Для клиентов финансовых учреждений все более привлекательными становятся услуги дистанционного банковского обслуживания. В связи с этим растет уязвимость ДБО из-за мошеннических атак. Одной из приоритетных задач банковских специалистов ИБ является защита клиента от электронных нападений. О том, как строится политика безопасности и какие задачи предстоит решать финансово-кредитным организациям в нынешних условиях, рассказал в интервью NBJ начальник управления безопасности банка «ГЛОБЭКС» (Группа Внешэкономбанка) Александр ЩЕЛКАНОВ.

NBJ: Александр Геннадьевич, как Вы оцениваете сейчас ситуацию с информационными технологиями и безопасностью в банковских организациях? Какие основные тенденции, влияющие на ее состояние, Вы отмечаете?

А. ЩЕЛКАНОВ: В связи со сложной геополитической ситуацией развитие ИТ и ИБ в банковском секторе существенно замедлилось. Тем не менее каждая компания может и должна попытаться извлечь из сложившейся ситуации максимально возможную выгоду. Например, проблема с ростом курсов валют, приведшая к нехватке средств на приобретение новых продуктов и услуг, заставляет более эффективно использовать имеющиеся возможности и ресурсы. Некоторые ресурсоемкие проекты и направления могут быть заморожены, что должно позволить сконцентрироваться на оптимизации уже имеющегося потенциала ИТ и ИБ.

Что касается угроз информационной безопасности, то их количество продолжает расти. Основные виды угроз сохранились: это атаки на платежные системы, на банкоматы и POS-терминалы, интернет-мошенничество. Участились случаи целенаправленных атак, как с целью хищения коммерческой информации, так и с целью получения доступа к внутренним системам банка. Однако появились и новые, ранее не свойственные российскому рынку угрозы, например угроза применения разного рода санкций, угрозы со стороны западных государств и спецслужб.
Помимо прочего, в период любого кризиса значительно возрастает число внутренних нарушений. Это связано прежде всего с увеличением числа увольнений, общим снижением дисциплины ввиду различных социальных проблем. 

Это значит, что, несмотря на кризис, в ближайшее время значение безопасности будет только повышаться и расходы на эту деятельность будут увеличиваться.

NBJ: Вы говорите, что противостояние России и Запада повлияло на ситуацию с обеспечением информационной безопасности в банках. Можно ли рассказать об этом более подробно, проиллюстрировать сказанное Вами конкретными примерами?

А. ЩЕЛКАНОВ: Неблагоприятная обстановка на международной арене оказала значительное влияние на все сферы экономики страны, в том числе на банковский сектор в целом и информационную безопасность в частности.

Дальнейшее обострение международных отношений представляет угрозу и банкам, и платежным системам. Контрмеры, которые не были готовы заранее, в настоящее время пришлось разрабатывать в сжатые сроки. Их внедрение потребует определенного времени.

Потенциальной угрозой для российских банков и платежных систем являются новые экономические санкции, которые могут быть поддержаны, например, иностранными производителями программного обеспечения. Возможна не только приостановка поставок новых программ, но и прекращение обновления уже работающих версий программного обеспечения.

Любая российская компания имеет счет в банке и подавляющее большинство расчетов совершает в безналичной электронной форме. В перечень компаний, в отношении которых были введены экономические санкции, попало большое количество банков. Одним из негативных последствий этого шага со стороны зарубежных стран стало блокирование расчетов по эмитированным некоторыми из этих банков пластиковым картам международных платежных систем VISA и MasterCard.

NBJ: Недавно Банк России анонсировал создание Центра мониторинга киберугроз и реагирования на инциденты информационной безопасности в банковском секторе. Как Вы относитесь к этой инициативе регулятора, считаете ли ее правильной и своевременной?

А. ЩЕЛКАНОВ: Исходя из современных реалий и учитывая новые тенденции, многие государства уже давно озаботились вопросами как национальной, так и международной кибербезопасности. К сожалению, несмотря на то, что концепция государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ была утверждена еще 12 декабря 2014 года, каких-либо серьезных подвижек в этом направлении все это время не наблюдалось. Новость о том, что Банк России решил организовать свой FinCERT, не может не радовать.

NBJ: Намерен ли Ваш банк присоединиться к информационному обмену об инцидентах в сфере ИБ в рамках этого Центра? Осуществляется ли такой обмен между финансово-кредитными организациями сейчас?

