Проблемы обеспечения безопасности банковских систем и банковского оборудования в условиях финансового кризиса обсуждались на заседании «круглого стола», организованного НБЖ. В нем приняли участие: советник президента по вопросам безопасности Ассоциации российских банков Олег Казакевич; член совета директоров группы компаний «Амулет» Александр Крылов; руководитель дирекции по работе с финансовыми институтами ЦФТ Андрей Фомичев; начальник управления по информационной безопасности банка «Ренессанс Кредит» Александр Невский; старший вице-президент компании «Диасофт» Александр Генцис; заместитель председателя правления банка «Агропромкредит» Константин Борозинец; начальник отдела информационной безопасности ТрансКредитБанка Валерий Капитонов; директор департамента по работе с финансовыми институтами АМТ-ГРУП Денис Комаров; эксперт по вопросам информационной безопасности «Техносерв» Дмитрий Ушаков; менеджер проектов департамента вычислительных систем компании КРОК Юрий Швыдченко; начальник отдела обеспечения безопасности информационных и платежных систем Международного Банка Азербайджана (Москва) Али-Ахмед Мовсумов; начальник отдела информационной безопасности Про-бизнесбанка Александр Белясников; заместитель руководителя департамента информационных технологий Промсвязьбанка Иван Янсон. Вела заседание «круглого стола» главный редактор НБЖ Анастасия Скогорева.

КРИЗИС - УГРОЗА ИЛИ НЕТ?

НБЖ: Экономический кризис традиционно сопровождается ростом преступности, как на бытовом уровне, так и на более «продвинутом». НБЖ располагает информацией о том, что участились случаи атак на информационные банковские системы, в российских городах стали чаще нападать на инкассаторов, злоумышленники все более активно пытаются «увести» средства клиентов со счетов, пластиковых карт и т.д. Являются ли подобные прецеденты частной бедой частных банков или подобные тенденции характерны сейчас для российского банковского рынка в целом?

А. НЕВСКИЙ: У меня, во всяком случае, пока не складывается такого впечатления. Никакого всплеска преступности, связанного с нынешним финансовым кризисом, наш банк на себе не ощущает. Возможно, ситуация даже в чем-то стала лучше: ведь угрозы для безопасности банков в основном носят внутренний, а не внешний характер, они возникают, прежде всего, в результате действий тех или иных сотрудников банков. Сейчас численность персонала сокращается, оставшихся людей легче контролировать. Следовательно, уменьшается и риск хищения информации и использования ее во вред банку.

Д. КОМАРОВ: Я не разделяю столь оптимистичной оценки, мне непонятна такая самоуспокоенность. По нашим оценкам - оценкам компании-интегратора, - риски, связанные с безопасностью банков, в настоящее время как раз возрастают. Это становится очевидным при анализе событий последних нескольких месяцев. Ряд крупных банков, по нашей информации, подвергся DDOS-атакам, что в некоторых случаях привело к перебоям в работе их сайтов, обеспечивающих доступ клиентов к своим счетам, на длительное время. И очень показательной, на мой взгляд, является реакция руководства банков на подобные прецеденты. Раньше топ-менеджеры в большинстве случаев отмахивались от проблем, связанных с атаками на информационную систему. Традиционная модель их поведения заключалась в следующем: они «спускали» решения на уровень профильных департаментов и подразделений. Сейчас руководители и владельцы банков ведут себя иначе - они реагируют на возникновение подобных ситуаций куда оперативнее и острее.
 

 

обратить внимание

Есть общее правило, справедливое и для нынешнего российского кризиса, и для мировых кризисов в целом: в хорошие время растет число интеллектуальных преступлений, в плохие - число гангстерских.

 

НБЖ: Возможно, ими движут даже не те риски, с которыми они сталкиваются сейчас, а мысль о том, что по мере эскалации кризиса «проверки на прочность» для систем безопасности будут учащаться?

  Д. КОМАРОВ: Возможно. Но в любом случае они сейчас активно ищут пути укрепления систем безопасности банков. И это понятно - ведь, как я уже говорил, зачастую DDOS-атаки оборачиваются тем, что возникают перебои в работе сайтов, информационных систем банков и т.д. Раньше, если такие прецеденты возникали, банкиры давали понять, что можно восстанавливать систему день-два, теперь они в точно таких же ситуациях говорят: нет, будем работать сверхурочно, будем, если надо, работать ночью, но система должна вернуться в рабочее состояние с минимальными временными издержками, нельзя допустить, чтобы клиенты усомнились в нашей устойчивости. Это очень важный сдвиг в психологии, и я думаю, что кризис сыграл в этой перемене не последнюю роль.

