В 2013 году московский Алеф-Банк предоставил своим розничным клиентам доступ к удобному мобильному банкингу, совсем недавно он внедрил систему управления заявками на доступ, разработал комплекс мер, сообщающих гражданам о риске кибермошенничества. Легко ли обеспечивать информационную безопасность небольшой, но успешно развивающейся кредитной организации? Об этом рассказал NBJ начальник отдела ИБ Алеф-Банка Константин МАЛЮШКИН.

если стратегия национальной кибербезопасности будет принята, это будет большим шагом в верном направлении

NBJ: Константин, расскажите, пожалуйста, о задачах, которые стоят перед службой безопасности Алеф-Банка на сегодняшний день.

К. МАЛЮШКИН: В настоящий момент мы работаем над стратегией информационной безопасности, в которой будут прописаны наши цели и задачи на ближайшие несколько лет. Следование стратегии предполагает решение трех основных задач.

Первая – противодействие кибермошенничеству. Мы проанализировали статистические данные за прошедший год и пришли к выводу, что наибольшую угрозу для нашей организации представляют банкоматные мошенничества и социальная инженерия. Наши клиенты активно пользуются устройствами других банков, нередко становясь при этом жертвами скиммеров.

NBJ: Приходится ли сталкиваться с кражами из собственных банкоматов?

К. МАЛЮШКИН: Периодически приходится, поэтому каждая операция по загрузке денег в наши банкоматы сопровождается тщательным осмотром АТМ с целью обнаружения скимминговых устройств. Кроме того, в ближайшее время мы планируем провести серию мероприятий по информированию наших клиентов. Надеемся, это поможет гражданам безошибочно идентифицировать скимминговые устройства на банкоматах.

Таким образом, вторая задача, которая стоит перед службой безопасности нашего банка, – повышение уровня знаний клиентов об информационной
безопасности. Увы, не секрет, что большинство краж денег со счетов граждан происходит по их же вине, из-за халатного отношения к электронным средствам платежей. Мы планируем подготовить образовательный мультимедийный контент для отображения на экранах банкоматов и телевизорах в операционных залах банка. Уже выпущены различные печатные памятки с целью привлечь внимание максимального числа вкладчиков, пробудить их интерес к теме информационной безопасности.

NBJ: Перечислите, пожалуйста, самые грубые ошибки, которые допускают клиенты банков.

К. МАЛЮШКИН: Нередко имеет место следующая ситуация: клиент входит в личный кабинет интернет-банкинга через мобильный телефон, используя логин и пароль, а спустя какое-то время теряет гаджет. Если устройство было заражено вирусом, считывающим данные, либо логин и пароль были записаны в телефоне, злоумышленнику остается только завладеть гаджетом или сим-картой для получения сеансового ключа. Операции по счету в таком случае становятся доступными для мошенника.

При пользовании банкоматами клиенты зачастую вводят ПИН-код карты, не проверив АТМ на наличие накладной клавиатуры и скиммингового устройства для считывания магнитной полосы.

NBJ: Наверное, обывателю не так-то просто их распознать…

К. МАЛЮШКИН: Это не очень сложно. Я, например, уже научил свою супругу элементарным правилам безопасности. Перед снятием наличных в банкомате необходимо прикоснуться к картоприемнику, проверить, не установлено ли на нем считывающее устройство, обычно оно крепится на двусторонний скотч. Также можно попробовать поддеть клавиатуру: если попытка не увенчалась успехом, значит банкоматом можно пользоваться. Данную информацию в виде фотографий, видеофильмов можно донести и до клиентов банка. В нашей стране пока немодно беспокоиться об информационной безопасности, вероятно, это происходит потому, что сами банки не проявляют к ней должного интереса.

Третья задача, предусмотренная нашей стратегией, – поддержание соответствия системы информационной безопасности банка требованиям российского и международного законодательства. Ни для кого не секрет, что значительная часть рабочих ресурсов уходит на достижение формального соответствия нормативным актам, на составление документов, разработку всевозможных процедур.

NBJ: Можно ли из Ваших слов сделать вывод о том, что законодатель зачастую перегибает палку в своем стремлении урегулировать сферу информационной безопасности?

