Газпромбанк, входящий в тройку крупнейших банков страны, неоднократно отражал крупные атаки хакеров. Начальник департамента защиты ин-формации банка Александр ЕГОРКИН рассказал какие технологии можно считать импортозамещающими и стоит ли покупать сервис на аутсорсинге. 

А также поделился информацией о том, почему инсайдеры делают систему защиты уязвимой и зачем стоит проводить этический хакинг.

NBJ: Александр Викторович, подтолкнули ли санкции разработчиков к созданию новых технологий в сфере информационной безопасности?

А. ЕГОРКИН: На самом деле, в технологиях информационной безопасности, как и в информационных технологиях, каждую минуту появляется что-то новое. Но ни о какой новой взрывной технологии мне не известно. Это непрерывный процесс соревнования атаки и защиты, который идет по нарастающей, при этом защита всегда отстает. Сначала появляются новые уязвимости, новые атаки, а затем средство противодействия или средство минимизации угроз. Невозможно обезопаситься от всех видов атак. Всегда есть какие-то угрозы, которые надо принять за  допустимые с небольшим уровнем риска. 

Изменения коснулись источников угроз. Больше стало политизированных кибертеррористов (всевозможные Cyber Caliphate, Anonymous и др.), которые валят и ломают все, до чего могут дотянуться; активизировались всевозможные разоблачители, собирающие конфиденциальную информацию с целью кого-то опорочить, вывести на чистую воду и т.д. Меняется характер экономических преступлений в области высоких технологий. 

Что касается санкций, то конкретно против нас в плане программного и технического обеспечения они не вводились. Другое дело, что российские производители сейчас позиционируют какие-то свои продукты и разработки в качестве импортозамещающих, альтернативных популярным продуктам из правого верхнего угла квадранта Gartner. А что считать импортозамещающими технологиями – большой вопрос.  

Почти любой программный продукт сводится к тому, что есть алгоритм и обращение к стандартным подпрограммам. Нет совершенно никакой разницы в том, кто написал эти обращения – российский, американский или индийский программист. Поэтому купленная как у нашего, так и у иностранного производителя программа будет написана примерно одинаково и содержать одни и те же закладки и уязвимости. 

Быстро перейти на новые операционные системы и СУБД невозможно. С необходимым функционалом их просто нет.

NBJ: Действительно ли уходит эра «классической» информационной безопасности: управления рисками, комплаенса?

А. ЕГОРКИН: Не знаю, что отнести к классической информационной безопасности, но уходит эра бумажного документооборота, практически все бизнес-процессы оцифрованы. Сейчас все сложнее разграничивать права доступа, все сложнее журналировать действия пользователей, обычные функции становятся универсальными. Подавляющая часть крупных инцидентов информационной безопасности происходит с оцифрованными данными. Все больше сотрудников банка хотят получить доступ к информации и документам не с рабочего места, а с мобильного офиса. При этом риски нарушения целостности и конфиденциальности информации, несомненно, увеличиваются.

NBJ: Ну, то, что хочет сотрудник, необязательно должно выполняться…

А. ЕГОРКИН: Но ведь речь идет не о его капризе, а об эффективности работы, и его в частности, и банка в целом. Представим себе следующую достаточно простую и распространенную ситуацию: сотрудник финансово-кредитной организации должен поехать к крупному клиенту и там иметь возможность выдать клиенту все необходимые документы и получить от него соответствующие поручения, подписи на договорах, заявлениях и т.д. Естественно, для этого сотрудник должен получить доступ к автоматизированным банковским системам. Вся обрабатываемая и передаваемая по техническим каналам связи информация относится к конфиденциальной. Сами видите – развитие бизнеса исключает старые способы построения системы защиты, когда пришел в окошко, получил там секретную тетрадь, поработал, сделал необходимые записи и при уходе сдал. Такого уже нет, и бизнес-процессы по защите информации строятся на другом уровне с использованием новых технологий.

В вопросе прозвучало слово «комплаенс». Сознаюсь: тревожное слово. На государственном уровне принято достаточно много документов, относящихся к области защиты информации. Это и федеральные законы, и нормативная документация различных государственных структур: стандарты, положения, письма, указания, инструкции и т.д. Далеко не всегда они согласованы между собой и не всегда просто выполнимы. Банк делает все, чтобы точно соответствовать требованиям федеральных законов и требованиям своего регулятора – Банка России. Как следствие, могут возникать комплаенс-риски (несоответствия требованиям других государственных надзорных органов). За невыполнение некоторых требований нарушителям грозит штраф или даже приостановка деятельности на некоторый срок. Не каждый хакер и не вдруг сможет приостановить деятельность юридического лица хоть на какой-нибудь срок. Не стоит недооценивать комплаенс-риски, поэтому их минимизация – далеко не последняя наша забота.

