Газпромбанк, входящий в тройку крупнейших банков страны, неоднократно отражал крупные атаки хакеров. Начальник департамента защиты информации банка Александр ЕГОРКИН рассказал, что нового появилось в сфере ИБ за последнее время, какие технологии можно считать импортозамещающими и стоит ли покупать сервис на аутсорсинге. А также поделился информацией о том, почему инсайдеры делают систему защиты уязвимой и зачем стоит проводить этический хакинг.

NBJ: Александр Викторович, подтолкнули ли санкции разработчиков к созданию новых технологий в сфере информационной безопасности? Возможно, появилось что-то интересное?

А. ЕГОРКИН: На самом деле, в технологиях информационной безопасности, как и в информационных технологиях, каждую минуту появляется что-то новое. Но ни о какой новой взрывной технологии мне не известно. Это непрерывный процесс соревнования атаки и защиты, который идет по нарастающей, при этом защита всегда отстает. Сначала появляются новые уязвимости, новые атаки, а затем средство противодействия или средство минимизации угроз. Невозможно обезопаситься от всех видов атак, любая система безопасности защищает от ограниченного числа известных угроз.  Любая система уязвима. Всегда есть какие-то угрозы, которые надо принять за  допустимые с небольшим уровнем риска. 

Изменения коснулись источников угроз. Больше стало политизированных кибертеррористов (всевозможные Cyber Caliphate, Anonymous и др.), которые валят и ломают все, до чего могут дотянуться; активизировались всевозможные разоблачители, собирающие конфиденциальную информацию с целью кого-то опорочить, вывести на чистую воду и т.д. Меняется характер экономических преступлений в области высоких технологий. Применяются все более изощренные методы атак с использованием приемов социальной инженерии, остро заточенного под конкретную жертву программного обеспечения со сложными финансовыми схемами. Получила широкую огласку угроза информационной безопасности любым ресурсам со стороны всевозможных  кибернетических подразделений различных государств.

Что касается санкций, то конкретно против нас в плане программного и технического обеспечения они не вводились. Другое дело, что российские производители сейчас позиционируют какие-то свои продукты и разработки в качестве импортозамещающих, альтернативных популярным продуктам из правого верхнего угла квадранта Gartner. А что считать импортозамещающими технологиями – большой вопрос. Возможно, это мое личное мнение, но нет такого программиста, даже среди студентов, который сейчас сидит и пишет исполняемый код от начала до конца. Например, они не пишут сами программу транспонирования матрицы, а ищут ее в интернете. В любом сервисе, на любом языке, на любой операционной системе можно найти код программы и написать только обращение к ней. 

Иными словами, почти любой программный продукт сводится к тому, что есть алгоритм и обращение к стандартным подпрограммам. Нет совершенно никакой разницы в том, кто написал эти обращения – российский, американский или индийский программист. Поэтому купленная как у нашего, так и у иностранного производителя программа будет написана примерно одинаково и содержать одни и те же закладки и уязвимости. Можно ли в таком случае считать ее импортозамещающей?

Быстро перейти на новые операционные системы и СУБД невозможно. С необходимым функционалом их просто нет. Большая часть эксплуатирующихся приложений у нас и так отечественного производства.

NBJ: А если в один прекрасный день американцы перестанут продавать российским компаниям свои информационные продукты?

А. ЕГОРКИН: Прекращение действия лицензий и прекращение техподдержки – это возможные виды санкций. Возможна еще активизация недекларированных возможностей, но это означает прямые военные действия на киберпространстве между государствами (очень надеюсь, до этого не дойдет).

Путей распространения программного обеспечения очень много. Запретят официальную продажу – расцветет нелегальная. Большая часть пользователей ПО на Земле и сейчас пользуются нелицензионным софтом без техподдержки. Уменьшатся доходы производителей, они же первые потребуют отмены санкций. Кардинально ничего после этого не изменится. 

