Как защищать платформу цифрового рубля

Основные моменты Положения о требованиях к обеспечению защиты информации для участников платформы цифрового рубля.

Летом ЦБ РФ опубликовал два проекта Положений:

1. О платформе цифрового рубля.
2. О требованиях к обеспечению защиты информации для участников платформы цифрового рубля.

И если первый проект был рассмотрен и широко освещен во многих средствах массовой информации, то второй незаслуженно обошли стороной и редко упоминали в СМИ.

Алексей Филиппов, методолог по ИБ AKTIV.CONSULTING, решил восполнить этот пробел и рассмотрел основные моменты Положения о требованиях к обеспечению защиты информации для участников платформы цифрового рубля:

• В проекте Положения говорится о том, что участники цифровой платформы должны размещать свою инфраструктуру, обеспечивающую операции с цифровым рублем, в выделенных сегментах сети. Для защиты инфраструктуры будет необходимо опираться на ГОСТ Р 57580.1. Данный документ знаком участникам рынка, и его требования уже давно выполняются в рамках иных финансовых операций.
• К инфраструктуре, обеспечивающей операции с цифровым рублем, предъявляются требования стандартного (2) уровня защиты информации. В то же время значимые кредитные организации должны будут применять меры усиленного (1) уровня защиты информации.
• Участники должны проводить оценку соответствия требованиям к защите информации не реже 1 раза в 2 года, с привлечением лицензиата по технической защите конфиденциальной информации.
• На данный момент уровень оценки соответствия защиты информации должен быть не ниже 3 для всех участников, а с 1 января 2024 года — не ниже 4.
• Участники должны обеспечить ежегодный пентест и анализ уязвимостей выделенных сегментов.
• В рамках проекта предъявляются также требования к защите с использованием средств криптографической защиты информации (СКЗИ).

Из всего вышесказанного можно сделать вывод, что для банков-участников данные предписания уже знакомы, и выполнить их будет несложно. И хотя исполнение таких требований неминуемо приведет к финансовым и временным тратам внутри организаций-участников, реализация платформы цифрового рубля может привлечь банкам много новых клиентов и нивелировать затраты.

Возможные риски с точки зрения кибербезопасности

Даже несмотря на приведенные выше требования ЦБ по обеспечению безопасности информации, нужно понимать, что это не панацея. По мере роста популярности цифрового рубля возможно появление новых схем преступной деятельности. Для этого прежде всего могут использовать низкий уровень осведомленности населения о том, как работает новая форма денег, что в итоге приведет к созданию мошеннических сайтов и возникновению лже-консультантов по вопросам работы с цифровым рублем.

Несмотря на высокий уровень защиты системы, всё ещё невозможно исключить риск социальной инженерии, когда человек сам предоставляет преступникам свои конфиденциальные данные и доступ к счету. И хоть в случае с цифровыми деньгами отследить мошенников будет проще, это их вряд ли остановит. На каждый вариант защиты они придумают несколько новых идей, как эту защиту обойти.

Решение данной проблемы уже давно известно: необходимо повышать уровень грамотности населения в области кибербезопасности. И это касается не только цифрового рубля, но и финансовой системы в целом.