Думать, как преступник. Киберпреступник

Пленарное заседание, открывавшее форум, вел первый заместитель председателя Комитета Госдумы РФ по безопасности и противодействию коррупции, сопредседатель оргкомитета Инфофорума Эрнест Валеев.

Враг не пройдет

- Практическая безграничность влияния информационных технологий на жизнь людей порождает необозримость проблем предотвращения злонамеренного или враждебного использования ИТ, ущерб суверенитету государств, их территориальной целостности, политической независимости и ущерб правам человека, - отметил ведущий.

Со сцены огласили приветствие заместителя секретаря Совета безопасности РФ, председателя Межведомственной комиссии по информационной безопасности Олега Храмова. «Внедрение информационных технологий во все сферы жизни общества и государства порождает новые вызовы и угрозы. Своевременный ответ на эти угрозы является гарантом доверия к инновациям, связанным с всеобъемлющей информатизацией нашей жизни», - говорилось в приветствии.

Заместитель полномочного представителя президента в ЦФО Николай Овсиенко передал слова приветствия полпреда президента в ЦФО Алексея Гордеева.

- В сложных условиях современной геополитической обстановки, изменения в системе международных отношений происходит смещение военных опасностей в информационную сферу, - зачитал обращение Николай Овсиенко. – Ситуация осложняется преобладающим использованием зарубежного телекоммуникационного оборудования, активной экспансией зарубежных корпораций на российский рынок ИТ-технологий.

Всё свое, родное

Председатель Комитета Госдумы по информационной политике, ИТ и связи Леонид Левин сообщил:

- Государственной Думе вместе с Правительством предстоит обсудить внесение изменений в федеральный закон о связи в части задач обеспечения целостности, устойчивости и безопасности функционирования российского сегмента сети интернет; определение полномочий федеральных органов власти по блокированию противоправного контента; введение понятия государственной информационной системы обеспечения безопасности российского сегмента сети интернет; введение понятийного аппарата терминов и определение информационной безопасности в условиях цифровой экономики.

Леонид Левин добавил, что необходимо нормативно обеспечить безопасное обращение к облачным операторам при обработке персональных данных, а именно: законодательно утвердить требования по использованию преимущественно отечественного компьютерного, серверного и телекоммуникационного оборудования на объектах инфраструктуры обработки данных, создать механизмы стимулирования использования отечественного ПО.

Заместитель директора ФСТЭК России Виталий Лютиков уделил внимание вопросам реализации федерального закона о безопасности критической инфраструктуры РФ, который вступил в силу с 1 января 2018 года.

- Контроль за выполнением производителями ИКТ-изделий требований безопасности должен осуществляться на государственном уровне, - подчеркнул заместитель начальника ФСБ России Николай Мурашов.

Заместитель начальника Управления Спецсвязи ФСО России Николай Ильин доложил о перспективах развития системы распределенных ситуационных центров, часть из которых уже функционирует в госорганах, госкорпорациях, университетах. Он также заявил о необходимости перехода на отечественные изделия в сфере видео-конференцсвязи.

Александр Горбатько, заместитель руководителя Департамента информационных технологий города Москвы, поведал о возможностях системы «Безопасный город». Он также рассказал о том, что в Лаборатории Касперского хранится несколько тысяч образцов вредоносного ПО, половина из которых были накоплены за 2017 год.

Центробанк, честный и открытый

Заместитель начальника Главного управления безопасности и защиты информации Банка России Артем Сычев заявил:

- Я не совсем соглашусь с тезисом, который прозвучал здесь с утра – о том, что кредитные финансовые организации больше стали ломать. Просто мы выявляем чаще, чем это происходит в других отраслях экономики, и мы делаем эту информацию публичной, чтобы заранее предупредить коллег, не подвергшиеся атакам организации, как им настраивать свои системы безопасности.

Он добавил, что атаки вирусов-шифровальщиков прошли незамеченными для банковской сферы. Другое дело – фишинговые домены, за год их было снято с делегирования более 700.

Заместитель генерального директора Positive Technologies Борис Симис сообщил о возросшем количестве целенаправленных атак и необходимости защиты внешнего периметра, который у многих компаний достаточно уязвим.

В рамках пленарного заседания также выступили: руководитель Федерального агентства связи Олег Духовницкий, начальник Главного управления развития информационных и телекоммуникационных технологий Минобороны Олег Масленников, директор по ИБ «Техкомпании Хуавэй» Александр Зубарев, основатель и председатель совета директоров ГК «Техносерв» Алексей Ананьев.

Все ради безопасности: изменения форм отчетности

После окончания пленарного заседания Артем Сычев прокомментировал порталу Finversia.ru изменения, которые коснутся банковских форм отчетности по безопасности. В отчетность скоро будут введены новые показатели, а часть имеющихся – выведены.

- Основная новелла состоит в том, что мы хотим уйти от технических деталей в отчетности, перевести их в информационный обмен ФинЦЕРТа, и сосредоточить внимание на экономических показателях. Чтобы были понятны две вещи: реальный объем финансовых проблем, которые могут возникнуть, и то, работает ли 9-я статья закона «О национальной платежной системе». Все на это нацелено. Мы рассчитываем, что в марте выйдем уже на управление Минюста, на регистрацию.

(Напомним, в ст. 9 161-ФЗ описан порядок использования электронных средств платежа.)

Ловят на доверчивость

Во второй день форума состоялась панельная дискуссия «Информационная безопасность в кредитно-финансовой сфере: угрозы, риски и решения – 2018». Ее модерировали член Комитета по кредитным организациям ТПП РФ Тимур Аитов, заместитель начальника Главного управления безопасности и защиты информации Банка России Алексей Овчинников и советник начальника ГУБЗИ Банка России Дмитрий Фролов.