Другое дело, будет ли в этом случае экстренный переход на импортозамещающие продукты. Вопрос: в чем смысл импортозамещения программного обеспечения и технических средств? Задачи две. Первая – обеспечить обороноспособность Родины. Вдруг у «буржуйского» программного обеспечения есть закладки (недекларированные возможности), которые в какой-то момент активируются. Остановятся серверы, активное сетевое оборудование, отпадут средства ИБ, умрет интернет и т.д. Это веская причина для того, чтобы перейти на «свое». 

Вторая задача – это поддержать российского производителя. Так вот, эти две задачи никак не пересекаются. Надо поддержать – давайте поддержим. А вот если закладки были, то именно в тех приложениях, которые скачивают и наши программисты, и индийцы, и американцы. Именно эти приложения потом лягут в основу почти любого программного обеспечения, и советов и рекомендаций, как с этим бороться на корпоративном уровне, я пока не слышал ни от кого. 

С моей точки зрения, это можно делать только путем грамотного анализа исходных кодов, сертификации этих продуктов на уровне государственной поддержки, причем не имеет значения, кто их сделал – российский или американский производитель. Государственные органы должны взять на себя эту обязанность. Затем сертифицированное ПО (и никакое другое) должно применяться во всех важных отраслях экономики, в частности, в банковской сфере. Но для этого соответствующие органы должны проводить сертификацию за считанные дни. Должны быть налажены технологии проверки исходных кодов самых разных классов программных продуктов: это и операционные системы, и системы управления базами данных, это тысячи приложений, которые автоматизируют бизнес-процессы. 

Для повышения обороноспособности государства в киберпространстве необходимо провести аудит информационно-технологического обеспечения важнейших финансовых, экономических, социальных и прочих институтов, оценить риски и подготовить предложения по их минимизации (вполне вероятно, что за государственный счет, силами соответствующих государственных структур или их лицензиатов). Сейчас нет такого государственного органа, который взял бы на себя этот труд. Поэтому все эти разговоры про импортозамещение пока не имеют никакого существенного эффекта. 

NBJ: Действительно ли уходит эра «классической» информационной безопасности: управления рисками, комплаенса?

А. ЕГОРКИН: Не знаю, что отнести к классической информационной безопасности, но уходит эра бумажного документооборота, практически все бизнес-процессы оцифрованы. Сейчас все сложнее разграничивать права доступа, все сложнее журналировать действия пользователей, обычные функции становятся универсальными. Подавляющая часть крупных инцидентов информационной безопасности происходит с оцифрованными данными. Все больше сотрудников банка хотят получить доступ к информации и документам не с рабочего места, а с мобильного офиса. При этом риски нарушения целостности и конфиденциальности информации, несомненно, увеличиваются.

NBJ: Ну, то, что хочет сотрудник, необязательно должно выполняться…

А. ЕГОРКИН: Но ведь речь идет не о его капризе, а об эффективности работы, и его в частности, и банка в целом. Представим себе следующую достаточно простую и распространенную ситуацию: сотрудник финансово-кредитной организации должен поехать к крупному клиенту и там иметь возможность выдать клиенту все необходимые документы и получить от него соответствующие поручения, подписи на договорах, заявлениях и т.д. Естественно, для этого сотрудник должен получить доступ к автоматизированным банковским системам. Вся обрабатываемая и передаваемая по техническим каналам связи информация относится к конфиденциальной. Сами видите – развитие бизнеса исключает старые способы построения системы защиты, когда пришел в окошко, получил там секретную тетрадь, поработал, сделал необходимые записи и при уходе сдал. Такого уже нет, и бизнес-процессы по защите информации строятся на другом уровне с использованием новых технологий.

