Информационная безопасность российских банков продолжает развиваться под влиянием нескольких факторов: активизации киберпреступности, необходимости минимизировать расходы, ужесточения законодательного регулирования, импортозамещения, вызванного санкциями. Об особенностях развития банковской информационной безопасности в отнюдь не тепличных условиях NBJ рассказал директор департамента экономической и информационной защиты бизнеса РОСГОССТРАХ БАНКа Артем ГОНТА. 

NBJ: Артем, каким образом противостояние России и Запада повлияло на обеспечение информационной безопасности в банках?

А. ГОНТА: Противостояние России и Запада пока привело лишь к ослаблению экономики нашей страны. Существует закон: снижение уровня экономического развития повышает уровень преступности. Данное обстоятельство требует большего внимания и принятия превентивных мер, в том числе и в сфере информационной безопасности.

Некоторые банки уже почувствовали результаты санкций: появляются сложности с поставками оборудования, программного обеспечения и обновлений к нему, становятся недоступными некоторые сервисы, происходит сокращение квалифицированного персонала. Это создает угрозы конфиденциальности, целостности и доступности информации, становится понятным и характер таких угроз.
Вышедшее из строя оборудование и его компоненты нечем заменить, программное обеспечение в области информационной безопасности бесполезно без актуальных обновлений, сокращения негативно влияют на мотивацию персонала, без доступа к зарубежным корневым центрам сертификации невозможно обеспечить безопасность интернет-соединений с некоторыми платежными системами.

Некоторые угрозы, возможно, еще только предстоит осознать. Использование в критичных отраслях зарубежного программного обеспечения может быть серьезной проблемой в случае эскалации конфликтов между государствами. Уже сейчас мы видим, что, несмотря на финансовые и репутационные риски, иностранные производители ПО отказываются выполнять контрактные обязательства под давлением федеральных органов. Нельзя исключать вероятность целенаправленных атак, выполняемых по команде руководства других государств, на информационные системы отечественных организаций со стороны производителей программного обеспечения.

NBJ: В последнее время эксперты часто обсуждают импортозамещение в области информационных технологий. Поделитесь, пожалуйста, своим видением проблемы импортозамещения.

А. ГОНТА: Российский рынок программного обеспечения значительно моложе зарубежного. В большинстве случаев это обусловило некоторое отставание отечественного ПО в зрелости и качестве программных решений и, как следствие, стало причиной их недостаточной популярности в банковском секторе. Сейчас предложения продавцов российских аналогов оборудования и программного обеспечения встречают некоторое недоверие потенциальных покупателей, и зачастую это недоверие оправданно. Потребуется время для того, чтобы российские разработчики ПО не только поняли потребности заказчиков, нашли с ними общий язык, но и приобрели репутацию надежных поставщиков. К сожалению, финансовый кризис замедляет этот столь необходимый процесс, так как отрасль разработчиков программного обеспечения в условиях сокращения бюджетов теряет ценные кадры – программистов и продавцов.

NBJ: Поддержал ли ваш банк рекомендации регулятора «Безопасность банковских приложений на всех этапах жизненного цикла»? Достаточно ли мер предпринимает государство для обеспечения информационной безопасности?

А. ГОНТА: Участие специалистов по информационной безопасности во всех этапах жизненного цикла приложений – не только хорошая практика, но и необходимое условие обеспечения безопасности любого банковского ПО.

К сожалению, широко распространена ситуация, при которой эксперты по информационной безопасности привлекаются к проектам разработки, приобретения или внедрения нового приложения на поздних этапах, когда многие нюансы уже упущены. Исправление допущенных ошибок требует дополнительных ресурсов, что влечет удорожание стоимости и увеличение сроков реализации таких проектов.

Мнение специалистов по информационной безопасности часто игнорируется при стремлении бизнеса получить отдачу от работы приложений как можно скорее, в промышленной эксплуатации появляются уязвимые информационные системы, что приводит к реализации угроз ИБ и неблагоприятным финансовым, юридическим или репутационным последствиям для организации.
Государство принимает правильные меры, совершенствуя законодательную базу в области информационной безопасности, однако некоторые моменты в области ИТ и их безопасности не регламентированы. К сожалению, еще встречаются случаи, когда нормативные акты, регулирующие отношения в области информационной безопасности, противоречат один другому или не вполне согласованы.

NBJ: Что Вы думаете по поводу закона о хранении персональных данных граждан РФ на российских серверах? Критикуете или поддерживаете его? Рассматриваете ли Вы всерьез инициативу по созданию в России автономной коммуникационной сети? В прошлом году член Совета Федерации Максим Кавджарадзе высказывал предложение по созданию сети «Чебурашка».

А. ГОНТА: Стремление государства контролировать информацию о своих гражданах понятно, однако Интернет по определению – глобальная сеть, и попытки локализовать данные закономерно ведут к созданию автономных сетей. С точки зрения государства, эти инициативы логичны и оправданны. Не стоит забывать, что глобальная сеть используется в том числе в противоправных и даже военных целях. Осознавая весь спектр проблем и характер угроз, законодатель пытает-ся регулировать и управлять этими процессами, другое дело, что нужного опыта, к сожалению, регуляторам пока не хватает.

NBJ: Как изменилась динамика затрат вашего банка на информационную безопасность в связи с событиями последнего года?

А. ГОНТА: Сократились затраты на развитие системы информационной безопасности. Мы также стали более плотно работать с отечественными разработчиками программного обеспечения по защите информации.

NBJ: По убеждению некоторых экспертов, банк не может выступать тестовой площадкой для решений вендоров. Вы разделяете данную точку зрения? Если да, то где в таком случае необходимо тестировать подобные решения? Как преодолеть дефицит доверия к вендорам?

