По мере развития высоких технологий появляются новые риски и угрозы, весьма серьезные и финансово ощутимые, если речь идет о банковской деятельности. О том, как банки могут минимизировать подобные риски, как они могут добиться повышения уровня зрелости своих систем информационной безопасности, о проблемах ИТ-аутсорсинга в России и о том, как Банк России выбирает компании-подрядчиков для реализации своих многочисленных ИТ-проектов, рассказал в интервью NBJ в 2012 году заместитель председателя Банка России Михаил СЕНАТОРОВ.

NBJ: Михаил Юрьевич, как изменилась, с вашей точки зрения, роль ИТ в банковском секторе в посткризисный период? На что, по вашим наблюдениям, направлена ИТ-активность банков и каковы основные задачи ИТ в настоящее время?

М. СЕНАТОРОВ: Давайте при ответе на ваши вопросы я буду исходить из того, чем занимается департамент информационных систем Банка России. На мой взгляд, одна из главных задач, которая стоит перед нашими банками, - это задача обеспечения информационной безопасности и защиты персональных данных. И в этом смысле финансово-кредитным организациям очень помогает выполнение рекомендаций стандарта информационной безопасности Банка России (СТО БР ИББС). Данный стандарт в свое время был разработан и написан для ЦБ, но он содержит много общих положений, которые могут быть перенесены на платформу коммерческих банков. Поэтому нет ничего удивительного в том, что многие финансово-кредитные организации взяли его за основу для развития своей собственной системы информационной безопасности.

NBJ: Выполнение этого стандарта является обязательным для банков?

М. СЕНАТОРОВ: Нет, банки могут ему не следовать, могут разрабатывать собственные стандарты или пользоваться другими стандартами, в том числе и международными. Но в СТО БР ИББС обобщены лучшие практики российского и международного опыта стандартизации. Стандарт, разработанный нами, прост, понятен и удобен, выполнять его рекомендации всегда было полезно, а сейчас особенно. Ведь не секрет, что банки все чаще сталкиваются с попытками - удачными или нет - хищения средств и персональных данных клиентов. Ущерб от этой деятельности оценивается в сотни миллиардов долларов по всему миру. Российские банки тоже не обойдены вниманием криминальных структур, и для них это представляет достаточно серьезную проблему, с которой надо бороться. СТО БР ИББС - тот самый фундамент, на котором финансово-кредитные организации могут выстраивать собственные системы безопасности. Участники рынка это осознают и присоединяются к стандарту добровольно, а не под нашим нажимом.

NBJ: Но, судя по всему, присоединяются далеко не все банки. Нет ли у ЦБ в связи с этим намерения сделать СТО БР ИББС обязательным для выполнения? Или вы рассчитываете, что банки и в дальнейшем сами будут присоединяться к нему, возможно, даже более активно с учетом возрастающего числа попыток хищения средств и персональных данных клиентов?

М. СЕНАТОРОВ: Стандарты не бывают обязательными. Хотите - следуйте стандарту, не хотите - не следуйте. Это ваши проблемы. Если вы делаете стандарты обязательными для выполнения, значит берете на себя ответственность. Предположим, что банк выполняет их, у него возникают проблемы с ИБ, он приходит к нам и говорит: «Я следовал вашему стандарту, делал все, что там прописано, понес такие-то потери, значит, вы должны мне их компенсировать». Такую ответственность Банк России брать на себя не может, поскольку он не занимается оперативным управлением коммерческими банками.

NBJ: Вы сказали, что сформировалось общество кредитных организаций, которые придерживаются этого стандарта в своей деятельности. А можно оценить, каково количество этих банков и кто проявляет наибольшую сознательность в данном вопросе: организации, которые принято считать лидерами рынка, или банки различного уровня?

М. СЕНАТОРОВ: Банки различного уровня. В основном на первом этапе к стандарту присоединялись финансово-кредитные организации «средней руки», входившие в первую сотню, но не занимавшие лидирующих позиций в данном перечне. Это естественно, потому что у банков ТОП-10 свои проблемы, с которыми они столкнулись уже давно и которые привыкли решать самостоятельно. Сбербанк, Альфа-Банк, Газпромбанк и другие раньше других построили свои системы оценки и управления рисками. Банки меньшего калибра не всегда обращали внимание на эти составляющие: у них и бизнес не настолько большой, и численность сотрудников не такая впечатляющая.

Не стоит забывать и еще один факт. Банки первой десятки аудируются не только российскими, но и иностранными компаниями. Они хотят отвечать международным нормам и стандартам, чтобы иметь возможность выходить на рынки капитала, привлекать стратегических инвесторов и т.д. Для этого им нужно показывать, что они соблюдают все подходы, требования и правила, которые есть в международной банковской системе. Поэтому систему стандартизации они у себя выстроили уже давно. А банки поменьше «ухватились» за наш стандарт, поскольку он разработан регулятором, понятен и удобен в применении.