В вопросе прозвучало слово «комплаенс». Сознаюсь: тревожное слово. На государственном уровне принято достаточно много документов, относящихся к области защиты информации. Это и федеральные законы, и нормативная документация различных государственных структур: стандарты, положения, письма, указания, инструкции и т.д. Далеко не всегда они согласованы между собой и не всегда просто выполнимы. Банк делает все, чтобы точно соответствовать требованиям федеральных законов и требованиям своего регулятора – Банка России. Как следствие, могут возникать комплаенс-риски (несоответствия требованиям других государственных надзорных органов). За невыполнение некоторых требований нарушителям грозит штраф или даже приостановка деятельности на некоторый срок. Не каждый хакер и не вдруг сможет приостановить деятельность юридического лица хоть на какой-нибудь срок. Не стоит недооценивать комплаенс-риски, поэтому их минимизация – далеко не последняя наша забота.

NBJ: Система электронного документооборота эффективна?

А. ЕГОРКИН: Если имеется в виду система электронного документооборота внутри банка, где документы регистрируются, пишутся резолюции, фиксируется исполнение документов, то она существует, и, конечно, эффективнее чисто бумажного документооборота. Но и она сейчас будет заменяться на другую, более эффективную и защищенную. Электронный документооборот с клиентом, например, в рамках системы «банк-клиент» – это совсем другая система с другим уровнем защиты. Потому что одно дело, когда документы циркулируют внутри банка по корпоративной сетке, и совсем другое – когда они циркулируют с выходом в интернет в неконтролируемые технические каналы. Тогда, естественно, обязательно более жесткое шифрование, электронная подпись. Таких электронных систем документооборота в банке десятки. Часть – наши, которые сгенерировал банк, часть – к которым банк присоединился на правах участника (системы налоговой инспекции, торговых площадок, бирж, международные платежные системы и т.д.). Без таких систем все процессы остановились бы. 

NBJ: Ваш коллега, Михаил Левашов из ФК «Открытие», очень положительно отзывался о таком инструменте, как аутсорсинг в сфере информационной безопасности. Он говорит, что это совершено безопасно и достаточно эффективно, и горячо рекомендует ИБ на аутсорсинге своим коллегам. Согласны ли Вы с этой точкой зрения?

А. ЕГОРКИН: Аутсорсинг в сфере ИБ больше подходит для небольших предприятий. Здесь строить свою полноценную, эффективную систему затратно с точки зрения трудовых ресурсов и не всем по силам. Можно подсоединиться к ситуационному центру той или иной внешней компании, передавать в него свою информацию, а сотрудники центра будут информировать о событиях в вашей сети с признаками инцидентов. При этом должно быть абсолютное доверие, как со стороны банка к аутсорсеру, так и внутри самого аутсорсера и банка – к своим сотрудникам. Если в «Открытии» такое доверие есть, то можно только порадоваться за коллег.

NBJ: Судя по Вашему тону, у Вас такой уверенности нет?

А. ЕГОРКИН: Любая информационная безопасность строится на предположении, что вокруг враги. И любая система телекоммуникаций – недоверенная. Как только начинаешь кому-то доверять, есть риск проколоться. Аутсорсинг – скорее вынужденная мера, чем рекомендация для всех. Если ты не можешь построить систему иначе, то иди на аутсорсинг, покупай сервис. 

Есть отдельные элементы системы защиты информации, передача которых в аутсорсинг, с моей точки зрения, оправдана. Например, банк покупает услугу по защите от DDoS-атак у «Лаборатории Касперского» – это чистый вид аутсорсинга. Когда идет распределенная атака на наши телекоммуникационные сети, мы «заворачиваем» весь трафик на аутсорсера, он отсекает «шум», и мы получаем его назад чистым. Это оправданный для нас вид аутсорсинга. 

NBJ: Газпромбанк очень избирателен в том, какие функции и кому из внешних подрядчиков отдавать на выполнение? Какова примерно доля проектов, которые банк отдает на аутсорсинг в общем портфеле проектов?

