О главных задачах Банка России в области информационной безопасности, о том, как защитить платежи клиентов при осуществлении транзакций в ДБО, а также о роли безопасников в предотвращении террористических атак киберпреступников рассказал в интервью NBJ заместитель начальника Главного управления безопасности и защиты информации Банка России Артем СЫЧЕВ. 

трепетное отношение к обеспечению информационной безопасности 

NBJ: Артем Михайлович, важность систем информационной безопасности для банковского бизнеса не подлежит сомнению. Тем не менее внимание Центробанка к вопросам ИБ в отечественных кредитных организациях в последнее время существенно возросло. С чем это связано? 

А. СЫЧЕВ: Технологии, которые банки используют в своей деятельности, активно развиваются. В обеспечении их безопасности неуклонно возрастает роль защиты информации. Не секрет, что уязвимостями программного обеспечения кредитных организаций могут воспользоваться злоумышленники для извлечения собственной выгоды. Сегодня схемы хищений денежных средств становятся более изощренными. Мошенники быстро совершенствуют свои методы – модифицируются и применяемые ими технологии. Эти изменения необходимо анализировать и адекватно на них реагировать, потому что последствия для клиентов банка, а значит, и владельцев бизнеса могут быть очень серьезными. Поэтому ИБ является для кредитных организаций одним из основополагающих аспектов деятельности, а вопросы обеспечения защиты информации бизнеса активно обсуждаются как в банковском сообществе, так и на высоком государственном уровне. У Центрального банка России к обеспечению ИБ особое и трепетное отношение. 

NBJ: Обозначьте, пожалуйста, основные задачи Банка России в области информационной безопасности. 

А. СЫЧЕВ: Особое внимание Банк России уделяет обеспечению кредитными организациями безопасности при переводе денежных средств в соответствии с законом № 161-ФЗ. Что касается наших внутренних задач, то мы прежде всего обязаны гарантировать информационную безопасность собственных сетей и платежной системы. Система валовых расчетов должна быть защищена в режиме реального времени. Отдельно следует сказать, что появление заведомо недостоверной информации в отношении как ЦБ, так и коммерческих кредитных организаций может негативно повлиять на рынок, на вопросы регулирования. 
Здесь также необходимо отметить следующий момент: в связи с тем, что на базе Банка России создан мегарегулятор, а вопросы ИБ сегодня актуальны для всех участников финансового рынка, то внимание Банка России обращено в том числе и на небанковский сегмент. С учетом тенденции перехода организаций на электронное, безбумажное взаимодействие задачи обеспечения ИБ становятся приоритетными в работе ЦБ. 

NBJ: В рамках XXV съезда АРБ многие игроки финансового сектора говорили о том, что распространение негативной информации, несостоятельных слухов в отношении кредитных организаций в разных источниках наносит ущерб их репутации и приводит к оттоку вкладчиков. Можно ли эффективно противодействовать таким явлениям? 

А. СЫЧЕВ: Основная форма противодействия – это выявление подобных сообщений и адекватное реагирование на них в рамках существующего законодательства. Сейчас каждый игрок сам принимает решение по подобным инцидентам. Однако проблема носит системный характер, поэтому мы намерены проанализировать опыт банков, а по результатам сформировать рекомендации, применение которых для финансово-кредитных организаций будет добровольным.  

В рамках Технического комитета № 122 при Центральном банке (комитет отвечает за организацию и координацию разработки стандартов финансовых операций – прим. ред.) проведена работа, направленная на обобщение передового опыта банковского сообщества в части предотвращения утечек данных, в частности мониторинг СМИ и социальных сетей для выявления фактов публикации негативной информации, способной повлиять на деятельность кредитных организаций. По сути, был суммирован опыт крупнейших банков, в том числе и зарубежных, которые, основываясь на собственной практике, рассказали, как выявлять такие публикации и работать с полученным материалом. Для кредитных организаций это крайне актуальная задача, и бизнес требует соответствующей реакции. 

Уверен, что подготовленные материалы будут полезны и востребованы как средними, так и малыми банками. 

новый стандарт – лучший рецепт управления рисками  

NBJ: Ранее сообщалось, что в начале лета 2014 года Банк России планирует опубликовать новый стандарт по обеспечению информационной безопасности в банковской системе РФ. 

А. СЫЧЕВ: Стандарт по обеспечению ИБ вступил в силу и опубликован на сайте ЦБ. По сути, это адаптация предыдущей версии стандарта, в которую внесены коррективы с учетом изменений в законодательстве о персональных данных. Конечно, за время с момента публикации последней версии стандарта произошли некоторые преобразования: ИТ-технологии ушли вперед, изменился подход к оценке соответствия. Уверен, для большинства кредитных организаций документ не стал откровением, тем более стандарты обсуждались и на площадке Технического комитета № 122 во время проведения Уральского форума «Информационная безопасность банков». 

