ЦБ предложил банкам шифровать данные о платежах на ранних этапах для борьбы с хакерами
ЦБ направил главам IT—отделов банков письмо, в котором попросил до 10 февраля оценить, в какие сроки возможно внедрить шифрование платежей, направляемых в платежную систему регулятора, на уровне автоматической банковской системы (АБС). Внедрение систем шифрования в АБС банка позволит защищать данные на более раннем этапе. «По нашему мнению, это усложнит для злоумышленников условия атак и снизит уровень хищений», — добавили представители регулятора. В ЦБ отметили, что шифрование на более раннем этапе применяется почти во всех крупных платежных системах.
АБС банка — это аппаратно—программный комплекс, состоящий из множества компьютеров, которые объединены в единый защищенный контур, где обрабатываются платежные поручения и формируются реестры платежей. Затем реестры, сформированные в АБС поступают в автоматизированное рабочее место клиента Банка России (АРМ КБР), которое представляет собой специальный компьютер в банке в отдельном защищенном контуре. С него же и уходят платежи в ЦБ.
«Сейчас основная проблема заключается в нарушении некоторыми банками рекомендаций ЦБ, по которым АРМ КБР должно быть полностью изолировано от остальной сети банка и данные должны переноситься на него с помощью защищенных съемных носителей», — пояснил газете аналитик центра мониторинга и противодействия кибератакам Solar JSOC Алексей Павлов. Эксперт добавил, что часто при отправке реестров используют промежуточную папку на файловом сервере корпоративной сети банка. В этом месте хакеры и подменяют файл с реестрами, подчеркнул Павлов. В результате в АРМ КБР приходят уже частично или полностью фиктивные данные.
В банках, опрошенных изданием, подчеркнули, что пока лишь оценивают сроки и возможную стоимость внедрения шифрования. По мнению Алексея Павлова, реализация шифрования реестров платежей ляжет на производителя конкретной АБС, а банку придется провести масштабное обновление в техническом отношении. По мнению специалиста по криптозащите одной из крупных фирм, нововведение обойдется банку в несколько миллионов рублей — введение технологии требует подключения специалистов, имеющих специальную лицензию ФСБ. В свою очередь, в ЦБ указали, что регулятор пока обсуждает с участниками рынка сроки внедрения систем шифрования с целью определения комфортного переходного периода.
Издание добавляет, что банкиры в основном негативно относятся к инициативе. «Защитить контур АБС сложнее», — поясняет руководитель IT-департамента банка из топ-100. «АРМ КБР — это защищенный контур из одного-двух компьютеров, АБС — это три сотни компьютеров, которым потребуется дополнительная защита», — пояснил руководитель IT-департамента банка из топ-100. При этом, по словам директора операционно— технологического департамента Абсолют—банка Варвары Доброжан, доступ к АБС извне — это в большей степени проблема используемых средств защиты. «Для атак извне первый барьер — как раз специализированные системы защиты, плюс в самой АБС есть встроенные механизмы защиты», — заключила эксперт.
Издание напоминает, что в конце 2015 — начале 2016 года, по данным ЦБ, хакеры в ходе атак на банки попытались вывести 2,87 миллиарда рублей, при этом удалось предотвратить хищение 1,67 миллиарда.
Ранее в Центробанке рассказали, что в конце 2015 – начале 2016 года хакеры в ходе атак на банки пытались вывести со счетов 2,87, при этом удалось предотвратить хищение 1,67 миллиарда. Целью атак тогда стало уязвимое звено внутри АБС банков, когда незашифрованные данные только готовят к передаче в ЦБ.
В начале этого года года ФСБ также отчиталась о предотвращении массовой атаки на российский банковский сектор. В ноябре 2016 года хакеры пытались проникнуть в системы крупнейших банков. Возбуждено уголовное дело.