А. ЕГОРКИН: Банк имеет целый пул доверенных партнеров, участвующих в проектах по информационной безопасности. Это ведущие российские компании – производители программного обеспечения и системные интеграторы. В соответствии с требованиями внутренних нормативных документов привлечение внешних исполнителей осуществляется на конкурсной основе. Банк строит свою систему информационной безопасности в соответствии со стандартами Банка России, а также лучшими международными стандартами и практиками. Обычно завершение проектов предполагает передачу функций эксплуатации систем защиты информации (после соответствующих приемо-сдаточных испытаний) сотрудникам банка, а техподдержку – разработчикам или системным интеграторам. Пока, в силу своей специфики, исключение составила только система защиты от DDoS, которая и эксплуатируется, и поддерживается внешней компанией.

ОСНОВНАЯ ПРОБЛЕМА В СИСТЕМЕ ЗАЩИТЫ СЕГОДНЯ – ЭТО ЧЕЛОВЕЧЕСКИЙ ФАКТОР

NBJ: На недавно состоявшейся конференции, организованной компанией «Инфосистемы Джет», было сказано, что эпоха защиты периметра уже миновала и сейчас безопасность рассматривается как составная информационных технологий. Вы согласны с этим утверждением?

А. ЕГОРКИН: Защита периметра всегда будет очень важной задачей. Речь идет о человеческом факторе. Его можно условно разделить на две составляющие: внутренняя (инсайдеры) и внешняя (аутсайдеры). Внешняя угроза как была, так и останется, ее нельзя сбрасывать со счетов. Если посмотреть на статистику, 10 тыс. попыток несанкционированных подключений в день – это норма. Бывают и всплески до 100 тыс. в день, 1 млн в день. Это явное свидетельство того, что идет какая-то атака. Поэтому нельзя сказать, что эпоха защиты периметра прошла. 

При этом растет риск, связанный с инсайдерами. Сейчас любой телефон по функционалу (объему памяти, быстродействию) превосходит автоматизированное рабочее место пятилетней давности. Сотрудники приносят с собой на работу различные технические средства, поэтому растет риск несанкционированного копирования информации такими устройствами. Здесь действия сотрудников надо разделить на две части, с моей точки зрения: умышленные, направленные на то, чтобы нанести вред предприятию или руководителю, и неумышленные, когда сотрудник желает дополнительно поработать в свое свободное время и копирует себе все документы, на внешний носитель, который впоследствии подключает к интернету, чтобы скачать музыку. При этом его домашний компьютер плохо защищен, антивирус не обновляется, сетевой экран вообще отсутствует. Ни о какой конфиденциальности в домашних условиях говорить не приходится. Затем устройство снова подключается к рабочей станции, куда переходит вирус. Таким образом, вся конфиденциальная банковская информация оказывается под угрозой. Это неумышленное действие, но его ущерб может быть гораздо большим, чем тот ущерб, который возникает от действий самого опытного хакера.

Что касается формулировки вопроса, то я согласен с тем, что любая информационная технология должна строиться в защищенном виде. Защитить внешними средствами плохо построенную систему невозможно.

NBJ: Как Вы боретесь с умышленными и неумышленными действиями?

А. ЕГОРКИН: Есть система противодействия этому – DLP (Data Leakage Protection). Мы мониторим активность на внешних портах, на периферийных устройствах, почтовые отправления. Есть система мониторинга событий в сети банка, система управления учетными записями, система выявления уязвимостей локальной сети и т.д. Наверное, все лучшее, что есть сегодня на рынке противодействий информационным угрозам, внедрено в банке, причем мы стараемся делать это опережающими темпами. Но абсолютно защищенных систем нет, это необходимо признать. Любая система уязвима, просто нужно уметь минимизировать риски.

NBJ: Какие для Вас являются самыми нежелательными и опасными?

