Тема идентификации клиентов всегда была актуальна, и на сегодняшний день она остается наиболее важной для банковского сектора. Особое внимание финансово-кредитные учреждения уделяют безопасности идентификации при осуществлении банковских операций как частными пользователями, так корпоративными клиентами. Основополагающими факторами для банков являются конфиденциальность и целостность идентификации.  

KNOW YOUR CLIENT

Проблема безопасности идентификации клиента при совершении банковских операций не остается без внимания центрального финансового регулятора. Об этом свидетельствуют поправки к закону 115-ФЗ (так называемый антиотмывочный закон), согласно которому организации, совершающие операции с денежными средствами, в первую очередь обязаны провести идентификацию клиента. По закону финансовым учреждениям необходимо установить ряд сведений о клиенте: его ФИО, дату рождения, реквизиты паспорта, адрес прописки. Для корпоративных клиентов список данных отличается: им необходимо в рамках идентификации предоставить наименование компании, место регистрации, адрес местонахождения компании и пр. Стоит особо отметить, что проводить идентификацию клиентов должны все организации, осуществляющие финансовые операции: банки, МФО, страховые и лизинговые компании, ломбарды, потребительские кооперативы, букмекерские конторы и т.д.

При этом законодательство разрешает банкам не проводить идентификацию клиента, если он совершает операции, сумма которых не превышает 15 тыс. рублей. Данные поправки были введены в силу в мае прошлого года. Однако эксперты, опрошенные NBJ, считают, что идентификация должна проводиться сотрудниками банка всегда, вне зависимости от суммы операции. Это является дополнительной защитой как для финансового учреждения, так и для его клиента.    

Сейчас, как сообщают средства массовой информации, Центральный банк разрабатывает новые поправки в положение ЦБ 262-П «Об идентификации кредитными организациями клиентов и выгодоприобретателей в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма». Связаны эти поправки с ужесточением требований к корпоративному бизнесу. Сейчас организации – соискательнице заемных средств (иными словами, потенциальному заемщику) достаточно предоставить в банк документы о месте своей регистрации и информацию о фактическом адресе нахождения компании. По мнению экспертов Банка России, работающих над соответствующими поправками, данных сведений недостаточно. В новой редакции документа указано, что представителям банков необходимо будет совершать визит к потенциальному заемщику, чтобы они могли на месте убеждаться в достоверности предоставляемой им информации.

Это не прихоть, говорят эксперты. Реализация подобного подхода позволит финансово-кредитным учреждениям определять уровень кредитного риска клиента, что, соответственно, будет влиять впоследствии и на размер необходимых резервов по выдаваемым ссудам. То есть фактически речь идет о реализации известного принципа – знай своего клиента. Причем знай его не только по «бумажкам», которые он предоставляет тебе, но и, как говорится, в реальной жизни – вплоть до того, где находится офис его компании, как он выглядит и т.д. 

Биометрия станет популярней 

При осуществлении денежных операций существует много известных способов идентификации. К ним относятся пароль, технология OTP (одноразовые пароли), MobileID, смарт-карта или токен. Они все, по мнению экспертов, могут быть подвержены рискам, но в то же время их использование приносит неплохие плоды. 

Приведем конкретный пример. Для наиболее эффективной безопасности корпоративных клиентов (так как в случае успешно реализованного плана атак мошенник может завладеть крупной суммой) был разработан такой способ идентификации, как смарт-карта или токен. Это можно было считать удачной разработкой, так как на протяжении порядка семи лет на клиентов, использующих данный способ, не совершались злоумышленные нападения. Однако все в жизни меняется, и мошенники нашли пути, которые позволяют им совершать махинации с денежными операциями и при такой защите. Удаленное проникновение злоумышленников в компьютер клиента помогает им изменять ход операций, проделанный уполномоченным лицом компании. К примеру, завладев компьютером, мошеннику удается изменить расчетный счет и сумму перечисления денежных средств. 

Одним из наиболее эффективным способов защиты клиентов является биометрия. Она уже применяется многими финансово-кредитными организациями и обеспечивает клиентам высокий уровень безопасности идентификации. Но в применении данного способа защиты существует один-единственный минус, являющийся препятствием для его развития на данном этапе, – дороговизна. Эксперты считают, что с удешевлением компонентов биометрия будет широко распространена и начнет применяться фактически всеми учреждениями. Однако с широкомасштабным приходом биометрии появятся новые способы мошеннических атак: специалисты уверены в том, что там, где есть защита, обязательно будут совершаться нападения. 

