Безопасные финансы: от ответа на угрозы – к превентивным мерам
В 2023 году утвержден новый стандарт правил обмена данными о кибератаках, что позволит детализировать информацию о мошеннических действиях и совершенствовать системы их предотвращения. Ключевым элементом подготовки к потенциальным угрозам являются киберучения, в которых сценарии теперь основаны на реальных случаях нарушений. Этот метод подготовки показал свою эффективность в 2022 году, когда финансовый сектор успешно отразил ряд масштабных кибератак. При этом, учитывая мировые тенденции, особое внимание уделяется переходу на отечественные ИТ-решения, что снижает зависимость от иностранных разработчиков и технологий. Пресс-служба Банка России отвечает на вопросы журнала IT Manager.
Какие конкретно меры Банк России предпринимает для повышения уровня доверия к цифровым технологиям?
В 2023 году Банк России утвердил стратегический документ «Основные направления развития информационной безопасности кредитно-финансовой сферы на 2023–2025 годы». В документе определены задачи, направленные на защиту прав потребителей финансовых услуг и повышение уровня доверия к цифровым технологиям, — это противодействие совершению операций без согласия клиентов и компьютерным атакам, а также развитие уровня финансовой киберграмотности граждан.
Для решения каждой задачи предусмотрен целый комплекс мероприятий правового, технического и профилактического характера. В том числе совершенствование механизмов противодействия хищению денежных средств и работы антифрод-систем банков, а также просветительские меры, включая информирование населения.
Другая важная задача Банка России — создание условий для безопасного внедрения цифровых и платежных технологий и обеспечение технологического суверенитета. Регулятор продолжит формировать условия для внедрения инновационных продуктов и сервисов и определять стандарты информационной безопасности, обеспечивающие непрерывность переводов, доступность платежных сервисов. Это повысит доверие между участниками платежной отрасли, а также будет способствовать снижению потерь от действий мошенников, включая социальную инженерию.
Можете ли вы детализировать, как планируется усовершенствовать механизм возврата похищенных денежных средств потребителям?
В июле этого года принят подготовленный при участии Банка России закон, направленный на усиление защиты людей от действий кибермошенников и повышение финансовой ответственности банков.
Закон обязывает банк возместить клиенту деньги в том случае, если он допустил перевод средств на мошеннический счет, который находится в базе данных Банка России «О случаях и попытках осуществления перевода денежных средств без согласия клиента», без выполнения дополнительных действий по защите клиента. Возместить похищенные деньги банк должен в течение 30 календарных дней после получения заявления от пострадавшего.
Регулятор формирует базу данных на основе информации, полученной от банков и других участников информационного обмена. Она содержит различные параметры — уникальные идентификаторы, в том числе данные о совершенных операциях, о плательщиках и получателях денежных средств. Сведения из базы направляются во все банки.
До принятия этого закона клиент банка не мог рассчитывать на возврат похищенных денег, если он самостоятельно, поддавшись влиянию мошенников, передал им реквизиты карты, SMS-код, логин и пароль от интернет-банкинга. Но теперь даже в таких случаях, когда банк получил информацию из базы данных Банка России, но не учел ее и совершил перевод на такой счет, пострадавший сможет получить похищенные деньги в полном объеме. Мы рассчитываем, что нововведение будет стимулировать банки лучше защищать своих клиентов и повышать качество работы антифрод-систем.
Закон вступит в силу 25 июля 2024 года. За это время все стороны информационного обмена наладят свои автоматизированные системы и бизнес-процессы.
Какие экономические барьеры планируется создать для противодействия дропперам?
Банк России также создает условия, при которых экономически нецелесообразно и невыгодно заниматься кибермошенничеством. В частности, упомянутым законом предусмотрен механизм приостановки доступа дроппера к электронным средствам платежа, то есть к картам, мобильному и интернет-банкингу. Соответственно, злоумышленник не сможет ими воспользоваться для вывода похищенных денег. Банк вправе это сделать, если сведения о клиенте или его электронном средстве платежа содержатся в базе данных Банка России. А если информация о совершенном противоправном действии поступила в базу данных Банка России от МВД России, то приостановка электронного средства платежа будет являться обязанностью банка.
