Категорируем АБС, процессинговые системы, ДБО и платёжные сервисы банков и финансовых организаций по 187-ФЗ — с учётом требований к непрерывности обслуживания клиентов.
Спасибо! Специалист свяжется с вами в ближайшее время.
Банки и финансовые организации относятся к банковской сфере и сфере финансовых рынков — одной из 13 критических сфер по 187-ФЗ. Объектами КИИ становятся автоматизированные банковские системы (АБС), процессинг, системы дистанционного банковского обслуживания (ДБО) и платёжные системы.
187-ФЗ называет среди критических сфер банковскую сферу и иные сферы финансового рынка. Это шире, чем банки: под определение попадают страховые компании, брокеры, дилеры, управляющие компании, депозитарии, негосударственные пенсионные фонды, микрофинансовые организации, операторы платёжных систем и платёжные агрегаторы. Субъектом КИИ организация становится, если ей на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, — а финансовая деятельность без них не ведётся.
Масштаб и форма собственности значения не имеют: закон не устанавливает нижнего порога по размеру активов, числу клиентов или объёму операций. Небольшая микрофинансовая организация с собственной учётной системой относится к сфере финансового рынка на тех же основаниях, что и крупный банк, — разница будет в категории значимости, а не в наличии обязанности. Статус субъекта КИИ возникает в силу закона: ни решения регулятора, ни включения в какой-либо перечень для этого не требуется. Разбор общего случая — на странице проверки на КИИ.
Финансовые организации — едва ли не единственная отрасль, где к моменту разговора о КИИ уже выстроен полноценный контур информационной безопасности: выполняются требования Банка России к защите информации, проводятся оценки соответствия, работает служба ИБ. Отсюда самое частое заблуждение отрасли — что 187-ФЗ этим закрыт.
Это разные регуляторные контуры с разными основаниями, документами, регуляторами и результатами. Требования Банка России касаются защиты информации при осуществлении финансовых операций и проверяются в своём порядке. Категорирование по 187-ФЗ и ПП РФ № 127 — это установление категории значимости объекта КИИ, оформление акта категорирования и направление сведений во ФСТЭК России. Проведённая оценка соответствия по линии Банка России не заменяет акт категорирования, а присвоенная категория значимости не отменяет требований к защите информации при финансовых операциях. Одна и та же АБС может одновременно попадать в оба контура.
Практическое следствие: уже выполненные работы по линии Банка России не засчитываются как категорирование, но и не пропадают. Инвентаризация систем, описание процессов и данные о последствиях отказа, собранные для оценки соответствия, годятся как исходные данные для комиссии — переиспользовать их можно и нужно.
Состав зависит от вида деятельности и лицензии, но набор систем повторяется. Ниже — то, что чаще всего попадает в перечень объектов финансовой организации.
| ТИПОВОЙ ОБЪЕКТ КИИ В ФИНАНСОВОЙ ОРГАНИЗАЦИИ | ПОЧЕМУ ПОПАДАЕТ В ПЕРЕЧЕНЬ |
|---|---|
| Автоматизированная банковская система (АБС) | Ядро учёта операций: при её отказе банк не проводит операции и не обслуживает счета. |
| Процессинг платёжных карт | Авторизация и клиринг операций — отказ останавливает расчёты по картам. |
| Дистанционное банковское обслуживание (ДБО) | Интернет-банк и мобильный банк: основной канал доступа клиентов к услугам. |
| Платёжный шлюз или система переводов | Приём и проведение платежей, взаимодействие с платёжной инфраструктурой. |
| Система обмена с Банком России | Через неё уходят платёжные документы и отчётность. |
| Торговая, брокерская и депозитарная система | Доступ на биржу, учёт сделок и прав на ценные бумаги. |
| Система противодействия мошенничеству (антифрод) | Работает в разрыве платежа: её отказ либо останавливает операции, либо снимает контроль. |
| Сеть отделений, банкоматов и терминалов | Обеспечивает обслуживание клиентов и выдачу наличных в точках присутствия. |
| Корпоративная сеть передачи данных организации | Обеспечивает взаимодействие остальных объектов КИИ между собой и с внешней инфраструктурой. |
Порядок общий — ПП РФ № 127 исключений для отрасли не делает. Отличается то, по каким показателям объект достигает порога. У финансовой организации обычно работают два. Первый — социальная значимость: прекращение доступа клиентов к услуге, оцениваемое по числу людей, которых затронет остановка обслуживания. Второй — экономическая значимость: ущерб самой организации и последствия для бюджета и финансовой системы. Пороговые значения общие для всех отраслей, приведены в приложении к ПП РФ № 127 и разобраны на странице критериев значимости.