А. ЩЕЛКАНОВ: Да, вопрос подключения к FinCERT решается отделом информационной безопасности банка. Ранее между банками (в рамках неформального объединения Антидроп-клуб) существовало негласное соглашение об обмене информацией по инцидентам информационной безопасности, связанным с несанкционированным переводом денежных средств.

NBJ: Некоторые эксперты и специалисты говорят, что в последнее время участилось количество хакерских атак и попыток завирусовать банковские системы. Ведете ли Вы статистику подобных случаев?

А. ЩЕЛКАНОВ: Каждый день в банк поступают сообщения, якобы направленные Центральным банком, ФССП, судами различных инстанций и другими государственными структурами. Большая часть писем содержит во вложениях вредоносный код.

К сожалению, несмотря на все технические преграды, подобные письма зачастую доходят до адресата. В подобных случаях особенно важно своевременно обнаружить инцидент, нейтрализовать угрозу. Помимо технических мероприятий с периодичностью раз в месяц делаются информационные рассылки в адрес всех сотрудников банка. Отдельно хотелось бы отметить важность работы, направленной на повышение осведомленности персонала в сфере информационной безопасности.

NBJ: Можно ли констатировать изменение видов хакерских атак, технологий, которые используются для их проведения?

А. ЩЕЛКАНОВ: В основном угрозы не изменились. Это вирусы, скимминг, фишинг, сговор с сотрудниками банков, утечки информации ограниченного доступа, использование различного рода уязвимостей в программном обеспечении, заказные атаки, причем не только атаки на отказ банковских серверов, но и чисто информационные (так называемые вбросы негативной информации). Среди новых технологий можно отметить рост угроз со стороны программ-шифровальщиков (криптолокеры). Думаю, что вирусное ПО данного типа будет и дальше получать все большее распространение.

NBJ: В частности, какие банковские системы более всего подвержены атакам злоумышленников?

А. ЩЕЛКАНОВ: Все системы, которые ориентированы на совершение разного рода платежей: системы ДБО, АБС, автоматизированные рабочие места клиентов Банка России, SWIFT, разные системы денежных переводов и др.

NBJ: Насколько, по-вашему, эффективно законодательство с точки зрения противостояния вызовам со стороны хакеров и наказания подобных действий? Есть ли необходимость внесения в него изменений, возможно, с целью ужесточения ответственности злоумышленников в рамках УК?

А. ЩЕЛКАНОВ: В целом, определенные подвижки в законодательном регулировании есть, и государство, понимая важность противостояния росту мошенничества в сфере высоких технологий, будет продолжать совершенствовать законодательство. Надо понимать, что локомотивом рынка ИБ по-прежнему является государственное регулирование, а основным ИБ-трендом остается защита персональных данных.

Среди новых законодательных инициатив можно отметить следующие: увеличение штрафов за несоблюдение 152-ФЗ (8 составов правонарушений, кумулятивный штраф до 0,5 млн рублей), внесение поправок в статью 187 УК РФ (изготовление или сбыт поддельных кредитных либо расчетных карт и иных платежных документов), которая теперь носит название «Неправомерный оборот средств платежей», запрет на хранение персональных данных россиян за границей (242-ФЗ). 

«Скиммерам» будут грозить принудительные работы на срок до 5 лет либо лишение свободы на срок до 6 лет со штрафом в размере от 100 тыс. рублей до 300 тыс. рублей или в размере заработной платы или иного дохода осужденного за период от 1 года до 2 лет.

Если преступление совершается организованной группой, то предусмотрено наказание до 7 лет лишения свободы со штрафом в размере до 1 млн рублей или в размере заработной платы или иного дохода осужденного за период до пяти лет или без такового.

NBJ: Обеспечение информационной защиты банка, как утверждают многие эксперты, – это комплексная задача, поскольку «пробить» ее могут как на стороне клиента, так и на стороне банка. Согласны ли Вы с таким утверждением?

А. ЩЕЛКАНОВ: Да, мы согласны, что безопасность – это комплексный, постоянно меняющийся процесс и, к сожалению, готовых мер по нейтрализации новых угроз просто не существует. Например, мы на собственном опыте почувствовали рост целенаправленных атак на банки.

