О главных задачах Банка России в области информационной безопасности, о том, удается ли финансовым организациям в полном объеме следовать стандартам и законодательным требованиям по обеспечению информационной безопасности и зачем регулятор создает специальную структуру, которая будет отвечать за координацию борьбы банков с киберугрозами, рассказал в интервью NBJ заместитель начальника Главного управления безопасности и защиты информации (ГУБЗИ) Банка России Артем СЫЧЕВ.

основной вопрос безопасности – это доверие

NBJ: Артем Михайлович, мы с Вами беседовали полгода назад. Тогда Вы сказали, что особое внимание Банк России уделяет обеспечению кредитными организациями безопасности при переводе денежных средств в соответствии с законом № 161-ФЗ. Какие первооче-редные задачи в данной сфере стоят в настоящее время перед Банком России? 

А. СЫЧЕВ: Собственно говоря, за этот отрезок времени дополнительных вызовов не прибавилось. Мы планомерно идем к достижению нашей цели – снижению уровня преступных посягательств, предпринимаемых для хищения денежных средств как клиентов кредитных организаций, так и непосредственно самих коммерческих банков.

Формируются стандарты в сфере обеспечения информационной безопасности (ИБ) банковских и небанковских кредитных организаций. В чем это выражается? Введены в действие два новых документа в области стандартизации. 

Первый относится к ресурсному обеспечению ИБ. В нем содержатся рекомендации, которые помогут руководству банков в формировании штатного обеспечения структуры, бюджета службы информационной безопасности и т.д. В методологии изложен комплексный подход к организации и поддержке в банках деятельности службы ИБ. Отмечу, что документ написан 
на языке бизнеса: ясно, четко и понятно. 

Второй документ – рекомендации в области, связанной с обеспечением безопасности при работе с виртуальными средами и облачными сервисами. Данный документ актуален и важен 
в текущих условиях, когда банки, биржи, страховые и другие финансовые институты экономят собственные средства и переходят на использование виртуальных сред и облачных сервисов. Уверен, он будет востребован специалистами службы информационной защиты в ежедневной практике. 

NBJ: Расскажите, пожалуйста, подробнее о документе по обеспечению информационной безопасности в облачных сервисах.

А. СЫЧЕВ: Мы рассмотрели достоинства и недостатки использования облачных сервисов в рамках технологий Банка России. И в этом документе суммировали накопленный опыт крупных международных и российских банков и наш собственный. По сути, подготовлены все необходимые рекомендации по обеспечению информационной безопасности при облачных вычислениях. Документ достаточно тесно коррелируется с позицией, которую сейчас формирует по этому вопросу Федеральная служба по техническому и экспортному контролю. Здесь у нас нет расхождений. Вместе с тем документ в большей степени адаптирован к банковским реалиям. Что касается крупных кредитных организаций, то многие из них уже фактически работают так, как предусмотрено в наших рекомендациях. 

Уверен, что подготовленные материалы будут полезны для большинства малых и средних игроков. Это некое пособие, которое позволит не изобретать велосипед заново в каждом банке. Обратившись к нему, руководители организаций узнают, на что необходимо обратить внимание и какие требования следует выдвигать при взаимодействии с информатизаторами, подрядчиками и провайдерами соответствующих услуг.

NBJ: Банк России создает центр реагирования на инциденты на базе ГУБЗИ. Расскажите, пожалуйста, об этом проекте. 

А. СЫЧЕВ: Схемы хищений денежных средств становятся изощреннее. Мошенники быстро совершенствуют свои методы. Применяемые ими технологии модифицируются. Эти изменения необходимо анализировать и адекватно реагировать на них, потому что последствия для клиентов банков, а значит, и для владельцев бизнеса могут быть очень серьезными. Для решения таких задач необходима структура, которая будет аккумулировать информацию от банков о выявленных киберугрозах. 

Вопрос о создании центра реагирования на инциденты на базе Главного управления безопасности и защиты информации Банка России прошел обсуждение в Совете безопасности Российской Федерации, и на сегодняшний день у нас есть соответствующее поручение о формировании такой структуры. Центр реагирования на инциденты будет создан с участием Федеральной службы безопасности, Министерства внутренних дел, Федеральной службы по техническому и экспортному контролю. В ближайшее время начнутся организационные мероприятия, будет разработана методология, сформулированы правила информационного обмена и вовлечения участников в данный процесс. Мы постепенно, но верно движемся к своей цели и стараемся, чтобы наши шаги были продуманными, выверенными. 