А. ЕГОРКИН: Примитивные попытки сканирования или несанкционированного подключения не страшны. Наиболее опасны так называемые таргетированные атаки, рассчитанные на конкретную жертву. Сейчас почти все они связаны с социальной инженерией. Вот один из примеров такой атаки: жулик открывает юридическое лицо и становится клиентом банка. Он получает систему удаленного доступа «банк-клиент». Ему назначают менеджера, симпатичную девушку. Он поздравляет ее с 8 марта, с днем рождения, затем в очередной раз шлет ей открытку, которую антиспам блокирует. 

Жулик ей звонит, спрашивает, посмотрела ли она открытку. Получив отрицательный ответ, он говорит, что открытка очень красивая, с анимацией, с салютом и распускающимся цветком. Сотрудница вызывает специалиста, чтобы найти открытку, она действительно красивая. Но в ней есть маленький исполняемый код – «червяк». Он позволяет собрать все данные по ее компьютеру, все ее связи и открыть back door для мошенников.

NBJ: Неприятно, конечно, но пока звучит не так уж страшно, поскольку речь идет о рядовом менеджере, а не о высокопоставленном сотруднике банка, имеющем доступ к критически важной информации.

А. ЕГОРКИН: Вам это кажется нестрашным потому, что я еще рассказал только половину этой истории. С логином и паролем менеджера далеко не войдешь, поэтому «червяк» заставляет ее компьютер зависнуть. Она вызывает специалиста из help desk, который входит в систему под своим логином и паролем. Таким образом «червяк» получает логин и пароль администратора и даже пользуется его правами для исследования сети. В итоге банк может потерпеть большие убытки, а злоумышленников, скорее всего, не найдут. 

В этой ситуации атака является таргетированной: злоумышленники знают, какой банк-клиент, какой антивирус, какая система антиспама. Именно под эти продукты они пишут свои исполняемые коды. Они скачивают всю телефонную книгу банка, звонят сотрудникам от имени ИТ-отдела, просят произвести конкретные действия. Это все рассчитано на доверчивость человека. Когда тебе звонят и, представляясь сотрудниками help desk, называют тебя по имени и просят сменить пароль, ты это делаешь. 

Сейчас чисто технически, без человека, взломать корректно настроенную систему невозможно. Система защиты периметра не допустит проникновения без участия инсайдера или вот такого невольного помощника злоумышленников. Поэтому надо готовить и обучать сотрудников.

В СИСТЕМЕ БЕЗОПАСНОСТИ ЕСТЬ ТРИ ОСНОВНЫХ ЗАДАЧИ, И ИХ НЕВОЗМОЖНО СЧИТАТЬ ЗАВЕРШЕННЫМИ 

NBJ: Планируется ли потратить ресурсы, полученные банком в рамках докапитализации, на поддержание блока ИБ Газпромбанка? Если да, то каким образом и в каком объеме?

А. ЕГОРКИН: Мне это неизвестно. Финансирование на мои проекты выделяется в соответствии с внутрибанковскими процедурами. Я пишу каждый раз обоснование, под какие цели мне нужно финансирование, как оно будет распределено, готовлю паспорта проектов и т.д. Естественно, любая система защиты затратная. Трудно сказать, окупается она или нет. Это скорее из области расчета рисков, вероятности их реализации и связанных с этим потерь. Мы какими-то средствами стараемся минимизировать эти риски, при этом что-то тратим, но из каких бюджетов – не мой вопрос. 

NBJ: Какие проекты недавно завершили, а какие недавно открылись или планируются Вашим подразделением сейчас?

А. ЕГОРКИН: Любой завершенный проект требует технической поддержки и развития, поэтому окончательно завершенных нет. Например, есть ситуационный центр, который я считаю одним из эффективнейших среди аналогичных центров. К нам приезжали сотрудники из Центрального банка, Газпрома, из других банков, перенимать наш опыт в создании и эксплуатации ситуационного центра. Могу без преувеличения констатировать: это одна из очень интересных и передовых систем. 

