Банкопад 2.0: требование НБУ о кибербезопасности не выполнят две трети украинских банков

Ранее Domik.ua рассказывал, что будет с курсом доллара и евро до конца года .

4 октября 2017 года Нацбанк ошарашил банковскую систему страны, утвердив по-настоящему революционное положение «Об организацию мер по обеспечению информационной безопасности в банковской системе Украины». По странному стечению обстоятельств днем позднее Верховная Рада приняла Закон «О кибербезопасности», который, кроме прочего, обязал НБУ создать центр киберзащиты и обеспечить ту самую информационную безопасность в финансовом секторе, - пишет UBR.ua .

Документ у монетарного ведомства получился обстоятельный. В отличие от во многом декларативного закона, нацбанковское положение содержит четкий перечень требований к финучреждениям. Но, говорят эксперты, невзирая на прогрессивность описанных в положении мер, НБУ слишком торопится. Ведь выполнить требования к 1 марта 2018 года (а именно к этой дате ведомство требует имплементировать основной блок), будет крайне сложно даже технологически продвинутым банкам.

Финучреждениям средней руки специалисты и вовсе порекомендовали «добровольно сдать лицензию».

Читайте также: По каким причинам курс доллара может подняться до 27 грн: мнение банкиров

Хорошее дело

Все опрошенные эксперты отзываются о положении Нацбанка исключительно благожелательно. Ведь после атаки вируса Petya ни у кого не осталось сомнений, что заниматься информационной безопасностью в банковской системе надо. Причем незамедлительно. Кроме того, говорят они, регулятор разрабатывал свои требования не один год, а также учел продвинутый европейский опыт. Так что документ получился «правильный» и «современный».

Вот только измученным кризисом украинским банкам выполнить настояния центробанка может оказаться не под силу.

«По большому счету, за исключением нескольких спорных пунктов, НБУ не просит от банков ничего лишнего, а сами требования достаточно современные. Беда в том, что финучреждения наши не очень современные. Во многих случаях им придется поменять всю IT-инфраструктуру и ПО», — рассказал специалист в банковских IT технологиях Дмитрий Довгий.

Сложнее всего придется крупным банкам с разветвленной сетью и устаревшими технологиями. Особенно в старых отделениях, где об инвестициях в IT не думали со времен их открытия. Работает мол и пускай работает, лучше не трогать. Нужно будет изрядно потратиться и финучреждениям средней руки, которые в принципе всегда пытались сэкономить на дорогостоящей инфраструктуре.

НБУ не стал останавливаться на простейших вопросах информационной безопасности, вроде требований к длине пароля. Требования настолько серьезны, что, по мнению участников рынка, их выполнение сравнимо с процедурой получения сертификата PCI DSS — международного стандарта безопасности данных индустрии платежных карт. Того самого, который из-за дороговизны и сложности реализации для многих украинских банков и организаций остается непозволительной роскошью.

Фактически, Нацбанк требует заново выстроить всю систему информационной безопасности в банке: от процедур доступа к оборудованию и информации, до прокладки коммуникаций и отрисовки их схем. Многое из этого невозможно будет выполнить без закупки дорогостоящего оборудования.

Безопасность на миллион

Эксперты отказываются однозначно отвечать на вопрос о примерной сумме затрат, для реализации всех требований. Ведь ситуация в каждом банке уникальна. Но признаются, что речь идет о миллионах гривен для каждого финучреждения. А в отдельных случаях — даже о миллионах долларов.

«К примеру, документ требует, чтобы сети прокладывались кабелем не ниже категории 5е. Выходит, что, если в каком-то отделении банка сеть проложена другим кабелем, нужно полностью переложить сеть. А кроме того, каждое банковское учреждение должно подготовить и хранить подробные схемы всех коммуникаций и вести кабельный журнал», — пояснил Довгий.

Замена всех коммуникаций — недешевое удовольствие. Во многих случаях это невозможно сделать без серьезного ремонта. Ведь провода часто прокладываются просто в стенах. Плюс, актуальность схем кабельных коммуникаций зачастую очень условна. А во многих банках и отделениях такой документации и вовсе нет. Порой ситуация настолько запущена, что отделение дешевле будет закрыть, чем пытаться привести его работу в соответствие с новым регламентом.

«Я не могу выделить в требованиях какие-то особенно значимые или, наоборот, мелкие и ненужные пункты. Невыполнение любого из них может привести к повторению ситуации, с которой столкнулась банковская система в июне. Конечно, если кто-то планирует не работать в дальнейшем на финансовом рынке, можно не выполнять все или часть требований. Просто сдавать лицензию и спать спокойно», — оценил для UBR.ua уровень затрат директор Ассоциации ЕМА Александр Карпов.

Между тем, замена проводов — не самая серьезная проблема банков. Куда сложнее им придется с выполнением требований к защите от зловредного кода и обеспечению многофакторной аутентификации при доступе пользователей к уязвимым данным. Для их реализации большинству банков нужно будет дооснастить свои IT системы дополнительным дорогостоящим оборудованием. А всю старую технику, которая не обладает достаточным функционалом — заменить.

То же касается и используемого программного обеспечения. Во многих случаях банкам придется сильно потратиться на замену устаревшего софта и обучение персонала работе с новым ПО.

По оценкам специалистов, только в дополнительное оборудование среднему банку нужно будет вложить минимум 4-8 млн грн. И это без учета подготовки сетей, покупки программного обеспечения и затрат на написание документации. В особо запущенных случаях объем инвестиций может исчисляться миллионами долларов.

Читайте также: Что делать украинцам, когда Фонд гарантирования требует денег

Небезопасные — на выход

Требования положения Национальный банк разделил на две части. Основную — около 100 пунктов — банки должны будут внедрить до 1 марта 2018 года, когда нормы документа вступят в силу. Дополнительные требования, такие как полный учет и ограничение доступа для флешек и других сменных носителей, защита от DDoS атак — должны быть выполнены к 1 сентября 2019 года.

Между тем, эксперты не уверены, что все банки управятся в оговоренные сроки. В ряде случаев реализовать даже требования 1-го этапа за оставшиеся 5 месяцев технически невозможно. Это означает, что часть банков уйдут с рынка добровольно. Еще какая-то покинет рынок в принудительном порядке — поскольку не выполнит обязательные требования в срок.

«Те, кто не сможет выполнить нормы положения когда-либо, а лучше — к назначенному сроку, в какой-то момент просто покинут рынок. От них просто уйдут клиенты и им не с кем будет работать», - предположил Карпов.

И хотя принятое Нацбанком положение не содержит никаких санкций за невыполнение требований, эксперты не сомневаются, что финучреждения-нарушители не будут долго мучиться.

«Зная своеобразный подход НБУ к трактовке и использованию подзаконных актов для прореживания банковского рынка, полагаю, что в любой момент с марта 2018 года любой банк может быть проверен. Если он не будет соответствовать требованиям, закончится это для него печально», - добавил Карпов.

При этом он уверен, что после вступления в силу норм положения, количество банков в Украине может сильно сократиться. Правда, на вопрос о том, как много финучреждений не смогут выполнить требования НБУ, он ответил уклончиво.

«Я оперирую очень понятной статистикой. ТОП-10 банков обслуживают 95% клиентов, ТОП-20 — порядка 98%. А ТОП-30 сконцентрировали более 99% всех клиентов. Это все, что я хотел сказать», - резюмировал он.