Свою точку зрения на современные проблемы информационной безопасности в банковском секторе и на то, какие тенденции И Б будут актуальными в перспективе, в интервью НБЖ рассказал заместитель директора Центра информационной безопасности компании «Инфосистемы Джет» Евгений АКИМОВ.

НБЖ: На сегодняшний день банки обязаны выполнять целый комплекс стандартов и законов, касающихся информационной безопасности. Как вы считаете, что для кредитных организаций является наиболее актуальным в этой связи?

Е. АКИМОВ: Действительно, за последние несколько лет на банковское сообщество был «спущен» целый ряд нормативных   документов,   начиная с рекомендательного стандарта по информационной безопасности Банка России - СТО БР ИББС и заканчивая обязательными требованиями по безопасности процессинга международного стандарта PCI DSS. Кроме того, нужно вспомнить нормативы по защите персональных данных, продиктованные федеральным законодательством. Финансово-кредитные организации в течение нескольких лет занимаются этими вопросами, и многие из них уже соответствуют требованиям данных документов.

Сейчас особую актуальность приобрел набор требований по безопасности национальной платежной системы, берущих свое начало от Федерального закона «О национальной платежной системе». Хотя закон был принят несколько лет назад, ввод в действие статей, которые в большей степени касаются вопросов защиты информации, планировался на декабрь 2012 года. И здесь в очередной раз сработал известный российский принцип «пока гром не грянет, мужик не перекрестится». Банковское сообщество буквально за несколько месяцев до декабря прошлого года спохватилось и задалось вопросом: а как же, собственно, эти требования выполнять? Вполне логично, что законодатели перенесли на год вступление в силу девятой статьи закона. Сейчас у банковского сообщества есть около года для того, чтобы разобраться и понять, что следует предпринять.

НБЖ: Получается, что после выхода еще одного свода нормативных требований банковская сфера, которая традиционно относится к одной из наиболее подготовленных к решению задач в области И Б, оказывается недостаточно защищенной?

Е. АКИМОВ: Понятно, что для защиты информации независимо от того, происходит это согласно стандарту PCI DSS, или СТО БР ИББС, или нормативу по защите персональных данных, в банке должна быть определенная инфраструктура, некий набор средств защиты, например, шифрование, антивирусы и т.п. Поэтому готовность банковского сообщества к новому своду требований можно оценить как высокую, поскольку в финансово-кредитных организациях уже внедрены многие технические подсистемы и процессы ИБ, разработаны необходимые документы.

Однако есть одно но, которое продиктовано девятой статьей закона. Фактически речь идет о переносе ответственности за мошеннические операции с клиентов на банки. Кроме того, одновременно Центробанк начинает собирать информацию о происходящих инцидентах. В таких условиях кредитные организации уже не смогут жить по-старому, ведь если клиент отказался от совершенной операции, то банк сначала должен будет возместить ему «потерю», а потом уже доказывать, кто виноват. Такой разбор полетов может стоить финансовым учреждениям очень дорого, включая судебные разбирательства. Также не следует забывать об имиджевых потерях.

В данной ситуации можно ожидать резкого всплеска мошеннических действий, в том числе от самих клиентов.

Изменения в нормативной базе, касающиеся переноса ответственности с клиента на банк, позволяют использовать очень простой механизм мошенничества, которого ранее в арсенале злоумышленников не было.

НБЖ: Понятно, что в такой ситуации банки должны что-то предпринять. Как вы думаете, достаточно ли им срока до конца текущего года?

Е. АКИМОВ: Если посмотреть на те проекты по внедрению систем противодействия мошенничеству или фрод-мониторинга, которые уже были в нашей стране, то десять месяцев - это крайне короткий срок. По нашему опыту внедрение фрод-машины с базовым функционалом занимает примерно полгода, но это уже с момента подписания договора. А ведь банкам еще необходимо время на то, чтобы сформировать требования, выбрать подрядчика и т.д. Я уверен, что в большинстве случаев, если процесс начать сейчас, то есть вероятность неплохо подготовиться к подобным изменениям. Но если продолжать ждать и, например, только к концу лета вспомнить, что декабрь не за горами, то шансов уже практически не будет. Думаю, что очень большое число банковских организаций в этом году ждет внедрение фрод-машин. Тот, кто не пойдет этим путем, обречен на потерю денег.

