Чего я жду от магнитогорского форума #ibbank?

16-го февраля, всего через 2 недели, начнется очередное знаковое событие в банковской ИБ - Уральский форум "Информационная безопасность банков". Я туда езжу уже много лет и это одно из четырех региональных событий общероссийского масштаба, которые мне нравится посещать (еще IT & Security Forum, "Код безопасности" и ИнфоБЕРЕГ, если последний вернется из Крыма в Сочи :-) Еду я и в этот раз; причем от текущего мероприятия у меня особые ожидания.

И дело тут не только в том, что в Магнитогорске в этом время нормальная зима. Скрипучий снег, морозец, солнце, свежий воздух... В Москвы мы этого всего лишены большую часть зимних месяцев и поэтому хоть ненадолго прильнуть к лону природы дорогого стоит.

И дело не в том, что в Магнитогорске удается встретиться и нормально пообщаться с друзьями и коллегами, которых в Москве, с нашим ритмом, трудно вытащить на встречу. А на Урале для этого все условия - деревянные бани с морозными купальнями на улице, соленые груздочки в сметане, пельмешки, травяной чай с медом и другие напитки, которые так хорошо идут под гитару или караоке в 3 часа ночи. Есть и иные, более рабочие мотивы.

В первую очередь, это мероприятие задает тон на ближайший год в части ИБ банковской сферы. Именно на нем озвучиваются различные инициативы, которые затем, в течение года претворяются в жизнь. В частности в этот раз я жду ответа на следующие вопросы:

1. Противостояние ГУБиЗИ и ДНПС. После того, как в ЦБ произошла очередная реорганизация и ДНПС покинули ключевые сотрудники, занимавшиеся ИБ, в ДНПС не осталось никого, кто обладал бы политическим влиянием продвигать какие-то изменения в области информационной безопасности Национальной платежной системы. И методологическая основа оттуда тоже исчезла. В итоге ДНПС сейчас собирает сейчас 202-ю и 203-ю формы отчетности, но никакой публичной аналитики по ним нет уже полтора года. Последний отчет об инцидентах был за первое полугодие 2013-го года. Возникает закономерный вопрос - зачем нужен ДНПС, если за ИБ в кредитных организациях он отвечает лишь формально? Не вернуть ли эту тему обратно в ГУБЗИ, в единые руки, которые писали и СТО БР ИББС и первую редакцию 382-П? Тогда развитие нормативной базы ЦБ в области ИБ станет более понятным и предсказуемым. Да и к мнению отрасли станут больше прислушиваться - в последних двух редакциях 382-П мнение экспертов, высказанных на разных рабочих группах почти не было услышано. Есть шанс, что в Магнитогорске может появиться ясность в этом вопросе.
2. FinCERT. 30-го января "Ведомости" опубликовали статью про FinCERT, которая сразу вызвала споры в узком кругу специалистов. Статья утверждала, что из ряда источников стало известно, что центр реагирования на инциденты безопасности в кредитных организациях будет создан не при ЦБ, как говорилось ранее, включая и прошлогодний Уральский форум, а при ООО НСПК (его представители, кстати, тоже будут на форуме в Магнитогорске); и заниматься, якобы, этот центр будет не всеми инцидентами в кредитных организациях, а только связанными с карточным мошенничеством в НСПК. Со стороны ряда экспертов, приближенных к ЦБ, был высказан тезис, что все не так, как написано в статье. На форуме обещали раскрыть все карты и рассказать, что все-таки будет делать FinCERT? Меня лично интересует два вопроса, с ним связанных. Первый - что станется с 203-й и 258-й формами отчетности? Куда они будут направляться после запуска FinCERT'а - по-прежнему в ДНПС (и там они пропадают, как в бездне) или в FinCERT? А второй вопрос связан со сферой деятельности FinCERT - ограничится ли он только аналитической и методологической составляющей (что врядли, учитывая, что очень активную роль в процессе создания играет Совет Безопасности и ФСБ) или будет заниматься расследованием инцидентов? Но тогда встает вопрос о внесении изменений в законодательстве об ОРД. На форуме должны дать ответ и на эти вопросы.
3. ИБ в НСПК. С НСПК связана и другая тема. С 1-го апреля она должна быть запущена в промышленную эксплуатацию. НСПК, как платежная система, является частью НПС и обязана соблюдать ее правила. В том числе правила и по информационной безопасности, описанные в 382-П. Но там про безопасность карточек нет ни слова (кроме поправок в новую редакцию 382-П, вступающие силу с 16-го марта, о том, что надо переходить на чиповые карты). Как выполнять требования по ИБ применительно к картам, выданным НСПК? Тему "легализации" PCI DSS прикрыли; да и в текущей геополитической ситуации ее врядли кто поднимет на древко (тут самому бы на это древко не быть поднятым). Тоже тема с множеством вопросов, на которые хотелось бы получить ответы; особенно учитывая, присутствие на форуме всех ключевых игроков.
4. ФЗ-242 и перевод денежных средств. Учитывая присутствие на форуме представителей РКН, я предвижу, что им может быть задан вопрос о том, как осуществлять денежные переводы из России (в которых фигурируют ПДн плательщика - гражданина РФ) в другие государства; особенно в рамках заработавшего с 1-го января ЕАЭС ? Запрещает ФЗ-242 хранить ПДн российских плательщиков в АБС иностранных банков-получателей или нет? Кто-то говорит, что нет. Кто-то, что да. А хотелось бы иметь четкий ответ. Может быть такой запрос уже сделал ЦБ в сторону РКН?..