Обеспечение информационной безопасности – в центре внимания XIV российско-хорватского банковского форума

24 сентября в г. Сплит (Хорватия) состоялся XIV российско-хорватский банковский форум, посвященный теме «Банки в современных условиях: реальность и перспективы». Среди главных вопросов, рассматриваемых в ходе мероприятия, были проблемы  информационной безопасности и борьбы с кибермошенничеством. Известные эксперты поделились своими знаниями и опытом борьбы с киберпреступниками.

Приветствуя участников и гостей, Форум открыл президент АРБ Гарегин Тосунян.

Послы двух стран России и Хорватии – Андрей Нестеренко и Томислав Цар – в приветственной речи выразили  уверенность в том, что  российско-хорватские отношения успешно развиваются и пожелали участником плодотворной работы.

В работе Форума приняли участие руководители российских и зарубежных банков, банковских ассоциаций, компаний, поставляющих оборудование и программные продукты для банков. В первой сессии на Форуме выступили вице-президент Хозяйственной палаты Хорватии Йосип Захер, президент Ассоциации банков Хорватии Иван Яндрич, председатель правления АО Росэксимбанка Азер Талыбов, директор Департамента экономических отношений, Министерство иностранных и европейских дел Республики Хорватии Рина Этерович-Горета.

В ходе пленарного заседания и дискуссионных панелей участники обсудили особенности работы банков в нынешних сложных условиях, связанных с пандемией.

Основную часть своего выступления президент АРБ, академик РАН Гарегин Тосунян посвятил рынку частных инвестиций в России в период пандемии. Также он отметил, что существенным риском для сбережений населения и в целом для развития банковской отрасли является рост мошеннических операций, что не может не вызывать тревоги. Именно поэтому в центре внимания Форума было обсуждение вопросов информационной безопасности.

Риски информационной безопасности

В обсуждении проблем ИБ приняли участие эксперты двух стран. С российской стороны – первый заместитель департамента Банка России по информационной безопасности Артем Сычев, директор по развитию  инструментов взаимодействия Ассоциации участников Мастеркард Николай Дош, эксперт АРБ Василий Окулесский, заведующий кафедрой «Защита информации» Московского физико-технического института Валерий Конявский, вице-президент по безопасности АКБ «Фора-Банк» (АО) Александр Смирнов.

С хорватской — президент  Ассоциации хорватских банков Иван Яндрич и  директор службы безопасности Сбербанка (Хорватия) Мислав Лисак.

Вначале слово было предоставлено первому заместителю главы департамента Банка России по информационной безопасности Артему Сычеву. Он отметил, что Россия имеет достаточно богатый опыт в этой сфере, в частности рассказал о том, как удалось  справиться с масштабной хакерской атакой в России в августе и сентябре, которой  подверглись около 15 финансовых организаций, обслуживающих  электронную коммерцию.

«Атаке подверглись не все банки, не все финансовые организации, но подверглось довольно большое количество в зависимости от того, когда это происходило, - от 10 до 15 финансовых организаций. Как правило, это те организации, которые обслуживают электронную коммерцию», – сказал эксперт, говоря о недавних атаках хакеров.

Сычев обозначил ряд рисков, которые возникают для кредитных учреждений. Во-первых, это риск зависимости от монопольных поставщиков услуг. Он связан с тем, что финансовые организации во многом начинают зависеть от компаний, предоставляющих услуги, в частности, услуги по IT-поддержке. «Те события, которые в Российской Федерации происходили в августе и начале сентября и были связаны с массированными DDoS-атаками, показали, что нам как финансовой отрасли мало объединяться между собой, нам требуется и объединение (усилий) с телеком-операторами. Поскольку они фактически являются основой для взаимодействия между клиентами и финансовыми организациями. Влиять на телеком-операторов ни Центральный банк, ни финансовые организации не в состоянии», – сказал он. По его мнению, от того, насколько быстро может происходить такое взаимодействие, во многом зависит скорость реагирования на атаки, возникающие в финансовой сфере.

Во-вторых, это риск отказа в обслуживании клиентов вследствие непродуманных технических действий в самих финансовых организациях. Центробанк мониторит ситуацию с техническими сбоями и видит, что далеко не все кредитные организации внимательно относятся к информированию клиентов о том, что сервис может прерваться по каким-либо причинам.

Проблема здесь заключается в том, что когда клиенты массово наблюдают неработоспособность тех или иных сервисов, это проецирует негативную реакцию не столько на этот сервис, сколько на поведение самого банка. «Хотя мы знаем, что финансовая организация устойчивая, проводятся плановые технические работы», – добавил Сычев.

