Запущена первая в России типизированная услуга по внедрению новой версии стандарта ИБ Банка России

Одновременно соответствующие изменения внесены и в комплексную услугу «Все стандарты ИБ. Банки», которая обеспечивает соответствие систем ИБ требованиям сразу трех нормативных документов: вышеуказанного стандарта, Федерального закона «О персональных данных» (№152-ФЗ), а также стандарта международных платежных систем PCI DSS, обязательного при наличии у организации собственного процессинга пластиковых карт.

Таким образом, уже через пять недель после принятия итоговой версии СТО БР ИББС  компания LETA предложила российским банкам решение наиболее актуальных для отрасли задач ИБ. 

Новая версия СТО БР ИББС исключительно важна для банковского сектора, т.к. устраняет основное противоречие, мешавшее большинству российских банков запускать полномасштабные проекты по внедрению и этого стандарта, и требований №152-ФЗ. Дело в том, что зоны влияния на системы ИБ указанных основополагающих элементов нормативной базы значительно перекрываются, но прежние их версии настолько различались, что банку необходимо было, по существу, внедрять и сопровождать два решения. А это увеличивало начальные и эксплуатационные затраты, усложняло систему ИБ и затрудняло ее развитие. По сравнению с совокупностью отдельных проектов, приводящих к тому же результату, интеграция работ в рамках услуги «Все стандарты ИБ. Банки» позволяла заказчику вдвое ускорить внедрение, на треть снизить начальные затраты и на 20% – затраты на сопровождение. И все же данная комплексная услуга лишь смягчала негативные последствия несогласованности нормативной базы, а полное решение проблемы стало возможным лишь после завершения Банком России, Роскомнадзором, ФСБ и ФСТЭК России процесса гармонизации (21 июня 2010 года). Итогом этой работы стала новая редакция СТО БР ИББС, зафиксированная в Комплексе документов в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации». Причем выполнение этих положений теперь рассматривается регулирующими органами РФ и как выполнение требований закона «О персональных данных» (№152-ФЗ). 

Успешное завершение гармонизации двух важнейших частей нормативной базы в сфере ИБ открывает возможность запуска в ближайшее время множества соответствующих проектов. Вместе с тем, внедрение таких решений остается сложнейшей организационно-технической задачей, требующей времени, значительных ресурсов и особой квалификации исполнителей. Опыт проектов по защите персональных данных показывает, что оставшиеся полгода близки к минимальному сроку, за который можно выполнить столь значительный объем работ. Ситуация еще более осложняется тем, что для успешного внедрения СТО БР ИББС подрядчик должен не только иметь отработанные технологии создания систем защиты персональных данных, но и досконально разбираться в специфике ИБ в банковской сфере. Именно эти «линии компетенций» объединены в новой услуге LETA IT-company и в обновленной версии комплексной услуги «Все стандарты ИБ. Банки». 

Разрабатывая оптимальную методику внедрения новой версии СТО БР ИББС, LETA IT-company взяла за основу и существенно усовершенствовала оригинальные наработки, созданные при  подготовке услуги «Все стандарты ИБ. Банки». Напомним, что эта услуга уже предусматривала максимальную интеграцию работ по защите персональных данных и внедрению актуальной на тот момент версии СТО БР ИББС. Причем в качестве центрального элемента методики уже тогда был выбран именно стандарт Банка России, который, в отличие от двух других пакетов требований, охватывает практически всю деятельность современного банка в сфере информационной безопасности, объединяет лучшие практики и при этом не содержит жестких требований к применяемым организационным мерам и программно-техническим средствам. 

Усовершенствование методики шло сразу по нескольким направлениям. Во-первых, завершившаяся гармонизация двух стандартов позволила полностью объединить  и оптимизировать соответствующие регламенты. Во-вторых, были максимально унифицированы процедуры специализированной и комплексной услуги. В-третьих, были усовершенствованы механизмы распараллеливания работ, что особенно важно и для ускорения отдельного проекта, и для оптимального распределения ресурсной базы при одновременном выполнении множества проектов. Наконец, в методику были добавлены новые элементы, позволяющие банкам, уже начавшим проекты по защите персональных данных, максимально использовать результаты этой работы, и соответственно защитить инвестиции. Отметим, что благодаря активному участию в ABISS, прямой работе с регулирующими органами и представителями банковского сообщества, компания LETA смогла верно спрогнозировать изменения и запустить трансформацию методики задолго до принятия финальной версии стандарта СТО БР ИББС. При этом период после 21 июня был посвящен, в основном, внесению небольших финальных изменений в готовые регламенты, тестированию услуги, уточнению нормативов отдельных операций и завершению нормоконтроля документации. 

«Регулирование российского рынка ИБ развивается и достигло состояния, когда началась гармонизация основополагающих универсальных и отраслевых элементов нормативной базы. Завершение этого процесса для банковской отрасли не только открывает дорогу реальным проектам, но и служит примером для других отраслей. Чтобы этот пример был положительным, профессиональные поставщики услуг в сфере ИБ должны будут справиться с этими проектами, несмотря на их количество, индивидуальные различия банков, огромный территориальный охват, ограниченные сроки и высокие требования к качеству работ. А это просто невозможно без типизации услуг и выверенной масштабируемой технологии их отработки, – говорит Андрей Конусов, генеральный директор LETA IT-company. – Нам удалось запустить соответствующие услуги в рекордные сроки, ведь мы опирались на доскональное знание и наработки в сферах защиты персональных данных, внедрения стандартов ИБ, ИБ в банках, оценки соответствия систем ИБ требованиям (compliance). Очень помог опыт реальных проектов. Конечно, быть первым приятно, но главным для нас был не в престиж. Мы отлично знаем, что в условиях ограниченной ресурсной базы каждая неделя задержки сейчас обернется к концу года нехваткой времени в проектах, что может не только задержать завершение работ, но сделать внедрение стандартов практически невозможным для многих банков».