Требования Банка России по безопасности обработки данных и по обеспечению сохранности информационных систем и ресурсов постоянно ужесточаются. Кредитные организации вынуждены адекватно реагировать на данные меры. Кроме того, в их собственных интересах обеспечивать надежное функционирование систем хранения и обработки данных.

БАНКОВСКАЯ СПЕЦИФИКА

Сегодня ни у кого из участников банковского сектора не вызывает сомнений тот факт, что обеспечение информационной безопасности кредитных организаций – актуальная тема, важность которой постоянно возрастает. Данные о клиентах банка, их счетах и операциях интересны злоумышленникам, которые для несанкционированного доступа к этим сведениям используют все возможные способы.

В чем заключается специфика построения систем защиты информации в банковской сфере?

«Ни для кого не секрет, что современная банковская сфера характеризуется активной конкурентной борьбой между банками за деньги клиентов. В этой борьбе одерживает победу тот, кто предлагает более качественный, быстрый и гибкий сервис, построенный с учетом тенденций в области информационных технологий. Таким образом, перед подразделениями ИБ кредитных организаций сегодня стоит задача сохранения способности информационных активов приносить прибыль в условиях поточной реализации бизнес-инноваций», – рассуждает начальник управления ИБ Восточного экспресс банка Артем Антонов. В такой ситуации, по убеждению эксперта, в коммерческом банке неприемлемо внедрение консервативных систем защиты информации и провозглашение жестких, статичных правил контроля обработки данных.

«При построении системы защиты информации предпочтение целесообразно отдавать легкомасштабируемым, переносимым, гибконастраиваемым и не привязывающимся к конкретному объекту средствам контроля и мониторинга ИБ. Кроме того, специфика банковской системы защиты информации состоит еще и в крайне высокой значимости анализа эффективности применяемых мер безопасности», – резюмирует Артем Антонов.

По словам начальника управления информационной безопасности Хоум Кредит энд Финанс Банка Юрия Лысенко, специфика ИБ в настоящее время заключается в том, что по отношению к ИТ-инфраструктуре больше нет своих и чужих пользователей, внутренних и внешних факторов. «Специалисты по информационной безопасности оценивают все факторы и пользователей с точки зрения угрозы для работы систем, а где эти угрозы находятся, не так важно. Нанести урон работе информационных систем могут как злоумышленники со стороны, так и внутренние пользователи или даже неправильно написанная программа. В этих условиях нам необходимо контролировать все ИТ с точки зрения безопасности», – разъясняет эксперт.

С точки зрения начальника отдела информационной безопасности Сетелем Банка Петра Чеботаря, специфика заключается в том, что в банковской сфере существует правовое регулирование ИБ. «Яркий пример – последние изменения законодательства, которые фактически требуют наличия систем DLP (Data Leak Prevention – система предотвращения утечек данных). В такой ситуации перед банками встает вопрос выбора решения, а не анализ рисков от внедрения или отсутствия подобных систем», – отмечает специалист.

СЕКРЕТЫ ДОРОГОГО СТОЯТ

Банки со времени своего появления всегда притягивали преступников. В декабре прошлого года компания InfoWatch представила исследование, согласно которому порядка 30% всех утечек информации в банках, розничных магазинах и процессинговых компаниях приходится на платежные данные владельцев банковских карт. По этому показателю Россия находится на третьем месте в мире после США и Великобритании. Вместе с тем в исследовании отмечается, что в банках и процессинговых компаниях ситуация с хранением конфиденциальных данных обстоит лучше, чем в розничных магазинах. Доля утечек в финансово-кредитных организациях в среднем не превышает 20%.

Опрошенные эксперты уверены, что защита конфиденциальной информации в банковском секторе играет важнейшую роль при оценке качества работы организации. Данный параметр напрямую связан с репутационными и финансовыми рисками, от него в конечном счете зависит судьба любого банковского бизнеса. Какие аспекты обеспечения ИБ сегодня актуальны для банковского сектора?

По мнению Юрия Лысенко (ХКФ Банк), для банковской сферы важным является сохранность клиентских средств и данных. «Приоритет в нашей работе – безопасность и сохранность денег клиентов, информация о движении по счетам, номера карт, персональные данные и т.п. Другой аспект – это обеспечение надежности работы банка. Простои могут выливаться в многомиллионные убытки, не говоря уж об имиджевых потерях, которые несет организация, когда ее услуги не предоставляются корректно в связи с проблемами в информационной безопасности», – отмечает специалист.

