Обеспечение информационной безопасности в банках – задача, которая никогда не может быть решена полностью на 100%, поскольку киберпреступники неустанно ищут новые инструменты и подходы для того, чтобы похищать либо средства со счетов банковских организаций, либо деньги со счетов банковских клиентов. О том, на чем следует делать акцент сейчас при обеспечении ИБ, о наиболее актуальных вызовах и рисках в этой сфере и о том, как могут помочь банкам решения и сервисы компании «Фродекс», рассказал в интервью NBJ директор компании Андрей ЛУЦКОВИЧ.

NBJ: Андрей Иванович, 2018 год для российской банковской системы явно прошел под знаком темы информационной безопасности: оглядываясь назад, сложно даже посчитать все форумы, конференции и семинары, которые были в этом году посвящены различным вопросам ИБ. Чем, по вашему мнению, объясняется столь высокий интерес участников системы именно к этой теме?

А. ЛУЦКОВИЧ: Прежде всего тем, что проблема обеспечения информационной безопасности в банках и финансовых организациях не просто назрела, а перезрела, и можно сказать, что система реагирует на нее с некоторым опозданием. Пришло понимание того, что улучшения, даже если они есть, носят временный характер, а мошенники не исчезают, и, более того, они демонстрируют гибкость в своих подходах, постоянно меняют цели и инструменты их достижения. А также киберпреступники в некотором смысле даже преподнесли банковскому сообществу урок, очень быстро наладив эффективное взаимодействие между собой, постоянный обмен информацией об исходных кодах, уязвимостях банковских систем и т.д.

NBJ: Удивительно, разве между различными преступными группами нет конкуренции? Ведь, казалось бы, их бизнес, хотя он и преступный, во многом выстраивается по тем же правилам, что и легальный.

А. ЛУЦКОВИЧ: Конкуренция между ними, безусловно, есть, но они понимают, что, чем успешнее будут работать все преступные группы в целом, тем больше денег сможет увести со счетов банков или клиентов каждая отдельная преступная группировка. Осознав это, банки также стали налаживать взаимодействие друг с другом, хотя им было и непросто это сделать, поскольку никто не хотел первым выносить на всеобщее обозрение информацию об инцидентах в сфере ИБ. Но жизнь фактически заставила и сообщество, и регулятора сделать это.

NBJ: Жаль, что мошенники все это время, скорее всего, тоже не стояли на месте.

А. ЛУЦКОВИЧ: Конечно. Как я уже сказал, они постоянно совершенствуют и методы, и подходы, и технологии. В итоге к настоящему моменту окончательно развеялась иллюзия о том, что у банков в части ИБ все хорошо – во всяком случае намного лучше, чем у их клиентов. События последних нескольких лет наглядно доказали, что даже финансово-кредитные организации, не испытывающие недостатка в финансовых ресурсах, страдают в результате успешно проведенных хакерских атак. Что уж говорить после этого о тех банках, которым сложнее выделять необходимые средства на обеспечение ИБ.

NBJ: К этому, наверное, можно добавить и то, что в этом году последовательно ужесточалось регулирование в сфере ИБ, не так ли?

А. ЛУЦКОВИЧ: Безусловно, и это сказывается на поведении банков и их взаимодействии с такими компаниями, как «Фродекс» и т.п. Если раньше нашими сервисами и решениями интересовались в основном финансово-кредитные организации, уже ставшие жертвами хакеров, то теперь мы видим интерес к нашим предложениям и со стороны тех банков, у которых риски в сфере ИБ еще не реализовались. Это одна очевидная перемена в настроении и поведении партнеров компании. А вторая перемена заключается в следующем: раньше нам часто задавали, как мы считаем, не совсем логичный вопрос – можно ли предоставить документ, в котором было бы написано, что банки обязаны использовать антифрод систему? Банковские службы безопасности говорили, что такой документ нужен им для того, чтобы убедить руководство в необходимости приобретения подобной системы, иначе топ-менеджмент может отмахнуться от руководителей ИБ-служб, сочтя проблему противодействия фроду не слишком актуальной или во всяком случае не угрожающей банку регуляторными рисками.

NBJ: Странно, ведь были же различные стандарты и предписания Банка России по вопросу о том, как следует обеспечивать информационную безопасность в банках – разве их было недостаточно?

А. ЛУЦКОВИЧ: Выясняется, что нет. Радикально изменил ситуацию Федеральный закон № 167-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части противодействия хищению денежных средств», принятый в июне этого года. Я уверен, что его исполнение пойдет на пользу и банкам, и клиентам, поскольку в соответствии с ним банки теперь обязаны не только выявлять подозрительные платежи, но и приостанавливать их на срок до двух рабочих дней, предпринимать меры по реагированию на подобные прецеденты, сообщать о них регулятору. Все это требует автоматизации процессов, наличия системы, которая могла бы видеть и проверять платежи на соответствие признакам сомнительности и т.д.

NBJ: Проблема с хищением денежных средств и выводом их через другие банки была достаточно актуальной и раньше, почему, по вашему мнению, ее решили урегулировать на законодательном уровне именно в этом году?

