Кибербезопасность в условиях электронного банкинга

Практическое пособие под редакцией П.В. Ревенкова

© Коллектив авторов, 2020

Авторы и рецензенты

Авторы

Бердюгин Александр Александрович – аспирант кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор более 20 научных работ, включая 1 учебное пособие и 1 коллективную монографию (глава 2)

Дудка Александр Борисович – кандидат экономических наук, доцент кафедры экономики и финансовой политики Омского государственного университета им. Ф.М. Достоевского, автор более 30 научных работ, включая 3 коллективных монографии (глава 7)

Конявская Светлана Валерьевна – кандидат филологических наук, автор более 150 публикаций, включая 8 книг (4 монографии, 1 учебное пособие, 2 методических пособия, 1 коллективная монография) и 2 патента. Заместитель генерального директора ОКБ САПР (глава 10)

Конявский Валерий Аркадьевич – доктор технических наук, автор более 300 работ, включая 12 книг (в т. ч. 3 учебных пособия), 33 патента. Имеет государственные, ведомственные и общественные награды. Лауреат премии и «золотой медали» имени В.М. Глушкова, академик РАЕН, академик АЭН РФ. Научный консультант ОКБ САПР (глава 10)

Назаров Игорь Григорьевич – кандидат технических наук, старший научный сотрудник, автор более 30 публикаций, включая 9 книг (2 монографии, 7 пособий). Действительный государственный советник 3-го класса, ветеран Вооруженных сил Российской Федерации, почетный сотрудник ФСТЭК России, награжден ведомственными наградами Минобороны России, ФСБ России и ФСТЭК России. Генеральный директор ОКБ САПР (глава 10)

Неваленный Александр Владимирович – независимый эксперт в области информационной безопасности, автор 10 научных работ, включая 2 коллективных монографии (глава 3)

Ожеред Игорь Вячеславович – преподаватель кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор 10 научных работ, включая 2 учебных пособия (глава 2)

Ошманкевич Ксения Романовна – аспирант кафедры государственного аудита Высшей школы государственного аудита (факультет) МГУ им. М.В. Ломоносова (глава 2)

Персанов Денис Юрьевич – директор по безопасности AD Group, автор 10 научных работ, включая 3 коллективных монографии (глава 3)

Пименов Петр Александрович – полковник полиции в отставке, сотрудничает с Московским университетом МВД России имени В.Я. Кикотя, автор более 20 научных работ, включая 2 учебных пособия и 1 коллективную монографию (глава 4)

Ревенков Павел Владимирович – доктор экономических наук, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор более 200 научных работ, включая 3 монографии, 2 учебных пособия и 4 коллективных монографии (главы 1, 2, 5–8)

Русин Лев Игоревич – эксперт в сфере проведения финансовых расследований, направленных на выявление и пресечение противоправной деятельности, связанной с неправомерным использованием инсайдерской информации и манипулированием рынком ценных бумаг, а также с легализацией (отмыванием) преступных доходов. Занимал различные должности в Следственном Комитете, Росфинмониторинге и Банке России (глава 9)

Силин Николай Николаевич – заместитель генерального директора FinTech Lab, приглашенный преподаватель программы «МВА – управление инвестициями» Банковского института НОУ «Высшая школа экономики», член Совета по финансово-промышленной и инвестиционной политике ТПП РФ, эксперт «Клуба «Валдай». Один из ключевых разработчиков концепции Форума инновационных финансовых технологий Finopolis, автор более 20 публикаций по тематике информационных, образовательных и бизнес-технологий (глава 11)

Фролов Дмитрий Борисович – доктор политических наук, кандидат юридических наук, советник генерального директора ФГУП «Российская телевизионная и радиовещательная сеть», член экспертного совета Комитета Государственной Думы по безопасности и противодействию коррупции, заведующий кафедрой «Организация технической эксплуатации сетей телевизионного и радиовещания» МТУСИ, автор более 120 научных работ, включая 4 коллективные монографии (глава 2)

Рецензенты

Дворянкин Сергей Владимирович – доктор технических наук, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, профессор кафедры «Комплексная безопасность критически важных объектов» РГУ НГ им. И.М. Губкина, профессор кафедры защиты информации (ИУ-10) МГТУ им. Н.Э. Баумана, академик, действительный член РАЕН. Автор более 200 научных работ и 5 изобретений, в том числе монографий, учебников и учебных пособий. Член Евразийской ассоциации экспертов в области кибербезопасности

Крылов Григорий Олегович – доктор физико-математических наук, кандидат юридических наук, профессор, заслуженный работник высшей школы, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, профессор кафедры «Финансовый мониторинг» Национального исследовательского ядерного университета «МИФИ», действительный член (академик) Российской академии транспорта и Академии военных наук. Автор более 300 научных работ, в том числе монографий, учебников и учебных пособий. Полковник в отставке, ветеран военной разведки, ветеран Вооруженных сил, ветеран труда

Принятые сокращения

АПМДЗ – аппаратно-программный модуль доверенной загрузки

АПО – аппаратно-программное обеспечение

АРМ КБР – автоматизированное рабочее место клиента Банка России

АС – автоматизированная система

БАС – банковская автоматизированная система

БКБН – Базельский комитет по банковскому надзору

БКИ – бюро кредитных историй

ВРБ – высшее руководство банка

ВрПО – вредоносное программное обеспечение

ГосСОПКА – Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак

ДБО – дистанционное банковское обслуживание

ДВС – доверенная вычислительная среда

ДСС – доверенный сеанс связи

ЕБС – Единая биометрическая система

ИБ – информационная безопасность

ИКТ – информационно-коммуникационные технологии

ИОК – инфраструктура открытых ключей

ИПС – изолированная программная среда

ИТ – информационные технологии

КА – код аутентификации

КИИ – критическая информационная инфраструктура

КП – ключ подписи

НКЦКИ – Национальный координационный центр по компьютерным инцидентам

НОИ – Национальный оператор идентификации

НСД – несанкционированный доступ

ОКФС – организация кредитно-финансовой сферы

ОС – орган сертификации

ПАК – программно-аппаратный комплекс

ПИБ – политика информационной безопасности

ПИН – персональный идентификационный номер

ПКО – подконтрольный объект

ПОД/ФТ – противодействие легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма

РКБ – резидентный компонент безопасности

РПВ – разрушающие программные воздействия

СБР – системный банковский риск

СВА – служба внутреннего аудита

СВК – служба внутреннего контроля

СВТ – средство вычислительной техники

СД – совет директоров

СДЗ – средство доверенной загрузки

СИБ – служба информационной безопасности

СКЗИ – средство криптографической защиты информации

СН – служебный носитель

СОДС – средство обеспечения доверенного сеанса связи

СУИБ – система управления информационной безопасностью

СФК – среда функционирования криптографии

СЭБ – система электронного банкинга

СЭДО – система электронного документооборота

СЭП – средство электронной подписи

ТБР – типичный банковский риск

УКЭП – усиленная квалифицированная электронная подпись

ЦОД – центр обработки данных

ЭБ – электронный банкинг

ЭБР – элементарный банковский риск

ЭлД – электронный документ

ЭП – электронная подпись

ЭСП – электронное средство платежа

ЭЦП – электронная цифровая подпись

AI – Artificial Intelligence

API – Application Programming Interface

CPS – Cyber-Physical Systems

DDoS – Distributed Denial of Service

DoS – Denial of Service

EBG – Electronic Banking Group

GAN – Generative Adversarial Network

GDPR – General Data Protection Regulation

IoE – Internet of Everything

IoT – Internet of Things

ISP – Internet Service Provider

ML – Machine Learning

OCC – Office of the Comptroller of the Currency

OCF – Open Connectivity Foundation

OFC – OpenFog Consortium

PaaS – Platform as a Service

PFM – Personal Financial Management

RPA – Robotic Process Automation

SCS – Social Credit Score

SWIFT – Society for Worldwide Interbank Financial Telecommunications

VPN – Virtual Private Network

XBRL – eXtensible Business Reporting Language

Вступительное слово

Банковский бизнес одним из первых начал использовать преимущества работы в киберпространстве, что обусловлено значительным сокращением затрат на осуществление операционной деятельности: нет необходимости содержать банковские офисы, а функции операциониста выполняет сам клиент с использованием компьютера, планшета или смартфона.

Однако наряду с очевидной привлекательностью такого способа проведения банковских операций появляется и немало дополнительных рисков (как у банка, так и у его клиентов), источниками которых являются виртуальный характер дистанционных банковских операций и постоянно возрастающая активность киберпреступников, ставящих основной своей целью незаконное завладение денежными средствами банков и (или) их клиентов, а также их персональными данными.

Киберпреступность, обладая высокой степенью латентности, остается одним из главных сдерживающих факторов распространения систем электронного банкинга в кредитно-финансовой сфере. В связи с этим развитие научных подходов к решению данных проблем, несомненно, будет способствовать своевременному принятию эффективных защитных мер, обеспечивающих безопасность работы в киберпространстве. Появление таких работ – это очередной шаг к детальному изучению всех особенностей предоставления как банковских, так и в целом финансовых услуг в киберпространстве.

Предлагаемая вашему вниманию книга написана профессионалами своего дела, имеющими большой практический опыт работы по обеспечению кибербезопасности как в регулирующих органах, так и в бизнес-структурах. Она может представлять интерес для студентов, аспирантов, обучающихся по специальностям «Информационная безопасность» и «Банковское дело», а также для преподавателей, работающих по данным специальностям, и всех читателей, желающих получить новые знания в области обеспечения кибербезопасности при использовании систем электронного банкинга.

Р.А. Прохоров,

Председатель Правления Ассоциации

«Финансовые инновации» (АФИ)

Предисловие

Технологии дистанционного банковского обслуживания (включая системы электронного банкинга) стали активно применяться (как в России, так и за рубежом) с начала третьего тысячелетия.

За 20 с небольшим лет системы электронного банкинга для многих людей стали привычным инструментом. Современный смартфон выступает не только как средство связи, органайзер, хранилище аудио- и видеофайлов, игровой компьютер, но и как удобное устройство, с помощью которого можно выбирать товары и услуги, заказывать билеты, а также моментально производить оплату своего выбора.

Для того чтобы любая технология получила широкое распространение, а самое главное – доверие со стороны клиентов, должны выполняться по крайней мере три условия:

– она должна быть легальной (т. е. иметь правовые основания для использования[1]);

– она должна быть безопасной (иначе сложно рассчитывать на доверие к ней со стороны клиентов);

– она должна «хорошо продаваться» (т. е. быть привлекательной для бизнеса – приносить прибыль).

Применяя такой подход к технологиям дистанционного банковского обслуживания, можно сказать, что с правовой точки зрения препятствий для внедрения и использования таких технологий почти нет. Однако есть некоторое отставание нормативной базы, регламентирующей банковскую деятельность, что в ряде случаев может привести к ослаблению контроля над кредитными организациями со стороны регулирующих органов.

В рамках обеспечения безопасности многие кредитные организации стараются использовать комплексный подход, применяя различные меры на всех этапах жизненного цикла систем электронного банкинга. Однако возрастающая активность киберпреступников, которые используют различные способы получения конфиденциальной информации (в т. ч. применяя методы социальной инженерии), и недостаточный уровень финансовой грамотности и киберграмотности граждан не позволяют считать технологии дистанционного банковского обслуживания в полной мере безопасными. Минимизировать сопутствующие риски можно только за счет успешного решения всех задач, связанных с должным уровнем кибербезопасности, как на стороне банков, так и на стороне их клиентов (при непосредственном участии всех регулирующих органов).

Добавим, что сегодня для развития технологий дистанционного банковского обслуживания (включая системы электронного банкинга) складываются достаточно хорошие условия. Повсеместно растет число клиентов, которые ежедневно пользуются одним из видов электронного банкинга, заметно улучшаются качество работы и безопасность самих банковских веб-приложений.

Возвращаясь к проблеме обеспечения кибербезопасности, можно сказать, что она является основной для успешного внедрения и распространения технологий дистанционного банковского обслуживания. Именно от уровня обеспечения кибербезопасности зависит доверие клиентов как к отдельным элементам систем электронного банкинга, так и ко всей банковской системе Российской Федерации.

Обеспечение кибербезопасности (или, другими словами, безопасности в киберпространстве) включает в себя целый комплекс организационных и технических мероприятий. Но помимо этого надо минимизировать сопутствующие риски, которые возникают при использовании технологий дистанционного обслуживания.

Данная коллективная монография – это попытка рассмотреть наиболее характерные источники рисков, возникающие в условиях применения систем электронного банкинга, и предложить меры по снижению возможных негативных последствий их проявления. Также мы попытались оценить возможные сценарии развития технологий и социального поведения, существенно влияющие на природу и масштабы таких рисков. Книга не претендует на полное рассмотрение всех возможных угроз и сопутствующих рисков, связанных с внедрением в кредитных организациях систем электронного банкинга, однако может оказать помощь менеджерам банков, специалистам риск-подразделений и служб внутреннего контроля в разработке внутренних методических документов, направленных на минимизацию возможных последствий проявления источников рисков, связанных с использованием систем электронного банкинга.

П.В. Ревенков,

доктор экономических наук,

профессор кафедры «Информационная безопасность» Финансового университета при Правительстве Российской Федерации

1. Электронный банкинг и риски недостаточного обеспечения информационной безопасности

В природе ничего не возникает мгновенно и ничто не появляется в свет в совершенно готовом виде.

Александр Иванович Герцен, русский прозаик, публицист, критик и философ

Введение

Настанет время, когда наши потомки будут удивляться, что мы не знали таких очевидных вещей.

Луций Анней Сенека, древнеримский философ

Электронный банкинг (ЭБ) – один из самых динамично развивающихся видов дистанционного банковского обслуживания (ДБО)[2]. Получив широкое распространение в Америке и Европе, ЭБ завоевывает и российский рынок.

Вот только самые известные преимущества, которые получает клиент кредитной организации, использующий для совершения своих банковских операций системы ЭБ (СЭБ):

– нет необходимости посещать банк лично и можно контролировать свои счета или управлять ими в режиме «24/7» (т. е. круглосуточно 7 дней в неделю);

– ряд кредитных организаций устанавливают продленный режим операционного дня и все платежи (зачисления и списания), поступившие в банк до 18:00 по московскому времени, исполняются банком в этот же операционный день;

– вся информация по счетам и операциям хранится на сервере кредитной организации и всегда доступна для пользователей СЭБ;

– для защиты информации используются современные средства криптографической защиты;

– разработчики большинства программных продуктов СЭБ производят обновление своих программ автоматически (не требуется обращения в кредитную организацию) [103, с. 172].

Внедрение данной услуги обходится кредитной организации относительно недорого и в дальнейшем быстро окупается только за счет абонентской платы.

Однако, несмотря на очевидную привлекательность такого способа совершения банковских операций, как у кредитной организации, так и у ее клиентов возникает немало дополнительных источников банковских рисков. Основными причинами этого являются:

– виртуальный характер дистанционных банковских операций;

– общедоступность открытых телекоммуникационных систем;

– предельно высокая скорость выполнения транзакций;

– глобальные масштабы межсетевого операционного взаимодействия;

– активное участие фирм – провайдеров услуг в проведении операций.

Таким образом, организации кредитно-финансовой сферы должны постоянно совершенствовать свои системы информационной безопасности, а специалистам риск-подразделений необходимо учитывать возможные последствия проявления рисков, связанных с работой в киберпространстве, и своевременно принимать меры по минимизации негативных последствий.

1.1. Интернет и банковский бизнес

Если новое поколение будет повторять устаревшие понятия, то как мы обеспечим быстрое движение вперед?

Иван Ефремов. Туманность Андромеды

Современный банковский бизнес невозможно представить без использования новейших достижений в области информационных и телекоммуникационных технологий. Технологии ДБО стали не только способом снижения себестоимости самих процессов выполнения банковских операций, но и основным конкурентным преимуществом любой кредитной организации на рынке банковских услуг.

Одним из условий повышения доверия к технологиям ДБО является обеспечение должного уровня информационной безопасности.

Перед тем как начать разговор о проблемах, связанных с безопасным применением различных систем ДБО (включая СЭБ), необходимо разобраться, что такое безопасность.

Безопасность (как самостоятельный объект исследования) имеет некоторые фундаментальные свойства:

1) безопасность никогда не бывает абсолютной – всегда есть некий риск ее нарушения. Таким образом, усилия по обеспечению безопасности реально сводятся к задаче понижения уровня риска до приемлемого;

2) измерить уровень безопасности невозможно, можно лишь косвенно его оценить, измерив соответствующие показатели, характеризующие состояние безопасности банка[3];

3) наступление всех рисковых событий предотвратить невозможно, можно лишь понизить вероятность наступления отдельных событий, то есть рисковые события будут наступать реже;

4) можно также понизить степень ущерба от наступления такого события, но при этом чем реже наступает рисковое событие, тем сильнее ущерб от него;

5) при любом несанкционированном вмешательстве в процесс принятия управленческих решений и обработки информации в первую очередь страдает ее безопасность.

Современный банк представляет собой комплекс, включающий в себя не только квалифицированный персонал, но и сложные автоматизированные системы, и одним из наиболее уязвимых элементов этого комплекса является банковская автоматизированная система (БАС).

Современные достижения в развитии информационных и коммуникационных технологий, в основе которых лежат возможности интернета, значительно повлияли на эволюционные процессы, связанные с формами проявления функции денег как средства платежа, и привели к формированию глобальной электронной среды для экономической деятельности за счет существенного снижения себестоимости банковских операций. Технологии ДБО можно рассматривать и как качественный аспект поступательного развития кредита[4].

Еще в конце прошлого века эксперты в области экономики стали говорить о новой среде – сетевой экономике (networked economy)[5]. Так, например, в докладе, подготовленном Европейской комиссией[6], глобальная сетевая экономика определяется как «среда, в которой любая компания или индивид, находящиеся в любой точке экономической системы, могут контактировать легко и с минимальными затратами с любой другой компанией или индивидом по поводу совместной работы, для торговли, для обмена идеями и ноу-хау или просто для удовольствия». Возникновение сетевой экономики приводит к эволюции современных экономических систем, развитию нерыночных механизмов регулирования и сетевых организационных структур [102, с. 539].

Новые возможности глобальной коммуникации между людьми дают им и новые инструменты для реорганизации форм их совместной деятельности.

Одним из самых эффективных способов модернизации инфраструктуры в экономике и создания сетевых институциональных структур является использование возможностей интернет-технологий.

Интернет-технологии не только быстро внедряются в политику, бизнес, государственное управление, но и трансформируют характер межличностных отношений в обществе (формируются виртуальные онлайновые сообщества, устанавливаются отношения информационного партнерства, осуществляется группировка пользователей по определенным информационным интересам). Все это приводит к тому, что общество привыкает к активному использованию современных информационных и коммуникационных технологий. Тенденция распространяется и на банковские услуги. Это свидетельствует о том, что мы имеем дело с самым быстрорастущим в истории человечества рыночным сообществом. Буквально за несколько лет все основные экономические виды деятельности были освоены интернетом: появились интернет-коммерция, интернет-реклама, интернет-банкинг и т. д.