Петр Чеботарь (Сетелем Банк) обращает внимание на то, что актуальным является сохранение самого дорогого актива любого банка – информации о клиентах, или, как модно сейчас говорить, персональных данных. «Если в техническом плане дела в кредитной организации обстоят неплохо, то вопросы, которые требуют взаимодействия бизнес-подразделений, ИТ и отделов, отвечающих за риски информационной безопасности, традиционно обходятся вниманием или отдаются на откуп менеджерам проектов», – комментирует специалист. В такой ситуации каждый банк должен быть заинтересован в «выращивании» менеджеров от ИБ, которые могут адекватно и понятно для руководства увязать риски, требования законодательства, бизнес-практику и необходимость обеспечения информационной безопасности.

«Причина актуальности для банковского сектора отдельных аспектов обеспечения ИБ кроется главным образом в материальной ценности защищаемого объекта – информационных активов. Опираясь на собственный опыт, могу выделить следующие критерии эффективности мер ИБ, представляющие интерес для коммерческих банков: результативность, проактивность, гибкость», – говорит Артем Антонов (Восточный экспресс банк).

НЕПЛОХО, НО МОЖЕТ БЫТЬ ЛУЧШЕ

Понятно, что к идеалу можно только стремиться. Стопроцентную информационную безопасность не может обеспечить себе ни одна организация. Однако банковские эксперты достаточно позитивно оценивают состояние дел в сфере ИБ.

«Состояние ИБ на протяжении последних нескольких лет стабильно держится на удовлетворительном уровне. Руководство большинства банков осознает, что такое информационная безопасность, и понимает необходимость осуществления мероприятий в данном направлении. Ответственные за обеспечение ИБ сотрудники достаточно подготовлены, чтобы выполнять базовые требования регуляторов», – считает Артем Антонов (Восточный экспресс банк). В то же время, по мнению специалиста, есть и минусы – направлению ИБ не позволяют развиваться такие сохраняющиеся из года в год проблемы, как отсутствие выделенного подразделения, планирования расходов на ИБ (около трети банков), отдельного бюджета ИБ (около четверти организаций) и недостаток финансирования ИБ (около половины игроков выделяют менее 5% средств бюджета ИТ на ИБ).

По словам Юрия Лысенко (ХКФ Банк), кредитные организации из первой тридцатки по размеру активов действительно уделяют повышенное внимание информационной  безопасности. Более мелкие банки сталкиваются с недостатком финансирования в этой сфере. И все без исключения (банковские и небанковские) организации сталкиваются с нехваткой персонала. «Специалисты в этом направлении крайне востребованы, а потому затраты на оплату их труда высоки. С каждым годом специалистов по ИБ нужно все больше, и дефицит кадров увеличивается. Только для государственных структур ежегодно требуется более 4 000 экспертов по информационной безопасности. Технические вузы страны пока не выпускают необходимого числа специалистов, поэтому конкурсы по направлению «Информационная безопасность» являются лидерами по количеству желающих поступить. И это, я считаю, очень хорошо, ведь в итоге в специальность попадают самые лучшие. Эксперт по информационной безопасности должен быть на голову выше специалиста по информационным технологиям, так как он должен понимать, как работа той или иной системы будет влиять на защищенность всей системы в целом», – анализирует ситуацию эксперт.

Есть еще один момент, который вызывает обеспокоенность у специалистов, занимающихся обеспечением информационной безопасности в банках. Ни для кого не является секретом, что экономическая и политическая ситуация в стране остается напряженной, поэтому кредитные организации предпочитают ужимать непервостепенные расходные статьи. К сожалению, зачастую в число таких статей попадает и информационная безопасность.

«Банки чувствуют изменения, происходящие на рынке, и стараются снизить расходы. Сворачиваются проекты, которые напрямую не нацелены на получение прибыли, сокращаются различные составляющие эксплуатационных расходов, из проектов изымаются статьи, которые трудно связать с бизнес-целями. Информационная безопасность, по своей сути, процесс, направленный на снижение рисков, его задача – сэкономить средства, а не приносить прибыль. В такой ситуации начинается большая работа по оптимизации ИБ – пересмотр рисков, концентрация ответственности, перераспределение расходов», – рассказывает Петр Чеботарь (Сетелем Банк).

Чтобы обеспечить надежное хранение и защиту данных, необходим комплексный подход, суть которого заключается в проведении ряда организационных мер (регламентов, процессов) и в наличии некоторых технических решений. Результативным является применение всех вышеперечисленных мер в сочетании с четкой регламентацией действий персонала и автоматических операций с данными.