NBJ: Система электронного документооборота эффективна?

А. ЕГОРКИН: Если имеется в виду система электронного документооборота внутри банка, где документы регистрируются, пишутся резолюции, фиксируется исполнение документов, то она существует, и, конечно, эффективнее чисто бумажного документооборота. Но и она сейчас будет заменяться на другую, более эффективную и защищенную. Электронный документооборот с клиентом, например, в рамках системы «банк-клиент» – это совсем другая система с другим уровнем защиты. Потому что одно дело, когда документы циркулируют внутри банка по корпоративной сетке, и совсем другое – когда они циркулируют с выходом в интернет в неконтролируемые технические каналы. Тогда, естественно, обязательно более жесткое шифрование, электронная подпись. Таких электронных систем документооборота в банке десятки. Часть – наши, которые сгенерировал банк, часть – к которым банк присоединился на правах участника (системы налоговой инспекции, торговых площадок, бирж, международные платежные системы и т.д.). Без таких систем все процессы остановились бы. 

NBJ: Ваш коллега, Михаил Левашов из банка ФК «Открытие», очень положительно отзывался о таком инструменте, как аутсорсинг в сфере информационной безопасности. Он говорит, что это совершено безопасно и достаточно эффективно, и горячо рекомендует ИБ на аутсорсинге своим коллегам. Согласны ли Вы с этой точкой зрения?

А. ЕГОРКИН: Аутсорсинг в сфере ИБ больше подходит для небольших предприятий. Здесь строить свою полноценную, эффективную систему затратно с точки зрения трудовых ресурсов и не всем по силам. Можно подсоединиться к ситуационному центру той или иной внешней компании, передавать в него свою информацию, а сотрудники центра будут информировать о событиях в вашей сети с признаками инцидентов. При этом должно быть абсолютное доверие, как со стороны банка к аутсорсеру, так и внутри самого аутсорсера и банка – к своим сотрудникам. Если в «Открытии» такое доверие есть, то можно только порадоваться за коллег.

NBJ: Газпромбанк очень избирателен в том, какие функции и кому из внешних подрядчиков отдавать на выполнение? Какова примерно доля проектов, которые банк отдает на аутсорсинг в общем портфеле проектов?

А. ЕГОРКИН: Банк имеет целый пул доверенных партнеров, участвующих в проектах по информационной безопасности. Это ведущие российские компании – производители программного обеспечения и системные интеграторы. В соответствии с требованиями внутренних нормативных документов привлечение внешних исполнителей осуществляется на конкурсной основе. Банк строит свою систему информационной безопасности в соответствии со стандартами Банка России, а также лучшими международными стандартами и практиками. Обычно завершение проектов предполагает передачу функций эксплуатации систем защиты информации (после соответствующих приемо-сдаточных испытаний) сотрудникам банка, а техподдержку – разработчикам или системным интеграторам. Пока, в силу своей специфики, исключение составила только система защиты от DDoS, которая и эксплуатируется, и поддерживается внешней компанией.

ОСНОВНАЯ ПРОБЛЕМА В СИСТЕМЕ ЗАЩИТЫ СЕГОДНЯ – ЭТО ЧЕЛОВЕЧЕСКИЙ ФАКТОР

NBJ: На конференции, организованной компанией «Инфосистемы Джет», было сказано, что эпоха защиты периметра уже миновала и сейчас безопасность рассматривается как составная информационных технологий. Вы согласны с этим утверждением?

А. ЕГОРКИН: Защита периметра всегда будет очень важной задачей. Речь идет о человеческом факторе. Его можно условно разделить на две составляющие: внутренняя (инсайдеры) и внешняя (аутсайдеры). Внешняя угроза как была, так и останется, ее нельзя сбрасывать со счетов. Если посмотреть на статистику, 10 тыс. попыток несанкционированных подключений в день – это норма. Бывают и всплески до 100 тыс. в день, 1 млн в день. Это явное свидетельство того, что идет какая-то атака. Поэтому нельзя сказать, что эпоха защиты периметра прошла. 

