Лучшая защита - это осторожность
Разговоры об информационной безопасности (ИБ) дистанционно-банковского обслуживания (ДБО) в массовом сознании ассоциируются, как правило, с возможностью защиты от мошенников. Все наслышаны о громких делах с хищением личных данных, денег с карт и счетов частных пользователей и фирм. В апреле текущего года, например, в результате атаки на сервер американской компании Epsilon, занимающейся исследованием онлайн-рын-ка, хакерами были похищены базы данных клиентов Citigroup, Barclaycard, JP Morgan Chase и AbeBooks - дочерней компании Amazon. Это событие широко обсуждалось в прессе и снова всколыхнуло интерес к вопросам обеспечения ИБ. Тема защиты конечного пользователя от нанесения вреда, прежде всего в виде хищения средств, волнует каждого потребителя услуг ДБО.
ГОНКА НА ВЫЖИВАНИЕСовременные Остапы Бендеры имеют высшее техническое образование, являются асами в программировании и не нуждаются в установлении прямого контакта с жертвами своих афер. Начальник департамента информационных технологий ВБРР Сергей Захар-цев подтверждает, что чаще всего банки подвергаются DDOS-атакам и сталкиваются с несанкционированным списанием клиентских средств. Как констатируют специалисты, поcледнего не так уж трудно добиться: компьютеры клиентов редко бывают надежно защищены, и хакерам не составляет труда «внедрить» в эти компьютеры так называемое шпионское ПО или вирусы (фишинг).
«В настоящее время одним из самых популярных видов мошенничества в сфере ДБО является хищение денежных средств со счетов клиентов банков с использованием вирусных программ «троянские кони», - соглашается с выводами специалистов директор департамента продуктов и услуг компании LETA Алексей Медведев. - Даже если злоумышленник не обладает необходимыми знаниями для создания такого рода программного средства, сейчас он может приобрести его в Интернете. Ориентировочная стоимость такого рода ПО находится в «вилке» от 1000 до 5000 долларов. Данное обстоятельство существенно расширяет возможности по использованию средств для хищения денег в рамках процесса ДБО. Поcкольку программные средства имеют удобные интерфейсы, пользоваться ими могут люди, совершенно не имеющие знаний в области информационных технологий».
Получается, что при желании можно стать хакером, даже не обладая специальными знаниями по программированию, а просто научившись правильно управляться с уже имеющимися вариантами и способами взломов. И DDOS-атаки и фишинг, с одной стороны, наносят банкам серьезный репутацион-ный ущерб, а с другой - подвигают финансово-кредитные организации к усовершенствованию систем защиты. В настоящий момент, как и всегда, продолжается извечная гонка средств хищения и средств противодействия хищениям, которая требует внедрения дополнительных комплексных мер и увеличивает стоимость владения системой. По словам советника исполнительного директора по информационной безопасности компании BSS Владимира Кобылянского, обеспечение ИБ системы ДБО - это постоянная, каждодневная работа. Процесс, который включает в себя регулярное проведение аудита, выполнение мероприятий по антивирусной защите, обеспечение работы систем аутентификации и авторизации, мониторинг транзакций и фильтрацию мошеннических платежей, обеспечение работоспособности систем нотификации и многих других.
УЯЗВИМЫЕ МЕСТАПрактика показывает, что достаточно просто составить «рейтинг популярности» систем ДБО с точки зрения хакеров: нужно только хорошо разбираться в том, какие предложения являются на данный момент наиболее востребованными на рынке. Как уточняет руководитель отдела по подготовке технических решений компании Stonesoft Дмитрий Ушаков, чем популярнее системы удаленного доступа в банк, тем больше внимание к банку со стороны мошенников. Особенно это касается мобильного и интернет-банкинга. Специалисты по ИБ ВБРР полагают, что самое уязвимое место в настоящий момент - аутентификация пользователя при доступе в системы ДБО. Чаще всего для выполнения операции от имени клиента мошенники пользуются украденными ключами и PIN-кодами. Также используется либо доступ по паролю (отсюда, например, угроза утечки персональных данных), либо доступ по скрэтч-картам, токенам или ОТР (One Time Password).
