Стандарт Банка России

Стандарт Банка России по информационной безопасности — это набор правил и рекомендаций, которые устанавливают минимальные требования к защите информации в кредитных организациях. Он призван обеспечить сохранность конфиденциальности, целостности и доступности информации, которая обрабатывается банками, а также защитить их от различных угроз.

Основные цели стандарта:

• Обеспечение безопасности информации: Защита от несанкционированного доступа, разглашения, изменения и уничтожения информации.

• Соблюдение законодательства: Соответствие требованиям законодательства РФ в области информационной безопасности.

• Повышение доверия: Укрепление доверия клиентов, партнеров и регуляторов к банку.

• Снижение рисков: Минимизация рисков финансовых потерь, репутационных убытков и других негативных последствий, связанных с нарушением информационной безопасности.

Ключевые элементы стандарта:

• Политика информационной безопасности: Документ, определяющий общие принципы и цели информационной безопасности в банке.

• Организационные меры: Структура и функции подразделений, ответственных за информационную безопасность, порядок взаимодействия с другими подразделениями.

• Технические меры: Используемые технологии, системы и средства защиты информации, включая антивирусное ПО, системы обнаружения вторжений, межсетевые экраны, системы контроля доступа.

• Процедуры и инструкции: Документы, регламентирующие порядок работы с информацией, включая процедуры обработки персональных данных, резервного копирования, восстановления данных, реагирования на инциденты.

• Обучение и повышение квалификации: Программы обучения сотрудников банка по вопросам информационной безопасности.

• Мониторинг и контроль: Процедуры регулярного мониторинга и контроля за состоянием информационной безопасности, включая аудит, тестирование на проникновение, анализ логов.

Основные требования стандарта:

• Защита персональных данных: Соблюдение законодательства о персональных данных, включая требования к их сбору, обработке, хранению и уничтожению.

• Защита конфиденциальной информации: Обеспечение сохранности конфиденциальной информации, включая коммерческую тайну, банковскую тайну, информацию о клиентах.

• Защита от киберугроз: Защита от вредоносных программ, хакерских атак, атак типа «отказ в обслуживании», фишинга и других угроз.

• Обеспечение доступности информационных систем: Обеспечение непрерывной работы информационных систем, включая резервирование, восстановление данных и аварийное восстановление.

Важно отметить:

• Стандарт Банка России по информационной безопасности (комплекс СТО БР ИББС) носит рекомендательный характер: информационным письмом Банка России от 16.07.2020 № ИН-014-56/113 решение о его применении оставлено на усмотрение самой организации. Обязательны для кредитных организаций нормативные акты Банка России — Положение от 30.01.2025 № 851-П и Положение от 17.08.2023 № 821-П, которые требуют реализации мер защиты информации по ГОСТ Р 57580.1.

• Несоблюдение обязательных требований — положений Банка России и ГОСТ Р 57580.1 — может повлечь предписания регулятора, штрафы и репутационные убытки. За отказ от применения рекомендательного комплекса СТО БР ИББС санкции не предусмотрены.

• Основной документ комплекса — СТО БР ИББС-1.0-2014 — с 2014 года не переиздавался: развитие требований перенесено в серию ГОСТ Р 57580 и стандарты СТО БР БФБО.

Внедрение стандарта Банка России по информационной безопасности является важным шагом для обеспечения безопасности информации и устойчивого развития кредитных организаций.