Во время глобальной рецессии специалистам по ИБ в банках приходится сражаться с внешним врагом, ставшим еще более агрессивным и изобретательным, и не забывать про внутренние, инсайдерские угрозы, также усилившиеся в разы. Еще одна важная задача - пытаться соответствовать требованиям регулятора и лоббировать внесение поправок в «неудобный» закон «О персональных данных». О разнообразных вызовах, которые диктует непростое время, НБЖ рассказал начальник управления информационной безопасности Россельхозбанка Артем СЫЧЕВ.

НЕ УНИКАЛЬНЫЙ КРИЗИС

НБЖ: Артем Михайлович, как кризис повлиял на ситуацию в сфере информационной безопасности банков?

А. СЫЧЕВ: В течение последнего года на сферу ИБ оказывали влияние два важных фактора. Первый - действительно следствие глобального кризиса. Кризисные явления привели к тому, что источников заработка у населения стало меньше и, как следствие, желание быстро получить деньги резко возросло. Поэтому можно говорить о том, что распространение схем мошенничества, связанных с информационными технологиями, получило новый импульс. Явно увеличилось количество атак на финансовые активы клиентов банков, повысился интерес к самим кредитным организациям и к тем технологиям, которые они используют. Также активизируются субъекты, готовые заниматься инсайдерской деятельностью. Ничего удивительного и неожиданного в этих тенденциях нет, так как во время рецессии подобные вещи обязательно происходят. А вот второй фактор, оказывающий серьезное влияние на работу банковских служб ИБ, некстати «наложился» на эту ситуацию.

НБЖ: Вы имеете в виду «многострадальный» и широко обсуждаемый закон «О персональных данных», который должен вступить в силу с нового года?

А. СЫЧЕВ: Да. Этот фактор просто совпал по времени. В чем здесь основная проблема? Дело не в том, что закон не нужен или несвоевременен. Безусловно, он необходим, так как развивает европейскую конвенцию о защите прав субъектов персональных данных, упорядочивает отношения между субъектом ПД и тем, кто обрабатывает эту информацию. Но формулировки закона и подзаконных актов, к сожалению, далеки от совершенства. Весь комплекс документов, связанный с законом, предъявляет одинаковые требования и к банкам, и к телекоммуникационным компаниям, и к детским садам. На деле реализуется принцип «всех под одну гребенку». Не обращается никакого внимания на масштабы оператора ПД, на меры, технологии, средства безопасности, которые им уже применяются. То, что для всех устанавливаются одни и те же правила, без учета отраслевой специфики - неправильно.

В отношении банков такой подход вызывает удивление, так как для кредитной организации клиент, настоящий и потенциальный, - это один из важнейших активов. Поэтому банки изначально уделяют защите клиентских данных повышенное внимание. Даже когда, к примеру, финансовый институт привлекает к работе коллекторские агентства, он продолжает соблюдать все меры безопасности. Банки вынуждают заниматься тем, что попросту не нужно, пытаются навязать минимизацию тех рисков, которые в деятельности кредитных структур просто не возникают.

НБЖ: Если впрямую исполнять все подзаконные акты, что ненужного банку придется делать?

А. СЫЧЕВ: Например, совершенно избыточно все операционные залы обеспечивать защитой от утечек по речевым каналам. Во-первых, с функциональной точки зрения, с точки зрения тех угроз и рисков, которые возникают в деятельности банка, в этом нет никакой необходимости. Во-вторых, финансово это очень накладно даже для крупных банков.

Еще один момент: в связи с этим законом банки должны заниматься огромным количеством бумажной работы, которая никакого отношения к обеспечению информационной безопасности не имеет. Более того, сам закон создает замечательную базу для того, чтобы при желании нарушить нормальную жизнедеятельность кредитных организаций, забросав их бестолковыми запросами. Уже есть правоприменительная практика, которая свидетельствует о том, что суды, даже в случае явной правоты банка, встают на сторону субъектов ПД. Да, пока это не распространенное явление, но законодателям стоило бы задуматься об этом.

Сейчас банковское сообщество под эгидой АРБ подготовило ряд поправок в закон. Они будут полезны не только кредитным структурам, но и крупным промышленным структурам, страховым компаниям и телекоммуникационному бизнесу, которые страдают от несовершенства формулировок закона не меньше банков.

НБЖ: Когда кризис закончится, разгул мошенничеств моментально прекратится?

А. СЫЧЕВ: Отголоски будут чувствоваться еще несколько лет. И сегодняшняя обострившаяся ситуация, повторюсь, не уникальна. Да, сейчас проблемы выплыли наружу, все проявляется ярко. Но мысль человеческая не стоит на месте. Так что в будущем количество мошенничеств будет сокращаться, однако наверняка появятся новые противоправные схемы, методы и инструменты.

ИГРЫ, В КОТОРЫЕ ИГРАЮТ ЛЮДИ

НБЖ: Какая мошенническая схема сейчас наиболее популярна?

