В условиях кризиса обостряется битва за клиента в любой сфере бизнеса. И кредитно-финансовые организации здесь не исключение. Жесткая конкуренция приводит к необходимости улучшать обслуживание клиентов путём ввода новых видов услуг. Одним из направлений, способствующих предоставлению клиентам максимального удобства в их работе, является дистанционное банковское обслуживание (ДБО), осуществляемое через сеть Интернет. Возможность полного управления своим личным счётом при условии простоты выполнения операций, комфорта и мобильности всегда привлекало, и будет привлекать клиентов.
Однако наряду с удобствами, которые получает клиент, осуществление ДБО через Интернет становится причиной возникновения угроз нового типа. С одной стороны это связано с тем, что существенно возрастает доля рисков (угроз), контролировать которые силами финансовой организации практически невозможно, с другой стороны не меньшую долю рисков (угроз) приносят вопросы организации ДБО . Рассмотрению возможных угроз для систем дистанционного банковского обслуживания, а так же методам борьбы с ними посвящена данная статья.
Угрозы, возникающие при эксплуатации систем ДБО и потенциальные нарушители
Итак, основными направлениями распределения рисков в области безопасности для систем ДБО являются:
– вопросы организации эксплуатации систем ДБО;
– клиенты, обслуживаемые через Интернет;
– каналы связи используемые для транзакций;
– глобальная сеть Интернет.
Внедрение систем ДБО подразумевает вовлечение в процесс специалистов различных областей знаний финансовых специалистов, специалистов информатизации, информационной безопасности, юристов и др. Отсутствие четко организованного и регламентированного взаимодействия между различными подразделениями кредитной организации может привести к возникновению уязвимостей, которыми не преминут воспользоваться нарушители. Практика показывает, что реализация угроз с использованием имеющихся «слабых мест» в системах ДБО приводит, к весьма существенным финансовым потерям и (или) ослаблению конкурентных преимуществ со стороны кредитной организации.
Анализ инцидентов, происходящих в системах ДБО, позволяет разделить потенциальных нарушителей на внешних по отношению к системе ДБО – то есть клиентов (как авторизованных, так и нет, т.е. хакеров или преступников) и внутренних – из числа сотрудников банка.
Важно понимать, что информация, циркулирующая внутри систем ДБО, фактически эквивалента реальным деньгам, а значит создать условия, при которых угроза несанкционированного использования этой информации будет полностью исключена невозможно. Иными словами, всегда найдётся тот, кто захочет завладеть этой информацией. А значит её нужно защищать. Но как?
Правила работы в системах ДБО не являются конфиденциальной информацией и любой желающий может получить к ним доступ. Единственной защитой клиента от злонамеренных действий является его идентификационная информация (логин, пароли, криптоключи). Именно за этой информацией идёт охота. В большинстве случаев нарушителю достаточно украсть идентификационную информацию клиента системы, чтобы получить полный доступ к его счёту. Возможностей совершить такую кражу более чем достаточно. Например, с помощью «хакерских» инструментов, свободно распространяемых в Интернет. На сегодняшний день, в сети предлагается широкий ассортимент всевозможных программ для перехвата пароля с помощью троянов, keylogger’ов (программ, считывающих вводимую с клавиатуры информацию), –«шпионов», которые незаметно для клиента «подсаживаются» на его компьютер и «ждут» указаний от своего создателя (или мастер-машины) для выполнения какой-либо «полезной нагрузки». Причем хозяин компьютера может в течение весьма длительного срока не подозревать о наличии вредоносного кода на своём ПК ведь даже «активация» такого «шпиона» не всегда приводит к его обнаружению. Это связано с тем, что вместе со «шпионом» «в комплекте» идёт также руткит-технология, позволяющая скрыть следы активности вредоносного кода на ПК жертвы.
К слову, бороться с вредоносными программами и «шпионами» на их нынешнем уровне развития с помощью устаревших технологий сигнатурного анализа, используя для этого мощности компьютера конечного пользователя (что, естественно, связано с замедлением его работы), весьма не эффективно, да и уже практически невозможно. Объясняется это тем, что код «шпионов» и им подобных, как правило, вовсе не является вредоносным для ОС компьютера, а их быстрая мутация ставит под сомнение возможность сигнатурного анализа. Наиболее адекватным решением на сегодняшний день видится совместное использование технологий контентной фильтрации и сигнатурного анализа при помощи комплексного шлюзового решения, установленного «на входе» в корпоративную сеть или же, что еще более правильно, используемого в сети провайдера, предоставляющего доступ в Интернет. Такое решение позволяет блокировать любой неразрешенный трафик, генерируемый «шпионом» с персональных компьютеров сети организации, предоставляет средства антивирусной защиты, web-фильтрации и защиты от спама, предотвращает утечку конфиденциальных сведений, и, наконец, позволяет регулировать время пребывания пользователей в сети Интернет и блокировать их доступ к неразрешенным ресурсам.
