Информационная безопасность российских банков – особо актуальный  вопрос именно сейчас, когда, с одной стороны, финансово-кредитным организациям приходится сокращать свои расходы (и, соответственно, финансирование многих проектов), а с другой – атаки злоумышленников становятся все более целенаправленными и изощренными. О том, как Банк Москвы находит для себя «золотую середину» в деле обеспечения защиты своих информационных систем и своих клиентов, рассказал в интервью NBJ начальник управления информационной безопасности ОАО «Банк Москвы» Василий ОКУЛЕССКИЙ.

NBJ: Василий Андреевич, как Вы оцениваете ситуацию с информационной безопасностью в банковских организациях? Как бы Вы определили основные тенденции и факторы, влияющие на ее состояние?

В. ОКУЛЕССКИЙ: На самом деле ситуация очень серьезная, поскольку, как ни крути, а кризис резко снизил объемы финансирования любых проектов. Поэтому реагировать на новые угрозы приходится в рамках тех ресурсов, которыми мы располагаем. Проблема совсем не простая, и решать ее приходится на каждом рабочем месте по-своему.

Вторая особенность состоит в том, что резко изменился характер угроз, причем в двух направлениях. Первое из них – изменился вектор атак. Хакеры и злоумышленники переключились с клиентов банков на сами финансово-кредитные организации. Произошло своего рода развитие по спирали. Мы вернулись в 2008–2009 годы, когда тоже на рынке была кризисная ситуация, и наблюдалось такое же переключение с клиентов на банки. В то же время есть и различие: из-за возросшей защищенности банков стоимость атаки возросла, но и возрос практический «выход» атаки в случае ее успеха. 

Что касается клиентов, то их стали не то чтобы меньше атаковать, но атаки, направленные против них, реже стали удаваться, поскольку клиенты стали более грамотными. Плюс к тому банки предлагают пользователям своих услуг более совершенные, более профессиональные средства защиты. То есть господствующую на рынке тенденцию можно сформулировать следующим образом: общий уровень реализованного мошенничества снизился, а общее число атак возросло.

Еще одно направление, которое сильно стало проявляться в последнее время, – внутреннее мошенничество, например, в рамках организации кредитного процесса, фиксируются попытки сотрудников банков в случае увольнения уносить с собой чувствительную информацию для банков: клиентские базы, если речь идет о сотрудниках фронт-офисов, внутреннюю нормативную информацию, если речь идет о сотрудниках миддл-офиса, менеджеры старшего звена – планы стратегического развития и т.д. 

NBJ: Разве это не является нарушением условий трудовых договоров и корпоративной этики?

В. ОКУЛЕССКИЙ: Конечно, является. Естественно, подобные попытки надо выявлять, их надо пресекать, с ними надо бороться. Но тут есть нюанс. Одно дело, когда мы защищаемся от вещей, которые нам понятны и которым можно противодействовать с помощью технических средств. И совсем другое дело, когда речь идет о внутренних мошенничествах, которые зачастую предполагают сговор между сотрудниками. Тут необходимо постоянно отслеживать ситуацию, выявлять, если не прямые улики, то косвенные признаки, по которым можно было бы судить, что имел место тот или иной инцидент. 

Если характеризовать картину в целом в информационной безопасности, то ситуация, конечно, стала более серьезной.

NBJ: Но не все же попытки внутреннего мошенничества, наверное, удается предотвращать. Что делать, если информация все же вышла за пределы банка – она становится безвозвратно утерянной?

В. ОКУЛЕССКИЙ: Безвозвратно, конечно, нет, поскольку речь идет о копировании информации. Другое дело, что ее хранение можно организовать таким образом, что вынос части информации не будет представлять собой ценности для злоумышленника. Это, безусловно, вопрос, находящийся на стыке и безопасности, и организации бизнес-процессов, и ИТ-процессов. 

NBJ: Странно, конечно, что в банках, где вопросам проверки персонала, контроля за его деятельностью, традиционно уделяют повышенное внимание, такое все же возможно.

В. ОКУЛЕССКИЙ: Ничего не поделаешь. Воруют всегда, воруют везде, бояться этого – все равно, что бояться плохой погоды. От дождя надо иметь зонтик, от попыток внутреннего мошенничества и воровства информации – систему безопасности, которая построена на осознании того факта, что воровство неизбежно. Нужно использовать дискретную систему хранения и организации доступа к информации, различные способы контроля каналов утечек, в том числе внешних каналов и т.д. И тогда вполне достижимой целью будет снижение уровня подобного риска.