Ситуацию облегчает то, что, несмотря на в целом серьезную стоимость проектов, благодаря быстрой окупаемости (исходя из нашей практики могу сказать, что срок окупаемости подобных систем обычно меньше года, в редких случаях - полтора-два года) можно рассчитывать на так необходимый их быстрый старт.

НБЖ: Какие еще тенденции, наряду с внедрением фрод-машин, ожидают рынок в ближайшее время?

Е. АКИМОВ: Нормативных документов, актуальных   для   банков,   становится больше. Небольшие финансовые учреждения, локализованные в одном регионе, могут с помощью таблицы Excel свести все требования воедино, чтобы понять, удовлетворяют они им или нет.

Для больших организаций, и мы сталкивались с этим неоднократно, разобраться, какие нормативы должны быть реализованы по всем локациям банка, - довольно сложная задача. Поэтому существует большая вероятность, что банки обратятся к средствам автоматизации процессов контроля выполнения нормативных требований. В этом отношении наблюдается серьезный интерес к системам автоматизации процессов и проверки кон-тролей ИБ, которые могут быть реализованы на базе систем класса GRC (Governance, Risk and Compliance). Уже сейчас нами выполнен ряд пилотных проектов с очень хорошим результатом, часть которых переросли в полноценное внедрение. В будущем их востребованность будет только увеличиваться.

У банков один пласт задач состоит из compliance, другой - из повышения (или хотя бы сохранения) уровня ИБ, который необходим для выполнения бизнес-функций, в условиях изменений как бизнеса, так и ИТ.

В настоящее время можно говорить о появлении нового ИТ-ландшафта: практически все организации уже перешли на виртуальные платформы, присматриваются к облачным технологиям и активно начинают использовать личные мобильные устройства своих сотрудников в корпоративной работе (концепция BYOD). Поэтому вполне закономерно, что с точки зрения ИБ возникают новые задачи, необходимы дополнительные механизмы защиты, которые раньше не требовались, потому что таких сущностей, как виртуальные среды и «облака», просто не было. Например, за последнее время нами было выполнено несколько крупных проектов по защите виртуальных сред. Я думаю, что в ближайшем будущем этот опыт будет массово востребован и в кредитных организациях.

Особенно хочется отметить пласт ИТ-решений, направленных на обеспечение экономической безопасности банков. Сегодня информационные технологии дают ряд инструментов, существенно повышающих эффективность этой деятельности. В частности, появляются решения, дающие возможность проводить полноценный разносторонний анализ операций (в том числе на предмет мошенничества): от прихода нового клиента и рассмотрения заявки на кредит до дальнейшей его «жизни» в CRM, анализа его операций в ДБО и т.п. Такие приложения можно назвать своеобразным «ERP в области безопасности», объединяющим полтора десятка разрозненных приложений. Подобные системы только появляются, и мы ожидаем, что они будут весьма эффективными.

НБЖ: Сейчас многие говорят о расследовании инцидентов. Что нового можно ожидать в этой сфере?

Е. АКИМОВ: То время, когда инциденты ИБ были единичными, ушло. Уже пару лет назад я отмечал переход от парадигмы риск-менеджмента к управлению конкретными потерями/инцидентами, которые несет организация. В этом смысле расследование инцидентов стало не разовой задачей, а постоянным процессом. Для ее решения появляется соответствующий инструментарий, позволяющий поднимать исторические данные, делать выгрузки из архивов DLP-систем и т.д. Если сейчас можно в основном выполнять лишь пост-анализ, то в будущем появится возможность анализа в режиме real-time. Причем речь идет не только о построении системы анализа коммуникаций между сотрудниками организации, но и об анализе низкоуровневого взаимодействия (например, активности сетевых червей и других сетевых атак). Это очень интеллектуально емкое направление, причем мы имеем возможность воспользоваться мировым опытом в этом направлении, в том числе в области Advanced Persistent Threat Protection (APTP).