NBJ: Можно ли сказать, что ТОП-100 банков, контролирующих более 90% активов банковской системы, придерживаются стандарта информационной безопасности Банка России?

М. СЕНАТОРОВ: Я бы сказал так: большинство этих банков используют стандарт Банка России. Полностью они придерживаются его рекомендаций или нет - это уже решение самих кредитных организаций.

NBJ: Что вас подвигло на создание первой редакции СТО БР ИББС? Были какие-то пожелания со стороны банков, чтобы для них регулятор изобрел «правила дорожного движения»?

М. СЕНАТОРОВ: Нет, мы делали это для себя. Потому что мы понимали: надо развивать базу стандартизации. ГОСТы важны, и на них следует опираться, но помимо ГОСТов вводились уже новые стандарты. Это было естественно: в начале 90-х годов прошлого века и в первые годы второго тысячелетия информационные технологии бурно развивались, «тянули» за собой новые понятия и создавали почву для возникновения передовых подходов, которые, соответственно, выражались в международных стандартах, выпускавшихся в США, в ев­ропейских странах.

В стандартах были толковые рекомендации, которые надо было учитывать. Поэтому мы занялись их анализом, выбрали из них то, что было нужно для нашей системы, и создали стандарт информационной безопасности, в первую очередь для себя. Когда мы стали его применять, то поняли, что в нем содержится очень много положительных моментов, способствующих упорядочиванию работы организаций Банка России. Естественно, мы не стали замалчивать этот факт, в результате нашим стандартом заинтересовались участники банковского рынка. Ассоциация российских банков проанализировала стандарт и рекомендовала его финансово-кредитным организациям к применению. В результате возникло сообщество банков и организаций, которые стали выполнять наш стандарт в инициативном порядке. Это сообщество или, точнее, организация называется ABISS, она ежегодно проводит много мероприятий, связанных с обучением, подготовкой людей.

Центральный банк тоже не стоял на месте. Через какое-то время мы поняли, что требуется доработка стандарта, его расширение, совершенствование методики его применения, методики оценки, аудита информационной безопасности, поэтому появилась на свет вторая редакция стандарта.

NBJ: То есть стандарт меняется не так уж часто: за десять лет всего два раза?

М. СЕНАТОРОВ: Стандарт не меняется, он просто дорабатывается. Появляются новые механизмы, которые можно достаточно эффективно использовать, и они включаются в новую редакцию.

NBJ: Если я правильно поняла, то для создания первой редакции СТО БР ИББС Банк России проанализировал существовавшие на тот момент международные стандарты в сфере ИБ. А в странах, где эти стандарты были разработаны, они тоже не являются обязательными к выполнению?

М. СЕНАТОРОВ: Нет, не являются. При этом есть стандарты американские и европейские, они созвучны между собой. Вокруг каждого из стандартов возникает сообщество профучастников, которое вырабатывает правила, наиболее востребованные на сегодняшний день.

NBJ: Объем хищений в мире исчисляется сотнями миллиардов долларов. И Россия тоже не обойдена вниманием высокотехнологичного криминалитета. Но не напрашивается ли вывод, что наши банки только-только начинают ощущать на себе издержки этого повышенного внимания?

М. СЕНАТОРОВ: Я бы так не сказал. Мы уже много лет констатируем наличие данной проблемы. Другое дело, что о попытках хищения средств или персональных данных - особенно об удачных попытках - стараются не говорить, потому что это подрывает репутацию банковской организации. По оценкам же различных экспертов и агентств, объем средств, похищенных с банковских счетов в России, исчисляется миллиардами рублей.

NBJ: Но ведь вряд ли СТО БР ИББС -абсолютная панацея от этой беды. Очевидно, банки должны не только выполнять рекомендации стандарта, но и предпринимать другие меры и шаги по борьбе со злоумышленниками?

М. СЕНАТОРОВ: Бороться можно разными путями. Что такое стандарт безопасности? Он говорит: «Ребята, вы сталкиваетесь с угрозами в сфере ИБ, опишите их. Как только вы описали угрозы, подумайте, какие мероприятия по минимизации данных угроз вы должны применить». При этом имеются в виду не только технические, но и организационные, имиджевые и любые другие мероприятия, которые банк счи­тает необходимыми. То есть мы рекомендуем ему создать полную картину, идти в своей деятельности от осознания и описания угроз к разработке мер по защите своих интересов.

Если финансово-кредитная организация, например, развивает дистанционно-банковское обслуживание и сталкивается с хищением средств путем подложных обращений от клиентов, это означает одно: ее клиент не защищен должным образом. Что такая организация должна сделать? Во-первых, осуществить технические мероприятия - предоставить клиенту более совершенные и более гарантированные технические средства, которые исключили бы возможность подмены паролей, ключей, логинов и т.д. Во-вторых, осуществить организационные мероприятия - провести разъяснительную работу с клиентами о необходимости соблюдения определенной дисциплины. Это все связано между собой, стандарт как раз об этом говорит.