Анализ трудов отечественных и зарубежных ученых позволил выявить ряд отличительных признаков всемирной паутины, способных существенным образом влиять на экономику:

– интернет втягивает в глобальную конкуренцию все компании и организации (в т. ч. коммерческие банки) независимо от места их расположения. Большинство кредитных организаций предоставляют одинаковый набор банковских услуг, поэтому выбор клиентов, как правило, связан с качеством их оказания и уровнем доверия к данному коммерческому банку;

– глобальная сеть значительно обострила конкурентную борьбу и потребовала от всех участников банковского рынка соответствовать международным стандартам (оформление веб-сайтов, поддержка нескольких языков, доступность и функциональность представительств в интернете и т. д.);

– целый ряд процессов, в том числе обслуживание и эксплуатацию аппаратно-программного обеспечения систем ДБО (включая СЭБ), можно передать на аутсорсинг. Веб-сайты многих кредитных организаций разрабатывали профессиональные компании, хорошо владеющие вопросами продвижения брендов и привлечения максимального числа клиентов;

– клиенты, использующие системы интернет-банкинга, более требовательны к качеству выполнения банковских операций, так как легко могут сравнить услуги банка с аналогичными услугами кредитных организаций – конкурентов (банки, значительно отдаленные друг от друга географически, в глобальной сети находятся «на расстоянии одного клика»);

– интернет позволяет выбирать коммерческие банки практически в любой стране и строить с ними взаимовыгодное сотрудничество для повышения эффективности и снижения издержек;

– стремительное развитие интернет-технологий не позволяет однозначно спрогнозировать все стратегические риски, связанные с ДБО;

– интернет ускоряет распространение новых технологий и идей. Коммерческие банки в любой стране, в том числе в развивающейся, могут с помощью глобальной сети отслеживать технологические инновации, получать информацию о новых банковских продуктах, используемых в Европе, Японии, Северной Америке, а также о новых проектах и действиях лидеров в каждом секторе банковского бизнеса – с точки зрения бизнеса национальные границы утратили былое значение;

– электронные банковские технологии требуют от коммерческих банков действовать «в режиме интернета» или «со скоростью интернета» – скорость становится одним из основных достоинств успешного бизнеса;

– технологии ДБО (включая СЭБ) позволяют оформлять первичные бухгалтерские документы намного быстрее;

– интернет является самым дешевым на сегодняшний день каналом обслуживания клиентов. Предоставление банковских услуг через интернет позволяет сократить служащих, которые ведут телефонные переговоры, оформляют банковские документы, консультируют клиентов по вопросам выполнения отдельных банковских операций, принимают различные претензии, предложения и др.[7];

– под интернет-проекты относительно легко получить инвестиции. Во многих странах инвестиции в интернет-проекты поддерживаются государством, так как, развивая интернет-технологии во всех отраслях экономики (включая банковский бизнес), страна выходит на новый качественный уровень;

– интернет-технологиям постоянно требуется ценный ресурс – человеческий талант: как в форме технических знаний и опыта, так и в форме управленческих ноу-хау. Самые ценные в конкурентном отношении активы организации – это лидерство в разработке ключевых технологий и кадры с уникальными опытом и знаниями.

Благодаря возможностям интернета сообщество людей стало преобразовываться в новую социально-экономическую формацию – глобальное информационное общество.

На данном этапе развития общества можно говорить об информационной революции, которая постепенно охватывает все страны, невзирая на их экономическое развитие и уровень финансовой грамотности населения.

Интернет изменил мир, и эти изменения возрастают в геометрической прогрессии. Трансформировались отношения людей, их общение, мировоззрение, поиск данных, а вместе с тем методы работы институтов и организаций. Каких-то 15 лет назад еще не было таких профессий, как разработчик архитектуры социальных сетей и руководитель цифровой рекламы. В последние годы в нашу жизнь ворвались, заняв в ней доминирующие позиции, Facebook, LiveJournal, YouTube, Twitter, Skype и многие другие интернет-продукты и социальные сети. Темпы развития этих технологий стабильно растут.

Многие банки сегодня рассматривают Facebook как важный источник информации, поскольку данная социальная сеть содержит огромное количество сведений о пользователях. Эти данные могут быть применены для оценки кредитных рисков и кредитоспособности клиентов.

Отметим одну особенность в поведении людей, которая связана с появлением интернета. Все больше людей предпочитают потреблять значительное количество маленьких фрагментов информации, а не целостный блок текста[8].

Зная об этом, западные информационные агентства на своих интернет-страницах иногда публикуют абзацы, состоящие из одного предложения. В маленьком фрагменте сложно (а чаще невозможно) передать много информации, но для совершения транзакции с помощью систем ДБО клиент и не должен читать длинные инструкции (они могут быть оформлены в виде аудио- или видеоролика).

Заметим, что информационные процессы в сознании человека, такие как обнаружение и интерпретация сенсорных сигналов, память, образы, мышление, и их изменения во времени представляют объект исследования когнитивной психологии. Поэтому серьезные компании, занимающиеся созданием программ для систем ДБО и пользовательских интерфейсов, основывают свои разработки на моделях, являющихся плодами когнитивной психологии.

По мере проникновения интернета в нашу жизнь растет популярность всевозможных мобильных устройств. Классические ноутбуки слишком громоздки, а планшеты еще не всегда обладают нужной функциональностью, поэтому и появляются все новые и новые миниатюрные лэптопы с сенсорными экранами.

Подобные устройства теперь не роскошь, а неотъемлемые компаньоны современного человека (в этом убеждаешься, когда забываешь дома мобильный телефон или планшетный компьютер).

Согласно докладу Антимонопольного центра БРИКС, количество интернет-пользователей в крупнейших странах по состоянию на март 2019 г. составило:

– 829 млн в Китае (первое место);

– 560 млн в Индии (второе место);

– 293 млн в Соединенных Штатах Америки (третье место);

– 109,5 млн в России (восьмое место)[9].

В декабре 2018 г. Международный союз электросвязи (ITU) представил отчет, в котором сообщил, что в интернет выходят 3,9 млрд человек, или 51,2 % населения планеты[10]. При этом в России 81 % граждан пользуются интернетом с той или иной периодичностью. То есть:

– 65 % выходят в сеть ежедневно;

– 14 % – несколько раз в неделю или месяц;

– 2 % пользуются интернетом крайне редко;

– 19 % не обращаются ни к каким интернет-ресурсам.

В первую очередь россияне заходят в интернет, потому что им это требуется для работы и учебы (44 %). Опрошенные стали реже искать через интернет новых знакомых, людей с близкими интересами (снижение с 16 % в 2014 г. до 4 % в 2018 г.).

Покупки через интернет ежедневно оформляют 2 % опрошенных (против 7 % в 2014 г.)[11].

Еще одно изобретение человечества в сфере высоких технологий – это «облака». Облачные платформы все чаще и успешнее используются для решения корпоративных и операторских задач. В целом применение облачных технологий позволяет:

– создать простую абстрактную среду, в которой пользователь может получить ресурсы по требованию, а компания – легче и быстрее внедрить новые приложения и услуги;

– отвлечь организацию от рутинных задач и сконцентрировать внимание на главных направлениях, выделяющих ее из конкурентной среды и значительно повышающих эффективность работы.

Нигерийская кредитная организация Renaissance Credit, образованная в октябре 2012 г., за первые полгода расширила клиентскую базу до 3 тыс. человек. Все информационные процессы компании (составление документов, работа с электронными таблицами и почтой, а также все банковские операции) происходят в «облаке», что позволило сократить штат HT-специалистов до одного человека[12].

По мнению экспертов компании Microsoft, в богатых странах банки с помощью облачных технологий уже начали обрабатывать данные, не содержащие значимой информации о клиентах, но требующие больших вычислительных мощностей. Испанский банк Bankinter использует облачную платформу Amazon для моделирования кредитных рисков: вычисления, выполнявшиеся на оборудовании самого банка за 20 часов, теперь занимают 20 минут. Также крупные банки задействуют «облака» для тестирования своих компьютерных систем, не подвергая себя опасности сбоев. Многие банки переконфигурируют свои системы в частные облачные платформы, что позволяет подключаться к облачным технологиям, находящимся в общественном доступе.

Разумеется, у широкого применения «облаков» есть свои недостатки, связанные прежде всего с безопасностью и защитой данных. Небольшим банкам крупные информационные центры, созданные такими компаниями, как Amazon и Microsoft, обеспечивают более высокий уровень безопасности, чем они сами могут себе позволить. Крупные банки, имеющие собственные вычислительные центры, опасаются передавать клиентскую информацию в посторонние руки. Кроме того, кража информации или сбой в работе банка, пользующегося «облаком», вызовет жесткую реакцию регулирующих органов. Некоторые страны настаивают на том, чтобы данные клиентов хранились в пределах национальных границ. Компании, предоставляющие облачные услуги, будут вынуждены строить небольшие информационные центры, снижая тем самым издержки. При этом такие компании из соображений безопасности стремятся не раскрывать местонахождение своих «облаков».

Впрочем, возможность повышения рентабельности делает переход банков на облачные технологии неизбежным, а указанные выше проблемы могут повлиять лишь на скорость данного процесса.

1.2. Основные виды мошенничества в интернете

Во всех странах железные дороги для передвижения служат, а у нас сверх того и для воровства.

Михаил Евграфович Салтыков-Щедрин, русский писатель

Благодаря развитию интернета появилась возможность совершения покупок, банковских переводов и платежей в режиме реального времени (онлайн). Несомненно, это позволило улучшить жизнь граждан, предоставив им новые, более современные сервисы. Однако вместе с ними возникли и новые способы мошенничества.

Наиболее активно мошенничество в интернете осуществляется в кредитно-финансовой сфере и сфере ритейла. Это обусловлено прежде всего тем, что в указанных сферах злоумышленники могут получить наибольшую материальную выгоду.

Самым распространенным способом совершения мошенничества в интернете является фишинг (phishing). Понимание данного явления постоянно изменяется, что усложняет процесс выявления и раскрытия правонарушений.

Так, можно привести несколько распространенных и широко используемых понятий:

1. Фишинг – способ мошеннических действий, при котором злоумышленник рассылает множество сообщений по электронной почте с целью получения личной и финансовой информации о потенциальных жертвах (для дальнейшего доступа к их банковским счетам и другим важным ресурсам).

2. Фишинг – информационная система, применяемая для получения от третьих лиц (пользователей системы) конфиденциальных сведений за счет введения этих лиц в заблуждение относительно ее принадлежности (подлинности) вследствие сходства доменных имен, оформления или содержания информации[13].

3. Фишинг – разновидность попыток несанкционированного доступа, когда жертву провоцируют на разглашение информации, посылая ей фальсифицированное электронное письмо с приглашением посетить веб-сайт, который на первый взгляд связан с законным источником[14].

4. Фишинг – мошеннические веб-сайты, веб-сайты, навязывающие платные услуги на базе SMS-платежей, веб-сайты, обманным путем собирающие личную информацию[15].

При анализе данного понятия можно заметить изменения в самом понимании процедуры фишинга.

Так, при применении первого понятия следует исходить из того, что фишинг осуществляется в виде сообщений, которые приходят якобы от банков, платежных систем, онлайн-аукционов, крупных и широко известных интернет-магазинов. Письмо создается, форматируется и оформляется таким образом, чтобы выглядеть как отправленное из легального источника. Причем подделываются заголовки письма, его внешний вид (включая графические и текстовые элементы), а также ссылки на реальный веб-сайт. В случае с интернет-банкингом письмо, как правило, содержит информацию о внезапно возникших технических проблемах на веб-сайте банка, в связи с чем необходима проверка учетных записей и регистрационных данных пользователей. Далее жертве предлагается открыть «регистрационную форму» и ввести интересующие мошенника данные. Так как эта регистрационная форма загружается не с веб-сайта банка, вся личная информация жертвы отправляется мошеннику (рис. 1).

Рис. 1. Регистрационная форма на веб-сайте лжебанка

Получив эти данные, мошенник распоряжается банковским счетом жертвы и кредитной картой, привязанной к этому счету, по своему усмотрению (рис. 2).

Приведем основные рекомендации для клиентов систем интернет-банкинга, помогающие определить действия интернет-мошенников[16]:

Рис. 2. Использование фальшивого веб-сайта для выманивания данных по кредитным картам

Данные по кредитным картам

– никогда не отвечать на запросы по электронной почте, касающиеся личной информации, данных банковских счетов, кредитных карт и паролей доступа;

– не переходить по ссылкам на интернет-ресурсы, присланным в сообщениях по электронной почте, а вводить ссылки в адресную строку веб-браузера самостоятельно;

– убеждаться, что при работе с веб-сайтом кредитной организации информация передается в кодированном (шифрованном) виде[17];

– регулярно проверять состояние баланса банковского счета (кредитной карты);

– немедленно сообщать уполномоченным сотрудникам кредитной организации о всех подозрениях на несанкционированный доступ к личной информации и злоупотребление ею.

Далее представлены несколько признаков, по которым можно определить, что произошло соединение с фальшивым веб-сайтом:

– невозможно просмотреть исходный текст веб-сайта[18];

– при использовании другого веб-браузера место адресной строки заметно отличается от привычного;

– при сворачивании окна веб-браузера на панель задач окно с адресом не сворачивается, а «зависает» в нижней части экрана;

– окно с адресной строкой ведет себя как самостоятельное окно Windows-задачи с возможностью перемещения по экрану монитора, но с тенденцией занять определенное место;

– адресную строку невозможно редактировать.

Второе же понимание термина «фишинг» значительно отличается от ранее рассмотренного.

При применении второго определения следует исходить из того, что данное противоправное деяние совершается с использованием домена (веб-сайта). Злоумышленник создает в интернете ресурс, который ввиду сходства информации или интерфейса должен создать у потребителя ложное представление о нахождении на легальном ресурсе. Противоправные деяния с использованием указанной схемы можно формально разделить на несколько категорий. Рассмотрим самые распространенные из них.

1.2.1. Лжебанки

Это одна из самых распространенных категорий фишинговых ресурсов. Недобросовестное лицо создает ресурс фиктивного банка и начинает привлекать денежные средства граждан и юридических лиц во вклады. Пользователь не задумывается о правомерности деятельности данного лица, поскольку интерфейс иногда схож с интерфейсом ресурса, принадлежащего реально существующему банку. Представленные фиктивные документы на ресурсы, такие как сканы лицензий и доверенностей, создают у потребителя впечатление, что банк является легальным (рис. 3).

На рис. 3–7 приведены примеры фиктивных банков[19].

В рамках проекта «Лжебанк» злоумышленники готовы предоставлять «лжекредиты». Потребитель обращается в фиктивный банк с просьбой предоставить ему кредит, псевдобанк якобы одобряет заявку и просит потребителя оплатить курьерскую доставку договора и перечислить страховую сумму. После внесения потребителем оплаты лжебанк, как правило, прекращает контакты с ним.

Рис. 3. Веб-сайт фиктивного банка (1)

Рис. 4. Веб-сайт фиктивного банка (2)

Рис. 5. Веб-сайт фиктивного банка (3)

Рис. 6. Веб-сайт фиктивного банка (4)

Рис. 7. Веб-сайт фиктивного банка (5)

Согласно статистике ФинЦЕРТ Банка России[20], за 2017–2018 гг. сняты с делегирования 489 веб-сайтов, которые выдавали себя за банки[21]. Количество ресурсов в данной категории позволяет сделать вывод, что злоумышленники активно используют наименования реальных банков и создают интерфейсы веб-сайтов, сходные с интерфейсами вебсайтов данных финансовых институтов. Необходимо отметить, что злоумышленники также активно создают сайты-клоны или сайты-двойники, что позволяет ввести пользователя в заблуждение.

Приведем перечень признаков фишинговых ресурсов данной категории:

1. Информация об организации отсутствует в справочниках/реестрах Банка России, размещенных на официальном веб-сайте Банка России.

На официальном веб-сайте Банка России (www.cbr.ru) размещены следующие информационные ресурсы, позволяющие уточнить наличие или отсутствие лицензии у банка:

– Книга государственной регистрации кредитных организаций;

– Справочник по кредитным организациям (http://www.cbr.ru/credit/main.asp).

2. Информация об организации отсутствует в соответствующих реестрах ФНС России и Роскомнадзора России.

Информацию об организации, представленной на веб-сайте, также возможно проверить в следующих реестрах:

– Едином государственном реестре юридических лиц, размещенном на официальном веб-сайте ФНС России;

– Реестре операторов, осуществляющих обработку персональных данных, размещенном на официальном веб-сайте Роскомнадзора России.

3. Веб-сайт не является официальным и не имеет никакого отношения к организации.

Третий признак – один из сложнейших. Вместе с тем данную информацию можно проверить на официальном веб-сайте Банка России с использованием Сведений об адресах веб-сайтов кредитных организаций Российской Федерации. Также отметим, что на сегодняшний день благодаря взаимодействию Банка России и «Яндекса» появилась маркировка банков и кредитных организаций, имеющих лицензию Банка России[22].

Создание веб-сайтов лжебанков стало одним из самых распространенных способов мошенничества на территории России, поскольку злоумышленникам не приходится точно копировать ресурсы реально действующих кредитных организаций: достаточно оформить на вебсайте вкладки с названиями «Кредит», «Вклады» и т. д. Данные наименования позволяют ввести пользователя в заблуждение и создать у него иллюзию, что он находится на веб-сайте действующего банка.

Потребителям необходимо обращать внимание на оформление ресурса: лжебанки, как правило, не утруждают себя размещением на официальном веб-сайте соответствующей документации, в некоторых случаях даже не указывают номер лицензии на осуществление операций. Указанные обстоятельства должны насторожить потребителя и заставить его проверить данную организацию. Фиктивные банки также активно привлекают людей с помощью почтовых рассылок или звонков на номера мобильных телефонов. В данном случае потребители должны быть бдительными и не разглашать свои конфиденциальные данные, которые могут быть использованы для хищения денежных средств.

1.2.2. Лжестраховщики

Появление возможности оформлять электронные полисы ОСАГО с использованием интернета не только облегчило жизнь автолюбителям, но и спровоцировало рост мошенничества в данной сфере.

Злоумышленник в рамках рассматриваемой категории действует различными способами:

– создает копию ресурса реально действующей страховой компании с предложением оформления электронных полисов ОСАГО;

– предлагает фальшивые или необеспеченные бланки страховых организаций.

Потребитель либо оплачивает лжеполис ОСАГО, либо оплачивает доставку и покупает фальшивые бланки.

Согласно статистике ФинЦЕРТ Банка России[23], за 2017–2018 гг. сняты с делегирования 164 веб-сайта, которые выдавали себя за субъекты страхового рынка.

Веб-сайт фиктивной страховой организации позволяет создать у потребителя иллюзию, что покупка бланка не влечет за собой негативных последствий. Вместе с тем, приобретая заведомо фальшивые, пустые и недействительные бланки, потребитель теряет возможность претендовать на страховое возмещение при наступлении страхового случая.

Фиктивная страховая компания привлекает потребителей стоимостью бланков: как правило, она на 60–70 % меньше, нежели стоимость действующего полиса реально зарегистрированной страховой компании.

Вместе с тем в данной категории мошенничества активно используется метод социальной инженерии, помогающий получить доверие потребителя.

На веб-сайты лжестраховщиков потребителей завлекают различными способами, такими как:

– всплывающая реклама в поисковых системах;

– SMS-рассылки и звонки на абонентские номера клиентов различных страховых компаний;

– запросы в поисковых системах.

Псевдостраховые компании становятся достаточно распространенными в России, поскольку потребитель старается сэкономить время и денежные средства при оформлении страхового полиса в надежде на то, что страховой случай не наступит.

Также на практике встречаются случаи, когда потребитель заказывает ту или иную страховую услугу, оплачивая ее переводом на карту лжестраховщика или на его счет. Лжестраховщик обязуется передать страховой полис или предоставить иную услугу в определенное время, но потребитель так и не получает полис или услугу.

В связи с этим потребитель должен не только обращать внимание на оформление и содержание ресурса страховой компании, но и проверять данную организацию в соответствующих справочниках и реестрах (Справочнике участников финансового рынка Банка России, перечне Российского союза автостраховщиков).

Отметим, что в соответствии с перечнем Российского союза автостраховщиков и информацией, размещенной на его официальном вебсайте, не все страховые организации уполномочены на оформление электронных полисов ОСАГО. Потребитель при переходе на веб-сайт страховой компании должен проверить следующее:

– наличие организации в Справочнике участников финансового рынка Банка России (http://www.cbr.ru/finmarket/nfo/cat_ufr/);

– присутствие веб-адреса в перечне Российского союза автостраховщиков (https://www.autoins.ru/e-osago/chleny-rsa-osushchestvlyayushchie-oformlenie-elektronnykh-polisov/).