Неожиданностей не будет. Большую часть требований многие банки и так выполняют. Следует отметить, инициатива внесения изменений в стандарт исходила от коллег из кредитных организаций, основную часть работы проделали именно они, за что им отдельная благодарность.

NBJ: Что же изменилось в документе? 

А. СЫЧЕВ: Исходя из требований Федерального закона № 152-ФЗ «О персональных данных», а также соответствующего постановления правительства и нормативных документов ФСТЭК в нашем стандарте были смещены акценты. В этой связи ЦБ ведет работу по согласованию с ФСБ и ФСТЭК перечня актуальных угроз при обработке персональных данных, чтобы в соответствии с законом включить его в нормативный документ. В результате банки получат подробную методологию обеспечения безопасности при обработке персональных данных. 

Что еще нового? Введены в действие рекомендации и практики в области управления инцидентами информационной безопасности. Требование о необходимости управлять инцидентами ИБ установлено Положением Банка России от 9 июня 2012 года № 382-П. На практике же всегда возникает вопрос: как построить этот процесс? 

Хочу отметить, что нами создана подробная методологическая база, в наших предложениях специалисты кредитных организаций найдут ответы на многие вопросы: как выстроить процесс реагирования при выявлении инцидентов, возможно ли минимизировать последствия прецедентов, какую связь имеют кибератаки с внутренними нарушениями и как на них необходимо реагировать? Подчеркиваю, что все рекомендации основаны на международном опыте. 

NBJ: По Вашим оценкам, сколько процентов банков в России смогут соответствовать положениям и рекомендациям, прописанным в стандарте по обеспечению информационной безопасности?

А. СЫЧЕВ: Здесь все очень просто. Весь комплекс стандартов исходит из одной простой задачи – риски возникают в результате деятельности самих кредитных организаций и зависят от проводимых операций, масштабов бизнеса, характера того окружения, в котором они работают. Наши рекомендации в области стандартизации не нацелены на то, чтобы выполнять их от а до я – это могут лишь крупные игроки. Документ отражает актуальные тенденции и дает возможность банкам оценить, насколько тот или иной риск характерен для их бизнеса. Если после ознакомления с нашими методиками специалисты выявляют те или иные проблемы в бизнесе, то в «учебнике» – комплексе документов в области стандартизации информационной безопасности (БР ИББС) – они найдут рецепты их устранения. 

Наша цель – помочь кредитным организациям снизить риски до приемлемого уровня и избежать многих проблем. Мы предлагаем набор хороших практик, требований, которые позволяют решать целый ряд задач обеспечения ИБ организации в целом. Поэтому я не ожидаю каких-то сложностей в реализации тех или иных рекомендаций, крупные и средние банки точно в состоянии справиться с этим. Если говорить о небольших игроках, то там уровень рисков совершенно иной – основная проблема лежит не в области ИБ, а в сфере финансовых рисков.

против банковской системы РФ были применены методы кибертерроризма

NBJ: В докладе Национальной ассоциации инноваций и развития информационных технологий (НАИРИТ) сообщается, что число DDoS-атак на объекты в России в 2013 году выросло на 178%. Каковы в настоящее время основные характеристики киберпреступности?

А. СЫЧЕВ: Я не знаком с этим исследованием, мне не известна их методология расчетов. Вместе с тем отмечу, что за последние девять месяцев банковская система РФ столкнулась с фактами, которых раньше не было. Да, DDoS-атаки были всегда. Как правило, злоумышленники так заметали следы после покушения на хищение денежных средств: они атаковали мощности банков, чтобы клиенты вовремя не смогли проверить остатки на своих счетах и выявить факты хищения. 

Однако сейчас появилась другая тенденция. Были осуществлены DDoS-атаки на Банк России, а также на крупные кредитные организации, но не с целью сокрытия преступления, а исключительно по политическим мотивам. В связи с ситуацией вокруг Крыма хакерские атаки затронули интернет-представительства Банка России, крупнейших банков, правительственные сайты. Подчеркну, в данном случае целью злоумышленников были не финансовые сервисы, а исключительно интернет-представительства организаций. Поэтому здесь можно говорить о политической составляющей или о террористическом характере DDoS-атак. В Уголовном кодексе понятие «терроризм» толкуется главным образом как насильственные действия, направленные на устрашение населения и создание опасности гибели человека в целях дестабилизации деятельности органов власти либо принятия ими решений. Если опираться на это определение, то можем констатировать, что зафиксированы все признаки террористической деятельности: создание негативного отношения к органам власти, попытка подорвать доверие клиентов и населения в целом к финансовым институтам. Пока шли атаки, россияне могли испытывать сложности в получении необходимой информации на государственных порталах, клиентам банков были недоступны сведения о различных финансовых услугах. Это явный пример того, что против банковской системы РФ были применены методы кибертерроризма. Я бы обратил внимание именно на этот аспект, а не на количество DDoS-атак. 

NBJ: Насколько мощной была атака, о которой Вы упомянули?