Хотел бы отметить еще одно: в стандарте вводятся определенные параметры зрелости банка с точки зрения того, как он отвечает на вызовы и угрозы своей системы информационной безопасности. Есть определенные критерии, по которым выставляются оценки.

NBJ: И банк имеет возможность самостоятельно определить степень зрелости своих профильных структур?

М. СЕНАТОРОВ: Да. Например, с помощью анкетирования банк приходит к выводу, что он находится на уровне зрелости «два». Не самый начальный уровень, но все же не слишком высокий...

NBJ: А сколько всего уровней зрелости прописано в стандарте?

М. СЕНАТОРОВ: Шесть: от нуля до пяти.

NBJ: И есть банки, которые уже достигли высшего уровня зрелости?

М. СЕНАТОРОВ: Нет, таких пока нет.

NBJ: Даже Сбербанку это не удается?

М. СЕНАТОРОВ: А вы думаете, если Сбербанк большой, значит у него все самое хорошее, в том числе и система информационной безопасности? Это так только кажется.

NBJ: На рынке принято говорить, что в «Сбере» работают лучшие ИТ-специалисты и лучшие специалисты в сфере информационной безопасности. Но если даже Сбербанк не достигает уровня «пять», значит этот уровень - некий идеал, к которому надо стремиться, но который пока остается недостижимым?

М. СЕНАТОРОВ: Конечно. Уровень зрелости «пять» - это стопроцентное обеспечение информационной безопасности. А такое возможно только в случае, если банк ничего не делает и, соответственно, не принимает на себя никаких рисков.

NBJ: Чисто технический вопрос: предположим, я являюсь руководителем банка, провожу в нем анкетирование по СТО БР ИББС и выясняю, что уровень зрелости системы информационной безопасности равен «тройке». Я должна сообщить об этом ЦБ и вообще кого-либо проинформировать об этом не самом блестящем результате анкетирования?

М. СЕНАТОРОВ: Нет, это никому не нужно, потому что обнародование результатов анкетирования может нанести удар по репутации вашего банка. Клиенту эта информация точно не нужна - она необходима вам, как руководителю финансово-кредитной организации, для того чтобы понять, на каком уровне развития систем защиты находится ваш банк. Предположим, что возглавляемая вами организация по результатам анкетирования (при условии, что оно проведено честно и правильно) находится на втором уровне зрелости. В стандарте содержатся рекомендации, как перейти со второго уровня на третий, что надо сделать, на что обратить особое внимание. Если банк, предприняв соответствующие шаги, поднимается на третий уровень зрелости - что ж, в стандарте содержатся рекомендации, как можно достичь четвертого уровня. Конечно, при условии, что банк в этом заинтересован.

NBJ: А он может быть в этом не заинтересован?

М. СЕНАТОРОВ: Естественно. Ведь подъем на каждый новый, более высокий уровень зрелости - это дополнительные затраты, то есть дополнительные деньги, которые банку придется вложить в развитие своей системы информационной безопасности. А может быть, ущерб, который он понесет в случае реализации сохранившихся рисков, не настолько большой по сравнению со средствами, которые ему придется потратить, чтобы перейти на новый уровень зрелости? Банку следует определиться, какие риски для него являются первостепенными, какие необходимо минимизировать, какие нужно регулировать, а с какими можно смириться, поскольку эти риски даже в случае их реализации не будут катастрофическими для бизнеса. Здесь все время идет работа, стандарт не застывший документ.

NBJ: Итак, банки не информируют ни клиентов, ни ЦБ о том, на каком уровне зрелости они находятся, поэтому вы вряд ли можете мне сказать, сколько банков к настоящему моменту достигло третьего уровня зрелости, сколько второго и сколько участников рынка «застыли» на первом. Но, по крайней мере, Центральный банк отслеживает численность сообщества, сформировавшегося вокруг СТО БР ИББС?

М. СЕНАТОРОВ: Этот показатель постоянно увеличивается. Количество банков, различных компаний, которые занимаются вопросами информационной безопасности, аудиторских компаний - короче, организаций, использующих в своей практической деятельности стандарт Банка России, стабильно растет.

NBJ: Проблема информационной безопасности действительно одна из самых обсуждаемых. Особенно актуальной она стала в свете вступления в силу ФЗ «О национальной платежной системе». Там ведь есть пункт, в соответствии с которым банки будут обязаны компенсировать клиентам потери, понесенные из-за взлома счетов, независимо от степени виновности или невиновности банков.

