⚠️ ФОРМАТ МАТЕРИАЛА:
Данный текст является аналитической справкой с элементами нормативного контроля. Он подготовлен по методологии Нейропаспорт и содержит проверочные алгоритмы для трансформации угроз синтетических медиа в управляемые операционные риски. Материал предназначен для служебного пользования руководителей служб ИБ, финансовых директоров и специалистов по комплаенсу.
Данный анализ носит информационно-методический характер и предназначен для адаптации внутренних процессов безопасности. Не является индивидуальной юридической консультацией. Для утверждения ЛНА и оценки соответствия требованиям приказа ФСТЭК № 117 необходима экспертиза с учетом специфики информационной системы организации.
Гриф: Для служебного пользования. Руководители служб ИБ, финансовые директора, главные бухгалтеры, специалисты по комплаенсу, руководители отделов казначейства.
Источник: Приказ ФСТЭК России от 11.04.2025 № 117; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Уголовный кодекс РФ (ст. 159); Гражданский кодекс РФ (ст. 179).
Методология: Концепция «Нейропаспорт» (диагностика разрывов между техническими средствами защиты и человеческим фактором) с жесткими ограничениями по недопущению несанкционированных транзакций.
⚠️ БЛОК 0. ФУНДАМЕНТАЛЬНЫЙ ДИСКЛЕЙМЕР И РЕПУТАЦИОННЫЕ РИСКИ
Характер материала:
Использование синтетических медиа (дипфейков) для инициирования финансовых операций квалифицируется как способ совершения мошенничества (ст. 159 УК РФ). В гражданско-правовом поле такая сделка оспорима (ст. 179 ГК РФ), но бремя доказывания порока воли лежит на потерпевшей стороне. Отсутствие закрепленного протокола верификации лишает бизнес возможности доказать добросовестность сотрудника и факт внешнего преступного воздействия. Приказ ФСТЭК России от 11.04.2025 № 117 устанавливает требования к защите ГИС, но не регламентирует процедуры человеческой верификации. Следовательно, протокол верификации является необходимой компенсационной мерой.
Критические риски:
Риск правовой незащищенности. Без утвержденного ЛНА и подписи сотрудника под ознакомлением невозможно привлечь виновного к дисциплинарной или материальной ответственности. Суд квалифицирует перевод средств как ошибку, а не нарушение. (Правовой маркер: невозможность взыскания ущерба / проигрыш трудового спора)
Риск регуляторного несоответствия. Отсутствие многофакторной верификации и второго канала связи при критических операциях может быть расценено как невыполнение мер ЗАЩ.1 и АУД.1 приказа ФСТЭК России от 11.04.2025 № 117. (Процессный маркер: предписание об устранении нарушений / административная ответственность)
Риск утраты доказательств. Неправильная фиксация инцидента (без хеширования, протокола осмотра) делает электронные доказательства недопустимыми в суде. (Судебный маркер: отказ в признании факта атаки / невозможность экспертизы)
🟥 БЛОК 1. АНАЛИЗ КЛЮЧЕВЫХ АСПЕКТОВ И МЕРЫ ПРЕДОТВРАЩЕНИЯ
Правовая квалификация и обязательность протоколов
Норма: Синтетическое видео само по себе не является составом преступления. Состав образует совокупность: подделка + умысел + ущерб. ЛНА создает стандарт должного поведения. Его соблюдение = добросовестность компании. Нарушение = вина сотрудника.
Риски: Попытка оспорить сделку без доказательств соблюдения регламента. Отсутствие оснований для увольнения за утрату доверия.
Меры «Нейропаспорт»:
Утвердить ЛНА «Порядок верификации распоряжений на финансовые операции».
Ознакомить всех сотрудников финслужбы под подпись.
Внести обязанность верификации в должностные инструкции.
Техническая адаптация приказа ФСТЭК № 117
Норма: Меры ЗАЩ.1 (идентификация), АУД.1 (логирование), СОВ.1 (обнаружение вторжений) приказа ФСТЭК России от 11.04.2025 № 117 должны быть адаптированы под угрозу социальной инженерии.
Риски: Компрометация учетных записей, отсутствие логов видеозвонков, использование уязвимого ПО для ВКС.
Меры «Нейропаспорт»:
Внедрить многофакторную аутентификацию для ДБО.
Обязать использовать «второй канал» подтверждения (отличный от первичного запроса).
Настроить логирование сеансов видеосвязи, связанных с платежами.