Отсюда практический вывод по категориям. У банка с массовым обслуживанием физических лиц объекты обычно достигают верхних порогов — типовой результат К1 или К2. У организации с узким кругом корпоративных клиентов результат чаще нижний, а по отдельным системам категория может не присваиваться вовсе — акт при этом всё равно оформляется и сведения всё равно направляются.
Вторая особенность — глубокая интеграция. В банке почти нет изолированных систем: АБС, ДБО, процессинг, антифрод и обмен с Банком России связаны в единый контур, и провести границу объекта труднее, чем в других отраслях. Определять её нужно по обеспечиваемому процессу, а не по схеме интеграций, иначе объект расползается на всю ИТ-инфраструктуру.
Третья — режим работы. Платёжные сервисы и ДБО работают круглосуточно, у них нет допустимого времени простоя и нет «ночного окна», в которое отказ был бы безобиден. Это влияет и на оценку последствий, и на организацию самих работ.
Финансовые организации активно используют чужую инфраструктуру: облачные АБС, спонсорский процессинг, платформы партнёров. Категорировать нужно то, что принадлежит вам: обязанность идёт за владельцем объекта и не переносится тем, что систему кто-то предоставил или сопровождает.
| СИТУАЦИЯ | КТО КАТЕГОРИРУЕТ ОБЪЕКТ |
|---|---|
| АБС развёрнута в организации, лицензии у неё | Финансовая организация — это её объект КИИ. |
| АБС или ДБО в облаке поставщика, эксплуатируются организацией по договору | Финансовая организация: объект принадлежит ей на ином законном основании, размещение у провайдера обязанность не снимает. |
| Процессинг передан стороннему процессинговому центру | Процессинговый центр категорирует свою систему. У банка остаются собственные системы и точки взаимодействия с ней. |
| Платёжная система, к которой организация подключена как участник | Оператор платёжной системы. Участник категорирует своё подключение и свои системы, а не саму платёжную систему. |
| Системы, обслуживаемые подрядчиком по договору сопровождения | Владелец системы: аутсорсинг сопровождения обязанность не переносит. |
| Банкоматы и терминалы, принадлежащие организации | Организация-владелец — как единая система обслуживания, а не как отдельные устройства. |
Подробный разбор ролей — на странице «Кто проводит категорирование».
Создаём постоянно действующую комиссию по категорированию, включая в неё подразделения операционного и платёжного блока, ИТ, службу информационной безопасности и риск-менеджмент.
Выявляем критические процессы: расчётно-кассовое обслуживание, проведение платежей и переводов, операции по картам, обслуживание клиентов в дистанционных каналах, взаимодействие с Банком России.
Формируем перечень объектов КИИ от этих процессов, а не от схемы интеграций, и направляем его во ФСТЭК России.
Собираем исходные данные по каждому объекту: скольких клиентов затронет отказ, есть ли резервный порядок обслуживания и за какое время он разворачивается. Данные оценки соответствия по линии Банка России переиспользуем.
Оцениваем показатели значимости по ПП РФ № 127 — для финансовой организации прежде всего прекращение доступа к услуге и экономический ущерб — и фиксируем обоснование по каждому показателю.
Оформляем акт категорирования по каждому объекту и направляем сведения о результатах во ФСТЭК России.
