NBJ: Тема «информационная безопасность в финансовом секторе» является одной из традиционных для нашего издания. Любой инцидент, сколь угодно серьезный, чреват репутационными издержками, некоторые инциденты приводят к существенным финансовым потерям, а некоторые – к тому, что банковские системы оказываются парализованными. 

Особую популярность приобрели вредоносные программы для мобильных устройств, а одним из главных объектов атаки становятся платежные системы и платежная инфраструктура финансовых организаций.

С учетом этого мы хотели бы предложить в качестве первой темы обсуждения следующую – есть ли сейчас способы и возможности противостоять целевым атакам на платежные инфраструктуры. Что можно предпринять, чтобы не допустить печальных последствий и для финансовых организаций, и для их клиентов? 

З. БОРОВКОВА: Одна из ключевых проблем, конечно, в бурном росте инсайда. Мы уже сейчас видим, что «на рынке» продаются базы данных банков – причем в этих базах можно найти информацию не только о клиентах финансово-кредитных организаций, но и об их сотрудниках. Причем, что особенно тревожно, сейчас можно говорить о том, что на нашем рынке начинают работать не только русскоговорящие хакеры, но и европейские, и азиатские преступные группировки. Так что тут можно констатировать следующее – банкам следует быть готовыми к тому, что атаки на их информационные системы и платежные сервисы станут более массированными и целенаправленными.

Д. ФРОЛОВ: Я бы хотел сказать несколько слов о Центре/FinCERT, созданном при Главном управлении безопасности и защиты информации Банка России. Понятно, что если на государственном уровне создается система противодействия и ликвидации компьютерных атак, то это говорит об актуальности данной проблемы. 

Одна из главных задач, которую мы ставим перед собой – это создание доверительной среды между финансовыми организациями, налаживание взаимодействия между ними, в том числе, и с точки зрения обмена информацией об инцидентах. 

Если говорить о трендах, то мы наблюдаем все более активное использование такого инструмента, как «дропы». Но самой большой проблемой, на наш взгляд, является рост в процентном отношении количества мошеннических действий по отношению к количеству совершаемых транзакций.  

NBJ: А чем вы объясняете этот самый рост? Возможно, он зависит от вступления в силу знаменитой 9-й статьи 161-ФЗ, в соответствии с которой банки обязаны возмещать клиентам убытки, понесенные теми в результате мошеннических операций?

Д. ФРОЛОВ: Мягко говоря, 9-я статья работает не в полную силу, поэтому я бы не стал увязывать одно с другим. Мне кажется, это более системная проблема, и ее невозможно объяснить, только списав все на новации, внесенные в законодательств.

З. БОРОВКОВА: Дело в том, что сейчас атаки все чаще направляются не на клиентов, а на информационные системы банков, и воруют средства все чаще не с клиентских счетов, а с корреспондентских счетов кредитно-финансовых организаций.  

NBJ: А почему, на Ваш взгляд, для мошенников стало более выгодным делом похищение средств с коррсчетов банковских организаций? С одной стороны, понятно, что в этом случае можно больше украсть, но, с другой стороны, очевидно, что взломать банковскую систему – задача совершенно иного порядка, чем взломать защиту конечного пользователя ДБО. Пользователь обычно хуже осведомлен о стандартах защиты информации, ленится выполнять рекомендации, ставит бог знает какую защиту на свой компьютер и мобильные устройства…

З. БОРОВКОВА: С одной стороны, все так, как вы говорите, но в теории. А на практике – вот совсем недавно были совершены мошеннические действия, которые привели к несанкционированному списанию денежных средств, причем невольными соучастниками этого преступления стали операционисты этой кредитной организации. 

NBJ: Хотелось бы обратиться и к другим участникам нашего круглого стола с вопросом, изменился ли, по их мнению, в последнее время ландшафт компьютерных угроз? И, если да, то насколько сильно?

