Информационная безопасность в банковской сфере: специфика угроз и способы защиты

Финансовые организации являются главной мишенью для киберпреступников из-за концентрации капитала и личных данных физлиц. Успешная атака приводит не только к прямым убыткам, но и к катастрофическим репутационным потерям, отзыву лицензии и многомиллионным штрафам.

Современная информационная безопасность в банках — это не статья расходов, а стратегический актив, определяющий саму возможность ведения бизнеса в условиях ужесточающегося надзора и изощренных цифровых угроз, количество которых будет только увеличиваться. 

Угрозы информационной безопасности в банках эволюционируют, становясь комплексными и нацеленными как на технологии, так и на человеческий фактор. Сейчас ландшафт киберугроз характеризуется следующими ключевыми векторами:

1. Техногенные атаки на доступность (DDoS). Цель — парализовать онлайн-сервисы: интернет-банкинг, мобильное приложение, сайт. Атаки стали мощнее, умнее и часто используются как отвлекающий маневр для хищения средств или данных. Вместо простого «завала» трафиком применяются сложные методы, нацеленные на уязвимости конкретных банковских API и архитектур.

2. Мошенничество с применением социальной инженерии и вредоносного ПО. Это основной канал потерь для клиентов, а значит — и репутационных рисков для банка. Схемы включают:

• фишинг и вишинг: рассылка писем и СМС, имитирующих банковские, а также звонки от «службы безопасности»;

• установка троянов: например, мобильных банковских троянов типа «Анкур» или «Годзилла», которые перехватывают пароли, 2FA-коды и даже удаленно управляют устройством через опции для людей с ограниченными возможностями;

• скимминг — физическое считывание данных карт через установленные на банкоматы устройства.

3. Инсайдерские угрозы. Риски исходят не только от уволенных или недовольных сотрудников. Чаще встречаются сценарии, когда рядовые служащие, не понимая последствий, нарушают политику безопасности: поддаются на фишинг, используют слабые пароли, передают данные через незащищенные каналы. Умышленные действия — кража и продажа персональных данных клиентов (ПДн), — наносят максимальный ущерб.

4. Целевые атаки на операционные и технологические процессы (APT). Это сложные, многоэтапные кибератаки, часто спонсируются другими государствами. Их цель — длительное незаметное присутствие в сети банка для сбора информации, саботажа или будущей масштабной атаки. Например, компрометация систем управления финансовыми транзакциями (SWIFT) или биллинга.

5. Уязвимости в стороннем программном обеспечении и цепочке поставок. Банки зависят от сотен вендоров: процессинговые центры, сервисы скоринга, облачные провайдеры. Уязвимость в одном звене ставит под удар данные всех его клиентов. Отдельная проблема — устаревшее ПО, которое невозможно быстро обновить.

6. Атаки на интерфейсы прикладного программирования (API). Поскольку банки активно переходят на Open Banking и предоставляют услуги через API, эти интерфейсы становятся лакомой целью. Неправильно настроенная аутентификация, лимитирование запросов или логические ошибки в API могут привести к утечке данных и мошенническим транзакциям.

Для точного построения системы защиты необходимо четко определить банк угроз информационной безопасности и понять, какие активы наиболее уязвимы. Риски ИБ банков концентрируются вокруг нескольких ключевых систем и процессов, компрометация которых ведет к прямым финансовым и репутационным потерям:

1. Базы данных клиентов и транзакционные ядра. Это «золотой фонд» банка — структурированные массивы персональных данных, финансовой истории, биометрии. Их хищение приводит к колоссальным штрафам. Доступ к этим системам — конечная цель хакеров в большинстве атак.

2. Системы дистанционного банковского обслуживания (ДБО). В эту категорию входят интернет-банкинг для физических лиц, системы клиент-банк для юридических лиц и мобильные приложения. Они являются прямым каналом для мошеннических операций. Уязвимость здесь — например, слабая реализация многофакторной аутентификации, — открывает злоумышленнику прямой доступ к счетам.

3. Платежная инфраструктура и банкоматы. Это включает процессинговые центры, системы взаимодействия с национальными платежными системами (НСПК), сети банкоматов и POS-терминалов. Атаки направлены на кражу данных карт, подмену фискальных данных или прямую кражу денег через внедрение вредоносного ПО в сеть устройств.

4. Рабочие места сотрудников и внутренняя сеть (интранет). Любой компьютер рядового операциониста или бухгалтера — потенциальный входной пункт для атаки на всю сеть. Заражение через фишингое письмо дает злоумышленнику точку опоры для горизонтального перемещения к более ценным активам.

5. Интерфейсы взаимодействия (API) с третьими сторонами. В эпоху Open Banking API для интеграции со страховыми компаниями, маркетплейсами, финтехами — это новые «границы», которые необходимо охранять. Недостаточный контроль за их использованием ведет к утечке данных и несанкционированным списаниям.

6. Информационные системы, подпадающие под требования регуляторов. Особый риск информационной безопасности банка связан с системами, задействованными в выполнении ФЗ от 07.08.2001 №115-ФЗ. Сбои или компрометация систем мониторинга необычных операций могут привести к блокировке счетов регулятором и потере лицензии.