NBJ: Как отреагировало банковское сообщество на создание центра реагирования на инциденты? Какую позицию заняли в этом вопросе финансовые организации? 

А. СЫЧЕВ: Когда появилось предложение о создании центра реагирования на инциденты, эта инициатива обсуждалась не только внутри Банка России и других органов власти, но и с коммерческими банками. Причем на самых разных уровнях: и с руководителями, и со службами безопасности, и с информатизаторами. Безусловно, были высказаны некоторые опасения. Вместе с тем в банковском сообществе есть понимание, что создание такой структуры поможет эффективно взаимодействовать и обмениваться информацией регуляторам, кредитным организациям, банковским ассоциациям и правоохранительным органам. Лучшего механизма для получения оперативных сведений о потенциальных рисках, которые могут возникнуть в кредитных организациях, пока не придумано. Данный инструмент позволит банку вовремя получить информацию и предпринять необходимые меры, чтобы предотвратить последствия киберпреступлений. 

Банкиры понимают, если сегодня злоумышленники атаковали соседа, то завтра этот же способ мошенничества они могут использовать против них. Поэтому давайте следовать известному правилу: «Предупрежден – значит вооружен!». Естественно, у банков есть заинтересованность в такой информации. 

Возможно, на первом этапе поток данных от кредитных организаций, участвующих в обмене, будет не очень большим, что вполне объяснимо. Сегодня наша первоочередная задача – добиться доверия банковского сообщества к работе центра реагирования на инциденты. ЦБ, как регулятор, собирает такую информацию для того, чтобы обобщить ее со сведениями, которые мы получаем от правоохранительных органов. Мы сможем своевременно предупреждать об опасностях коллег из коммерческих организаций, а у них появится возможность оперативно предотвращать инциденты. Я общался с руководителями и специалистами банков и могу сказать: на горизонте трех лет большинство кредитных организаций будут участвовать в таком обмене информации. 

средняя температура по больнице в пределах нормы

NBJ: Эксперты отмечают, что для борьбы с мошенничеством нужна координация всех заинтересованных сторон. Каким Вы видите данный процесс?

А. СЫЧЕВ: Для этого и создается центр реагирования на инциденты, его основная цель – координация действий всех заинтересованных сторон. Для его полноценной работы необходимо внести некоторые изменения в законодательство. ЦБ сегодня прорабатывает такие изменения с привлечением юристов и экспертов из банковской отрасли. Работа проводится в рамках межведомственной группы, созданной в Банке России. Мы также видим необходимость внесения изменений в закон о банковской деятельности, в Уголовно-процессуальный кодекс и, возможно, в закон о национальной платежной системе в части конкретизации действий операторов в случае выявления несанкционированных платежей. 

Необходимо также конкретизировать составы преступлений в Уголовном кодексе. Приведу типичный пример. В 187 статье УК РФ в качестве одного из составов определено изготовление и сбыт средств для незаконного получения информации по платежным инструментам. Грубо говоря, речь идет о скимминг-оборудовании. Изготовление и сбыт таких средств – это уголовно наказуемое преступление, а вот за установку скимминг-оборудования привлечь к уголовной ответственности нельзя. Дело в том, что злоумышленник формально никогда не берет украденные деньги в руки, он лишь устанавливает оборудование для хищения данных с карт клиентов банков. Доказать участие злоумышленника в подготовке к совершению преступления нельзя. Дела рассыпаются. 

Здесь мы должны опираться на опыт зарубежных коллег. Например, когда в Финляндии столкнулись с такой проблемой, они нашли эффективный метод для противодействия подобным преступлениям. За рубежом и в России работают интернациональные преступные группы – по мере того как на европейском рынке разрабатываются эффективные меры противодействия, они перемещаются в нашу страну. 

NBJ: Как Вы считаете, удается ли банкам в полном объеме следовать стандартам и законодательным требованиям к обеспечению ИБ? 

А. СЫЧЕВ: Общий уровень обеспечения информационной защиты сильно отличается в разных кредитных организациях. Но значение средней температуры по больнице в пределах нормы. Почему я делаю такой вывод? Опираясь на отчетность Центрального банка по инцидентам ИБ, могу сказать, что в 2014 году было зафиксировано около 64 тысяч различных случаев, связанных с нарушением требований безопасности. Если говорить о платежных инструментах, то различным вариантам атак подверглись почти 84 тысячи карт. Однако при этом доля потерянных денег от общего платежного оборота составляет всего-навсего тысячную долю процента.

