Обеспечение информационной безопасности банков – тема, не теряющая своей актуальности уже многие годы. Она требует повышенного внимания со стороны регуляторов, руководства организаций банковской системы РФ и специалистов по ИБ ввиду несовершенства систем обеспечения информационной безопасности кредитных организаций и большого количества инцидентов, связанных с несанкционированным списанием денежных средств со счетов клиентов. Причин несовершенства системы обеспечения ИБ банков множество. Отдельно хочется рассмотреть одну, на наш взгляд, очень важную проблему – недостаточную эффективность мероприятий по повышению осведомленности клиентов банков в вопросах обеспечения ИБ.

Рассуждая об информационной безопасности сферы банковских услуг, стоит отметить важность участия в ее обеспечении как самих банков, так и их клиентов. Никакой, даже самый современный и дорогостоящий комплекс мер обеспечения ИБ, принятый на стороне кредитных организаций, не будет эффективен без соблюдения клиентами требований по ИБ. Чтобы клиенты придерживались определенных мер безопасности, усилия в этом направлении должны приложить именно банки.

Почти все организации банковской системы РФ на сегодняшний день активно развивают услуги дистанционного банковского обслуживания (ДБО) и обслуживания банковских платежных карт. Именно по этим направлениям целесообразно проводить мероприятия по повышению осведомленности в области ИБ среди клиентов. Цели повышения осведомленности клиентов явные: снижение вероятности потерь денежных средств по причине несоблюдения клиентами элементарных мер предосторожности при осуществлении платежей и связанных с этим негативных последствий и проблем как для банков, так и для самих клиентов. Конечно, в защиту клиентов выступает статья 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе», которая обязывает кредитные организации возмещать клиентам денежные средства, потерянные в результате несанкционированных электронных платежей, если только отсутствуют доказательства, что инцидент произошел по вине самого клиента, не соблюдавшего правила пользования системой ДБО. Среди банковского сообщества вступление в силу данной статьи с 01.01.2014 вызывает лишь массу беспокойств; выполнение соответствующих требований Банка России, теперь уже обязательных с выходом «Положения о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» от 09.06.2012 № 382-П.

К сожалению, не все банки уделяют должное внимание информированию своих клиентов по вопросам ИБ. Зачастую на сайтах кредитных организаций встречается гораздо больше материалов, направленных на повышение информированности клиентов о банковских продуктах и услугах, ориентированных на увеличение продаж и лояльности клиентов, но не рекомендаций по ИБ при пользовании теми же продуктами и услугами. Даже при наличии соответствующих рекомендаций на сайтах банков бывает слишком трудно обратить на них внимание из-за того, что они размещены не на видном месте. Это говорит о недостаточной проработанности данного вопроса. По опыту специалистов компании LETA, сформировавшемуся в ходе проведенных в банках проектов, такая ситуация встречается довольно часто: банки все же выполняют необходимый минимум требований по повышению осведомленности клиентов, однако не уделяют должного внимания качеству их выполнения.

Для того чтобы повышение осведомленности клиентов в вопросах ИБ было эффективным, рекомендуем придерживаться следующих правил.

Необходимо разработать качественные и по возможности краткие и емкие рекомендации по вопросам ИБ при пользовании услугами ДБО и банковскими картами. Их следует доводить до сведения клиентов при заключении договоров на услуги в форме памятки на бумажном носителе, а также разместить на главной странице сайта и на информационных стендах в отделениях банка.

Надо уделять повышенное внимание доступности рекомендаций по ИБ как в отношении мест размещения информации, так и в отношении формулировок. Наиболее эффективный способ – размещение рекомендаций в соответствии с предполагаемым видом операций клиентов. Например, рекомендации по безопасному пользованию банкоматами расположить вблизи мест их установки, а также по возможности в приветственном сообщении на экране банкомата, а меры предосторожности при использовании систем ДБО – на странице входа в систему. Следует помнить, что рекомендации ориентированы на обычных пользователей банковских услуг, не являющихся специалистами по ИБ.

При возникновении инцидентов ИБ, повлекших утечку денежных средств со счетов клиентов либо создавших предпосылку к этому, необходимо дополнительно информировать клиентов о мерах предосторожности любыми доступными способами: размещать соответствующую информацию на главной странице сайта банка, а также по возможности в новостном разделе системы ДБО, осуществлять рассылку по электронной почте при наличии соответствующего согласия клиента, рассылку SMS-сообщений с краткой информацией об инциденте и ссылкой на подробный материал.

Поддерживать актуальность разработанных памяток, добавляя при необходимости новые рекомендации, и доводить до сведения клиентов изменения и дополнения перечисленными выше способами.

Уже упомянутое Положение № 382-П определяет следующие темы рекомендаций для обязательного доведения до сведения клиентов банков: рекомендации по защите информации от воздействия вредоносного кода; рекомендации по защите информации от несанкционированного доступа путем использования ложных (фальсифицированных) ресурсов сети Интернет; информацию о возможных рисках получения несанкционированного доступа к защищаемой информации с целью осуществления переводов денежных средств лицами, не обладающими правом распоряжения этими денежными средствами, и рекомендуемые меры по их снижению.

Перечисленный перечень рекомендаций не является исчерпывающим – банковскими организациями может быть освещен широкий круг вопросов. Примером качественных рекомендаций и своеобразным ориентиром выбора тем для информирования клиентов могут служить Письмо Банка России от 02.10.2009 № 120-Т «О памятке «О мерах безопасного использования банковских карт» и Письмо Банка России от 07.12.2007 № 197-Т «О рисках при дистанционном банковском обслуживании», которые содержат рекомендации по следующим темам:

• общие рекомендации;
• рекомендации при совершении операций с банковской картой в банкомате;
• рекомендации при использовании банковской карты для безналичной оплаты товаров и услуг;
• рекомендации при совершении операций с банковской картой через сеть Интернет;
• меры предосторожности при использовании систем ДБО.

Стоит отметить растущий интерес Банка России к контролю выполнения организациями банковской системы РФ обязательных требований по ИБ. С большой вероятностью можно утверждать: подобная деятельность регулятора подтолкнет банки к пониманию того, что нужно уделять больше внимания принятию мер по защите информации. Можно также надеяться на улучшение ситуации и в вопросе повышения осведомленности клиентов банков в отношении ИБ.