К. МАЛЮШКИН: Нет, я бы так не сказал. Если выбирать между отсутствием законов и их избытком, я бы отдал предпочтение последнему. Правда, определенные сложности создают требования ФСБ в части использования средств криптографической защиты информации. Из года в год документы службы сохраняют требование по использованию отечественной криптографии по ГОСТ. Возникают определенные проблемы из-за скорости работы данных криптографических устройств. Российские разработки немного уступают по функциональности западным аналогам, поэтому банкам приходится создавать компенсационные меры с целью сглаживания указанного недочета.

Я считаю, что законодательство в сфере информационной безопасности совершенствуется. Еще в 2010 году наблюдалась большая путаница при трактовке юридических документов. Сегодня дела обстоят гораздо лучше, законодатель движется в верном направлении.

Жаль, что РФ отказалась ратифицировать конвенцию по кибербезопасности, предложенную Советом Европы. К ней присоединилось несколько европейских стран, ЮАР, Япония и США. Президент России счел неподходящими некоторые условия документа, и ратификация не состоялась. Я уверен, что принятие конвенции могло бы стать серьезным шагом при решении проблем, связанных с киберпреступностью.

В прошлом году Советом Фе-
дерации обсуждался проект стратегии национальной кибербезопасности, предполагающей создание в РФ экспертно-консультационного центра по кибербезопасности. Также предлагается внести изменения в УК РФ: банкам невыгодно идентифицировать и ловить злоумышленников, так как последние нередко выходят сухими из воды, суд оказывается на их стороне, как бы странно это ни звучало.

На одной из конференций по информационной безопасности эксперты-криминалисты МВД приводили следующую статистику: из 20–30 дел, которые доходят до суда, обвинительный приговор выносится лишь по двум-трем. Это очень низкий показатель. Доказать виновность киберпреступника сложно: несовершенна доказательная база, не хватает компетенции органам следствия.

Если стратегия национальной кибербезопасности будет принята, это будет большим шагом в верном направлении.

каждое техническое средство, применяемое нашей службой безопасности, сопровождается пакетом внутренних документов

NBJ: Поговорим о соотношении организационных и технических мер при обеспечении безопасности в Алеф-Банке. Возможно, наблюдается перевес в пользу тех или других?

К. МАЛЮШКИН: В нашем случае следует говорить о паритете. Алеф-Банк принял в качестве обязательного документа СТО БР ИББС, а им, как известно, предусмотрены и организационные, и технические меры. Мы стараемся придерживаться этого направления. Возьмем, к примеру, некое техническое средство: его внедрение должно сопровождаться разработкой регламентов, внутренних документов, описывающих роли и обязанности сотрудников при работе с данным средством защиты информации. Это не что иное, как организационные меры. Каждое техническое средство, применяемое нашей службой безопасности, сопровождается пакетом внутренних документов.

С недавних пор в нашем банке начала действовать система управления заявками на доступ. Ее внедрение было вызвано расширением самой кредитной организации, ростом количества ИТ-систем. Число заявок, которые отправлялись в основном через Outlook, возросло до нескольких тысяч, мы утратили возможность отслеживать доступ сотрудников к информационным ресурсам банка. В результате была разработана программа по управлению заявками на доступ. Теперь в случае увольнения работника мы легко можем произвести выборку всех заявок на предоставление прав доступа к информационным ресурсам кредитной организации, которые были оформлены на этого сотрудника до момента его увольнения. На основании полученной выборки мы можем оперативно закрыть доступ человеку ко всем ресурсам.

Это техническая мера, но она сопровождается рядом организационных предписаний, обучающих работе в данной системе.

NBJ: Удается ли банкам объединяться, чтобы противостоять киберугрозам? Есть ли у вас перед глазами примеры удачного сотрудничества? Участвовал ли Алеф-Банк в подобных объединениях?

К. МАЛЮШКИН: Федеральным законом «О банках и банковской деятельности» предусмотрен такой термин, как «банковская тайна». Ее разглашение допустимо только при наличии запроса правоохранительных органов, органов федеральной исполнительной власти, например налоговых, и других инстанций, перечень которых строго ограничен законом. К сожалению, банки не входят в этот список.

В случае когда сторонняя кредитная организация высылает нам запрос на блокировку какой-либо транзакции, мы не можем ее отменить, поскольку обязаны обслужить своего клиента согласно договорным обязательствам. Если мы остановим операцию и не сможем доказать, что она мошенническая, возникнет риск определенных репутационных потерь.

