ЦБ расширяет перечень данных о киберрисках, которые кредитным организациям нужно будет раскрывать

Центробанк решил расширить требования к отчетности банков о кибератаках. Финансовым организациям уже в этом году предстоит раскрывать, как и с чьих счетов мошенники пытались украсть деньги. Об этом «Известиям» рассказал источник, близкий к регулятору. В пресс-службе ЦБ подтвердили информацию о расширении перечня сведений. Там также уточнили, что Центробанк сделает эти доклады публичными. По мнению экспертов, это позволит своевременно реагировать на угрозы и возвращать пострадавшим похищенные средства.

Банк России в этом году снова решил изменить форму отчетности банков о кибербезопасности. Кредитным организациям придется раскрывать больше информации о нападении хакеров. Помимо экономических показателей, таких как сумма ущерба и сведения о похищенных средствах, которые удалось вернуть, в ЦБ хотят знать и об объектах и каналах кибератак. Об этом «Известиям» рассказал источник, близкий к регулятору. Там эту информацию подтвердили. Раскрывать все сведения нужно будет уже в 2018 году. Причем они станут доступны не только регулятору, но и широкому кругу лиц.

— ЦБ предлагает повысить детализацию отчетности по инструментам, использованным при совершении хищений денег. Например, дистанционные каналы обслуживания, мобильные телефоны, платежные карты и др., — сообщил источник «Известий».

Банкам также нужно будет отразить в материалах для ЦБ, у кого пытались украсть деньги — компании-клиента, гражданина или у самой кредитной организации, — добавил собеседник «Известий». Эти данные нужно будет сгруппировать по сумме потерь — мелкие, средние и крупные.

В Центробанке пояснили «Известиям», что вся эта информация нужна для анализа киберрисков, присущих платежным технологиям.

— Эти сведения позволят своевременно вносить изменения в нормативные акты регулятора. В том числе в методические документы, направленные на обеспечение безопасности конкретных платежных технологий, — уточнили в ЦБ.

Когда банкам придется начать отчитываться по-новому, в Банке России не уточнили. Кредитные организации стали отправлять сведения о кибербезопасности регулятору с 2013 года. С тех пор перечень раскрываемой информации уменьшился. Сейчас кредитным организациям нужно сообщать ЦБ лишь экономические показатели, связанные с действиями мошенников.

Новая система отчетности о киберинцидентах преследует простую цель — усилить защищу от кибератак, считает директор Positive Technologies по методологии и стандартизации Дмитрий Кузнецов.

— Это позволит и самим банкам, и ЦБ концентрироваться на реализации тех мер, которые действительно необходимы для исправления ситуации. Сведения о способах проведения атак дадут возможность регулятору подготовить рекомендации по предотвращению подобных преступлений и их расследованию, — рассказал он.

Впоследствии, полагает Дмитрий Кузнецов, у ЦБ и правительства будет достаточно информации для того, чтобы разработать и меры правовой поддержки пострадавших. 

До 2014 года граждане были не защищены в случае хищения средств с их счетов. Затем изменился закон «О национальной платежной системе». В нем утвердили презумпцию виновности кредитных организаций за утрату денег клиентов. Поэтому в случае споров банки обязаны или доказать, что средства пропали по вине самого гражданина, или возместить похищенную сумму.

Банкиры уверены, что новые требования ЦБ не повлекут для них дополнительных затрат. В пресс-службе банка «ФК Открытие» отметили, что эта информация у кредитных организаций уже есть и ее нужно будет просто включить в отчет.

С этим согласен зампред СДМ-банка Олег Илюхин. Он пояснил, что во всех кредитных организациях уже работают IT-системы мониторинга инцидентов кибербезопасности и защиты от мошенников. Это позволяет если не предотвратить атаку, то провести по ее итогам тщательное расследование.

В 2016 году объем киберхищений составил 4 млрд рублей, следует из материалов Центробанка (данные за прошлый год регулятор раскрыть отказался). В компании Positive Technologies оценили, что количество атак на банки выросло примерно на 30% в течение 2017 года. Новелла ЦБ позволит оценить адекватность мер защиты от «цифровых» мошенников и сформировать государственную политику в финансовой сфере в целом.