Даже самые прогрессивные средства защиты банковской информации не выдерживают порой атак хакеров. И 90% всех преступлений в банковской сфере приходится на взлом автоматизированных систем обработки данных
НБЖ № 1(3), 2004
«Безопасность по стандарту», стр. 74

Бесспорно, тема защиты банковской информации никогда не потеряет актуальности. Из года в год, изо дня в день банки вынуждены противостоять все более изощренным и мощным атакам со стороны хакеров, которые пользуются не только старыми проверенными методами взлома, но и постоянно совершенствуют свое мастерство, придумывая новые методы мошеннических действий.

Сместился, правда, вектор хакерских атак. Если еще восемь лет назад актуальной темой был взлом автоматизированных банковских систем (не случайно первоочередными эксплуатационными требованиями к АБС были надежность и безопасность), то в настоящее время мошенники предпочитают сферу ДБО. Именно дистанционное банковское обслуживание подвергается наибольшему количеству хакерских атак. Причины такой «переоценки ценностей» могут быть разные. С одной стороны, АБС стали лучше защищены, с другой стороны, ДБО более привлекательны для киберпреступников в силу так называемого человеческого фактора.

Согласно последним исследованиям обороты рынка мошенничества растут примерно теми же темпами, что и рынок ДБО, т.е. в два-три раза ежегодно. Если еще пять лет назад атаки были достаточно примитивными (как, впрочем, и средства защиты), то на протяжении последних пяти лет уровень организации этого криминального бизнеса рос колоссальными темпами.

К сожалению, сбываются предсказания экспертов о взрывном росте технологий взлома. Первым этапом в развитии хакерских атак было простое хищение ключей электронной подписи клиентов. Вторым - удаленное управление компьютером бухгалтера. Третий шаг: хакер по сети подключался к USB-порту компьютера и мог воспользоваться токеном, предварительно перехватив его PIN-код. И это далеко не полный перечень возможных атак.

Не следует забывать и о пресловутом человеческом факторе. По данным исследований, свыше 80% нарушений информационной безопасности вызвано сотрудниками самой организации.

Объективная реальность состоит в том, что полностью автоматических систем информационной безопасности (ИБ) не существует, все они предполагают участие человека. Правильное построение систем ИБ и дальнейшее управление ими являются исключительно прерогативой персонала, поэтому бессильными могут оказаться самые совершенные ИТ-решения. Поэтому человеческий фактор необходимо учитывать как при организации процессов в компании, так и при проектировании и внедрении ИТ-систем.

Возникает традиционный русский вопрос: что делать, чтобы минимизировать риск ошибки, оплошности, а зачастую и злого умысла со стороны персонала? Большинство банков отвечает так: необходимо четко регламентировать правила поведения сотрудников на рабочих местах. Однако на практике данные правила зачастую не работают. Хотя бы по той причине, что никто не признается добровольно в нарушениях из страха быть оштрафованным, депремированным, а то и уволенным.

Эксперты считают, что необходимо применять подход, при котором правила ИБ нельзя было бы не выполнить. В частности, необходимо объединять уже существующие в банках системы информационной безопасности и системы физической безопасности. Например, нужно четко идентифицировать объект, применять биометрическую идентификацию. В системе должен оставаться «информационный след» - необходимо знать, что делает конкретный специалист на протяжении всей его работы. Это достигается с помощью видеонаблюдения, систем контроля доступа, бюро пропусков и т.д.

Но и это еще не решение проблем. Если сотрудников банка можно как-то организовать и контролировать, то что делать с нерадивыми клиентами, которые никак не хотят помнить об угрозах взлома ДБО и заботиться о сохранности собственных денежных средств? Однако это тема отдельной статьи.