Регулятор обяжет банки усилить защиту приложений

Банки должны уделять особое внимание безопасности собственных финансовых приложений — интернет- и мобильного банка, корпоративных приложений и внутренних порталов. Это следует из последней версии стандарта по кибербезопасности ЦБ, с которым ознакомились "Известия" .

По словам официальных представителей регулятора, для банков стандарт станет обязательным к исполнению не ранее 2019 года.

"После установления в нормативных актах Банка России ссылок об обязательности применения банками стандарта его выполнение будет проверяться ЦБ в ходе проведения инспекций и надзорных мероприятий, — рассказали "Известиям" в пресс-службе регулятора. — Центробанк рассчитывает, что введение стандарта в должной степени будет способствовать существенному снижению киберрисков финансовых организаций — в первую очередь рисков, связанных с несанкционированными переводами денежных средств".

Документ обязывает кредитные организации регулярно проводить анализ приложений на наличие уязвимостей или, если они проходили сертификацию Федеральной службы по техническому и экспортному контролю (ФСТЭК), использовать их сертифицированные версии. В пресс-службе регулятора подчеркнули, что это одно из ключевых требований к банкам в рамках нового стандарта.

Мер защиты, которые должны будут соблюдать банки, стандарт содержит более десятка. В частности, кредитные организации должны обеспечить шифрование и возможность дистанционного удаления данных. Также, по мнению ЦБ, необходимо проводить и проверку клиентов при входе в интернет- или мобильный банк со смартфона и компьютера (сотрудников финансовых учреждений будут проверять при доступе к корпоративным приложениям и порталам). Если клиент какое-то время был неактивен в приложении, потребуется повторная верификация. Согласно стандарту, банки должны управлять настройками, обновлениями и составом приложений на смартфонах и ПК клиентов и сотрудников, а также информацией, используемой для организации защищенного сетевого взаимодействия. Кроме того, у кредитных организаций должна иметься возможность определения местонахождения смартфона или ПК клиента или сотрудника, регистрации сим-карт.

По прогнозам экспертов, стандарт поможет снизить объем кибермошенничества. Однако каким будет эффект от его введения на фоне усилий FinCERT (подразделение ЦБ по борьбе с кибермошенничеством), работы ЦБ по отслеживанию и блокировке мошеннических операций и деятельности правоохранителей — специалисты по информационной безопасности оценить затруднились.