Тимур Аитов «для затравки» сообщил, что объем хищений, совершенных киберпреступниками в 2017 году, по данным Банка России, составил 4 млрд рублей.

- Стоит задача просвещения граждан в вопросах безопасного использования платежных инструментов. 75% хищений совершаются методами социальной инженерии. Клиента банка просто уговаривают, обманывают и заставляют сделать платеж по нужным преступникам реквизитам. Оказывается, что обмануть человека гораздо проще, чем пробить сложную многофакторную систему аутентификации, - сказал Тимур Аитов.

Но банки, конечно, тоже не безгрешны. Они вынуждены экономить на операционной деятельности, в том числе за счет сокращения персонала в сфере информационной безопасности, экономить на внедрении современных средств противодействия злоумышленникам. В первую очередь это касается малых и средних кредитных организаций. Возможным решением в данном случае может быть аутсорсинг.

- Но как передать ИБ на аутсорс таким образом, чтобы не сесть на иглу этого аутсорса? – задался вопросом Тимур Аитов.

По картам фрода нет – брать нечего

Дмитрий Фролов рассказал, что за последние два года на банки произведено 407 нецелевых атак, 71 целевая атака и 53 атаки типа «отказ в обслуживании». Большинство видов угроз – шифровальщики, банковские трояны, DDoS-атаки, фишинг и атаки на инфраструктуру – перейдут из 2017 года в 2018-й. Кроме того, за последние десять лет совершены хищения криптовалют на сумму 1,2 млрд. долларов. При подсчете не учитывались изменения курсов криптовалют к доллару. А если бы учитывались, то получились бы «сотни миллиардов долларов», заверил Дмитрий Фролов.

- Мне в Mastercard сказали, что в России нет фрода по банковским картам, потому что остатки на счетах очень маленькие… - поделился Тимур Аитов.

- Показатель доли несанкционированных операций – 0,005%. Это ниже, чем в Европе, но это не должно нас расхолаживать, - ответил советник начальника ГУБЗИ Банка России.

Отдать – значит потерять?

Особенно горячее обсуждение вышло на тему аутсорсинга. Алексей Овчинников прокомментировал проблему так:

- Только заказчик может определить свои риски. Ни в коем случае нельзя отдавать на аутсорсинг принятие этих рисков, определение подходов к сокращению этих рисков или определению уровня остаточного риска после компенсации.

Замначальника ГУБЗИ Банка России рассказал, что ожидается принятие нового стандарта, содержащего требования к компаниям, предоставляющим услуги аутсорсинга в сфере ИБ.

- Основной посыл этого документа в том, чтобы банки и организации финансовой сферы не боялись передавать на аутсорсинг свои функции, - пояснил Алексей Овчинников.

Управляющий партнер ГК «Аудит Груп» и «Финансовый интегратор», председатель комитета ТПП РФ по финансовым рынкам и кредитным организациям Владимир Гамза предположил, что функции аутсорсера мог бы взять на себя ЦБ (при этом, конечно, потребовалось бы внести изменения в законодательство). Но идея не нашла поддержки среди участников дискуссии.

Руководитель департамента ЦИБИТ Василий Окулесский отреагировал на предложение особенно пылко, заявив, что «перенести всё в одно место – это значит всех обезглавить, обезручить и обезглазить».

Председатель правления Ассоциации «Финансовые инновации» Роман Прохоров заметил, что при передаче на аутсорсинг риски все равно остаются на той стороне, которая их передает. «С моей точки зрения, это не совсем тот аутсорсинг, который должен быть», - рассудил он.

- Не отдавайте на аутсорсинг то, что не готовы потерять, - дал совет коллегам глава отдела методики кибербезопасности Сбербанка Алексей Волков. И, судя по бурной одобрительной реакции на это заявление, он попал в самую точку.

Кому служит ИИ?

Алексей Волков призвал специалистов по ИБ к непрерывному самообразованию:

- Преступники изучают по интернету, как им нас с вами ломать. Давайте делать то же самое, – сказал он, и эта реплика была встречена аплодисментами.

Представитель Сбербанка рассказал, что в последнее время вирусы генерируются искусственным интеллектом, и мошенникам достаточно лишь нажать пару кнопок, чтобы разослать «вредоносы» по смартфонам клиентов.

Другие участники обсуждения добавили, что ИИ нужно использовать на благо информационной безопасности. «Если вы не используете на определенных стадиях искусственный интеллект, вы уже отстали», - сказал руководитель экспертного отдела по ИБ компании «Гарда Технологии» Роман Жуков.

Особенности национальной ЕБС

Заместитель директора проектного офиса «Цифровая идентичность» Ростелекома Юлия Дудкина напомнила, что 482-ФЗ, который уже принят, разрешил гражданам открывать удаленные счета. Затем она рассказала о преимуществах Единой биометрической системы. Представитель Ростелекома уверяла собравшихся в высоком уровне защищенности ЕБС от кибератак. Но многие так до конца и не поверили. А заместитель генерального директора компании «Аладдин Р.Д.» Алексей Сабанов дал обещание подготовить беспристрастный доклад, в котором докажет уязвимость ЕБС, и выступить с ним на Уральском форуме информационной безопасности финансовой сферы, который пройдет 12-16 февраля.

В панельной дискуссии также приняли участие: советник по информационной безопасности ГК «Программный продукт» Георгий Лагода, начальник управления ИБ Златкомбанка Александр Виноградов, член совета директоров Энерготрансбанка Андрей Погодин, заведующий кафедрой КБ-1 «Защита информации» МТУ Валентин Масановец, директор Positive Tehnologies по методологии и стандартизации Дмитрий Кузнецов, руководитель направления рисков кибербезопасности Сбербанка Екатерина Сухова и другие.

Москва.