высокая категория – первая, самая низкая – третья. Определен перечень исходных данных для категорирования.

Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов. Перечень объектов в течение пяти рабочих дней после утверждения направляется в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ (ФСТЭК России).

Определен перечень сведений о результатах присвоения объекту КИИ одной из категорий значимости (либо об отсутствии необходимости присвоения ему одной из таких категорий), направляемых в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ. Форма направления сведений о результатах присвоения объекту КИИ Российской Федерации одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий утверждена Приказом ФСТЭК России от 22.12.2017 № 236 [36].

Следует отметить, что проект данного постановления Правительства Российской Федерации был согласован с Центральным банком Российской Федерации.

По информации ФСТЭК России, в настоящее время насчитывается более 250 систем банковской сферы и иных сфер финансового рынка, подлежащих категорированию в качестве объектов КИИ. Как минимум половина из этих систем так или иначе относится к системам электронного банкинга, и доля их будет только увеличиваться.

Основными проблемными вопросами категорирования, с которыми приходится сталкиваться субъекту КИИ, являются:

– определение принадлежности к субъектам КИИ;

– определение критических процессов;

– определение перечня объектов КИИ, подлежащих категорированию;

– определение необходимости согласования перечня объектов КИИ с государственным органом или российским юридическим лицом;