Кроме того, в настоящее время мы ведем работу по интеграции цифровых отпечатков устройств в состав данных об операциях без согласия клиентов, поступающих от банков в базу данных регулятора. Речь идет об устройствах, с помощью которых злоумышленники проводят платежи. Так, в марте 2023 года Банк России утвердил «Стандарт по обеспечению безопасности финансовых сервисов с использованием технологии цифровых отпечатков устройств». Он устанавливает для финансовых организаций единые правила формирования, хранения и применения уникальных цифровых отпечатков устройств. Это набор параметров, позволяющих однозначно идентифицировать устройство пользователя, с помощью которого совершаются банковские и другие финансовые операции. Благодаря этому стандарту банки смогут получать и обмениваться информацией о подозрительных устройствах через Банк России, выявлять устройства злоумышленников, замеченных ранее при осуществлении подозрительных операций, и приостанавливать их совершение в будущем. Таким образом, злоумышленникам станет экономически невыгодно совершать переводы денежных средств, поскольку необходимо постоянно обновлять средства и инструменты, которые они используют, — устройства, с помощью которых совершаются банковские операции, онлайн-банкинг, банковские карты и прочее.
Как Банк России планирует совершенствовать механизмы информационного обмена между банками для повышения качества данных о платежных реквизитах злоумышленников?
Банк России разработал и в феврале 2023 года утвердил стандарт правил информационного обмена о кибератаках и инцидентах информационной безопасности в финансовой сфере (СТО БР БФБО-1.5-2023). Документ вступает в силу с 1 октября 2023 года.
Стандарт позволит банкам предоставлять в базу данных Банка России информацию о мошеннических переводах более чем по 50 уникальным признакам. Так, под подозрение попадают случаи одновременной работы интернет-банкинга в разных географических местах, оформление предодобренного кредита сразу после снятия блокировки онлайн-банкинга из-за неверного ввода логина, пароля или номера телефона.
Также банки должны обращать внимание на нетипичные для клиента денежные операции с нового телефона или компьютера. При направлении в Банк России информации о выявленных подозрительных транзакциях банки будут указывать уникальный набор данных устройств, с которых совершались подобные действия, — его модель и производителя, номер сим-карты, геолокацию и другие параметры. За счет увеличения состава и повышения качества поступающих в базу данных Банка России сведений банки смогут эффективнее бороться с мошенническими переводами.
Сведения о кибератаках и утечках персональных данных также требуется предоставлять максимально подробно в соответствии с международной системой классификации действий злоумышленников.
Кроме того, документ упрощает порядок взаимодействия участников информационного обмена с Банком России за счет стандартизации механизма обмена данными.
В чем заключается усложнение сценариев атак для киберучений и как это поможет повысить уровень информационной безопасности банков?
При проведении киберучений Банк России продолжит использовать сценарии, полученные в результате анализа реальных случаев, происходивших в банках, а также результаты анализа наиболее актуальных угроз.
При этом регулятор будет оценивать вероятность реализации уникального для организации сценария, учитывая ее возможность организовать эшелонированную систему защиты информации, своевременно выявить и классифицировать события информационной безопасности, а также обеспечить своевременную осведомленность персонала и иных служб.
Киберучения призваны в первую очередь помочь организациям оценить свой потенциал киберустойчивости к угрозам информационной безопасности.
Какие основные уроки и выводы были получены от предыдущих киберучений?
Прошло почти полтора года с того момента, когда отрасли пришлось столкнуться с новыми вызовами, которые оказали значительное влияние на обеспечение информационной безопасности финансовых организаций. В начале 2022 года мы наблюдали беспрецедентный рост кибератак, как по количеству, так и по масштабу. Но, несмотря на многочисленные попытки злоумышленников, финансовые организации и вся отрасль в целом функционировали без каких-либо значительных сбоев. Это стало возможным в том числе и благодаря тому, что мы совместно с отраслью на протяжении предыдущих лет проводили превентивную работу, в частности киберучения.
В прошлом же году в ходе киберучений были проанализированы следующие наиболее актуальные на тот момент риски нарушения операционной надежности организаций кредитно-финансовой сферы:
-
отзыв tls-сертификатов, выданных удостоверяющими центрами недружественных стран;
-
реализация атак типа распределенный отказ в обслуживании (DDоS-атаки);
-
риск использования иностранного программного обеспечения.
В адрес организаций, у которых в ходе киберучений были выявлены риски информационной безопасности, Банк России направил индивидуальные рекомендации, направленные на снижение вероятности реализации рисков.
Какой контроль планируется установить за переходом финансовых организаций на отечественные информационные технологии и как это согласуется с законом от 13 июня 2023 года?
Перед Банком России и всей финансовой отраслью стоит ответственная задача по переходу на преимущественное использование российского программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования на значимых объектах критической информационной инфраструктуры. Это необходимо для снижения риска технологической зависимости финансовых организаций и инфраструктуры от внешних поставщиков. По закону Банк России наделен полномочиями по контролю за этим процессом. В соответствии с законом мы согласовываем план мероприятий финансовых организаций по переходу на отечественные решения, а также заявки для закупок иностранных решений и связанных услуг.
Опубликовано 02.10.2023