 

Д. УШАКОВ: Хотел бы поддержать коллегу: в последнее время мы тоже отмечаем увеличение числа инциндентов, связанных с информационными банковскими системами. При этом понятно, почему руководители пострадавших банков реагируют на них более оперативно и остро, чем раньше: негативные последствия подобных атак могут быть использованы в ходе информационных войн - например, конкуренты могут раздуть такие скандалы с тем, чтобы внушить людям мысль о несостоятельности того или иного банка. При неблагоприятном развитии событий это может быть чревато для финансово-кредитной структуры

 

А. ГЕНЦИС: Не буду оспаривать тот факт, что вопросы обеспечения безопасности являются принципиально важными для деятельности банков. Зачастую от эффективности созданной системы безопасности зависит благополучие финансового института в целом. Поэтому не удивлюсь, если интерес к этой проблеме со стороны банков будет возрастать. Но пока мы не получали сигналов, свидетельствующих о том, что банки сталкиваются из-за кризиса с какими-то новыми, более острыми угрозами, чем раньше.

О. КАЗАКЕВИЧ: Со своей стороны, как советник президента АРБ по вопросам безопасности, могу сказать: АРБ прогнозирует рост преступлений, связанных с хищением банковской информации, банковских ценностей и т.д. Для того чтобы понять, на чем основаны наши прогнозы, давайте обратимся к событиям 10-летней давности. В 1998-1999 годах рост экономических преступлений увеличился примерно на 40% по сравнению с докризисным показателем. Такого же роста мы ожидаем и сейчас. Чтобы не быть голословным, скажу, что число нападений на инкассаторов, на обменные пункты с начала 2008 года и по настоящий момент выросло как раз на те же 40%. Так что основания для наших прогнозов есть. Плюс к этому, мы предвидим рост преступлений, связанных с суррогатом денежных знаков, с подделкой всевозможных платежных документов и т.д. Подводя некий промежуточный итог, скажу: мы живем в непростые времена, и банкам следует готовиться к ним. Как, впрочем, и другим участникам экономического процесса.

А. КРЫЛОВ: Не так давно мы проводили «круглый стол» на тему: «Бизнес-разведка в условиях кризиса». То есть рассматривали примерно те же проблемы, которые обсуждаем сейчас, но не с точки зрения защиты, а с точки зрения агрессии. К каким выводам пришли участники этого мероприятия, среди которых было много высококвалифицированных специалистов? Главный из них - мы не заметили особого всплеска желания похищать информацию банковских структур. Объяснений этому существует несколько. Первое из них: традиционные информационные показатели, которые представляли интерес для конкурентов, в условиях кризиса «обветшали». Их нужно принципиально обновлять, чтобы они приобрели новую стоимость в глазах потребителей такого рода информации.

НБЖ: То есть теперь, по логике вещей, должен упасть интерес к базам банков, которые раньше часто «просачивались» на открытый рынок?

А. КРЫЛОВ: Да. Справедливости ради стоит сказать, что и раньше подобные утечки были чреваты для банков исключительно имиджевыми издержками. К серьезным финансовым потерям они не приводили. Все это дает основания полагать, что к подобным хищениям были причастны люди, не слишком хорошо отдававшие себе отчет в том, какая информация пользуется спросом. Ведь конкурентам обычно не нужна банковская база целиком, они заинтересованы в конкретных проводках по счетам конкретных клиентов. А добывать подобные сведения целесообразно не с помощью «взломов», а с помощью так называемого человеческого фактора.

НБЖ: То есть лучше «точечно» покупать сотрудников банков?

А. КРЫЛОВ: В некоторых случаях - да, а в некоторых сотрудник банка может и не знать, что он стал источником утечки важной информации.

НБЖ: Вряд ли такое возможно: сделать человека причастным к хищению информации так, чтобы он даже не догадался об этом.

