Банковская система

Член правления  ЗАО «ДжиИ Мани Банк», председатель комитета АРБ (ассоциации российских банков) по финансовой грамотности Эльман Мехтиев: «Коротко о сегодняшних проблемах:

- Недостаток  «длинных рублей».

- Несогласованные  действия региональных подразделений  некоторых регуляторов.

О приоритетах  для профессионалов «розницы»:

- Выход на докризисные уровни кредитования населения при сохранении достигнутого качества портфеля, в том числе за счет вывода на рынок продуктов, учитывающих изменения, происшедшие в поведении потребителей.

- Дальнейшая  диверсификация пассивов с целью  обеспечения разумного их соотношения с активами по стоимости, суммам и срочности.

- Дальнейшая  оптимизация «себестоимости» банковских  услуг с целью обес-

печения достаточного уровня доходности бизнеса в условиях возрастающей конкуренции и «неполной загрузки» ранее построенной инфраструктуры банка».

2.2. Реализация  требований законодательства в  организациях банковской системы Российской Федерации: основные проблемы и решения⁷[17]

По статистике Банка России, только за 2011 год объем  мошеннических действий, совершаемых с помощью терминалов, банкоматов и других средств дистанционного банковского обслуживания, вырос на 40% по сравнению с аналогичным показателем за 2010 год. По данным МВД, ущерб от мошеннических операций с картами в прошлом году вырос на 36% и составил 1,6 млрд. руб. [21].

Подобная статистика не остается незамеченной со стороны  регуляторов в сфере обеспечения информационной безопасности в банковском секторе. Результатом их деятельности за последние годы стало принятие целого пакета нормативных документов, содержащих большое количество требований, которые должны выполнять организации банковской системы Российской Федерации (организации БС РФ). Как показывает опыт проведения работ по построению систем обеспечения информационной безопасности в организациях БС РФ, при реализации многочисленных требований законодательства подразделения, отвечающие за обеспечение информационной безопасности (ИБ), сталкиваются с рядом проблем, приложение 1 (рис. 2.) [1,3].

• Проблема 1: Обилие пересекающихся между собой требований.

В настоящее время к банкам предъявляется достаточно большое количество требований по обеспечению информационной безопасности, число которых с каждым годом только увеличивается.

Основные требования по информационной безопасности банковской системы (ИББС):

• банковская тайна - ФЗ от 02.12.1990 № 395-1 «О банках и банковской дея-

тельности» [2];

• коммерческая тайна - ФЗ от 29.07.2004 № 98-ФЗ «О коммерческой тайне» [4];
• персональные данные - ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»[6];
• защита информации при переводах денежных средств - ФЗ от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [1];

• защита данных держателей пластиковых карт - PCI DSS⁸ [13];

• защита систем дистанционного банковского обслуживания - документы Банка России.

До недавнего  времени в вопросах обеспечения информационной безопасности организации БС РФ в основном ориентировались на положения комплекса документов Банка России в области стандартизации информационной безопасности (Комплекс БР ИББС), предлагающих единый подход к обеспечению безопасности различных категорий информации (банковской тайны, персональных данных, коммерческой тайны и др.). Требования и рекомендации Комплекса БР ИББС многие участники банковской системы РФ уже реализовали в своих организациях.

В настоящее  же время ситуация в этом направлении несколько изменилась. В 2011 году была принята новая версия ФЗ «О персональных данных», вносящая ряд изменений в регулирование защиты персональных данных, а также принят ФЗ «О национальной платежной системе», который в совокупности с Постановлением Правительства РФ от 13.06.2012 № 584 «О защите информации в платежной системе» и документами Банка России устанавливает дополнительные требования в части обеспечения защиты информации при осуществлении переводов денежных средств. Как следствие - возвращение к множеству разрозненных требований различных регуляторов, не объединенных единым подходом, реализация которых требует соответствующего комплекса организационных и технических мероприятий. При этом по опыту можно сказать, что порядка 70-80% всех требований по различным тематикам значительно пересекаются между собой, и лишь в 20% требований привносится что-то индивидуальное [1,5,6].

