Вице-президент банка ВТБ Карл СУММАНЕН в интервью NBJ в 2013 году рассказал о том, как можно построить действующую эффективную систему информационной безопасности (ИБ) и какие для этого необходимо предпринять шаги.

NBJ: Карл Тайстович, система противодействия угрозам ИБ должна включать как минимум три компонента: законодательство, процессы и технологии. На ваш взгляд, какая из этих составляющих является наиболее проблематичной для российских банков и почему?

К. СУММАНЕН: Я действительно считаю, что работающая эффективная система безопасности должна быть комплексной и включать три компонента. Из перечисленных составляющих на сегодняшний день наиболее проблематичной для российских банков и других участников национальной платежной системы являются технологии. Самое слабое звено ИБ - это клиент, пользователь систем дистанционного банковского обслуживания (ДБО). Я говорю только о ДБО, то есть о совершении платежей через дистанционные каналы. Вопрос безопасности использования пластиковых карт затрагивать не буду, поскольку там совершенно другие подходы к обеспечению ИБ, и эти две темы нельзя смешивать.

Подавляющее большинство хищений при ДБО происходит в результате грубого нарушения клиентом требований безопасности. Меньшее число киберкраж происходит за счет хакерских атак на компьютер клиента. И мне неизвестны случаи хищения в результате атак на внутренние системы кредитной организации.

Слабое звено - в данном случае человек - играет ключевую роль, потому что использование существующих инструментов защиты является сложным для клиента. К сожалению, данная проблема пока не нашла решения, несмотря на все усилия, которые предпринимает мировое сообщество для того, чтобы сделать эффективные средства безопасности элементарными в применении.

Конечно, в любом случае правильное использование инструментов защиты требует от клиента определенных знаний, дисциплины, следования конкретным и не всегда простым инструкциям. Банки же зачастую вместо аккуратного, последовательного и скрупулезного соблюдения всех требований ИБ сталкиваются с довольно недисциплинированным подходом наших пользователей. Бороться с этой проблемой можно двумя способами: во-первых, нужно работать с клиентами, обучая их и объясняя им, как последовательно соблюдать все требования безопасности, во-вторых, использовать технологии. Если удастся сделать средства защиты простыми в применении и менее зависимыми от дисциплинированности и грамотности пользователя, то есть от человеческого фактора, это в значительной мере решит проблему атак. К ней косвенно примыкает вопрос законодательства, которое при правильном построении может либо способствовать соблюдению клиентом требований безопасности, либо игнорировать этот процесс. Если законодательство построено так, что пользователь отвечает за свои действия, то он будет аккуратен в своих поступках, а если оно не возлагает ответственность на клиента, то ему незачем соблюдать требования безопасности, ведь он и так защищен законом. К сожалению, сегодняшнее законодательство построено по принципу безответственности клиента. Но мы к этому вопросу еще вернемся.

NBJ: Определенный круг проблем ИБ связан с различными уровнями безопасности банков, с разночтениями в правилах и с многочисленными отличиями внутренних процессов. Можно ли как-то решить данный вопрос?

К. СУММАНЕН: То, что у банков разные процессы, подходы и решения, - неплохо. Плохо, что появляются кредитные организации, у которых уровень безопасности ниже должного. И происходит это по двум причинам. Во-первых, из-за непрофессионализма тех людей, которые реализуют для финансовой системы управление безопасностью. В прошлом были случаи, когда способные, умные, но непрофессиональные в области ИБ сотрудники банков реализовывали самостоятельно разработанные инструменты защиты. При этом они просто не знали о существовании определенных угроз, поэтому не учитывали их. В результате появлялись средства безопасности с уязвимостями. Компании, которые поставляют промышленные решения, обладают богатым опытом и учитывают практически все известные угрозы, поэтому решения, которые они предлагают, как правило, максимально эффективны.

Вторая причина появления банков со слабыми системами безопасности - это конкуренция на рынке. Есть принцип, который заключается в следующем: чем выше безопасность, тем меньше удобств для клиента. Данный принцип в сочетании с конкуренцией заставляет банки сознательно снижать уровень защиты систем ДБО. В этой ситуации кредитные организации, стремясь сделать продукт максимально удобным и конкурентоспособным, могут переходить допустимую грань и опускать безопасность системы ДБО ниже оптимального уровня.

NBJ: Что делать в такой ситуации?

К. СУММАНЕН: Если у банков есть стимулы понижать безопасность, то, наверное, должен подключиться регулятор, который установит некий минимальный уровень стандартов в части обеспечения ИБ. Я не веду речь о нормативе, обязательном к применению, поскольку сейчас это невозможно и вряд ли когда-либо станет возможным. Скорее, это набор принципов, которым кредитные организации должны стремиться соответствовать. Регулятор мог бы, например, такие принципы сформулировать в документе, а банки на добровольной основе присоединились бы к этим требованиям в системах ДБО, что послужило бы для клиентов неким показателем должного уровня безопасности финансового учреждения.

NBJ: Эксперты говорят, что настало время объединить усилия представителей банковского сообщества в борьбе с мошенничеством в киберсреде. Каким вы видите данный процесс и почему дело ограничивается лишь разговорами?

