GOST R 57580. प्रवृत्तियों से कुशल स्वचालन तक

GOST R 57580.1-2017 की शुरुआत के बाद "वित्तीय (बैंकिंग) संचालन की सुरक्षा। वित्तीय संगठनों की जानकारी का संरक्षण। संगठनात्मक और तकनीकी उपायों की बुनियादी संरचना "और GOST R 57580.2-2018" वित्तीय (बैंकिंग) संचालन की सुरक्षा। वित्तीय संगठनों की जानकारी का संरक्षण। अनुरूपता मूल्यांकन पद्धति »आईएस बाजार सहभागियों ने उपायों के ऑडिट और सामंजस्य के लिए संबंधित सेवाओं का एक पैकेज तैयार किया। सूचना सुरक्षा विशेषज्ञों द्वारा कई प्रकाशनों में, आप अपने आप को इन मानकों के विस्तृत विश्लेषण से परिचित कर सकते हैं, रूसी संघ के सेंट्रल बैंक सहित अस्पष्ट आवश्यकताओं और उनकी व्याख्या के बारे में जान सकते हैं। इस गतिविधि को रूसी क्रेडिट के मुख्य नियामक और विनियामक कानूनी कृत्यों के वित्तीय क्षेत्र द्वारा जारी करने के साथ-साथ विकसित किया गया था, जहां कुछ GOST उपायों का कार्यान्वयन पहले से ही एक आवश्यकता है। इन दस्तावेजों पर अधिक विस्तार से विचार करें ...

परिदृश्य

तो, रूसी संघ के सेंट्रल बैंक ने मानक GOST R 57580 के कुछ उपायों के कार्यान्वयन की आवश्यकता वाले कई दस्तावेज जारी किए हैं। हम उन्हें सूचीबद्ध करते हैं:

• विनियमन सं। 683-पी "ग्राहक की सहमति के बिना काउंटर मनी ट्रांसफर के लिए बैंकिंग गतिविधियों में सूचना की रक्षा के लिए क्रेडिट संस्थानों के लिए आवश्यकताओं की स्थापना पर"।
• विनियमन संख्या 684-पी "गैर-वित्तीय वित्तीय संस्थानों के लिए आवश्यकताओं की स्थापना पर अवैध वित्तीय लेनदेन के कार्यान्वयन का मुकाबला करने के लिए वित्तीय बाजारों के क्षेत्र में गतिविधियों के प्रदर्शन में सूचना के संरक्षण को सुनिश्चित करने के लिए"।
• विनियमन संख्या 672-पी "रूस के बैंक की भुगतान प्रणाली में सूचना के संरक्षण के लिए आवश्यकताओं पर"।

मैं रूस के संचार मंत्रालय के आदेश का भी उल्लेख करना चाहूंगा “प्रसंस्करण प्रक्रिया को मंजूरी देने पर, पहचान के लिए बायोमेट्रिक व्यक्तिगत डेटा मापदंडों के संग्रह और भंडारण सहित, बायोमेट्रिक सिस्टम में बायोमेट्रिक व्यक्तिगत डेटा रखने और अद्यतन करने की प्रक्रिया, साथ ही साथ सूचना प्रौद्योगिकी और तकनीकी साधनों की आवश्यकताओं के लिए। पहचान करने के लिए बायोमेट्रिक व्यक्तिगत डेटा की प्रोसेसिंग ”, जो जब GOST उपायों के कार्यान्वयन के संबंध में बैंकों के लिए आवश्यकताओं का परिचय देता है एक भी बायोमेट्रिक प्रणाली के साथ कार्य करना।

धन हस्तांतरण करते समय सूचना के संरक्षण के नियम (382-पी) के बजाय "मनी ट्रांसफर करते समय सूचना के संरक्षण को सुनिश्चित करने के लिए आवश्यकताओं और मनी ट्रांसफर करते समय सूचना के संरक्षण को सुनिश्चित करने के लिए अनुपालन की निगरानी के लिए रूस के बैंक की प्रक्रिया" पर, सभी संस्थाओं के लिए असंभव है। राष्ट्रीय भुगतान प्रणाली ने कुछ GOST उपायों के कार्यान्वयन को निर्धारित किया।