«Мы понимаем, что зависимость от поставщиков услуг, недостаточное внимание в общении со своими клиентами могут породить негативные последствия не только для самой организации, но и создать тон негатива в отношении вообще финансовых организаций, что может вызывать отток финансовых средств со счетов. Поэтому крайне важно обращать на это внимание», – подчеркнул он.

Еще один риск, который не очень характерен для кредитных организаций, но характерен для сервисов, которые они используют, – это прерывание сервиса в момент совершения тех или иных операций, когда при сбое упущено время и права клиента могут быть нарушены. Со стороны финансовой организации, по словам Сычева, необходимо предпринять все меры для того, чтобы технические нарушения не повлияли на права и законные интересы клиентов и не привели к судебным решениям.

В конце прошлого года Центральный банк получил право регулировать вопросы операционной надежности для всех субъектов, находящихся под его надзором. И это право ЦБ реализует через выпуск нормативных документов, сейчас они находятся в проработке, фактически готовятся к подтверждению. Что их отличает от других? «Впервые в этих документах пытаемся установить критерии операционной надежности, которые должны всеми соблюдаться, – объяснил Сычев. – Например, ЦБ считает простоем для системно значимых финансовых организаций отсутствие обслуживания клиентов по платежам более 2-х часов. Это то, что финансовая организация не должна допускать».

Реализуя полномочия по регулированию операционной надежности, ЦБ готовит к выпуску два нормативных документа. Один из них – это требования к операционно надежности для кредитных организаций. Второй – это требования к операционной надежности для некредитных финансовых организаций. В рамках этих документов регулятор установил понятные (и это обсуждалось с рынком) требования и показатели операционной надежности. В конечном итоге задача Банка России – убедиться, что финансовые организации соблюдают эти требования и не допускают нарушения операционной надежности.

Отдельно Сычев упомянул тему, связанную с аутсориснгом. «Мы здесь видим большое поле для изучения, поскольку использование облачных сервисов, совместных технологий – это то будущее, к которому финансовая отрасль в ближайшее время активно направится. Но в связи с эти возникает отдельная задача, связанная с пониманием того, как подойти к защите банковской тайны, как снизить риски, о которых я уже говорил».

Он подчеркнул также, что Центробанк будет развивать надзор в сфере банковского аутсорсинга в целях обеспечения  операционной надежности сектора.

«Мы прекрасно понимаем, что вопрос кибербезопасности на самом деле вопрос трансграничный. У нас есть достаточно серьезный опыт взаимодействия с центральными банками различных государств, ЕАЭС и БРИКС», – добавил Сычев. В рамках такого взаимодействия ведется обмен информацией о наиболее серьезных проблемах кибербезопасности и о кибератаках.

Правоохранителям не хватает знаний в области платежной индустрии

«Занимаясь вопросами рисков в платёжной индустрии, мы постоянно сталкивались с главной проблемой: как бы хорошо ни была построена в банках система противодействия мошенникам, финальный аккорд в борьбе с киберпреступностью остается за правоохранительными органами, которые не всегда обладают достаточными знаниями в области платёжной индустрии», – отметил директор по развитию инструментов взаимодействия Ассоциации участников Мастеркард Николай Дош.

В 2020 году дистанционное мошенничество выросло в масштабах, появилось много схем, связанных с поддельными сайтами. Мошеннические схемы использовались как в отношении физических, так и юридических лиц в Европе и в России.

В 2021 году проводился опрос сотрудников правоохранительных органов Европы. На вопрос, расследуете ли вы преступления финансового сектора, 75% респондентов ответили утвердительно. Отмечался недостаток знаний, которые помогали бы правоохранителям расследовать преступления и принимать грамотные меры.

Речь идёт о том, что у сотрудников правоохранительных органов иногда отсутствуют даже базовые знания в области платёжной индустрии. Диалог сотрудника банка и сотрудника правоохранительных органов не имеет смысла, если последний не знает элементарных понятий, например, что такое эмиссия, банк-эмитент, эквайринг, авторизация. Это приводит к заблуждениям в работе и непониманию схемы работы платёжной системы, отмечает Дош.

При этом ситуация постепенно изменяется. По словам эксперта, между Ассоциацией участников Мастеркард и Университетом МВД им. Кикотя заключено соглашение о сотрудничестве, в рамках которого проводится постоянное обучение, как действующих сотрудников правоохранительных органов, так и курсантов.

По словам эксперта, международное взаимодействие очень важно, потому что киберпреступления имеют международный масштаб. «Мошенники тратят деньги не только на себя, они активно вкладываются в развитие криминального бизнеса, и поэтому последующие атаки одной и той же группы лиц становятся более изощрёнными и мощными», – подчеркнул директор по развитию инструментов взаимодействия Ассоциации участников Мастеркард.

