NBJ: Тема нашего круглого стола – информационная безопасность в банковском секторе России. Это далеко не первое наше заседание по данной теме. Должна признаться, что каждый раз на повестке дня в рамках обсуждения оказываются новые вопросы или, по крайней мере, несколько изменяются акценты. Первый вопрос я сформулирую так: каковы основные вызовы для обеспечения информационной безопасности в банках сейчас?

А. ВЕЛИГУРА: Должен сказать, что какой-то значительной корректировки существующих вызовов за последнее время не произошло. Главным как было, так и остается изменение нормативной базы, поскольку ни законодатель, ни регуляторы не забывают о нас. Как только мы привыкаем к требованиям предыдущего законодательства, появляются новые законодательные акты, к которым необходимо приспосабливаться. 

Второй вызов, который надо учитывать и на который нужно отвечать, тоже сложно назвать новым. Речь идет о воровстве: воруют и в сфере электронных платежей, и в сфере ДБО.

В. МЕДВЕДЕВ: Я не считаю, что у нас большие проблемы с законодательным процессом. Да, конечно, в нашем законодательстве есть шероховатости, но это не препятствует тому, чтобы выстроить нормально функционирующую систему безопасности.

На мой взгляд, следует говорить о другом – о разрыве между имеющейся нормативной документацией и возможностями реализации регуляторных и законодательных требований. Положим, банкам решение этой задачи более или менее по плечу, но есть и небольшие организации – владельцы терминальной сети, магазины. Они по своим финансовым возможностям не в состоянии реализовать все требования ИБ, а ведь они также осуществляют финансовые транзакции. Это первая проблема. 

Вторая заключается в том, что выпустив достаточно большое количество документов, мы оторвались от базовых определений. Люди просто не в состоянии определить базовый уровень угроз, что неизбежно ведет к неправильному выбору средств защиты, к непониманию того, для чего предназначено то или иное средство защиты. Практически 19 из 20 переговоров с клиентами начинаются с объяснения нами каких-то базовых положений, что, естественно, не внушает оптимизма. В этой ситуации, на мой взгляд, был бы очень актуальным и востребованным переход от обычных нормативных документов, которых выпускается очень много, к единой информационно-аналитической системе, позволяющей связать банковское и околофинансовое сообщества различными материалами. Это необходимо, чтобы люди понимали, о чем в принципе идет речь, и могли выбрать правильные средства защиты своего бизнеса.

Е. СОКОЛОВ: Есть конкретные технические требования: организация мониторинга инцидентов в сфере ИБ, установка антивирусов, ведение отчетности и т.д. Для того чтобы все это осуществлять, необходимы значительные финансовые ресурсы либо на покупку специальных технических средств, либо на наем дополнительного персонала. Как легко догадаться, и то и другое ведет к увеличению расходов, которые при определенном раскладе могут превысить прибыль компании. 

С. КОТОВ: Мне кажется, один из главных вызовов – тот факт, что девятая статья ФЗ № 161 вступила в силу, а ничего во взаимоотношениях между банками и клиентами в случае хищения средств последних не изменилось. Как и раньше, кредитные организации на подобные жалобы реагируют с подкупающей простотой: «У вас украли деньги? Как жаль, мы ничем не можем помочь!»
Еще часто можно услышать: «железо» дорого, всевозможные решения финансово неподъемны для банков. А люди, которых приходится нанимать в большом количестве, не дороги? Особенно в условиях, когда налицо дефицит квалифицированных кадров. Посмотрите сами: институты выпускают максимум три тысячи подобных специалистов, а минимальная потребность составляет 4,5 тысячи человек. Подавляющее большинство новоиспеченных «спецов» – менеджеры по ИБ, которые способны видеть дыры разве что в бумагах, а не в системах.

М. ЛЕВАШОВ: Я согласен с тем, что здесь в рамках обсуждения уже были подняты очень важные вопросы, но хотел бы вернуться к теме, которую обозначил наш модератор – есть ли новые вызовы в сфере ИБ? На мой взгляд, очевидно, что они есть, например геополитический вызов. Вряд ли, конечно, этот фактор будет оказывать долгосрочное влияние, но он имеет место. Надо думать, как организовать противодействие этому вызову.

