По оценке ARinteg, на рынке наберется только с десяток команд, которые реально провели банк через весь цикл такого проекта: от технического задания до успешного тестирования и внедрения.
«Исходя из своего опыта, мы понимаем, что позволит банкам сэкономить время и деньги при переходе на цифровой рубль и убережет от досадных ошибок. Во-первых, стоит закладывать на проект реальные сроки и бюджет. Для среднего по размерам банка весь цикл на практике займет 8–12 месяцев, включая проектирование (1–2 месяца), оценку влияния, поставки и пусконаладку (2–3 месяца), тесты и ТИВ (тестирование интеграции и опытная эксплуатация – еще 2–3 месяца). При этом на дополнительные решения может потребоваться от 50 до 150 млн рублей в зависимости от масштаба, требований к отказоустойчивости, – говорит руководитель отдела по развитию новых направлений ARinteg Алексей Пастоев. – Во-вторых, еще на этапе проектирования стоит подключить к проекту системного интегратора в сфере ИБ, специалисты которого обладают как опытом в разработке систем, защищённых средствами криптографии, так и в создании защищенной инфраструктуры в целом. Ошибка в архитектуре или в выборе СКЗИ приводит к переделке всей инфраструктуры, что заметно удорожает весь проект».
Кроме того, банкам стоит быть готовыми самим глубоко погрузиться в тему. Каждый такой проект – это интеграция. Универсального продукта, который бы «включался одной кнопкой», не существует. Поэтому оптимальный и единственный реалистичный путь перехода: только on-premise на решении вендора с привлечением интегратора. И Алексей Пастоев объяснил, почему: «Платформа ЦБ предполагает, что криптографические ключи и HSM находятся под контролем банка. На практике банки не используют облачные сервисы вендора для хранения и управления криптографическими ключами в рамках ЦР. Решение строится вокруг локального, контролируемого использования HSM, сертифицированного для работы с СКЗИ, которые соответствуют требованиям ЦБ и ФСБ».
С учетом того, что компоненты цифрового рубля необходимо встроить в уже действующие процессы ИБ и управления рисками, банкам также придется:
- выделить управление жизненным циклом сертификатов в отдельный процесс и автоматизировать выпуск, замену и отзыв сертификатов;
- включить системы, связанные с цифровым рублем, в действующие процессы управления ИБ-рисками и мониторинга;
- пересмотреть роли, полномочия и модели привилегированного доступа;
- обеспечить защиту криптографических ключей и сертификатов;
- проверить, что API для взаимодействия с платформой поддерживают аутентификацию, разграничение доступа, шифрование и журналирование операций;
- дополнить планы реагирования на инциденты сценариями компрометации учетных данных, ключей, сертификатов и интеграционных интерфейсов.
Бизнес неслучайно назвал основной проблемой при внедрении цифрового рубля нехватку специалистов и готовых решений. Самостоятельно реализовать столь непростой и многоуровневый проект в довольно короткие сроки многим будет непросто ввиду отсутствия необходимых ресурсов. Для того чтобы обеспечить выполнение требований по ИБ к защищённой инфраструктуре цифрового рубля, специалистам по ИБ, задействованным в таком проекте, необходимо обладать не одним десятком специализированных компетенций. Но минимизировать свои риски в таком проекте и выбрать оптимальную траекторию перехода на новую цифровую валюту возможно с учетом опыта тех, кто уже прошел этот путь. Это позволит избежать фатальных ошибок и, как следствие, излишних финансовых затрат.