Информационная безопасность для вашего бизнеса

Аудит, правовое внедрение и сопровождение. Защитим персональные и коммерческие данные, подготовим к проверкам Роскомнадзора и снизим риск штрафов

Узнать подробнее

Соблюдение информационной безопасности в банковской сфере регулируется строгим многоуровневым надзором. Деятельность кредитных организаций контролирует комплекс государственных органов, каждый из которых фокусируется на своем сегменте защиты:

1. Банк России — ключевой отраслевой регулятор. Он устанавливает обязательные для исполнения стандарты, непосредственно формирующие систему защиты банка. Банк России также оценивает ИБ-риски в рамках инспекционных проверок и напрямую влияет на судьбу лицензии.

2. ФСБ — регулятор в области криптографической защиты, противодействия техническим разведкам и защите КИИ. ФСБ лицензирует деятельность, связанную со шифрованием и обработкой информации с использованием СКЗИ. Банки, которые считаются субъектами критической информационной инфраструктуры, обязаны исполнять приказы ФСБ по ее защите (ФЗ от 26.07.2017 №187-ФЗ). Также ФСБ через подразделения по борьбе с киберпреступностью принимает сообщения о компьютерных инцидентах.

3. Министерство цифрового развития, связи и массовых коммуникаций (Минцифры) — стратегический регулятор цифровой трансформации. Оно формирует государственную политику в IT-сфере, включая вопросы развития и безопасности. Банки должны учитывать его стратегии и методические рекомендации, особенно при внедрении новых технологий.

4. Роскомнадзор — регулятор в области персональных данных. Его требования основаны на ФЗ от 27.07.2006 №152-ФЗ. Банк, как оператор ПДн, обязан выполнять предписания по их легальной обработке, хранению и защите. Утечка данных клиентов почти гарантированно приведет к проверке Роскомнадзором и значительным административным штрафам. Регулятор также ведет реестр нарушителей прав субъектов ПДн.

5. Правоохранительные органы (МВД, Следственный комитет) — следствие и оперативная работа. Банк обязан взаимодействовать с ними при выявлении фактов мошенничества, хищений или иных киберпреступлений. Несоблюдение ФЗ № 115-ФЗ о противодействии отмыванию доходов может привести к уголовному преследованию руководителя.

6. ФСТЭК — регулятор технической защиты информации. Его сфера — сертификация средств защиты информации (СЗИ) и утверждение требований к безопасной настройке систем. Критически важно использование сертифицированных ФСТЭК средств криптографической защиты информации, межсетевых экранов, операционных систем при обработке определенных категорий данных. Банки обязаны следовать его приказам и методикам при построении защищенных ИТ-инфраструктур.

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Организационные меры — это фундамент, на котором строится вся система защиты банка. Они заключаются в создании регламентов, распределении ответственности и выстраивании процессов, соответствующих законодательству. Их цель — минимизировать риск информационной безопасности банка через четкие правила, а не только через технологии.

Что сюда входит:

1. Разработка и утверждение внутренних документов. Банк обязан иметь пакет организационно-распорядительных документов, который определяет политику информационной безопасности в банковской сфере. Это, прежде всего:

• Положение об информационной безопасности банка — основной документ, устанавливающий цели, принципы и распределение ролей между сотрудниками, у которых есть доступ к ПДн;

• регламенты и политики по отдельным аспектам: управление доступом, классификация информации, обеспечение непрерывности бизнеса. 

2. Создание системы управления доступом и подотчетности. Реализуется принцип «минимума привилегий». Каждому сотруднику предоставляется доступ только к тем ресурсам, которые необходимы для его работы. Обязательно ведется журнал учета и контроля действий пользователей в критичных системах, особенно при обработке персональных данных клиентов банка.

3. Внедрение процесса управления инцидентами ИБ. Банк создает Службу информационной безопасности (СИБ) или назначает ответственных лиц. Их ключевая задача — оперативное выявление, реагирование и расследование инцидентов. Процедура должна строго соответствовать законодательным требованиям. 

4. Регулярное обучение и проверка знаний сотрудников. Персонал — не слабое звено, а первый рубеж обороны. Обязательны регулярные тренинги по основам ИБ, правилам работы с данными, действиям во время внешних атак. Эффективность обучения проверяется тестами и смоделированными атаками.

5. Управление рисками сторонних поставщиков (аутсорсинга). Банк несет ответственность за безопасность данных, даже если их обработку осуществляет подрядчик. Необходимо проводить оценку информационной безопасности контрагента, включать соответствующие требования и гарантии в договоры, регулярно мониторить их выполнение.

6. Проведение регулярного внутренних и внешних проверок. Аудит информационной безопасности банка — это независимая проверка соответствия всех процессов и систем установленным требованиям. Внутренний аудит проводится силами, внешний — привлеченными организациями. Его итог — план устранения выявленных недостатков, что напрямую влияет на риск информационной безопасности банка.

