Столь внушительные цифры побудили руководство ЦБ РФ к активным действиям. И теперь мы можем наблюдать за изменениями, происходящими в сфере безопасности отечественной банковской отрасли  — прежде всего в практической плоскости. Значимость реформ на уровне председателя ЦБ показала и очередная ежегодная уральская межбанковская конференция по ИБ. Впервые за восемь лет с начала проведения на ней выступили два заместителя председателя ЦБ, и это говорит о многом. На что же стоит обратить внимание и к чему нужно быть готовым всему банковскому сообществу?

Во-первых, Центробанк теперь не просто открыто говорит о проблемах в отрасли, называя цифры потерь, но и приводит конкретные схемы атак на информационные системы банков и процессингов, которые привели к хищениям финансовых средств. И это не может не радовать, так как скрытность в этих вопросах выгодна только киберпреступникам.

Преступники уже почувствовали вкус огромных денег.

Сегодня вся банковская система РФ стоит перед глобальным вызовом: преступники уже почувствовали вкус огромных денег. И теперь они не остановятся, будут и далее «инвестировать» украденные средства в свою деятельность, совершенствуя механизмы атак на банки, благо возможностей и различных векторов атак у них масса. Вчера воровали миллионы, сегодня уже миллиарды, а если не принять срочных мер, то завтра потери будут исчисляться десятками миллиардов. И тогда встанет вопрос уже о доверии ко всей банковской системе РФ в целом. И речь уже пойдет о национальной безопасности.

Руководство ЦБ это отлично понимает. Серьезность намерений злоумышленников наглядно демонстрирует тот факт, что недавно управлением «К» была арестована преступная группа, создавшая свой процессинг первого уровня, подключенный к международным платежным системам. Благодаря данному примеру мы можем оценить колоссальный масштаб и финансовые возможности действующих в этой области организованных преступных групп. Кроме того, злоумышленники постоянно совершенствуют свои атаки, постепенно переходя от прямых атак на АРМ КБР к атакам на АБС. Мы, кстати, неоднократно предупреждали об этом, говоря о незащищенности АБС.

Во-вторых, и это тоже четко показала конференция, нас всех ждут очень серьезные изменения, связанные как с ужесточением практических требований к ИБ, так и контролем за их исполнением. ЦБ РФ прежде всего активизирует меры, предназначенные для постепенного ухода от «условно бумажной» безопасности и перевода ее в более практическую плоскость. 

Будет ужесточен надзор в области ИБ.

В частности, анонсированная к принятию этой весной новая версия обязательного постановления 382П получит серьезнейшие практические дополнения, сделав по факту обязательным к применению вышедший в 2014 году рекомендательный стандарт Банка России по безопасности жизненного цикла платежных приложений, в разработке которого мы принимали самое активное участие в период 2013–2014 ггодов. Кроме того, в ближайших планах у ЦБ перевести СТО БР ИББС в формат ГОСТа, также сделав его обязательным. Кроме того, будет ужесточен надзор в области ИБ. 

Деятельности FinCERT будет уделено серьезное внимание, в его распоряжение поступят солидные финансовые и человеческие ресурсы. Далее, ЦБ планирует внедрить антифрод-решение, чтобы отслеживать рейсовые платежи из АРМ КБР банков в ЦБ.

В любом случае в существующих реалиях можно лишь пожелать регулятору максимально активизировать деятельность по регламентации и контролю ИБ в банковской сфере именно в практической плоскости. Шаги делаются правильные и очень своевременные — это внушает определенный оптимизм. Российским коммерческим банкам стоит посоветовать не ждать обязательных или карающих мер регулятора — гораздо быстрее их «покарает» киберпреступность, а самим срочно начать применять практические регламенты, которые давно уже разработаны ЦБ.

В существующих реалиях можно пожелать регулятору максимально активизировать деятельность по регламентации и контролю ИБ.

В любом случае, в существующих реалиях можно лишь пожелать регулятору максимально активизировать деятельность по регламентации и контролю ИБ в банковской сфере именно в практической плоскости. Шаги делаются правильные и очень своевременные — это внушает определенный оптимизм. Российским коммерческим банкам стоит посоветовать не ждать обязательных или карающих мер регулятора — гораздо быстрее их "покарает" киберпреступность — а самим срочно начать применять практические регламенты, которые давно уже разработаны ЦБ.

В качестве первоочередной меры нужно внедрять стандарт безопасности жизненного цикла платежных приложений, что в кратчайшие сроки существенно повысит безопасность ключевых банковских систем (ДБО и АБС), снизив риск реализации успешной атаки. Но сегодня, повторюсь, главный риск для банков — это не надзор ЦБ, а преступники, после действия которых банк в том числе может и «выпасть» из обязательных финансовых нормативов ЦБ. В частности, уже три ранее успешно атакованных банка лишились лицензии — регулятор заявил о прямой зависимости этих фактов.

А мир и правда меняется ...