Банковская рулетка: клиентам банков – о безопасности их данных и вкладов

Действительно ли участились кибератаки на финансовые организации?

Верно, эксперты ИТ-отрасли указывают на то, что с марта 2022 года атаки на финансовые организации участились, стали более мощными и продолжительными.

Одновременно с этим во всех направлениях бизнеса увеличиваются риски информационной безопасности в связи с уходом с российского рынка ведущих зарубежных вендоров в области ИБ: Cisco, Fortinet, Palo Alto и других (здесь полный список ИТ-компаний, ушедших из России). Прежде всего, страдают те организации, системы ИБ в которых были полностью завязаны на импортных решениях.

Александр Лямин, основатель и генеральный директор Qrator Labs

Александр Лямин, основатель и генеральный директор Qrator Labs, подтверждает: «В течение последних нескольких недель мы наблюдаем существенное увеличение числа DDoS-атак во всех отраслях, в том числе в банковской сфере. Растет сложность и количество нападений. При этом DDoS-атаки часто организуются вместе с попытками взлома. Финансовые организации сейчас особенно нуждаются в обеспечении повышенного уровня безопасности, поэтому спрос на решения по противодействию DDoS-атакам и взломам в этой сфере значительно возрос».

В безопасности ли деньги и данные клиентов в сложившейся ситуации?

Сохранение и увеличение лояльной клиентской базы является для банков критически важной бизнес-задачей, а любой инцидент с масштабной утечкой сведений сильно бьет по репутации. Кроме того, банки несут юридическую ответственность за безопасность персональных данных клиентов при их обработке (N152-ФЗ «О персональных данных»). Под обработкой здесь подразумевается не только первичный сбор и обработка данных в информационных системах, но и любые другие действия с ними – безопасное хранение, передача и т. п.

«Банки, как и телеком, давно взяли курс на внедрение в свою инфраструктуру отечественных ПО, платформ и железа, что в текущей ситуации определило их статус как наиболее защищенных отраслей», – согласны в пресс-службе ПАО «МегаФон».

Поэтому мы можем быть уверены в том, что банки предпринимают максимальные усилия в  направлении безопасности клиентских данных. Данные граждан передаются по защищенным каналам и хранятся в надежной банковской инфраструктуре, где, как правило, установлены самые передовые решения по информационной безопасности, вовлечены самые большие ИБ-подразделения и аутсорсинговые центры мониторинга киберинцидентов (SOC). К сложившейся ситуации ИТ-инфраструктура банков, по сути, готова – иначе мы бы уже в марте мы наблюдали волну утечек. Пока что мы наблюдаем только масштабные DDoS-атаки на банковские ресурсы, но и они в основном успешно отбиваются.

Добавим, что целенаправленная кибератака на хорошо защищенные банковские ресурсы –  очень дорогостоящий и рискованный проект для хакеров, а вероятность его успешной реализации низкая. Поэтому злоумышленники вряд ли будут проводить кибератаки на крупные банки именно с целью заработать деньги – для этого гораздо проще работать с клиентами банков (получение обманным путем данных банковских карт, накладки на картоприемники терминалов и прочее) и неосторожными пользователями ПК (шифрование с требованием выкупа).

Какие меры по усилению ИБ должны предпринять банки в соответствии с требованиями ЦБ?

В конце марта ЦБ попросил финансовые организации «компенсировать» риски ИБ, связанные с уходом зарубежных вендоров. Однако конкретного перечня требований или реестра ПО и оборудования, подлежащего замене, пока нет. Вероятно, эти предложения в том виде, в каком они озвучены сейчас, останутся рекомендательными. Но к банкам будут применены требования касающиеся обязательного импортозамещения субъектов КИИ (в частности, Указ Президента РФ от 30 марта 2022 года №166 о полном запрете на использование иностранного ПО).

Вероятно, сейчас, под давлением ЦБ, банкам придется еще пересмотреть свои информационные системы, выявить узкие места, в чем-то их усилить и импортозаместить. Имеются в виду не только ИБ-системы, а весь стек критически важных систем – например, СУБД, CRM, мобильные приложения, серверное оборудование.

Есть ли отечественные аналоги у иностранных систем безопасности, насколько они качественные?

