ЦБ разработал стандарт по информационной безопасности

Технический комитет Центробанка России закончил работу над государственным стандартом защиты информации финансовых организаций. Планируется введение обязательной сертификации средств защиты информации для всех компаний финансового рынка.

Новый ГОСТ предусматривает дифференцированный подход при определении уровня защиты информации, который регулятор будет присваивать каждой поднадзорной организации. ЦБ намерен ввести три уровня безопасности — минимальный, стандартный и усиленный. Присваиваться они будут в зависимости от состава реализуемых бизнес- и технологических процессов, вида деятельности, объёма финансовых операций и прочих факторов.

Нововведение коснётся всех финансовых компаний вне зависимости от присвоенного им уровня защиты информации. К примеру, в документе содержится требование, чтобы технические меры защиты информации имели сертификат соответствия стандартам Федеральной службы по техническому и экспортному контролю.

Уточняется, что учреждениям, которым присвоят минимальный уровень защиты информации, необходимо будет обеспечить наличие IT-решений, сертифицированных не ниже 6-го класса, компаниям второго уровня — не ниже 5-го класса, а первого уровня — не ниже 4-го класса. По мнению экспертов, сертификация необходима с точки зрения обеспечения доверия к инструментам защиты.

Участники рынка беспокоятся о том, что данная норма может оказаться невыполнимой из-за особенностей российской IT-индустрии. Мало того, для банковского сектора могут ввести новые нормативы резервирования, рассчитанные в зависимости от выполнения требований по информационной безопасности.

Проект планируется обсудить и, возможно, утвердить на ближайшем заседании комитета, которое состоится 13 апреля. С учётом всех официальных процедур новый ГОСТ может вступить в силу в 2019 году. В результате на документ в дальнейшем будет ссылаться ЦБ в своих нормативных актах, регулирующих требования к информационной безопасности.