А. КРЫЛОВ: Это вполне возможно, если злоумышленники подходят к делу серьезно, если они не тупо «взламывают» базы, а используют разведывательные техники. И могу вас заверить, что подобные утечки происходят чаще, чем хотелось бы. Другое дело, что о них мало что известно, потому что банки по очевидным причинам не стремятся предавать эти факты публичной огласке. Ведь иногда невольным источником утечки могут стать первые лица финансово-кредитной структуры или, во всяком случае, сотрудники, занимающие не последние позиции в банке.

ПРИМИТИВНЫЕ ПРЕСТУПЛЕНИЯ ВМЕСТО ИНТЕЛЛЕКТУАЛЬНЫХ

НБЖ: Итак, банковские базы сейчас и в обозримом будущем не будут пользоваться повышенным спросом. А число каких преступлений в этом случае возрастает?
 

 

акцент

Традиционные информационные показатели, которые представляли интерес для конкурентов, в условиях кризиса «обветшали». Их нужно принципиально обновлять, чтобы они приобрели новую стоимость в глазах потребителей такого рода информации.

 

А. КРЫЛОВ: Самых примитивных. Есть общее правило, справедливое и для нынешнего российского кризиса, и для мировых кризисов в целом: в хорошие время растет число интеллектуальных преступлений, в плохие - число гангстерских. Поэтому сейчас наиболее частыми становятся налеты на инкассаторов, на банкоматы и т.д. В России, где доля «кэша» в денежном обращении очень велика, это серьезный вызов. Причем зачастую такие преступления бывают удачными не в силу высокого профессионализма самих преступников, а в силу нашего общего разгильдяйства. Огромные объемы денег перевозятся без должной охраны, аппараты по приему платежей остаются без присмотра. И поэтому, на мой взгляд, главное направление защиты банковских ценностей - это не столько улучшение работы служб безопасности, сколько оптимизация работы с персоналом банка: кассирами, операционистами, инкассаторами и т.д.

Д. УШАКОВ: Мне кажется, что хищение пары мешков денег из инкассаторской машины и клиентской базы - вещи несопоставимые по уровню ущерба, который может быть нанесен пострадавшему банку. Первое может привести к небольшим финансовым потерям, второе - к подрыву имиджа финансово-кредитной структуры.

А. КРЫЛОВ: Совершенно справедливо. Но мы сейчас рассуждаем о гипотетическом негативном влиянии того или иного преступления на деятельность банка. Со статистической же точки зрения в условиях кризиса наиболее вероятными являются как раз те преступления, которые я назвал гангстерскими. А если говорить об имиджевых издержках, то банки, на мой взгляд, несут их в основном не в результате попадания баз на открытый рынок, а в результате целенаправленного и злонамеренного «вброса» некой информации, не соответствующей действительности.

А. ГЕНЦИС: Я согласен с ранее высказанной оценкой: действительно, мы тоже приходим к выводу, что число преступлений, связанных с использованием высоких технологий, сейчас не растет и вряд ли будет расти в ближайшей перспективе. А вот банальные нападения на сотрудников банков, попытки хищения мешков с деньгами - это да. Массовые сокращения, рост социального расслоения, падение доходов людей - все это в конечном итоге становится питательной средой для таких преступлений.

О. КАЗАКЕВИЧ: На мой взгляд, при анализе различных рисков и видов преступлений необходимо иметь в виду следующее. К сожалению, при установке систем информационной безопасности, будь то в коммерческих банках или нефинансовых структурах, практически не уделяется внимание двум важнейшим аспектам. Первый из них заключается в том, что информационная безопасность, как и безопасность вообще, - это многоинтегральный уровень. Помимо защиты баз данных и телекоммуникационных каналов есть еще два существенных направления. Это вопрос мониторинга киберпреступности и вопрос информационно-психологической безопасности. На сегодняшний день мы невнимательно изучаем киберпреступность и в результате несем значительные издержки не от того, что похищается какая-то информация, а от того, что опасности подвергается периферия информационного пространства. То есть в подавляющем большинстве случаев атакуется не база данных, а конечный носитель информации, и это крайне опасно.

НБЖ: А еще опаснее то, что этой проблеме не уделяет внимание ни теория, ни практика информационной безопасности.

О. КАЗАКЕВИЧ: Да. Приходится констатировать, что наши специалисты в области безопасности - не более чем технические специалисты по защите информации. А безопасность - по определению - более широкая проблема,
и ее невозможно решить без учета психологических факторов.

