Пример решения: Внедрение стандарта Банка России по информационной безопасности в «ТрансКредитБанке»

«Астерос» и «ТрансКредитБанк» реализовали проект по совершенствованию системы обеспечения информационной безопасности. Основными результатами проекта стали соблюдение требований стандарта Банка России в области информационной безопасности – СТО БР ИББС-1.0-2008, снижение рисков нарушения информационной безопасности и повышение доверия к банку со стороны его акционеров и партнеров.

О заказчике

«ТрансКредитБанк» входит в ТОП-20 крупнейших российских кредитных организаций и занимает лидирующие позиции в сегменте услуг транспортной и смежных с ней отраслей. Широкая филиальная сеть «ТрансКредитБанка» насчитывает порядка 300 офисов в 190 городах и населенных пунктах России.

Являясь стратегическим партнером РЖД, банк обслуживает 17 железных дорог России (филиалов РЖД) и большую часть отечественных предприятий и организаций железнодорожного транспорта. Банк также сотрудничает с более 40 тыс. предприятий всех сфер экономики, предлагая им полный спектр финансовых услуг.

Банку присвоены долгосрочные кредитные рейтинги Moody’s (Ba1/Стабильный) и Standard & Poor’s (BB/Стабильный).

Цели и задачи проекта

Для обеспечения необходимого и достаточного уровня информационной безопасности (ИБ) в организациях банковской системы Банком России разработана серия стандартов по информационной безопасности СТО БР ИББС, требования которых направлены на повышение стабильности работы банковских организаций, определение эффективности используемых ими мер по безопасности, а также ответственности за обеспечение ИБ.

В 2007 году «ТрансКредитБанком» было принято решение о внедрении СТО БР ИББС. По итогам конкурса реализация проекта была доверена компании «Астерос».

Основной задачей проекта стала разработка и внедрение эффективного комплекса организационных, технологических, технических и программных мер, средств и механизмов обеспечения ИБ.

Этапы проекта

На первом этапе специалисты «Астерос» провели обследование состояние ИБ в головном офисе и ряде филиалов банка. В результате системного анализа полученных данных были выработаны рекомендации по совершенствованию существующих компонентов системы обеспечения информационной безопасности (СОИБ) банка.

На втором этапе совместно со специалистами банка была разработана концепция совершенствования системы ИБ, пакет проектов организационно-распорядительных и нормативно-методических документов СОИБ с перечнем ролей и обязанностей сотрудников, ответственных за обеспечение информационной безопасности, также были выработаны предложения по обработке рисков ИБ.

Реализация данной концепции позволила создать в головном офисе банка систему обеспечения информационной безопасности (СОИБ), отвечающую требованиям СТО БР ИББС-1.0-2008.

В ходе опытной эксплуатации СОИБ головного офиса банка были разработаны предложения по внедрению программно-технических мер и средств защиты, в том числе систем предотвращения утечек конфиденциальных данных, мониторинга инцидентов и событий ИБ, контроля используемых средств и систем защиты и т.п. Параллельно специалистами «Астерос» ведутся работы по защите персональных данных.

Результаты и перспективы

Начальник управления информационной безопасности «ТрансКредитБанка»  Валерий Капитонов, отмечает, что в настоящее время в головном офисе банка внедрено 43 организационно-распорядительных и нормативно-методических документа СОИБ. Действие указанных документов распространяется практически на все структурные подразделения головного офиса банка и регламентирует действия сотрудников, участвующих в обеспечении ИБ. Руководству предоставляются консолидированные данные об анализе эффективности СОИБ, позволяющие определять проблемные зоны и понимать, на что необходимо выделить дополнительные ресурсы.

В дальнейшем «ТрансКредитБанк» при активном участии специалистов «Астерос» планирует создать интегрированную систему обеспечения ИБ в головном офисе и филиалах банка в соответствии с требованиями стандарта Банка России. Интегрированная система обеспечения ИБ позволит банку анализировать и контролировать защиту информационной системы; оценивать соответствие (Compliance management) информационных систем требования безопасности; проводить мониторинг и управлять событиями и инцидентами ИБ, а также обеспечивать безопасность удаленного доступа.

В результате, новая система повысит эффективность используемых мер ИБ, снизит риски, оптимизирует затраты, а также позволит обеспечить стабильное функционирование банка.