Стоит упомянуть положительные сдвиги в данной области. Ассоциация российских банков выпускает различные отчеты, анализирует последние тенденции в области борьбы с киберпреступностью. Также кредитные организации обязаны отправлять в Центральный банк отчетность по инцидентам, которая агрегируется, обезличивается и публикуется на сайте Банка России. Каждые полгода мы имеем возможность изучать подробную статистику по банкам, которая включает в себя описание наиболее успешных способов мошенничества и методов борьбы с ними.

Существуют комитеты при Государственной думе и правительстве, которые занимаются вопросами законодательства в области информационной безопасности, привлекают к обсуждению и решению проблем экспертное сообщество, в том числе представителей банков. Смею надеяться на существенное улучшение ситуации, связанной с сотрудничеством финансовых институтов между собой.

NBJ: Какие виды мошеннических атак причиняют вам наибольшее неудобство?

К. МАЛЮШКИН: Еще один вид распространенных атак – социальная инженерия. Нашим сотрудникам, работающим, как правило, в филиалах, поступали звонки от мошен-
ников, которые представлялись специалистами ИТ-подразделения, предупреждали о тестировании системы денежных переводов и просили собеседника совершить тестовый перевод. Алеф-Банк разработал регламент, согласно которому переводы, превышающие определенную символическую сумму, не производятся. Называя иную цифру, мошенник выдавал себя. Были случаи, когда злоумышленникам практически удавалось реализовать преступные намерения, но их действия пресекались на завершающей стадии общения.

Все тестовые переводы проводятся только нашим ИТ-подразделением и исключительно в тестовых системах. Мы требуем от сотрудников неукоснительного соблюдения данных предписаний, потому что на другом конце провода находятся, как правило, отличные психологи, способные заговорить человека. Впрочем, успехами такие попытки все равно не увенчиваются.

NBJ: Если говорить о банках в целом, какой вид атаки представляет для них наибольшую угрозу?

К. МАЛЮШКИН: Самыми опасными я считаю DDoS-атаки – они могут привести к отказу целого комплекса серверов, которые обслуживают различные банковские процессы.

NBJ: Назовите, пожалуйста, наиболее эффективный способ борьбы с утечками конфиденциальной информации.

К. МАЛЮШКИН: Бороться с утечками следует при помощи ряда разработок, например DLP-систем, которые выявляют ту или иную информацию на пути ее следования за пределы банка. Сотрудник может скопировать данные на USB-устройство, отправить их по электронной почте на внешний адрес или воспользоваться интернет-сервисом для загрузки информации.

Одной DLP-системы для борьбы с утечками недостаточно – существуют легкие способы обойти и обмануть ее. В данном случае необходимо применять дополнительные организационные меры. Одной из таких мер может быть блокировка USB-портов на рабочих станциях тех сотрудников, должностные обязанности которых не предполагают использование USB-носителей для обмена информацией с контрагентами. Важно вести учет всех внешних носителей, выдаваемых сотрудникам для обмена данными, недопустимо при этом позволять пользоваться личными устройствами.

В Алеф-Банке программным способом блокируются USB-порты – работать с документами на USB-носителях можно только в режиме чтения. Запись конфиденциальной информации на флешку осуществляется исключительно по согласованию со службой информационной безопасности на отдельно выделенных для этих целей рабочих станциях. Использовать личные флешки для хранения секретных данных запрещено.

Для защиты от утечек через интернет-каналы мы используем интернет-киоск, который обеспечивает доступ в Интернет всем сотрудникам только через терминальное соединение. Скачивание файлов и их загрузка в сеть осуществляются через единственную буферную папку, которая проверяется службой информационной безопасности на предмет содержания конфиденциальных сведений.

Корпоративная почта в Алеф-Банке контролируется не настолько серьезно, как другие каналы утечки информации, однако мы работаем над тем, чтобы и здесь применить передовые средства защиты. Вероятно, будет введен электронный архив. Мы находимся на перепутье, колеблемся между двумя вариантами: внедрить DLP-систему или систему электронного архивирования почты, предоставив доступ к архивам службе информационной безопасности. В последнем случае предполагается, что на нас упадет серьезная дополнительная нагрузка, так как придется работать с данными в архиве вручную.