ЧЕЛОВЕЧЕСКИЙ ФАКТОР - НАСКОЛЬКО ОН ВАЖЕН

НБЖ: То есть нельзя выстроить эффективную систему безопасности, не учитывая того, что принято называть человеческим фактором. И это подводит нас к следующему вопросу: какую роль он играет в деле обеспечения безопасности банков? Есть мнение, что увольнение сотрудников минимизирует число утечек. С другой стороны, наверное, возникла угроза мести со стороны обиженных сотрудников, и эта угроза может при определенных обстоятельствах оказаться роковой для безопасности банка.

Д. КОМАРОВ: Это действительно так. Мне известны случаи, когда уволенные сотрудники IT-департаментов наносили ущерб бывшим работодателям с помощью своих знаний об уязвимостях. Например, пытались похитить важную для банка информацию. Раньше число подобных прецедентов было незначительным, сейчас такие случаи учащаются. Можно предположить, что по мере эскалации кризиса и, следовательно, по мере увеличения числа сокращенных эта угроза будет становиться все более и более заметной.

НБЖ: Наверное, в данном случае много зависит от того, как организован процесс сокращения персонала?

Д. КОМАРОВ: Конечно. При этом не стоит забывать, что раньше увольнения носили единичный характер, теперь людей увольняют сотнями. И проблемы, вызванные человеческим фактором, при этом накладываются на общее отставание наших банков в вопросах, связанных с созданием систем безопасности.

Д. УШАКОВ: На фоне массовых увольнений также, на мой взгляд, возрастает сейчас и риск хищения клиентских баз, их «выбрасывания» на открытый рынок.

НБЖ: Такие случаи бывали и до кризиса, и, надо заметить, они достаточно подробно освещались прессой. Есть ли способы борьбы с этой угрозой помимо оптимизации механизмов сокращения персонала?

Д. УШАКОВ: Уверен, что да. Прежде всего необходимо выстроить систему, которая четко контролировала бы все информационные потоки. Эта система должна четко фиксировать, кто из сотрудников имел доступ к базе, когда этот доступ осуществлялся и какой объем информации при этом запрашивался. Так же может быть важно установить, хранилась ли передаваемая информация в базе или передавалась устно.

К. БОРОЗИНЕЦ: Не стану отрицать, что человеческий, или психологический, фактор играет важную роль при обеспечении безопасности банковской деятельности. Но надо учитывать и то, что в сегодняшнем мире существует большое количество возможностей для утечек информации. Необязательно, что носителями таких утечек целенаправленно или непреднамеренно становятся сотрудники банков - информацию можно получить как через государственные структуры, имеющие доступ к банковским отчетам, так и от самих клиентов. Никто, по-моему, еще не отметил такого принципиально важного момента, как участие клиентов в процессе обеспечения информационной безопасности банка.
Между тем известны случаи, когда утечки происходили из-за безответственных действий клиентов - например, из-за того, что они доверяли свои пароли и «ключи» посторонним людям или оставляли эту информацию на своих компьютерах в пределах досягаемости. В условиях кризиса цена такой ошибки - или, точнее, невнимательности - будет только возрастать.

СПАСЕНИЕ ЧЕРЕЗ СОТРУДНИЧЕСТВО

НБЖ: Нам удалось выделить несколько важных аспектов обсуждаемых проблем. обеспечения безопасности банков. А коль скоро проблемы существуют, то должно быть найдено их решение. В связи с этим вопрос: можно ли говорить об активизации деятельности компаний-интеграторов? Как они помогают банкам минимизировать риски «взломов» сетей, кражи ценной информации или даже банковских ценностей - например, средств из банкоматов?

К. БОРОЗИНЕЦ: Со стороны банков могу сказать, что как раз в последнее время все компании-производители озаботились этой проблемой, и они выходят на банки с новыми предложениями, новыми продуктами, предусматривающими защиту счетов клиентов.

НБЖ: Обычно в такие моменты особенно актуальным становится соотношение цены и качества. Как решается этот вопрос в условиях нынешнего кризиса, когда банки стремятся экономить, а производители не могут без ущерба для себя снижать цены?

