В свете участившихся в последние годы атак на системы дистанционного банковского обслуживания в кредитно-финансовых учреждениях всерьез задумались о способах защиты данного вида бизнеса. Тем более что требования Центрального банка в этой сфере постоянно возрастают. Немаловажным фактором для обеспечения более надежной защиты ДБО банков является и необходимость повышать доверие пользователей и клиентов кредитно-финансовых учреждений к системам.

МНОГОЛИКОЕ ДБО

Термин «дистанционное банковское обслуживание» включает в себя множество различных услуг: от простейшего получения SMS-информации о поступлении денег на текущие или депозитные счета до получения кредита в режиме удаленного доступа или размещения заявок брокеру при операциях на фондовом или валютном рынке. Не случайно, например, в английском языке для обозначения ДБО используется самая разная терминология: internet banking, online banking, phone banking, mobile-banking, remote banking, direct banking, home banking, WAP-banking, SMS-bank-ing, GSM-banking, TV-banking.

Все крупные российские банки предлагают достаточно дифференцированный набор сервисов в рамках ДБО и работают в сфере расширения функциональности данных систем. Так, доля интернет-банкинга для физических лиц как одной из разновидностей форм ДБО в общем объеме банковских операций постепенно растет. По данным АnalyticResearchGroup, ожидается, что к концу 2010 года число пользователей интернет-банкинга в нашей стране достигнет 3–4 млн человек.

Понятно, что ДБО развито в большей степени в крупных городах, где уровень автоматизации поставщиков товаров и услуг позволяет принимать дистанционные платежи. В регионах, по мнению специалистов АnalyticResearchGroup, даже кризис не подтолкнул жителей небольших городов к использованию дистанционных банковских услуг. В этой сфере популярностью пользуются такие услуги, как пополнение счета мобильного телефона, платежи за Интернет и ЖКХ. Все более востребованными, по оценкам участников рынка, становятся внешние переводы, пополнение электронных кошельков. «По оценкам экспертов рынка, российским банкам в этой сфере не хватает консолидатора, который заключал бы договоры о приеме платежей с большим количеством получателей, а потом предлагал банкам пользоваться всеми уже заключенными договорами, - считает Юлия Иванова, руководитель департамента маркетинговых исследований АnalyticResearchGroup. - При появлении консолидаторов банки тратили бы значительно меньшее время на заключение договоров».

Среди факторов, которые сдерживают развитие ДБО, одно из первых мест занимает недостаток доверия со стороны клиентов к дистанционным операциям и отсутствие должного обеспечения информационной безопасности при совершении операций. Особенно если учесть тот факт, что в последнее время участились попытки неправомерного получения персональной информации пользователей систем ДБО: логинов, паролей, секретных ключей средств шифрования и аналогов собственноручной подписи PIN-кодов платежных карт и т. д.

КЛИЕНТСКИЕ РИСКИ ПРЕВАЛИРУЮТ

Если говорить об утечке информации при ДБО, то риски могут возникать как со стороны клиентов, так и со стороны банков. Примером первого вида рисков может быть ситуация, когда клиент вводит пароль в неправильном месте или оставляет его в системе сохраненным и тем самым дает возможность злоумышленникам воспользоваться этим, рассказывает заместитель председателя правления банка «АБ Финанс» Леонид Морозовский. «Клиентские риски также связаны с недостаточно безопасными способами авторизации - когда у пользователя нет карточки паролей либо его доступ в систему обеспечивает лишь одно слово или один пароль, который человек может записать где-либо и который кто-то может увидеть», - говорит эксперт. По его мнению, при ДБО имеют место в основном клиентские риски, связанные с тем, что банк не предусмотрел эффективную технологию защиты информации.

Второй вид рисков при ДБО - банковские риски - возникает в случае, когда утечка информации происходит на этапе передачи данных в банк. «Сейчас такие случаи очень редки, поскольку финансовые учреждения располагают достаточными ресурсами для того, чтобы защитить информационные системы, - считает Леонид Морозовский. -Если работа, которая ведется банком в данном направлении, выстроена грамотно, такие риски минимизированы».