вероятность возникновения угрозы не может равняться нулю, как не могут равняться нулю риски

NBJ: Представьте, что в ваших силах разработать совершенную систему информационной безопасности. Какой бы она была?

К. МАЛЮШКИН: Увы, на практике подобную систему создать невозможно. При оценке эффективности какой-либо системы банк всегда оценивает риски, которые неразрывно связаны с понятием безопасности, вероятностью реализации той или иной угрозы. Вероятность, как вы знаете, не может равняться нулю, как не могут равняться нулю риски. Таким образом, полностью защитить систему невозможно.

Но представим себе неуязвимую систему: мы потратим слишком много денег, чтобы установить все необходимые средства защиты. Стоимость данной системы возрастет выше всех допустимых значений, пропадет ее смысл, так как мы не получим какой-либо выгоды.

NBJ: Как часто вы тестируете ИТ-системы Алеф-Банка на предмет соответствия требованиям информационной безопасности? Каким образом это происходит?

К. МАЛЮШКИН: Мы используем ИТ-системы крупных разработчиков, которые в процессе работы проводят тестирование своих решений как на предмет их защищенности от кибератак, так и на соответствие различным требованиям информационной безопасности. Мы полагаемся в данном случае на их труд. Что касается рабочих станций пользователей или сетевой инфраструктуры, то мы используем сканер защищенности, проверяющий систему на наличие слабых мест. Получаемые отчеты направляются в ИТ-службу, которая устраняет все выявленные недостатки.

Кроме того, служба информационной безопасности Алеф-Банка составляет годовой план проверки каждого подразделения на предмет соответствия своим требованиям. Мы анализируем права доступа сотрудников, обновления, которые были установлены на операционную систему, антивирусные средства. Бывают случаи, когда автоматическая система обновлений дает сбои. Мы выявляем их и отправляем в ИТ-службу в виде отчетов.

Внешних взломщиков, так называемых пентестеров, мы никогда не привлекали в силу того, что их деятельность несколько ограничена российским законодательством. Полноценный взлом, сопровождающийся доступом к информации, составляющей банковскую тайну, является преступлением и к тому же может привести к непредвиденным последствиям для работы критичных бизнес-процессов. Поэтому пентестеры в основном ограничиваются лишь поиском потенциальных уязвимых мест. Такой объем работы вполне соответствует положениям стандарта PСI DSS, который требует обязательного ежегодного проведения пентестов в банках, имеющих свой процессинг карт Visa и MasterCard. В то же время надо отдавать себе отчет в том, что подобные тесты не являются полноценной имитацией атаки зло-
умышленника.

NBJ: Какие методы защиты платежей клиентов вы используете?

К. МАЛЮШКИН: В настоящий момент мы работаем как с физическими, так и с юридическими лицами. Система ДБО предусмотрена как для тех, так и для других. Что касается методов защиты, то они, конечно, отличаются: приложение для юридических лиц предполагает установку дистрибутива на рабочем компьютере клиента – юридического лица. С этого рабочего места осуществляется работа с сервером на стороне банка. При этом все юридические лица снабжаются электронной подписью для генерального директора и главного бухгалтера.

Физическим лицам предлагается личный кабинет в интернет-банкинге, куда необходимо входить с использованием логина и пароля по защищенному каналу связи. Для проведения операций клиенту необходимо использовать сеансовый ключ.

Также мы работаем над поиском системы, которая могла бы дополнительно усилить безопасность физических лиц при пользовании интернет-банкингом. Потеря сотового телефона или записки с логином и паролем может привести к плачевной ситуации для клиента. Мы стараемся защитить технические средства, с которых физические лица заходят в личный кабинет, создать некий слепок системы, который будет каждый раз отправляться при осуществлении какой-либо операции. Наш сервер будет проверять не только соответствие логина, пароля и сеансового ключа, но и определенным образом идентифицировать само устройство, оценивать поведенческие характеристики. Если гаджет будет кардинально отличаться от того, которым ранее пользовался клиент, или реквизиты платежа будут разниться с типичными для данного клиента, то мы получим определенный сигнал. В этой ситуации мы будем звонить клиенту и ждать подтверждения того, что операцию совершил именно он.

NBJ: А если мошенник скажет, что просто сменил мобильное устройство?