Кто виноват?
Итак, сегодня кража паролей и криптоключей с незащищённых носителей являются обыденным явлением. Но, к сожалению, столь же обыденным можно назвать стремление некоторых банков экономить на системах безопасности. А ведь такая экономия зачастую приводит к многомиллионным потерям и далеко не всегда это потери исключительно клиента. Применение устаревших технологий, таких как организация доступа по «логину» паролю, использование ключевых носителей не способных защитить от кражи хранящуюся на них информацию, рост «фишинговых» атак в значительной степени повышают риск несанкционированного доступа к системам ДБО.
С другой стороны часто используемые механизмы защиты не могут обеспечить юридическую значимость совершаемых клиентом действий в системе. А этот вопрос в последнее время приобретает всё более важное значение. Как показывает судебная практика, доказать факт кражи у клиента его идентификационной информации не всегда представляется возможным, а вот то, что пароль был известен сотрудникам банка, доказывается легко. Суды зачастую встают на сторону клиента, даже если в договорных обязательствах предъявляются очень высокие требования по обеспечению ими сохранности своей идентификационной информации. Объясняется это весьма просто, клиент мог не обладать необходимыми знаниями или условиями, указанными в договоре, а вот банк должен был предусмотреть адекватные меры защиты.
Этот факт уже взят на вооружение злоумышленниками. Маскируясь под добросовестных клиентов, они всё чаще начинают пользоваться недоработками кредитных организаций в технологических и юридических вопросах связанных с эксплуатацией систем ДБО для отстаивания своей «правоты» в судах. И надо отметить, что, при квалифицированном подходе, попытки эти бывают весьма успешны.
Ну и, конечно, не стоит забывать и о нарушителях из числа сотрудников банка. Зная технологию изнутри, они способны нанести кредитным организациям максимальный финансовый ущерб, и зачастую остаться в тени, используя для проведения противоправных действий сторонних лиц.
Учет и анализ существующих рисков
Для того, чтобы противостоять нарушителям, кредитные организации должны вести адекватный учет и анализ существующих факторов риска и своевременно принимать меры по их снижению. В противном случае неизбежны негативные последствия, как для кредитных организаций, так и для их клиентов.
Основными областями концентрации рисков, на которые кредитным организациям следует обращать внимание, являются следующие:
Нормативно распорядительная документация (договоры, регламенты, инструкции по использованию технологий ДБО и др.).
Концентрация рисков в данной зоне связана с тем, что при внедрении и эксплуатации систем ДБО нормативно распорядительная документация должна обеспечить взаимодействие достаточно большого числа разносторонних сотрудников и внешних клиентов. Учитывая различные области производственной деятельности вовлечённых в процесс специалистов, вполне вероятно наличие нестыковок и недостаточная проработанность некоторых вопросов.
Отсутствие в кредитных организациях чёткой регламентации процессов связанных с эксплуатацией систем ДБО, а также механизмов мониторинга адекватности действующей нормативной документации приводят к расширению состава негативных факторов, которые могут сказаться как на интересах клиентов, так и на финансовом состоянии организации.
Доступ пользователей к информационным ресурсам через не доверенную среду сети Интернет.
Концентрация рисков в данной зоне связана, прежде всего, с ошибками или злоупотреблениями по предоставлению прав доступа и управлению идентификационными данными (паролями, криптоключами) клиентов. Кроме того существенное влияние оказывают уязвимости программных, аппаратных средств и существующих технологий, а также рост попыток получения неправомерного доступа к информации, циркулирующей в системах ДБО.
Использование устаревших технологий создаёт дополнительные риски, вероятность реализации которых с течением времени увеличивается.
Эти риски характерны как для клиентской части, так и для той части системы, ответственность за которую несёт кредитная организация.