«Против атак злоумышленников принцип защиты давно известен: необходимо сделать атаку на систему экономически невыгодной, то есть организовать систему защиты таким образом, чтобы себестоимость атаки была выше стоимости украденных данных, - считает Владимир Кобылянский. - К сожалению, следовать этому принципу возможно не во всех случаях, а зачастую им просто пренебрегают».
ЧЕЛОВЕЧЕСКИЙ ФАКТОРИнформатизация, безусловно, способствует накоплению данных о клиентах в консолидированном, компактном виде, что при утрате приводит в лучшем случае к опубликованию их в свободном доступе, а в худшем - к использованию украденных данных при совершении мошеннических действий злоумышленниками. Как утверждает начальник управления департамента информационных технологий ВБРР Антон Туржан-ский, инсайдерские утечки клиентских данных из ДБО одновременно по всем клиентам маловероятны. Как правило, охотятся не за персональными данными (это побочный продукт хищения), а за клиентскими средствами.
По словам Владимира Кобылянско-го, утечка персональных данных возможна из любой системы, в которой эти данные обрабатываются. И системы ДБО не исключение. Вопрос в том, какова причина утечки. В качестве таковой могут выступать: - человеческий фактор (то есть халатность либо недостаточная квалификация пользователей и специалистов, эксплуатирующих систему); - атаки злоумышленников (как внешних, так и внутренних).
Требования по защите персональных данных регламентированы законодательством и обязательны для выполнения операторами персональных данных. Требования по защите сведений, составляющих коммерческую тайну, их владелец определяет на свое усмотрение. Но специалисты управления обеспечения безопасности ВТБ24 сразу просят рационально относиться к поднятому вопросу и не питать бессмысленных надежд: сама по себе утечка информации всегда возможна, независимо от уровня информатизации. Например, инсайдер может просто переписать конфиденциальные данные с документа на лист бумаги и передать его конкурентам или мошенникам, поэтому полной защиты не гарантируют никакие системы безопасности.
МНЕНИЕ Павел ЕСАКОВ, заместитель директора по продажам в финансовом секторе компании CompuTel Компания CompuTel предлагает для банков решение «Аутентификацион-ный центр» на базе сервера аутентификации SafeSign Authentication Server компании Thales e-security, ведущего поставщика систем безопасности на мировом рынке. Предлагаемое решение позволяет использовать все имеющиеся на сегодняшний день технологии аутентификации (PKI, EMV CAP, токены различного вида) для создания в финансовом институте системы строгой аутентификации как для клиентов банка, получающих доступ к дистанционному управлению счетами, так и для сотрудников банка, получающих доступ для работы с банковскими приложениями. Необходимость систем строгой аутентификации достаточно очевидна, поскольку наиболее скрытыми атаками на инфраструктуру банка являются именно те, в которых мошенник проникает в систему под видом законного пользователя, будь то клиент банка или его сотрудник. Поскольку механизмы аутентификации невозможны без применения криптографических алгоритмов, то для создания системы безопасного хранения криптографических ключей необходимо использование специально спроектированных аппаратныx модулей безопасности. Сервер аутентификации SafeSign работает совместно с криптографическим модулем SafeSign CryptoModule (SSCM), который обеспечивает надежное хранение криптографических ключей и ведение защищенных журналов сервера, что позволяет использовать журналы при разборе конфликтных ситуаций с клиентами, в том числе и в суде. Важными преимуществами сервера являются механизм лицензирования, который предполагает единовременную оплату за канал аутентификации независимо от числа клиентов, и поддержка средств аутентификации различных вендоров. Последнее обстоятельство существенно повышает гибкость банка, позволяя использовать для каждого сегмента клиентов свое средство аутентификации, которое наиболее полно удовлетворяет нужды данной группы клиентов и модели взаимодействия такой группы с банком. Мультивендорность также обеспечивает отсутствие зависимости финансового учреждения от поставщика в случае резкого изменения ценовой политики последним.