А. СИНЕОКА: Знаете, я бы сказал, что новые угрозы появляются и в сфере «неинтеллектуального» мошенничества. Наглядный тому пример – накачка банкомата газом с последующим его подрывом. Никаких особых технических познаний здесь не требуется, что не мешает мошенникам достигать желаемого для них результата.

Воспользовавшись случаем, я хотел бы задать вопрос представителям регулятора, принимающим участие в заседании круглого стола: планируется ли разработка некоторой отраслевой модели, в рамках которой перечислялись бы основные новые угрозы, рекомендации по противодействию им и т.д.

Д. ФРОЛОВ: Мы готовим проект стандарта, связанный с расследованием инцидентов в платежных системах. Этот стандарт будет соответствовать международным аналогам в данной сфере. После того, как проект пройдет первую «обкатку», он будет обсуждаться банковским сообществом, и мы планируем, что к концу следующего года он будет утвержден. Но я хотел бы особо подчеркнуть: в нем не будет идти речь о моделях угроз, в первую очередь будут перечислены уязвимости.

NBJ: Вы сказали, что представители банковского сообщества будут обсуждать стандарт, а будут ли они участвовать в его разработке?

Д. ФРОЛОВ: Безусловно. Более того – они уже принимают участие в этом процессе.

А. ВИНОГРАДОВ: Насколько мне известно, тот стандарт, который сейчас пишется Банком России, рассматривает в качестве модели угроз только персональные данные клиентов. Банковская тайна в перечень угроз не входит. Соответственно, все банки должны делать свою модель угроз, которую должны выстраивать либо с учетом данных ФСБ, либо на основании документов ФСТЭК. Существует Технический комитет № 122, в котором присутствуют как банки, так и интеграторы. Вход для всех свободный – достаточно подать заявление об участии в работе комитета. 

М. ЛЕВАШОВ: Несколько слов по поводу стандартизации. Я совершенно согласен с Александром (Виноградовым. – Прим. ред.) в той части, которая касается Технического комитета № 122. Кроме него, есть различные некоммерческие партнерства и ассоциации, есть Национальный Совет финансового рынка (НСФР), есть площадки Ассоциации российских банков, Национального Платежного Совета. Так что Вы сами можете убедиться в том, что различные форматы для обсуждения и выработки коллективных решений и рекомендаций существуют.

Теперь что касается видов угроз. Три года назад очень опасной угрозой были мошеннические электронные платежные документы (транзакции) в системе ДБО. Потом, возросла актуальность угроз нулевого дня, и мы наблюдаем их реализацию во многих банках.

Противоядие против первого вида угроз мы нашли в создании системы антифрода, которая практически свела к нулю реализацию мошеннических транзакций. Второй вид угроз успешно купировался путем внедрения в практику интеллектуальных программ, способных делать поведенческий анализ подозрительного ПО и вылавливать неизвестный ранее «зловред». Должен сказать, что наш опыт показал эффективность этой борьбы.

NBJ: Тем не менее враг вряд ли успокоился, и затих.

М. ЛЕВАШОВ: Конечно, не успокоился. Злоумышленники никогда не дремлют. Появляются действительно сложнейшие системы, на производство которых были затрачены огромные деньги. Но это закон борьбы: противник всегда изобретает что-то новое, а нам приходится его догонять.

NBJ: Это связано с кризисом?

Е. АКИМОВ: Безусловно. Смотрите, часто люди вынуждены искать новую работу, и, не находя ее, они «переходят на сторону зла». Это даже в большей степени относится к сфере ИБ, так как общество до сих пор продолжает считать преступления в компьютерной сфере не столь уж достойными осуждения.

NBJ: Еще одним вопросом, который мы хотели бы затронуть в рамках нашего круглого стола, является вопрос взаимодействия с правоохранительными органами. Раньше они не хотели заводить дела по данным видам преступлений, ссылались на то, что банки не предоставляют им необходимой информации для проведения расследований и т.д. Появляется ли какой-либо свет в конце тоннеля в данном вопросе?

