Мошенничество в банковском сегменте и облака: есть ли связь?
У некоторых российских банков до сих пор есть некая предвзятость к публичным облакам. Часто их считают одним из основных источников инцидентов. Почему это не так, объясняет директор по развитию бизнеса КРОК Облачные сервисы Сергей Зинкевич.
На укрепление мифа о том, что публичные облака небезопасны, сработал рост атак, в том числе на облачные сервисы, особо заметный в “пандемийные” 2020-2021. Так, по данным Центробанка, только в первом квартале 2020 количество операций без согласия клиентов увеличилось на 38%. Регулятор отмечает влияние локдауна, который привел к более частому использованию систем дистанционного обслуживания среди неопытной аудитории, столкнувшейся с социальной инженерией. Однако, ряд крупных игроков рынка, например, Сбербанк и ВТБ, также отмечают активность киберпреступников, которые целятся не только в пользователей финансовых услуг, но и непосредственно в инфраструктуру банка.
С чем связано увеличение мошеннических операций в банковском сегменте?
-
Уменьшение мобильности клиентов. Если раньше клиент мог выбрать, посетить ли магазин рядом с домой или заказать доставку, то из-за ограничений и цифровых пропусков на некоторое время остался только вариант с онлайн-заказами продуктов и товаров. Такая форма шоппинга пришлась потребителям по вкусу: интернет-торговля в 2021 году, по данным ритейлеров, выросла на 41%. А вместе с ней увеличилось и количество атак на мобильные приложения банков и системы ДБО.
-
Удаленка сотрудников финансовых организаций. Во время пандемии сместился вектор атак с корпоративных сетей на конечные устройства сотрудников. Более того – ухудшился контроль за девайсами, так как персонал начал частично работать с личных ноутбуков и смартфонов. Несмотря на использование специальных средств, таких как решения по обнаружению сложных угроз, системы поиска аномалий в поведении пользователей и узлов, и почти повсеместное использование VPN и VDI, в целом защищенность корпоративных клиентов ухудшилась. Произошло это из-за увеличения количества открытых ИТ-ресурсов, а также распространения фишинга.
-
Перевод бизнеса в онлайн. Распространенной практикой во время локдауна стал запуск в предельно сжатые сроки новых онлайновых клиентских сервисов. Чаще всего такая разработка ведется в публичных облаках провайдеров, так как для старта проекта и масштабирования ресурсов требуется значительно меньше времени и бюрократических процедур, чем при выделении мощностей внутри организации. Однако в погоне за скоростью инженеры могут забывать про правила информационной безопасности и, например, перестают маскировать данные. В результате эти данные утекают наружу и приводят к репутационным скандалам. Сотрудники могут в принципе не уделять должного внимания защите сред ИТ-разработки, например, контейнерной инфраструктуры. Это распространенная ошибка, так как такие среды, как Kubernetes, также попадают в поле внимания киберпреступников.
Каким должно быть «правильное облако»?
Облако «здорового» провайдера – это максимально защищенная инфраструктура. Иногда среды некоторых корпоративных заказчиков далеко не так надежны, как ИТ-системы крупных поставщиков облачных услуг для B2B-сегмента. Многие игроки финансового рынка недостаточно инвестируют в ИТ, не используют актуальные инструменты для резервирования данных и отказоустойчивости и тем более не проводят два пен-теста в год согласно требованиям стандарта PCI DSS.
При этом, конечно же, облако облаку рознь. Чтобы точно быть уверенным в надежности платформы и ее защите от различных атак, нужно обращать внимание на следующие моменты:
-
Стандарт по ГОСТу. Точнее по ISO/IEC 27001:2013, включающему требования к безопасности облачных вычислений. Если у провайдера есть такой сертификат, это означает, что международными аудиторами уже проверены система менеджмента ИБ, актуальность средств защиты и грамотность процессов эксплуатации.
-
Компетенции провайдера в области информационной безопасности. Лучше всего, когда провайдер на основе своего опыта и уже реализованных проектов может предварительно оценить требования клиента к системе, размещаемой в облаке, и просчитать, с какими рисками заказчик может столкнуться при ее эксплуатации. Например, восприимчивость к DDoS-атакам может быть симптомом того, что в приложении есть бреши. Перед миграцией системы в облако лучше оптимизировать архитектуру этого приложения или сайта и специально спроектировать под него виртуальную среду.
-
Доступность дополнительных средств защиты. Провайдеры сегодня предлагают большое количество различного ПО для защиты сервисов, размещенных в облако: от антивирусов до antiDDoS и WAF (Web Appliance Firewall). Какие-то из них могут предлагаться как SaaS-сервисы, другие – в формате управляемого сервиса, где за всеми инцидентами и их устранением следит поставщик услуг. Чем более комплексное предложение у провайдера, тем более высока вероятность, что он сможет гарантировать 100% защиту – пусть и путем некоторого удорожания услуги. Но это оправданно, так как на каждый инвестированный рубль в ИБ приходится 100 рублей, сэкономленных на несработавших атаках.
-
Акцент не только на защите облака. При использовании облака, особенно если речь идет о гибридном проекте, где часть данных размещена локально, нельзя забывать про защиту границ на сетевом уровне. Злоумышленники перехватывают незашифрованный трафик, идущий от ЦОД клиента в ЦОД провайдера. Чтобы этого не произошло, используют специальные координаторы – «випнеты», устанавливаемые на границах сети и препятствующие несанкционированному доступу к данным.
Использование надежного и безопасного облака в комплекте с дополнительными средствами защиты позволяет свести к минимуму риски ИБ, решая целый пул задач – от перехода на гибридный формат работы персонала до ускорения процессов цифровизации. От «правильно приготовленного» облака вреда не будет, зато появится требуемая гибкость и скорость. Это подтверждает и Accenture, утверждая, что банки с помощью облака наращивают выручку в среднем в два раза быстрее конкурентов, не применяющих облачных технологии.
Читать еще:
Как построить ИБ в большой компании? Алексей Лукацкий, независимый эксперт