Основными направлениями в клиентской части системы, на которые следует обращать пристальное внимание являются:
– недостаточная проработанность документов регламентирующих права и обязанности клиентов при получении услуг;
– недостатки в обеспечении информационной безопасности;
– недостатки, присущие конкретной банковской технологии ДБО;
– недостатки и уязвимости присущие операционным системам и другим прикладным программам, эксплуатируемым клиентами;
– последствия, обусловленные ошибочными действиями персонала кредитной организации или безграмотностью клиентов.
Для кредитной организации направления, нуждающиеся в тщательной проработке, следующие:
– недостаточная проработанность документов, призванных осуществить адаптацию довольно большого количества внутренних процессов и процедур к новым условиям деятельности;
– недостатки в вопросах технического обеспечения информационной безопасности системы ДБО;
– недостаточный анализ при внедрении новой банковской технологии, ориентированной на ДБО через Интернет, анализ тех “неприятностей” (организационных, юридических), которые клиент может доставить кредитной организации;
– значительная зависимость кредитной организации от других вовлеченных в процесс сторон (провайдеров, поставщиков программно-аппаратных средств и др.).
Мероприятия, позволяющие влиять на уровень существующих рисков
Анализ существующих факторов риска поможет выявить процессы, влияющие на их уровень. Этот анализ должен включать:
– разработку и поддержание в актуальном состоянии нормативно распорядительных документов;
– поддержание требуемого уровня информационной безопасности, включая:
– управление жизненным циклом автоматизированных систем (от разработки до окончания эксплуатации);
– администрирование вычислительной сети и телекоммуникационного оборудования;
– управление идентификацией и доступом пользователей к информационным ресурсам;
– внедрение новых технологий повышающих безопасность эксплуатации систем ДБО;
– мониторинг сетевого трафика с целью обнаружения вредоносного кода и вторжений.
Итак, для своевременного реагирования на существующие риски кредитным организациям необходимо обеспечить выполнение комплекса организационных и технических мероприятий, направленных на обеспечение безопасного функционирования системы ДБО. Обеспечение удобства работы клиентов в системе, при выполнении такого комплекса, может явиться дополнительным конкурентным преимуществом.
Организационные мероприятия
Существует мнение, что усиление безопасности всегда негативно сказывается на удобстве работы клиента. Это не верно. Если безопасность не является «параноидальной», а используемые технологии современны и адекватны наличествующим угрозам, обеспечить одновременно удобную и безопасную работу для клиента вполне возможно. В качестве примера рассмотрим часто возникающий вопрос: как организовать технологический процесс выработки клиентом своих криптографических ключей и обеспечить получение сертификата ключа подписи (далее СКП).
Ограничения для клиента, обычно накладываемые бизнес-подразделениями это однократное посещение клиентом кредитной организации. При этом подразделение безопасности требует от него самостоятельной генерации своих криптографических ключей.
Будем подразумевать, что безопасность системы ДБО опирается на использование инфраструктуры открытых ключей, а в предоставлении клиенту доступа к системе ДБО участвуют следующие действующие лица: сам клиент, менеджер филиала, оператор удостоверяющего центра. Обратите внимание, что клиент получает в банке только технологические закрытый ключ и СКП, которые не позволяют производить никаких действий в системе, кроме формирования запроса на новый СКП. Однако при этом клиент обязан сверить бумажную копию технологического СКП с его электронной версией и при совпадении заверить бумажную копию СКП заверить это действие собственноручной подписью.
В течении срока действия технологического СКП клиент обязан произвести генерацию своих криптоключей, сформировать запрос на свой рабочий СКП и, получив его, зарегистрировать в системе. После выполнения этих операций пользователь получает право на совершение финансовых операций. Если пользователь не обладает достаточными навыками или знаниями для выполнения этих действий, ему на возмездной основе может быть оказана помощь со стороны сотрудников банка. Для этого на территории кредитной организации может быть развёрнуто рабочее место, за которым клиент, в соответствии с полученными консультациями, может выполнить все необходимые операции.
Безусловно, данный сценарий можно усилить с помощью дополнительных мер безопасности, например, после выпуска СКП клиенту может быть направлен акт или сообщение о выполненных работах, на которое он должен определённым образом отреагировать. Такая мера может обезопасить клиента от лишних неприятностей. Однако в полную силу данная схема будет работать только при наличии выверенного комплекта нормативной документации. Как показывают лучшие практики, в состав такого комплекта обычно входят следующие документы:
– Правила пользования системой ДБО;
– Регламент управления СКП в системе ДБО банка;
– Описание технологического процесса использования СКП в системе ДБО;
– Соглашение об организации обслуживания Клиента через систему ДБО Банка и присоединении к Правилам пользования системой;
– Соглашение об организации системы электронного документооборота Клиента через систему ДБО Банка и присоединении к Правилам пользования системой ДБО Банка;
– Руководство администратора системы ДБО;
– Инструкции должностным лицам, осуществляющим обслуживание системы ДБО.
