Новые рекомендации Банка России по расчету показателей уровня риска ИБ

Эксперт AKTIV.CONSULTING Алексей Филиппов описал основные моменты рекомендаций, применимые к банкам.

В конце ноября Банк России выпустил методические рекомендации (МР-17) по установлению целевых значений и расчету фактических значений количественных контрольных показателей уровня риска ИБ, связанных с осуществлением перевода денежных средств без согласия клиента, а также установлению пороговых значений и расчету фактических значений ключевых индикаторов риска ИБ ЦБ РФ.

Согласно тексту документа, данные методические рекомендации разработаны для кредитных организаций (КО) при реализации требований 716-П в целях:

1. Единообразного подхода к расчету значений количественных контрольных показателей уровня риска информационной безопасности, связанных с осуществлением перевода денежных средств без согласия клиента (ККПУР ИБ ОБС);

2. Расчета значений количественных показателей, направленных на измерение и контроль уровня риска информационной безопасности в определенный момент времени (ключевые индикаторы риска информационной безопасности, КИР ИБ ОБС).

Под риском ИБ подразумевается риск преднамеренных действий со стороны работников организации или третьих лиц с использованием ПО или ПАК, направленных на объекты информационной инфраструктуры КО в целях нарушения или прекращения их функционирования, а также в целях несанкционированных действий с информацией (в т.ч. несвязанных с воздействием на объекты информационной инфраструктуры) и нарушения режима доступа.

В рамках МР-17 к ККПУР ИБ ОБС относятся следующие значения:

• отношения суммы денежных средств, по которой получены уведомления, связанные с осуществлением перевода денежных средств без согласия клиента, за отчетный период нарастающим итогом с начала календарного года к общей сумме переводов денежных средств за этот же период (контрольное значение должно быть не более 0,005 процента, сигнальное значение — не более 0,002 процента);
• отношения количества операций по переводу денежных средств, соответствующих признакам осуществления перевода денежных средств без согласия клиента, в отношении которых кредитная организация не приняла к исполнению и приостановила исполнение распоряжений о совершении операций по переводу денежных средств, за отчетный период нарастающим итогом с начала календарного года к общему количеству операций по переводу денежных средств за этот же период;
• отношения суммы денежных средств, возмещенной (возвращенной) клиентам, по которой получены уведомления от клиентов об использовании электронного средства платежа без их согласия за отчетный период нарастающим итогом с начала календарного года к сумме денежных средств, в отношении которой получены такие уведомления, за этот же период.

Установление и расчет сигнальных, контрольных и фактических значений ККПУР ИБ ОБС, а также установление пороговых значений и расчет фактических значений КИР ИБ ОБС рекомендуется осуществлять с использованием сведений, представляемых ранее операторами по переводу денежных средств (КО) в Банк России разделов 2 и 3 отчетности по форме 0403203 «Сведения о событиях, связанных с нарушением защиты информации при осуществлении переводов денежных средств».

В целях мониторинга возможного превышения сигнальных и (или) контрольных значений ККПУР ИБ ОБС расчет фактических значений КИР ИБ ОБС рекомендуется осуществлять не реже чем раз в квартал.

Расчет фактических значений КИР ИБ ОБС рекомендуется осуществлять по формулам 1−10, приведенным в приложении к МР-17.