NBJ: В рамках различных конференций и круглых столов, посвященных теме обеспечения информационной безопасности в банках, почти всегда обсуждается вопрос, каким образом противостояние России и Запада повлияло на ситуацию в сфере банковской ИБ. Как бы Вы на него ответили?

В. ОКУЛЕССКИЙ: Естественно, геополитическое противостояние оказало и продолжает оказывать влияние на деятельность банков. Особенно это заметно в тех направлениях, где использовались программные продукты крупных вендоров, в первую очередь американских. Когда были введены санкции, у некоторых банков начались проблемы с продлением лицензий, с организацией технической поддержки, с закупкой новых решений. И стало ясно, что от таких решений надо отказываться в пользу разработок тех производителей, которые не придерживаются режима санкций. 

NBJ: То есть в пользу отечественных разработок в сфере ИБ или, например, в пользу аналогичных продуктов, производимых компаниями из стран БРИКС и ШОС?

В. ОКУЛЕССКИЙ: Скажем так, у нас на рынке достаточно наших российских компаний, которые разрабатывают и предлагают банкам очень даже неплохие продукты в сфере информационных технологий. 

С другой стороны, у наших разработчиков есть серьезный системный недостаток, который можно сформулировать одним словом – масштаби-руемость. Они могут хорошо работать на 100-200 станциях, но опыта работы на 1000-100 000 станций у многих из них просто нет. Поэтому, когда мы берем российские решения, даже очень хорошо «заточенные», то перед нами сразу же возникает проблема их тестируемости на масштабах. 

Это очень серьезная проблема. По функциональности, по «заточенности» под наш менталитет и под наше законодательство, конечно, российские решения намного опережают западные аналоги. А вот по такому критерию, как устойчивость работы на больших объемах, нам есть куда стремиться. 

Но, с другой стороны, тут всегда надо учитывать и плюсы. Переходя на решения наших вендоров, мы, во-первых, поддерживаем отечественных производителей. Во-вторых, общение с «нашими» всегда оказывается более продуктивным – я могу связаться с разработчиками в течение 20 минут, и через пару часов они будут сидеть у нас в банке и делать то, о чем я их попрошу. С «западниками» все намного сложнее: я, скорее всего, получу максимум «вторую линию поддержки», и ждать мне ее придется три-четыре часа, да еще и не факт, что она будет на русском языке и в том объеме, в котором мне необходимо.

NBJ: Многие решения, независимо от того, произведены ли они нашими разработчиками или зарубежными, являются коробочными, стандартными. Возможно, все же предпочтительнее такая альтернатива, как самостоятельное создание банками решений, в том числе и в сфере информационной безопасности?

В. ОКУЛЕССКИЙ: Понимаете, даже самый коробочный продукт после его установки в банке через какое-то время становится уникальным, поскольку он, что называется, дорабатывается в процессе эксплуатации. А раз он уникален, то уровень его защищенности существенно более высок, чем уровень защищеннос-ти коробочного продукта. Конечно, при одном условии – правильной кастомизации решения. 

NBJ: Если вернуться к хакерам, то часто можно прочитать, что они очень активно действуют в странах Юго-Восточной Азии. Насколько справедливо это наблюдение?

В. ОКУЛЕССКИЙ: Знаете, Индия и Китай активно используют опыт российских хакеров и скорее копируют что-то у нас, а не мы у них. То есть не мы у них учимся, а они у нас. Для того, чтобы убедиться в этом, достаточно посмотреть статистику хакерских атак. Очень многие из них действительно идут со стороны Индии и со стороны Китая, но там используются в большинстве случаев наши модифицированные методы. 

NBJ: А что касается атак со стороны США и стран ЕС?

В. ОКУЛЕССКИЙ: Мы регулярно проводим анализ атак и по географическому критерию. В основном все же речь идет о хакерах, работающих преимущественно с ip-адресов территорий Китая, Эстонии, Украины и США, в меньшей степени – Турции. При этом каждая из атак имеет собственную структуру.  

NBJ: Какие методы в основном используют хакеры и злоумышленники с технической точки зрения? Как они чаще всего пытаются взломать банковские системы, и появились ли новые разновидности атак? 

