25 июня 2015 / время чтения: 4 мин. / всего просмотров: 1
Регулятор прощупает банки ложными кибератаками
По заключению Банк России, российские банки из года в год несут все большие убытки от действий сетевых преступников, что говорит о недостаточной эффективности системы ИБ банков в защите интернет-банкинга от хакеров, а также замалчивающей факты киберхищений отчетности для регулятора. Для получения ясной картины о состоянии дел с ИБ и отчетностью регулятор намерен провести серию стресс-тестовых проверок, включающих и ложные кибератаки на системы ДБО, и дополнительные выездные ревизии, и ряд дополнительных мер. Результаты такой проверки будут учтены при разработке отраслевого стандарта информационной безопасности банков и создании более эффективного механизма проведения банковского мониторинга и контроля отчетности.
По оценке экспертов ведущей компании в сфере ИБ Group-IB, в 2014 году из-за кибератак на системы ДБО российские банки понесли ущерб в размере 289 млн долларов. В текущем году показатели потерь банковской системы от атак хакеров на системы интернет-банкинга не снизились. И такая тенденция вызывает глубокую озабоченность руководства Банк России. Причины проблем в ЦБ объясняют недоработками в сфере ИБ банков, несвоевременным обновлением ПО и даже некомпетентностью в области предупреждения киберугроз. А еще регулятор подозревает банки в недостоверной отчетности по электронным платежам клиентов. Об этом говорит и статистика: правоохранительные органы возбуждают уголовные дела не более, чем в 5% случаев от общего количества киберпреступлений, связанных с хищением денег во время клиентских операций интернет-банкинга.
В связи с этим Банк России утвердил план проведения стресс-тестовых проверок банков, включающих как выездные инспекции ревизоров с привлечением экспертов Центра Банка России по борьбе с киберугрозами, так и ложные кибератаки на банковские системы ДБО, не исключая и дополнительные мероприятия по выяснению реальной ситуации с ИБ и отчетностью. В частности, регулятор намерен удостовериться в практическом соблюдении банками правил ИБ при ДБО. В случае же выявления «проколов» в системе ИБ, Банк России может вынести проблемному банку предупреждение и предписать устранить нарушения. Банковское сообщество такие решения регулятора восприняло в целом позитивно.
Правда, по замечанию старшего менеджера группы по проведению финансовых расследований «Deloitte СНГ» Рустама Мухаметшина, выездные проверки Банка России помогут снизить объемы хищений лишь в небольших и средних по размеру банках, где системы ИБ находятся на недостаточном уровне. Ряд экспертов банковского сообщества высказали опасение, что ревизоры свои решения о мерах воздействия на «отстающие» по ИБ банки будут принимать, исходя из мотивированных суждений. Также вице-президент банка «Открытие» Юрий Божора не исключил, что банкам для обеспечения ИБ будет навязываться какое-то одно ПО. В целом же, по его мнению, сами банки должны заниматься оценкой своих рисков и потерь от кибермошенничества, а также профилактикой атак хакеров.
Государство и Банк России могли бы помочь им в этом через создание федеральной системы мониторинга и предотвращения электронного мошенничества, что, безусловно, даст позитивный эффект для ощутимого сокращения потерь банковской системы от киберпреступности. Директор департамента ДБО АКБ «Бинбанк» Алексей Дегтярев также уверен, что скорейшая разработка стандартов ИБ, а также стандартов по мониторингу и отчетности в части электронных платежей со стороны регулятора стала бы более эффективным шагом регулятора, нежели назначение выездных проверок, которые, по замечанию Дегтярева, смогут увидеть только механизмы защиты платежных терминалов и точек совершения платежей, а не всю сеть терминалов из сотен тысяч аппаратов.
Справедливости ради нужно отметить, что в недрах Банка целая команда экспертов, включая сотрудников только сформированного Центра по борьбе с киберугрозами, активно разрабатывает эти самые стандарты информационной безопасности банков и, видимо, скоро их утвердит. А проводимые стресс-тестовые проверки, в свою очередь, дадут регулятору хороший материал для выяснения «слабых звеньев» в системе ИБ банков и отчетности.
По оценке экспертов ведущей компании в сфере ИБ Group-IB, в 2014 году из-за кибератак на системы ДБО российские банки понесли ущерб в размере 289 млн долларов. В текущем году показатели потерь банковской системы от атак хакеров на системы интернет-банкинга не снизились. И такая тенденция вызывает глубокую озабоченность руководства Банк России. Причины проблем в ЦБ объясняют недоработками в сфере ИБ банков, несвоевременным обновлением ПО и даже некомпетентностью в области предупреждения киберугроз. А еще регулятор подозревает банки в недостоверной отчетности по электронным платежам клиентов. Об этом говорит и статистика: правоохранительные органы возбуждают уголовные дела не более, чем в 5% случаев от общего количества киберпреступлений, связанных с хищением денег во время клиентских операций интернет-банкинга.
В связи с этим Банк России утвердил план проведения стресс-тестовых проверок банков, включающих как выездные инспекции ревизоров с привлечением экспертов Центра Банка России по борьбе с киберугрозами, так и ложные кибератаки на банковские системы ДБО, не исключая и дополнительные мероприятия по выяснению реальной ситуации с ИБ и отчетностью. В частности, регулятор намерен удостовериться в практическом соблюдении банками правил ИБ при ДБО. В случае же выявления «проколов» в системе ИБ, Банк России может вынести проблемному банку предупреждение и предписать устранить нарушения. Банковское сообщество такие решения регулятора восприняло в целом позитивно.
Правда, по замечанию старшего менеджера группы по проведению финансовых расследований «Deloitte СНГ» Рустама Мухаметшина, выездные проверки Банка России помогут снизить объемы хищений лишь в небольших и средних по размеру банках, где системы ИБ находятся на недостаточном уровне. Ряд экспертов банковского сообщества высказали опасение, что ревизоры свои решения о мерах воздействия на «отстающие» по ИБ банки будут принимать, исходя из мотивированных суждений. Также вице-президент банка «Открытие» Юрий Божора не исключил, что банкам для обеспечения ИБ будет навязываться какое-то одно ПО. В целом же, по его мнению, сами банки должны заниматься оценкой своих рисков и потерь от кибермошенничества, а также профилактикой атак хакеров.
Государство и Банк России могли бы помочь им в этом через создание федеральной системы мониторинга и предотвращения электронного мошенничества, что, безусловно, даст позитивный эффект для ощутимого сокращения потерь банковской системы от киберпреступности. Директор департамента ДБО АКБ «Бинбанк» Алексей Дегтярев также уверен, что скорейшая разработка стандартов ИБ, а также стандартов по мониторингу и отчетности в части электронных платежей со стороны регулятора стала бы более эффективным шагом регулятора, нежели назначение выездных проверок, которые, по замечанию Дегтярева, смогут увидеть только механизмы защиты платежных терминалов и точек совершения платежей, а не всю сеть терминалов из сотен тысяч аппаратов.
Справедливости ради нужно отметить, что в недрах Банка целая команда экспертов, включая сотрудников только сформированного Центра по борьбе с киберугрозами, активно разрабатывает эти самые стандарты информационной безопасности банков и, видимо, скоро их утвердит. А проводимые стресс-тестовые проверки, в свою очередь, дадут регулятору хороший материал для выяснения «слабых звеньев» в системе ИБ банков и отчетности.
Сергей Бендин
Источник: www.ib-bank.ru