Сервер аутентификации SafeSign является решением высокой доступности, которая обеспечивается созданием архитектуры с отсутствием единой точки отказа. Решение может масштабироваться вплоть до масштаба страны/континента и имеет более 600 инсталляций в мире. В настоящее время на базе описанного решения в Альфа-Банке развернут центр аутентификации, который будет обеспечивать строгую аутентификацию клиентов розничного интернет-банка «Альфа Клик».
Владимир КОБЫЛЯНСКИЙ, cоветник исполнительного директора по информационной безопасности, компания BSS С точки зрения обеспечения информационной безопасности системы ДБО ничем не отличаются от других информационных систем - приходится решать все те же задачи: • обеспечение целостности • обеспечение конфиденциальности • обеспечение доступности. И точно так же, как и для остальных информационных систем, обеспечение информационной безопасности системы ДБО -это не разовое мероприятие, это постоянная, каждодневная работа. Это процесс, который включает в себя множество различных действий: • регулярное проведение аудита • выполнение мероприятий по антивирусной защите • обеспечение работы систем аутентификации и авторизации • мониторинг транзакций и фильтрация мошеннических платежей • обеспечение работоспособности систем нотификации и т.д. Причем в этот процесс вовлечены не только специалисты банков, но и пользователи системы. Что касается защищенности от мошенников, то стопроцентной защиты не бывает. Но при правильной эксплуатации современные системы ДБО снижают риск быть атакованными мошенниками практически до нуля. В частности, для защиты от мошенничества в системах ДБО от BSS реализован широкий комплекс мер и разработаны рекомендации, выполнение которых позволяет обеспечить должный уровень безопасности в процессе использования систем ДБО. К новейшим разработкам можно отнести системы, позволяющие визуально контролировать подписываемые данные, что обеспечивает защиту от набирающих популярность атак типа «подмена документа». К такого рода средствам можно отнести автономные аппаратные средства вычисления контрольных сумм от полей платежных поручений, аппаратные средства, позволяющие визуально контролировать подписываемые с помощью ЭЦП данные и системы вычисления контрольных сумм с использованием SMS-сооб-щений и мобильных приложений. Использование данных средств существенно повысит безопасность использования систем ДБО. Также и банки, и разработчики систем ДБО видят одной из своих основных задач повышение уровня образованности в области защиты информации как физических, так и юридических лиц. Чтобы предоставить клиентам безопасный сервис ДБО, банку зачастую необходимо взять на себя защиту клиентов от действий злоумышленников. Так, BSS одной из первых предложила банкам систему «FRAUD-Анализ» - решение, предназначенное для предотвращения мошенничества при обслуживании банком юридических лиц в системах ДБО. Система «FRAUD-Анализ» обеспечивает оперативную проверку банком платежных документов на мошенничество непосредственно перед исполнением.
ОСНОВНЫЕ ТЕНДЕНЦИИ РАЗВИТИЯ БЕЗОПАСНОСТИ В ДБОНаиболее перспективными новациями специалисты ВБРР считают OTP-авто-ризацию транзакций в комбинации с FRAUD-анализом и нотификацией клиентов о значимых событиях информационной безопасности. Аналитики солидарны с этой точкой зрения. «Активно развиваются технологии ОТР, включая усложненные варианты с challenge-режимом (дополнительным запросом), - подтверждает Дмитрий Ушаков. - Для них даже перехват СМС на стороне провайдера не позволяет раскрыть одноразовые пароли, поскольку знание запроса не позволяет автоматически узнать секрет для аутентификации».
