Банки могут быть наказаны за несерьезное отношение к спам-рассылкам

Банки могут столкнуться с трудностями в связи с необходимостью направлять информацию в ЦБ обо всех спам-рассылках, содержащих вредоносные программы. Однако за неполное раскрытие информации перед регулятором кредитные лорганизации рискуют подвергнуться наказанию, пишет "Коммерсант".

С 1 июля вступили в силу поправки к положению ЦБ №382-П, уточняющие требования к информационной безопасности участников национальной платежной системы. Теперь они обязаны информировать о компьютерных инцидентах Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ) Банка России.

"В соответствии с одобренным текстом проекта нового стандарта Банка России 1.5 об информационном обмене о выявленных инцидентах, спам, в том числе с вредоносным кодом, относится к инцидентам, о которых необходимо в обязательном порядке сообщать в ФинЦЕРТ", — указывает бизнес-консультант по безопасности Cisco Systems Алексей Лукацкий. При этом данный стандарт требует уведомлять о каждом спам-сообщении. "В общем объеме e-mail спам сегодня составляет 60–80%, что делает задачу информирования ФинЦЕРТа непростой", — указывает он.

Объем ежедневно получаемого каждым банком электронного спама огромен, подтверждают участники рынка. Вместе с тем они указывают, что сообщают о спам-рассылках выборочно. "Письма с опасным вложением не являются для банка инцидентами, так как они автоматически блокируются нашими системами безопасности. Количество случаев, которые можно рассматривать как инциденты, минимально, и о них мы в установленном порядке уведомляем ФинЦЕРТ", — указывают в ВТБ. В Сбербанке напоминают, что положение ЦБ "О требованиях к защите информации…" обязывает финансовые организации сообщать об инцидентах, связанных с обнаружением вредоносного ПО внутри организации на участке платежной системы Банка России (ПС БР).

Теоретически неинформирование обо всех случаях получения спам-рассылки, содержащей вредоносы, может быть отнесено к нарушению. Коммерческий банк "несет ответственность в соответствии с федеральным законом "О Центральном банке", указывают в пресс-службе регулятора. Однако, уверен Лукацкий, определить факт такого нарушения будет достаточно сложно, если банк будет сообщать хоть о каких-то спам-рассылках.