Кибербезопасность в финансовой сфере: есть инновации – не хватает специалистов

Информационная безопасность и киберустойчивость стали ключевыми факторами на пути к успеху любого технического решения. Информационная безопасность даже выделена в отдельный проект в рамках программы «Цифровая экономика РФ». О том, как сегодня ведется работа в этом направлении, говорили участники сессии «Цифровая трансформация и киберриски в финансовой сфере», состоявшейся в рамках Международного финансового конгресса в Санкт-Петербурге.

По словам Ольги Скоробогатовой, первого заместителя председателя Банка России, Россия осознает серьезность темы.

– Цифровизация и трансформация экономики должны проходить одновременно с внедрением стандартов и требований по безопасности – мы поняли это на 20–30 лет позже наших зарубежных коллег, – сказала Ольга Скоробогатова. – Тем не менее ожидается, что в следующем году мы будем внедрять свои решения на уровне мировых темпов.

Обладая большими данными, финансовая система уязвима, если она не защищена. Регуляторам необходимо найти баланс между тем, какие цифровые технологии должны быть внедрены и как при этом не создать новых рисков для системы.

Цель государственной программы «Цифровая экономика» – достичь к 2024 году 97‑процентного уровня цифровизации и кибербезопасности информационных систем России.

Риски и угрозы для всех стран мира примерно одинаковы. Но отличается среда финансового сектора, а именно – точки, которые можно атаковать.

По словам Макса Хаузера, партнера, управляющего директора BCG в России и Китае, сейчас во многих странах активно развиваются экосистемы, предусматривающие максимальную открытость банковской сферы для потребителей, и это дает еще больше возможностей хакерам. Тогда как, например, в Германии банковские системы изолированы и, значит, более защищены от угроз. А в США кибербезопасность регулируют порядка 30 законов.

По словам Станислава Кузнецова, заместителя председателя правления ПАО «Сбербанк», принятые в России data protection law (законы о защите данных (конфиденциальности) действуют и на отделения Сбербанка в Европе. Безусловно, в чем‑то этот закон ограничивает внедрение инноваций в банковской сфере, но при этом, уверен Станислав Кузнецов, в законе о защите данных нет никаких элементов, блокирующих систему open banking. Другое дело, что именно разработчики программных продуктов часто не соблюдают требований банковской системы, из‑за этого угрозы возрастают.

– Наш центр защиты анализирует порядка 6 млрд событий в сутки, из них примерно 180–200 событий равны угрозам крупного инцидента, 1–2 события документируются в еженедельных материалах правоохранительных органов, – отметил Станислав Кузнецов. – Около 2 тысяч рисковых событий регистрируются еженедельно фрод-мониторингом. За этот год эти системы предотвратили теоретические убытки наших клиентов в объеме 18 млрд рублей, по нашим подсчетам. Благодаря ФинЦЕРТ (центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Банка России. – Прим. И. К) в феврале 2019 года мы стали использовать API (программный интерфейс приложений. – Прим. И. К) и можем узнавать и передавать другим банкам всю информацию в рамках борьбы с мошенничеством.

Российские программные продукты по кибербезопасности могут конкурировать с мировыми. Однако пока ими пользуются лишь крупные банки.

– Решения, которые разрабатываются и экспортируются из России, покупаются совсем не российскими компаниями, – сказал Илья Сачков, основатель и генеральный директор Group-IB. – 7 из 10 крупнейших банков мира покупают решения раньше, чем любой российский банк, за исключением таких, как Сбербанк, и нескольких других. Проблема в том, что в мире гораздо быстрее, чем в России, приобретают инновации по кибербезопасности.

– Программное обеспечение по кибербезопасности для многих российских компаний сравнимо с лишними затратами, – отметил Сачков. – Тогда как правильнее было бы обозначить количество угроз и ущерб, который можно предотвратить за счет этого ПО.

Как определить наиболее приемлемый набор инструментов для предотвращения угроз? По мнению Ильи Сачкова, правильно выявить возможные риски и найти инструменты для борьбы с ними могут опытные IT-специалисты, которые будут заинтересованы в этом. Однако в России таких специалистов мало. – Все программы российских вузов не соответствуют требованиям по современной информационной безопасности, а среди чиновников нет специалистов, которые разбираются в таких сложных профессиях, как ресерчер вредоносного кода, – ежегодно лишь 30 таких специалистов выпускаются в российских вузах, – подчеркнул Сачков. – В школах как не было уроков по кибербезопасности, так их и нет. С 2015 года мы просим сократить количество занятий ОБЖ по взрыванию танков и рытью окопов и заменить их уроками по информационной безопасности и профориентацией по этому предмету. К сожалению, в нашей стране сложилась парадоксальная ситуация: все, что связано с информационной безопасностью, отдано на откуп частному бизнесу. При этом, когда у россиянина возникают проблемы, связанные с кибератаками и он нуждается в государственной помощи, это для него превращается в череду бесконечной бумажной волокиты. То есть необходимо изменить к этой проблеме отношение государства.

Илья Сачков считает, что государство должно создавать экосистему для инноваций, не вмешиваться, но помогать и прислушиваться к экспертам.

Доверие – основа информационной безопасности. В этом уверен Артем Сычев, первый заместитель директора департамента информационной безопасности Банка России. А доверие складывается из того, что отрасль работает по одним и тем же правилам, но с учетом масштабов бизнеса.

– Одной из важных проблем является кадровая, а именно – осознание молодых специалистов зачем они идут в профессию по информационной безопасности, – сказал Артем Сычев. – Мы пытаемся продвинуть тему подготовки кадров, которые будут изучать особенности финансовой индустрии.

Информационная безопасность – это про доверие, поддержала коллег Ольга Дергунова, заместитель президента – председатель правления ПАО «Банк ВТБ».

– Единое технологическое пространство, обмен знаниями и технологиями – это результат сотрудничества как в научной, так и в технологической сфере, – отметила Ольга Дергунова. – Но над технологическим слоем есть политический, и мы находимся в такой ситуации, когда построенное десятилетиями технологическое доверие нарушено политикой. Примером взаимного доверия служит опыт моего общения с «Майкрософтом», когда мы открывали исходный код Windows для коллег из ФСБ. Этот проект занял у нас более семи лет. Мы прошли стадии категорического отрицания возможности ведения диалога. И когда подписывали соглашение в присутствии руководителей обеих сторон, все понимали и доверяли друг другу настолько, что соглашение действует по сию пору. Только длительными и тяжелейшими переговорами, максимальным и пунктуальным соблюдением правил достигается технологический миропорядок.

По словам Ольги Дергуновой, в банковской сфере программы по информационной безопасности внедряются успешно, даже если на это уходит много времени. Достаточно вспомнить, как все сомневались два года назад, не станет ли кибербезопасность препятствием на этапе внедрения системы быстрых платежей и единой биометрической системы. Сейчас эти системы работают полноценно.

Ирина Кривошапка