जाहिर है, सेंट्रल बैंक के बाद के दस्तावेजों की संरचना संगठनात्मक और तकनीकी उपायों के संदर्भ में GOST के संदर्भ में होगी, संगठनों की बारीकियों (प्रकृति और गतिविधि के पैमाने) को ध्यान में रखते हुए, जबकि दस्तावेज़ स्वयं तकनीकी उपायों को दिखाएंगे जो पर्यवेक्षित लोगों द्वारा कार्यान्वित व्यावसायिक प्रक्रियाओं की ख़ासियत को ध्यान में रखते हैं। मौजूदा आवश्यकताएं पहले से ही वित्तीय क्षेत्र में बड़ी संख्या में प्रक्रियाओं और प्रतिभागियों को कवर करती हैं।

गैर-अनुपालन का क्या खतरा है

संघीय कानून "रूसी संघ के सेंट्रल बैंक (रूस के बैंक)" के अनुसार 10 जुलाई, 2002 एन 86-the दिनांकित, आवश्यकताओं के अनुपालन न होने से संचालन निलंबित हो सकता है, संगठन के प्रबंधन के प्रतिस्थापन, अधिकृत पूंजी का 0.1% तक का जुर्माना, आदि। हालांकि, अब प्रतिभागियों (सेंट्रल बैंक और पर्यवेक्षित संगठनों) के पास आईएस की आवश्यकताओं और दंड के उल्लंघन के बीच एक स्पष्ट संबंध नहीं है, और संबंधित जोखिमों का आकलन करने का कोई तरीका नहीं है, आईएस के लिए बजट को सही ढंग से आवंटित करें, आदि। पारदर्शी तंत्र सभी के लिए स्पष्ट लाभ लाएगा।

अवलोकन किए गए रुझान हमें यह निष्कर्ष निकालने की अनुमति देते हैं कि केंद्रीय बैंक इस कार्य पर सक्रिय रूप से काम कर रहा है और आने वाले वर्षों में कई नए दस्तावेज़ जारी किए जाएंगे। इस संदर्भ में, सबसे पहले, मैं एक क्रेडिट संस्थान और बैंकिंग समूह में परिचालन जोखिम प्रबंधन प्रणाली के लिए आवश्यकताओं पर रूस के बैंक के नियमन के मसौदे पर ध्यान आकर्षित करना चाहूंगा, जिसने आईएस जोखिम प्रबंधन प्रणाली के संकेतकों के सेट की घोषणा की और नुकसान को कवर करने के लिए आवश्यक पूंजी की गणना के तरीके। परिचालन जोखिम के कार्यान्वयन से (सूचना सुरक्षा के जोखिम की स्पष्ट पहचान के साथ)।

उरल फोरम में, सेंट्रल बैंक के प्रतिनिधियों की प्रस्तुतियों में, सूचना सुरक्षा और परिचालन विश्वसनीयता के स्तर को बढ़ाने में वित्तीय संस्थानों के प्रबंधन के आर्थिक हित बनाने के लिए उपरोक्त तंत्रों को विशेष रूप से एक जोखिम प्रोफ़ाइल के माध्यम से एक जोखिम और पूंजी प्रबंधन प्रणाली को लागू करने से संकेत दिया गया था।


सेंट्रल बैंक के प्रतिनिधि की प्रस्तुति से जोखिम प्रोफ़ाइल की संरचना

जैसा कि आप देख सकते हैं, कुंजी (और सबसे स्पष्ट में से एक) GOST आवश्यकताओं के अनुपालन का आकलन करने का संकेतक है।

संक्षेप: GOST का अनुपालन करने में विफलता के मामले में, पारदर्शी तरीके से नियामक दोषी को अतिरिक्त भंडार (और इसके अलावा, अनुच्छेद 74 नंबर 86-एफजेड के अनुसार संभव जुर्माना और अन्य उपायों के अलावा) चार्ज करने के लिए मजबूर करेगा। और चूंकि GOST आवश्यकताओं के कार्यान्वयन में लंबा समय लगता है, इसलिए ये प्रतिबंध संगठन के आर्थिक प्रदर्शन को गंभीर रूप से प्रभावित करेंगे।