В. ОКУЛЕССКИЙ: Методы всегда очень разные, сильно зависят от направления и цели атаки. Для атак на банки очень распространенный вариант – рассылка по электронной почте зараженных писем. Бывают дни, когда до десятков тысяч писем, содержащих зараженный контент, падает в фильтрационные системы. Конечно, это создает определенную напряженность и поддерживает нас в постоянном тонусе, но, с другой стороны, тут есть и позитивный момент. Это позволяет нашему управлению мотивировать свой бюджет. 

Сейчас появилось новое направление – атака с помощью мобильного устройства. Если я начинаю запрашивать с мобильника какой-то веб-ресурс, то он «откликается», а если я направляю этот запрос с миллиона телефонных аппаратов, то речь уже следует вести о DDoS-атаке. Заражаются мобильники, смартфоны, планшеты, в основном «андроиды», значительно меньше – телефоны, работающие на системе Windows. Как социальное явление подобные атаки появились осенью 2014 года. Технически, конечно, они были разработаны немного раньше.

Кроме того, появились DDoS-атаки, которые даже не задействуют крупные бот-сети, а используют некоторые технические особенности обработки серверами запросов на доступ к информации, хранящейся на сервере. 

NBJ: Какие банковские системы, по Вашему опыту, наиболее часто становятся целью атак?

В. ОКУЛЕССКИЙ: С точки зрения производителя системы естественно, что злоумышленников интересуют прежде всего системы, имеющие наибольшее распространение. Это логично – чем больше система, тем более она типизирована, соответственно, тем доступнее ее изучить, и на основе ее изучения построить атаку. И второй момент – чем больше сеть, тем больше в ней участников, и тем больше денег, следовательно, можно украсть, проникнув в нее. Если даже с каждого участника взять, что называется, по копеечке, и, если речь идет о крупной сети, то вы можете легко подсчитать, какой объем средств может быть похищен злоумышленником в случае успеха атаки.

NBJ: А маленькая сеть?

В. ОКУЛЕССКИЙ: А с маленькими все гораздо сложнее. Атаки на них быстрее выявляются именно в силу того, что участников в ней немного.

С точки зрения назначения системы, основной «реципиент» хакерских атак – системы дистанционного доступа (интернет-банк, банкоматы). И, как я уже говорил, появился новый вид атак – на сами банки. Конечно, они более привлекательны для злоумышленников. Тут в одно касание, атаковав корсчет банка, можно сорвать куш в десятки и сотни миллионов долларов.

Мошенники совершенствуются: они изменяют средства атаки, методы атаки, распределение обязанностей внутри участников своих групп. Уже нет гениальных хакеров-одиночек, которые делают все своими руками. Речь идет о преступных организациях, имеющих свои закрытые сети для обмена информацией, знакомства друг с другом, обсуждения готовящихся атак и т.д. 

Это тем более серьезная и тревожная тенденция, потому что складывается очень непростая ситуация. По отдельности участники такой группы вроде бы ничего противозаконного не совершают. А на «выходе» мы сталкиваемся с преступлением – со списанием средств, с их обналичиванием и с распределением украденных средств среди участников такой группы.

NBJ: Их трудно вычислить?

В. ОКУЛЕССКИЙ: С этим как раз проблем нет. Вычислить относительно несложно – сложно доказать, что они совершили преступление. Если верить Илье Сачкову, директору Group-IB, то он чуть ли не всех мошенников, действующих на нашей территории, знает в лицо. Но вот собрать против каждого из них доказательную базу – это, мягко говоря, непросто.

Приведу простой пример: я с помощью компьютера или мобильного устройства захожу в интерфейс какого-то клиента. Это же совершенно не означает, что я зашел на его компьютер и начал с него что-то делать. Тут надо доказать, что у меня наличествовал злой умысел, что я получил неправомерный доступ, модифицировал его программы. Пока все это не доказано.

NBJ: Говорят, что многие хакерские атаки на первых этапах очень трудно заметить даже опытным специалистам. Так ли это?

В. ОКУЛЕССКИЙ: Знаете, правильно построенная хакерская атака как раз и работает так, что ее практически невозможно заметить. Ведь цель ее в том, чтобы злоумышленник мог проникнуть в систему и как можно дольше остать-ся незамеченным. Та же компания «Лаборатория Касперского» свидетельствует в своем отчете, что ее специалистам удалось выявить специальные сети, работавшие до этого в некоторых крупных компаниях на протяжении нескольких лет.