М. СЕНАТОРОВ: За рубежом такая практика стала появляться. Кредитные организации теперь обязаны компенсировать потери средств со счетов клиентов, если эти потери вызваны недостаточной защищенностью клиентов или недостаточно развитым обслужванием клиентов со стороны банков.

Правильно ли это? Представим себе, что налицо фишинг - подмена ваших данных и, как результат, списание средств с вашего счета. Может ли банк этому воспрепятствовать в самом начале процесса, пока вы еще не понесли серьезных потерь? Да, может, если он внимательно отслеживает и анализирует ваши операции - где вы платите обычно, какие суммы, какие товары или услуги чаще всего приобретаете. То есть если у банка есть ваш клиентский профиль. Предположим, что много лет подряд этот профиль был одним, и вдруг он резко изменился: вы начали приобретать товары в других странах и платить за них совсем другие суммы, чем обычно. Банк это видит, и он должен обязательно с вами, как с клиентом, переговорить, выяснить, не переехали ли вы, не изменилось ли ваше финансовое положение. Если вы на эти вопросы даете отрицательный ответ, то банк начинает расследование, и процесс хищения средств у вас со счета не заходит далеко.

Информационные технологии достигли такого уровня развития, что с их помощью можно создавать профиль клиента. Они позволяют персонифицировать клиента и финансовые инструменты, которые ему нужны. Это стало проявляться на рубеже 10-х годов XXI века, и это будет набирать силу.

NBJ: И тогда девиз «Знай своего клиента» станет реальностью?

М. СЕНАТОРОВ: Да. Посмотрите сами -появились социальные сети, открытые интернет-пространства, где люди могут обмениваться идеями, наблюдениями, впечатлениями и т.д. Многие компании используют эти сети, чтобы проводить маркетинговые кампании, анализировать рынок, выпускать новые продукты в продажу. И банки могут делать то же самое.

NBJ: И уже делают.

М. СЕНАТОРОВ: А еще они могут выстраивать систему обслуживания, которая дает клиенту почувствовать: он не некая абстрактная единица, а лицо, в котором банк заинтересован. Конечно, чтобы выстроить такую систему, нужно совершить немалые вложения, но в конечном итоге она даст банку хорошую отдачу.

И коль скоро информационные технологии позволяют персонифицировать клиента, то возможным становится и то, о чем я говорил выше, -банк может сразу улавливать подозрительные транзакции, информировать о них клиента и пресекать действия злоумышленников на корню. Все это понимают и, естественно, начинают перекладывать ответственность на банк. Мол, ребята, технологии позволяют, не спите, быстро реагируйте на действия злоумышленников - и все будет в порядке.

NBJ: В случае реализации сценария, описанного вами, действительно ничего страшного не произойдет: если банк пресечет действия злоумышленника, что называется, «на старте», то клиент не понесет больших потерь, и компенсационные выплаты со стороны банка будут незначительными.

М. СЕНАТОРОВ: Да. Но, чтобы финансово-кредитные организации лучше все поняли и быстрее начали реагировать, выпускается соответствующее предписание: в случае хищения средств со счетов клиентов будет виноват банк, в котором обслуживается человек или компания. И этот банк примет на себя ущерб.

NBJ: Судя по реакции банкиров, они достаточно сильно встревожены данным предписанием.

М. СЕНАТОРОВ: Такая реакция вполне естественна: никто не хочет тратить лишние деньги, покупая новые продукты в сфере информационной безопасности и устанавливая их. Это неизбежно приведет к увеличению внутренних расходов банков, поэтому вокруг данного предписания идут постоянные дискуссии, поэтому сформировались лоббистские группы, одна из которых выступает против утверждения данного предписания, а вторая - за его утверждение. Кто победит? Пока трудно сказать.

NBJ: Не знаю, говорят ли вам банкиры такие вещи напрямую, но в рамках наших круглых столов по информационной безопасности они недвусмысленно дают понять: если банкам придется компенсировать клиентам ущерб, то соответствующие расходы банков будут переложены на клиентов. Путем простого и банального увеличения стоимости различных банковских услуг для конечных потребителей.

М. СЕНАТОРОВ: Вообще-то это шантаж!

NBJ: И любимый аргумент банкиров, когда речь идет об увеличении регуляторной нагрузки.

М. СЕНАТОРОВ: Повторюсь, это шантаж. Как только разговор заходит об увеличении издержек банков, так банкиры сразу говорят: издержки за ваш счет! Впрочем, справедливости ради следует сказать, что характерен такой подход не только для финансово-кредитных организаций, но и для компаний, работающих в других секторах экономики. Естественно, что любая коммерческая организация стремится показать как можно более высокую доходность. Практика такова, что если вы сокращаете внутренние издержки хотя бы на 1%, то доходность вашего бизнеса повышается на 3%. И как раз использование передовых информационных технологий позволяет банкам сильно экономить на внутренних издержках.