А. ГОНТА: Тестировать на живых банковских процессах – идея далеко не самая лучшая. Процесс тестирования сам по себе подразумевает возможность сбоев, и точный характер этих сбоев никто не сможет предсказать, как и возможные последствия. При этом без тестирования в принципе обойтись невозможно: каждое изменение инфраструктуры или процесса требует апробации, проверки. Проводить тестирование нужно вне продуктивной среды, в выделенных тестовых средах, имитирующих, хоть и в меньших масштабах, «боевую» инфраструктуру.

Приобретение доверия заказчиков – длительный процесс. Качественное и доступное по цене программное обеспечение, квалифицированный технический персонал, руководители проектов, менеджеры продаж – необходимые элементы вывода нового ПО на рынок.

NBJ: Как противостоять участившимся кражам банковских продуктов?

А. ГОНТА: Необходимо на основе существующего опыта проводить работу по обобщению информации, анализу исходных параметров (причин и условий, способов совершения хищений) и на основании полученных выводов формировать комплексную систему мер, направленных на предотвращение негативных результатов.

Применение злоумышленниками мошеннических схем при хищении банковских продуктов разнообразно и многочисленно. Часто мошенники используют паспорта граждан РФ, трудовые книжки и справки по форме 2-НДФЛ, имеющие признаки подделки, либо поддельные документы. Другими словами, зачастую используются подложные персональные данные либо ложная информация о работодателе. Также имеют место факты мошенничества при использовании систем дистанционного банковского обслуживания, когда злоумышленники, располагая персональными данными клиента, информацией о его счетах, дистанционно и от его имени переводят денежные средства на счета своих подставных организаций, после чего обналичивают их.

Вместе с тем данные попытки своевременно выявляются и пресекаются банком. Нередко к нам обращаются и жертвы мошеннических действий. В банке выработаны алгоритмы работы по расследованию и предотвращению хищений, они довольно эффективны. Количество пресеченных и выявленных мошенничеств исчисляется десятками (если брать квартал в качестве временного интервала), а сумма предотвращенного ущерба – миллионами рублей.

Существует несколько эффективных мер по противодействию кражам банковских продуктов, раскрою их на примере нашего банка. Это взаимодействие службы безопасности кредитной организации с правоохранительными органами при проведении совместных мероприятий по выявлению фактов хищений банковских продуктов. Также мы проводим профилактические мероприятия, направленные на выявление, предупреждение и пресечение хищений – инструктажи, занятия, консультации работников в точках продаж. Мы разрабатываем методические рекомендации, проводим мероприятия с участием тайных покупателей, своевременно оповещаем работников точек продаж о новых формах и видах хищений, актуализируем внутренние нормативные акты банка в части противодействия хищениям, выполняем требования Банка России. Также в РОСГОССТРАХ БАНКе разработана система мотивации сотрудников в случае выявления ими фактов мошенничества.

NBJ: Одни эксперты ратуют за перевод банков в виртуальную среду, другие высказываются против. Какой точки зрения придерживаетесь Вы?

А. ГОНТА: С точки зрения ИТ виртуализация дает определенные преимущества, такие как более плотное использование аппаратных ресурсов, сокращение потребления электроэнергии, уменьшение площадей, необходимых для размещения оборудования.

С точки зрения информационной безопасности перевод инфраструктуры в виртуальную среду создает много дополнительных сложностей. Появляются новые угрозы, связанные с компрометацией гипервизора, увеличивается цена ошибок и злоупотреблений технического персонала. Опасения вызывает тот факт, что выход из строя оборудования затронет большее количество виртуальных серверов, чем при использовании традиционной, физической среды. Оптимальным, как правило, является вариант, когда в виртуальную среду переносятся менее критичные ресурсы, а в физической среде остаются сервисы, требующие соблюдения особых условий безопасности или производительности.

NBJ: Информационная безопасность банка на аутсорсинге – да или нет? Аргументируйте, пожалуйста, свою точку зрения.

А. ГОНТА: В полном объеме – нет, точнее, это возможно, когда контрагент абсолютно надежен и прозрачен. То есть его структура (штат, порядок управления, финансирования), планы о смене собственников, кадровые перемещения, политика безопасности, стратегии бизнеса, надежность и многие другие аспекты деятельности вам известны и устраивают вас, но это скорее из области нереального. В противном случае это все равно, что доверить свой кошелек малознакомому человеку. Но в части использования баз данных либо наработок по предотвращению мошенничеств в сфере кредитования сторонних специализированных компаний вполне приемлемо.

Эффективный аутсорсинг допустим при желании оптимизировать расходы, однако возможен он для организаций, достигших определенной зрелости процессов в части обеспечения информационной безопасности. Процессы должны быть формализованы, документированы, должны иметь измеримые показатели качества. Пока система управления ИБ формируется, управляется фактически в ручном режиме, передача ее на аутсорсинг нежелательна. Выстроенные процессы, переданные на аутсорсинг, – оптимальный вариант как с точки зрения оптимизации затрат, так и с точки зрения улучшения качества, поскольку взаимодействие в рамках SLA позволяет точнее оценивать качество услуг и гибко управлять ими с помощью финансовых рычагов.

NBJ: Какие задачи в области обеспечения ИБ предстоит решить вашему банку в 2015 году?

А. ГОНТА: В нынешнем году основными направлениями деятельности РОСГОССТРАХ БАНКа стали: противодействие организованным преступным группам, предпринимающим попытки атак на информационные системы банка, улучшение защищенности систем ДБО и совершенствование методических рекомендаций клиентам по их использованию, актуализация нормативной базы и оптимизация процессов с учетом последних изменений в законодательстве.