А. ЛУЦКОВИЧ: Как это часто бывает, сработал известный закон – количество перешло в качество. Стало понятно, что мошенники не только весьма искусно выводят средства технологически, они пошли в правовое поле и там добиваются судебных решений в свою пользу. На этом фоне рассуждать о хищении средств как о локальной проблеме отдельных банков больше нельзя – очевидно, что это общая проблема для всей банковской сферы.

NBJ: Артем Михайлович Сычев, заместитель начальника Главного управления безопасности и защиты информации Банка России, недавно сказал, что мошенники научились применять старые средства в новых условиях, и в качестве примера, подтверждающего это, привел социальную инженерию. Наверное, то же самое можно сказать и о других инструментах, которые мошенники применяют для хищения средств.

А. ЛУЦКОВИЧ: Безусловно. И я согласен с тем, что социальная инженерия – это действительно, с одной стороны, хорошо известное оружие, а с другой – оружие с огромным потенциалом воздействия. Я знаю прецеденты, когда даже очень хорошо подкованные в вопросах ИБ люди становились жертвами мошенников, использовавших социальную инженерию, что уж тут говорить о тех наших согражданах, которые не имеют профессиональной подготовки и не отличаются высокой финансовой грамотностью.

NBJ: Итак, изменилось и законодательство, и регулирование, и поведение банков в вопросах, связанных с обеспечением информационной безопасности. Поменялись ли с учетом этого продуктовая и сервисная линейки компании «Фродекс»?

А. ЛУЦКОВИЧ: Конечно же, это произошло. В последнее время мы занимаемся тем, чтобы наши сервисы и продукты соответствовали тем ожиданиям, которые формируются сейчас в банковской сфере.

Естественно, нам постоянно приходится развивать систему обнаружения сомнительных платежей, добавляя в нее новый функционал. Как я уже сказал, мошенники не стоят на месте и невозможно, противодействуя им, оставлять решения и сервисы в застывшем состоянии. Я хотел бы отметить, что для компаний, работающих в сфере обеспечения информационной безопасности, очень важно не только выявлять уже имеющиеся тенденции, но и ловить сигналы, поступающие из системы. Поясню, что я имею в виду: в начале года мы приняли решение развивать направление AML, или, как у нас это чаще называют, ПОД/ФТ.

В канун наступления нового, 2019 года мы можем сделать вывод, что оказались полностью правы: недавно вышло постановление ЦБ, которое требует не только передавать информацию о сомнительных платежах в Росфинмониторинг, но и останавливать их. Таким образом, произошло сближение двух функционалов – антифрода и противодействия легализации доходов. Соответственно, необходимы будут и технологические решения, сочетающие в себе оба эти модуля, и у компании «Фродекс» как раз такое есть.

NBJ: Экономически развитые страны наверняка столкнулись с подобной проблемой раньше России, поэтому можно предположить, что аналогичные решения есть и у иностранных компаний – вендоров, не так ли?

А. ЛУЦКОВИЧ: Да, но как раз от этих решений банки раньше отказывались, потому что, во-первых, считали их слишком дорогостоящими, а во-вторых, потому что ошибочно полагали, что смогут решить проблему отмывания средств с помощью функционала АБС (автоматизированная банковская система). Я со своей стороны не устаю повторять, что нельзя смешивать назначение разных систем: АБС – это прежде всего учетная система, а для организации эффективной борьбы с отмыванием нужна аналитическая, которая совершала бы ретроспективный анализ деятельности клиентов. И как раз сейчас, судя по обратной связи из банковского сектора, банкиры начинают это понимать.

NBJ: Понимать то, что скупой платит дважды?

А. ЛУЦКОВИЧ: В некотором смысле да. Перегруженная различными задачами АБС начинает хуже работать во всех отношениях, учащаются прецеденты сбоев системы, она не может достаточно эффективно выявлять сомнительные платежи, так что есть риск, что части таких невыявленных платежей удастся просочиться. Между тем, как все могут убедиться на последних примерах отзыва лицензий, Банк России постоянно ужесточает подход к ПОД/ФТ: если раньше практически в 100% случаев лицензии на осуществление банковской деятельности отзывали у финансово-кредитных организаций из-за невыполнения Н1, то на протяжении 2018 года было несколько случаев, когда они были отозваны за нарушения, допущенные банками в ПОД/ФТ. С моей точки зрения, это сигнал системе о том, что регулятор настроен по данному вопросу достаточно серьезно.

NBJ: А сигналы регулятора игнорировать не рекомендуется. Последний вопрос, который я хотела бы вам задать в рамках нашего интервью: чего вы ожидаете от наступающего, 2019 года. Какие тенденции, риски и проблемы, по вашему мнению, будут превалировать в новом году в контексте темы обеспечения информационной безопасности в банках и финансовых компаниях?

А. ЛУЦКОВИЧ: Главными тенденциями, я считаю, будут как раз борьба с хищениями средств и противодействие совершению сомнительных платежей. При этом видно, законодательство в этих вопросах не делит клиентов на физических и юридических лиц, это означает, что и нам придется развивать свои решения так, чтобы они охватывали все типы платежей. Понятно, что мы ставим перед собой задачу соответствовать в этом вопросе ожиданиям как наших уже имеющихся партнеров, так и тех компаний и банков, которые потенциально могут ими стать, а это потребует наращивания компетенции и энергии.

Беседовала: Анастасия Скогорева