9 апреля в АРБ прошёл Круглый стол «Информационная безопасность в финансовом секторе – 2024». Его организаторами выступили Национальный банковский журнал (NBJ) и Ассоциация российских банков. Мероприятие собрало ведущих российских экспертов по ИБ. Они рассказали о текущей ситуации на рынке, актуальных трендах и о нюансах последних разработок компаний, которые представляют, в этой области.

Первый блок Круглого стола  «Стратегия развития информационной безопасности банковской системы на 2024–2025 г.г.» открыл Олег Скворцов, председатель Правления АРБ. Его выступление было посвящено теме основных вызовов, стоящих перед банковской системой страны. Он также проинформировал участников мероприятия о последних инициативах Ассоциации.

Заместитель директора Департамента информационной безопасности Банка России Андрей Выборнов  рассказал об основных направлениях развития информационной̆ безопасности кредитно-финансовой̆ сферы на 2023–2025 годы.


Начальник управления информационной безопасности «Ренессанс-Банка»  Дмитрий Стуров рассказал о том, с какими вопросами сталкиваются кредитные организации при реализации задач по ИБ, поставленных регулятором.



Далее главный редактор Национального банковского журнала (NBJ), модератор мероприятия Станислав Комаров предоставил слово Игорю Базелюку, операционному директору компании Web Control, который рассказал о стратегии информационной безопасности в контексте привилегированного доступа.

Базелюк рассказал о необходимости управления привилегированным доступом в организациях финансовой отрасли.

«Глубина цифровизации финансово-кредитной отрасли настолько высока, что любой серьёзный сбой в работе ИТ-сервисов угрожает отрасли в целом, – считает он. – Привилегированный доступ предоставляет неограниченный доступ к ИТ-ресурсам, поэтому для минимизации угрозы сбоя и утечек данных крайне важно его контролировать. На это нацелен  sPACE  PAM – российское решение, полностью независимое от зарубежных технологий».

По его словам, sPACE  PAM  управляет привилегированными учётными записями, позволяет минимизировать привилегии и исключить накопление у пользователей избыточных прав, автоматизирует управление доступом и контролирует действия пользователей.


Александр Клевцов, руководитель направления InfoWatch Traffic Monitor в компании InfoWatch поделился своим мнением о защите персональных данных и объяснил, почему классические методы бессильны. В компании InfoWatch считают, что необходим переход от контентного анализа к пониманию бизнес-контекста.

«По данным экспертно-аналитического центра InfoWatch за 2023 год в России из финансовых организаций утекло более 170 млн единиц персональных данных, из них на банковскую отрасль пришлось 46%. Большинство этих утечек имели умышленный характер, то есть произошли не по причине хакерских атак, проблем с инфраструктурой, операционных ошибок, а по причине слива данных сотрудниками, – рассказал Клевцов. – Как мы можем реагировать на такую массовую проблему умышленных утечек данных? Это усиление мер противодействия утечкам, организационные и в том числе технические.

В частности, нужно повышать эффективность DLP-продуктов, которые призваны бороться с утечками. Но существует небольшая проблема у DLP-продуктов и, в принципе, у любых средств защиты данных, которые принимают решения на основе анализа и идентификации данных: они хорошо определяют контент, ту или иную категорию данных, но при этом не могут определить бизнес-контекст и ценность этих данных». 

По мнению Клевцова, это касается любой категории данных. Маркетинговых данных, где есть материалы, связанные с публичными банковскими продуктами и их можно свободно распространять, а также приватных данных. И слив этих маркетинговых материалов – это нежелательный прецедент. Обычная DLP-система не может распознать, это привилегированный документ или публичный. А с персональными данными всё ещё хуже, потому что каждая порция персональных данных несёт разную смысловую нагрузку и имеет разную ценность и разный бизнес-контекст. 

«Приведу пример, – продолжил Клевцов. – В одном случае в письме в переписке указан контакт сотрудника, ФИО и телефон, а в другом – указаны реквизиты ключевого клиента. Это кейс одного нашего клиента, банка, который занимается ипотеками. У него была такая проблема, что сливали данные VIP-клиентов, и слив этих данных заключался в передаче имени, фамилии и телефона. И потом заказчики слива звонили этим клиентам и предлагали ипотеку на более выгодных условиях. И это не какой-то глобальный слив – просто фамилия и телефон. И проблема любого DLP заключается в том, что она может определить какие-то фамилии и номера телефонов, но с задачей понять, что это порции данных, связанные с клиентом банка и тем более с вип-клиентом, ни одна из систем в её классическом исполнении справиться не может. То есть стандартная DLP на рынке не отличит подпись в письме от утечки ПДн.

