В Магнитогорске завершил работу VII ежегодный Уральский форум «Информационная безопасность банков», организованный Ассоциацией российских банков при поддержке ЦБ РФ. Специальный корреспондент портала Банки.ру направился на границу Башкирии и Челябинской области, чтобы выяснить, каковы основные угрозы для информационной безопасности кредитных организаций и как с ними будут бороться.
Подорвать систему за считаные минуты
Морозный Магнитогорск собрал представителей банковского сообщества и компаний IT-индустрии со всей России. Помимо банкиров и специалистов по информационным технологиям, в работе форума участвовали сотрудники ЦБ РФ, ФСБ, Федеральной службы по техническому и экспортному контролю и Роскомнадзора. В центре дискуссий была тема информационной безопасности кредитных организаций.
Участники форума в течение четырех дней обсуждали актуальные задачи информационной безопасности больших корпоративных систем, автоматизации управления банками, совершенствования средств защиты кредитных организаций от реальных и кибермошенников, а также DDoS-атак, вопросы регулирования и стандартизации процессов обеспечения информационной безопасности банков.
Однако одним из самых ярких моментов дискуссии стало выступление генерального директора компании Digital Security Ильи Медведовского, который в красках и деталях показал, как при должной подготовке можно в считаные минуты подорвать деятельность банковской системы РФ.
Онлайн-игры надежнее интернет-банкинга
Автоматизированная банковская система (АБС) — комплекс программного и технического обеспечения, направленный на автоматизацию банковской деятельности. АБС является «сердцем» кредитной организации.
«Устроить коллапс банковской системы очень просто. Чтобы организовать масштабную атаку на банковскую систему Российской Федерации, сегодня достаточно изучить семь систем ДБО и АБС, — сказал Медведовский. — Не надо атаковать тысячу банков, достаточно атаковать 50 самых крупных банков. Сколько нужно для этого времени? Работа кибервзвода в течение полугода, может, трех месяцев». Эксперт пояснил, что в настоящее время количество поставщиков систем АБС можно «пересчитать по пальцам одной руки»: два разработчика держат порядка 80—90% доли всего рынка. В то же время на рынке систем ДБО лидируют пять разработчиков. В число наиболее популярных разработчиков АБС входят «Диасофт», ЦФТ, «ПрограмБанк», «Инверсия», «ЮниСАБ» и R-Style.
«Сейчас в Интернете самые защищенные системы — это онлайн-игры, а вовсе не интернет-банкинг, — сетует Медведовский. — Почему? Потому что онлайн-игры сами себя защищают. Кроме того, они привыкли работать в агрессивной среде. Соответственно, разработчики онлайн-игр достаточно серьезно относятся к безопасности, иначе бы они не выжили».
Социальные сети — источник опасности
Что же спасет российские банки от краха систем безопасности в условиях роста интереса кибермошенников к деньгам кредитных организаций? «Пока мошенники боятся ломать банки, — пояснил эксперт. — Когда же их ломают, то сразу воруют деньги. Поэтому надо понимать, что сегодня ситуация близка к катастрофе, если ничего не делать».
Банковское сообщество и ЦБ РФ наличие серьезных проблем признают и уже ведут работу по совершенствованию систем безопасности и требований к ним. Об этом рассказывал заместитель начальника главного управления безопасности и защиты информации Центробанка Артем Сычев.
«Какие риски на сегодняшний момент Центральный банк видит с точки зрения информационной безопасности? Первое: риск правонарушений, связанных с неправомерным распоряжением денежными средствами, — сказал Сычев. — Эта проблема действительно для нас важна. Второй риск — это риск воздействия криминального элемента на автоматизированные системы и препятствования устойчивому функционированию не только платежных систем, но и систем, обслуживающих банки». Кроме того, регулятор видит и третий риск — усиления политического давления на экономику РФ путем отключения ряда финансовых институтов от некоторых финансовых сервисов.
Опасения у регулятора вызывает и рост популярности соцсетей, посредством которых осуществляются попытки формирования панических настроений на банковском рынке. «Неконтролируемое распространение ложной информации именно в социальных сетях приводило в 2014 году в некоторых регионах к попыткам массового изъятия денег из банков», — пояснил Сычев.
Центр оперативного реагирования
Со своей стороны ЦБ готовит ряд поправок в действующее законодательство, направленных на противодействие преступлениям в финансовой сфере. Прежде всего, регулятор намерен уже к концу мая 2015 года создать центр реагирования на инциденты (FinCERT) для оперативного сбора и обмена информацией о попытках несанкционированного вывода денежных средств из банков.
Закон против мошенников
Кроме того, ЦБ намерен усилить борьбу с преступниками, использующими высокие технологии. «История уже давняя. Есть несколько проблем в законодательстве, которые сейчас этого не позволяют делать эффективно, — отметил Артем Сычев. — Препятствием является текущее решение пленума Верховного суда о том, что является местом преступления. Суть проста: если у клиента счет, например, в Москве, а деньги с него вывели, например, в Тюмени, то на обращение в полицию в Москве может быть получен отказ с просьбой поехать в Тюмень и там подать обращение».
Со стороны уголовного законодательства есть проблема по криминализации использования и установки скиммингового оборудования. «Сейчас криминализировано именно изготовление и сбыт такого оборудования, — поясняет Сычев. — Применить нормы Уголовного кодекса к пользователям скиммингового оборудования практически невозможно».
Желая решить проблему, Банк России совместно с участниками финансового рынка разработал законопроект, который позволит более эффективно бороться с мошенниками, использующими высокие технологии в сфере финансов. Нормативный акт будет направлен, в частности, на расширение состава преступлений, связанных со скимминговым и иным оборудованием. Так как Центробанк не имеет права законодательной инициативы, через два месяца после доработки он хочет направить текст документа в МВД.
Михаил ТЕГИН, Banki.ru, Магнитогорск