Мошенники атакуют

ИНСАЙДЕРЫ – ВОТ ГЛАВНАЯ ПРОБЛЕМА

 «Инциденты, связанные с похищением денежных средств в банках, в основном, происходят с участием инсайдеров», – говорит Андрей Курило, замначальника главного управления безопасности и за щиты информации Банка России. Не секрет, что базы данных разной степени актуальности ходят по рынку, а базы данных и деньги – почти одно и то же, считают специалисты рынка безопасности информации. Если на Западе о пропаже таких баз принято заявлять (хотя бы на уровне правительственных учреждений), то в России подобные прецеденты зачастую замалчиваются до последнего. «В банках существует традиция скрывать инциденты, чтобы не портить себе репутацию», – говорит А. Курило. Поэтому эксперты не исключают, что реальный объем хищений средств в российских банках на несколько порядков превышает официальные данные. При этом вернуть удается всего 10% «уведенных» денег. Такая математика убеждает крупные банки: дешевле не допускать утечек, чем пытаться отобрать у преступников то, что они благополучно украли. По словам Курило, как правило, о проблемах в банках становится известно, когда «йодом мазать уже невозможно, надо болезнь лечить». Типовое хищение в российских финансово-кредитных структурах выглядит так: пропадает 1–2 млн рублей. По мнению экспертов, воровать меньше нет смысла, больше – сразу заметят и начнут искать. Как правило, во всех крупных мошеннических операциях находится след инсайдера.

СТАНДАРТИЗАЦИЯ БОРЬБЫ

Еще несколько лет назад каждый банк самостоятельно разбирался со своей безопасностью, а ЦБ – со своей. Однако в последние два года ситуация изменилась, говорят эксперты: ЦБ предложил коммерческим финансовым организациям воспользоваться разработанными его специалистами стандартами. В Банке России подчеркивают: имен но предложили, а не обязали этим стандартам следовать. Каждый по-прежнему волен выбирать собственные, но все больше кредитных организаций обращаются к опыту регулятора. «Стандарты представляют собой консолидированный опыт. Важна возможность не в одиночку биться, а объеди нить усилия», – говорит председатель комитета АРБ по информационной безопасности Александр Велигура. Тем более что «в условиях кризисной турбулентности повышается активность преступников», а количество банковского персонала и качество его работы, напротив, снижается. И этим пользуются мошенники. Формирование стратегии безопасности – вопрос, который решает для себя руководство каждого банка. «Прежде чем ставить дверь, нужно додуматься, что она вообще нужна, принять решение о том, какую именно поставить», – считает Велигура. По его мнению, стандарты Центробанка в этом смысле очень полезны. По словам зампреда ЦБ РФ Михаила Сенаторова, в системе Банка России уже более 10 лет хищений не было. Между тем через эту систему проходит около 60% всех платежей, а остальные 40% – через крупные банки, где хищения возможны. Банкиры не воспринимают стандарты ЦБ как очередной инструмент воздействия на кредитные организации, убежден Павел Гениевский, секретарь совета сообщества ABISS. По мнению Гениев ского, сейчас, когда банки столкнулись с реальными угрозами и рисками – мошенничеством через интернет-банкинг, вирусами, спамом, – руководство финансово-кредитных структур изменило свое отношение к проблемам информационной безопасности. «Теперь специалисты банков сами обращаются в Банк России, в сообщество и просят: дайте инструмент, который защитит наши активы», – гово рит Павел Гениевский. На сегодня более тысячи человек скачали с сайта Банка России стандарты информационной безопасности.

СМЕНА ПРИОРИТЕТОВ

«В этом году был проведен опрос, есть ли в банках выделенный отдел информаци онной безопасности. Только 30% сейчас не имеют такого отдела. Два года назад ситуация складывалась с точностью до наоборот», – говорит Павел Гениевский. Результаты опроса также показали, что в середине 2008 года порядка 80% коммерческих банков в той или иной мере использовали стандарты ЦБ или приняли решение об их использовании. Представители ФСБ, как и Центробанка, не призывают в обязательном порядке следовать принятым регулятором стандартам. Но настаивают на том, что защитой должны заниматься сертифицированные и лицензированные профессионалы, используя лицензированные программы. И что сотрудничество с ФСБ пойдет банкам не во вред, а во благо. «Многие боятся, что ФСБ будет подглядывать, что-то искать, – удивляется Баранов. – Смешная позиция. Уверяю: есть боковые методы защиты. А привлечение к защите людей некомпетентных – основной бич системы». Профессионалы в сфере IT объясняют нежелание работать с продуктами ФСБ вовсе не страхом перед всевидящим оком, а тем, что предлагаемые рынку криптографические программы стоят недешево, но не всегда оказываются высокого качества. Каких-то требований по обязательной сертификации пока нет. Но вероятнее всего, в дальнейшем системы защиты криптографии ФСБ будут рекомендоваться к использованию как минимум для критически важных узлов, которые представляют интерес с точки зрения вопросов национальной безопасности – считают на рынке.