На рис. 8-10 приведены примеры веб-сайтов фиктивных страховых компаний.

Рис. 8. Веб-сайт фиктивной страховой организации (1)

Рис. 9. Веб-сайт фиктивной страховой организации (2)

Рис. 10. Веб-сайт фиктивной страховой организации (3)

1.2.3. ПсевдоР2Р-переводы

Данная категория является одной из самых привлекательных для злоумышленников. Согласно статистике ФинЦЕРТ Банка России, за 20172018 гг. сняты с делегирования 209 веб-сайтов, которые выдавали себя за ресурсы, предоставляющие услуги по переводу денежных средств с карты на карту[24].

Привлекательность этой категории обусловлена простотой оформления информационного ресурса для хищения денежных средств. Злоумышленники получают конфиденциальные данные как платежной карточки, так и самого потребителя.

Простота оформления информационных ресурсов, предоставляющих услуги P2P-переводов, позволяет мошенникам достаточно легко их подделывать: оформляется изображение пластиковых карт, указываются эмблемы и наименования платежных систем или кредитной организации. Данные атрибуты позволяют сформировать у потребителя ложное представление, что он находится на веб-сайте реально действующей организации.

Интересным представляется тот факт, что пользователь передает злоумышленникам не только свои персональные данные, но и данные платежной карты третьего лица, которому он осуществляет перевод.

Данные ресурсы очень заманчивы для потребителей, поскольку предлагают услуги беспроцентного перевода или перевода с низким процентом между платежными картами разных банков или платежных систем.

Чтобы не допустить использование недобросовестных ресурсов, пользователь должен проанализировать следующие критерии применительно к веб-сайту:

– наличие на веб-сайте информации об операторе платежной системы;

– наличие организации в Реестре операторов платежных систем Банка России;

– использование защищенного соединения при осуществлении перевода[25].

При этом если на ресурсе указано, что услуги предоставляются какой-либо кредитной организацией, то необходимо проверить ее наличие в соответствующем перечне Банка России.

Также можно убедиться в достоверности партнерских (договорных) отношений данного ресурса и кредитных организаций или платежных систем, позвонив на официальный контактный номер платежной системы или кредитной организации с просьбой подтвердить сотрудничество с ресурсом.

Проверка ресурсов потребителем позволит обеспечить безопасность его персональных и платежных данных.

На рис. 11 и 12 приведены примеры веб-сайтов мошеннических организаций, которые предоставляют услуги по осуществлению псевдоР2Р-переводов.

Рис. 11. Веб-сайт мошеннической организации, осуществляющей фиктивные P2P-переводы (1)

Рис. 12. Веб-сайт мошеннической организации, осуществляющей фиктивные Р2Р-переводы (2)

1.2.4. Схемы с использованием страхового (закрепительного) платежа

В рамках этой категории мошенничества можно выделить два подвида:

– организация проводит псевдоопросы, за которые якобы полагается выплата денежных средств;

– организация предлагает выплату несуществующей компенсации.

В первом случае пользователь проходит опрос на веб-сайте. Как правило, опрос состоит из семи-десяти простых вопросов. После прохождения опроса ресурс якобы генерирует выигрыш и предлагает пользователю перевести денежные средства на его платежную карту. Вместе с тем с целью сохранения денежных средств и оформления их вывода ресурс предлагает пользователю заплатить закрепительный платеж. Сумма платежа обычно незначительна и составляет от 250 до 1000 руб. Пользователь, воодушевленный возможностью получить крупный выигрыш, соглашается на оплату небольшой, по его мнению, суммы и переходит на страницу оплаты.

Пользователь предоставляет злоумышленникам данные карт и персональные данные, что позволяет списать денежные средства с его платежной карты.

Вместе с тем мошенники развиваются и совершенствуются. Более изощренным является второй способ мошенничества: предоставление возможности получить якобы от государства неиспользованные страховые платежи за медицинские услуги. Как правило, на ресурсе размещается фальшивая документация Правительства Российской Федерации, якобы позволяющая осуществить возврат и выплатить компенсацию населению.

На данную категорию ресурсов пользователей активно завлекают за счет звонков и SMS-рассылок, в которых граждан убеждают в том, что компенсация предоставляется в рамках одной из федеральных программ и что она не подлежит огласке общественности, поскольку существует лимит по выплатам. Злоумышленникам необходимо привлечь потребителя и убедить его зайти на ресурс. На ресурсе предлагается заполнить специальную форму якобы для определения количества денежных средств и срока уплаты в соответствующий государственный фонд. В рамках данной формы пользователь передает мошенникам свои персональные данные, в том числе иногда скан паспорта. Веб-сайт якобы генерирует компенсацию, положенную пользователю, и так же, как в ситуации с опросами, предлагает оплатить страховой (закрепительный) платеж.

На рис. 13 и 14 приведены примеры веб-сайтов организаций, которые осуществляют описанную мошенническую деятельность.

Рис. 13. Веб-сайт организации, осуществляющей псевдоопросы, за которые якобы полагается выплата денежных средств

Рис. 14. Веб-сайт организации, предлагающей выплату несуществующей компенсации

Вместе с тем необходимо обратить внимание, что опросы могут проводиться и компенсации могут выплачиваться реально действующими организациями и государственными службами. Чтобы не стать жертвой мошенников, пользователь должен обратить внимание на следующие признаки, которые чаще всего указывают на мошеннический характер ресурса данной категории:

– перечисление денежных средств третьим лицам в счет оплаты;

– отсутствие организации в Едином государственном реестре юридических лиц;

– осуществление деятельности, не предусмотренной лицензией, разрешением.

Поиск данных признаков при обращении к различным ресурсам позволит снизить риски мошеннических действий в отношении потребителей. Пользователи того или иного ресурса должны быть осмотрительными и проверять размещенную на нем информацию.

1.2.5. Схемы быстрого обогащения: «Золотой поток» (Golden Stream), «Алмазный дождь» (Diamond Rain) и др

Речь идет о всевозможных пирамидах. Как правило, все начинается с того, что на электронный адрес потенциальной жертвы приходит письмо с предложением заработать большие деньги, участвуя в игре. Например, перечислив 100 руб. (такое предложение было в игре «Золотой поток»), можно заработать 1 млн руб. всего за 90 дней[26]. В ответ на пересылку 100 руб. жертва получает какую-нибудь дополнительную информацию или программу. Далее, как обещают организаторы, все зависит только от активности игрока: чтобы заработать свой миллион, он должен искать новых «участников», и чем быстрее, тем лучше.

Вариантов писем, которые начинаются с просьбы обязательно дочитать до конца и не сравнивать эту игру с другими, много. Однако принцип во всех этих схемах один: в начале игры жертва теряет некоторую сумму денег и все дальнейшие усилия тратит на компенсацию своих потерь, подыскивая новых «участников».

1.2.6. «Нигерийские письма»

Афера с «нигерийскими письмами»[27] – это современный вариант известного сотни лет назад мошенничества «Испанский узник», когда самозваные графы Монте-Кристо XVIII в., используя обычную почту, выманивали деньги у доверчивых людей, обещая им несметные сокровища, зарытые где-то в дальних странах.

Мошенники рассылают письма (в нашем случае по электронной почте, хотя может использоваться и обычная почта или факс), в которых содержится очень выгодное деловое предложение по переводу значительной суммы денег с африканского континента за рубеж под солидные комиссионные (до 40 %)[28]. От жертвы требуется совсем немного – предоставить свои личные данные в качестве гарантии сохранности денег и расчетный счет в банке для размещения средств [65].

Сценарии дальнейшего развития сюжета похожи на описанные выше. Под каким-либо предлогом мошенники просят перечислить незначительную сумму за оказание услуг. Это могут быть просьбы внести деньги на оплату услуг юриста, компенсировать стоимость пересылки каких-либо документов и т. д. Дальше злоумышленники, если у них есть необходимая информация для снятия денег со счета жертвы, опустошают ее счет, а могут и пригласить в какую-нибудь страну, где также, но уже с применением силы, отнимают все деньги.

Существует много разновидностей «нигерийской» аферы, но идея везде одна: требуется оказать помощь по переводу значительной суммы денег под очень высокий процент[29] (рис. 15).

Рис. 15. Пример «нигерийского письма»

1.2.7. Опасные инвестиции

Сущность данных афер заключается в предложениях инвестировать денежные средства в какое-нибудь дело (выпуск дорогостоящего продукта, ценные бумаги и т. д.). Проценты (очень высокие), как правило, начисляются каждый день (об этом инвестор может узнать на веб-сайте инвестиционного фонда). Но как только инвестор захочет взять свои деньги, у него, как и во всех перечисленных выше случаях, возникают проблемы: веб-сайт инвестиционного фонда исчезает или становится недоступен, а адрес электронной почты (зарегистрированный на одном из бесплатных почтовых серверов) оказывается безответным (рис. 16).

Рис. 16. Пример лжеинвестиционной компании

1.2.8. Виртуальная медицина

«Хватит переплачивать за лекарства – посетите наш магазин», – примерно такие сообщения с указанием веб-сайта приходят на многие адреса электронной почты. Практически все лекарственные препараты (более 97 %), которые реализуются через интернет-сайты, рекламируемые в спаме, являются контрафактными. Фальсифицированные таблетки производятся без надлежащего контроля качества и с нарушениями технологического процесса (при этом внешний вид и упаковка практически неотличимы от настоящих). Очевидно, что ничего кроме вреда такие препараты принести не могут.

Другой исход при обращении в подобные виртуальные аптеки – потеря денежных средств, отправленных в виде предоплаты за лекарства и доставку.

По статистике, на подобные веб-сайты заходят от 500 тыс. до 2 млн посетителей в месяц. Помимо опасности отдать преступникам свои деньги и приобрести контрафактные и некачественные лекарственные препараты здесь существует еще одна опасность. Открывая такие спам-письма, можно загрузить на компьютер вредоносную программу (червя[30], трояна[31] и др.), и в дальнейшем придется заниматься не только своим лечением, но и лечением компьютера.

1.2.9. Виртуальное трудоустройство

Организации, осуществляющие фиктивное устройство на работу, привлекают пользователей возможностью получить «легкие деньги». Пользователи, рассчитывая на быстрый заработок, передают злоумышленникам персональные данные, в том числе карточные, якобы для перечисления заработной платы. Нередки случаи, когда для «устройства на работу» предлагается оплатить страховой взнос для предоставления заказов или фиксирования выплат либо оплатить доставку трудового договора.

Интерфейс ресурсов данной категории, как правило, идентичен интерфейсу реальных ресурсов, что позволяет ввести пользователя в заблуждение относительно получения дохода (рис. 17).

Рис. 17. Веб-сайт организации, осуществляющей фиктивное устройство на работу

Один из вариантов схемы – предложения работы в интернете (на дому), например «виртуальным бухгалтером». Будущему работнику предлагают заниматься определенными посредническими услугами не больше 2–3 часов в день и получать заработную плату около 400 долларов. Чаще всего работать предлагают с системой WebMoney Работодатель открывает для работника счет (кошелек) и получает для него аттестат. Владельцем счета является работодатель. Работа заключается в том, чтобы осуществлять денежные переводы (WMZ[32]). Все переводы (их бывает от 30 до 50 в день) нужно совершить в течение суток. В среднем на один перевод затрачивается 2–3 минуты. Предложение достаточно заманчивое (как, впрочем, и все те, которые были описаны выше), только работодатель просит перевести 7 долларов (7 WMZ) на получение аттестата (своего рода компенсация затрат работодателя на случай отказа работника продолжать сотрудничество).

Конечно, 7 долларов – не такая уж большая сумма, но на это и рассчитана данная афера. После того как жертва перечислит деньги на получение аттестата, связь с ней прекратится.

Кстати, если потенциальный работник представится опытным пользователем интернета, знакомым со всеми платежными системами, и сообщит, что имеет счет в платежной системе, в которой предстоит работать, а также персональный аттестат и хорошо знает, как работать с денежными переводами, то, скорее всего, мошенники сразу оставят жертву в покое. Такие «кадры» им не нужны.

Ниже приведены несколько признаков, по которым можно определить, что работу, скорее всего, предлагают мошенники:

– расплывчатые описания вакансий;

– неясные требования к работникам;

– бесплатное обучение;

– слишком высокая заработная плата;

– обширный социальный пакет;

– анонимный абонентский ящик или адрес электронной почты в качестве реквизитов;

– гарантия трудоустройства.

1.2.10. Горячие торговые точки

Интернет-магазины сегодня привлекают покупателей своими ценами (за счет экономии на аренде помещений), а также возможностью удобной доставки. Но и среди них бывают магазины с такими низкими ценами, что это выделяет их из общего ряда. Причем продавец обосновывает эти цены, иногда совсем не скрывая таких фактов, как «товар краденый», «товар конфискованный» и т. п.

Поэтому если жертва и решит купить такой товар, то вряд ли потом пойдет жаловаться, так как по сути является соучастником преступления (скупка краденого).

Схема мошенничества в данном случае прежняя: как только покупатель переводит деньги на счет продавца, связь с ним прекращается (веб-сайт магазина перестает работать, электронная почта не отвечает).

В общем случае все мошеннические интернет-магазины можно разделить на два вида:

– магазины, которые продают несуществующий товар;

– магазины, которые доставляют не тот товар, который представлен на веб-сайте.

Оформление и содержание ресурса заставляют пользователя думать, что данный веб-сайт принадлежит действующей организации (рис. 18).

Рис. 18. Веб-сайт фиктивного интернет-магазина

Для того чтобы обезопасить себя, потребителю необходимо проверить информацию об организации, указанной на веб-сайте, которая предоставляет товары или услуги. Данную информацию можно проверить на официальном веб-сайте ФНС России в разделе «Единый государственный реестр юридических лиц».

1.2.11. Сетевое попрошайничество

Если раньше большинство попрошаек можно было встретить на городских площадях и вокзалах, то теперь появился целый класс сетевых попрошаек, которые обращаются за помощью посредством интернета, выпрашивая деньги под разными предлогами: на срочную и дорогую операцию, чтобы избавиться от угроз вымогателей, погасить кредит и т. п.

Можно встретить сообщения о внезапно возникших проблемах в платежной системе WebMoney[33], для решения которых администратор просит перечислить какую-то сумму на свой кошелек. Причем если клиент, к которому обращается администратор, не перечислит деньги, в дальнейшем он не сможет воспользоваться своим кошельком (т. е. своими деньгами).

К сожалению, есть случаи, когда люди, особо не вдумываясь в суть происходящего, перечисляют свои деньги и потом узнают, что обращение поступило от мошенника, а не от администратора системы WebMoney.

Пользователям можно порекомендовать ни в коем случае не перечислять свои деньги до тех пор, пока не пришло подтверждение достоверности полученного сообщения.

Пример мошеннического сообщения приведен на рис. 19.

Рис. 19. Пример мошеннического сообщения

Одним из способов попрошайничества является отправка SMS якобы от родственников с просьбой перечислить денежные средства (рис. 20). В данном случае мошенники играют на чувствах потерпевших, вводят их в заблуждение. Часто в таких SMS сообщается о сложной жизненной ситуации, аварии или смерти кого-либо. Потерпевший должен быть бдительным, не поддаваться эмоциям и все проверить. При наличии возможности необходимо самостоятельно связаться с родственником, от которого якобы пришло сообщение. Следует также известить оператора связи о получении такого SMS.

Рис. 20. Пример мошеннического сообщения, поступившего якобы от родственника

Другим распространенным видом SMS-мошенничества является направление сообщения о том, что якобы на счет мобильного телефона жертвы ошибочно перечислена некая сумма, которую необходимо вернуть (рис. 21). Потенциальный потерпевший должен проверить баланс телефона, позвонить оператору связи и уточнить данные.

Рис. 21. Пример мошеннического сообщения о якобы ошибочном пополнении баланса телефона

1.2.12. Ботнеты[34]

Термин «бот» появился намного раньше, чем его стали использовать для обозначения компьютерного вируса и инструмента для атаки на компьютеры и сети. В IRC-сетях он до сих пор обозначает специальную программу, которая замещает собой живого человека и может поддерживать активность на IRC-канале даже в то время, когда к нему не подключен ни один из пользователей. Бот может контролировать и модерировать содержание бесед на канале, удалять посетителей, которые нарушают принятые правила поведения, и т. д. Это своего рода вариант искусственного разума.

Однако бот в арсенале хакера способен доставить серьезные проблемы. Хакеры могут находить через интернет незащищенные компьютеры и загружать на них специальные программы, которые будут по их команде выполнять различные действия (такие как рассылка спама или участие в DDoS-атаке[35]).

В качестве защиты от подобного заражения можно порекомендовать хороший мощный анализатор сетевого трафика, который позволит выполнять диагностику, идентификацию и перенаправление всего подозрительного интернет-трафика. Можно также использовать программное обеспечение для фильтрации пакетов, комбинируя его со специальными техническими и аппаратными средствами, которые устанавливаются между маршрутизаторами и межсетевыми экранами.

Достаточно эффективный способ решения этих проблем разработало правительство Австралии. Во взаимодействии с пятью крупнейшими интернет-провайдерами страны оно создало технологию и программу для своевременного обнаружения компьютеров-зомби и принятия оперативных мер по их блокировке. В большинстве случаев владельцы своих компьютеров даже не представляли, что участвовали в DDoS-атаке или что с их IP-адреса рассылался спам.

1.2.13. Сетевые банды

Одной из тенденций сегодняшнего дня является заметный рост числа новых компьютерных вирусов, червей и троянских программ. Троянские программы не могут рассылать себя по интернету самостоятельно, подобно компьютерным вирусам, так что масштабы их распространения должны быть меньше, чем у вирусов. Но на самом деле троянских программ и пораженных ими компьютеров с каждым годом становится все больше. Специалисты компании Sophos[36] сделали вывод, что такая ситуация стала следствием активности профессиональных преступников.

Криминальные группы, которые ранее занимались исключительно мошенничеством с банковскими картами, начали объединяться и все более тесно сотрудничать с создателями компьютерных вирусов, спамерами и группами безжалостных хакеров.

Приведенные примеры мошенничества в интернете ни в коем случае нельзя считать исчерпывающим перечнем ухищрений компьютерных злоумышленников.

К сожалению, во всемирной паутине, которая по своей сути является неуправляемой средой, постоянно возникают все новые и новые угрозы со стороны хакеров.

И от того, насколько своевременно будет построена защита от этих угроз, зависит доверие клиентов кредитных организаций к технологиям ДБО (включая СЭБ).

В условиях ДБО кредитные организации вынуждены существенно повышать уровень обеспечения информационной безопасности, так как основные атаки киберпреступников направлены именно на тех клиентов банков, которые осуществляют свои операции удаленно (т. е. вне офиса).

Очевидно, что абсолютной защиты от угроз для ДБО не существует. Компьютерные злоумышленники в состоянии взломать практически любую систему[37].

Однако непрерывная работа по поддержанию достаточного уровня информационной безопасности может сильно осложнить и (или) свести к минимуму возможности кибермошенников.

Масштабы кибермошенничества заставляют серьезно относиться к данному виду преступлений. Так, например, в июне 2012 г. новостные агентства распространили информацию о задержании преступной группы, включая ее организатора[38], который вместе со своими сообщниками похитил из систем ДБО более 150 млн руб.

По словам генерального директора компании Group-IB[39] Ильи Сачкова, принимавшего участие в расследовании деятельности данной преступной группы, это самая большая по численности участников киберпреступная группировка в России из тех, о которых известно специалистам по информационной безопасности[40]. В течение 2011 г. работала целая группа технических специалистов: заливщиков (распространителей вредоносного программного обеспечения), специалистов по шифрованию, администраторов, обслуживавших бот-сети, и других.

На протяжении последних нескольких лет, по данным Group-IB, мошенники использовали зарекомендовавшую себя в хакерских кругах троянскую программу Carberp[41].

Обобщая наиболее распространенные схемы совершения киберпреступлений в системах ДБО, можно выделить два способа.