NBJ: Но в любом случае речь всегда идет о финансовом ущербе для атакуемой компании?

В. ОКУЛЕССКИЙ: Необязательно. Все зависит от того, какую цель ставит перед собой организатор атаки. Он может стремиться к тому, чтобы похитить деньги, а может – к тому, чтобы нанести организации репутационные или юридические потери. 

Но тут следует сразу отдавать себе отчет, что в любом случае определенный ущерб вы, как компания, подвергшаяся атаке, понесете – вам придется отвлекаться на выявление атаки, на ее пресечение и на ликвидацию ее последствий. То есть вы будете вынуждены потратить на решение этой проблемы и деньги, и силы, и время ваших сотрудников. 

NBJ: Финансовый вопрос всегда актуален для банков, поэтому, даже несмотря на кризис, они, наверное, уделяют большое внимание укреплению своей информационной безопасности. Не могли бы Вы в связи с этим рассказать, какова динамика затрат банка на ИБ?

В. ОКУЛЕССКИЙ: Честно говоря, я не хотел бы вдаваться в подробности, отвечая на этот вопрос. Ограничусь, пожалуй, только замечанием, что общая динамика расходов нарушена. Но не в силу геополитического фактора, то есть санкций, а в силу тех интеграционных процессов, которые идут сейчас в группе ВТБ.  

NBJ: Вы принимали участие в круглом столе, проведенном нашим журналом в марте 2015 года, и говорили о том, что банк не может и не должен выступать тестовой площадкой, на которой отечественные вендоры могли бы «обкатывать» свои новые решения, прежде чем предлагать их широкому кругу потенциальных покупателей. Почему Вы придерживаетесь этой точки зрения, и где, в таком случае, по Вашему мнению, необходимо тестировать подобные решения?
 
В. ОКУЛЕССКИЙ: Понимаете, в чем дело: я могу, проведя собственный анализ рынка и решений и воспользовавшись опытом коллег, провести тестирование того или иного продукта с целью выяснения, насколько он ложится на инфраструктуру нашего банка или вписывается в наш ИТ-ландшафт. В этом ничего оригинального нет – эту задачу мы решаем перед каждым новым внедрением, но мы не рассматриваем подобные действия как тестирование. Речь идет о проработке решения, которое мы планируем внедрять.

Надо четко понимать, что банк зарабатывает деньги, он не является исследовательским институтом, и поэтому не должен проводить тестирования для того, чтобы сравнить один продукт с другим. Пусть каждый занимается своим делом.

NBJ: Но разработчики обычно апеллируют к тому, что если бы банки предоставляли свои площадки для тестирования, то это позволило бы укрепить сотрудничество между финансово-кредитными организациями и вендорами. Да и качество продуктов бы улучшилось.

В. ОКУЛЕССКИЙ: Кто же оспаривает тот факт, что сотрудничать надо? Более того, надо использовать компетенции интеграторов, работающих с разными вендорами, это обычно дает положительные результаты. Но давайте не путать понятия. Речь в данном случае все равно не идет о тестировании двух-трех десятков решений банком на своей территории. 

NBJ: Какова Ваша позиция по поводу аутсорсинга в сфере ИБ? Если Банк Москвы использует этот инструмент, то какие задачи в сфере информационной безопасности он передает на аутсорсинг?

В. ОКУЛЕССКИЙ: Если говорить о проб-леме аутсорсинга в целом, то я не очень поддерживаю его в сфере информационной безопасности. Хотя, должен сказать, что есть положительные примеры – банк «Открытие» отдал свою безопасность на аутсорсинг в свое специализированное подразделение. Также вполне многообещающим представляется опыт в этом вопросе банка РНКБ. 

NBJ: Но речь чаще всего идет не о полном аутсорсинге ИБ, а о так называемом смешанном варианте, когда внешним подрядчикам передаются для выполнения какие-то функции и задачи.

В. ОКУЛЕССКИЙ: Да, такой вариант есть. Здесь очень важно четко прописать распределение обязанностей и ответственности. Иными словами, необходимо хорошо проработанное SLA (соглашение об уровне предоставления услуг. – Прим. ред.). Если это условие соблюдено – что ж, тогда действительно можно какие-то задачи передавать на аутсорсинг. Но руководство процессом и принятие решений все равно должны оставаться на стороне банка.