Технический прогресс в сфере ДБО идет очень быстрыми темпами. Область эта хорошо оплачиваемая, ведь в ИБ заинтересованы все категории физических и юридических лиц - реальных и потенциальных банковских клиентов. Алексей Медведев замечает, что развитие средств защиты в области ДБО имеет свои особенности. «К сожалению, очень часто клиенты банка халатно относятся к требованиям по обеспечению защищенности автоматизированных рабочих станций, которые используются для обеспечения процесса ДБО. Это обстоятельство заставляет вырабатывать новые концептуальные подходы, руководствуясь тем, что изначально рабочая станция и среда, в которой она функционирует, являются «враждебными», - констатирует специалист. Таким образом, в первую очередь необходимо обеспечить своего рода «кокон» или доверенную среду внутри операционной системы рабочей станции, в которой и будут осуществляться операции по электронным платежам. Также новые средства усиленной аутентификации позволяют снизить такого рода риски. Широкое распространение получают системы мониторинга платежей (fraud management system). Эти системы устанавливаются на стороне банков и позволяют в автоматическом режиме блокировать проведение операций со счетами клиентов, которые являются подозрительными, до выяснения обстоятельств по платежу. По словам Владимира Кобы-лянского, к новейшим разработкам можно отнести также системы, позволяющие визуально контролировать подписываемые данные, что обеспечивает защиту от набирающих популярность атак типа «подмена документа». «Новейшие достижения в сфере технологического обеспечения, которые будут введены в течение года, - это персональные аппаратные генераторы одноразовых кодов подтверждения и создание доверенной среды для формирования электронного документа (ЭД) системы ДБО», - прогнозирует начальник отдела информационной безопасности Московского кредитного банка Олег Бурдин.
КРУПНЫЕ РЕШЕНИЯСистемы ДБО в российских банках функционируют далеко не первый год, соответственно можно вести речь о предпочтениях кредитно-финансовых организаций в выборе тех или иных систем безопасности. По мнению заместителя директора по продажам в финансовом секторе компании CompuTel Павла Есакова, на отечественном рынке налицо доминирование российских разработчиков - отчасти из-за проблем, связанных с лицензированием работ по встраиванию сертифицированных криптографических алгоритмов в интернет-банк зарубежных систем. Но имеются и случаи внедрения решений, разработанных вне России. Так, Альфа-Банк и Хоум Кредит энд Финанс Банк используют решения компании BSC (Чехия), банк Тиньков Кредитные Системы - решения компании IND Group (Венгрия). В целом в связи с принятием закона 63-ФЗ, который гармонизировал закон об электронных подписях с европейским законодательством, можно ожидать увеличения количества инсталляций систем, разработанных вне России, и тем самым - расширения функциональности решений, внедряемых в российских банках. Разумеется, стоимость таких проектов будет выше, особенно с необходимостью учета всех особенностей российской банковской среды.
Руководитель дирекции обслуживания физических лиц, член правления Райффайзенбанка Андрей Степаненко выделил основную тенденцию рыночных предложений в области информационной безопасности: развитие интегрированных решений по дистанционному обслуживанию клиентов, объединяющих интернет-банк, мобильный банк, СМС, IVR (автоматизированное обслуживание по телефону), банкоматную сеть. Подобные решения сейчас крайне востребованы клиентами. Компании-разработчики помогают разработать стратегию таких решений, но реализовывать и интегрировать системы, изменять процессы, добавлять новые каналы - задача «внутренних» ИТ-специалистов.
