Карантин транзакций поможет банкам защититься от фрода
Развитие систем ДБО, причем не только со стороны функционала, но и в области ИБ — одна из актуальных задач банковской информатизации. Эксперты выясняют, какие угрозы могут возникать при дистанционном обслуживании частных и корпоративных клиентов, а главное, какие методы со стороны клиентских и серверных систем являются эффективными для обеспечения необходимого уровня ИБ. Данная тема стала одной из обсуждаемых на прошедшей 10 апреля 2014 г. конференции «Информационная безопасность в финансовом секторе: современные угрозы и средства защиты», организованной CNews Conferences и CNews Analytics.
Каналов дистанционного обслуживания, которыми активно пользуются банки, сегодня несколько. К системам ДБО относятся и онлайн-, и мобильный банк, и банкоматы, и контакт-центры, и SMS-банк и др. Юрлица в подавляющем большинстве случаев используют интернет-банк, для защиты которого применяются электронные подписи и ключи на e-токенах. Методы защиты, которые используют банки для операций физических лиц, включают в себя SMS-оповещение, push-нотификацию в мобильных клиентах, в ряде случаев — специализированные крипто-приложения. Ни мобильные устройства, ни беспроводные сети 3G/4G, по которым передаются данные, нельзя назвать в полной мере надежными, и, как отметил Сергей Потанин, начальник центра информационной безопасности АКБ «Союз», ни одно промышленное ДБО-решение сегодня не может обеспечить гарантированную защиту от подмены электронного документа в момент его подписания. Это означает, что любую транзакцию легко подделать. Причиной уязвимости системы ДБО могут стать, по меньшей мере, пять различных явлений: организация несанкционированного доступа к банковскому клиенту, действия инсайдеров — сотрудников банка, атака из интернета на клиентскую систему ДБО или атака на серверное ДБО-решение, а также нарушение правил применения систем ДБО самим клиентом.
Для повышения качества и надежности дистанционного банковского обслуживания могут быть использованы однонаправленные устройства, поддерживающие криптографическую защиту. Таковыми являются специальные клавиатуры, сканеры, USB-, Bluetooth-модули и другие решения, подключающиеся к настольным компьютерам, ноутбукам или мобильным гаджетам. Без однонаправленной передачи электронной подписи и идентификационных данных (от клиента к серверу) транзакции автоматически блокируются. Подобное решение, впрочем, годится не для всех: частные клиенты постоянно носить с собой какие бы то ни было дополнительные аксессуары вряд ли будут. Этот способ рассчитан в большей степени на юридических лиц и VIP-клиентов.
На конференции рассмотрели и более универсальные методы защиты систем ДБО. О DisplayCard — традиционной банковской карте со встроенной 12-кнопочной клавиатурой для ввода пин-кода и шестисимвольным ЖК-дисплеем, которая является примером решения, позволяющего клиенту удаленно осуществлять банковские операции с большой степенью безопасности, — рассказал Евгений Гусенков, начальник управления информационной безопасности КБ «Восточный».
Модели угроз, изучаемые Межбанковской рабочей группой, в своем выступлении перечислил Алексей Ермаченков, начальник отдела информационной безопасности банка «Кузнецкий мост». В числе прочего были названы компрометация ПК с установленными ДБО со стороны внешних злоумышленников, компрометация ключей со стороны клиентов банков, мошеннические действия со стороны сотрудников банка или третьих лиц, получивших доступ к корпоративной банковской системе. Для снижения уровня рисков от этих угроз банковским ИТ-службам эксперт порекомендовал внедрять систему Fraud-мониторинга для слежения за нестандартными действиями клиентов, информировать клиентов обо всех операциях, вести белые списки контрагентов, использовать оборудование со встроенными (и не извлекаемыми) ключами, а также прибегать к так называемому карантину, то есть задержке от уведомления клиента об операции до реального исполнения транзакции.
© CNews