Второй вызов – лавинообразный рост новых информационных технологий и реализующих их устройств, прежде всего мобильных гаджетов. В близкой мне финансовой отрасли это особенно заметно – нужно организовать и постоянно совершенствовать  защиту против мошеннических действий в данной сфере.
Третий вызов трудно назвать новым, скорее следует говорить о том, что он вечный, – персонал. Из практики изучения нарушений, произошедших в разных компаниях, именно действия сотрудников способны привести к серьезным убыткам, если персонал не воспитывать, не контролировать и не направлять его активность на пользу бизнесу. 
И еще один момент: если говорить о e-banking, центр тяжести решений по безопасности платежей находится в банке и в промежутке между банком и клиентом. Мы в некоторых случаях должны предполагать, что клиентская площадка занята противником. Наша задача заключается в том, чтобы отличить транзакцию настоящего клиента от транзакции противника – это фрод-мониторинг транзакций.

NBJ: Проверить валидность цифровой подписи – один из вариантов.

М. ЛЕВАШОВ: Этого недостаточно. Понятно, что, если площадка занята противником, то штатная подпись может быть поставлена им под мошенническим документом.
Что касается уже поднятого здесь вопроса о расходах на обеспечение ИБ, есть всем известное, но регулярно игнорируемое средство – аутсорсинг. Он  может быть дешевле и заведомо эффективней, чем обеспечение информационной безопасности собственными силами. И можно найти спе-
циализированные компании, имеющие высококлассных сотрудников, которые в рамках аутсорсинга за умеренную плату выполнят эту работу.

NBJ: Если все, как Вы говорите, периодически забывают об аутсорсинге, возможно, дело в том, что он не так привлекателен на практике, как в теории?

М. ЛЕВАШОВ: Мне, честно говоря, причины этого неясны. Для малых и некоторых средних банков аутсорсинг будет предпочтительней, чем формирование дорогой собственной службы ИБ. Такой подход согласован в том числе с регулятором.

А. САБАНОВ: На мой взгляд, один из новых вызовов – это тот факт, что сейчас мошенники пользуются дырами в законодательстве. Чтобы не быть голословным, приведу только один пример: у нас нет закона об идентификации и аутентификации. К чему это приводит на практике? Человек приходит в банк и говорит, что хочет обнулить счет, после чего удаляется с мешком денег. И ничего сделать с этим нельзя: паспорт был предъявлен, фото фальшивое и т.д. Какой отсюда вывод? Надо действовать комплексно и укреплять все три составляющие ИБ: законодательство, оргмеры и «железо». 
Что касается аутсорсинга, то позволю себе маленькую ремарку: весной 2014 года состоялось обсуждение рекомендаций Банка России относительно ресурсного обеспечения информационной безопасности. В этих рекомендациях очень грамотно прописано, что аутсорсинг предлагается как средство ресурсного обеспечения на пятом этапе развития защиты информации в финансово-кредитной сфере. Я считаю, что это абсолютно правильный подход.

В. МЕДВЕДЕВ: У нас несколько странное отношение ко всему происходящему. Априори подразумевается, что вся проблема в дырах в законодательстве. А на мой взгляд, она в другом: законы есть, а проблемы возникают на уровне исполнителя, то есть пока нет готовности со стороны банков выполнять в полном объеме то, что предписывает им законодательство. 

А. САБАНОВ: Здесь я не соглашусь с вами. И в мире, и у нас в стране принят следующий порядок. Создаются новые технологии – мобильная связь, электронная сеть и т.д. Это сопровождается появлением неких рекомендаций, которые впоследствии могут перерасти в стандарты, причем, что особенно важно отметить, в стандарты обязательные для выполнения. У нас же все стандарты носят рекомендательный характер, и мы не шевелимся, пока не выйдет профильный закон. А он часто выходит после длительных согласований и «дырявый».

А. ВЕЛИГУРА: Получается какой-то замкнутый круг: пока не заставят, никто безопасность обеспечивать не будет. И как из него можно выйти? Будем ждать, пока совесть проснется? Мне кажется, что эффективный механизм – показывать на реальных примерах, что обходить рекомендации и стандарты по ИБ экономически невыгодно. Когда банки это осознают, я думаю, количество подобных попыток обхода резко сократится. 

Д. БЕЗКОРОВАЙНЫЙ: Я бы хотел поговорить об инновационных решениях. Даже в рамках этого обсуждения мы видим, что характер угроз несколько изменился, целевых атак стало больше, это подтверждается исследованиями, проведенными как в России, так и в других странах. В связи с этим, естественно, возникает вопрос, сколько внимания банки уделяют инновационным решениям? Можно, конечно, создать систему ИБ на основе старых решений, но в этом случае мы получим не реальную защиту, а ее имитацию. Например, старые антивирусные системы пропускают примерно 80% угроз, с которыми пользователи сталкиваются в реальной жизни. 

В. МЕДВЕДЕВ: Тут надо разобраться, что такое новые, а что такое старые средства. 