МНЕНИЕ Александр КРУПЧИК, начальник аналитического отдела ИБ ЗАО «ЕВРААС.ИТ» Считается, что штатные средства системы ДБО обеспечивают защиту всего проходящего трафика от клиента к банку и обратно. Однако на практике этих средств оказывается недостаточно. Обеспечение ИБ систем ДБО - это многоуровневый подход, основанный на применении мер, описанных в действующей нормативно-правовой базе, руководящих документах ФСТЭК и ФСБ, а также в международных и отечественных стандартах. Соблюдение этих мер не дает стопроцентной защиты, но существенно снижает риск ущерба до приемлемого уровня. Разработанная по всем правилам с точки зрения ИБ система защиты ДБО позволит минимизировать возможность утечки данных в Интернет и обеспечить защиту коммерческой тайны. Однако стоит заметить, что многие клиенты сами не соблюдают указания банка по сохранению конфиденциальности своих аутентификационных и персональных данных. Это может свести эффективность средств защиты к нулю. Стоит упомянуть, что наличие на жестком диске признаков инфицирования автоматически делает клиента виноватым и дальнейшая борьба за «свои кровные» даже в суде не увенчается успехом. С развитием ИТ появляются новые угрозы и уязвимости и, как следствие, модернизируются средства технической защиты ДБО. Сейчас активно развиваются системы управления инцидентами ИБ, запускающие последовательность неотложных мероприятий при обнаружении инцидента. Такой системой является, например, разработанный специалистами ЕВРААС.ИТ продукт «БАЗИС-Мониторинг», который появится на рынке летом 2011 года.
ЭКОНОМИЧЕСКИЙ ЭФФЕКТКредитно-финансовые организации не стремятся раскрывать информацию о том, как быстро окупается установление и обновление системы ДБО. Чаще всего приходится опираться на косвенные расчеты. Начальник управления банковских продуктов Русь-Банка Герман Белоус, рассуждая об обслуживании физических лиц, приводит результаты исследования компании Profi Online Research. Согласно исследованию, мужская аудитория в силу большего интереса к новым технологиям уделяет интернет-банкингу и мобильному банкингу больше внимания, чем женская аудитория. 31% из всех опрошенных мужчин отметили, что при выборе обслуживающего банка наличие данной услуги будет влиять на принятие их решения, в то время как среди женщин данный показатель составляет 21%. Из приведенного опроса также следует, что примерно для 26% опрошенных наличие интернет-банка влияет на выбор кредитной организации.
Следовательно, рассчитывать окупаемость за счет операций, проводимых в ДБО, и экономии рабочего времени сотрудников (формирование выписок, графиков погашения кредитов и т.д.) не совсем корректно. Окупаемость, по мнению специалистов, следует считать с учетом привлеченных и удерживаемых клиентов из указанных выше 26%, которые пользуются всем спектром услуг. Это непростая задача. Что касается ДБО юрлиц, для них наличие интернет-банка - не менее важный фактор при выборе банка, чем для физлиц. Более того, для указанных клиентов - корпораций и индивидуальных предпринимателей - ДБО является обязательным сервисом, без которого они даже не рассматривают перспективу сотрудничества с банком.
«Система ДБО позволяет банкам предоставить удобный и быстрый инструмент операций со счетами клиентов, - напоминает Алексей Медведев. -Такого рода системы предоставляют возможность обеспечить быструю экспансию и проникновение банковских услуг в регионах, поскольку коммуникации осуществляются по каналам связи». Кроме того, все банки взимают комиссию за подключение к ДБО и абонентскую (как правило, месячную) плату, поэтому ДБО юрлиц на практике окупается быстрее. В идеале система ДБО - как физлиц, так и юрлиц -должна окупаться за три года, резюмируют эксперты.
РИСКОВАТЬ ПРИХОДИТСЯ ВСЕГДАОднако какой бы дорогой и передовой ни была система ДБО, специалисты заявляют, что полностью устранить операционные риски с ее помощью невозможно. По мнению начальника управления внутреннего контроля Московского кредитного банка Евгения Татурина, использование системы ДБО само по себе не исключает операционных и репутационных рисков. ДБО - это инструмент, который только при правильном использовании позволяет минимизировать риски. Должна быть выбрана надежная программа с удобным пользовательским интерфейсом, работающая без сбоев и ошибок, обеспечена информационная защита системы ДБО от вирусов, хакерских атак, несанкционированного доступа, выбран надежный провайдер и так далее. Только в этом случае можно говорить о минимизации операционных и репутационных рисков.