Давайте посмотрим на ретроспективу и сравним по этому показателю 2013 и 2014 годы. Мы увидим, что количество инцидентов выросло в среднем более чем на 20%, а вот доля потерянных денег сократилась. Да, атак становится больше, но очевидно, что мои коллеги из банков уже научились их предвидеть, отражать и вовремя принимать необходимые меры.
 

на внутреннем рынке в приоритете отечественные антивирусы

NBJ: Каковы главные вызовы в сфере ИБ на сегодняшний день? 

А. СЫЧЕВ: Я бы обратил внимание вот на какой важный и актуальный вызов. Раньше никто всерьез не задумывался о возможностях, которые имеют иностранные производители софта, программного и аппаратного обеспечения. Однако последние геополитические события приводят к неутешительным выводам. Проблема некриминального, но преднамеренного воздействия на информационные системы, к сожалению, оказалась актуальной. Причем не столько для конкретного банка, сколько для всей системы. 

Как этому противостоять? По нашим экспертным оценкам, доля программного обеспечения импортного производства в кредитных организациях составляет около 40%. Если говорить о базах данных, операционных системах, то там импорт составляет уже более 90%. В аппаратном обеспечении данный показатель еще выше. Говорить о том, что мы сейчас одним легким движением руки изменим сложившуюся ситуацию, нельзя. Это все понимают. Но сегодня мы обязаны предпринимать меры для того, чтобы изменить такое положение дел. Мы должны быть уверены, что наши системы будут работать, если западные коллеги вдруг прекратят их поддержку. Необходимо уделять особое внимание контролю качества разработок приложений и контролю защищенности систем как таковых. Это даст понимание того, откуда можно ждать беды. Уже подготовлены и действуют рекомендации по обеспечению безопасности на всех этапах жизненного цикла автоматизированных банковских систем, включая разработку программного обеспечения и его эксплуатацию. 

Если же говорить о том, как будет формироваться контроль качества, то данную проблему нам еще предстоит обсудить с экспертами банков, вендоров, разработчиков и интеграторов. 

NBJ: Насколько активны российские разработчики средств информационной защиты в вопросе импортозамещения?

А. СЫЧЕВ: Отечественных средств в области информационной защиты в номенклатуре немало. Государство установило определенные требования к производителям, их деятельность лицензируется. Если говорить о различных средствах безопасности, то некоторые отечественные продукты даже лучше импортных. Так, на внутреннем рынке в приоритете российские антивирусы.

Дело не в импортозамещении, а в том, что отечественные лаборатории лучше чувствуют специфику вредоносных программ, которые у нас работают. Если говорить о SIEM (системе сбора и корреляции событий), то за последнее время появилось несколько российских продуктов, которые могут составить достойную конкуренцию импортным аналогам. В части предотвращения вторжений нам тоже есть на что опереться. Сложнее дело обстоит с аппаратными платформами, уровнем баз данных и операционными системами. Здесь требуется серьезная поддержка государства, чтобы были созданы свои экосистемы по операционным средам и собственные средства разработки. 

NBJ: Какой тип атак на финансовые организации кажется Вам самым опасным и в чем заключается эта опасность? Сегодня говорят о существенном увеличении количества таргетированных атак со стороны хакеров. 

А. СЫЧЕВ: Под термин «таргетированные» подпадает достаточно большой пласт атак. Вызывает опасения массированное использование социальных сетей, причем для разного вида нападений – как для проведения атак социальной инженерии, так и для сброса вредоносного программного обеспечения. 

Еще один момент, на который следует обратить внимание, – излишнее доверие к традиционным средствам безопасности. Считается, что если установили антивирус, средство отражения, инструменты для обновления ПО, то все будет хорошо. Это не так! Последние события свидетельствуют о том, что банкам и их клиентам пытаются сбросить «вредонос», который не «ловится» перечисленными средствами защиты. Но при этом программа ждет момента и перенаправляет необходимую информацию злоумышленникам. Поэтому сегодня требуется координация усилий в рамках центра реагирования на инциденты. Для обеспечения безопасности нужно использовать не только традиционные механизмы, но и проводить мониторинг и контролировать состояние защищенности и качества разработок. 

NBJ: Оцените уровень затрат российских банков на информационную безопасность. Насколько они адекватны вызовам?