Если сумма украденного составляет не более 1–1,5 млн руб., то деньги выводят сразу на пластиковые карты так называемых дропов (специально нанятых владельцев банковских карт, которые занимаются обналичиванием похищенных денег). Обычно в течение 15 минут после того, как деньги поступили на карточные счета, дропы обналичивают их через банкоматы и затем отдают своим нанимателям (рис. 22).

Рис. 22. «Простая» схема – примерно до 1,5 млн руб.

Если суммы крупнее, используются более сложные схемы обналичивания. Они применяются обычно при хищении средств в объеме от 1 до 5 млн руб.

В этом случае деньги предварительно переводят на счет юридического лица. Дальше сумму могут раздробить и распределить по другим счетам, чтобы сильнее запутать следы (рис. 23).

Группы мошенников, специализирующиеся на обналичивании, оставляют себе минимум 50 %.

Такой большой процент объясняется тем, что хищению предшествует длительный период подготовки. «Обнальщики» и похитители договариваются заранее.

К моменту хищения у «обнальщиков» уже все готово: создано подставное юридическое лицо, открыт счет в банке и выпущены карты, которые раздали дропам.

Современные условия позволяют любому юридическому лицу удаленно создать «зарплатный проект». Условно говоря, представитель компании сообщает в банк: у нас работает 15 человек, нам нужны зарплатные карты.

Рис. 23. «Сложная» схема – примерно до 5 млн руб.

Далее банку предоставляются паспортные данные «сотрудников», и тот выпускает карты. Паспортные данные берутся у тех же дропов или покупаются на хакерских форумах.

Кибермошенники чаще прибегают к помощи «обнальщиков», чем самостоятельно разворачивают дроп-проекты[42].

В последнее время участились кражи из электронных платежных систем. Схемы примерно те же, только деньги выводятся либо на другие кошельки, либо опять же на банковские карты.

Исходя из проведенного нами исследования, можно сформулировать следующие общие рекомендации для граждан:

– быть бдительными и проверять не только веб-сайты организаций, предоставляющих финансовые услуги, но и информацию, получаемую в SMS;

– не сообщать свои персональные данные, в том числе карточные данные, неизвестным третьим лицам;

– не переводить денежные средства в пользу третьих лиц без соответствующей проверки информации;

– если денежные средства все-таки похищены, незамедлительно сообщить в уполномоченные организации (в полицию, банк, оператору связи и т. д.).

Только бдительность и применение мер безопасности могут уберечь от хищений денежных средств.

1.3. Актуальные направления регулирования в условиях электронного банкинга

Никакой транспорт не будет попутным, если не знаешь, куда идти.

Эдгар Аллан По, американский писатель, поэт, эссеист, литературный критик и редактор

Распределение ответственности в сфере применения технологий ДБО в связи с вступлением в действие ст. 9[43] Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] – наиболее острый вопрос, требующий доработки и четкого понимания обеими сторонами (банками и их клиентами). В действующей редакции большая часть ответственности переходит на кредитные организации, поэтому становятся понятны их многочисленные обращения к регулятору с просьбой выстроить сбалансированную справедливую систему, в которой все участники защищены и имеют возможность получить необходимую информацию.

Суть обращений сводится к тому, что каждая из сторон должна нести ответственность за свои действия (или бездействие) в пределах, не превышающих ее физические возможности, а также не должна допускать неотвратимого и безнаказанного причинения ущерба другой стороне.

Напомним, что коммерческие банки, работая в условиях жесткой конкуренции, не заинтересованы расходовать на обеспечение информационной безопасности больше средств, чем конкуренты. Информационная безопасность всегда связана с затратами для кредитных организаций, неудобствами для банковского персонала и клиентов. Что касается клиентов, то они обращают больше внимания на удобство банковских услуг, чем на их безопасность.

Поэтому кредитным организациям нужен разумный компромисс, который строится на нескольких базовых принципах организации информационной безопасности:

– стоимость защиты не должна превышать стоимости защищаемых информационных ресурсов;

– банк и клиент должны выйти на такой уровень защиты транзакций, когда для клиента защита еще удобна и приемлема по стоимости, а злоумышленнику уже невыгодно совершать преступление из-за высоких расходов на преодоление защиты.

Наряду с очевидными преимуществами СЭБ принесли в банковский бизнес дополнительные риски (рис. 24). А если говорить точнее, то количество типичных банковских рисков[44] осталось прежним, а вот их техническая составляющая значительно возросла.

Рис. 24. Дополнительные источники банковских рисков в условиях применения СЭБ

Непрерывность выполнения банковских операций стала во многом зависеть:

– от различных сбоев в аппаратно-программном обеспечении (АПО) СЭБ;

– качества и надежности каналов связи;

– наличия резервных источников электропитания;

– качества архивации данных об операциях с использованием СЭБ;

– недостатков в обеспечении информационной безопасности конфиденциальных сведений.

Однако необходимо хорошо понимать, что, применяя современные технологии и средства, мы можем осуществить те или иные процедуры удобнее, быстрее и в гораздо больших объемах, но при этом не надо рассчитывать на чудеса – за все надо платить. И если регулирование в области ДБО (включая услуги ЭБ) будет отставать от появления и распространения новых источников типичных банковских рисков, то «удобнее, быстрее и в больших объемах» в целом будет дороже. В первую очередь возрастают затраты на обеспечение безопасности данного способа оказания банковских услуг, так как кредитные организации будут вынуждены учитывать не только внутрибанковские риски, но и риски, возникающие на стороне клиента и различных провайдеров (например, интернет-провайдеров в случае интернет-банкинга, сотовых операторов в случае мобильного банкинга)[45].

По мнению авторов, на сегодняшний день есть четыре причины, по которым применение СЭБ нуждается в дополнительном регулировании:

1) расширение профиля операционного риска в условиях ЭБ;

2) значительный рост числа киберпреступлений в финансовой сфере (включая хищения денежных средств в СЭБ);

3) использование СЭБ в схемах, направленных на легализацию преступных доходов (или, другими словами, отмывание денег);

4) недостаточная подготовка сотрудников коммерческих банков по вопросам обеспечения информационной безопасности и управления сопутствующими рисками в условиях ЭБ.

Рассмотрим каждую из выделенных проблем более подробно.

1.3.1. Управление операционным риском

Причиной повышенного внимания к операционному риску стал выход соглашения Базельского комитета по банковскому надзору (БКБН) «Международная конвергенция измерения капитала и стандартов капитала: новые подходы» – Basel II. Соглашение Basel II является одним из наиболее актуальных нормативных актов, регулирующих банковский сектор. Оно предъявляет требования к минимальному размеру банковского капитала, на основании которых кредитные организации обязаны оценивать операционные, рыночные и кредитные риски, а также резервировать капитал на их покрытие.

Basel II трактует операционный риск как риск убытков, возникающий в результате неадекватных или ошибочных внутренних процессов, действий сотрудников и систем или в результате внешних событий.

В качестве возможных проявлений операционного риска можно выделить следующие типы событий:

– внешние воздействия (наводнения, пожары, аварии и т. п.);

– внутренние и внешние мошенничества;

– ошибки персонала;

– сбои в реализации бизнес-процессов и обслуживании клиентов;

– физический ущерб активам;

– сбои информационных систем;

– нарушение процессов обработки и хранения данных.

Требования, предъявляемые документами Basel II, были дополнены в документах Basel III, в том числе и в отношении операционного риска.

Отметим, что БКБН рекомендует привлекать к процессу управления рисками, возникающими при внедрении СЭБ в кредитных организациях, не только риск-подразделения, но и совет директоров, высшее руководство банка, а также топ-менеджеров банка.

Операционный риск является одним из основных типичных банковских рисков, на который в большей степени оказывают влияние СЭБ.

Он определяется как вероятность образования убытков и (или) неполучения прибыли вследствие сбоев в выполнении каждодневных, рутинных банковских операций. Применительно к ЭБ выделяются три главные зоны операционного риска:

1) функционирование системы безопасности;

2) привлечение сторонних организаций к предоставлению некоторых видов электронных банковских услуг (аутсорсинг);

3) освоение новых технологий сотрудниками банка [78, с. 499].

В первом случае речь идет о том, что возможны нарушения в процессах электронного хранения, передачи и обработки информации (искажение, уничтожение, перехват данных или злоупотребление ими в результате технических неполадок, действий хакеров, ошибок или мошенничества персонала и клиентов) и отказы в функционировании банковских информационных систем (возникновение перегрузок из-за недостаточной мощности аппаратно-программного обеспечения и целенаправленных DoS-атак на веб-серверы банка).

Вторая потенциально подверженная операционному риску сфера становится в последнее время весьма значимой. Предоставление банковских услуг в области информационных технологий посредством специализированных фирм (в первую очередь банки сотрудничают с компаниями по разработке прикладных программ) позволяет сократить инвестиционный бюджет и избежать найма дорогостоящих специалистов, что особенно важно для небольших финансовых учреждений. В то же время банки оказываются в определенной степени зависимыми от подобных партнеров, а общий уровень банковского обслуживания начинает определяться результатами работы нескольких, нередко никак не связанных между собой, компаний, сотрудники которых могут и не обладать достаточными знаниями о специфике банковского дела.

Наконец, ускорение процесса модернизации информационных систем повышает требования к адаптационным способностям персонала банков и увеличивает опасность возникновения трудностей при переходе ко все более сложным интегрированным электронным решениям. Довольно часто внедрение более «умной» и производительной технологии оборачивается для работников и клиентов банков значительными проблемами[46].

Смысл управления операционным риском заключается в прогнозе периодичности различных сбоев и нарушений непрерывности функционирования аппаратно-программного обеспечения СЭБ и оценке величины вероятных убытков. Отметим, что у потерь есть и положительная сторона – они вскрывают слабые места и открывают новые возможности. Поэтому самая большая ошибка – сокрытие нежелательного инцидента. Даже после того, как устранены рисковая ситуация или последствия неблагоприятного события, нельзя оставлять произошедшее в тайне: гораздо лучше использовать инцидент в качестве наглядного урока для других сотрудников.

Формы проявления операционного риска в условиях ЭБ могут быть самыми разнообразными. Однако все они вызваны, как правило, несоответствием определенных процедур требованиям законодательства, несоразмерностью технических возможностей СЭБ и объема бизнеса, техническими сбоями и отказами оборудования, непреднамеренными или умышленными действиями персонала и внешних субъектов, что отвечает классическому определению операционного риска.

Минимизировать операционный риск в условиях ЭБ можно с помощью общепринятых стратегий:

– принятие риска (отказ от превентивных мероприятий, воздействие на источники риска, самострахование (в т. ч. через кэптивные страховые компании), диверсификация активов и т. д.);

– полная или частичная передача риска (страхование, хеджирование, синдицирование и т. п.);

– избежание риска (отказ от применения конкретной системы, профилактика как устранение источников риска и пр.).

1.3.2. Противодействие киберпреступлениям в финансовой сфере

Следующая проблема связана с возрастанием активности киберпреступников, чьи усилия направлены на хищение денежных средств клиентов банков, использующих для выполнения своих операций СЭБ.

На конец 2019 г. было известно об активности 38 групп, кампании которых затрагивают все регионы мира. Аналитики Group-IB изучают в основном группы из России, Северной Кореи, Пакистана, Китая, Вьетнама, Ирана, США, ОАЭ, Индии, Турции, региона Южной Америки. К 2022 г., по прогнозу Всемирного экономического форума, сумма планетарного ущерба от кибератак вырастет до $8 трлн[47].

По статистике компании Group-IB, объем российского рынка киберпреступности во второй половине 2018 г. – первой половине 2019 г. составил почти 510 млн руб. (примерно $8 млн; снижение на 85 % к прошлому периоду)[48]. Из отчета МВД России «Состояние преступности в России»[49] следует, что за январь-октябрь 2019 г. в стране было зарегистрировано 2376 преступлений в сфере компьютерной безопасности.

Компьютерные злоумышленники сегодня совсем не похожи на тинейджеров, получивших первоначальные знания с хакерских веб-сайтов, а представляют собой специалистов с достаточно высокой подготовкой в области информационных технологий и в финансовых вопросах. Причем большинство из них действуют в составе организованных преступных групп. Сегодня доходы от компьютерных преступлений значительно превышают доходы, получаемые от продажи оружия и наркотиков.

Очевидно, что в будущем угрозы не станут проще. Уже сегодня многие атаки – это комбинации различных методик. Использование только традиционных систем, таких как сигнатурные антивирусы, не дает возможности адекватно защищаться от современных типов атак. Кредитные организации, которые защищаются только от известных угроз, всегда рискуют, поскольку атакующие продолжают создавать новые техники атак.

1.3.3. Противодействие использованию систем электронного банкинга в схемах, направленных на легализацию преступных доходов

Следующая проблема, связанная с применением СЭБ, заключается в активном привлечении данных систем к процессу легализации преступных доходов. В последнее время отмывание денег стало одной из основных международных проблем, к решению которой привлечены ведущие страны мира. Процедура отмывания денег имеет решающее значение для функционирования практически всех форм транснациональной и организованной преступности. Различные меры экономического характера, призванные исключить или ограничить возможность использования преступниками полученных незаконными путями доходов, представляют собой важнейший и действенный компонент программ по борьбе с преступностью. Приведем лишь некоторые факторы, способствующие отмыванию денег:

– высокая доля неофициальных доходов населения и бизнеса (существование параллельной экономики и (или) «черного рынка»);

– несовершенство механизмов контроля и мониторинга деятельности кредитных организаций;

– несоблюдение международных стандартов регулирования финансовой деятельности, разработанных специализированными международными организациями;

– распространение коррупции в различных органах власти;

– законодательное закрепление тайны финансовых операций;

– широкое использование предприятиями и банками операций с вовлечением офшорных компаний и др.

Как правило, в процесс отмывания денег включается целый ряд операций, направленных на сокрытие источника финансовых активов, но все они входят в одну из трех составляющих (стадий) обобщенной модели отмывания денег: размещение (placement), расслоение (layering) или интеграцию (integration). Указанные стадии могут быть пройдены одновременно или частично накладываться друг на друга в зависимости от выбранного механизма легализации и от требований, предъявляемых преступной организацией.

На стадии размещения необходимо изменить форму денежных средств с целью сокрытия их нелегального происхождения. Например, поступления от незаконной торговли наркотиками чаще всего представляют собой мелкие купюры. Конвертирование их в более крупные купюры, чеки или иные финансовые документы часто производится с помощью предприятий, имеющих дело с большими суммами наличных денег (рестораны, гостиницы, казино, автомойки) и используемых в качестве прикрытия.

На стадии расслоения лица, отмывающие деньги, стараются еще больше скрыть следы, по которым их могут обнаружить. Для этого одни сложные финансовые сделки наслаиваются на другие. Например, для отмывания больших денежных сумм создаются фиктивные компании в странах, отличающихся строгими законами о банковской тайне или слабыми механизмами обеспечения соблюдения законодательных положений, касающихся отмывания денег. Затем «грязные» деньги переводятся из одной фиктивной компании в другую до тех пор, пока не приобретут видимость законно полученных средств [100, с. 106].

На этой стадии активно используются СЭБ (рис. 25).

На стадии интеграции преступник пытается трансформировать доходы, полученные от противозаконной деятельности, в средства, внешне имеющие легальное происхождение (деньги обычно вкладываются в бизнес, недвижимость, драгоценности и др.).

Рис. 25. Обобщенная схема отмывания денег с использованием СЭБ

Поскольку процесс отмывания денег в определенной степени базируется на используемых преступником финансовых системах и операциях, выбор конкретных механизмов ограничивается лишь его изобретательностью. Деньги отмываются через валютные и фондовые биржи, торговцев золотом, казино, компании по продаже автомобилей, страховые и торговые компании. Частные и офшорные банки, подставные корпорации, зоны свободной торговли, электронные системы и торгово-финансовые учреждения – все эти структуры могут скрывать незаконную деятельность. Далее приведем наиболее распространенные негативные последствия отмывания денег:

1. Удар по репутации банков. Бесконтрольное отмывание денег способно негативно влиять на курсы валют и процентные ставки вследствие высокой интеграции фондовых рынков. Эти деньги могут поступать в глобальные финансовые системы и подрывать экономику и валюту отдельных стран. Нужно учитывать, что проведение банковских операций через интернет позволило значительно сократить время на осуществление различных платежей.

2. Подрыв целостности финансовых рынков. Кредитные организации, полагающиеся на доходы от преступных деяний, сталкиваются с дополнительными трудностями. Например, крупные суммы отмытых денег могут поступить в банк и затем внезапно бесследно исчезнуть через электронные переводы в ответ на такие нерыночные факторы, как операции правоохранительных органов.

3. Утрата контроля над экономической политикой. В некоторых странах с формирующейся рыночной экономикой незаконные доходы могут намного превосходить государственные бюджеты, что приводит к утрате правительственного контроля над экономической политикой. В ряде случаев огромная база активов, накопленная за счет отмытых денег, может использоваться для спекулятивной скупки рынков или даже целой экономики небольшой страны.

4. Экономические деформации и нестабильность. Лица, отмывающие деньги, заинтересованы не столько в извлечении прибыли, сколько в защите доходов, поэтому направляют свои средства в области, не обязательно приносящие экономическую выгоду той стране, в которой они размещены.

5. Потеря доходов. Отмывание денег снижает налоговые доходы правительства и тем самым наносит косвенный ущерб честным налогоплательщикам (затрудняется государственный сбор налогов). Такая потеря доходов означает более высокие ставки налогообложения по сравнению с нормальной ситуацией, при которой доходы были бы законными и облагались налогами.

6. Риск для программ приватизации. Отмывание денег угрожает стремлению многих стран реформировать свою экономику путем приватизации. Преступные организации располагают финансовыми средствами, позволяющими приобретать по более высоким ценам предприятия, прежде находившиеся в государственной собственности.

7. Социальные издержки. Отмывание денег ведет к росту государственных расходов на правоохранительные органы (создание специализированных подразделений) и здравоохранение (например, лечение наркотической зависимости).

В целом отмывание денег ставит перед мировым сообществом сложную задачу, постоянно приобретающую новые формы. Характер процессов требует разработки глобальных стандартов и международного сотрудничества для уменьшения возможности преступников осуществлять свою деятельность.

Регулирующие органы рекомендуют банкам эффективнее использовать все ресурсы для выявления сомнительных операций, направленных на отмывание денег. Меры по предотвращению отмывания денег предпринимаются банками не только в соответствии с требованиями законодательства, но и в собственных интересах [97, c. 32].

В рамках проведения процедур идентификации клиентов кредитным организациям следует:

– разработать и внедрить комплексные процедуры, связанные с открытием счетов, установлением кредитных и других деловых взаимоотношений, а также совершением операций с лицами, не имеющими счетов;

– иметь данные о действительной личности клиента, пользующегося услугами банка, в том числе о подлинном владельце счета, открытого на другое имя;

– подвергать проверке данные, удостоверяющие личность, во избежание открытия счетов фиктивным пользователям;

– располагать данными о роде занятий или профессиональной деятельности клиента, об источниках его доходов, состояния или активов, а также о конкретном источнике денежных средств, вовлеченных в совершаемые через банк операции;

– знать цель, с которой открывается счет, и иметь представление о типах операций, в которые обычно вовлечен данный клиент. При открытии счета сотрудники банка должны понимать, нужно ли отнести клиента к категории высокого риска, требующей повышенного внимания.

В рамках выполнения процедуры мониторинга кредитным организациям следует:

– иметь внутренние системы для идентификации и мониторинга операций, вызывающих подозрения;

– оценивать риск, исходя из конкретных видов счетов, регионов и операций;

– обращать внимание на случаи превышения установленного денежного порога депозитов при открытии счета, а также на ежемесячные телеграфные переводы, операции с наличностью, дорожными чеками, получение кредитов и заключение сделок (включая покупку и продажу валют, опционов и драгоценных металлов) и т. п.;

– обращать внимание на усиление активности по банковским счетам, особенно тем, которые могут стать объектами сомнительных операций (офшорные и корреспондентские счета, счета небанковских финансовых институтов, политических деятелей и др.);

– установить пороговые размеры сделок и время от времени проверять их адекватность.