А. СЫЧЕВ: Она была технически хорошо подготовлена. Это значит, что ее организаторы задействовали очень большие мощности и привлекли грамотных специалистов. Мощность DDoS-атаки на сайт Банка России в десять раз превышала пропускную способность каналов связи сайта. Если учитывать то, что в киберпространстве одновременно развернулись масштабные действия и на интернет-представительствах других крупных организаций, то очевидно, что были привлечены серьезные силы. 

Хакеры-одиночки на это неспособны. Практика показывает, что они, как правило, используют уязвимости нулевого дня (от англ. Zero-Day – термин, обозначающий уязвимости ПО или вредоносные программы, против которых еще не разработаны защитные механизмы) и их манипуляции не приобретают массовый характер. В конкретном случае кибератаки, очевидно, были хорошо оплачены и поддержаны техническими средствами высокого уровня. 

NBJ: За счет чего удалось остановить нападения злоумышленников?  

А. СЫЧЕВ: Во-первых, сработали упреждающие средства безопасности. Для очистки трафика мы не только задействовали собственные механизмы, но и привлекли наших провайдеров. В результате принятия адекватных ответных мер прерывание работы нашей системы было незначительным. 

Нам есть чем защитить себя, но я обратил внимание на эту проблему, так как произошла смена мотивации киберпреступников. Это говорит о том, что такие политические заказы в дальнейшем могут быть поддержаны профессионалами высокого уровня и современными ИТ-технологиями. Для того чтобы предотвратить последствия мы стараемся снижать риски, используя собственные средства защиты и привлекая механизмы очистки трафика нашего провайдера.

NBJ: Какие бы Вы дали рекомендации банкам с учетом нового, политического фактора?

А. СЫЧЕВ: Дело в том, что банковская система – это прежде всего доверие (клиентов к банку, банка к контрагенту и т.д.). С точки зрения клиентов, выведенный из строя сервер, который предоставляет основную контактную информацию, говорит о том, что кредитная организация не может обеспечить собственную безопасность в Интернете. Это сильный удар по репутации. Если говорить о DDoS-атаках, то рекомендация одна: защита банковских систем должна быть многозвенной и эшелонированной. Имеет смысл договориться с провайдерами связи о предоставлении такой услуги, как использование их механизмов обеспечения безопасности. У телеком-компаний гораздо больше возможностей для решения данного вопроса – для них это еще один вид сервиса, который они могут предоставить клиенту. 

Вместе с тем между банками должен быть налажен оперативный обмен информацией. Необходимо консолидировать свои усилия, чтобы меры применялись вовремя. Отмечу, ИБ воспринимается в большинстве случаев так: есть информационные безопасники, они что-то там делают с «железом», устанавливают программы. На самом деле специалисты, работающие в этой сфере, понимают: если появилась проблема, то первыми «тушить пожар» прибегут информатизаторы. Именно поэтому я еще раз повторяю: необходим оперативный обмен информацией между кредитными организациями, причем как на уровне безопасников, так и на уровне информатизаторов. 

мошенники прощупывают средние и мелкие банки

NBJ: Если говорить собственно о банковском секторе, то как за последнее время трансформировались атаки с целью получения финансовой прибыли?

А. СЫЧЕВ: Злоумышленники изменили вектор атак. Мы фиксируем, что они стали прощупывать малые и средние банки. У таких кредитных организаций не всегда хватает возможностей для правильного выстраивания взаимоотношений с информационной безопасностью. Уязвимость их ресурсов – привлекательная мишень для киберпреступников. 

Вместе с тем участились случаи целевой рассылки информации, содержащей вредоносное программное обеспечение. Причем подобные рассылки рассчитаны на группы банков, использующих однотипные АБС. Такие атаки могут быть парированы в том случае, если специалисты вовремя оповещают своих коллег об угрозе.

Модная нынче тема таргетированных атак на банки выделилась в новый тренд. Известно, что такие хорошо подготовленные акции злоумышленников могут иметь очень серьезные последствия. Поэтому с точки зрения обеспечения безопасности крайне необходим обмен информацией, причем аналитического характера, поскольку сведения об угрозе для кредитной организации могут быть получены из самых разных источников. 

NBJ: Достаточно ли внимания банки уделяют вопросам ИБ?

А. СЫЧЕВ: Этой проблеме уделяют ровно столько внимания, насколько руководители организаций осознают уровень рисков, которые несут с собой используемые технологии или бизнес-процессы. Особенность любого бизнеса заключается в следующем: руководители вспоминают о мерах защиты, когда петух клюнет. Их можно понять, потому что первостепенная задача коммерческого банка – получение прибыли, а не решение проблем ИБ. Однако в России уже сформировано поколение предпринимателей, которые знают, что использование высокотехнологичных решений требует серьезного отношения к вопросам ИБ. Многие руководители финансово-кредитных организаций наконец поняли важность проблемы и приняли определенные меры.