Кибербезопасность в условиях электронного банкинга. Практическое пособие

Сегодня практически нет банков, клиенты которых не пострадали бы от действий хакеров, атакующих системы ДБО. Информационные системы банков просто плохо защищены, идентификация клиентов выстроена неправильно. Банки обычно понимают опасность незащищенных и слабо защищенных решений, но зарабатывать на современных услугах хочется, и поэтому они переносят ответственность за финансовые потери на клиентов. Клиенты соглашаются, потому что не понимают реальных рисков.

Во всех случаях «успешных» хакерских атак банки объясняли своим пострадавшим клиентам, что банк ни при чем, а виноваты они сами. Но как же так? Разве клиент виноват, что банк перепутал его с преступником и отдал преступнику деньги, которые гражданин доверил банку? Зачастую вина клиента в таких ситуациях лишь в том, что он выбрал именно этот банк.

При потере средств клиент испытывает огромное разочарование в услуге банка и банке в целом, что не способствует привлечению новых клиентов и связано с колоссальными репутационными рисками.

Заметим, что эти проблемы существуют объективно в нормальных отношениях банка и клиента. Нужно сказать, что среди клиентов иногда все же попадаются злоумышленники, а среди банков известны случаи, когда имитация хакерских атак использовалась для незаконного вывода денежных средств клиентов со счетов банка.

При наступлении нештатной ситуации в стресс попадают обе стороны информационного взаимодействия, так как клиент бесправен и никогда ни за что не сможет доказать, что деньги украли не у него, а у банка; банк же должен компенсировать утраченные деньги – конечно, за счет клиента, который рядом, а не за счет хакера, которого еще надо разыскать. В результате реализуются самые сильные репутационные риски для банка и финансовые риски для клиента.

Какое уж тут доверие? Клиенты недовольны банками, банки в каждом клиенте видят потенциального хакера.

Так как быть? Защищать банки от клиентов или клиентов от банков?

Для ухода от крайних позиций целесообразно правильно выставить цели и понять, как сделать информационное взаимодействие клиента и банка безопасным, удобным и при этом недорогим.

Положения Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] создали реальные предпосылки для повышения доверия клиентов к ДБО: если деньги клиента со счета в банке исчезнут, то банк должен сначала деньги вернуть, а уже потом разбираться, куда они исчезли и кто в этом виноват. Это достаточно радикальное средство возвращения доверия клиентов к услугам банка. Но риски банков тоже должны быть блокированы – а ведь техническая защита информации никак не может быть профильной для банка. Совсем другой бизнес у банков. Видимо, поэтому за минувшее время почти ничего не изменилось – предпосылки так и остались предпосылками. У сильного всегда бессильный виноват.

В ДБО участвуют две стороны: банк и клиент.

Банк. Функция обеспечения защиты информации, идентификации и аутентификации клиентов не свойственна банку. Но банк вынужден это делать в силу упомянутых особенностей законодательства. Конечно, он делает это плохо. Более того, плохое исполнение этих функций банку выгодно. Имитируя защиту, банк не тратит много денег и всегда может обвинить клиента в недостаточно полном следовании правилам информационной безопасности (ИБ).

Клиент. Клиент (хозяйствующий субъект) приходит в банк потому, что другого способа управлять своими деньгами у него нет. Он исходит из того, что банк его не обманет, и рекомендации банка по ИБ воспринимает как диктуемое ему условие, выполнение которого необходимо для получения услуги от банка.

Суть информационного взаимодействия клиента и банка заключается в том, что клиент поручает (с использованием электронного платежного поручения) банку выполнить ту или иную операцию с его (клиента) деньгами, находящимися на его (клиента) счете. Это волеизъявление клиента, и оно должно быть оформлено соответствующим образом. При использовании услуги ДБО это означает, что поручение клиента должно быть подписано электронной подписью. ЭП может эффективно соответствовать своим декларируемым целям при условии, что она вырабатывается и устанавливается в доверенной среде. Средство, с помощью которого ведется работа с ЭП, называется средством электронной подписи (СЭП).

Для банка при выполнении поручения клиента важнейшим элементом является закрепленное клиентским договором положение о том, что банк «выполняет поручения клиента». Клиента, а не хакера.