К. МАЛЮШКИН: В этом случае он обязан сообщить в банк о смене номера телефона. Внедряя подобную систему, мы в большей степени планируем защищаться от атак «человек посередине», когда клиент видит, что все делает правильно, но при этом вирус, которым заражен телефон или компьютер, автоматически подставляет свой банковский счет. Клиент беспомощен в данной ситуации, так как использует свой
сеансовый ключ, думает, что все проходит нормально, но на деле ситуация оказывается иной. Мы пытаемся защититься от подобных атак.

NBJ: Можно ли сделать вывод о том, что приложению «Алеф-Банк Онлайн», о котором Вы сейчас рассказали, есть куда расти?

К. МАЛЮШКИН: Да, сотрудникам службы безопасности всегда есть над чем работать.

Наш сервис удобен, клиенту он представлен с помощью виджетов в окне браузера – это напоминает ставший уже привычным способ управления приложениями в современных мобильных устройствах. «Алеф-Банк Онлайн» позволяет совершать большое количество операций – от оформления кредита до перевода средств между
картами и счетами.

В целом должен отметить, что современного клиента привлекает в первую очередь не сама система ДБО, а условия по тем или иным банковским продуктам. Какой бы красивый интерфейс ни был у банковского приложения, выбор клиента будет зависеть все-таки от привлекательности продуктовой линейки кредитной организации.

работать над созданием НСПК необходимо, но государством заявлен слишком оптимистичный срок

NBJ: Отразятся ли перемены, которые ждут компании Visa и MasterCard, на вашем банке? Каким образом?

К. МАЛЮШКИН: Мы работаем только с системой Visa. Есть определенные проблемы, связанные с тем, что Visa и MasterCard периодически грозятся уйти с российского рынка. У нас в РФ нет аналогичных платежных систем, это может повлечь за собой изменения структуры партнерства, уход на Восток, налаживание сотрудничеств с китайскими банками. Все-таки я верю в то, что нам удастся договориться с Западом. В случае же ужесточения западных санкций в целом, нашему банку, скорее всего, придется менять процессинговый центр, через который мы работаем с международной платежной системой Visa.

В то же время вряд ли что-то кардинально изменится, если Visa и MasterCard откроют дочерние предприятия в России. Законодательство о НСПК уже существует, все компании будут находиться в нашем законодательном поле. Риски информационной безопасности останутся, скорее всего, теми же.

NBJ: Верите ли Вы в скорое создание и эффективность НСПК?

К. МАЛЮШКИН: Она безусловно нуж-
на: денежные переводы внутри страны, осуществляемые через западного посредника, не представляются самыми удобными и рациональными. Работать над созданием НСПК необходимо, но государством заявлен слишком оптимистичный срок, уверен, что он будет переноситься.

NBJ: Много ли Вы тратите денег, сил и времени на обеспечение информационной безопасности кредитной организации?

К. МАЛЮШКИН: Служба информационной безопасности Алеф-Банка не на-
делена собственным бюджетом. Обычно мы даем обоснование эффективности того или иного решения руководству, рассчитываем сроки окупаемости. В целом мы стараемся все делать своими силами совместно с ИТ-службой. Руководство банка осознает важность средств защиты, поэтому проблем с их внедрением, как правило, не бывает.

NBJ: Ваша кредитная организация работает преимущественно с юридическими лицами. Как это обстоятельство отражается на отделе информационной безопасности Алеф-Банка? Быть розничным банком проще или сложнее?

К. МАЛЮШКИН: Определенная специфика в работе присутствует, думаю, нам приходится немного легче, чем розничным кредитным организациям. Большинство наших клиентов – юридические лица, мы ведем ряд зарплатных проектов. Все вопросы информационной безопасности решаются с руководством обслуживающихся у нас организаций. Как правило, директору компании направляется инструкция, которая распространяется между остальными сотрудниками через него или кадровую службу.

Розничным банкам в силу разветвленности их филиальных сетей сложнее – риски, связанные с банкоматным мошенничеством, у них существенно выше, чем у нас. К тому же розничные кредитные организации чаще при-
влекают к себе клиентов, которых сложно проверить на добросовестность. В нашем случае все проще: как правило, к нам обращаются сотрудники, работающие на компанию клиента, мы можем доверять им.