Отдельно следует отметить роль топ-менеджеров кредитных организаций. Они должны стремиться к постановке и практической реализации задач в области предотвращения незаконных операций и демонстрировать, что банк как субъект корпоративной культуры заботится о своей репутации не меньше, чем о прибылях, маркетинге и качестве обслуживания клиентов.

Топ-менеджерам кредитных организаций необходимо хорошо представлять, что клиенты коммерческих банков, использующие для выполнения своих операций СЭБ и занимающиеся противоправной деятельностью, могут не только нанести удар по репутации банка, но и создать для него серьезные осложнения во взаимоотношениях с регулирующими органами, вплоть до отзыва лицензии на осуществление банковских операций.

1.3.4. Подготовка сотрудников коммерческих банков по вопросам обеспечения информационной безопасности

Четвертая область связана с совершенствованием профессиональной подготовки персонала банка (включая сотрудников служб внутреннего контроля) по вопросам обеспечения информационной безопасности. Учитывая заметное увеличение источников банковских рисков, основу которых составляют особенности функционирования СЭБ, специалистам коммерческих банков, в чьи функции входит управление рисками, необходимо иметь не только экономическое или юридическое, но и техническое образование, позволяющее достаточно уверенно ориентироваться в особенностях функционирования различных технологий ДБО.

Ненадлежащее обеспечение информационной безопасности СЭБ (в частности, продажа населению слабо защищенных финансовых услуг) ведет к созданию предпосылок для хищения денежных средств и финансирования криминала. Существующая динамика развития современных процессов, связанная с ростом технических возможностей, способна многократно увеличить объемы финансирования криминала. Если допустить рост хищений в больших объемах (что приведет к соизмеримости объема хищений с объемами денежных средств в госсекторе), это может быть серьезной угрозой экономической безопасности страны.

2. Кибербезопасность в условиях применения систем электронного банкинга

Кольчуга не слишком защищает от стрелы, особенно если та нацелена вам между глаз.

Терри Пратчетт, английский писатель

2.1. Парадигмы построения системы кибербезопасности

Добрые нравы имеют большую силу, чем хорошие законы.

Публий Корнелий Тацит, древнеримский историк

В современном обществе интернет и сотовая связь стали привычными каналами предоставления информационных услуг. В банковской сфере эти два способа связи легли в основу ЭБ, который является лидером среди технологий ДБО. СЭБ фактически переместили весь процесс взаимодействия кредитных организаций с клиентами в виртуальное пространство, или, другими словами, киберпространство.

Внедрение СЭБ не только значительно сокращает операционные издержки, но и является одним из основных конкурентных преимуществ кредитных организаций. В то же время, перенося бизнес в киберпространство, кредитные организации не освобождаются от ответственности за качество предоставления финансовых услуг и должны в полной мере осознавать, что сегодня компьютерные атаки кибермошенников направлены в первую очередь на СЭБ с целью кражи денег со счетов как банков, так и их клиентов.

Если рассматривать информационный контур банковской деятельности, формируемый в условиях применения СЭБ, то наиболее слабым звеном является клиент. АПО СЭБ достаточно хорошо защищено на стороне банка, но не на стороне клиента. Поэтому взломать современные системы защиты, используемые кредитными организациями, намного сложнее, чем получить доступ в личный кабинет клиента.

К основным факторам, сдерживающим развитие ДБО, можно отнести отсутствие доверия клиентов к технологиям ДБО из-за роста компьютерных атак на СЭБ (в т. ч. с использованием социальной инженерии) и низкий уровень финансовой грамотности клиентов (включая недостаточную информированность о возможностях современных технологий ДБО и способах обеспечения кибербезопасности).

Повышение уровня финансовой грамотности населения – это задача, которая должна решаться комплексно. Во многих странах с основами кибербезопасности начинают знакомить еще в начальной школе, а в университетах этот предмет является обязательным – в информационный век не может быть другого подхода.

Следует принимать во внимание, что уровень финансовой грамотности населения всегда будет уступать уровню и скорости развития мошеннических технологий. Поэтому разработчики АПО СЭБ изначально должны ориентироваться на «среднего» пользователя и обеспечивать максимальную защиту от внешних воздействий.

Минимизировать риски «успешного» воздействия компьютерных атак можно с помощью построения комплексной системы кибербезопасности в кредитно-финансовой сфере.

В основе такой системы безопасности может лежать одна из двух парадигм: парадигма защищенности или парадигма развития.

Парадигма защищенности предполагает, что основу обеспечения безопасности составляет борьба с опасностями (угрозами). Менталитет защищенности приводит к отождествлению безопасности с жизнедеятельностью, вследствие чего идея безопасности ставится во главу угла всей деятельности.

Необходимой предпосылкой обеспечения безопасности в рамках данной парадигмы является определение угроз безопасности, на устранение которых и направляется соответствующая деятельность, прежде всего специальных служб[50].

Парадигма развития базируется не столько на борьбе с опасностями, сколько на развитии собственных внутренних сил. И потому опасность представляет собой не только то, что отрицает существование объекта, но и прежде всего то, что угрожает его самоутверждению [69, с. 154].

В настоящее время наблюдается устойчивая тенденция смещения акцентов в деятельности по обеспечению безопасности с парадигмы защищенности на парадигму развития. Появилось понятие «безопасность через развитие». Его суть заключается в том, что обеспечение безопасности все в большей степени осуществляется через развитие и все в меньшей – через защиту[51].

Система не может быть жизнеспособной, только сохраняя достигнутое, без изменений и развития, поэтому следование исключительно парадигме защищенности в действительности не укрепляет безопасность, а постепенно разрушает объект, так как он не развивает свои внутренние силы, а лишь противостоит опасностям. И наоборот – только самоутверждение, постоянное изменение без сохранения основы системы ставят под удар существование последней. Таким образом, парадигмы защищенности и развития должны не исключать, а дополнять друг друга. Именно такого подхода необходимо придерживаться при построении комплексной системы кибербезопасности в кредитно-финансовой сфере.

Очевидно, что большая работа должна быть проведена регулятором. Как минимум он должен обеспечить определение необходимых условий ведения банковского бизнеса в киберпространстве и разработать рекомендации по снижению рисков для кредитных организаций.

В условиях применения СЭБ в ряде случаев в пользу киберпреступников работают:

– стремительная скорость устаревания техники. Именно поэтому многие успешные компьютерные атаки реализовываются при запуске новых банковских сервисов (речь идет об атаках «нулевого дня» – когда атака уже реализуется, а противоядие еще не найдено; такие атаки наносят самый большой вред);

– безграничность интернета и неадекватность нормативно-правовой базы, регулирующей информационные потоки. В связи с этим чрезвычайно сложно идентифицировать киберпреступников (особенно если они находятся на территории офшорных государств, где действует запрет на выдачу определенной информации).

Очевидно, что в будущем угрозы не станут проще. Уже сегодня многие атаки – это комбинации различных методик. Использование только традиционных систем обеспечения информационной безопасности (ИБ), таких как сигнатурные антивирусы, не дает надежной защиты от современных типов атак. Кредитные организации, которые защищаются только от известных угроз, всегда рискуют, поскольку атакующие выдумывают и создают все новые технологии и схемы.

2.2. Методология анализа рисков недостаточного обеспечения кибербезопасности

– Есть новости. Хорошая и плохая, – сказал Сэм. – С какой начать?

– С хорошей.

– Девяносто процентов, что торпед внизу нет…

– А плохая?

– Всего девяносто процентов, что торпед внизу нет.

Клайв Касслер, Грант Блэквуд.

Золото Спарты

Основными причинами повышенного внимания регулирующих органов к технологиям ДБО (включая СЭБ) являются «виртуальная» форма совершения банковских операций (когда каждая проводка выражается в мгновенном изменении содержания центральной базы банковских данных), снижение надежности и устойчивости кредитных организаций, а также банковской системы в целом, так как любые высокотехнологичные нововведения повышают и усложняют банковские риски.

В условиях применения СЭБ возникают ранее не учитываемые источники угроз, которые способны создать дополнительные проблемы, связанные со снижением уровня надежности банковских автоматизированных систем и угрозами безопасности информационных ресурсов (в т. ч. АПО, находящегося на стороне провайдеров). Для перехода на новый качественный уровень управления рисками, возникающими в условиях применения СЭБ, не следует ограничиваться только выявлением причин и определением размеров возможных финансовых потерь. Необходимо шире рассматривать проблемы, связанные с использованием СЭБ, выходить за рамки привычных методов учета рисков. В качестве итоговых оценок следует рассматривать риски, связанные с системными характеристиками и показателями (риски системного уровня): возможность продолжения функционирования банка и выполнения им функций финансового посредника в неизменном или измененном масштабе, временный запрет на выполнение определенного вида банковских операций, введение временной администрации, отзыв лицензии на банковскую деятельность.

Иерархию рисков можно представить в виде трех уровней: системный банковский риск (СБР), типичный банковский риск (ТБР) и элементарный банковский риск (ЭБР). Они имеют разную природу. Каждый ЭБР отражает некий выявляемый факт, каждый ТБР – какое-либо событие в банке, образуемое совокупностью фактов и связанное с финансовыми потерями, а СБР описывает некоторую итоговую рисковую ситуацию (рис. 26). Количество источников ЭБР для каждого ТБР различно.

Поиск источников ЭБР и дальнейшее выстраивание причинно-следственных связей представляют собой наиболее сложную задачу для адекватной оценки. Поэтому специалисты, входящие в риск-подразделения и службы внутреннего контроля, должны хорошо представлять особенности функционирования СЭБ и возможные последствия проявления сопутствующих рисков (включая воздействие компьютерных атак на информационные ресурсы банка). Очевидно, что реализованные компьютерные атаки значительно расширяют профили типичных банковских рисков.

Рис. 26. Иерархическая схема для выявления, анализа и мониторинга банковских рисков

Примерная схема анализа возможного влияния нарушения кибербезопасности в условиях ДБО на деятельность кредитных организаций представлена на рис. 27, влияние компьютерных атак на устойчивость и стабильность банковской системы показано на рис. 28. Например, в случае реализованной компьютерной атаки на системы ДБО банка вполне вероятно, что многие клиенты откажутся от услуг данной кредитной организации. Следовательно, сумма остатков на их счетах и будет возможной суммой единовременного снятия средств клиентами (риск ликвидности). Далее такие клиенты могут быстро распространить отрицательные отзывы о банке, и вполне вероятно, что их знакомые, которые также являются клиентами банка, могут последовать их примеру и закрыть свои счета (репутационный риск и возрастание риска ликвидности).

Рис. 27. Взаимосвязь кибератак на АПО БАС и возможных последствий для банка[52]

Рис. 28. Влияние компьютерных атак на устойчивость и стабильность банковской системы

Добавим, что некоторые клиенты могут обратиться в суды за возмещением не только похищенной суммы, но и суммы упущенной выгоды (например, в случае временной неплатежеспособности при взаимодействии с выгодным клиентом, деловым партнером и т. п.). Судебные издержки, негативная информация об этих судебных решениях в СМИ могут серьезно повлиять на репутацию организации (правовой и репутационный риски).

Для многих кредитных организаций существует управленческая задача, обусловленная несоразмерностью мер по информационной безопасности (включая обеспечение кибербезопасности) основным целям и общему уровню принимаемых рисков. Это говорит о нехватке качественного управления рисками и о том, что кибербезопасность обеспечивается постфактум, по итогам уже совершившегося события, а должна носить превентивный характер и работать на опережение.

К основным причинам появления рисков недостаточного обеспечения кибербезопасности в условиях применения СЭБ можно отнести:

– наличие множественных уязвимостей АПО СЭБ, отсутствие должной реализации процедур контроля за соответствием СЭБ требованиям информационной безопасности;

– низкую эффективность проводимых кредитными организациями мероприятий по внедрению и использованию документов Банка России в области стандартизации обеспечения информационной безопасности;

– отсутствие правовой основы для распространения нормативных требований к обеспечению защиты информации, устанавливаемых Банком России, на все процессы в деятельности кредитных организаций;

– отсутствие должной достоверности контроля выполнения технических требований, реализуемого, как правило, в форме самооценки [107, c. 118].

Банк России выделяет следующие ключевые направления деятельности для минимизации последствий проявления рисков недостаточного обеспечения кибербезопасности:

– проработка вопроса о законодательном закреплении права Банка России совместно с ФСТЭК России и ФСБ России осуществлять нормативное регулирование и контроль всех вопросов, связанных с обеспечением информационной безопасности в кредитных организациях, в том числе вопросов защиты информации, отнесенной к категории банковской тайны;

– законодательное закрепление основ деятельности по реализации системы противодействия хищениям денежных средств (системы антифрода) и создание такой системы на базе ФинЦЕРТ Банка России;

– обеспечение скорейшей разработки и ввода в действие национальных стандартов, регулирующих технические вопросы обеспечения информационной безопасности в организациях кредитно-финансовой сферы;

– создание совместно с ФСБ России и ФСТЭК России системы для подтверждения соответствия обеспечения информационной безопасности кредитно-финансовых организаций требованиям национальных стандартов;

– пересмотр технологических требований, связанных с осуществлением переводов денежных средств, внедрение безопасных технологий, в том числе для участников платежной системы Банка России;

– пересмотр технологии контроля со стороны Банка России за соблюдением участниками платежной системы Банка России требований к обеспечению информационной безопасности;

– реализация системы надзорных мер, учитывающей результаты контроля информационной безопасности в рамках системы подтверждения соответствия национальным стандартам.

В ближайшей перспективе из-за развития технологий ДБО количество «физических» банковских офисов в России будет постепенно уменьшаться. Наличие собственного кабинета в киберпространстве станет таким же распространенным явлением, как сегодня наличие мобильного телефона.

Активное использование СЭБ в банковском бизнесе создает не только новые общие возможности, но и общие уязвимости, формируя при этом общую ответственность. Создание системы кибербезопасности и соблюдение культуры кибербезопасности всеми участниками информационного обмена в условиях применения СЭБ являются залогом доверия клиентов не только к конкретной кредитной организации, но и ко всей банковской системе в целом.

2.3. Информационное общество и кибербезопасность

Кто хочет, чтобы его не поглотила пучина, должен уметь плавать.

Генрик Сенкевич, польский писатель, лауреат Нобелевской премии

Средства информационного обмена непрерывно развиваются и совершенствуются, что делает наш мир все более взаимосвязанным. Информатизация общества берет свое начало во второй половине XX в. и к XXI в. охватывает практически все сферы человеческого бытия. Психологи говорят об угрозах интеллектуальной деградации личности из-за чрезмерно длительного пребывания в сети, игромании, мании преследования, боязни (фобии) потерять свой коммуникатор, нарушениях памяти (способности запоминать числа и факты). В самом деле, активному пользователю киберпространства ничего знать (запоминать) не надо: ему достаточно иметь доступ к информационно-поисковым системам и уметь ими пользоваться. Подобно тому, как постоянное использование калькуляторов буквально подавляет навыки «счета в уме», систематическое получение искомых сведений без присущих человеческому мозгу мысленных усилий (например, логических ассоциаций) истощает его, подрывает интуицию, что в целом может привести к ослаблению интеллектуального потенциала человека. Вдобавок регулярное использование внешних приспособлений снижает уровень счастья (Международный индекс счастья – Happy Planet Index) населения. Это, пожалуй, стоит считать фундаментальными проблемами, возникающими вследствие развития информационно-коммуникационных технологий (ИКТ) и интернета вещей[53].

Решением является повышение общего уровня грамотности населения и конкретного человека, в том числе с помощью интернета вещей. Ведь интернет вещей уже оказывает влияние на здравоохранение, образование, экологию и общую жизнедеятельность, причем возможности дальнейших IoT-взаимодействий практически безграничны.

Отсюда следует, что в целом интерес со стороны организаций к технологиям и платформам интернета вещей есть, но пока окончательно не сформировался[54]. Тем не менее, повсеместное применение ИКТ непрерывно расширяется и человеческая жизнь уже немыслима в отрыве от этого процесса.

Развитие виртуальных взаимоотношений между людьми и организациями создало и новый класс преступников, специализирующихся на правонарушениях в области высоких технологий, – киберпреступников, а для борьбы с ними – киберполицейских и кибербезопасность.

Под кибербезопасностью в широком смысле понимают состояние защищенности в новой виртуальной сфере, достигаемое за счет набора средств, стратегий, принципов обеспечения безопасности, подходов к управлению рисками, действий, профессиональной подготовки, страхования и технологий, которые используются для защиты виртуальной среды, ресурсов организаций и пользователей сервисов от целенаправленного деструктивного воздействия.

Кибербезопасность направлена на защиту компьютеров, сетей, программ и данных от случайного или преднамеренного несанкционированного доступа, изменения или уничтожения [63].

Инструменты хакерских атак доступны не только правительствам[55], но и агрессивным политическим группировкам и террористическим организациям. Западные страны, в том числе члены НАТО, вынуждены пересматривать свои военные доктрины.

Российские и западные организации умеют защищать деньги и информацию. Но кибертеррористам сегодня важнее создать хаос, а еще лучше – вызвать массовую гибель людей. Их цели – АЭС, объекты ЖКХ, транспорт и другие объекты, где сбои в информационных системах могут привести к катастрофам. Недооценка угрозы кибертерроризма напоминает недооценку фашизма в период между мировыми войнами.

Что касается интернета вещей, то его возможности позволят злоумышленникам удаленно управлять автомобилями, персональными медицинскими системами или заставить «умный холодильник» совершать покупки, которые не входили в планы хозяина. Вспомним атаку на Иран в 2010 г., которая остановила обогащение урана и отбросила национальную ядерную программу Ирана на два года назад. Вирус Stuxnet, запущенный на IoT-устройствах ядерного комплекса, был использован для дистанционной агрессии одного государства против другого. Поэтому IoT-инциденты не ограничиваются хищением информации и денег, а могут использоваться, чтобы нанести физический вред и значительный ущерб.

Современные теоретики, говоря о будущих кибервойнах, обычно имеют в виду не столько противоборство между компьютерами, управляющими оружием, сколько войну, цель которой состоит в захвате контроля над информационным пространством противника. Разработано множество методов и приемов для защиты IoT-пространства, и все же задачу обеспечения кибербезопасности усложняет ряд неблагоприятных факторов развития информационной инфраструктуры:

– чрезмерная скорость устаревания техники;

– безграничность интернета и неадекватность нормативно-правовой базы, регулирующей информационные потоки;

– чрезвычайная сложность (а в ряде случаев – невозможность) идентификации киберпреступников;

– ограниченные ресурсы обеспечения кибербезопасности.

2.4. Электронные финансы – в интернет вещей

Лучший способ предсказать будущее – это изобрести его.

Сэмюэл Грингард.

Интернет вещей. Будущее уже здесь

Рост объема информации предопределил развитие инфраструктуры хранения данных в последние десять лет, в том числе в финансовой сфере. На протяжении пяти веков в основе работы розничных банков был оборот наличных денег. Всего лишь за полвека эта модель трансформировалась в направлении электронного оборота, который к концу первой декады нового тысячелетия достиг зрелости и уже прошел проверку практикой. Для банков сейчас самое время сконцентрироваться на электронных платформах.

«Носимый» банкинг (для так называемых Wearable Technology – очков, часов, браслетов и прочих гаджетов) сейчас вызывает немало надежд и восторга.

Например, MasterCard развивает программу, которая позволит превратить любой аксессуар, гаджет или предмет бытовой техники в устройство с функцией оплаты. На техновыставке Consumer Electronics Show (CES) специалисты компании представили сразу два таких решения. Одно из них – это приложение Groceries для покупок прямо на дисплее холодильника, которое связывает покупателей с ведущими продуктовыми магазинами. Кроме того, MasterCard объявила о партнерстве с компанией Coin, которое предполагает встраивание платежных технологий MasterCard в фитнес-браслеты, смарт-часы и другие носимые устройства[56].

