Безопасность под прицелом: как работает система информационной безопасности в банках

Профессиональная банковская площадка, на которой бы поднимались вопросы ИБ, могла стать весьма полезным инструментом для всего сектора. Управляющий директор ИТ группы АО «Банк ЦентрКредит» Нурлан Сарсебеков поделился взглядом на безопасность в банках.

— Нурлан, расскажите насколько актуальны вопросы цифровой безопасности в банках? Какие риски сегодня стоят перед финансовыми организациями?

На фоне высокой конкуренции банки наращивают свой технологический потенциал. Фактически на ежедневной основе создаются новые продукты и сервисы, как это модно сейчас говорить, в цифровом формате. Т.е. в базисе современных финансовых сервисов большая доля технологичности, представленной в виде набора ИТ решений. А любое хорошее ИТ решение должно разрабатываться с учетом требований информационной безопасности. Все больше углубляясь в трансформацию традиционного банкинга, занимаясь цифровизацией процессов и услуг мы, банки, не должны забывать, что в фундаменте банковского бизнеса изначально заложен принцип надежности и стабильности. Следовательно, создавать современные финансовые сервисы без учета вопросов информационной безопасности — это подрывать основы банковского дела.

Если говорить о рисках технологических, то кибер угрозы растут, так как это обратная, хочется сказать «темная», сторона развития ИТ, развивающаяся параллельно. Но я считаю это естественным и, по большому счету, нормальным явлением. С одной стороны угрозы и технологии, направленные на нанесение ущерба, конечно негативный аспект, но с другой, в ответ на эти угрозы идет колоссальное развитие соответствующих технологий. Тут важно отметить, что к вопросу о рисках информационной безопасности, мы должны подходить системно и комплексно. Недостаточно просто в ответ на техно угрозу, установить техническую систему. Необходимо прорабатывать вопросы организации операционных процессов ИБ, и конечно, постоянно повышать компетенции специалистов ИБ.  Только при соблюдении правильного баланса между технологиями, процессами и уровнем компетенции специалистов можно организовать эффективную систему защиты от рисков ИБ.

— Сталкивались ли банки с такой историей?

Конечно в истории современного банкинга много кейсов связанных с событиями в области нарушения информационной безопасности.  В том, числе есть печальный опыт и в Казахстане. Но я могу отметить, что банковский сектор в области развития Информационной безопасности достаточно зрелый. У многих банков, есть отдельные службы ИБ, выстроены или выстраиваются процессы поддержки и обеспечения высокого уровня информационной безопасности. Есть программы развития внутренней компетенции. Банки проходят на периодической основе аудиты на соответствие международным стандартам и внутренним стандартам крупных компаний, таких как PCI DSS, ISO. Так же есть нормативные документы регулятора в виде отдельных требований и рекомендаций к участникам банковского рынка по вопросам обеспечения должного уровня ИБ. Клиентов банков в РК могу уверить в том, что в большинстве структур финансового сектора РК, работа, в направлении обеспечения информационной безопасности, проводится регулярно и под надзором, соответствующих компетентных органов.

— Какой экономический ущерб несут банки в результате кибератак?

Ущерб может быть разным. Помимо аспекта, связанного с прямыми финансовыми потерями, очень большое количество инцидентов в ИБ подрывают имидж компании, и этот вопрос более актуален для банков. Доля прямых финансовых потерь, на самом деле минимальная.  Но, как я упоминал, самое главное требование которое предъявляет клиент к банкам, это его надежность. Если надежность поставлена под сомнение, это может привести к оттоку клиентов.  Именно с этой позиции, любой даже самый безобидный инцидент ИБ, может нанести больший ущерб банку подорвав его имидж.  Кто будет хранить деньги в сейфе, который взломали? Обидно только, что иногда даже попытка взломать сейф, может вызывать сомнения клиентов в его надежности. Очень важно своевременно и адекватно реагировать, и отрабатывать такие вопросы. И без правильно организованных процессов тут никак.

— На какие системы чаще всего осуществляются атаки?

На сегодняшний день противозаконным действиям больше других подвергаются устройства дистанционного банковского обслуживания. И здесь срабатывает обычная психология. Что такое банковский банкомат или терминал самообслуживания? Это ящик с деньгами. Соответственно у людей, периодически возникает желание подорвать систему безопасности, но как правило это редко заканчивается большим финансовым ущербом для банка. Такие взломщики в основном наносят ущерб оборудованию.   Тут конечно идет речь о физической атаке.

Другое дело это цифровое поле, и тут количество всевозможных инцидентов, от компьютерных вирусных программ, атак, приводящих к отказу от обслуживания, до взлома системы и получения бизнес критической информации, значительно превышает физические. Другое дело, что большая доля всевозможных технических инцидентов обрабатывается и решается современными техническими системами в рамках организованных операционных процессов. Уровень зрелости этих процессов зависит от конкретной компании или банка.

— На ваш взгляд, почему банки не раскрывают данные об атаках и нужно ли это делать?

К вопросам уведомления широкой публики об инцидентах ИБ необходимо подходить очень аккуратно. Я скорее, против такой практики, и не потому, что сомневаюсь в уровне ИБ в Банках и компетенции соответствующих специалистов.  Подобные сообщения могут вызывать неправильную реакцию со стороны клиентов и партнеров, ввиду возможного отсутствия достаточной компетенции в технических вопросах. Безобидный инцидент, может обернуться в потерю доверия к компании, просто из-за неверного толкования произошедшего события.

Банки ежедневно сталкиваются с какими-то техническими проблемами и сбоями — 100% надежной системы не существует. Поэтому, информирование о таких случаях, при недостаточном понимании глубины этих процессов со стороны клиентов, может сыграть злую шутку с банками.  По этой причине я не сторонник, таких «благих инициатив» не хотел бы чтобы создавались условия для возможной дискредитации, не только какой-то конкретной финансовой структуры, но и системы в целом.

С другой стороны, создание отдельной профессиональной площадки, на уровне банковского сообщества, на которой бы поднимались вопросы ИБ, вырабатывались общие меры по противодействию, вырабатывались стандарты и т.п. безусловно, было бы полезным. Я больше за формат, когда узко специализированные вопросы, обсуждались на профессиональных площадках.  

— Расскажите, какие направления в IT-сегменте будут развивать банки в текущем году? К чему готовиться клиентам?

Технологическая часть очень сильно развивается, это очевидно. Происходит совершенствование банковских мобильных приложений, систем персонального банкинга. Все это будет естественно развиваться, будут дополнительно вводится какие-то новые элементы для облегчения процессов взаимодействия между банком и клиентом.

Интересное направление — это мобильные решения для малого и среднего бизнеса, которые будут нацелены на то, чтобы клиенты без посещения банка выполняли как можно больше финансовых операций. 

— К слову, на прошлой неделе Национальный банк РК сообщил о запуске системы по удаленной идентификации личности для финансового сектора в тестовом режиме. Расскажите подробнее об этой инициативе?

Цифровая аутентификация позволит любому гражданину РК получить доступ к услугам без физического посещения банка. Сейчас мы этого сделать не можем поскольку по правилам нужны определенные документы с физической подписью.

Безусловно, мы очень заинтересованы в том, чтобы решения по удаленной идентификации появились как можно скорее. Также мы ожидаем, создание новой технологической платформы поспособствует изменениям в законодательстве, пересмотру требований регулятора. На наш взгляд, эта важная работа, которая создаст условия для следующего этапа развития финуслуг в Казахстане.