Разработаны первые меры борьбы с киберугрозами финсектору
Первые практические предложения о методах борьбы с киберугрозами финансовому сектору озвучили консультант Центра мониторинга и реагирования на компьютерные атаки в финансовой сфере (FinCERT) Банка России Александр Чебарь и заместитель начальника главного управления безопасности и защиты информации Банка России Артем Сычев. По их словам, ключевые — это защита финансовых данных на более раннем, чем сейчас, этапе их обработки и создание единой базы данных лиц и компаний, участвующих в незаконном обналичивании, пишет "Коммерсант".
Основное предложение — защищать данные путем шифрования и электронной подписи на более раннем этапе: не в момент их прохождения через расчетную систему Банка России, а раньше, на этапе, когда данные находятся еще в банке, проводящем ту или иную операцию.
Как пояснили изданию в ЦБ, решение было принято, во-первых, с учетом анализа мирового опыта — именно такая практика применяется почти во всех крупных платежных системах, — во-вторых, с учетом анализа имевших место фактов хищений денежных средств у коммерческих банков. "Сейчас идет обсуждение этого вопроса, как только будет сформирована общая позиция, она примет форму нормативного документа", — сообщили в ЦБ. Это должно способствовать снижению уровня хищений денежных средств за счет усложнения для атакующих условий атаки. Как указывают в ЦБ, в последнее время эти атаки сместились от взлома карты или банк-клиента конкретного физлица или компании к взломам самих банковских систем
Банкиры рассказывают, как это работает на практике. Вброс идет от любого источника — это может быть фишинговое письмо или письмо с троянским вирусом. Например, по словам начальника управления информационной безопасности Бинбанка Евгения Калашникова, были случаи, когда вредоносный вирус проникал в базу банка через службу персонала под видом резюме соискателя. Далее большинство банков отправляет платежи в ЦБ партиями, так называемыми реестрами. Реестры идут в формате обычного XML-файла, из которого видно, кто, кому и сколько переводит. Канал, по которому отправляются реестры, не защищен, и этим пользуются мошенники. В отправленные реестры с легитимными платежами внедряется фиктивный платежный документ. Он вместе с легитимными реестрами отправляется в платежную систему Банка России, где принимается к исполнению, заверяется электронной подписью и направляется в другие банки. После этого вирус обрушивает всю автоматизированную систему банка, куда проник. А в это время деньги из реестра-фальшивки уходят на сотню-другую карточных счетов в других регионах и снимаются через банкоматы.
По словам Александра Чебаря, чаще всего подобные карты оформляются на подставных лиц и являются картами премиум-класса, позволяющими снимать большие суммы. В связи с этим в дополнение к установлению защиты (с электронной подписью и шифрованием) по всем реестрам платежей, направляемым в ЦБ, планируется предпринять еще один шаг — создать единую базу данных, содержащую сведения обо всех случаях снятия наличных. В пресс-службе ЦБ сообщили, что сейчас Банк России сотрудничает с органами исполнительной власти в разработке законопроекта, который позволит такую базу создать.
Озвученные вчера меры стали первыми шагами по реализации поручения Дмитрия Медведева об активизации борьбы с киберугрозами, ущерб от которых постоянно растет.
Впрочем, несмотря на устрашающие цифры, рост нагрузки, а главное, отсутствие опыта в этой сфере для многих банков выглядят чуть ли не страшнее рисков кибератак. "Тот вариант, что предлагает ЦБ, — это переложить электронную подпись и шифрование на банки", — говорит начальник управления информационной безопасности Златкомбанка Александр Виноградов. По его словам, для этого у компании, которая разрабатывает АБС для банка, согласно законодательству, должна быть лицензия ФСБ. Реализация предложенных ЦБ мер — это небыстро и очень дорого, говорят банкиры. По словам экспертов, подобная АБС может обойтись банку порядка 4-5 млн рублей.
В ЦБ заверяют в обратном: "Сегодня в банках все вопросы электронной подписи решаются штатными специалистами, и никаких дополнительных специалистов для этого не потребуется". Кроме того, там обещают для банков переходный период, его срок пока обсуждается.
Ваш комментарий