Такой комплект документов позволяет достаточно подробно описать взаимодействие всех субъектов системы ДБО, их права и обязанности, а также построить достаточно работоспособную юридическую схему.
Технические мероприятия
Развенчаем еще один миф. Не менее распространённым является, мнение о том, что необходимость дополнительных расходов за обеспечение безопасности всегда негативно воспринимается клиентами и ведёт к снижению их числа. Как показывает опыт передовых банков, если клиентам правильно и доходчиво объясняются существующие риски и возможные последствия, то, при наличии выбора механизма защиты, практически всегда выбор делается в пользу более высокого уровня безопасности. Поэтому внедрение новых безопасных аппаратных средств защиты идентификационной информации является насущной необходимостью. Безусловно, стоимость и эффективность внедряемых технологий должна соответствовать тем объёмам финансовых операций, которые совершает клиент. Так, в случае небольших объёмов, для физических лиц чаще используются технологии одноразовых паролей, которые наряду с применением «запоминаемого» пароля, дают существенное увеличение безопасности совершаемых операций, при относительно небольшой стоимости. Использование инфраструктуры открытых ключей наряду с ключевыми носителями, способными надёжно сохранять идентификационную информацию о клиенте, по-прежнему остаётся практически безальтернативным вариантом для юридических лиц.
В последнее время появились довольно интересные решения в области повышения безопасности. Так, для технологии ЭЦП на рынке предлагаются смарт-карты на базе платформы Java, которые способны выполнить ЭЦП по алгоритму ГОСТ 34-10 2001 г., без использования криптопровайдера. При этом все криптографические операции с секретным ключом выполняются внутри смарт-карты, секретный ключ её никогда не покидает. Эта технология сводит к нулю вероятность кражи секретного ключа пользователя. Доступ к самой смарт-карте защищается PIN-кодом и, если она попадёт в посторонние руки, злоумышленнику не удастся ей воспользоваться. Кроме того, данная технология не требует установки, какого либо клиентского программного обеспечения на рабочем месте клиента. Совокупность всех этих факторов предоставляет клиентам высокую степень безопасности, удобство в работе и, главное, мобильность (клиент может получить доступ к системе практически с любого компьютера).
Ещё одной новинкой является технология, расширяющая возможности применения средств аутентификации для обеспечения защищенного удаленного доступа к информационным ресурсам. Она основана на жесткой фиксации адреса сервера ДБО внутри смарт-карты. При этом сама смарт-карта имеет «загрузчик» который позволяет в доверенном режиме скачать с сервера необходимое для работы в системе ДБО программное обеспечение. Клиент, использующий данную технологию, не может быть перенаправлен на какой либо другой сервер, при этом доступ к информационным ресурсам организуется с использованием SSL-протокола, но без установки клиентского программного обеспечения. Эта технология делает практически невозможными фишинг-атаки и перехват критически важной информации.
Объём данной статьи не позволяет более подробно остановиться на деталях этих технологий, но, отметим, что уже само их появление обозначает движение технологической мысли разработчиков в сторону усиления информационной безопасности систем ДБО.
Краткие выводы
Своевременный учёт и анализ реально существующих факторов риска позволяет разработать, а затем реализовать комплекс организационных и технических мероприятий, значительно снижающих вероятность реализации угроз информационной безопасности. Недооценка важности тех- или орг- составляющих (равно, как и «перекос» в сторону одной из них) одинаково негативно отражается на безопасности систем ДБО.
Затраты на развитие и модернизацию технологий защиты систем ДБО, оправдывают себя, поскольку с одной стороны позволяют избежать значительных финансовых потерь, а с другой способствуют улучшению условий работы клиента. Кроме того, если смотреть на вопрос с позиции экономики: эти затраты, по сути, являются инвестициями в развитие конкурентных преимуществ банковских технологий.
Источник: Аналитический банковский журнал №3
Автор: Евгений Модин, руководитель направления консалтинга, Aladdin