При этом растет риск, связанный с инсайдерами. Сейчас любой телефон по функционалу (объему памяти, быстродействию) превосходит автоматизированное рабочее место пятилетней давности. Сотрудники приносят с собой на работу различные технические средства, поэтому растет риск несанкционированного копирования информации такими устройствами. Здесь действия сотрудников надо разделить на две части, с моей точки зрения: умышленные, направленные на то, чтобы нанести вред предприятию или руководителю, и неумышленные, когда сотрудник желает дополнительно поработать в свое свободное время и копирует себе все документы, на внешний носитель, который впоследствии подключает к интернету, чтобы скачать музыку. При этом его домашний компьютер плохо защищен, антивирус не обновляется, сетевой экран вообще отсутствует. Ни о какой конфиденциальности в домашних условиях говорить не приходится. Затем устройство снова подключается к рабочей станции, куда переходит вирус. Таким образом, вся конфиденциальная банковская информация оказывается под угрозой. Это неумышленное действие, но его ущерб может быть гораздо большим, чем тот ущерб, который возникает от действий самого опытного хакера.

Что касается формулировки вопроса, то я согласен с тем, что любая информационная технология должна строиться в защищенном виде. Защитить внешними средствами плохо построенную систему невозможно.

NBJ: Как Вы боретесь с умышленными и неумышленными действиями?

А. ЕГОРКИН: Есть система противодействия этому – DLP (Data Leakage Protection). Мы мониторим активность на внешних портах, на периферийных устройствах, почтовые отправления. Есть система мониторинга событий в сети банка, система управления учетными записями, система выявления уязвимостей локальной сети и т.д. Наверное, все лучшее, что есть сегодня на рынке противодействий информационным угрозам, внедрено в банке, причем мы стараемся делать это опережающими темпами. Но абсолютно защищенных систем нет, это необходимо признать. Любая система уязвима, просто нужно уметь минимизировать риски.

NBJ: Какие для Вас являются самыми нежелательными и опасными?

А. ЕГОРКИН: Примитивные попытки сканирования или несанкционированного подключения не страшны. Наиболее опасны так называемые таргетированные атаки, рассчитанные на конкретную жертву. Сейчас почти все они связаны с социальной инженерией. Вот один из примеров такой атаки: жулик открывает юридическое лицо и становится клиентом банка. Он получает систему удаленного доступа «банк-клиент». Ему назначают менеджера, симпатичную девушку. Он поздравляет ее с 8 марта, с днем рождения, затем в очередной раз шлет ей открытку, которую антиспам блокирует. Жулик ей звонит, спрашивает, посмотрела ли она открытку. Получив отрицательный ответ, он говорит, что открытка очень красивая, с анимацией, с салютом и распускающимся цветком. Сотрудница вызывает специалиста, чтобы найти открытку, она действительно красивая. Но в ней есть маленький исполняемый код – «червяк». Он позволяет собрать все данные по ее компьютеру, все ее связи и открыть back door для мошенников.

NBJ: Неприятно, конечно, но пока звучит не так уж страшно, поскольку речь идет о рядовом менеджере, а не о высокопоставленном сотруднике банка, имеющем доступ к критически важной информации.

А. ЕГОРКИН: Вам это кажется нестрашным потому, что я еще рассказал только половину этой истории. С логином и паролем менеджера далеко не войдешь, поэтому «червяк» заставляет ее компьютер зависнуть. Она вызывает специалиста из help desk, который входит в систему под своим логином и паролем. Таким образом «червяк» получает логин и пароль администратора и даже пользуется его правами для исследования сети. В итоге банк может потерпеть большие убытки, а злоумышленников, скорее всего, не найдут. 

В этой ситуации атака является таргетированной: злоумышленники знают, какой банк-клиент, какой антивирус, какая система антиспама. Именно под эти продукты они пишут свои исполняемые коды. Они скачивают всю телефонную книгу банка, звонят сотрудникам от имени ИТ-отдела, просят произвести конкретные действия. Это все рассчитано на доверчивость человека. Когда тебе звонят и, представляясь сотрудниками help desk, называют тебя по имени и просят сменить пароль, ты это делаешь. 

Сейчас чисто технически, без человека, взломать корректно настроенную систему невозможно. Система защиты периметра не допустит проникновения без участия инсайдера или вот такого невольного помощника злоумышленников. Поэтому надо готовить и обучать сотрудников.

В СИСТЕМЕ БЕЗОПАСНОСТИ ЕСТЬ ТРИ ОСНОВНЫХ ЗАДАЧИ, И ИХ НЕВОЗМОЖНО СЧИТАТЬ ЗАВЕРШЕННЫМИ 

NBJ: Планируется ли потратить ресурсы, полученные банком в рамках докапитализации, на поддержание блока ИБ Газпромбанка? Если да, то каким образом и в каком объеме?

А. ЕГОРКИН: Мне это неизвестно. Финансирование на мои проекты выделяется в соответствии с внутрибанковскими процедурами. Я пишу каждый раз обоснование, под какие цели мне нужно финансирование, как оно будет распределено, готовлю паспорта проектов и т.д. Естественно, любая система защиты затратная. Трудно сказать, окупается она или нет. Это скорее из области расчета рисков, вероятности их реализации и связанных с этим потерь. Мы какими-то средствами стараемся минимизировать эти риски, при этом что-то тратим, но из каких бюджетов – не мой вопрос. 

