Файл: ОСНОВНЫЕ ПОЛОЖЕНИЯ ТЕОРИИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.pdf

Разработано наиболее функциональное на рынке мобильное приложение, позволяющее банку быть под рукой у клиента в режиме 24/7. Наша цель - сервис «Личный юрист» у каждого третьего клиента банка. В Telegram запущен чат-бот, консультирующий клиента по всем правовым тематикам.

Запущен пилот по расширению критериев предоставления пакета услуг «Премьер». Теперь пакет услуг будет доступен не только клиентам с крупными балансами, но и с высокой транзакционной активностью - от 80 тыс. руб. в месяц.

Также в 2018 году клиентам представлен обновленный пакет услуг «Золотой», включающий в себя карты с начислением повышенных бонусов СПАСИБО и страховые продукты. Клиенты смогут выбрать один из двух видов пакета услуг: ориентированный на клиентов высокодоходного массового сегмента, либо на клиентов сегмента «Активный возраст».

По всей стране были запущены премиальная дебетовая и кредитная карты с увеличенными бонусами (начисляется до 6 раз больше бонусов СПАСИБО, чем по обычным картам Сбербанка). Начисление повышенных бонусов запущено по картам Visa в пакете услуг «Премьер».

Продолжено развитие онлайн-сервиса по возврату налогов в массовой сети и в сети «Премьер». Сервис уже помог более 30 тыс. клиентам получить налоговый вычет, при этом объем выплаченных средств составил более 3 млрд. руб. Продажа в массовой сети, сети «Премьер», а также включение сервиса по возврату налогов в пакеты услуг позволит познакомить с услугой большее количество клиентов и повысить их лояльность.

Запущены продажи travel-сервисов «Возврат TaxFree», «Возврат компенсации» (компенсации за задержку и отмену рейса), «Виза на дом», которые дополнят линейку существующих финансовых сервисов от партнеров банка. Цель внедрения сервисов - повышение лояльности клиентов высокодоходного массового сегмента и укрепление экосистемы банка для путешественников. Объем рынка авиакомпенсаций («Возврат компенсаций») составляет 48 млн. евро ежегодно, а объем TaxFree - 2 млрд. руб. ежегодно.

Запущен сервис «Простые инвестиции» в партнерстве с «FinEx». Сервис предназначен для инвестирования средств в биржевые инвестиционные фонды (ETF) с автоматической ребалансировкой один раз в квартал. Это позволяет клиентам получать повышенную доходность по сравнению с активным управлением в 80% случаев. С момента запуска пилота привлечено порядка 100 млн. руб.

Банк запустил новый инвестиционный продукт «Валютное ДУ» (доверительное управление). Теперь клиентам, сберегающим в валюте, доступен более выгодный продукт для инвестирования в сравнении с валютными вкладами. За декабрь привлечено более 1,3 млрд. руб.

Для клиентов «Премьер» запущены продажи новых страховых продуктов «Уверенный водитель» и «Защита дома».

Продолжено тестирование адресных коммуникаций с клиентами с использованием психотипов. Коммуникации, основанные на психологических особенностях, позволяют сделать их более адаптированными для восприятия клиентов и повысить их эффективность.

В 2018 году Сбербанк принял Стратегию развития до 2020. Своими ключевыми стратегическими приоритетами Сбербанк видит дальнейшее улучшение клиентского опыта, технологическое лидерство и развитие экосистемы для удовлетворения большинства потребностей своих клиентов через предложение нефинансовых услуг.

Сбербанк - это крупнейший финансовый институт в России и Центральной и Восточной Европе. Банк обслуживает 151 млн клиентов, из которых 134,7 млн в России. На долю Сбербанка приходится 28,9% совокупных активов российского банковской системы. На российском рынке Сбербанк работает уже 176 лет и его бренд прочно ассоциируется у клиентов с надежностью и социальной ориентированностью, а также все больше с инновациями и технологическим лидерством. Банк активно развивает свои каналы взаимодействия с клиентом через уникальную физическую и цифровую инфраструктуры, создает ИТ-систему на базе современных инновационных технологий (искусственный интеллект, машинное обучение, блокчейн, робототехника и прочее). Сбербанк также трансформируется, переходя к модели глобальной экосистемы, чтобы предоставить своим клиентам лучшие финансовые и нефинансовые сервисы для удовлетворения их ежедневных потребностей.

2.2Организация защиты информации в ПАО «Сбербанк»

Стратегии информационной защиты для сектора банков довольно сильно отличаются от стратегий компаний и организаций других секторов бизнеса. Это обусловлено прежде всего специфическим характером угроз, а также публичной деятельностью банков, которые вынуждены делать доступ к счетам достаточно легким с целью удобства для клиентов.

Информационная безопасность банка должна учитывать следующие специфические факторы:

1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньги.

На основе информации, содержащейся в банковских компьютерах, производятся выплаты, открываются счета, выдаются кредиты, а также переводятся большие суммы денег. Поэтому ясно, что несанкционированное манипулирование с подобной информацией может повлечь серьезные убытки для клиентов банка. Данная особенность резко расширяет число преступников, совершающих покушения именно на банки.

1. Информация в банковских системах затрагивает интересы большого количества людей и организаций - клиентов банка.

Как правило, клиенты предоставляют банку

конфиденциальную информацию и потому ожидают, что банк несет ответственность за то, что данная информация находится в строгой секретности. Если банк не выполняет это условие, он рискует своей репутацией со всеми вытекающими отсюда последствиями.

1. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступом.

Клиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими денежными средствами. Однако такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.

1. Информационная безопасность банка (в отличие от большинства компаний) должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуаций, поскольку банк несет ответственность не только за свои средства, но и за деньги клиентов.

Сбербанк использует современные системы информационной безопасности для обеспечения безопасного и полнофункционального обслуживания клиентов. В 2018 году применение искусственного интеллекта и аналитических измерений для определения мошеннических операций, при которых клиент добровольно передает информацию мошенникам, позволило хеджировать около 97% такого риска со стороны клиента. За 2018 год было пресечено более 300 тыс. попыток хищения средств физических и юридических лиц, предотвращен ущерб на сумму более 40 млрд руб.

Сбербанк уделяет особое внимание кибербезопасности. Банк научился успешно противодействовать киберпреступности с помощью интеллектуальной системы защиты клиентов. Проект Сбербанка «Фрод-мониторинг для удаленных каналов обслуживания физических лиц» стал бронзовым призером международного конкурса IPMA International Project Excellence Award 2018. В рамках масштабного проекта, который длился 15 месяцев, в Сбербанке была внедрена уникальная система фрод-мониторинга, созданная на основе искусственного интеллекта. Система в автоматическом режиме защищает клиентов от некорректных действий, вызванных недостаточным знанием правил кибербезопасности.

В 2018 году развитие системы противодействия кибермошенничеству продолжилось, чтобы обеспечить абсолютную защиту всех каналов обслуживания клиентов Сбербанка.

Обеспечение защиты персональных данных в Сбербанке осуществляется в рамках единой комплексной системы организационно-технических и правовых мер по защите конфиденциальной информации (коммерческая, банковская тайна, персональные данные), с учетом требований федерального законодательства (включая Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006) и лучших мировых практик.

При обработке персональных данных банк принимает необходимые правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

В состав мер по обеспечению безопасности персональных данных входят:

• обеспечение контролируемой зоны, в пределах которой осуществляется функционирование автоматизированных систем Сбербанка;
• защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
• антивирусная защита;
• обнаружение и предотвращение вторжений;
• контроль и анализ защищенности персональных данных;
• обеспечение целостности автоматизированных систем Сбербанка и персональных данных;
• обеспечение доступности персональных данных;
• защита среды виртуализации;
• защита технических средств;
• защита автоматизированных систем, их средств, систем связи и передачи данных;
• выявление инцидентов, которые могут привести к сбоям или нарушению функционирования автоматизированных систем и (или) к возникновению угроз безопасности персональных данных, и реагирование на них.

В целях нейтрализации актуальных угроз безопасности персональных данных обеспечено применение средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации.

Доступ к обрабатываемым персональным данным предоставляется только тем работникам Сбербанка, которым он необходим в связи с исполнением ими своих трудовых обязанностей. Все лица, оформляемые на работу в Сбербанк, подписывают обязательства о неразглашении персональных данных и другой конфиденциальной информации, хранение обязательств осуществляется в личных делах работников.

В целях повышения осведомленности, знаний и навыков по вопросам обеспечения информационной безопасности проводится обучение работников в форме обязательного прохождения электронных дистанционных программ подготовки.

Также в Сбербанке организован внутренний контроль (аудит) соответствия обработки персональных данных 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Сбербанка в отношении обработки персональных данных, локальным актам Сбербанка. Внутренний аудит осуществляется Службой внутреннего аудита Сбербанка в рамках аудиторских проверок.

Контроль обеспечения защиты персональных данных при их обработке в автоматизированных системах осуществляется подразделениями Службы кибербезопасности Сбербанка. В рамках реализации мер контроля защищенности информационной инфраструктуры применяются инструментальный контроль защищенности и тестирование на проникновение.

Политика безопасности Сбербанка осуществляется по нескольким элементам:

1. Нормативно-правового элемент.

В сфере защиты информации ПАО «Сбербанк России» руководствуется следующими нормативно-правовыми актами:

• Федеральный закон РФ «Об информации, информатизации и защите информации» от 20 февраля 1995 г. №24-ФЗ.
• Закон Российской Федерации «О государственной тайне» (с изменениями от 27 марта 1996 года), принят Верховным Советом Российской Федерации 21.07.93, 5485-1.
• Закон Российской Федерации «Об информации, информатизации и защите информации», принят Государственной думой 25.01.95.
• Указ Президента Российской Федерации «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» от 3.04.95, 334.
• Постановление Правительства РСФСР «О перечне сведений, которые не могут составлять коммерческую тайну» от 5.12.91 35.
• Постановление Правительства Российской Федерации «Об утверждении правил отнесения сведений, составляющих Государственную тайну, к различным степеням секретности» 870 от 4.09.95.
• Указ Президента Российской Федерации «О мерах по упорядочению разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» от 9.01.96.
• Закон Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных», принят Верховным Советом РФ 23.09.92, 3523-1.
• Закон Российской Федерации «О правовой охране топологий интегральных микросхем», принят Верховным Советом РФ 23.09.92, 3526-1.
• Указ Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» 188 от 6.03.97.
• Указ Президента Российской Федерации «Об утверждении перечня сведений, отнесенных к государственной тайне» 1203 от 30.11.95.
• Указ Президента Российской Федерации «О Межведомственной комиссии по защите государственной тайны» 1108 от 8.11.95.
• Постановление Правительства Российской Федерации «О сертификации средств защиты информации» (с изменениями от 23 апреля 1996 года) 608 от 26.06.95.
• Федеральный закон «О банках и банковской деятельности» от 25.06.1993 года