Тема опасностей, связанных с ДБО, сейчас одна из самых «громких» и популярных. И благодаря этому происходят изменения и начинаются процессы, способные эту ситуацию изменить. Если раньше виноватыми во всем объявлялись клиенты, то теперь - банки. Это закономерная тенденция. Удивительно другое: почему люди, которые отдают банкам деньги, чтобы их не потерять, не воздерживаются от действий, в результате которых потери регулярны и огромны, - от использования ДБО?

Причин несколько.

Во-первых, опасность отнюдь не является обязательным свойством ДБО, она ему не имманентна. Более того, на протяжении десятилетий мы уже привыкли к тому, что «клиент-банк» безопасен, потому что защищен. И это правда: защищенный «клиент-банк» на компьютере, на котором создана и поддерживается доверенная среда, безопасен.

Во-вторых, если где-то что-то прибавится, то где-то убавится. Это известно с XVIII века. И если мы хотим, чтобы прибавилось удобства, то должно убавиться что-то еще. Например, безопасность. Возможно, тут дело в «авось», возможно, в недостаточной информированности о возможных последствиях.

В-третьих, даже для владельца заводов, газет, пароходов естественно считать, что «клиент-банк» на его заводе должен быть установлен на защищенном компьютере, а своим собственным счетом, который, скорее всего, больше, чем счет завода, он будет управлять из холла гостиницы или с мобильного телефона.

Возможно, источник этого заблуждения в том, что обеспечение информационной безопасности в корпоративной среде регулируется нормативными методическими документами, поэтому является отчасти вынужденной, а не осознанной необходимостью. А на том, чтобы люди какими-то способами защищали свои собственные интересы, никто не настаивает (кроме разве что производителей средств защиты).

Во всяком случае банки не относят контроль за безопасностью информационной среды своих клиентов к сфере своей ответственности. И это объяснимо -  контролировать ее у них нет ни оснований,   ни   средств.   Контролируемость -   обязательное условие безопасности. Значит, необходимо смириться, что на стороне клиента безопасности не будет?

Банк не навязывает и не дает советов использовать, например, ноутбук, а не телефон, поскольку считает, что это равно опасно, а клиент все равно будет сам виноват в своих потерях.

Об этом на волне внимания к вопросам ДБО уже много написано!. Банк не влияет на то, в каких условиях клиент управляет своим счетом, предлагая ему в лучшем случае бесполезные для защиты ДБО токены. И клиент всегда сам отвечает за все, что в ходе ДБО с его счетом произойдет.

Теперь ситуация становится пугающе зеркальной: всегда виноват уже банк, а на то, в каких условиях клиент управляет своим счетом, он по-прежнему не влияет.

Очевидно, что в сложившейся ситуации банку необходимы механизмы:
■ управления безопасностью на стороне клиента;
■ выделения групп клиентов, в отношении которых ответственность банка обосновано может быть разной.

Тогда банк будет отвечать за то, на что может повлиять, а в случаях, когда клиент сознательно хочет взять риски на себя, делить с ним ответственность.

Сейчас уже известно, что безопасное ДБО возможно не только на стационарных и защищенных на сумму около 30 тыс рублей ПЭВМ, используемых исключительно для работы в «клиент-банке»2.

Применение СОДС «МАРШ!» со встроенным модемом3 освобождает пользователя от привязки к компьютеру (подключай МАРШ! к любому), от необходимости разбираться в особенностях сетевых  настроек  сотен  типов   (сетевое подключение обеспечивает сам МАРШ!), от ограничений на использование возможностей, небезопасных для взаимодействия с банком, но привлекательных для пользователя (закончил доверенный сеанс связи, отключил МАРШ! и используй все, что хочешь), от угроз успешной реализации атак на ДБО всех известных типов (это обосновано концепцией доверенного сеанса связи, а решение сертифицировано).

Это все для клиента. А банк при применении СОДС «МАРШ!» освобождается от необходимости отвечать за то, что невозможно контролировать.

Среда выполнения операций с применением СОДС «МАРШ!» уже не любая, а именно та, которую определяет банк, выдавший этот МАРШ! клиенту: она доверенная, проверенная и безопасная. Поручение, данное банку с использованием СОДС «МАРШ!», корректно принятое и обработанное сервером доверенного сеанса связи, - это точно поручение клиента, а не мошенника. Брать на себя ответственность за эту операцию можно.

Банк может требовать выполнения условий безопасности, если:
■ они выполнимы и действительно повышают безопасность,
■ именно банк отвечает за конечный результат.

А если на фоне такой предлагаемой возможности клиент предпочтет все же использовать токен или мобильный телефон, тогда он... сам виноват и должен сам взять на себя свои риски.

Это позволит сместить акцент от поиска всегда виноватого к сотрудничеству банка и клиента, при котором ни на ком не лежит неоправданная ответственность -ни по незнанию, ни по принуждению.

Введение такого «ОСАГО» - решение банка, а мы знаем, как это сделать.

1. В. Конявский Хотят ли банки ДБО? //NBJ 2012. № 2 (93). С. 86-87;
2. С. Конявская Надо ли бороться с «человеческим фактором»?//МВТ. 2011. № 5 (84). С. 120-121; В. Конявский Организация безопасного ДБО на основе СОДС «MAPIII!»//NBJ 2011. № 9 (88). С. 84-85.
3.  Риски ДБО можно и нужно контролировать. Интервью В. Конявского //NBJ. 2012. № 8 (99). С. 115-116; В. Конявский Про ДБO//NBJ. 2012. № 12 (103). С. 86-87.