ИБ как безопасный секс

Киберпреступники заняты поиском информации – логинов, паролей, номеров счетов, пин-кодов, контактных данных – на самых разных устройствах. Любая информация имеет ценность и найдет своего покупателя, считает директор службы безопасности Сбербанка (Хорватия) Мислав Лисак. Он уверен, что киберкриминалитет сродни классическому криминалитету: «Существуют обычные грабежи, вымогательства, мошенничество. Примерно те же методы применяются и в кибермире. Если к вам приходит человек и пытается выудить у вас какую-то информацию, то в кибермире это называется социальная инженерия».

Кибератаки ведут к финансовым потерям, но самое ужасное, что при этом страдает финансовая репутация организаций, говорит эксперт.

Поле деятельности мошенников постоянно меняется. Это и карточное мошенничество, и атаки на банкоматы, и социальная инженерия, и атаки на вендоров, у которых уровень безопасности ниже, чем у финансовых организаций.

«Не существует 100%-ной безопасности, потому что рынок, на котором действуют киберпреступники постоянно изменяется. Преступники имеют неограниченное время для того, чтобы спланировать свои атаки и определить заранее объекты и способы нападения. Они ограничены только своей фантазией. А если у преступника хорошая фантазия, то только небо для него граница», – говорит Мислав Лисак.

В своих атаках мошенники пытаются использовать самое слабое звено – человека, через  которого открывается путь в финансовую организацию. И очень важно развивать совместное сотрудничество для защиты информации и создания препятствий для последующих атак. Данный Форум в этом отношении очень полезен, уверен эксперт.

«Люди – это рабы своих привычек, поэтому любят использовать пароли со своими именами, именами своих питомцев, дни рождения и т.д., которые очень легко вычисляются преступниками, – акцентирует внимание Мислав Лисак. – Есть база, содержащая более 9 миллиарда доступных паролей. И в любой момент из этой базы можно подобрать пароль. Поэтому пароль – это то же самое, что зубная щетка, она должна быть индивидуальной и ее нужно регулярно менять».

Точно также нужно следовать правилам безопасности в отношении мобильных устройств, где также хранится много важной и ценной информации. Например, при пересылке важных данных нельзя использовать открытые wi-fi сети, потому что они доступны для входа мошенников, их легко вскрыть.

«Люди очень подвержены социальным атакам (речь идет о социальной инженерии – прим. ред.), это как безопасный секс – важно не верить всему, что видите», – говорит директор службы безопасности Сбербанка (Хорватия).

Задачи антифрода

«Задачи обеспечения безопасности платежей – это не только проблемы тех лиц, которые их проводят и обязаны соблюдать кибергигиену, но и вопросы технического характера – организации и контроля самих платежей», – отметил эксперт АРБ Василий Окулесский.

Всю практическую плоскость задач антифрода можно разбить на три части, объяснил он. Первая – это предварительная работа: формирование ландшафта, который затруднит мошенникам получение тех данных, с помощью которых они в дальнейшем смогли бы атаковать клиентов. Это выявление фишинговых сайтов, которые пытаются завладеть клиентскими данными. Это создание работы внутри банка по выявлению всевозможных каналов утечки данных, в том числе контроля каналов доступа к базам данных. Это обязательное документирование этих действий, с целью оказания помощи правоохранительным органам впоследствии. Кроме того, это формирование пула данных по мошенникам и установление каналов взаимодействия с коллегами в других банках, с ФинЦЕРТ, с правоохранительными органами.

Вторая составляющая большой антифрод-работы состоит в том, что необходимо создавать систему мониторинга платежей. Особенностью современного платежного рынка является высокая скорость совершения платежей, они проходят фактически в режиме онлайн. Это означает, что контроль должен быть построен на автоматизированных технологиях. Однако «если мы строим контроль на автоматизированных технологиях смс-подтверждения получения платежа, а мошенники имеют возможность заполучить с помощью социальной инженерии код подтверждения, то нам необходимы какие-то дополнительные методы контроля самих платежей», – отметил Окулесский.

Третья составляющая, которую необходимая реализовывать при создании современной системы антифрода, – это реагирование на выявленные признаки попыток совершения платежей без согласия клиента. Это информирование Центрального банка, платежной системы, правоохранительных органов с целью максимально быстрого принятия решений по блокировке устройств и по изоляции мошенников.

Эксперт АРБ рассказал также о технологиях, которые необходимо реализовывать в банках, при проведении платежей.

В целом дискуссия получилась интересной и содержательной. Эксперты двух стран поделились не только  общими проблемами, но и  опытом борьбы с кибермошенничеством.