Или другой кейс из банка: в банке существует персональное обслуживание, когда клиентам банка рассылают персонализированные предложения, выписки. То есть, с клиентом коммуницируют персонально. Здесь проблема состоит не в том, что нужно определить, что эти данные принадлежат конкретному клиенту банка, а в том, что эти данные нужно отправить на корректный e-mail. Как в этом можно разобраться при помощи DLP, когда у банка 100.000 пользователей и, соответственно, нужно ввести 100 тыс. правил политики, где указано, что эти порции клиентских персональных данных нужно отправлять на конкретные e-mail? Я даже слышал на одной из конференций, что это нерешаемая задача для DLP –  определить, кто владелец той или иной порции персданных». 

Александр Клевцов рассказал также, что InfoWatch разработал решение, которое сейчас активно внедряется в банки, и которое переводит защиту персданных на принципиально новый уровень, осуществляет переход от контентного анализа к пониманию бизнес-контекста. «Это происходит за счёт того, что DLP-система плотно интегрируется с системами, где эти данные хранятся, это может быть ABS, CRM, ERP. Наши технология и алгоритмы запатентованы и обеспечивают высокую производительность. Например, проверка 10 млн единиц данных клиентов занимает 0,1 секунды. Эту систему можно применять в режиме блокировки. То есть проверка любого письма с 10-миллионной базой клиентов за 0,1 секунды позволяет выявить нарушение и заблокировать отправку письма, если ПДн отправляется не их владельцу».

Руководитель отдела консалтинга и аудита компании Angara Security Александр Хонин рассказал об информационной безопасности в банках в разрезе регуляторных требований. 

«Актуальной темой в регуляторике финансового сектора стали аспекты операционных рисков и операционной надёжности. В первую очередь они коснулись направлений риск-менеджмента в банках, которые привлекают специалистов по ИБ в рамках отдельных положений № 716-П и 787-П» – рассказал Хонин.

По его словам, последний документ до сих в полной мере не реализуется в банках. Как результат, в развитие этих положений Банком России были выпущены ГОСТы, а также недавно были выпущены методические рекомендации, которые узаконили применение ГОСТ 57580.3-2022 для управления рисками и ГОСТ 57830.4-2022 для детализации положения 787-П. В марте 2024 года Банк России опубликовал методические рекомендации, в которых он установил обязательства по применению и сроки, в которые банки должны разработать планы по их внедрению. Регулятор определил две ключевые даты – конец 2025 года для крупных банков, размеры активов которых превышают 500 млрд рублей, и конец 2026 года – для остальных банков. Это направление в ближайшее время будет набирать обороты. Стандарты непростые, они также вводят уровни соответствия, от которых выстраиваются требования к финансовым организациям.

«Поэтому банкам уже сейчас стоит приступить к анализу того, какие процессы соответствуют требованиям новых ГОСТов по операционным рискам и надёжности, и сформировать планы по приведению процессов в соответствие с принятыми стандартами», – считает спикер Angara Security.

Второй блок Круглого стола был посвящён теме  «Дефицит ИБ-кадров: нехватка и возможные пути решения». Его модерировал Олег Скворцов из АРБ. В дискуссии приняли участие Игорь Базелюк из Web Control,  Роман Подкопаев из Makves,  Сергей Вельц из «КБ ТехноСкор»,  Алексей Гусев, старший советник председателя правления банка «Центрокредит», преподаватель ФФБ РАНХиГС, и  Владимир Иванов  из компании «Актив». Эксперты признали наличие проблем на рынке труда в этой сфере, но подчеркнули, что большинство из них решаемы.

Третий блок Круглого стола  «Совершенствование российских продуктов ИБ»  провёл Андрей Федорец, председатель Комитета АРБ по информационной безопасности, заместитель генерального директора, директор по развитию В2В проектов компании BSS. Он рассказал о последних трендах в кибербезопасности, стратегии и инструментах противодействия современным атакам.


Генеральный директор Makves (входит в группу компаний «Гарда») Роман Подкопаев выступил с докладом на тему: «От защиты периметра к защите данных»

По его словам, в инфраструктуре каждой компании курсируют тысячи документов, которые имеют реальную коммерческую ценность, а их потеря или утечка могут привести к финансовым и репутационным рискам. Активный рост объёма информации и отсутствие прозрачной картины прав доступа к данным приводят к увеличению поверхности возможных кибератак.

Подкопаев рассказал также, как защитить корпоративные данные на примере реальных кейсов финансовых организаций, используя датацентричный подход к информационной безопасности.


Владимир Вакациенко, эксперт компании Security Vision, проинформировал участников Круглого стола, как использовать технологии машинного обучения для расширения стандартных способов обнаружения киберугроз.