Сейчас на рынке  услуг по информационной безопасности существует много предложений по выполнению комплексных проектов по реализации всех необходимых требований, когда результаты проекта (процессы ИБ, организационно-распорядительная документация, технические средства защиты) направлены на реализацию всех требований регуляторов.

В рамках подобных проектов оценивается применимость тех или иных требований к конкретной организации и выделяются общие, с точки зрения регулирующих документов, направления ИБ (антивирусная защита, управление инцидентами ИБ, управление доступом, деятельность службы ИБ и т.д.).  Последовательность реализации направлений ИБ определяется исходя из принципов приоритезированного подхода, основываясь на критичности внедряемых процессов ИБ для бизнеса.

• Проблема 2: Недостаток ресурсов в банке.

Второй проблемой, с которой сталкиваются организации БС РФ при реализации законодательных требований в области ИБ, является острая нехватка ресурсов организации для их реализации.

Эту проблему можно  разбить на две, во многом независимые, составляющие:

• недостаток или отсутствие финансов на реализацию мероприятий по ИБ;
• нехватка людских ресурсов для решения поставленных перед службой ИБ задач.

Наиболее остро  недостаток финансирования ИБ проявляется  в средних и малых банках, в которых вопросам ИБ не уделяется должное внимание, а выделяемых средств не хватает на реализацию необходимых мероприятий. В таких условиях службе ИБ приходится рассчитывать в большей степени на свои силы при реализации требований регуляторов. Однако и с этим возникают проблемы, так как низкие заработные платы в таких банках (как следствие недостатка финансирования) не позволяют привлечь на работу квалифицированных специалистов, способных самостоятельно реализовывать поставленные перед ними задачи.

Кроме того, на текущий момент в малых и средних  банках зачастую вопросами ИБ занимается один человек - собственно сам руководитель службы ИБ. В таких условиях говорить о полноценной реализации всех требований не приходится. Не лучше обстоят дела и в средних, и даже в крупных банках, имеющих разветвленную филиальную сеть. При этом только единицы из них имеют региональные подразделения ИБ, поэтому службе ИБ головного офиса приходится постоянно отвлекаться на проблемы ИБ в регионах.

В разных организациях проблема нехватки человеческих ресурсов решается по-разному:

• одним удается убедить руководство в необходимости расширения службы ИБ;
• другие идут по пути привлечения внешних консультантов;
• третьи оптимизируют деятельность за счет внедрения дополнительных средств автоматизации.

Но особенно печально дела обстоят, когда две  составляющие этой проблемы пересекаются в рамках одного банка, т.е. когда нет ни денег, ни людей на решение проблем ИБ. В таком случае обеспечение ИБ в основном заключается в латании текущих дыр и устранении инцидентов ИБ, а также в притянутом соответствии требованиям регуляторов, когда требования если и выполняются, то в большей степени на бумаге. В таких случаях решения найти практически невозможно, так как одна проблема замыкается на другой, и, не разрубив этот узел, достичь поставленных задач не получится.

• Проблема 3: Осознание проблем ИБ руководством организаций.

К сожалению, большинство  руководителей организаций до сих  пор слабо осознают свою персональную ответственность за безопасность своих  активов. Более того, по их мнению, информационная безопасность необходима только для выполнения требований регуляторов и не может приносить доход организации.

Для решения  проблемы руководитель службы ИБ должен освоить язык бизнеса и на нем  попробовать обосновать перед руководством необходимость потратить деньги на информационную безопасность. На практике подготовка экономического обоснования стоимости системы ИБ - это процесс, основанный на оценке метрик информационной безопасности, который требует значительных затрат с точки зрения как людских ресурсов, так и финансовых. Для этого руководитель службы ИБ должен:

• определить ценность активов организации для бизнеса;
• выявить и провести анализ угроз нарушения свойств ИБ активов;
• оценить возможный ущерб от реализации выявленных угроз;
• оценить вероятность возникновения ситуаций, когда ущерб неминуем.