Работы не требуют остановки систем, изменения настроек и доступа к данным клиентов и банковской тайне: комиссии нужны сведения о процессах, составе систем и последствиях отказа. Обследование ведём преимущественно дистанционно, по согласованному графику.
| ОШИБКА | ЧЕМ ОБОРАЧИВАЕТСЯ |
|---|---|
| Выполнение требований Банка России принято за выполнение 187-ФЗ | Категорирование не проводится вовсе; обязанность считается неисполненной. |
| Перечень собран по схеме интеграций, а не по процессам | Объект расползается на всю ИТ-инфраструктуру, границы в акте не обосновываются. |
| Число клиентов в базе принято за число пострадавших | Показатель прекращения доступа к услуге завышается, категория не бьётся с обоснованием и возвращается на доработку. |
| Система стороннего процессингового центра включена в свой перечень | Категорируется чужой объект, а собственные системы и точки взаимодействия остаются неучтёнными. |
| Каждый банкомат оформлен отдельным объектом | Объектов становятся сотни, объём работ растёт без результата. |
| Оценён только экономический ущерб, без социального показателя | Прекращение доступа клиентов к услуге не оценено, категория занижается. |
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Цена по количеству объектов КИИ. Фиксируется в договоре, без скрытых доплат за этапы.
Категорирование — это работа постоянной комиссии субъекта КИИ по строгому регламенту. Мы готовим комиссию, ведём её и отвечаем за результат по договору: вы получаете готовый комплект документов и подтверждение ФСТЭК.
Да. Банковская сфера прямо названа в 187-ФЗ среди критических, поэтому банк, эксплуатирующий информационные системы, сети связи или АСУ, является субъектом КИИ в силу закона — отдельного решения или включения в перечень для этого не требуется.
Формулировка закона — «банковская сфера и иные сферы финансового рынка», поэтому под неё попадают страховые компании, брокеры и дилеры, управляющие компании, депозитарии, негосударственные пенсионные фонды, микрофинансовые организации, операторы платёжных систем и платёжные агрегаторы. Нижнего порога по размеру или числу клиентов закон не устанавливает.
Как правило да: автоматизированная банковская система обеспечивает учёт операций и обслуживание счетов, то есть критический процесс организации. Категорируется она как информационная система в границах единого комплекса, а не по отдельным модулям.
Нет. Это разные регуляторные контуры: оценка соответствия по линии Банка России не заменяет акт категорирования, а присвоенная категория значимости не отменяет требований к защите информации при финансовых операциях. Одна и та же система может попадать в оба контура.
АБС, процессинг платёжных карт, ДБО, платёжный шлюз или система переводов, система обмена с Банком России, торговая и депозитарная системы, антифрод, сеть отделений, банкоматов и терминалов, корпоративная сеть передачи данных.
Чаще всего К1 или К2 у организаций с массовым обслуживанием физических лиц — по показателям прекращения доступа клиентов к услуге и экономического ущерба. У организаций с узким кругом корпоративных клиентов результат обычно ниже. Точную категорию определяет комиссия субъекта по фактическим данным.
Да. 187-ФЗ говорит о владении на праве собственности, аренды или ином законном основании, поэтому размещение системы у провайдера обязанность не снимает — категорирует организация, которая её эксплуатирует.
Процессинговый центр — свою систему, банк — свои системы и точки взаимодействия с ней. Обязанность идёт за владельцем объекта и не переносится договором на обслуживание.
Нет. Категорирование — это обследование и документы: нужны сведения о процессах, составе систем и последствиях отказа, а не изменение настроек, остановка сервисов или доступ к данным клиентов и сведениям, составляющим банковскую тайну.
Стоимость зависит от числа объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных процессинговых комплексов расчёт индивидуальный. Цена фиксируется в договоре.
Проверка по 13 критическим сферам: покажет, является ли ваша организация субъектом КИИ, сколько систем подлежит категорированию и во сколько это обойдётся. Без регистрации, результат сразу на экране.
187-ФЗ называет среди критических сфер банковскую сферу и иные сферы финансового рынка — это шире, чем банки. Под определение попадают страховые компании, брокеры и дилеры, управляющие компании, депозитарии, негосударственные пенсионные фонды, микрофинансовые организации, операторы платёжных систем и платёжные агрегаторы. Нижнего порога по размеру активов, числу клиентов или объёму операций закон не устанавливает: от масштаба зависит категория значимости, а не наличие обязанности. Категорирование охватывает АБС, процессинг, ДБО и платёжные сервисы.