Центральный банк совместно с уполномоченными органами проводил анализ попыток и случаев хищения денег с расчетных счетов клиентов банков. Анализ показал, что существует несколько групп граждан, осуществляющих хищения. Во-первых, это ответственные сотрудники, имевшие доступ к секретным ключам электронной цифровой подписи (ЭЦП) организации. Как правило, это уволенные руководители, бухгалтеры и их заместители, ИТ-сотрудники, а также совладельцы организаций. Во-вторых, штатные ИТ-сотрудники, имевшие технический доступ к носителям с секретными ключами ЭЦП, а также доступ к компьютерам, с которых осуществлялась работа в системе ДБО. В-третьих, внештатные, приходящие по вызову ИТ-специалисты, обслуживающие компьютеры, с которых осуществлялась работа по системе ДБО, в том числе специалисты, осуществлявшие профилактику и подключение к сети Интернет, установку, обновление и настройку бухгалтерских, информационно-правовых программ и другого программного обеспечения. Наконец, злоумышленники, которые через сеть Интернет заражают компьютеры клиентов вредоносными программами. Используя слабые места системного и прикладного программного обеспечения (необновленная или отсутствующая антивирусная защита, фильтрация сетевого трафика и т.д.), злоумышленники заражают компьютеры клиентов «троянскими» программами с последующим дистанционным похищением секретных ключей ЭЦП клиента, логинов и паролей.

Главной угрозой информационной безопасности банка и его бизнеса является инсайдер. Причем опасность заключается в том, что последствия инсайдерских действий, как правило, мало заметны, а иногда просто не видны. Компрометация клиентской базы, например, помимо прямых юридических рисков приводит в дальнейшем к снижению бизнеса и потере доли на рынке. Причем последствия становятся очевидными только тогда, когда сделать что-либо уже невозможно. Поэтому основные усилия, по мнению банковских ИТ-специалистов, нужно сосредоточить на проведении превентивных мер, позволяющих не допустить подобной утечки либо вовремя ее выявить.

ТЕХНОЛОГИИ ЗАЩИТЫ

Наиболее эффективный способ обеспечения информационной безопасности, по мнению заместителя председателя правления банка «АБ Финанс» Леонида Морозовского, - это система «открытых-закрытых ключей». «Это система, при которой ключ есть у клиента и у банка, - рассказывает Леонид Морозовский. - Вместе они образуют некий единый ключ, который авторизуется в системе. И только при наличии обеих «половинок» система пропускает пользователя. Ключи, код передаются клиенту, хранятся на каком-либо информационном носителе: на флэшке, почте или на специальных чиповых карточках. Однако данный способ достаточно сложен технологически и дорог».

Также достаточно эффективны технологии генерируемых кодов, утверждает эксперт: «Это может быть, например, карточка кода, который генерируется по некоему запросу клиента, или статическая карточка кодов, когда у клиента на руках уже есть некое множество цифр, и в определенной комбинации они используются для авторизации».

На основании наработанного опыта разбора конфликтных ситуаций некоторые эксперты утверждают, что если в результате использования ЭЦП необходимо иметь юридическую значимость с правовыми последствиями совершенной операции, то следует использовать ключевые носители типа eToken или смарткарт. Применение ключевого носителя типа еToken или смарт-карты исключает возможность доступа к хранящимся в них ключам и сертификатам. Они рассчитаны лишь на три попытки подбора PIN-кода, после чего он будет заблокирован. И если ключи будут инициированы, то третье лицо сможет получить доступ, только вступив в сговор с владельцем.

DDOS-АТАКИ

DDoS-атака (Distributed Denial Of Service Attack) - один из самых распространенных и опасных видов сетевых атак. Особенностью данного вида компьютерного преступления является то, что злоумышленники не ставят своей целью незаконное проникновение в защищенную компьютерную систему с целью кражи или уничтожения информации. Цель данной атаки - парализовать работу атакуемого веб-узла.

Неслучайно в банках данную проблему считают достаточно важной. Причем некоторые эксперты отмечают, что угроза DDoS серьезна, но не сама по себе, а как средство сокрытия мошеннических транзакций с использованием украденных реквизитов клиентов. Однако системы дистанционного банковского обслуживания при грамотном построении могут вполне уверенно противостоять данным видам угроз. Существующие в настоящее время средства мониторинга сетевой активности позволяют выявить источник DDOS-атаки достаточно быстро и наряду с этим предотвратить нанесение ущерба техническим средствам самой системы дистанционного банковского обслуживания.

В некоторых банках накоплено много информации об источниках таких угроз. Ее консолидация могла бы существенно повысить раскрываемость в данной сфере. К сожалению, заинтересованного в такой информации консолидирующего правоохранительного органа пока нет.