В России традиционно сфера ИБ считается одной из самых развитых на рынке ИТ. У нас и так в основном используются продукты отечественных разработчиков – системы DLP, EDR/XDR, SIEM, межсетевые экраны, антивирусные продукты. Достойные аналоги зарубежным решениям, скорее всего, банкам необходимо искать в других направлениях ИТ – например, в направлении операционных систем (замена Windows), СУБД (замена Oracle), прикладного ПО.

Кроме того, банкам в первоочередном порядке необходимо решить вопрос с глобальными платежными системами, так как сейчас для оплаты покупок за рубежом граждане зачастую пользуются какими-то обходными путями – что не всегда безопасно.

Сколько времени может потребоваться на переход на отечественные системы ИБ?

Как мы уже отметили, в операционной деятельности банки и так пользуются преимущественно российскими системами и сервисами информбезопасности. Что касается импортозамещения в целом – конечно, это длительный и планомерный процесс. Даже в текущих условиях моментально перейти на отечественную систему класса ERP или CRM крупной компании невозможно. Требуется большая работа по выбору, внедрению и тестированию системы, ее интеграции, миграции данных, обучению персонала. То же касается парка оборудования – например, серверов. В любом банке существует стратегия цифровой трансформации и подробная «дорожная карта» по переходу на отечественные решения.

Могут и клиенты банков и других сервисов отсудить у организации деньги за утечку их личных данных?

Теоретически это возможно, но, скорее всего, клиенту сервиса придется искать косвенные пути, чтобы доказать ущерб от такой утечки. Более подробно мы рассматриваем подобную практику в материале «За чей счет банкет».

Что могут предпринять клиенты банков, чтобы дополнительно обезопасить себя, свои данные и деньги?

Клиентам банков, как и прежде, стоит уделять особое внимание цифровой гигиене: периодически менять пароли к банковскому аккаунту, использовать антивирус, биометрическую аутентификацию, NFC (бесконтактную) технологию, вовремя обновлять ПО, не открывать сомнительные ссылки, не сообщать банковские данные незнакомым лицам, не оставлять информацию о себе в публичном доступе (в соцсетях) и т. д. Социальная инженерия и фишинг по-прежнему являются главными причинами утечек банковских данных.

Комментарии эксперта

На вопросы ICT-Online.ru отвечает руководитель группы защиты инфраструктурных ИТ компании «Газинформсервис» Сергей Полунин.

Сергей Полунин, руководитель группы защиты инфраструктурных ИТ компании «Газинформсервис»

– Насколько, по-вашему, банки защищены от утечек данных и кражи средств со счетов клиентов, учитывая уход с российского рынка иностранных вендоров ИБ?

– Как правило, банки довольно серьезно относятся к защите информации, да и на рынке есть значительный выбор средств информационной безопасности от российских вендоров. Так что в этом смысле особых проблем быть не должно. Проблемы начнутся позже – с аппаратной составляющей. А утечки и кражи из банков чаще происходит по вине инсайдеров или невнимательности сотрудников. Тут технические средства, конечно, могут помочь, но в основном это вопрос внутренней дисциплины в организации.

– Какие информационные системы банков на данный момент наиболее уязвимы?

– Строго говоря – все. Средства класса CRM или ERP используются преимущественно зарубежные. Миграция на российские аналоги будет долгой и болезненной, оперативно их заменить не получится. По идее, в банках уже достаточно давно идет процесс перехода на отечественное ПО, но он проходит очень не быстро и сейчас вряд ли заметно ускорится.

– Стоит ли клиентам банков проявлять бОльшую, чем обычно, бдительность? Какие шаги стоит предпринять для дополнительной защиты денег и данных?

– Когда речь заходит о деньгах, слишком много бдительности не бывает. Антивирусы на рабочих местах и телефонах, внимательная работа с неизвестными сайтами, осторожность при открытии писем от незнакомых адресатов – всё это, безусловно, никогда не повредит. К сожалению, в случае с банками, даже выполнив все меры предосторожности на своей стороне, вы не сможете себя обезопасить на 100%. Но это совсем не означает, что стоит пренебрегать самыми простыми правилами безопасности.