Невнимательность – серьезная проблема  

Эксперты, опрошенные NBJ, уверены: происки злоумышленников были бы куда менее успешными, если бы агрессорам не помогал человеческий фактор. Можно придумать и внедрить множество механизмов защиты, но бывает так, что все усилия сводит на нет простая ошибка, вызванная либо невнимательностью клиента, либо недостатком у него знаний. Специалист управления информационной безопасности Газпромбанка, согласившийся прокомментировать ситуацию на условиях анонимности, считает тему безопасности идентификации пользователя актуальной в первую очередь из-за ошибок клиентов. «На мой взгляд, очень много проблем возникает как раз из-за недостаточного внимания к рекомендациям и требованиям банков в сфере информационной безопасности», – поясняет эксперт. 

Для РОСГОССТРАХ БАНКа тема идентификации пользователей при совершенствовании банковских операций всегда была актуальна. «При работе с системами дистанционного банковского обслуживания основное внимание в контексте информационной безопасности уделяется конфиденциальности, целостности и безотказности идентификационной информации», ¬ утверждает директор департамента информационной и экономической защиты бизнеса РОСГОССТРАХ БАНКа Артем Гонта.   

При защите клиента, по мнению специалиста, наиболее эффективным методом является многофакторность. «Наиболее эффективным способом защиты в настоящее время является использование строгой многофакторной аутентификации: комбинированное использование паролей, цифровых сертификатов, устройств доверенного отображения, подписываемых ЭЦП данных», – считает Артем Гонта (РОСГОССТРАХ БАНК). 

Игроки рынка уверены в том, что мошенническим атакам одинаково подвержены как юридические, так и физические лица. В Газпромбанке существует специальная система мониторинга для вычисления подобного рода нападений. «У нас факты атак выявляются как автоматизированными системами обеспечения информационной безопасности (в большинстве случаев), так и по обращениям клиентов. Подвержены рискам любые клиенты дистанционных банковских сервисов, поскольку за каждым нарушением стоит конкретный человек: либо клиент – физическое лицо, либо представитель (работник) клиента – юридического лица», – считает эксперт Газпромбанка.    

«Наибольшее внимание обращают на себя случаи мошенничества с системами дистанционного банковского обслуживания юридических лиц по причине масштаба причиняемого ущерба. При этом, безусловно, клиентские устройства физических лиц подвергаются заражением вредоносного программного обеспечения значительно чаще», – уточнил Артем Гонта (РОСГОССТРАХ БАНК). 
С увеличением количества мошеннических атак банкам приходится постоянно разрабатывать новые методы для защиты клиентов. А если учитывать, что система идентификации применяется ежедневно, то в этих условиях финансово-кредитные учреждения вынуждены устранять пробелы в управлении этой системы буквально на ходу. Способов у банков для этого достаточно. 
«Наши специалисты внимательно рассматривают каждый случай, имеющий признаки инцидента в сфере ИБ. Мы занимаемся совершенствованием внутренних нормативных документов, а также программно-технических средств в сочетании с постоянной разъяснительной работой, которую мы проводим с клиентами», – рассказал эксперт Газпромбанка. 

В РОСГОССТРАХ БАНКе постоянно обновляется линейка технологий. «В банке внедряются наиболее современные средства идентификации, совершенствуется нормативная и методическая документация, определяющая правила безопасной работы с системами дистанционного банковского обслуживания», – поясняет Артем Гонта (РОСГОССТРАХ БАНК). 

Борьба между защитниками (специалистами банков) и злоумышленниками будет продолжаться всегда – по этому поводу никто иллюзий не питает. Сотрудники финансово-кредитных учреждений постоянно занимаются разработкой и внедрением новых технологий для защиты своих клиентов. Тем временем мошенники разрабатывают механизмы для того, чтобы затащить жертву в ловушку и завладеть его денежными средствами или, как это зачастую бывает, критически важной для клиента информацией (обычно такое наблюдается, когда речь идет о клиенте – юридическом лице). Для того чтобы денежные средства оставались в сохранности, в первую очередь необходимо соблюдать осторожность при проведении даже самых простейших и привычных операций и не забывать выполнять требования банков по безопасности. 

Клиенты иногда приходят к выводу, что им приходится выполнять слишком много рутинных действий, когда они управляют своими счетами в дистанционном режиме. Отсюда проистекает их невнимательность и небрежность. В конечном счете это может обернуться для них весьма печальными последствиями, предупреждают банкиры.