Аспекты информационной безопасности в финансовом секторе

Целью исследования Qrator Labs и Wallarm, проведённого компанией 42Future, было изучить актуальность проблематики и масштаб угрозы DDoS-атак и атак на уязвимости приложений в российском финансовом секторе (банки и платежные системы), а также оценить уровень защищённости внешнего сетевого периметра организаций. 

В рамках исследования решались следующие задачи:

• определение основных угроз ИБ в российском финансовом секторе,
• определение уровня осведомленности об угрозе DDoS-атак и атак на уязвимости приложений, а также связанных с ними рисках,
• определение уровня проникновения средств защиты от DDoS и хакерских атак в исследуемом сегменте.

В рамках исследования был проведён опрос среди представителей банков и платежных систем, работающих в России. Всего было опрошено 138 банков (из 646 действующих кредитных организаций, имеющих право на осуществление банковских операций, по данным ЦБ РФ на май 2016 г.) и 12 платёжных систем (из 33 включенных в реестр операторов платёжных систем ЦБ РФ на май 2016 г.).

В опросе участвовали руководители ИТ-подразделений, их заместители, а также руководители департаментов, отвечающих за вопросы информационной безопасности.

Понимание рисков

Информационная безопасность (ИБ) – один из основных приоритетов банковского бизнеса, который должен обеспечивать бесперебойность расчетов и конфиденциальность данных. Сбои в работе отдельных банков в результате инцидентов ИБ могут привести к системному кризису всей финансовой системы. Ущерб от киберпреступлений в российской банковской отрасли оценивается более 5 млрд руб. в 2015 году (данные ЦБ РФ и «Сбербанка»). Причем главной целью злоумышленников уже являются сами финансовые учреждения, а не их клиенты. Обеспечение информационной безопасности в финансовом секторе регулируется объемной нормативно-правовой базой, отраслевыми стандартами и внутренними регламентами. Для усиления противодействия киберпреступности ЦБ РФ разработал рекомендации по обеспечению информационной безопасности, которые вступили в силу с 1 мая 2016 года. Это первый подобный комплекс мер для банков по выстраиванию эффективности системы мониторинга для минимизации риска утечек информации.

●         Бюджеты на ИБ в 2016 году

В силу высокого приоритета данной задачи банки и платёжные системы исторически уделяют много внимания вопросам ИБ и даже в кризисные периоды не сокращают свои затраты по этому направлению. Глобально расходы финансового сектора на ИБ растут на 3-4% в год (оценка PwC). По данным настоящего опроса около трети респондентов увеличили в 2015 году свой ИБ-бюджет, и еще 44% сохранили его в прежнем объёме.

Изменение бюджета на ИБ в 2015 году

На фоне постоянного увеличения количества инцидентов ИБ меры по противодействию киберпреступности также должны усиливаться. 100% опрошенных компаний подтверждают, что осуществляют контроль за сетевым периметром. Но, по мнению экспертов Wallarm, это не дает никакой гарантии защиты от взлома: плохо внедренные меры защиты позволяют атакующими использовать приложения, как самый простой способ для «пробоя» периметра и развития атаки внутри сети организации. Однако, полученный в ходе исследования результат, позволяет говорить о достижении российскими организациями определенного уровня зрелости в вопросах ИБ и управления рисками. В условиях цифровой экономики и формирования платформ промышленного интернета эта мера является минимально необходимой для выживания бизнеса.

●         Осознание рисков

В отрасли сформировалось чёткое понимание, что киберпреступления — это серьезная угроза, которую нельзя сводить к рядовой технологической проблеме. 61% респондентов считают, что в случае инцидента ИБ (в зависимости от его масштаба и серьезности) повышается риск отзыва лицензии. Уже известно, что три банка, перенесших кибератаки, были лишены лицензий – в том числе, как отмечал регулятор, в связи с этими инцидентами.

Финансовые учреждения опасаются утечек персональных данных пользователей и других конфиденциальных данных в результате успешного взлома сервисов на сетевом периметре, что помимо прочего может грозить отзывом сертификации (PCI DSS).

Более трети опрошенных не рассматривают такой риск как первое и главное последствие киберпреступления, предполагая, что сначала идут репутационные и финансовые издержки. Однако абсолютно все респонденты уверены, что непредотвращённые инциденты ИБ сегодня означают серьезные потери для бизнеса.

Наиболее вероятные последствия от инцидента ИБ

●         Понимание меняющихся условий

В компаниях понимают, что подходы к обеспечению ИБ должны трансформироваться в соответствии с быстрыми изменения ситуации на рынке. Это соответствие определяет не только защищённость бизнеса, но и возможности его дальнейшего развития. 77% респондентов разделяют мнение, что устаревшие требования к безопасности мешают внедрению новых технологий и подходов к развитию ИТ-инфраструктуры.

●         Привлечение внешнего аудита по ИБ

Дополнительное подтверждение зрелости организаций финансового сектора в вопросах ИБ – привлечение внешнего аудита. Его проведение подтверждают более 80% респондентов.

Типы угроз

Стандарт ЦБ РФ рекомендует проводить аудит ИБ ежегодно, с целью проверки выполнения требований регулирования, либо проверки надежности и защищенности используемых решений. При этом в планах Центробанка, заметно ужесточающего надзор в сфере ИБ – перевести стандарт СТО БР ИББС в формат ГОСТа, сделав его обязательным.