Д. ФРОЛОВ: Проблема в том, что у правоохранительных органов действительно свое видение ситуации в соответствии с процессуальным и уголовным кодексами.

Тем не менее я должен сказать, что есть и положительные сдвиги. По линии FinCERT планируется заключение соглашения между Банком России и Федеральной службой безопасности. У нас также работает соглашение с Генеральной Прокуратурой и соглашение с МВД. Но мы понимаем, что необходимо все это повернуть в практическую плоскость. Проблем здесь очень много. Мошенничество набирает силу, а специалистов по компьютерной криминалистике, увы, явно недостаточно. Поэтому так часто сталкиваемся с прецедентами, когда дела заводятся неохотно, следователи перебрасывают их друг другу и т.д. 

NBJ: Мы наблюдаем, как с завидной регулярностью меняется закон о персональных данных, который часто становится препятствием на пути обмена информацией о «дропах». Предпринимаются ли попытки внести в него изменения, которые позволили бы снять эти препятствия?

Д. ФРОЛОВ: В 2014 году Банк России и ряд профильных ассоциаций подготовили законопроект о внесении изменений в Уголовный Кодекс и Уголовно-процессуальный кодекс с целью детализации таких понятий, как место совершения преступления, несанкционированная платежная операция и т.д. К сожалению, есть опасения, что наши предложения не будут приняты, потому что процесс согласования идет очень сложно. Если регулятор рынка и участники рынка объединят свои усилия в этом вопросе, то нам все же удастся добиться положительных результатов.

А. ВИНОГРАДОВ: Я выскажу исключительно свое личное мнение, не представляя в данном случае свою организацию. Мы собирались вместе с представителями правоохранительных органов и с законодателями, и мы видим, что и те, и другие придерживаются в данном случае позиции «не навреди». Это можно понять, как можно понять и стремление банковских «безопасников» создать досье «дропперов». 

Вопрос очень сложный и тонкий. Возможно, лучше все же продолжать бороться со следствиями, чем с причинами, потому что в противном случае борьба может завести нас слишком далеко.

NBJ: Как известно, до санкций мы привыкли ориентироваться в сфере ИБ на международные стандарты. Сейчас у нас появляется собственная платежная система, идут разговоры о том, что может появиться и собственный национальный стандарт под НСПК. Как полагают участники обсуждения, есть ли необходимость в таком стандарте или это просто дань нынешней моде?

А. ДРОЗДОВ: Мое личное мнение: международные стандарты потому и называются международными, что они являются инвариантными по отношению к специфике различных стран. Грубо говоря, пока у нас пользуются картами МПС, будет действовать и стандарт PCI DSS. Другое дело, что надо дополнять лучшие международные практики российскими требованиями, которые являются специфичными для нашей страны.

Международный стандарт не только не препятствует формулировке национальных требований – он настаивает на выполнении национального законодательства. Так что с этой точки зрения как раз все нормально.  

А. ГОЛЬДШТЕЙН: PCI DSS был когда-то написан для сервис-провайдеров, а не для финансово-кредитных организаций. И именно это обстоятельство породило большое число проблем, когда этого стандарта стали придерживаться наши банки.  

Второй немаловажный момент, который я хотела бы отметить, – любой стандарт, каким бы совершенным он ни был, нереализуем без безопасности софта. Если это условие не выполняется, то банки становятся заложниками программного обеспечения.  

NBJ: Мы полагаем, что нам действительно удалось обсудить в рамках заседания этого круглого стола очень важные проблемы, и очевидно. Вывод, к которому мы пришли, – спасение во взаимодействии всех вовлеченных субъектов (банков, разработчиков, регулятора рынка, правоохранителей и законодателей) – вряд ли может быть оспорен или поставлен под сомнение.