NBJ: Какие проекты уже завершены, а какие открылись или планируются Вашим подразделением сейчас?

А. ЕГОРКИН: Любой завершенный проект требует технической поддержки и развития, поэтому окончательно завершенных нет. Например, есть ситуационный центр, который я считаю одним из эффективнейших среди аналогичных центров. К нам приезжали сотрудники из Центрального банка, Газпрома, из других банков, перенимать наш опыт в создании и эксплуатации ситуационного центра. Могу без преувеличения констатировать: это одна из очень интересных и передовых систем. 

У нас сложный ИТ-ландшафт. Как hard, так и soft имеет свойство выходить из строя, сотрудникам свойственно ошибаться, забывать важнейшие вещи, нарушать требования нормативных документов и т.д. Пока не существовал такой ситуационный центр, было тяжело понять, из-за чего «упал» тот или иной банковский бизнес-процесс, построить связи между событиями, организовать разбор и управление инцидентами, быстро локализовать негативные последствия и т.д. Сейчас мы получаем информацию о различных процессах, а также событиях в локальной сети. За всем этим следит круглосуточная смена, которая мониторит события и принимает решение, являются ли события инцидентами, кого о них информировать, какие действия предпринимать, как пресечь негативную активность, минимизировать новые угрозы и т.д. При необходимости создается группа разбора инцидентов ИБ (ГРИИБ).

Повторюсь: я считаю, что это один из эффективных проектов, но нельзя сказать, что он завершился. Одно дело – собрать информацию о работоспособности конкретных автоматизированных систем, и совсем другое – спрогнозировать, как технический сбой повлияет на конкретные бизнес-процессы банка. Например, сообщение о том, что «упал» какой-то сервер для бизнес-руководителей в банке, ничего не значит. А если мы скажем, что на этом сервере висела половина доп-офисов города Москвы и теперь там не выдают кредиты и не принимают депозиты, – это важно. Такая система позволяет обеспечить непрерывность банковского бизнеса.

Положить бизнес-процессы на ИТ-ландшафт и спрогнозировать, к каким именно последствиям приведет тот или иной технический сбой – это вопрос. Последний аудит банка выявил 68 критичных бизнес-процессов. Сейчас мы визуализировали четыре из них, так что планов громадье.

NBJ: Насколько Вам как руководителю тяжело со всем этим справляться и с какими проблемами Вы чаще всего сталкиваетесь?

А. ЕГОРКИН: Мне нравится эта работа, я вижу ее востребованность, понимание и поддержку со стороны высших руководителей банка. Участок действительно напряженный, война в виртуальном мире не прекращается ни на минуту, и в ней есть жертвы и разрушения. Пока никаких серьезных провалов у нас не было, хотя инцидентов много и не всегда удается выйти без потерь. Я считаю, что в Газпромбанке одна из самых сильных и профессиональных команд защиты информации в банковской сфере. Даже когда была атака анонимусов, примерно год назад, и инициаторы этой атаки обвалили сайты многих кредитных организаций, мы устояли. У нас сработала система защиты от DDoS-атак. Мы регулярно проводим этичес-кий хакинг – сами себя взламываем. Иногда это надо по требованиям страховых агентств, иногда это надо, чтобы пройти проверку на соответствие требованиям стандартов информационной безопасности (в частности, PCI DSS), иногда – при открытии новых внешних банковских сервисов. 

NBJ: Вы сами себя взламываете или просите кого-то?

А. ЕГОРКИН: Обычно просим. У нас проходит периодический аудит на соответствие требованиям № 152-ФЗ о персональных данных, требованиям по защите платежных систем по нормативам Банка России. В принципе, наша система защиты соответствует всем этим нормам. 

NBJ: Какие бизнес-задачи стоят перед Вами?

А. ЕГОРКИН: Перед департаментом защиты информации в любой финансово-кредитной организации стоят всего три задачи. Первая из них – обеспечение целостности: чтобы ничего не рухнуло, не исчезло и не видоизменилось. Вторая – обеспечение доступности, чтобы и сотрудники, и клиенты банка могли получить доступ к сервисам и приложениям. И третья задача – обеспечение конфиденциальности, чтобы та информация, которая должна быть защищена, не попала к тем, у кого нет прав доступа к ней. Эти задачи неизменны еще со времен Дзержинского. Департамент защиты информации Газпромбанка делает все возможное для выявления, предупреждения и пресечения инцидентов информационной безопасности.