Е. СОКОЛОВ: На мой взгляд, дело тут не в новых или старых средствах защиты, а в технологии. А технология одна – фрод-мониторинг, и ничего нового в этом вопросе мы не придумаем. Надо отслеживать трафик, постоянно анализировать, не появилось ли что-нибудь странное и неординарное. Конечно, для этого нужны люди, иначе проблему противодействия мошенникам не решить.

С. ПАНКРУХИН: Можно поставить хорошую антивирусную защиту и нанять квалифицированных специалистов, но что делать с клиентами? Как должны выстраиваться отношения между ними и банками. Пожалуйста, есть Письмо № 209-Т, изданное ЦБ РФ. В нем финансово-кредитным организациям 
рекомендуется включать в договоры следующий пункт: если что-то происходит на стороне клиента, то ответственность за это несет клиент. 

К. МАЛЮШКИН: Я бы хотел озвучить предложение, которое, возможно, покажется несколько экстравагантным. Для того чтобы клиент стал соблюдать рекомендации по безопасности по доброй воле, его надо чем-то заинтересовать. Просто твердить ему, что так надо, бесполезно – возможно, лучше подумать над повышением ставки по вкладу или понижением ставки по кредиту для тех людей, которые ведут себя ответственно с точки зрения соблюдения рекомендаций ИБ.

С. КОТОВ: У меня есть, как мне кажется, более конструктивное предложение. Хорошо известно, что, прежде чем пустить человека за руль автомобиля, его обязывают сдать экзамен и получить права. Возможно, самое время вводить права клиента банка по результатам того, соблюдает пользователь банковских услуг или нет рекомендации по ИБ.

С. АНТИМОНОВ: Отношение кредитных организаций к проблемам обеспечения ИБ так или иначе изменится. Оно уже меняется, в том числе после вступления в силу девятой статьи ФЗ № 161, обязавшей банки возмещать средства, похищенные у клиентов. И если еще несколько лет назад они не уделяли большого внимания средствам защиты, воспитанию клиентов и т.д., то теперь их подходы меняются, это естественно, если учесть, что появились новые риски. Вся эта ситуация наглядно демонстрирует, какую роль может сыграть вступление в силу нового закона.

Д. КОЗЫРЕВ: Разрешите все-таки развить тему взаимодействия с клиентом. Прозвучало несколько замечаний о правильности финансовой ответственности банков в случае потери денег клиентом. Хотелось бы резюмировать: проблема ДБО сейчас имеет в себе несколько бизнес-противоречий и противоречий информационной безопасности. 

Во-первых, мы эксплуатируем систему, которая состоит из двух компонентов – банковского и клиентского. За клиентский компонент банк не отвечает, не контролирует то, что там происходит. Мы можем только дать клиенту рекомендации в договоре, которые он совершенно не обязан соблюдать. Получается, что эксплуатируется система, имеющая дыру на стороне клиента. О какой защите может идти речь в данной ситуации? 

Во-вторых, Центральный банк предъявляет к кредитным организациям требования, касающиеся консультирования клиентов по вопросам информационной безопасности. Это совсем другой бизнес. Мы не консалтинговое агентство, не располагаем call-центром, у нас нет ресурсов, чтобы дополнительно этим заниматься. 

В-третьих, безопасность построена на рисках. Риски клиентов могут отличаться от рисков кредитной организации. Клиент снижает свои издержки, экономит на безопасности. Основное противоречие банковского бизнеса – клиент воспринимает ДБО как услугу, соответственно, он не хочет воспринимать банк как куратора, не хочет слушать его рекомендации, платить дополнительные деньги за страховку и уходит. С этим приходится работать.

К. МАЛЮШКИН: Знаете, здесь можно сказать о том, что и клиент, и банк заинтересованы в решении этого вопроса, потому что клиент несет деньги в кредитную организацию не для того, чтобы они там просто лежали – он стремится получить выгоду. Банк, в свою очередь, взимает комиссию за обслуживание. Это взаимный интерес. Говорить о том, что клиент не обязан выполнять предписаний, – значит по меньшей мере упрощать ситуацию. Нужно привлекать клиента к исполнению обязательств, чтобы он действовал самостоятельно, а не надеялся на великий и могучий банк. Возможно, необходимо заинтересовать по принципу кнута и пряника. Также хотелось бы, чтобы законодательная власть приняла документы, регламентирующие данную ситуацию. 

В. МЕДВЕДЕВ: Боюсь, что использовать пряник не получится. Тот, кто придумает маркетинговый ход, заставляющий клиента понять, для чего нужна информационная безопасность, может сразу рассчитывать на получение Нобелевской премии.