Доказывание и реагирование
Норма: Электронные доказательства принимаются судом при соблюдении процедуры фиксации (ст. 71 АПК РФ).
Риски: Утрата метаданных, самостоятельная фиксация без юриста, паника при реальной атаке.
Меры «Нейропаспорт»:
Разработать форму Акта фиксации инцидента ИБ.
Назначить ответственных за сбор и хеширование доказательств.
Провести тестовые учения с имитацией дипфейков.
⚠️ БЛОК 2. ПРОЦЕССУАЛЬНЫЕ ПОСЛЕДСТВИЯ И ОТВЕТСТВЕННОСТЬ СОТРУДНИКОВ
Дисциплинарная ответственность: Замечание, выговор, увольнение по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ (утрата доверия) возможно только при наличии подписанного ЛНА и должностной инструкции.
Материальная ответственность: Полное или частичное возмещение ущерба (ст. 238–248 ТК РФ) требует договора о матответственности, актуализированного с учетом новых процедур.
Гражданско-правовые последствия: Оспаривание сделки по ст. 179 ГК РФ требует доказательств того, что сотрудник действовал добросовестно, но был введен в заблуждение из-за отсутствия технических признаков подделки.
Регуляторный контроль: Проверка соответствия мер защиты ГИС будет включать аудит процедур верификации. Отсутствие «второго канала» = нарушение требований безопасности по приказу ФСТЭК России от 11.04.2025 № 117.
🛡️ БЛОК 3. РЕКОМЕНДАЦИИ ПО ЛЕГИТИМИЗАЦИИ ПРОЦЕДУР
Для минимизации рисков бизнесу необходимо:
Создать документальный контур. ЛНА, должностные инструкции, договоры матответственности, акты ознакомления.
Внедрить технические барьеры. МФА, второй канал связи, логирование, блокировка транзакций.
Обучить персонал. Признаки синтетических медиа, процедура экстренной остановки, правила фиксации доказательств.
Провести тестирования. Регулярные учения с имитацией атак для проверки бдительности и отработки навыков.
🛠️ ИНСТРУМЕНТ КОНТРОЛЯ
Для практического применения используйте специализированный чек-лист внедрения протоколов верификации при угрозе синтетических медиа. Он содержит алгоритмы документального оформления, технической адаптации приказа ФСТЭК № 117 и обучения персонала.
👉 Открыть Чек-лист: Протоколы верификации против дипфейков (адаптация приказа ФСТЭК № 117).
👤 ОБ АВТОРЕ МЕТОДОЛОГИИ
Филатов Валерий Александрович
Эксперт по экономической безопасности. Более 37 лет практики: БХСС МВД России, корпоративный сектор («Газпром нефть — Урал», Роснефть — ТЗК «Кольцово», «СберЛогистика»).
Автор методологии Нейропаспорт для диагностики скрытых потерь и синхронизации учета с реальными процессами.
📖 Подробнее обо мне и методе «Путь/Цель».
🛠️ Все чек-листы и инструменты Нейропаспорта.
Этот материал подготовлен по методологии Нейропаспорт: диагностика разрывов → операционные шлюзы → чек-лист контроля.
⬛ ИТОГОВЫЙ ДИСКЛЕЙМЕР
Автор анализа не несет ответственности за решения, принятые на основе данного материала; убытки, возникшие в результате применения рекомендаций; действия контролирующих органов, инициированные на основе внутренних проверок компании.
Перед внедрением мер необходимо:
Провести аудит текущих процедур верификации и соответствия приказу ФСТЭК России от 11.04.2025 № 117.
Привлечь профильных юристов и специалистов ИБ для разработки ЛНА.
Учесть специфику используемых информационных систем и банковских сервисов.
Согласовать новые процедуры с финансовой службой и службой безопасности.
Документ подготовлен с учетом требований по минимизации рисков несанкционированных транзакций и содержит ссылки исключительно на нормы законодательства и требования регуляторов.
🔗 ИСТОЧНИКИ
- Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований к защите информации в государственных информационных системах» — Сайт ФСТЭК России
- Уголовный кодекс Российской Федерации (ст. 159) — pravo.gov.ru
- Гражданский кодекс Российской Федерации (ст. 179) — pravo.gov.ru
- Трудовой кодекс Российской Федерации (ст. 81, 189, 192, 238–248) — pravo.gov.ru
Просмотров: 0
Добавить комментарий