В перечень попадают автоматизированная банковская система, процессинг платёжных карт, дистанционное банковское обслуживание, платёжный шлюз или система переводов, система обмена с Банком России, торговая и депозитарная системы, антифрод, сеть отделений, банкоматов и терминалов, корпоративная сеть передачи данных. Банкоматы и терминалы оценивают как единую систему обслуживания, а не как отдельные устройства. Типовые категории значимости — К1–К2 у организаций с массовым обслуживанием физических лиц.
Финансовая отрасль почти всегда приходит к разговору о КИИ с уже выстроенным контуром информационной безопасности: требования Банка России выполняются, оценки соответствия проводятся, служба ИБ работает. Отсюда самое частое заблуждение — что 187-ФЗ этим закрыт. Это разные регуляторные контуры с разными основаниями, документами и регуляторами: оценка соответствия по линии Банка России не заменяет акт категорирования, а присвоенная категория значимости не отменяет требований к защите информации при финансовых операциях. Одна и та же АБС может попадать в оба контура. При этом уже собранные данные — инвентаризация систем, описание процессов, оценки последствий отказа — переиспользуются как исходные данные для комиссии.
Порядок общий, ПП РФ № 127 исключений не делает. У финансовой организации обычно срабатывают два показателя: прекращение доступа клиентов к услуге — по числу людей, которых затронет остановка обслуживания, — и экономический ущерб организации и бюджету. Отдельная сложность отрасли — глубокая интеграция: АБС, ДБО, процессинг, антифрод и обмен с Банком России связаны в единый контур, поэтому границу объекта определяют по обеспечиваемому процессу, а не по схеме интеграций, иначе объект расползается на всю ИТ-инфраструктуру. Платёжные сервисы и ДБО работают круглосуточно, допустимого времени простоя у них практически нет.
Обязанность идёт за владельцем объекта. Размещение АБС или ДБО в облаке поставщика её не снимает — категорирует организация, которая эксплуатирует систему по договору. Если процессинг передан стороннему процессинговому центру, он категорирует свою систему, а у банка остаются собственные системы и точки взаимодействия с ней. Участник платёжной системы категорирует своё подключение и свои системы, а не саму платёжную систему — её категорирует оператор.
Услуга включает идентификацию субъекта КИИ, инвентаризацию и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. На выходе — готовый комплект документов и присвоенные категории значимости К1–К3.
Категорирование объектов КИИ в финансовой сфере проводится по 187-ФЗ, Постановлению Правительства РФ № 127 и приказам ФСТЭК России. Перечень объектов направляется во ФСТЭК в течение 5 рабочих дней, на категорирование отводится до одного года, сведения о результатах — в течение 10 рабочих дней после утверждения акта.
Категорирование ведёт постоянно действующая комиссия организации. Мы создаём комиссию с участием операционного и платёжного блока, ИТ, службы информационной безопасности и риск-менеджмента, выявляем критические процессы, формируем перечень объектов от процессов, собираем исходные данные о числе затронутых клиентов и резервном порядке обслуживания, оцениваем показатели значимости и оформляем акт по каждому объекту. Остановка систем и доступ к данным клиентов и сведениям, составляющим банковскую тайну, для этого не требуются.
Для значимых объектов после категорирования строят систему безопасности по требованиям ФСТЭК России и организуют взаимодействие с ГосСОПКА. Эта часть выполняется отдельно и профильным исполнителем; наша работа заканчивается принятыми сведениями о результатах категорирования, которые становятся основанием для всех дальнейших шагов.
Стоимость категорирования объектов КИИ в банках и финансах зависит от количества объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для сложных процессинговых комплексов — индивидуальный расчёт. Срок под ключ — от 2 до 5 месяцев, цена фиксируется в договоре.
Оставьте заявку или закажите звонок — бесплатно определим перечень объектов КИИ вашей организации и рассчитаем стоимость. Работаем по всей России, преимущественно дистанционно.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.