За последние два года на банки был совершен ряд кибератак, которые были успешно отражены, и клиенты банков не пострадали. При этом, кибербезопасность достаточно новое направление деятельности для Казахстана. Как Агентство регулирует процесс кибербезопасности на финансовом рынке?
Действительно, выстраивать систему кибербезопасности пришлось практически с нуля. И это при том, что мировые стандарты и нормы по кибербезопасности находятся только в стадии становления, но постоянно трансформируются с учетом вновь возникающих вызовов. Главными вызовами для кибербезопасности банков можно назвать такие как оптимизация удалённой работы сотрудников банка, рост операций онлайн, упрощение доступа к услугам банка, развитие каналов дистанционных продаж, борьба с мошенниками и хакерами.
Поэтому первоначальной задачей Агентства в сфере кибербезопасности стала разработка и актуализация правовой базы для минимизации возникающих рисков и регламентации внутренних бизнес процессов банков. Для этого необходимо установить требования и методики, которые с одной стороны обеспечивали бы возможность оперативного реагирования на риски и вызовы, возникающие на рынке, а с другой — не создавали бы чрезмерную нагрузку на финансовые институты.
Агентством совместно с Национальным Банком Казахстана разработана и утверждена Стратегия кибербезопасности финансового сектора Республики Казахстан на 2020-2022 годы. К настоящему времени определены требования к службам реагирования на инциденты информационной безопасности и к компетенциям сотрудников финансовых организаций. Внедрены методика оценки рисков информационной безопасности и правила оценки уровня защищенности, внесены изменения в требования по информационной безопасности для банков и рынка ценных бумаг. Все эти документы в целом направлены на усиление и развитие систем кибербезопасности.
Какие еще инициативы необходимо внедрить для совершенствования системы кибербезопасности?
В первую очередь, необходимо доработать Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности. Этот документ был принят еще в 2016 году и должен быть актуализирован с учетом современных реалий. Сейчас он находится на обсуждении в государственных органах.
Кроме того, мы хотим расширить и уточнить полномочия Агентства в области контроля и надзора за соблюдением требований информационной безопасности, а также в части передачи персональных данных третьим лицам. Соответствующие предложения внесены в разрабатываемые МЦРИАП РК законопроекты.
Мы также рассчитываем, что применение административных мер по аналогии с существующими механизмами защиты прав потребителей финансовых услуг, позволит повысить качество соблюдения законодательных требований в части информационной безопасности. Административные меры предполагают наложение штрафов за нарушение банковского законодательства в сфере обеспечения информационной безопасности и несоблюдение порядка формирования системы управления рисками информационной безопасности.
Уже сейчас можно констатировать, что тем самым, будут усилены механизмы обеспечения информационной безопасности во всей финансовой отрасли.
Как на практике организовано обеспечение кибербезопасности на финансовом рынке? И есть ли результаты?
Агентство занимается не только регулированием, но и развитием финансового рынка. Мы развиваем такое направление, как отраслевой центр информационной безопасности. Финансовый сектор – первый в Казахстане, в котором начата подобная практика, в других секторах экономики создание отраслевых центров информационной безопасности только планируется. Мы хотим сделать обязательным для финансовых организаций подключение к соответствующей информационной системе центра, обеспечивающей обмен данными.
Для предотвращения кибератак в 2020-2021 годах, Агентством заблокировано 20 мошеннических интернет-ресурсов, в том числе 13 интернет ресурсов с признаками финансовой пирамиды. В банки направлено более 400 предупреждений об угрозах информационной безопасности и обработано более 300 карт информационных инцидентов от БВУ.
Для автоматизации процессов взаимодействия по вопросам информационной безопасности, экономии человеческих ресурсов и повышения оперативности реагирования в пилотную эксплуатацию запущена Автоматизированная система обработки информации по событиям и инцидентам информационной безопасности на финансовом рынке — АСОИ «Qainar». Данная система фиксирует события, сигналы и инциденты информационной безопасности, предупреждает об угрозах и уязвимостях.
На данный момент все 22 банка уже подключены к «Qainar». При этом 8 банков (АО "Евразийский банк"; ДБ АО "Сбербанк России"; АО "Банк ЦентрКредит"; АО "ForteBank"; АО ДБ "Альфа-Банк"; АО «Банк «Bank RBK», АО «Halyk Bank», АО «Altyn Bank») используют автоматизированный механизм взаимодействия.
Задействованы ли другие стейкхолдеры в процессе обеспечения кибербезопасности финансового сектора?
Да, важным направлением работы является взаимодействие и сотрудничество. Всегда полезно обмениваться опытом, перенимать лучшие практики и просто выслушать стороннее мнение по складывающейся ситуации.
Мы используем любую возможность, чтобы обсудить с представителями финансового рынка и государственных органов актуальные вопросы. В режиме видеоконференции и в очном формате мы уже обсуждали законопроект по защите персональных данных, вопрос создания единой национальной биометрической системы, проблемы и перспективы использования облачных сервисов на финансовом рынке.
Кроме того, прежде чем вносить проекты изменений в нормативные правовые акты Агентства по вопросам обеспечения информационной безопасности на финансовом рынке, мы также обсуждаем их с коллегами.
К сожалению, в текущем и прошлом годах, в связи с пандемией, снижена активность в части международного сотрудничества. Вместе с тем, нами налажены рабочие отношения и подписаны Соглашения о взаимодействии в области обеспечения информационной безопасности с центральными банками России, Беларуси, Кыргызстана и Армении.
В рамках работы рабочей группы по вопросам обеспечения информационной безопасности финансового рынка центральных национальных и банков государств ЕАЭС утвержден глоссарий по вопросам информационной безопасности и рассмотрен проект перечня необходимых процессов.
В конце 2020 года Агентство зарегистрировалось в качестве полноправного участника FIRST (Международный форум групп реагирования на инциденты и безопасности) — KZ-FinCERT.
Кроме того, нам удалось приобрести неоценимый опыт в расследовании киберпреступлений — в 2020 году мы приняли участие в досудебном расследовании оперативно-следственной группы Прокуратуры города Алматы по фактам хищения денежных средств через цифровые каналы в некоторых казахстанских банках. Был проведен анализ цифровых материалов, подготовлено и передано в алматинскую Прокуратуру заключение специалистов в рамках уголовного дела.
Несмотря на то, что перед системой обеспечения кибербезопасности возникают новые и сложные вызовы, этот сегмент рынка динамично развивается. Благодаря анализу и использованию международного опыта, а также тесному взаимодействию с высококлассными профессионалами, казахстанский финансовый сектор готов отражать возникающие угрозы и совершенствоваться в обеспечении информационной и кибербезопасности.