В СФ считают, что все банки должны следить за кибербезопасностью IT-подрядчиков

Кибератаки всё чаще происходят через подрядчиков, интеграторов и внешние IT-компании, у которых уровень защищённости ниже, чем у крупных банков и предприятий, сказал «СенатИнформ» замглавы Совета по развитию цифровой экономики при СФ, первый зампред Комитета верхней палаты по конституционному законодательству и госстроительству Артём Шейкин, комментируя сообщение об усилении банковского контроля за кибербезопасностью IT-подрядчиков.

За четыре месяца доля банков, которые проверяют уровень защищённости IT-компаний с прямым доступом к своей инфраструктуре, увеличилась на 6% и достигла 24% от всего рынка, сообщил «Коммерсант». Финансовые организации начали включать в договоры и тендеры требования по информбезопасности, запрашивать у потенциальных партнёров аудиты и исследования по поводу уровня киберзащиты. Это связано, в том числе, с четырёхкратным увеличением кибератак, начавшихся со взлома подрядчиков.

Усиление контроля в данной сфере закономерно, отметил сенатор Артём Шейкин. Сегодня атаки всё чаще происходят через подрядчиков, интеграторов и внешние IT-компании, у которых невысокий уровень защищённости. Для злоумышленников это более дешёвая и простая точка входа в инфраструктуру финансовой организации. Фактически подрядчик становится частью общей цифровой цепочки банка. Если у одного из участников этой цепочки слабая защита, риски автоматически распространяются на всю систему. Особенно это актуально для компаний, которые имеют прямой доступ к внутренним сервисам, данным или инфраструктуре банка. Поэтому рынок постепенно переходит к более рискориентированной модели. Банки начинают заранее проверять, как у подрядчика выстроены процессы информационной безопасности, есть ли аудит, мониторинг инцидентов, контроль доступов и механизмы реагирования на атаки.

На мой взгляд, проверки должны стать стандартной практикой для всех банков, особенно если речь идёт о критически важных IT-подрядчиках. Но здесь важно соблюдать баланс: требования должны быть едиными и понятными для рынка, чтобы проверки действительно повышали уровень безопасности, а не превращались исключительно в формальную бюрократическую процедуру

Артём Шейкин, первый зампред Комитета СФ по конституционному законодательству и госстроительству

Парламентарий отметил, что угрозы сегодня уже смещаются в сторону региональных подразделений и распределённой инфраструктуры, где уровень зрелости процессов может быть ниже. Поэтому единые централизованные стандарты безопасности для всей экосистемы банка — от головного офиса до филиалов и подрядчиков — становятся необходимостью.

Как писал «СенатИнформ», только 20% российских компаний внедрили собственные стандарты кибербезопасности. По словам Артёма Шейкина, наиболее эффективен рискориентированный подход, когда организации сами понимают практическую ценность таких мер.

Федеральная служба по техническому и экспортному контролю (ФСТЭК) разрабатывает методику оценки уровня защищённости объектов критической информационной инфраструктуры (КИИ). Мониторинг достижения показателей будет проводиться не реже одного раза в полгода.

Спикер СФ Валентина Матвиенко говорила, что Минцифры необходимо оперативнее реагировать на вызовы и угрозы, а не вдогонку бежать за ситуацией, которая складывается с уровнем кибермошенничества и утечки персональных данных.