Кроме того на протяжении всего процесса руководитель службы ИБ должен привлекать высшее руководство  для анализа результатов проведенных работ. При этом результаты должны быть экономически направленными и содержать финансовые показатели ценности, ущерба и т.д. Только так руководитель ИБ сможет добиться понимания и осознания со стороны руководства тех задач, которые стоят перед бизнесом в части обеспечения информационной безопасности.

Конечно, рассмотренный  в рамках данной статьи перечень проблем реализации законодательных требований по обеспечению ИБ, не является полным. В зависимости от специфики конкретной организации могут возникать как другие проблемы, так и по-иному проявляться рассмотренные выше проблемы. Единого решения для всех в принципе не существует. Но выявление и оценка подобных проблем, присутствующих в рамках конкретной организации, может стать первым шагом на пути к их решению.

2.3. Проблемы развития банковской системы в России⁹[19]

В функционировании банковской системы России имеются проблемы. За 20 лет банковский сектор прошел большой путь развития. Однако с момента зарождения в конце 80-х годов XX века и до настоящего времени развитие шло в большой степени по экстенсивной модели развития. Это означает, что банки в своей деятельности ориентировались на краткосрочные результаты. Эта ориентация также обуславливает высокую концентрацию рисков и агрессивную коммерческую политику. Агрессивная политика некоторых банков оказала негативное влияние на их устойчивость, что в свою очередь очень сильно проявилось в условиях экономического кризиса и потребовало принятия правительством РФ и Банком России экстренных мер по обеспечению системной стабильности банковского сектора, которые позволили преодолеть кризис и сохранить доверие населения и фирм к банковской системе. Именно недостаточная развитость банковской системы послужила одним из каналов воздействия мирового кризиса на экономику России. Банки оказались слабым местом российской экономической системы и были неспособны в полной мере финансировать развивающуюся экономику страны.

В 2013 году банковский сектор пока не вышел на требуемый уровень развития рыночной дисциплины и конкурентной среды. Это отрицательно сказывается на качестве банковских услуг и требует преобразования модели развития банковского сектора. Преобразование модели развития и определение задач дальнейшего развития банковского сектора в свою очередь невозможно без анализа и осмысления уже накопленного опыта проведения реформ в банковском секторе.

Работа по изменению направления развития российской банковской системы проходит с начала 2000-х годов в рамках реализации стратегий развития банковского сектора РФ. Например, стратегией на 2008 год предусматривалось реализовать меры по укреплению доверия к банковской системе, усилению ее прозрачности, по повышению роли российских кредитных организаций в экономическом развитии страны и меры по повышению уровня защищенности кредиторов и вкладчиков кредитных организаций.

В 2005-2008 годах  в России складывались благоприятные  макроэкономические условия, в результате которых наблюдался рост объема банковской деятельности. В 2008 г. Правительством РФ были выполнены основные мероприятия по реализации Стратегии 2008. Отличительной особенностью этой стратегии являлось сочетание мер, направленных на поддержание высоких темпов экономического роста. Среди этих мер можно отметить создание благоприятных условий для кредитования реального сектора российской экономики, действия по повышению конкурентоспособности банковского сектора в условиях либерализации валютного законодательства России и совершенствование системы банковского надзора с учетом передовой международной практики и рекомендаций Базельского комитета по банковскому надзору.  Также в соответствии со стратегией - 2008 были приняты федеральные законы, направленные на повышение капитализации банковского сектора, защиту прав потребителей финансовых услуг, повышение прозрачности потребительского кредитования и выравнивание условий доступа российских и иностранных банков на российский рынок банковских услуг.