«Основным техническим средством, используемым для снижения рисков в ДБО, являются антивирусные средства или средства, обеспечивающие контроль целостности систем и приложений, - отмечает Алексей Медведев. -Сейчас некоторые вендоры, которые предоставляют приложения для ДБО, интегрируют средства защиты непосредственно в свои приложения. Таким образом, клиент, устанавливая приложение для работы в ДБО, автоматически получает и средства защиты. Все эти превентивные меры позволяют значительно снизить риски мошенничества со счетами».
Но «значительно» не значит «полностью», что отмечают все специалисты. Система ДБО - это показатель технологической мощи любого банка, и ее защита, так же как и своевременное обновление, - гарантия сохранения высокой конкурентоспособности кредитной организации. «Если банк предложит всем клиентам отказаться от дистанционного управления счетом и перейти на работу по бумажной технологии, то такой банк очень быстро рискует остаться без клиентов, в первую очередь корпоративных, - констатирует Павел Есаков. - У таких клиентов огромное количество платежей, и заставить их по каждому поводу приезжать в банк весьма проблематично. Внедрение новых ау-тентификационных решений может снизить уровень мошенничества, но полностью исключить его вряд ли возможно, ибо самым слабым звеном в системе безопасности был и остается человек».
ЗАЩИТА УДАЛЕННОГО ДОСТУПА STONEGATE SSL Екатерина ЯБЛОКОВА, заместитель директора по развитию бизнеса Stonesoft в России, СНГ и странах Балтии Основное отличие технологии SSL VPN от ставшей уже традиционной IPSec VPN - это отсутствие клиентского ПО, а значит, полная свобода работы c банковскими ресурсами с абсолютно любого мобильного устройства, поддерживающего интернет-браузер и Java. В отличие от IPSec VPN шлюзов, реализующих традиционные сервисы аутентификации, авторизации и учета, шлюзы StoneGate SSL обеспечивают более сложную концепцию защиты, которая получила название «шесть А»: • Assess - инспекция устройства, с которого осуществляется доступ, для гарантии соблюдения политики безопасности; • Authenticate - подтверждение личности пользователя; • Authorize - контроль доступа к разрешенному списку ресурсов; • Access - создание защищенного соединения от точки доступа до ресурса; • Audit - отслеживание действий пользователей в рамках авторизованных соединений; • Abolish - уничтожение следов, оставшихся на устройстве после завершения сессии. Самым слабым звеном в банковских системах обычно считается аутентификация. Биометрия пока не может использоваться в интернет-банкинге, а смарт-карту с записанным на ней или подсмотренным ПИН-кодом могут украсть. Аутентификация по цифровым сертификатам и ЭЦП достаточно надежны, но требуют от банка много ресурсов для настройки и эксплуатации, а кроме того, остается проблема обеспечения надежного хранения ключей. Для систем «банк-клиент» при работе с физическими лицами все чаще применяется технология аутентификации по одноразовым паролям (OTP). Решение StoneGate SSL предоставляет уникальную возможность организовать двухфакторную аутентификацию пользователей без применения специализированных средств, при помощи обыкновенного мобильного телефона. Технология Mobile ID состоит в синхронизации входа пользователя в систему путем предоставления своих учетных данных и передачи запроса (наподобие PIN-кода) с помощью мобильного телефона. Данный функционал предоставляется клиенту на неограниченное число пользователей совершенно бесплатно вместе с SSL-шлюзом. Кроме упомянутого Mobile ID StoneGate SSL поддерживает и другие сервисы аутентификации, включающие SecurID, LDAP, Active Directory, User Certificate, RADIUS, Windows Integrated Login, BankID и др. Для активизации любого из них также не требуется ничего докупать. В заключение хотим отметить, что StoneGate SSL сертифицирован ФСТЭК России для использования в АС до класса 1Г и ИСПДн до 1 класса включительно. Кроме того, в настоящий момент StoneGate SSL со встроенной поддержкой сертифицированных СКЗИ Крипто Про проходит сертификацию в системе сертификации ФСБ России.