Более трети респондентов отмечают, что не сталкивались в 2015 году с инцидентами ИБ. Тут нужно учитывать традиционную закрытость и чувствительность именно банковской отрасли к публичному признанию фактов киберпреступлений. Однако большинство уже готово подтвердить зафиксированные атаки. Игроки осознают важность реального отражения ситуации с тем, чтобы более эффективно развивать стратегии кибербезопасности и бороться с мошенниками общеотраслевыми усилиями. К открытому обсуждению проблемы, размеров потерь и конкретных схем атак активно призывает и Центробанк.

●         DDoS-атаки

Наиболее часто компании финансового сектора сталкиваются сегодня с DDoS-атаками. Об этом говорит почти четверть респондентов. По-прежнему это средство недобросовестной конкурентной борьбы, которое можно применять результативно и со все меньшими затратами (от 5 долл. в час). В то же время DDoS-атаки часто используются для отвлечения внимания и проведения других типов атак – например, взлома сайта или веб-приложений. 

Попытки взлома приложений и сервисов на сетевом периметре отметил 17% респондентов. В реальности цифра гораздо выше, считают специалисты Wallarm: практически каждый публичный ресурс хотя бы раз в месяц подвергается автоматизированным (часто не направленным на конкретную цель) атакам на публичные уязвимости.

Наиболее часто фиксируемые инциденты ИБ в 2015 году

В числе других инцидентов респонденты называли вирусы, инсайдеров, инциденты, связанные с работой ДБО.

●         Атаки на инфраструктуру сети

В последние два года Qrator Labs в своих отчетах по исследованиям рыночных тенденций обращает внимание на новую угрозу – атаки на инфраструктуру сети, рассматривая их, как перспективный вектор. Более половины (58%) опрошенных экспертов подтверждают, что риски такого рода уже представляют собой опасность, и угроза будет расти. Однако 40% все еще находятся в неведении, отрицая критичность атак на инфраструктуру сети или протоколы маршрутизации. Впрочем, такая ситуация типична для восприятия новых угроз. Кроме того, среди респондентов высказывались оптимистичные предположения, что несмотря на серьёзность угрозы, предпринимается достаточное количество мер для ее предотвращения – и соответственно, её критичность снижается.

99% респондентов действительно подтверждают, что предпринимают контрмеры против атак такого типа. Можно предположить, что в ряде случаев они считают, что такие контрмеры предприняты. В том числе, рассчитывая на средства защиты, обеспечиваемые провайдером связи. Однако в отсутствие специальных и последовательных шагов самой организации для противодействия атакам на инфраструктуру уровень её защищённости нельзя считать достаточным. 

Типы используемых решений

Большинство респондентов (69%) считают самым эффективным средством противодействия операторское решение по защите от DDoS. Однако по мнению экспертов Qrator и Wallarm сегодня этот метод устаревает.

Решение на стороне оператора уже не может обеспечить защиту от целых классов атак. К тому же такие средства практически никогда не поставляются в комплекте с интегрированным WAF (Web Application Firewall), обеспечивающим защиту от хакерских атак. Аналогично устаревают с точки зрения реальной эффективности решения CPE. 

Александр Лямин, генеральный директор Qrator Labs

Показательно, что лишь 9% опрошенных считают эффективными облачные решения. В то же время практика показывает прямо противоположный результат, что иллюстрирует пример компании QiWi.

Компания QiWi, владеющая крупнейшей платежной системой в России опробовала все классы решений пока не остановилась на геораспределённой облачной сети фильтрации трафика.

Наш бизнес – это высокотехнологичная система интернет-платежей. Сетевая безопасность – один из самых главных аспектов, который влияет на работу всей компании. Мы используем целый комплекс для защиты от угроз извне, и постоянно его совершенствуем. На мой взгляд облачное решение для фильтрации трафика на сегодняшний день является самым оптимальным способам противодействия одной из наиболее опасных угроз – DDoS-атакам. Правильнее всего использовать такой инструмент в комплексе с решениями для защиты от хакерских атак, которые часто производятся одновременно с DDoS-атаками.

Кирилл Ермаков, руководитель департамента информационной безопасности группы QiWi

Выводы

• Как показало исследование, информационная безопасность – важный приоритет для организаций финансового сектора. Серьёзность киберугроз здесь в достаточной мере осознают, что указывает на достижение определенной зрелости в вопросах ИБ.

• В отрасли понимают основные риски и последствия инцидентов ИБ: 61% опрошенных говорят, что проблемы с безопасностью могут привести к отзыву банковской лицензии.

• Наиболее частый тип инцидентов ИБ, с которым сталкиваются банки и платежные организации – DDoS-атаки. Об этом сообщает 24% опрошенных.

• При этом, для противодействия наиболее распространенной угрозе (DDoS-атакам) используются по большей части устаревающие и недостаточно эффективные средства, в том числе решения от оператора, которые в большинстве случаев не предоставляют никакой защиты от атак на уязвимости приложения (услуга WAF). 

• Попытки взлома приложений были зафиксированы 17% опрошенных. Поэтому компании уделяют всё больше внимание защите своего периметра. Регулярно проводят аудит безопасности более 80% компаний.

• Современные реалии требуют пересмотра подходов к ИБ, опирающихся на понятие периметра безопасности корпоративной сети. Сетевая виртуализация и другие современные сетевые технологии размыли границы сетевого периметра.