А. СЫЧЕВ: Классическая схема, которую ощутили на себе большинство банков, использующих технологии дистанционного банковского обслуживания. Она выглядит следующим образом: ключи электронно-цифровой подписи, которыми пользуются клиенты, воруются с помощью «троянских коней», вирусов различной модификации. После чего происходит незаконное списание финансовых средств с клиентских счетов. А для того, чтобы замести следы, на банк, в редких случаях - на клиента, организуется DDOS-атака. Схема простая и действенная. Особенно с учетом того, что большинство клиентов банков никогда в жизни не задумывались о вопросах информационной безопасности. И даже не слышали о подобных угрозах.

НБЖ: То есть удаленный и электронный банкинг для служб ИБ - это главная головная боль?

А. СЫЧЕВ: Удобство в чем-то одном рождает неудобство в другом. Неудобства, причиняемые банкам удаленным банкингом, безусловно, прибавляют забот службам информационной безопасности, но они не критичны. Главное - помнить, что любая такая проблема стара как мир: защита всегда на полшага отстает от мысли тех, кто хочет эту защиту «пробить». Здесь важно все время быть в курсе событий. Отслеживать ситуацию, видеть новые угрозы. В банках на более высоком уровне, на уровне стандартов, должна быть создана система управления инцидентами. И по результатам выявления инцидентов в обязательном порядке должны совершенствоваться системы обеспечения информационной безопасности.

НБЖ: Что конкретно банк может сделать, чтобы защитить и себя, и клиентов электронного банкинга?

А. СЫЧЕВ: С одной стороны, применяются технические меры. Мы переходим на использование таких носителей ключевой информации, которые не позволяют извлекать ключи ЭЦП или делают процесс их извлечения крайне затруднительным. С другой стороны, важны организационные меры. Нужно планомерно повышать уровень осведомленности клиентов, разъяснять им, что происходит, какие угрозы актуальны. Еще один немаловажный момент -постоянный контакт с нашими внутренними подразделениями. Например, операционные работники по движению средств могут определить, что перевод носит необычный характер: юр-лицо  переводит большую  сумму на счет физического лица в другом регионе, причем ранее никогда таких операций не проводилось. В этом случае стоит позвонить клиенту и проверить, легитимна ли такая операция. Также важны контакты с коллегами из других банков, с которыми нужно взаимодействовать, предпринимать совместные шаги, чтобы мошенничество не привело к финансовому ущербу клиента и банка. Да, в части бизнеса наши организации могут быть конкурентами, но когда речь идет о мошенниках - это общее дело.

НБЖ: А какая угроза в кризис все-таки страшнее - внешняя или внутренняя, инсайдерская?

А. СЫЧЕВ: На мой взгляд, инсайдерской угрозы без внешней помощи не бывает. Сложно себе представить, что сидит в банке сотрудник и от нечего делать размышляет, чем бы ему таким навредить любимой организации. Обязательно присутствуют факторы, побуждающие человека заняться противозаконной деятельностью. Как правило, это заказ на какой-то конкретный поступок. Заказ может быть разный, например, чисто финансовый: мы вам деньги - вы нам информацию. Либо задействуется фактор социального характера - отсутствие денег в семье, страстная любовь к игровым автоматам, неудовлетворенность своим положением и т. д. Тогда человек принимает решение: надо использовать те возможности, которые у него есть для неправомерного получения информации.

Если говорить о кризисе, то стоит отметить, что он породил еще одну серьезную проблему: сокращение штатов в банках привело к тому, что большое количество достаточно квалифицированного персонала оказалось за пределами работодателя. Естественно, люди, обладая знаниями, начинают использовать их, как могут и умеют. И иногда в противоправных целях.

НБЖ: От оптимизации численности персонала в кризис зачастую никуда не деться.

А. СЫЧЕВ: Это так, но ведь что обычно делают? К примеру, сразу «рубят» персонал, который обеспечивал информационную безопасность, а также тех, кто обслуживал клиентов. На мой взгляд, это неправильный подход. Потому что эти люди как раз обладают весьма ценными знаниями о компании.

Второй момент: в организации не должны забывать о разных формах стимуляции персонала. Финансовые вознаграждения, дополнительное обучение - все это ликвидирует мотивацию поступать по отношению к работодателю неправильно. Также очень важно чувство стабильности, особенно для финансовой сферы. Человек ведь реально оценивает, что для него существеннее - иметь стабильный доход и продолжать заниматься любимым делом либо единожды обогатиться с непонятными последствиями. Как правило, большинство людей выбирает первый вариант.

В ВИДЕ ПОЭЗИИ

НБЖ: Как Россельхозбанку удается поддерживать информационную безопасность при такой сложной, разветвленной структуре офисов и подразделений, при огромном количестве сотрудников, клиентов, а значит - и потенциальных угроз?

А. СЫЧЕВ: Нужно понимать, что процесс выстраивания системы безопасности относится к числу непрекращающихся процессов. Что здесь принципиально? Во-первых, должно быть понимание важности вопросов безопасности со стороны руководства организации. У нас такое понимание есть. Во-вторых, важно взаимодействие специалистов ИБ с другими подразделениями: «информатизаторами», операционными работниками и т. д.