Компания Microsoft 20 августа 2019 г. представила исследование IoT Signals, посвященное динамике внедрения интернета вещей в компаниях из разных индустрий и стран. Согласно его результатам, 85 % организаций уже имеют как минимум один бизнес-проект в данной сфере, а к 2021 г. эта цифра вырастет до 94 %. Цели внедрения IoT-решений отображены на рис. 29.

Рис. 29. Цели внедрения IoT-решений в работу организаций[57]

При этом 97 % опрошенных беспокоит безопасность систем интернета вещей. Наиболее перспективными превентивными мерами для обеспечения безопасности могут быть:

– создание надежной системы аутентификации пользователей (43 %);

– отслеживание и управление устройствами интернета вещей (38 %);

– защита конечных точек интернета вещей (38 %)[58].

Одной из недавних неприятностей, связанных со смарт-устройст-вами, стал взлом «умных» кормушек для домашних животных с краудфандинговой площадки Xiaomi, открывший хакеру доступ ко всем таким кормушкам в мире. Российский ИТ-специалист получил возможность легко накормить до отвала всех котиков и собачек или, наоборот, напрочь лишить их еды и воды, пока хозяин в отпуске[59].

Распределение кибератак по целям представлено в табл. 1.

Таблица 1

Распределение кибератак по целям[60]

Интересно, что в России разработано одно из самых эффективных противоядий – антивирус Касперского, до недавнего времени использовавшийся даже в американском министерстве обороны – Пентагоне[61].

Отождествляя финансовые отношения с IoT-технологиями, не стоит забывать о распространении хищений денежных средств, сбоях в работе СЭБ и, как следствие, снижении доверия к использованию IoT-услуг кредитно-финансовых организаций (возрастании операционных и репутационных рисков). В России уже сегодня применяется следующая схема кражи: чтобы снять деньги со счета, мошенники прикладывают устройство беспроводного терминала к карману или сумке. Считыватели бесконтактных карт работают на расстоянии до 20 см, а ведь, как известно, злоумышленники находятся в местах массового скопления людей. К тому же мобильные терминалы не являются редкостью, достать их проблем не составляет. Считыватель карт можно даже собрать кустарным способом с помощью нехитрых радиокомпонентов, которые легко заказать онлайн[62].

Цифровой банк станет банком расширенного финансового обслуживания, поскольку будет учитывать транзакции «человек-человек», «человек-машина» и даже «машина-машина». Взаимодействовать можно будет со всем, от одежды до эскалаторов, с помощью чипов радиочастотной идентификации – RFID[63], встроенных повсюду. Это означает, что все будет взаимодействовать со всем, разумно и без проводов, с помощью интернета вещей: он являет нам новый дополненный мир виртуальной реальности и вместе с тем несет множество новых угроз как для самих устройств, так и для платформ, на которых они работают. Финансовым организациям понадобятся технологии защиты от хакерских атак и непосредственного физического взлома «девайсов». Проблема усугубляется тем, что с целью снизить затраты потребителей большинство IoT-устройств создают с применением простейших операционных систем и процессоров, не поддерживающих сложные средства защиты.

Поэтому банки сегодня должны попытаться продумать, какого рода операции они будут предлагать и осуществлять в условиях, когда все устройства соединены между собой, могут взаимодействовать друг с другом и участвовать в торговле. Вот часть вопросов, на которые необходимо ответить:

1. Каким образом будут предоставляться IoT-услуги?

2. Кто будет выступать провайдерами?

3. Как будут обеспечиваться безопасность и аутентификация?

4. Когда банки начнут вводить продукты и услуги, использующие новые возможности [77, с. 285]?

Самые очевидные угрозы, вызванные тем, что устройства общаются посредством интернета, – это воровство данных, получение доступа к «умным» устройствам и блокирование устройств (например, с помощью DDoS-атаки). Оптимизация финансовых отношений на основе внедрения IoT-технологий будет осуществляться посредством СЭБ. И самый большой потенциал повышения безопасности СЭБ с помощью технологий кроется в использовании биометрических данных клиентов. Наиболее очевидный вариант – отпечатки пальцев или система распознавания лиц для удостоверения личности пользователя.

Применение биометрических данных имеет два преимущества. Первое – оно не позволит преступникам подобрать пароль или PIN-код, воспользоваться украденной картой или скопировать ее. Второе – это ускорение и улучшение обслуживания клиентов. Нам нужно помнить и вводить так много личных номеров и паролей, что распознавание биометрических данных кажется весьма привлекательной перспективой. Затраты на встраивание функции распознавания биометрических данных в СЭБ обязательно окупятся благодаря своей результативности. С учетом повсеместного использования технологии распознавания отпечатков пальцев в IoT-устройствах и мобильных телефонах признание новшества клиентами не будет проблемой. В зависимости от качества АПО, используемого в технологиях распознавания биометрических данных, угроза кражи денег и конфиденциальной информации у клиентов организаций кредитно-финансовой сферы может быть снижена или вовсе сведена к минимуму.

Хотя само биометрическое оборудование стоит недешево, модификация программного обеспечения и соответствующего процесса идентификации потребует от банков значительных инвестиций. По этой причине сегодня только две страны – Колумбия и Япония – внедрили в банкоматы систему распознавания биометрических данных.

Распознавание биометрических данных очень привлекательно для растущих рынков, особенно в бедных, менее развитых странах, где банкоматы появились сравнительно недавно. Расширение их применения тормозится распространением PIN-кодов и необходимостью хранения карт и PIN-кодов отдельно. Это относится в первую очередь к бедным регионам, где людям непросто запомнить PIN-коды, а их использование небезопасно.

Более интересна «биометрическая интеграция» с IoT-технологиями (распознавание лиц при приближении), которая позволит узнавать клиента и показывать подготовленные специально для него послания, основанные на портфеле продуктов этого клиента или его недавних финансовых операциях. Цифровые видеостены[64] уже используют технологию распознавания лиц и могут «сказать», какого пола клиент, стар он или молод, расстроен или доволен.

Для создания позитивного опыта самообслуживания банкам будет очень важно найти правильное сочетание персонификации, отклика на нужды отдельно взятого клиента, правил конфиденциальности и безопасности. Это позволит сделать использование цифровых технологий более личным и человечным.

2.5. Кибербезопасность в условиях развития интернета вещей и электронного банкинга

Мудрец будет скорее избегать болезней, чем выбирать средства против них.

Томас Мор, английский гуманист, государственный деятель и писатель

Проблема интернета вещей в том, что IoT-системы создают новые точки доступа для хакеров. Входом в систему может стать сетевой принтер, предоставляющий хакерам маршрут доступа к компьютерам в сети финансовой организации, или мобильное устройство, которое имеет доступ к системе радиосвязи высокотехнологичного автомобиля. Стоит признать, что киберпреступники всегда на шаг впереди, они нападают внезапно и могут использовать нешаблонные способы атак. В связи с этим производители средств защиты вынуждены постоянно обороняться, то есть искать защиту в условиях жесткого лимита времени, поскольку самый большой вред причиняют именно атаки «нулевого дня» (когда «противоядие» еще не найдено). В некоторых случаях защищаться приходится от того, о чем есть крайне поверхностное представление: отсутствуют данные о количестве подобных атак на банки, произошедших ранее, о способах заражения программного обеспечения, о действиях злоумышленников в определенных ситуациях и т. п.

При отсутствии взаимодействия противостояние осуществляется практически вслепую. Это все равно что вести войну, не имея сведений о численности и дислокации врага, об используемом им вооружении и источниках подкрепления.

Кибербезопасность организаций кредитно-финансовой сферы должна базироваться на готовности подразделений безопасности противостоять новым кибератакам, понимании всего спектра угроз в отношении организации в целом и распределения приоритетов между активами организации и их защитой[65].

К факторам, повышающим уровень воздействия кибератак, относятся:

– отсутствие отлаженного правового и организационно-технического обеспечения законных интересов граждан, государства и общества в области кибербезопасности (в т. ч. в условиях применения СЭБ);

– высокая латентность[66] киберпреступлений и недостаточное осознание органами государственной власти на федеральном и особенно региональном уровне возможных политических, экономических, моральных и юридических последствий компьютерных преступлений;

– слабая координация действий правоохранительных органов, суда и прокуратуры в борьбе с киберпреступлениями, неподготовленность их кадрового состава к эффективному предупреждению, выявлению и расследованию таких действий;

– несовершенство системы единого учета правонарушений, совершаемых с использованием средств информатизации;

– отсутствие у Банка России подразделений по надзору за применением IoT-технологий в организациях кредитно-финансовой сферы (ОКФС) и обеспечением кибербезопасности;

– существенное отставание отечественной индустрии средств и технологий информатизации и кибербезопасности от мирового уровня;

– ограниченные возможности бюджетного финансирования научно-исследовательских и опытно-конструкторских работ по созданию правовой, организационной и технической баз кибербезопасности.

Безопасность всего пространства интернета вещей должна обеспечиваться еще на уровне создания архитектуры (тем более для ОКФС). Иными словами, необходимо выстроить защиту от любых вредоносных действий еще при разработке протоколов и устройств интернета вещей. Поэтому эффективные решения по безопасности должны быть найдены на этапе развертывания инфраструктуры банковских сервисов.

Учитывая тот факт, что кредитно-финансовая сфера становится одной из самых привлекательных для киберпреступников (о чем свидетельствует значительный рост числа киберпреступлений и целевых атак на банки), а также важность оптимизации финансовых решений в условиях интернета вещей, необходимо оперативно принять меры для обеспечения повышенного уровня кибербезопасности (особое внимание должно быть обращено на СЭБ). Ведь мир, где все соединено со всем и каждая вещь потенциально участвует в торговле, предоставляет огромные возможности не только банкам, но и киберпреступникам. Например, только за четвертый квартал 2015 г. в России со счетов клиентов кредитно-финансовых организаций были похищены денежные средства на сумму, превышающую 1,5 млрд руб.[67]

Пожалуй, единственный способ защитить все устройства, объединенные интернет-сетью, – это надежная защита единого центра управления интернетом вещей [91, c. 271].

Учитывая, что финансовый и банковский сектора наиболее восприимчивы к внедрению новейших достижений в области ИКТ, рассмотрим три основных направления совершенствования кибербезопасности в условиях применения СЭБ и интернета вещей (рис. 30).

По мнению авторов, это далеко не полный перечень мероприятий, которые следует реализовать в рамках обеспечения кибербезопасности в условиях применения интернета вещей. Ведь на практике каждое направление будет включать в себя гораздо больше задач. В перспективе нужно стремиться не только создать систему надзора в виртуальном пространстве, но и повысить культуру поведения в нем всех участников информационного обмена. Компании должны хорошо понимать, что за рекламой различных IoT-систем стоит их ответственность за качество предоставляемых услуг. Финансовым институтам необходимо использовать защищенные программные продукты для IoT-систем, иметь квалифицированный обслуживающий персонал, способный оперативно и грамотно реагировать на кибератаки, а также готовый всегда прийти на помощь клиентам, оказавшимся в трудной ситуации.

2.6. Типовые атаки на организации кредитно-финансовой сферы

– Как ты думаешь, в этом лесу есть что-нибудь съедобное?

– Да, – горько отозвался волшебник. – Мы.

Терри Пратчетт.

Безумная звезда

Кредитные организации в соответствии с п. 3 ст. 27 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России и согласованными с федеральными органами исполнительной власти. Требования к обеспечению защиты информации при осуществлении переводов денежных средств установлены Положением Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» [21] (далее – Положение № 382-П).

Рис. 30. Направления совершенствования кибербезопасности в условиях применения СЭБ и интернета вещей

Необходимо отметить, что именно соблюдение кредитными организациями указанных требований позволит существенно снизить вероятность успешного исхода при проведении злоумышленниками атакующих действий. Векторы атак злоумышленников не всегда одинаковы, однако их можно классифицировать по основным группам и «точкам приложения».

2.6.1. Целевые атаки на кредитные организации

В последние три года эксперты ФинЦЕРТ Банка России отмечают увеличение количества целевых атак на ОКФС. При компрометации информационных систем и сетей используются инструменты, предназначенные для проведения тестов на проникновение.

К таким инструментам можно отнести Metasploit Framework и основанные на Metasploit решения: Cobalt Strike, Armitage, Empire. Например, в 2017 г. ущерб от атак с использованием набора программ Cobalt Strike, разработанного американской компанией Strategic Cyber, LLC, согласно Обзору основных типов атак в кредитно-финансовой сфере, превысил 1 млрд руб. Данные инструменты, разработанные с применением техник, затрудняющих их обнаружение в системе, предоставляют простой механизм удаленного управления зараженными компьютерами, а также включают в себя утилиты, предназначенные для сбора информации о сети организации и хищения данных (паролей, документов и пр.).

Особенностью указанных атак является то, что они не требуют от атакующих особых технических знаний. Большинство компонентов уже соответствующим образом подготовлены производителями программного обеспечения.

Типовая схема целевой атаки на кредитную организацию выглядит следующим образом:

– производится массовая рассылка на адреса ОКФС электронных писем, содержащих вредоносные вложения;

– в случае запуска вредоносного вложения происходит скрытое внедрение программ (чаще всего загрузчика) в компьютер неосторожного получателя;

– после скачивания загрузчика на компьютере устанавливается компонент Beacon (основной инструмент из набора Cobalt Strike) и атакующий получает возможность удаленного доступа к зараженному компьютеру;

– атакующий проводит исследование доступных с зараженного компьютера сегментов сети и пытается открыть доступ к контроллеру домена сети для последующего получения паролей администраторов. Чтобы получить пароль, могут быть использованы возможности специальных инструментов (например, Mimikatz);

– после получения доступа к контроллеру домена и администраторских паролей атакующий ищет в сети интересующие его серверы и компьютеры. Прежде всего проводится поиск компьютера или сервера, с которого есть доступ в подсеть, где находятся банкоматы или иные сегменты сети (например, сегмент процессинга платежных карт);

– на банкоматах устанавливается программное обеспечение, действующее предположительно через программный интерфейс XFS и обеспечивающее выдачу денежных средств по команде, подаваемой удаленно. После получения контроля над банкоматами к процессу привлекаются соучастники, занимающиеся получением денежных средств. Их задача – присутствовать около банкоматов в заранее оговоренное время. После успешной выдачи денежных средств программное обеспечение с банкоматов, как правило, удаляется;

– в случае получения доступа к процессингу платежных карт привлекаются соучастники, занимающиеся оформлением на подставных лиц платежных карт атакованной организации. Карты консолидируются в руках лиц, которые получают денежные средства. Их задача – обеспечить снятие денежных средств в банкоматах непосредственно после того, как балансы и лимиты карт будут повышены в системе процессинга. В ходе получения денег соучастниками оператор может продолжать поднимать лимиты снятия или увеличивать балансы карт;

– в случае получения доступа к компьютерным средствам сегмента платежной системы Банка России (АРМ КБР) или системы переводов SWIFT осуществляются платежи на заранее подготовленные счета. Далее денежные средства переводятся с этих счетов и обналичиваются по стандартным для компьютерной преступности схемам.

Схемы атак, направленных на банкоматы и процессинг, представлены на рис. 31 и 32.

2.6.2. Атаки с применением методов социальной инженерии в отношении сотрудников банка

Начиная с 2017 г. ФинЦЕРТ Банка России сообщает в публикуемых им материалах о так называемой атаке с применением методов социальной инженерии в отношении кассиров кредитных организаций. Суть атаки заключается в том, что на кассиров оказывают психологическое воздействие, вынуждая их совершить перевод денежных средств на платежные карты злоумышленников. В общем виде указанная атака выглядит следующим образом.

Рис. 31. Атака, направленная на банкоматы

Рис. 32. Атака, направленная на процессинг

Сотруднику банка (кассиру) на внутренний телефон звонит злоумышленник, представляясь сотрудником этого же банка. После непродолжительной беседы мошенник сообщает о необходимости протестировать автоматизированную систему банка, при этом для осуществления тестирования ему якобы нужно, чтобы кассир перевел определенную сумму денежных средств с расчетного счета банка на свою собственную платежную карту. Затем злоумышленник сообщает кассиру, что система работает нормально и денежные средства можно возвращать обратно на расчетный счет. Преступник называет кассиру иные реквизиты (например, номер своей карты или своего расчетного счета), что в итоге приводит к перечислению денежных средств не на счет, с которого они были списаны, а на счет мошенника. После совершения всех процедур кассир начинает осознавать свою роль в атаке.

Следует отметить, что реализация подобных схем атак происходит в результате нарушения кассиром внутренних процедур контроля (мониторинга) соблюдения установленной технологии подготовки, обработки, передачи и хранения электронных сообщений и защищаемой информации на объектах информационной инфраструктуры.

2.6.3. Атаки на системы дистанционного банковского обслуживания, используемые юридическими лицами

Согласно Обзору несанкционированных переводов денежных средств за 2018 г., почти половина хищений совершается в результате получения злоумышленниками доступа к управлению счетами организации в системе ДБО путем установки на компьютере версии вредоносного программного обеспечения (ВрПО), предоставляющего следующие возможности:

– получение удаленного доступа к зараженному компьютеру;

– кража учетных данных, используемых в системах ДБО;

– перехват и подмена реквизитов в платежных поручениях, направляемых через системы ДБО;

– создание подложных платежных поручений и отправка их в кредитную организацию.

Распределение причин несанкционированных списаний со счетов юридических лиц в 2018 г. представлено на рис. 33.

Рис. 33. Причины несанкционированных списаний со счетов юридических лиц в 2018 г. (%)

Перечислим следующие основные каналы попадания вредоносного программного обеспечения на компьютер клиента кредитной организации:

– массовая рассылка на адреса клиентов ОКФС электронных писем, содержащих вредоносные вложения;

– массовая рассылка на адреса клиентов ОКФС электронных писем, содержащих ссылки на ресурс, на котором размещено вредоносное программное обеспечение;

– использование техники watering hole, которая заключается во взломе популярных веб-сайтов заданной направленности (в случае с сотрудниками финансовых подразделений – СМИ и порталов бухгалтерской или экономической тематики) с последующим размещением на них вредоносного программного кода, предназначенного для загрузки на средства вычислительной техники при посещении взломанного ресурса пользователями – объектами атаки;

– установка клиентом на средства вычислительной техники программного обеспечения из недоверенных источников.

Стоит отметить, что даже новые экземпляры вредоносного программного обеспечения обычно имеют высокий уровень детектируемости популярным антивирусным программным обеспечением. При этом первичное проникновение часто осуществляется за счет эксплуатации уязвимостей, информация о которых давно опубликована (как и в случае с атаками непосредственно на кредитно-финансовые организации), либо с использованием программ-контейнеров, детектирующихся эвристически почти всеми распространенными антивирусными программами. Таким образом, наиболее эффективный метод противодействия подобным атакам зачастую заключается в поддержании актуального состояния антивирусных баз и своевременном обновлении программного обеспечения – как системного, так и прикладного.

2.6.4. Атаки на клиентов – физических лиц

Для получения денежных средств клиентов мошенники используют различные способы атак. При этом главной особенностью атак на клиентов – физических лиц является именно эксплуатация уязвимости, связанной с человеческим фактором, то есть использование методов социальной инженерии. Беспечность, любопытство, доверчивость или стремление сэкономить – основные черты, которые используют злоумышленники для того, чтобы получить доступ к платежным реквизитам граждан или побудить их добровольно (в юридическом смысле) расстаться с деньгами.

Согласно Обзору несанкционированных переводов денежных средств за 2018 г., методы социальной инженерии применяются злоумышленниками при распространении информации (например, с использованием услуг, предоставляемых операторами связи, ресурсов в интернете, в т. ч. электронной почты), побуждающей клиента сообщать сведения, необходимые для осуществления переводов денежных средств от его имени, в том числе аутентификационные данные (97 % всех атак на клиентов) (рис. 34).