Он рассказал о наиболее распространённом в индустрии механизме выявления киберинцидентов с помощью корреляционных правил  SIEM  систем. 

«Использование корреляционных правил позволяет выявлять уже известное аномальное поведение пользователей и систем, а также нарушения политик информационной безопасности. Но у корреляционной логики  SIEM  систем есть ограничения, – отмечает он. – Ключевое ограничение состоит в том, что они предназначены для обнаружения уже известной подозрительной активности. Такая активность описывается достаточно строгой логикой, что позволяет многим инцидентами оставаться незамеченными».

По его словам, для расширения существующих возможностей детектирования киберугроз и преодоления рассмотренных ограничений были предложены механизмы статистического анализа и технологии машинного обучения, используемые в решениях  Security  Vision  UEBA – специализированном программном решении, предназначенном для выявления аномальных моделей поведения пользователей и элементов инфраструктуры.


Владимир Иванов, директор по развитию компания «Актив», в своем докладе проанализировал вводимый Банком России стандарт, связанный с идентификацией и аутентификацией в финансовых организациях.



Антон Башарин, технический директор компании Swordfish Security высказался об использовании искусственного интеллекта на службе ИБ и постарался ответить на вопрос, где здесь мифы и где реальность.

По его мнению, искусственный интеллект (и ChatGPT, в частности) совершил революцию в применимости своих возможностей в повседневной жизни – распознавать лицо и голос умеет уже телефон. 

«Использование ИИ в ИБ было вопросом времени. Сейчас ИИ уже применяется на инфраструктурном уровне для обнаружения кибератак, аномального поведения пользователя и т.п., – поделился своим мнением Башарин. –  Так как ИБ стала частью разработки ПО, то ИИ можно использовать для обработки результатов сканирования, анализа процессов и выявления недостатков ПО на ранней стадии разработки. Искусственный интеллект способен сократить рутину, помочь с нехваткой кадров, но не может заменить эксперта ИБ или квалифицированного разработчика».

Сергей Вельц, технический директор и соучредитель «КБ ТехноСкор», рассказал о новом решении – конфиденциальном распределённом обмене информацией между участниками рынка.

«КБ Техноскор» – российская технологическая компания в сфере информационной безопасности. Наша основная продуктовая линейка: транзакционный и сессионный фрод-мониторинг, сеть конфиденциального обмена информацией КРаБ, – отметил в своём докладе Вельц. –  КРаб – это распределённая платформа для банков и финансовых организаций, предоставляющая по номеру телефона клиента данные про рассрочки (BNPL), сведения, которые отсутствуют в БКИ. Использование КРаБ позволяет: снизить просрочки, повысить конверсию за счёт снижения ложных срабатываний, выполнить требования ЦБ РФ по контролю закредитованности. При этом данные участника сети хранятся на его стороне, а конфиденциальность обмена достигается применением криптографического протокола private set membership test и механизма «забывчивой передачи» (oblivious transfer). К платформе уже подключены основные игроки рынка BNPL, и число участников постоянно растёт. В планах развития платформы – обогатить данные от сессионного фрод-мониторинга данными БКИ».

Завершило мероприятие выступление Дениса Суховея, директора продуктового направления защиты данных компании «Аладдин Р.Д», который подробно остановился на теме шифрования данных как способе защиты от утечек данных и несанкционированного доступа.

По его словам, защиту СУБД затрудняют технологическая сложность и высоконагруженность действующих систем, недостаток специалистов в этой области, отсутствие общепринятых методик защиты.

Раньше было популярно ограничиваться формальными организационными мерами. В современных условиях этот подход не работает и лишь отодвигает во времени построение грамотной защиты СУБД, считает Суховей.

Далее он перечислил, к чему приводит игнорирование проблемы: администраторы СУБД с неограниченным доступом могут как случайно, так и намеренно создать ИБ-инцидент; утечки информации коммерциализируются (базы данных продаются на теневом рынке, попадают в руки конкурентов); растёт реальная ответственность организаций за нарушение закона «О персональных данных», ужесточаются меры за утечку персональных данных (с последующим введением оборотных штрафов) и, наконец, – это удар по репутации, потеря конкурентных преимуществ.

Далее он рассказал о решении «Крипто БД», внедрение которого позволяет решить проблемы защиты баз данных. Продукт надёжно защищает информацию в СУБД, выполняет функции СКЗИ, «прозрачно» шифрует данные, разграничивает права доступа пользователей, обеспечивает журналирование, аудит и мониторинг, ограничивает действия «суперпользователей».


Текст: NBJ. Фото: Сергей Асланян (АРБ)

Материал также опубликован в печатной версии Национального банковского журнала (апрель 2024)