 О. КАЗАКЕВИЧ: Этот вопрос сейчас действительно важен, только следует ставить его шире. Мы уже пришли к выводу о том, что руководители банков -и прежде всего крупных финансово-кредитных структур - стали уделять больше внимания вопросам обеспечения безопасности своих организаций. Но это осознание не подвигает их автоматически к увеличению расходов на создание эффективной системы безопасности. До сих пор можно услышать такие высказывания: да, я понимаю, что это надо, но я не готов платить за это больше определенной суммы. И эта сумма далеко не всегда покрывает все необходимые расходы.

 

 А. ФОМИЧЕВ: По моему глубокому убеждению, безопасность - как раз то, на чем нельзя экономить. Особенно сейчас, когда банки страдают от последствий кризиса, а компании-разработчики информационных систем готовы помочь им в решении многих злободневных вопросов. Например, сейчас часто приходится слышать информацию о том, что были выданы кредиты на крупные суммы с нарушением внутренних регламентов банков. Обычно в заключении таких сомнительных сделок участвует не один сотрудник, создается целая цепочка. Возникает вопрос: как ее проследить и выявить человека или группу лиц, которые были причастны к принятию данного кредитного решения? Ответ: в централизации информационных систем в головном офисе. Именно сюда поступает информация обо всех действиях, предпринятых сотрудниками, и, соответственно, здесь осуществляется контроль за кредитным досье. Мы предлагаем банкам продукты и решения, которые позволяют делать это; в централизованной базе данных, созданной на их основе, содержится информация о миллионах «проводок».
Другой аспект - опора на самые передовые технологии. Существует официальная статистика, на основании которой можно убедиться: со счетов клиентов ежегодно похищаются сотни миллионов долларов. И как правило, все эти похищения осуществляются с помощью пластиковых карт, через банкоматы путем считывания паролей и т.д. Решить эту проблему без опоры на высокие технологии невозможно.

 

НБЖ: Здесь уже затрагивался вопрос о том, как обеспечить безопасность клиентов, которые становятся жертвами мошенничеств из-за собственной невнимательности. Очевидно, что сами виноваты, но в конечном итоге прецеденты с хищением средств с их счетов наносят удар и по имиджу банков, в которых обслуживаются эти люди.

А. ФОМИЧЕВ: Да, приходится признать, что из-за несоблюдения норм безопасности «ключи» и пароли клиентов могут быть похищены хакерами, что время от времени и происходит. И как ни старайся служба безопасности банка предотвратить подобные эксцессы, в одиночку ей сложно это сделать. Мы предлагаем определенные технологии защиты клиентов. Например, им выдается устройство, похожее на флэшку. На самом деле это кардридер, куда уже вставлена sim-карта, а ключ хранится в специальной ячейке памяти, откуда его невозможно скопировать. Это значительно снижает вероятность хищения ключа и, как следствие, информации из банковской системы. 
 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

важные детали

Насколько участились сейчас попытки похищения банковской информации, «взлома» банковских сетей и целенаправленной порчи банковского оборудования? Ваши рекомендации, как это предотвратить?

Юрий Швыдченко, менеджер проектов департамента вычислительных систем компании КРОК

Как показывает наш опыт работы с банками, в последнее время в связи с кризисной ситуацией участились увольнения сотрудников, а вместе с ними - случаи целенаправленного нанесения ущерба оборудованию и системам. Например, при увольнении обиженный сотрудник выключает сервер АБС в течение рабочего дня. Такие действия наносят не только финансовый ущерб, но и имеют репутационные последствия. Для предотвращения подобных ситуаций мы рекомендуем бан-
кам не просто обезопасить оборудование и банковские системы, но и обеспечить непрерывность бизнеса и создать план восстановления данных после аварии. Создание системы управления непрерывностью бизнеса (СУНБ) позволит повысить уровень управления сервисами и создать репутацию надежной организации, что особенно важно в условиях кризиса. В процессе создания и поддержания в актуальном состоянии СУНБ оцениваются угрозы и аварийные ситуации, с которыми может столкнуться банк, детально изучаются их возможные последствия, оцениваются существующие уязвимые места ИТ-инф-раструктуры, формализуются существующие неописанные процедуры и процессы. Все это позволяет сократить время неразберихи в случае наступления аварийной ситуации, минимизировать вероятность нештатных ситуаций и их воздействие на деятельность организации, сократить размер ущерба и ускорить процесс восстановления.