Можно предположить, что утечка информации из 10 банков, которая произошла в декабре прошлого года, стала возможной из-за несовершенства IT-инфраструктуры банков. Однако надо понимать, что эта причина не единственная и не основная. Ни в одном банке, независимо от того, зарубежный он или российский, нет безупречной IT-инфраструктуры, которая бы гарантировала стопроцентную защиту от утечки информации. Хотя очевидно, что IT-инфраструктура западных финансовых предприятий защищена на 90%. А в IT многих российских банков, по моей оценке, есть слабые места, которые защищены лишь на 50%. Причины случившегося находятся скорее в области операционных рисков, а это по большому счету - человеческий фактор.

БЕДНЫЙ ХАКЕР - ЗЛОЙ ХАКЕР

Существующая неразбериха в организационной и IT-структурах многих учреждений России - довольно распространенная ситуация и в банках, и в бюро кредитных историй, откуда, как мне кажется, скорей всего и произошла утечка. Вероятность взлома ITсистемы снаружи становится возможна именно из-за несовершенства организационно-технологической базы наших компаний, в том числе финансовых.

Одно из самых уязвимых мест в любой компьютерной системе - электронная почта. Хранение в ней информации - задача номер один. И хотя «слить» базу данных через электронную почту довольно сложно, тем не менее такая вероятность тоже существует.

Список из 3 млн. записей может занимать объем от 1 до 100 гигабайт (Гб). 1 Гб данных вполне может уместиться на микроскопическом носителе современного мобильного телефона. Если в информационной системе есть незащищенные «дыры», с помощью современных беспроводных технологий можно (воспользовавшись, например, Bluetooth), за день скачать гигантское количество конфиденциальной информации в телефон.

Другой вопрос, как вытащить информацию, подобную украденной, из бизнес-систем банка? Сделать это в нескольких банках одновременно довольно сложно. Почему я склоняюсь к версии, что данные были похищены из кредитного (или кредитных) бюро, где эта база могла быть сформирована как некий обычный ежедневный отчет, сделанный, например, для руководства.

Но как ее удалось переписать и на каком носителе вынести?

К сожалению, в силу разных причин уровень оплаты труда некоторых весьма профессиональных IT-специалистов в финансовых учреждениях все еще остается невысоким. Это позволяет предположить, что возможно имел место подкуп персонала. На мой взгляд, консолидированная информация утекла либо в результате сознательно оплаченного хакерства, либо ее просто вынесли на физическом носителе.

Сложно сказать, кто стоит за этой акцией. Рынок потребительского кредитования очень динамичный и жесткий, организаторами могут оказаться и те, кто уже занимает сильные позиции на рынке и хотят их удержать, и аутсайдеры, которые решились на такой шаг от отчаяния или из мести. Хотел бы подчеркнуть, что все вышеизложенное - всего лишь мои предположения. Мы, к сожалению, вряд ли сможем узнать, как все это произошло. Хотя современные технологии, которыми пока еще редко пользуются российские банки, позволяют если не избежать полностью подобных ситуаций, то хотя бы с высокой вероятностью проанализировать путь, по которому могли быть похищены (раскрыты или поражены) те или иные сведения.

ПРОВЕРКА, ЗАЩИТА, АНАЛИЗ И КОНТРОЛЬ

Современные технологии и комплекс организационных мер под общим названием Compliance (англ. compliance - соответствие), в том числе IT Policy Compliance позволяют любому регулятору рынка, внутреннему или внешнему аудитору определить - кто виноват, когда произошла утечка, по какой причине, кого увольнять и как объяснить происшедшее на внешнем рынке.

Программные продукты, созданные с учетом этих технологий, политик и «кодексов», позволяют найти «слабые звенья», определить места несоответствия мировым отраслевым и государственным стандартам (SOX, Basel II, SEC и др.) в IT-инфраструктуре организации. Если находятся несоответствия, может помочь так называемая технология создания интеллектуальных архивов. В ее основе лежит принцип, согласно которому любая информация должна обязательно быть сохранена и доступна в случае форс-мажора. Она также позволяет делать ретроспективный анализ происходящего с информационной системой компании. Если бы такая система была установлена в банках (или кредитных бюро), можно было бы восстановить путь, по которому осуществлялся «слив» информации. И служба безопасности смогла бы точно определить: утечка произошла из IT-инфраструктуры или же это был вынос информации на физическом носителе. С помощью подобных технологий можно быстро и без лишнего шума проводить расследования внутри организации и выявлять виновных. К сожалению, российских компаний финансового сектора, где используется подобный подход, пока единицы.

ВРЕМЯ ЛЕЧИТ

В европейских странах обычно после такого скандального события банк либо умирает, либо выживает с мучительно сложным периодом восстановления. Как мне кажется, наши пострадавшие банки не погибнут. Вряд ли их прежние клиенты уйдут, наши люди довольно инертны и, как правило, терпят до последнего. Другое дело, что эти банки не смогут привлечь то количество новых клиентов, которое могли бы. Сужу по себе. Для меня это серьезный подрыв их репутации, я бы теперь туда не пошел. Кредитным бюро тоже не сладко: их репутация в банковском сообществе теперь подпорчена.

Очевидно, что свободная продажа баз данных о заемщиках 10 российских банков чревата очередным подрывом доверия к финансовой системе страны в целом. Как долго будет существовать риск возникновения подобных ситуаций? До тех пор, пока в нашем бизнессообществе не сформируется правильный подход к организации защиты конфиденциальной информации, иными словами - защиты прав клиентов.

Список из 3 млн. записей занимает объем от 1 до 100 Гб. 1 Гб вполне может уместиться на микроскопическом носителе современного мобильного телефона

ТЕНЬ ГИЛЬОТИНЫ ОБЕСПЕЧИТ ПОРЯДОК

Знакомая ситуация: сотрудник приносит и подключает флэшку к своему персональному компьютеру, что-то с нее или на нее записывает. В большинстве случаев его за это не наказывают, потому что в банке отсутствует регламент или запрещающая инструкция. Однако в результате его действий в систему нередко проникает вирус, который начинает в ней «жить», образуя бреши. Конечно, большинство IT-департаментов используют современные антивирусные программы и решения, обеспечивающие защиту от взлома. Но многие эксперты в области информационной безопасности утверждают, что нельзя уповать только на IT. Организационная составляющая компании в этих вопросах все-таки выходит на первое место. Если сотрудник банка знает, что в случае каких-то нарушений регламента он будет сильно наказан, если знает, что его действия контролируются, у него не возникнет искушения совершать какие-то махинации на рабочем месте. Как показывает практика, «тень гильотины» хорошо поддерживает дисциплину.