За реформу информбезопасности кредитных организаций придется расплачиваться банковским клиентам. Стремясь защитить средства граждан и компаний от хищений, ЦБ требует от банков «разделения технологий» или введения ограничений по платежам. В итоге данные требования могут вылиться в том числе и в необходимость иметь два мобильных телефона или электронную цифровую подпись для работы с мобильным банком.
Как сообщил “Ъ” глава комитета АРБ по банковской безопасности Александр Велигура, ассоциация готовит запрос в ЦБ с просьбой пояснить вступившие в силу с 1 июля поправки к положению о требованиях к информационной безопасности банков (382-П). Проблема оказалась в пункте 2.10.5 документа. Он вводит новое требование — в случае когда кредитная организация не может обеспечить «непосредственный контроль защиты информации от воздействия вредоносного кода» по платежам клиентов, банку необходимо обеспечить раздельные технологии при подготовке платежа клиентом и при его подтверждении.
Эти меры должны позволять в том числе использовать различные программные среды для формирования платежки и подтверждения трансакции, а также сверять реквизиты платежного документа как в момент формирования, так и на этапе подтверждения. Если же применение раздельных технологий невозможно, банкам необходимо установить ограничения по сумме трансакции, перечню получателей, временному периоду совершения трансакций, по устройствам, на которых может быть сформирован платежный документ и какими подтвержден, а также по географии плательщика.
Термин «раздельные технологии» весьма размыт и не до конца ясно, что хотел регулятор, отмечают специалисты по информационной безопасности.
Например, при проведении платежей через мобильный банк используется всего одно устройство — телефон. Может ли он обеспечить разделение технологий? Мнения экспертов расходятся. «Широко используемые сейчас SMS/PUSH-коды уже не обеспечивают защиту от хищения денег при переводах»,— отмечает гендиректор SafeTech Денис Калемберг. Поэтому, по его мнению, «для работы с мобильным банком может быть применено компактное устройство с возможностью контроля реквизитов, подключающееся к смартфону по Bluetooth».
Однако на практике любые подобные новации могут вызвать негатив со стороны клиентов банков, поскольку для них использование мобильного банка либо станет дороже (за счет приобретения дополнительного устройства), либо будет занимать больше времени.
Банкиры ждут пояснений от ЦБ — хотя требование о раздельных технологиях и вступает в силу с 1 января 2020 года, им потребуется вносить существенные изменения в программное обеспечение.
Вероника Горячева
SIA.RU: Главное