У нас сложный ИТ-ландшафт. Как hard, так и soft имеет свойство выходить из строя, сотрудникам свойственно ошибаться, забывать важнейшие вещи, нарушать требования нормативных документов и т.д. Пока не существовал такой ситуационный центр, было тяжело понять, из-за чего «упал» тот или иной банковский бизнес-процесс, построить связи между событиями, организовать разбор и управление инцидентами, быстро локализовать негативные последствия и т.д. Сейчас мы получаем информацию о различных процессах, а также событиях в локальной сети. За всем этим следит круглосуточная смена, которая мониторит события и принимает решение, являются ли события инцидентами, кого о них информировать, какие действия предпринимать, как пресечь негативную активность, минимизировать новые угрозы и т.д. При необходимости создается группа разбора инцидентов ИБ (ГРИИБ).

Повторюсь: я считаю, что это один из эффективных проектов, но нельзя сказать, что он завершился. Одно дело – собрать информацию о работоспособности конкретных автоматизированных систем, и совсем другое – спрогнозировать, как технический сбой повлияет на конкретные бизнес-процессы банка. Например, сообщение о том, что «упал» какой-то сервер для бизнес-руководителей в банке, ничего не значит. А если мы скажем, что на этом сервере висела половина доп-офисов города Москвы и теперь там не выдают кредиты и не принимают депозиты, – это важно. Такая система позволяет обеспечить непрерывность банковского бизнеса.

Положить бизнес-процессы на ИТ-ландшафт и спрогнозировать, к каким именно последствиям приведет тот или иной технический сбой – это вопрос. Последний аудит банка выявил 68 критичных бизнес-процессов. Сейчас мы визуализировали четыре из них, так что планов громадье.

NBJ: Насколько Вам как руководителю тяжело со всем этим справляться и с какими проблемами Вы чаще всего сталкиваетесь?

А. ЕГОРКИН: Мне нравится эта работа, я вижу ее востребованность, понимание и поддержку со стороны высших руководителей банка. Участок действительно напряженный, война в виртуальном мире не прекращается ни на минуту, и в ней есть жертвы и разрушения. Пока никаких серьезных провалов у нас не было, хотя инцидентов много и не всегда удается выйти без потерь. Я считаю, что в Газпромбанке одна из самых сильных и профессиональных команд защиты информации в банковской сфере. Даже когда была атака анонимусов, примерно год назад, и инициаторы этой атаки обвалили сайты многих кредитных организаций, мы устояли. У нас сработала система защиты от DDoS-атак. Мы регулярно проводим этичес-кий хакинг – сами себя взламываем. Иногда это надо по требованиям страховых агентств, иногда это надо, чтобы пройти проверку на соответствие требованиям стандартов информационной безопасности (в частности, PCI DSS), иногда – при открытии новых внешних банковских сервисов. 

NBJ: Вы сами себя взламываете или просите кого-то?

А. ЕГОРКИН: Обычно просим. У нас проходит периодический аудит на соответствие требованиям № 152-ФЗ о персональных данных, требованиям по защите платежных систем по нормативам Банка России. В принципе, наша система защиты соответствует всем этим нормам. 

NBJ: Какие бизнес-задачи стоят перед Вами до конца 2015 года?

А. ЕГОРКИН: Перед департаментом защиты информации в любой финансово-кредитной организации стоят всего три задачи. Первая из них – обеспечение целостности: чтобы ничего не рухнуло, не исчезло и не видоизменилось. Вторая – обеспечение доступности, чтобы и сотрудники, и клиенты банка могли получить доступ к сервисам и приложениям. И третья задача – обеспечение конфиденциальности, чтобы та информация, которая должна быть защищена, не попала к тем, у кого нет прав доступа к ней. Эти задачи неизменны еще со времен Дзержинского. Департамент защиты информации Газпромбанка делает все возможное для выявления, предупреждения и пресечения инцидентов информационной безопасности.