स्वचालन और नियंत्रण

नियामक की आवश्यकताओं को पूरा करते समय, संगठन नियंत्रण की आवृत्ति की क्लासिक समस्या का सामना कर सकता है, जब ऑडिट के बीच (विशेष रूप से उन संगठनों के लिए जहां परिवर्तन लगातार हो रहे हैं), बुनियादी ढांचे और प्रक्रियाओं में एक गंभीर बदलाव संभव है।

अगले ऑडिट के दौरान एक सुव्यवस्थित चल रहे अनुपालन प्रबंधन प्रक्रिया की अनुपस्थिति में, यह पता चल सकता है कि सिस्टम को सुधार और उपायों के कार्यान्वयन की आवश्यकता है (यह वह जगह है जहां अतिरिक्त भंडार को तब तक जोड़ा जा सकता है जब तक कि समस्याएं ठीक नहीं हो जाती)। यह उल्लेख नहीं करने के लिए कि उपायों के कार्यान्वयन के साथ समस्या सूचना सुरक्षा जोखिमों के वास्तविक कार्यान्वयन के लिए हो सकती है और स्वयं को प्रत्यक्ष नुकसान हो सकता है।

जाहिर है, राज्य संस्थानों के नियामक समारोह के विकास के साथ, क्रेडिट और वित्तीय क्षेत्र में प्रतिभागियों की लगातार निगरानी करने के लिए अनुपालन प्रक्रियाओं के स्वचालन की आवश्यकता है। उचित स्वचालन समाधानों के कार्यान्वयन से आईएस के जोखिमों की निरंतर निगरानी और आवश्यकताओं के अनुपालन की समस्या हल हो जाएगी, ऑडिट की लागत को सरल और कम किया जाएगा, और समस्याओं का जवाब देते समय सही ढंग से प्राथमिकता देने में मदद मिलेगी। नियामक की आवश्यकताओं को ध्यान में रखते हुए और व्यवहार में इसकी आवश्यकता को देखते हुए यह निर्णय आर्थिक रूप से उचित ठहराना आसान हो गया है:


सुरक्षा दृष्टि से सुरक्षा प्रबंधन प्रणालियों का विजन

कंपनी के दो उत्पाद "इंटेलिजेंट सिक्योरिटी" (ब्रांड सिक्योरिटी विजन), टीओपी -10 से बैंकों में परीक्षण और सिद्ध, पूरी तरह से नियामक की आवश्यकताओं को लागू करते हैं। अर्थात्:

1. सुरक्षा दृष्टि साइबर जोखिम प्रणाली - रूस के बैंक के मसौदे के विनियमन की आवश्यकताओं के अनुपालन को सुनिश्चित करने के उद्देश्य से है "एक क्रेडिट संस्थान और बैंकिंग समूह में परिचालन जोखिम प्रबंधन प्रणाली के लिए आवश्यकताओं पर"।

2. सुरक्षा विजन SGRC - का उद्देश्य बैंक की सूचना सुरक्षा प्रक्रियाओं को स्वचालित करना है। उत्पाद दोनों शास्त्रीय सूचना सुरक्षा प्रक्रियाओं, जैसे ऑडिट, जोखिम, घटनाओं, कमजोरियों, दस्तावेजों, अनुपालन - साथ ही अनुपालन प्रबंधन के क्षेत्र में दिलचस्प नई वस्तुओं को स्वचालित करता है। विशेष रूप से, ऑटो-अनुपालन, सबसे महत्वपूर्ण मानदंडों और मानकों के अनुपालन के स्वचालन के मुद्दों पर जाने के लिए उपाय किए गए थे:

• GOST R 57580, सामान्य डेटा सुरक्षा विनियमन (GDPR) के साथ ऑटो अनुपालन;
• FZ-187 की आवश्यकताओं की पूर्ति "रूसी संघ के महत्वपूर्ण सूचना बुनियादी ढांचे की सुरक्षा पर";
• FinCERT / NCCCC के साथ सहभागिता;
• कंपनी (आईएसओ, फेडरल लॉ, एसटीपी) पर लागू मानकों और नियामक आवश्यकताओं के साथ ऑटो-अनुपालन;
• बाहरी लेखा परीक्षक को जानकारी प्रदान करना - लेखा परीक्षक का कार्यालय।