В основе атак, связанных с телефонным мошенничеством и рассылкой SMS с текстом наподобие «ваша карта заблокирована», лежат базовые принципы психологического воздействия на субъекта, в частности так называемого «мягкого» воздействия. Задача злоумышленников сводится к попытке преодолеть недоверие и побудить жертву сообщить платежные реквизиты или совершить перевод самостоятельно. Указанной атаке подвергаются практически все сегменты платежеспособного населения, однако наиболее часто преступники стремятся воздействовать на наименее защищенных граждан, для которых характерен низкий уровень финансовой грамотности и киберграмотности (пенсионеров, лиц с особыми потребностями, жителей удаленных от федерального центра регионов и небольших городов).

Рис. 34. Причины совершения несанкционированных операций с использованием платежных карт в 2018 г. (%)

Для экономически активной части населения, пользующейся интернетом, актуальны другие способы установления контакта. В первую очередь это спам-рассылка писем, содержание которых рассчитано на разные категории получателей. Это сообщения о скидках, компенсациях, предложения знакомства и другие заманчивые предложения, содержащие вредоносные файлы или ссылки на фишинговые веб-сайты, которые сами по себе также являются способом коммуникации мошенников с жертвами. Получив такое письмо, человек открывает файл или переходит по ссылке, результатом чего становятся заражение устройства и компрометация платежных данных его владельца.

Распространенным методом осуществления несанкционированных переводов денежных средств с использованием мобильного устройства является его заражение вредоносным кодом. Применение методов социальной инженерии (ссылки в SMS, реклама на веб-сайтах) существенно повышает вероятность заражения мобильного устройства. При этом злоумышленник получает возможность составлять распоряжения об осуществлении переводов денежных средств, а владельцу телефона уведомления о совершении операций могут быть недоступны.

Кроме того, следует отметить случаи взлома аккаунтов в социальных сетях с целью рассылки по списку контактов их владельцев просьб о материальной помощи от их имени. Таким образом, наименее квалифицированными преступниками монетизируется наиболее дешевый «материал», возникающий как результат работы индустрии компьютерной преступности. Доступы к аккаунтам в социальных сетях продаются на закрытых ресурсах оптом. Единица измерения этого товара – тысяча, а цены – от нескольких долларов за единицу (т. е. за тысячу). Реквизиты доступа попадают в распоряжение взломщиков в процессе эксплуатации обширных бот-сетей. Из непригодных к чему-либо другому ботов – зараженных компьютеров «выжимают» хотя бы доступы к каким-либо сетевым ресурсам, которые потом продают. И это доступы не только к социальным сетям, но и к электронной почте, файловым хранилищам, веб-серверам. Монетизацией такого «материала» занимаются скупающие его преступники, зачастую начинающие, которые не нашли себе другой криминальной профессии. В то же время нужно ожидать, что по мере снижения доходов от хищений преступность будет уделять все больше внимания компьютерам и аккаунтам простых обывателей, изыскивая любые новые возможности извлечения дохода, даже если для этого потребуются тщательный поиск и анализ компрометирующей информации, перехват переписки, шантаж, угрозы, вымогательство, продвинутые схемы мошенничества.

2.6.5. Атаки на устройства самообслуживания (отмена транзакции)

В 2018 г., согласно данным, которые указывает Банк России в Обзоре несанкционированных переводов денежных средств, были зафиксированы следующие способы воздействия на банкоматы:

– прямое подключение к банкомату технических устройств, позволяющих им управлять;

– удаленное управление банкоматом, платежным терминалом, в том числе вследствие заражения вредоносным кодом;

– физическое воздействие на банкомат, платежный терминал (взрыв, взлом и т. д.).

В качестве основных способов воздействия на банкомат следует указать атаку типа blackbox и проникновение в банкомат изнутри локальной сети банка для загрузки программного обеспечения, взаимодействующего с диспенсером и обеспечивающего выдачу наличных денежных средств. Основное различие в фиксируемых атаках типа blackbox и атаках изнутри сети кредитной организации – в способе доставки вредоносного программного обеспечения.

Атака blackbox обычно начинается со вскрытия передней панели банкомата и подсоединения стороннего устройства. Чаще всего такое устройство представляет собой переходник – конвертер интерфейсов, например USB-RS485. Переходник через USB-кабель подключается к портативному компьютеру. Как правило, это недорогие, бывшие в употреблении ноутбуки, которые злоумышленникам не жалко бросить на месте проведения атаки. На компьютере установлена программа удаленного администрирования, например TeamViewer. С ее помощью подключается находящийся на удалении сообщник (либо организатор), запускающий программу, которая взаимодействует с диспенсером банкомата. От подобного рода воздействий может дополнительно защитить включение шифрования данных, передаваемых между диспенсером и системным блоком банкомата, однако на старых банкоматах или банкоматах, расположенных в удаленных от федерального центра регионах, такое шифрование применяется не всегда.

Вторая из наиболее популярных атак на устройства самообслуживания получила название TRF-атаки (transaction reversal fraud – мошенничество с отменой транзакций). Можно выделить два основных способа осуществления TRF-атаки: первый использует конструктивный недостаток отдельных моделей банкоматов, которые подготавливают денежные средства к выдаче, но держат их за закрытой шторкой шаттера («пре-кэш»); второй направлен на нарушение логики работы процессингового программного обеспечения.

В первом случае злоумышленник осуществляет «стандартный» съем наличных денежных средств, но не забирает карту из картоприемника. За время, пока банкомат не изъял карту, злоумышленник взрывает шторку шаттера, повреждая механизм шторки, и забирает подготовленные денежные средства. При этом банкомат прекращает клиентское обслуживание («out of service») и считает, что денежные средства не выданы, в результате чего происходит восстановление баланса на счете клиента.

Во втором случае эксплуатируется некорректность настроек некоторых процессинговых систем. Ошибка заключается в последовательности обработки запросов банка-эквайрера и банка-эмитента при выполнении операции возврата денежных средств на платежную карту отправителя, когда денежные средства переводятся от клиента к клиенту. Банк возвращает денежные средства на платежную карту отправителя, а от банка – эмитента платежной карты получателя приходит отказ в списании денежных средств, при этом с карты получателя деньги не списываются. В максимально короткое время после проведения такого рода операции происходит обналичивание обеих платежных карт во избежание блокировки денежных средств.

Упрощенно данный вид TRF-атаки выглядит следующим образом:

– в банкомате выбирается тип операции – Р2Р-перевод (от клиента к клиенту), указывается номер карты получателя;

– банк-инициатор одновременно направляет два авторизационных сообщения: банку получателя и банку отправителя;

– банку-инициатору практически одновременно приходит одобрение от обоих банков (в случае если операция возможна: имеется необходимое количество денежных средств на балансе карты отправителя и т. д.);

– выполняется фактический перевод: увеличивается сумма на карте получателя, одновременно такая же сумма холдируется у отправителя. Сценарий Р2Р-перевода в банкомате при этом еще не закончен;

– банкомат «спрашивает» у отправителя согласие на списание комиссионных за операцию;

– отправитель не соглашается, поэтому банк-инициатор отправляет в банк отправителя и банк получателя сообщение о возврате денежных средств;

– холд со счета отправителя снимается, вместе с тем денежные средства уже выведены получателем.

Согласно данным, представленным в отчете ФинЦЕРТ Банка России за 1 сентября 2017 г. – 31 августа 2018 г., в отчетном периоде отмечено отсутствие атак вида cash trapping. Суть атаки заключается в установке на банкомат специального устройства, удерживающего выдаваемую наличность для ее хищения после того, как клиент, пытавшийся снять денежные средства, отойдет от банкомата. Типовая конструкция таких «ловушек» позволяет захватывать до четырех купюр. По всей видимости, низкая распространенность таких атак обусловлена именно тем, что сумма денежных средств, получаемая злоумышленником в результате успешного проведения атаки, небольшая [18, с. 33].

Кроме того, в последнее время эксперты по информационной безопасности отмечают существенное снижение числа атак типа skimming и shimming, которые заключаются в копировании данных платежной карты с магнитной полосы и микропроцессора соответственно. Такая тенденция обусловлена тем, что копирование данных с магнитной полосы платежной карты – занятие бесперспективное, поскольку кредитные организации обязаны осуществлять переводы денежных средств с применением платежных карт, оснащенных микропроцессором (п. 2.19 Положения № 382-П), а копирование данных с микропроцессора платежной карты с последующей корректной обработкой клона карты банком-эмитентом в Российской Федерации бесполезно.

3. Влияние «теневого интернета» на безопасность электронного банкинга

Опыт – самый лучший учитель, только плата за обучение слишком велика.

Томас Карлейль, английский философ

Введение

Опасность тем страшней, чем она маловероятней.

Джон Голсуорси, английский прозаик и драматург

Конец XX и начало XXI вв. олицетворяют собой быстрое развитие информационных технологий, которые существенно упрощают жизнь людей и позволяют им вести более динамичный образ жизни, сосредоточив свои усилия на организации решения той или иной задачи, а не на ее самостоятельном решении. Жизнь человека уже не представляется возможной без мобильных устройств, компьютеров, технологий «умного дома», корпоративных систем, систем электронного правительства, электронных денег, ЭБ и, конечно же, локальных и глобальных сетей.

Специфика интернета размывает такие привычные понятия, как государственные границы, начало и конец совершения преступления, традиционная идентификация индивидуума и т. д. Однако специфичность виртуальной среды не отменяет законы и признанные правила реального мира. Свобода слова, неприкосновенность жизни человека, защита прав физических и юридических лиц, интеллектуальной собственности, легальность денежной эмиссии, обеспечение защищенного перевода денежных средств по-прежнему остаются актуальными проблемами, в связи с чем повышается значимость вопросов информационной безопасности.

Работа ведется на всех уровнях: от защиты пароля персонального компьютера владельцем до противодействия кибертерроризму и кибершпионажу со стороны органов государственной безопасности. И чем активнее повседневные процессы переносятся в виртуальное пространство, тем острее становятся вопросы безопасности. Это обусловлено неизменностью человеческой сущности, которая может породить действия как хулиганского характера (пример: молодой человек, который создает дома вредоносное программное обеспечение и распространяет его посредством электронной почты), так и идеологического характера (пример: применяемая в КНР практика подготовки хакеров, которые в дальнейшем атакуют серверы государственных служб других стран)[68].

Технологии обхода защитных средств и технологии защиты развиваются в совместном противоборстве, и бывает так, что одни технологии переходят в другие. Хорошим примером являются технологии так называемого «теневого интернета» (примером могут служить системы TOR и I2P).

«Теневой интернет» представляет собой часть интернета, которая скрыта от непосвященных людей, не имеющих идентификатора для работы со скрытыми сервисами. Эти технологии предположительно были созданы спецслужбами Соединенных Штатов Америки для обеспечения конфиденциальности работы агентов[69]. В итоге «теневой интернет» стал решать задачи совершенно иного характера, в том числе связанные с незаконными сделками по продаже наркотиков, вооружения, организацией заказных убийств, а также взаимодействием террористических и радикальных ячеек по всему миру с целью организации акций устрашения. «Теневым интернетом» пользуются и различные хакерские группы, например Anonymous, цель которых – отстаивание свобод человека и неприкосновенности его жизни. Такой феномен, как группа Anonymous, вызывает общественный резонанс, потому что действия группы, с одной стороны, не направлены на извлечение прибыли, а с другой – являются незаконными, поскольку обычно влекут за собой порчу чужого имущества (визуального представления официального веб-сайта, оборудования и т. д.).

В условиях размытости границ в интернете, а также плотного взаимодействия индивидуумов одна и та же группа лиц зачастую может по заказу выполнять действия как мошеннического, так и террористического характера, что обостряет необходимость поиска и нейтрализации злоумышленника, какие бы цели он ни преследовал.

Банковский сектор как основной поставщик услуг ЭБ является одной из приоритетных целей злоумышленников. Это связано с намерениями мошенников незаметно украсть электронные денежные средства клиентов банка или самого банка.

Несмотря на повышенную угрозу хищений электронных денежных средств, а также возможные санкции со стороны контрольно-надзорных органов, руководство кредитных организаций не всегда в должной мере осознает необходимость увеличения расходов на обеспечение информационной безопасности, а иногда и вообще идет по пути максимального сокращения сотрудников информационной безопасности в целях уменьшения расходов. Сотрудникам профильных подразделений бывает трудно убеждать руководство, пытаясь «на пальцах» объяснить модель угроз и рисков и подкрепить свои доводы статистикой инцидентов. Сказывается инерция высшего образования: вузов, в которых ведется подготовка по специализации «информационная безопасность банков», буквально единицы.

Эта и ряд других проблем обеспечения информационной безопасности в гражданских публичных сферах в значительной мере связаны с тем, что данная проблематика появилась в России относительно недавно.

3.1. Проблемы политического характера

Если у вас нет денег, вы все время думаете о деньгах. Если у вас есть деньги, вы думаете уже только о деньгах.

Пол Гетти,

американский нефтяной магнат и промышленник, один из первых в истории долларовых миллиардеров, учредитель Музея Гетти

Данные проблемы можно условно разделить на два типа:

– возможные зарубежные санкции и их последствия;

– агрессивные (военные) действия в киберпространстве со стороны враждебно настроенного государства или террористических формирований (экстремистских ячеек).

В первом случае необходимо обратиться к опыту 2014 г., когда по решению США платежные системы перестали обслуживать держателей карт некоторых российских банков. Под санкции попали крупные государственные банки (с государственным участием): ОАО «Сбербанк России», ОАО «Банк ВТБ», а также сравнительно небольшие ОАО «СМП-Банк» и ОАО «АБ «Россия».

Потенциальной угрозой для российских банков и платежных систем являются новые зарубежные санкции, которые могут быть поддержаны иностранными производителями программного обеспечения. Возможна заморозка не только поставок новых продуктов, но и обновления уже работающих версий.

Следует помнить, что программное обеспечение банковских автоматизированных систем и систем ДБО во многом базируется на продукции Oracle, Microsoft, Symantec, Cisco и других иностранных компаний, даже если они работают в России через дочерние организации. Эти компании в один «прекрасный» момент могут, сославшись на санкции, прекратить поддержку своих продуктов в организациях из санкционных списков.

Из-за этого критически возрастут уязвимости, которыми способны воспользоваться злоумышленники. Но налицо будет и угроза блокировки операционной деятельности банка извне, что сделает невозможными расчеты между клиентами, в частности торговыми предприятиями (например, сети продуктовых магазинов со складом).

В результате осуществления этой угрозы торговым предприятиям придется платить штрафы по договорным обязательствам, прекратится поступление продукции на прилавки, начнутся отток покупателей и уменьшение товарооборота. Банк же потеряет реальную прибыль, так как однодневный простой для него выражается в многомиллионных суммах. В худшем случае банк может лишиться клиента.

Тем не менее, санкции обычно носят временный характер, что хорошо видно на примере Ирана. С 2006 г. страна находилась под различными санкциями. Однако в 2015–2016 гг. большая часть из них была снята, в том числе блокирование доступа к системе SWIFT, которая используется для международных переводов между банками.

Во втором же случае речь идет о военных действиях (кибервойнах), направленных на дестабилизацию работы банковских сервисов, включая ЭБ. Конечно, в большой степени это касается банков, обслуживающих крупные предприятия России: заводы, фабрики, сектор добычи полезных ископаемых, атомную отрасль и т. д.

Ни для кого уже не секрет, что по требованию американских спецслужб разработчики закладывают уязвимости в информационные системы и оборудование, производимые в США. По аналогичному пути идут разработчики КНР и Израиля. Эти страны преследуют различные цели: начиная от разведывательных, то есть сбора информации, и заканчивая удаленным выведением из строя систем или оборудования, уничтожением данных и т. д.

Кроме того, во многих странах идет подготовка войсковых киберподразделений, которые решают задачи нанесения противнику ущерба в киберпространстве.

Хорошим примером может послужить атака, предположительно со стороны ВМС США и Израиля, на ядерный центр Ирана в 2010 г., когда с помощью вируса было выведено из строя 100 ядерных центрифуг. Ирану потребовалось два года, чтобы возобновить исследования в ядерной области[70].

В случае атаки на крупный или средний российский банк, включая его резервные центры (резервные ЦОД), можно получить ситуацию экономического коллапса, так как географически распределенные организации не смогут осуществлять переводы ни с помощью интернет-банкинга, ни при личном визите клиента. Прекратится товарооборот, начнутся повсеместный голод, волнения. То есть страна будет оккупирована в считанные дни без ввода войск.

Для решения подобных проблем необходимы государственное участие и системный подход, в том числе поддержка научных исследований и разработчиков решений по информационной безопасности, а также государственное субсидирование отечественных предприятий – производителей ИТ-оборудования и программного обеспечения.

3.2. Проблема «теневого интернета» на примере системы TOR и идентификации злоумышленников

Всякая вещь в природе является либо причиной, направленной на нас, либо следствием, идущим от нас.

Марсилио Фичино, итальянский гуманист и философ

Для кражи денежных средств клиента или банка злоумышленники все чаще прибегают к системам «теневого интернета» как площадки для проведения операций с сокрытием личности преступника.

Существуют две схожие версии создания «теневого интернета».

Первая версия: «теневой интернет» – это следствие желания людей вести деятельность, не подконтрольную силовым ведомствам. Примером может быть переписка, в которой выражаются политические взгляды.

Вторая версия: «теневой интернет» – это инструмент для анонимного взаимодействия силовых ведомств со своими агентами, а также их финансирования с помощью виртуальной валюты, которая не подконтрольна традиционной банковской системе, что делает более успешным проведение операций этими агентствами.

Авторы склоняются ко второй версии, так как исходный код был разработан Военно-морскими силами Соединенных Штатов Америки, а в дальнейшем выложен в общий доступ (предположительно в целях масштабного развертывания за счет обывателей). Но в целом идея создания «теневого интернета» независимо от деталей сводилась к ведению скрытой, не подконтрольной кому-либо, деятельности. Технологии «теневого интернета» развивались стремительно. В начале это были ресурсы (файловые серверы, веб-сайты и т. д.), которые невозможно было найти через поисковые системы типа Google или Yandex. Сейчас же это широко развитые, гибкие, защищенные системы вроде I2P и TOR.

Следует заметить, что в основе работы большинства систем «теневого интернета» лежит технология NAT, проксирования и тоннелирования, позволяющая пользователям маскироваться. «Теневой интернет» дал надежное прибежище криминальному контингенту.

Вот несколько ярких примеров «луковичных» веб-сайтов из системы TOR, используемых в криминальных целях (на момент публикации часть веб-сайтов может не функционировать):

1) http://rumonv62ul3roit.onon – анонимный форум. Обсуждаются различные темы, включая изготовление оружия и наркотиков в домашних условиях, уход от правосудия;

2) http://clsvtzwzdgzkjda7.omon – форум хакеров. Активно обсуждаются вопросы, связанные со взломом сети, элементов банковской инфраструктуры, кражи денег с пластиковых карт;

3) http://silkroadvb5piz3r.onion – веб-сайт по продаже наркотиков, оружия, детской порнографии (рис. 35). Вход только по приглашению (технология приглашения на веб-сайт неизвестна, при входе требуется аутентификация). Первая версия веб-сайта закрыта ФБР США в 2013 г., третья версия веб-сайта закрыта ФБР США в 2017 г.;

Рис. 35. Веб-сайт по продаже наркотиков в сети TOR

4) http://665lw5dt6g32twwo.onion – веб-сайт российских националистов. На веб-сайте ведется централизованная координация действий участников, в том числе силовых акций и действий по подрыву доверия к ветвям власти.

Этот список – лишь выдержка из обширного перечня веб-сайтов «теневого интернета» в составе сети TOR. Очевидно, что более 90 % вебсайтов в «теневом интернете» используются в целях, далеких от законных. Следовательно, цели, заявленные при широком развертывании сетей типа TOR, такие как сохранение права человека на частную жизнь, не соответствуют действительности и в реальности сети используются для совершения незаконных действий и ухода от правосудия.