К. СУММАНЕН: Я не соглашусь, что дело ограничивается только разговорами. На самом деле идет динамичный процесс взаимодействия различных участников, в том числе Центрального банка Российской Федерации, правоохранительных органов, Национального платежного совета, которые обсуждают, как должны вырабатываться принципы безопасности при ДБО. Возможно, этот процесс еще не достиг своего завершения, потому что в моем понимании в результате должна появиться некая организационно оформленная на национальном уровне структура взаимодействия между участниками, система, управляемая одним координирующим центром.

В какой форме это можно сделать? Как вариант напрашивается создание некоего координационного органа (совета) под эгидой одной из профильных организаций, занимающейся регулированием национальной платежной системы и обладающей необходимыми ресурсами, своего рода площадки, на которой будут общаться представители различных ведомств (правоохранительных, судебных органов), Центрального банка, коллективных сообществ (Ассоциации российских банков, Ассоциации «Россия», Национального платежного совета), отдельных банков, наиболее квалифицированные эксперты рынка. Этот совет должен заняться разработкой принципов коллективной системы противодействия мошенничеству. Данный вопрос находится на стадии обсуждения, я надеюсь, что он будет решен и что такая система взаимодействия появится.

NBJ: Можно ли создать систему информационной безопасности банка, где для мошенников просто не останется места? Что необходимо сделать, чтобы преступники не обгоняли законопослушную часть общества?

К. СУММАНЕН: В широком смысле системы информационной безопасности ДБО уже созданы. Те средства защиты, которые сейчас применяются в ДБО, при условии аккуратного соблюдения клиентами банка всех требований уже практически безопасны, и там мошенникам места нет. Место для них появляется в результате ошибок или несоблюдения клиентами правил.

Если говорить о том, можно ли создать систему безопасности, которая бы вообще не зависела от человеческого фактора, то ответ будет отрицательным. Необходимо стремиться ослабить влияние этого фактора в том числе технологическими средствами, придумывая такие способы защиты, чтобы от людей мало что зависело. Но системы безопасности, абсолютно не зависящей от человека, не бывает, что подтверждает мировая практика. Например, трагическая ситуация на Чернобыльской АЭС, где существовало несколько эшелонов защиты, которые были отключены людьми, показывает, что риск нарушения человеком правил безопасности никакими технологическими средствами не может быть сведен к нулю.

Тем более не надо забывать о принципе «чем выше безопасность, тем меньше удобств для клиента». Участники национальной платежной системы (кредитные и другие организации) находятся в жесткой конкурентной среде, которая вынуждает снижать уровень безопасности ради удобства обслуживания. Не стоит ожидать, что какой-то банк закрутит гайки в системе безопасности, но при этом останется без клиентов, которые просто перейдут в другие финансовые учреждения. Каждый человек решает для себя вопрос, где ему обслуживаться. Есть клиенты, для которых безопасность имеет абсолютный, наивысший приоритет, и они останутся в банках, предлагающих им максимально защищенные системы. Но таких клиентов очень мало. Основная масса людей ищет баланс, когда присутствует достаточный уровень безопасности, но при этом предоставляются определенные удобства в работе. Поэтому финансово-кредитные организации должны искать некую золотую середину по принципу «клиенту еще удобно, а мошеннику уже невыгодно».

NBJ: Как вы оцениваете существующую редакцию Закона «О национальной платежной системе» с точки зрения ИБ? Какие аспекты ИБ учтены, какие - нет?

К. СУММАНЕН: С точки зрения информационной безопасности закон на детальном уровне ничего не регулирует. Закон установил принцип безусловного права клиента требовать деньги, списанные с его счета, обратно при выполнении определенных условий. В том числе это право распространяется на физических лиц, которые могут потребовать свои средства обратно, никак не объясняя, что же все-таки произошло. И банк обязан вернуть деньги, после чего будет пытаться каким-то образом доказать, что хищение произошло в результате неправильных действий клиента. На мой взгляд, это абсолютно нереализуемая схема, поскольку кредитная организация не имеет ни средств, ни возможностей, ни прав проводить расследование. Ей придется доказывать, что клиент что-то нарушил, при том что клиент имеет право не свидетельствовать против себя и не давать банку никаких разъяснений.

Эта норма закона, по моему мнению, не способствует обеспечению безопасности в национальной платежной системе, потому что она снимает ответственность с одной из сторон процесса. Как мы уже говорили, безопасность определяется рядом факторов, в том числе таким звеном, как клиент, который должен придерживаться определенных правил. Только при соблюдении этого условия можно построить систему безопасности. Если с клиента обязательства снимаются (а именно так и происходит из-за данной формулировки закона), то создание системы безопасности становится просто невозможным.

Получается, что мы, с одной стороны, законопослушным клиентам даем посыл не напрягаться и не следовать требованиям безопасности, а с другой стороны, мошенникам предоставляем способ, с помощью которого можно воровать деньги. Поэтому я считаю, что девятая статья Федерального закона № 161-ФЗ должна быть изменена, в частности необходимо четко определить обязанности сторон по обеспечению безопасности. Банк должен гарантировать клиенту определенный уровень защиты, который при условии соблюдения всех требований кредитной организации убережет пользователя от мошеннических действий. Как я уже говорил, тех средств безопасности, которые есть на сегодняшний день, уже достаточно, чтобы выполнить эти требования, - минимальный уровень защиты уже обеспечен.