Всем известны общие рекомендации: организация хорошей сегментации сети, а также установка строгих правил на файерволах, контроль за своевременным обновлением средств антивирусной защиты, осуществление контроля использования съемных носителей информации, проведение инвентаризации и обновления программного обеспечения, жесткое разграничение прав доступа к системам, контроль за соблюдением строгих требований парольной политики, постоянный мониторинг исходящего интернет-трафика, периодический просмотр журналов безопасности критических систем.

Тем не менее общий уровень информационной безопасности в современном банке в значительной степени превосходит аналогичный уровень в большинстве коммерческих организаций, не говоря уже о физических лицах. К большому сожалению, следует признаться, что уровень информационной грамотности в целом по стране по-прежнему достаточно низок.

NBJ: Как изменилась динамика затрат вашего банка на информационную безопасность в связи с событиями последнего года? Возросло ли внимание к проблемам обеспечения ИБ со стороны руководства и акционеров банка?

А. ЩЕЛКАНОВ: Безусловно, в условиях роста внутренних и внешних угроз банк стал внимательнее относиться к законодательным аспектам деятельности в сфере информационной безопасности. Мы стараемся более эффективно использовать те технологии и системы, которые уже имеются в банке. 

NBJ: Какие решения и каких разработчиков, по Вашему мнению, дают наилучший результат с точки зрения обеспечения информационной безопасности банка?

А. ЩЕЛКАНОВ: Чудодейственных решений в области ИБ нет и быть не может. Это всегда вопрос цены/качества предлагаемого решения. Мы тестировали и продолжаем тестировать проекты от разных производителей, например, систем обнаружения угроз. 

К сожалению, антивирусные программы, установленные на компьютерах и серверах банка, не всегда определяют современные угрозы. Злоумышленники время от времени применяют различные методы сокрытия вредоносного ПО. Часто даже поведенческий анализ не дает полного понимания угрозы, не говоря уже о сигнатурном анализе. Поэтому мы вынужденно используем антивирусные системы от разных производителей и ищем способы, как обезопасить банк компенсирующими мерами. Мы также стараемся контролировать события вокруг банка (сбои технологических систем, действия ЦБ, информация от банковского сообщества и прочее).

NBJ: Какова Ваша позиция по поводу аутсорсинга в сфере ИБ? Какие сферы и задачи в Вашем банке отданы на аутсорсинг (если таковые есть)?

А. ЩЕЛКАНОВ: Пока мы не решили, какие подсистемы обеспечения информационной безопасности в банке можно отдать на аутсорсинг. Отдать на откуп сторонним компаниям проведение ряда работ в части информационной безопасности, например в части развертывания и интеграции новой системы управления инцидентами или в части установления антискиммингового оборудования – это приемлемый и в некоторых случаях наиболее правильный подход. Но передать управление безопасностью критичных систем (а в банке почти все системы критичные) на откуп сторонним компаниям или разместить их в облаке мы пока не готовы.

На мой взгляд, аутсорсинг наиболее актуален при решении задач, требующих наличия специалистов узкого профиля.

NBJ: Насколько острым является кадровый вопрос в сфере ИБ, с Вашей точки зрения?

А. ЩЕЛКАНОВ: У нас в банке этот вопрос нельзя назвать острым, так как есть четкое понимание роли подразделения информационной безопасности в общем процессе обеспечения безопасности банка. В подразделении ИБ уже не первый год работает сплоченная команда специалистов. 

NBJ: Какие задачи в области обеспечения ИБ предстоит решить Вашему банку в 2015 году и каковы планы банка в этой сфере на будущий 2016 год?

А. ЩЕЛКАНОВ: Среди задач банка в 2015 году можно отметить проведение внешнего аудита соответствия состояния ИБ требованиям стандарта Банка России СТО БР ИББС, проведение аудита информационной безопасности методом самооценки во всех филиалах банка, проведение оценки выполнения требований к обеспечению защиты информации при переводе денежных средств в рамках 382-П.

Что касается планов на будущее, то, по моему убеждению, финансовые организации должны пересмотреть свои подходы к банковским рискам с учетом политических аспектов, в особенности международных. В 2016 году нам предстоит определить подход банка к оценке рисков, идентифицировать риски, проанализировать и оценить их и, конечно же, идентифицировать и оценить наши возможности по обработке рисков.