Следуя лучшим практикам, отраженным в комплексе документов по стандартизации информационной безопасности Банка России, мы стараемся, чтобы все новые бизнес-процессы в банке выстраивались с учетом вопросов безопасности. Мы подключаемся на стадии обсуждения того, как будет построен тот или иной бизнес-процесс. Уже на начальной стадии какие-то опасные моменты можно исключить, снять в принципе. Также важно, чтобы эти вопросы ложились не только на подразделение безопасности, чтобы были хорошие, грамотно выстроенные взаимоотношения со службой внутреннего контроля. Нередко их материалы - это как раз основа для дальнейшей работы по совершенствованию информационной безопасности. В-третьих, нужен хороший контакт с нашими специалистами в регионах.

НБЖ: На всех конференциях по вопросам ИБ обязательная тема для обсуждения -нехватка специалистов. Разве кризис не утолил кадровый голод?

А. СЫЧЕВ: Нет, эта проблема по-прежнему острая, даже несмотря на то, что люди «высвободились». Она вообще трудно решаемая. Поскольку информационная безопасность - очень специфичная область в плане подбора персонала. Специалист по ИБ банка должен быть профессионалом и в сфере информационных технологий, и в сфере безопасности и понимать специфику банковской деятельности. Найти таких специалистов крайне сложно. Особенно в регионах. Да, такие специальности в вузах есть. В последние годы вообще стало модно открывать направления по информационной безопасности, но качество подготовки специалистов оставляет желать много лучшего.

НБЖ: Но все-таки есть вузы, которым в этом вопросе можно доверять?

А. СЫЧЕВ: Да, в Москве это МГТУ им. Баумана, МИФИ и РГГУ. Каждый из них достаточно мощный вуз. По регионам можно выделить, безусловно, Санкт-Петербургский государственный политехнический университет, с очень серьезной подготовкой. Сильная кафедра - в Таганрогском технологическом институте. В общем, места есть, но их не так много. Понятно, что наша область меняется гораздо быстрее, чем происходит обновление учебных программ. Большая проблема - преподавательский состав. А во всех перечисленных вузах педагоги имеют прямое отношение к реальным проектам по информационной безопасности.

Как доучиваем сотрудников? Прежде всего им помогает опыт, который приобретается в ходе работы. Плюс прибегаем к помощи некоторых коммерческих учебных центров. Здесь важно выбирать. Потому что есть огромное количество абсолютно бесполезных семинаров. Безусловно, мы и самостоятельно готовим учебные материалы, у нас открыто внутреннее дистанционное обучение. В частности, чтобы специалисты в регионах, никуда не выезжая, могли повышать квалификацию.

НБЖ: В вопросы информационной безопасности нужно посвящать всех банковских служащих? Занимаетесь просветительской деятельностью?

А. СЫЧЕВ: Конечно, информационная безопасность хороша тогда, когда она вписана в общий процесс жизнедеятельности организации. Для этого нужно каждому сотруднику банка дать понять, зачем ему выполнять те или иные требования. Когда человек приходит на работу и знакомится с каким-то нормативным документом, еще и по непонятной безопасности, обычно он через минуту обо всех постулатах благополучно забывает. Мы понимали, что механизмы повышения осведомленности должны существовать, и разработали особенную памятку для пользователя. В стихах. Причем на доходчивом примере, что такое хорошо и что такое плохо. Гениальная форма, придуманная великим поэтом Маяковским. Эффект был весьма положительный. Получили отличные отзывы от самых разных подразделений.

НБЖ: Как вы выбираете компании-разработчики? В большей степени доверяете западным структурам или отечественному производителю?

А. СЫЧЕВ: Выбор компаний-исполнителей того или иного проекта осуществляется на конкурсной основе. Мы просим компании-претенденты отработать некую ограниченную «пилотную» зону, причем предоставить два-три варианта решения нужной нам задачи. Это обязательная практика, поскольку одни и те же услуги предоставляются сейчас очень многими компаниями. Конечно же, нам хочется получить оптимальное соотношение цены и качества. Мы должны быть уверены в том, что внедренное решение получит полноценное сопровождение. Как техническое, так и в части консалтинга и обучения персонала.

Не скрою, мы обращаем внимание и на опыт работы на рынке, но при этом готовы рассмотреть варианты сотрудничества с молодыми компаниями. Западные или российские? Если речь идет о продуктах, то надо смотреть на функционал. И выбор не будет зависеть исключительно от страны-производителя. Вместе с тем, поскольку для нас, как для банка со стопроцентно государственным участием, важны взаимоотношения с регуляторами, мы считаем правильным использовать услуги тех организаций, которые лицензированы либо ФСТЭК, либо ФСБ.

НБЖ: Некоторые специалисты сетуют на то, что при выборе известного разработчика приходится доплачивать за бренд.

А. СЫЧЕВ: Не согласен. С точки зрения ИБ переплаты за бренд не происходит. Имеет место логичное увеличение стоимости за счет оперативной и действенной технической поддержки и перспектив развития. В сфере информационной безопасности, как правило, понятно, почему возникает разница в цене. Поэтому важно выбирать, руководствуясь принципом: получаемое на выходе качество должно соответствовать деньгам, которые банк тратит на совершенствование систем информационной безопасности.