А. СЫЧЕВ: Регулятор не должен выяснять, сколько тратят кредитные учреждения на системы собственной защиты. Но банки исходят из того, что им необходимо для развития бизнеса. Каждая организация решает задачу обеспечения информационной безопасности самостоятельно, исходя из действующего законодательства, собственных интересов и возможностей. И если она использует новые технологии, то ей приходится думать о защите своих основных ресурсов. Особенность любого бизнеса заключается в следующем: руководители вспоминают о мерах защиты, когда «петух клюнет». Их можно понять, потому что первостепенная задача коммерческого банка – получение прибыли, а не решение проблем ИБ.

на каждого хитрого отыщется изворотливый

NBJ: С 1 сентября 2015 года вступает в силу закон, который обязывает банки хранить персональные данные россиян на отечественных серверах. Могут ли возникнуть сложности с его исполнением? 

А. СЫЧЕВ: Я не ожидаю каких-то сложностей, российские банки в состоянии справиться с выполнением требований закона. Не вижу я преград и в отношении кредитных организаций с иностранным участием, которые обрабатывают и хранят данные клиентов в сторонних ЦОД. Закон достаточно гибкий. Его нужно читать в совокупности с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных». 

NBJ: Какие рекомендации Вы дадите банкам с учетом политических факторов?

А. СЫЧЕВ: Прежде всего, не быть уверенным в том, что все будет так же хорошо, как раньше. Ситуация изменилась. Сегодня необходимы определенные резервы, чтобы в случае прекращения поддержки иностранными компаниями собственных продуктов и разработок, мы могли бы пользоваться ими. Нужно наращивать собственные компетенции, искать партнеров, постараться рассматривать с точки зрения безопасности решения отечественных производителей в тех сегментах, где такие возможности есть. 

NBJ: Можно ли создать совершенную систему информационной безопасности, где для мошенников не останется места?

А. СЫЧЕВ: Можно. Это компьютер в сейфе, который зарыт в земле на глубину десять метров и сверху залит бетоном. Но кому он такой будет нужен?

И все-таки практика показывает, что можно найти такие способы защиты, когда их преодоление обойдется злоумышленникам в сумму, превышающую полученную прибыль. Решающее значение в достижении этой цели имеет также соблюдение принципа неотвратимости наказания. Злоумышленники должны понимать, что их деятельность преследуется и строго карается законом. Хакеры за свои преступления должны получать большие сроки. 

NBJ: Должны, но Вы сами дали понять, что они обычно ускользают от наказания.

А. СЫЧЕВ: Да, к сожалению, пока выходит по-другому. Типичный пример: в свое время был взломан экран в самом центре Москвы, и человек за это получил реальный срок – пять лет в колонии. А два лица, которые украли у клиентов банка 12 млн рублей, отделались условным сроком, потому как суд счел их действия не опасными для общества.

Страх перед уголовной ответственностью позволит сократить вовлечение в преступный бизнес большого количества молодежи. Когда у заказчиков не будет дешевых исполнителей, которые атакуют и выводят ворованные средства, их затраты значительно вырастут, а маржа сократится. Наша задача – сделать так, чтобы киберпреступления стали экономически невыгодными. 

NBJ: Президент НАИРИТ Ольга Ускова посоветовала банкам, обслуживающим серьезных клиентов, обратить внимание на системы управления, которые были разработаны специально для ведущих силовых структур. Вы согласны с таким советом? 

А. СЫЧЕВ: На каждого хитрого отыщется изворотливый. История неновая. Идет соревнование брони и снаряда. Причем снаряд всегда чуть-чуть впереди. Поэтому, какую бы новую технологию защиты ни разработали специалисты, всегда найдется профессионал, который ее взломает, найдет в ней ошибку и сможет этим воспользоваться. 

Основная наша задача – не постоянная гонка за техническим перевооружением, а создание условий, в которых злоумышленникам пришлось бы очень дорого платить за свои действия, и преступный бизнес стал бы нерентабельным. В любой атаке хакеров есть либо экономическая, либо политическая составляющая. Кибернападения всегда кто-то оплачивает. Значит, необходимо предпринять такие меры, чтобы затраты на эти атаки перестали окупаться.

NBJ: Звучит как сказка.

А. СЫЧЕВ: Это возможно. Да, киберпреступность не исчезнет, но ее уровень снизится в разы. Наши правоохранительные органы умеют выявлять и арестовывать группы хакеров. Но для того чтобы эффективно противостоять киберпреступности, необходим целый комплекс мер: изменения в законодательстве, разработка продуктов и услуг в соответствии со стандартами безопасности нового уровня, реализация технических и организационных мер, информирование клиентов кредитных организаций. И мы в своей ежедневной работе планомерно движемся к достижению этой цели.