Центробанк рассказал, как собирается обеспечивать кибербезопасность электронных платежей

Центробанк рассказал, как собирается обеспечивать кибербезопасность электронных платежей

Банк России опубликовал очередной отчет «Обзор финансовой стабильности» (за второй-третий кварталы 2016 года).  В нем, кроме прочего, ЦБ представил данные об инцидентах, связанных с обеспечением защиты информации, атаках на счета пользователей, а также перечислил меры, которые собирается предпринять для снижения киберрисков.

Так, в документе говорится, что в целях повышения уровня координации финансовых организаций по противодействию кибератакам при участии Банка России подготовлены изменения в законодательство, направленные на:

  • законодательное закрепление права финансовой организации приостанавливать перевод денежных средств при выявлении признаков совершения перевода денежных средств без согласия плательщика;
  • установление порядка действия финансовой организации при выявлении признаков совершения перевода денежных средств без согласия плательщика с целью возврата денежных средств законному владельцу и порядка возврата денежных средств при доказанности того факта, что перевод был осуществлен без согласия клиента;
  • нераспространение правовых механизмов, направленных на защиту банковской тайны, на ситуации, когда раскрытие информации об операциях осуществляется в целях предотвращения совершения и выявления операций, совершаемых без согласия клиента.

Также с участием Банка России подготовлен проект изменений в Уголовный кодекс Российской Федерации, предусматривающий введение новой статьи, которая устанавливает уголовную ответственность за такие виды деятельности, как хищение денежных средств, находящихся на банковском счете, электронных денежных средств, в том числе совершенных с использованием поддельных или принадлежащих другому лицу платежных карт, а также вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации.

В  рамках работы межведомственной рабочей группы (при участии Банка России, МВД, Минкомсвязи, ФСТЭК и Минфина) по координации вопросов создания единой системы противодействия информационным угрозам в кредитно-финансовой сфере до 2018 года планируется:

  • создание правовых и технологических условий по проведению повсеместной проверки качества платежных приложений путем их сертификации или анализа на  соответствие требованиям безопасности информации с целью контроля отсутствия уязвимостей и недекларированных возможностей;
  • создание правовых и технологических условий повсеместного внедрения технологических механизмов защиты, реализующих дополнительное подтверждение поручений на перевод денежных средств при использовании недоверенных сред формирования платежных поручений, в первую очередь в системах дистанционного банковского обслуживания и при использовании сети Интернет;
  • разработка и ввод в действие национальных стандартов Российской Федерации, устанавливающих детальные технические требования к обеспечению информационной безопасности в финансовых организациях, а также развитие отраслевого комплекса стандартов Банка России по вопросам обеспечения информационной безопасности;
  • создание независимой системы подтверждения соответствия информационной безопасности в финансовых организациях требованиям национальных стандартов информационной безопасности (внешний аудит информационной безопасности);
  • создание правовых условий для обязательного применения национальных стандартов информационной безопасности в  финансовых организациях, а также обязательного подтверждения соответствия требованиям национальных стандартов;
  • установление требований к достаточности капитала финансовых организаций на основе оценки операционного риска с использованием результатов внешнего аудита информационной безопасности и данных об инцидентах.

Ожидается, что повышение эффективности управления киберрисками в финансовых организациях и скоординированные действия по предотвращению и  расследованию кибератак, постоянное улучшение средств защиты и устранение уязвимостей новых технологий приведут к снижению киберрисков в финансовой сфере.

Наряду с этим будут развиваться новые подходы к регулированию в области информационной безопасности для организаций, участвующих в предоставлении финансовых услуг. Особое внимание будет уделено повышению финансовой грамотности пользователей электронных банковских технологий, говорится в документе.

ЦБ отмечает. что «злоумышленники используют все более изощренные методы», при этом кибератаки переориентируются с клиентских платежных приложений, предоставляемых финансовыми организациями, на информационную инфраструктуру самих банков. Деятельность злоумышленников нередко носит организованный характер и не имеет национальных границ.

По данным, полученным на основании обязательной отчетности об  инцидентах, связанных с обеспечением защиты информации, наблюдается рост числа сообщений о несанкционированных операциях по переводам денежных средств со счетов физических лиц, совершаемым посредством ДБО (дистанционного банковского обслуживания).

dbo

Рост числа сообщений об инцидентах обусловлен быстрым увеличением числа физических лиц–пользователей услуг Интернета и мобильного банкинга.

Действенным способом минимизации ущерба по несанкционированным переводам со счетов физических лиц является установление банками ограничений при совершении переводов с использованием ДБО  – в  частности, введение лимита и дополнительного подтверждения транзакций клиентами.

Снижению рисков, связанных с несанкционированными переводами денежных средств с банковских счетов, способствует проверка качества платежных приложений и их сертификация, отмечает Центробанк.

Как сказано в документе, в начале 2016 года были зафиксированы целенаправленные атаки, связанные с подменой входных данных для АРМ КБР (автоматизированное рабочее место клиента Банка России), в результате которых были совершены покушения на хищение денежных средств с корреспондентских счетов, открытых в Банке России, в объеме 2,87 миллиарда рублей. При этом предотвращено хищение 1,67 миллиарда рублей, из которых 1,1 миллиарда рублей временно заблокировано финансовыми организациями, в которых злоумышленники открывали счета с целью осуществления несанкционированных переводов, и 0,57 миллиарда рублей Банком России приостановлены переводы денежных средств с корреспондентских счетов.

Читать также: «Киберпреступники за год украли у Сбербанка более миллиарда рублей — СМИ» >>
dbo2

Основными причинами повышенных киберрисков, по мнению Банка России, являются:

  • наличие уязвимостей в применяемых финансовыми организациями информационных системах и платежных приложениях;
  • недостатки в обеспечении информационной безопасности, отсутствие должного соблюдения финансовыми организациями требований, установленных нормативными актами и отраслевыми стандартами;
  • отсутствие необходимой координации деятельности финансовых организаций по противодействию массовым (веерным) и типовым кибератакам.

Центробанк напоминает, что с целью обеспечения координации деятельности финансовых организаций и правоохранительных органов по  противодействию кибератакам в 2015 году Банком России создан Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCert).

В настоящее время:

  • организован информационный обмен с ФСБ России, МВД России и Государственной системой обнаружения, предупреждения и ликвидации последствий кибератак на  информационные ресурсы Российской Федерации (ГосСОПКА);
  • обеспечено присоединение около 300 финансовых организаций к информационному обмену через сервисы FinCert;
  • обеспечено участие в деятельности FinCert органов государственной власти (ФСБ России и МВД России), платежных систем, разработчиков программного обеспечения, операторов связи;
  • организовано регулярное оповещение участников информационного обмена о  выявленных уязвимостях защиты информации.

При получении от участника информационного обмена сообщения об угрозе FinCert проводит ее анализ, включая экспертизу вредоносного программного обеспечения, и по результатам анализа рассылает информационный бюллетень.

Читать также: «ЦБ обяжет банки сообщать в FinCERT о кибератаках в течение трех часов «>>

Print Friendly
Условия использования
При цитировании и использовании любых материалов ссылка на сайт Экспертного центра электронного государства d-russia.ru обязательна.
Партнеры