Технические меры — это практическая реализация защитных барьеров, которые обеспечивают физическую и логическую неприкосновенность данных и систем. Они должны быть сформированы в единую систему информационной безопасности банка, работающую 24/7 и соответствующую жестким стандартам регуляторов:

1. Системы логического контроля доступа и строгой аутентификации. Для защиты информационной безопасности клиентов банка критически важна многофакторная аутентификация при доступе ко всем банковским системам, особенно к ДБО. Используются не только пароли, но и одноразовые коды, биометрия, аппаратные токены. Реализуется принцип «ноль доверия» — каждый запрос проверяется, независимо от его источника.

2. Шифрование данных на всех этапах жизненного цикла. Обязательное применение сертифицированных ФСБ СКЗИ. Шифрованию подлежат:

• конфиденциальные данные при передаче по сетям: протоколы TLS с российскими алгоритмами;

• данные на носителях и в базах: например, персональные данные, реквизиты карт;

• резервные копии.

3. Защита периметра и сегментация сети. Установка межсетевых экранов нового поколения, сертифицированных ФСТЭК, для фильтрации трафика между интернетом, внутренней сетью и критически важными сегментами (например, процессингом). Обязательная микросегментация для изоляции зон хранения платежных данных от пользовательских сетей.

4. Системы предотвращения и обнаружения вторжений (IPS/IDS), включая WAF. Глубокий анализ сетевого трафика и поведения приложений для выявления аномалий и известных векторов атак. Web Application Firewall (WAF) — обязательный элемент для защиты интернет-банкинга и API от эксплуатации веб-уязвимостей.

5. Централизованная система мониторинга и управления событиями ИБ (SIEM/SOAR). Это ядро системы информационной безопасности банка, требуемое регулятором. SIEM агрегирует и коррелирует события с всех источников (сети, серверы, приложения), выявляя инциденты. SOAR позволяет автоматизировать реагирование. Срок хранения логов — не менее 6 месяцев, для критичных операций — до 3 лет.

6. Средства защиты от вредоносного ПО и контроля конечных точек (EDR). На всех рабочих местах и серверах устанавливаются средства защиты, актуализируемые централизованно. EDR-системы позволяют не только обнаруживать, но и расследовать инциденты на конечных устройствах, блокируя подозрительную активность.

7. Технические средства контроля инсайдерских угроз и защиты данных (DLP). Системы DLP контролируют каналы передачи информации (почта, мессенджеры, внешние накопители) на предмет несанкционированной отправки конфиденциальных данных клиентов или внутренней документации.

8. Обеспечение отказоустойчивости и восстановления. Реализация технической отказоустойчивости критичных систем (кластеризация, балансировка нагрузки). Регулярное создание и криптографическая защита резервных копий с проведением обязательных тестовых восстановлений для проверки их целостности.

9. Безопасная разработка и анализ защищенности (DevSecOps). Внедрение практик безопасной разработки (SAST, DAST) для собственных и дорабатываемых банком приложений. Проведение регулярного пентеста (тестирования на проникновение) внешними аккредитованными организациями — требование стандартов Банка России.

Информационная безопасность для вашего бизнеса

Аудит, правовое внедрение и сопровождение. Защитим персональные и коммерческие данные, подготовим к проверкам Роскомнадзора и снизим риск штрафов

Узнать подробнее

Нарушение требований к информационной безопасности банка может стать причиной серьезных штрафов. Например, если вы будете использовать несертифицированные средства защиты информации или ИСПДн, могут оштрафовать на сумму от 50 000 до 100 000 рублей с конфискацией средств защиты информации или без таковой (ч. 2 ст. 13.12 КоАП). За нарушение других требований о защите информации штраф такой же, но применяется ч.6 ст.13.12 КоАП.

Самые серьезные штрафы предусмотрены за утечку, если по результатам проверки будет установлено, что банк не предпринял достаточные меры для защиты ПДн (ч.ч. 12–18 ст.13.11 КоАП):

1. Утечка ПДн от 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов (ч. 12): штраф от 3 до 5 миллионов рублей.

2. Утечка ПДн от 10 000 до 100 000 субъектов или от 100 000 до 1 млн идентификаторов (ч. 13): штраф от 5 до 10 миллионов рублей.

3. Утечка данных свыше 100 000 субъектов или от 1 млн идентификаторов (ч. 14): штраф от 10 до 15 миллионов рублей.

4. Повторные правонарушения, предусмотренные ч.ч.12–14 — оборотный штраф от 1 до 3% годовой выручки, но не более 20 и не более 500 млн рублей.

5. Утечка специальных категорий персональных данных (ч. 16) — штраф от 10 до 15 миллионов рублей.

6. Утечка биометрических персональных данных (ч. 17) — штраф от 15 до 20 миллионов рублей.

7. Повторное совершение нарушений, указанных в ч.ч.16 или 17 влечет штраф, рассчитываемый как от 1% до 3% от годовой выручки, но не менее 25 млн и не более 500 млн рублей.

Чтобы снизить риски, закажите аудит информационной безопасности. Это позволит выявить слабые места в вашей защите до проверки регуляторами и принять превентивные меры, минимизирующие вероятность утечек и последующих многомиллионных штрафов.

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFFy7RVS