Согласно технической документации, размещенной на официальном веб-сайте разработчиков, сеть TOR представляет собой набор созданных на добровольной основе серверов, которые позволяют пользователям этой сети работать с ресурсами интернета, сохраняя свою анонимность и обеспечивая безопасность своих действий. Основной особенностью является создание набора тоннелей при соединении пользователя с каким-либо ресурсом. В отличие от прямых соединений пользователей при стандартной работе в интернете, это дает возможность публиковать любую информацию, не боясь быть идентифицированным кем-либо.

Заявленные разработчиками цели использования сети TOR:

– обычные граждане имеют возможность без отслеживания их действий посещать любые ресурсы интернета;

– журналисты могут взаимодействовать по защищенным каналам с диссидентами и осведомителями;

– некоммерческие организации могут работать за рубежом со своими домашними веб-сайтами, не уведомляя об этом;

– всевозможные группы активистов могут использовать данную систему для реализации прав и свобод граждан всего мира;

– ВМС США используют систему для сбора оперативной информации из общедоступных источников, чтобы скрывать адреса, принадлежащие ВМС США, и тем самым не привлекать внимания к своей активности.

Яркими представителями спонсоров развития сети TOR являлись и являются:

– ВМС США (2001–2006 гг.);

– Национальный научный фонд США (2007 г.);

– Google (2008–2009 гг.);

– Национальная исследовательская лаборатория США (20062010 гг.);

– Национальная христианская организация США – National Christian Foundation (2010–2012 гг.);

– Фонд Форда (2012–2014 гг.);

– Министерство иностранных дел Германии (2015 г.);

– Государственный департамент США – Бюро демократии, прав человека и труда (2017–2019 гг.).

Работа сети TOR представляет собой взаимодействие большого количества серверов, каждый из которых отдает часть пропускной способности своего интернет-подключения для нужд сети. Этот принцип схож с принципом работы пиринговых сетей. Любой пользователь сети TOR может через настройки программы предоставлять свой компьютер как сервер, тем самым развивая анонимную сеть и повышая собственную анонимность.

Браузер TOR, который предварительно устанавливается пользователем и работает в том числе как прокси-сервер, случайным образом выбирает несколько серверов из доступных (список серверов браузер TOR периодически скачивает с центрального сервера) и создает тоннель, проходящий через эти серверы. Трафик пользователя будет пропускаться через данный тоннель. У тоннеля есть вход (браузер TOR на компьютере пользователя) и выход (последний сервер в тоннеле).

TOR шифрует передаваемые пользователем данные открытыми ключами серверов, входящих в цепочку тоннеля (рис. 36). При этом компьютер пользователя отсылает данные на первый сервер в этой цепи, который снимает с данных свой слой шифра и передает их далее, а с реальной точкой назначения непосредственно общается сервер, служащий точкой выхода из тоннеля.

Рис. 36. Принцип работы сети TOR

Данная технология защищает пользователя от слежки и негативных последствий посещения специфических веб-сайтов в сети. В точке назначения невозможно определить IP-адрес и местонахождение пользователя, так как пользователь не связывается с ней напрямую; кроме того, серверы-посредники получают ограниченные, только необходимые, сведения.

К примеру, первый сервер в цепочке сети TOR, выбранный для тоннеля, не может точно определить, назначены ли данные для пользователя или он тоже является посредником в цепочке для другого пользователя. Ни один узел в цепочке тоннеля, кроме выходного сервера, не имеет доступа к передаваемым данным (в незашифрованном виде), так как это не нужно для их работы. Серверам из цепочки в тоннеле необходима лишь информация о том, какой следующий сервер в цепи посредников будет получать зашифрованное содержимое.

Для того чтобы каждый сервер в цепи имел только часть необходимой именно для него информации, используется шифрование с открытыми ключами. Данный метод шифрования хорошо себя зарекомендовал и очень надежен, и даже если отдельный сервер в цепочке находится под контролем противника, он не сможет получить информацию, предназначенную для других серверов в цепочке тоннеля.

Только последний сервер R3 в цепочке тоннеля может расшифровать передаваемые данные, которые он отсылает в конечный пункт назначения (интернет-ресурс). Обратный ответ он может доставить на компьютер пользователя таким же образом, с сохранением анонимности.

Другими словами, имеются:

– входной узел для первичного шифрования;

– посреднический узел, который осуществляет только обмен между узлами сети TOR;

– выходной узел, который является передаточным звеном между сетью TOR и интернет-ресурсом.

В последней версии TOR используются также сторожевые узлы, которые защищают от компрометации. Фактически они снижают вероятность компрометации, но не обеспечивают полную защищенность. В сети TOR также есть анонимные мостовые узлы, которые применяются для построения цепочек. Их основная цель – противодействовать блокированию узлов системы TOR по списку.

В качестве еще одной особенности можно отметить построение в системе TOR новой цепочки каждые 10 минут и наличие встроенных механизмов имитации работы некоторых протоколов с целью обеспечения защищенного обмена между мостами и узлами.

Однако следует заметить, что построение подобных географически распределенных цепей узлов сети снижает скорость работы в интернете.

Основные уязвимости, дестабилизирующие работу сети TOR, можно разбить на три вида:

– уязвимости браузера TOR, работающего на базе браузера Mozilla;

– уязвимости архитектуры сети TOR;

– уязвимости, связанные с работой других сервисов.

В первом случае речь идет об уязвимостях самого браузера и сопутствующих элементов – плагинов. Действительно, уязвимости браузера позволяют заинтересованным лицам произвести атаки на сам клиент. Однако даже с ресурсами Агентства национальной безопасности США уследить за всеми пользователями невозможно, учитывая, что устраняются уязвимости довольно быстро. Это подтверждается опубликованными в WikiLeaks документами, ранее украденными Эдвардом Сноуденом. К уязвимостям плагинов можно отнести внутренние ошибки Flash и HTML5, с помощью которых можно вынудить пользователя сети TOR отправить реальный адрес. В настоящий момент эти уязвимости стали менее актуальными в связи с отсутствием поддержки данных плагинов в последних версиях браузера TOR.

Во втором случае речь идет о еще менее эффективных способах, которые требуют использования высокопроизводительных компьютеров:

– атаке по времени, то есть расшифровке данных в результате анализа параметров времени шифрования. Эффективность этого способа низка, так как шифрование происходит на всех трех узлах цепи серверов TOR. Для анализа параметров времени шифрования необходимо слушать трафик на первом узле, однако использование сторожевых узлов сводит эту возможность к минимуму;

– глобальном пассивном наблюдении. Этот способ позволяет наблюдать отклонения по назначению трафика, тем самым выявляя нужный трафик. Однако при малых скоростях выявить отклонения невозможно, а работа пользователей TOR связана преимущественно с малыми скоростями, что обусловлено географической распределенностью узлов, которые участвуют в построении цепи;

– взломе и заражении мостов TOR c дальнейшей слежкой за пользователями, в том числе подменой ключей шифрования. Поиск мостов и их взлом также считаются малореализуемой задачей;

– выводе из строя сторожевых узлов с помощью DDoS-атак. В настоящее время эта уязвимость стала неактуальной, поскольку разработчики проекта TOR максимально скрывают адреса сторожевых узлов.

В третьем случае уязвимость связана с работой пользователей через TOR с системой Bitcoin. Методика использует уязвимость протокола криптовалюты, которая позволяет клиентам осуществлять свободный сбор статистики и произвольный выбор узлов. Поэтому атакующий, используя даже незначительное в общей массе количество случайных соединений, может собрать достаточно информации для последующего ее анализа. После накопления определенного массива данных, применяя DoS-атаку на сеть Bitcoin, можно деанонимизировать не менее половины ее пользователей. Так как в системе Bitcoin по умолчанию применяется бан IP-адресов, причастных к DoS-атакам, атака через выходные узлы TOR позволяет последовательно выводить из строя клиентов, работающих через эту анонимную сеть. И как следствие, становится возможным выделение тех IP-адресов, которые не работают с клиентом, выходящим в сеть через TOR. Опасность этой атаки заключается в том, что она работает, даже если соединения с Bitcoin зашифрованы. Однако атака неэффективна в случае краткосрочных действий пользователей в сервисе Bitcoin, не говоря о том, что работа с виртуальной валютой не является нарушением закона.

Новые исследования на тему уязвимостей TOR публикуются регулярно, однако в большинстве своем уязвимости или носят краткосрочный характер, то есть легко устраняются, или могут быть использованы только при каких-то ограничениях и (или) в малых сегментах сети.

В настоящий момент TOR остается одной из самых защищенных систем. В разных странах (в т. ч. силовыми ведомствами) ведутся работы по модификации TOR или использованию дополнительных программ вкупе с TOR с целью создания более защищенной системы.

Таким образом, система TOR является неотъемлемой частью «теневого интернета» и используется преимущественно для ведения незаконной деятельности, а также ухода от правосудия, в том числе при атаках на СЭБ. Несмотря на это, различные коммерческие и государственные организации (преимущественно из США) продолжают спонсировать данный проект под предлогом защиты прав человека. Технология работы сети, а также ее постоянное развитие не позволяют в полной мере противоборствовать незаконным действиям, совершаемым в ее рамках. А топология самой системы исключает возможность предотвратить ее использование, деанонимизировать большую часть пользователей, взломать сеть или вывести ее из строя, что заставляет применять инновационный подход к противодействию подобным сетям.

3.3. Описание сети I2P и принцип ее работы

Умеющий ходить – не оставляет следов, умеющий говорить – не совершает ошибок, умеющий запирать дверь – не пользуется замками, но запирает их так крепко, что открыть их невозможно.

Лао-цзы (Ли Эр), древнекитайский философ

Второй по популярности сетью в «теневом интернете» является I2P. Если TOR изначально создавалась именно для анонимной работы в интернете, представляет собой цепочку proxy-серверов и как результат развития позволяет теперь создавать веб-сайты не с ICANN-именами, то I2P представляет собой одну большую VPN-сеть, где шифруются IP-адреса и формируются тоннели разной длины. И основная цель такой сети – как раз анонимное высказывание своих мыслей в сообществе: работа в интернете из этой сети не может быть анонимной.

I2P была создана в 2003 г. и активно развивается вплоть до настоящего времени. Некоторые примеры веб-сайтов данной сети (на момент публикации веб-сайты могут быть не доступны):

– silkroadreloaded.i2p – продажа наркотиков;

– http://bitcoin4cash.i2p/ – покупка криптовалюты;

– http://duck.i2p/ – криптоказино.

Концептуальными элементами сети I2P являются:

– маршрутизаторы, которые участвуют в построении тоннелей;

– тоннели;

– сетевая база данных.

Первый элемент и является по сути элементом, анонимизирующим пользователей, так как работает не с реальными адресами, а с I2P-адресами каждого приложения, которое запущено у пользователя, обращающегося к маршрутизатору. Маршрутизаторы имеют как реальные IP-адреса, так и BP-адреса.

Второй элемент – это путь через цепочку маршрутизаторов. Тоннель выстраивается от отправителя к получателю данных. Если получатель планирует передать данные обратно отправителю, то выстраивается другой тоннель. Поэтому клиент всегда имеет входящий и исходящий тоннели (рис. 37).

Третий элемент – это базы, где хранятся сведения о маршрутизаторах и тоннелях (которые обновляются в режиме реального времени). При выстраивании тоннеля из базы берутся сведения о входящих и исходящих тоннелях получателя.

Основной принцип работы сети: любой клиент – это маршрутизатор. IP-адреса клиентов/маршрутизатор зашифрованы алгоритмом AES. Клиент знает только адреса ближайших маршрутизаторов.

Кроме технологии анонимизации работы пользователей, в данной сети все сообщения шифруются на четырех уровнях: сквозное, чесночное, тоннельное шифрование, а также шифрование транспортного уровня.

Главная особенность сети I2P заключается в том, что маршрутизация и построение тоннеля осуществляются не по общесетевым правилам, а по принципу передачи сообщения через API от одного клиента к другому: в начале происходит расшифровка части сообщения Java-приложением маршрутизатора, а затем узнается следующий маршрутизатор и пересылается нерасшифрованный вариант.

Рис. 37. Принцип работы сети I2P

Главной уязвимостью I2P, по мнению различных экспертов, является возможность перехвата всего тоннеля. Для обеспечения анонимности внутри I2P применяются тоннели, представляющие собой цепочки маршрутизаторов, через которые передаются сообщения. Тоннели бывают исходящие и входящие. Исходящие предназначены для сокрытия местоположения отправителя, а входящие – получателя. Потому LeaseSet’ы и представляют собой список входных узлов и идентификаторов входящих тоннелей, информация об исходящих тоннелях не публикуется. Местоположение второго конца тоннеля держится в секрете. Для получения ответов клиент посылает серверу собственный LeaseSet. Каким путем проложен тоннель и соответственно на каком узле находится его второй конец – известно только создателю тоннеля. Все промежуточные участники тоннеля знают лишь следующий узел, которому следует передать перешифрованное сообщение. Но это в теории – на практике же промежуточные узлы также знают, откуда пришло сообщение, потому что сообщения между узлами передаются по обычному интернету и узнать IP-адрес отправителя не составляет труда. Далее при достаточном размере базы можно найти и RouterInfo.

Таким образом, если промежуточный узел тоннеля принадлежит злоумышленнику, то он немедленно узнает и двух своих соседей, что компрометирует одно- или двухшаговые тоннели, поскольку позволяет отследить всю цепочку. Теоретически можно увеличить длину тоннелей вплоть до восьми узлов, практически же каждый дополнительный узел резко замедляет скорость работы и надежность, поскольку присутствие узла онлайн на все время существования тоннеля не гарантировано. Поэтому в настоящий момент в I2P используются трехшаговые тоннели.

Таким образом, для успешной деанонимизации узла злоумышленнику следует узнать маршрут любого из тоннелей в любой момент – для этого достаточно, чтобы два узла одного тоннеля были ему доступны. При нынешнем размере сети в несколько тысяч узлов такой сценарий вполне по силам крупным структурам. Если в деанонимизации серверов ранее описанный перехват reseeding^ мало поможет, поскольку серверы выбирают узлы входящих тоннелей сами, то для выявления клиентов, посещающих «неблагонадежные» ресурсы, данный метод идеален: все узлы, в том числе выходные, используемые клиентом для построения его исходящих тоннелей, будут априори принадлежать злоумышленнику. Тем самым сразу станет известно, откуда пришло сообщение, предназначенное какому-нибудь входящему тоннелю сервера.

3.4. Проблема борьбы с «теневым интернетом» и средствами анонимизации

Человек бывает настолько самонадеян, насколько он ограничен пониманием.

Александр Поп, английский поэт, один из крупнейших авторов британского классицизма

Текущие средства, направленные на деанонимизацию преступников, преимущественно связаны с поиском уязвимостей в системах анонимизации, привлечением машинного обучения для выявления особенностей поведения самого злоумышленника, активным мониторингом трафика и т. д. С учетом роста преступности данные меры в итоге станут неэффективными. «Теневой интернет», кроме того, используется как площадка для разворачивания серверов управления бот-сетями, серверов с машинным обучением для изменения поведения злоумышленников, изменения поведения систем взлома с целью обхода средств безопасности и т. д.

В этой неравной борьбе, по мнению авторов, необходимо менять правила работы самого интернета: отказываться от протоколов и технологий типа SOCKS, NAT, менять работу иных протоколов с целью однозначной привязки IP-адреса к пользователю и т. д.

Однако в настоящий момент повсеместные скандалы, связанные с манипулированием мнением избирателей (пример: Cambridge Analitica[71]), а также использование интернет-цензуры (в Иране, КНР, КНДР, а в последнее время и в РФ) не позволяют в полной мере убедить общественность и бизнес, активно участвующие в развитии интернета в рамках таких организаций, как ICANN, ISOC, IETF и др., что необходимо пожертвовать частью своей приватности в пользу борьбы с киберпреступностью. То есть желание пользователей интернета защитить свою частную жизнь и иметь свободный доступ к информации перевешивает риски, связанные с опасностями «теневого интернета» и средств анонимизации.

3.5. Проблемы законодательного характера

Добрые нравы имеют большую силу, чем хорошие законы.

Публий Тацит, древнеримский историк

В нынешних реалиях российские банки стараются максимально переложить риски информационной безопасности при предоставлении услуг ЭБ, включая риски кражи электронной подписи, несанкционированного доступа в личный кабинет, мошенничества и т. д., на самого клиента. Однако изменения в ч. 11 ст. 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] кардинально улучшили ситуацию с защитой прав клиентов, переложив ответственность за безопасность денег клиента на сами банки.

Необходимо отметить, что ЭБ не ограничивается переводом электронных денежных средств: он также подразумевает возможность клиента давать поручение на приобретение ценных бумаг или валюты на Московской бирже в рамках брокерского договора. А риски по этому направлению иной раз куда выше, чем при переводе электронных денежных средств в системе «Банк-Клиент».

До сих пор большинство договоров банков по указанным услугам с клиентами выстраиваются с максимальной защитой интересов банков, а не клиентов. В подобных условиях банк обходится минимальным набором защитных механизмов.

Усложняет ситуацию то, что в Федеральном законе от 06.04.2011 № 63-ФЗ «Об электронной подписи» [60] отсутствует унифицированный подход к электронной подписи, выраженный в обязательстве любой организации принять документ, подписанный усиленной квалифицированной электронной подписью.

Гражданин или юридическое лицо не может сгенерировать ключи электронной подписи и выпустить в сертифицированном удостоверяющем центре по доступной цене квалифицированный сертификат, а далее использовать усиленную квалифицированную подпись в любой системе интернет-банкинга банка, микрофинансовой организации, ломбарда, платежного агента и т. д. С другой стороны, не решены проблемы идентификации клиентов в самих удостоверяющих центрах, за последние годы зафиксировано огромное количество случаев мошенничества, в том числе связанных с переоформлением собственности. Поэтому российские банки как нельзя кстати начали активно работать над внедрением средств биометрической идентификации клиентов, что в итоге должно повлиять и на уровень безопасности, и на удобство самих клиентов.

Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 21.07.2014) «О персональных данных» [52] с учетом невысоких штрафных санкций, предусмотренных КоАП РФ, не обязывает со всей серьезностью относиться к обеспечению безопасности персональных данных. Яркими примерами стали утечки в 2019 г. у Сбербанка и ВТБ[72], сведения о каких-либо штрафных санкциях в отношении этих банков в СМИ отсутствуют. Европейская практика в рамках General Data Protection Regulation показала, что высокие штрафы[73] стимулируют коммерческие и государственные компании активнее тратиться на средства безопасности[74](в т. ч. средства двухфакторной аутентификации), а также внедрять процессы ИБ в соответствии с такими стандартами, как ISO 27001.

Законодательная база России в области информационной безопасности не в полной мере соответствует реальным нуждам в данной области. Создание новых законов и редактирование действующих, то есть процесс законотворчества, требуют вовлечения людей, непосредственно обеспечивающих информационную безопасность на местах. А высокие штрафы за невыполнение законов, стандартов и требований мегарегулятора должны побудить банки серьезнее относиться к защите конфиденциальной информации.

3.6. Проблемы обеспечения информационной безопасности в банковском секторе на местах

Нельзя добиться скорости второпях.

Добиться скорости можно, только действуя медленно.

Стивен Хантер. Я, снайпер

СЭБ, кроме случаев аутсорсинга, является неотъемлемой частью инфраструктуры банка, и качество обеспечения безопасности на местах напрямую сказывается на возможности злоумышленника произвести атаку на банк. Зачастую сам банк является пользователем систем интернет-банкинга. К ним можно отнести системы управления депозитарными счетами в уполномоченных банках Московской биржи, перевода денежных средств через Банк России, отправки отчетности в Банк России, взаимодействие с платежными системами, например «Город» или QIWI, для ускоренного перевода платежей, связанных с оплатой мобильной связи и т. д., систему SWIFT, системы перевода моментальных платежей типа Western Union и другие.

Положение Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» [21], а также отраслевые стандарты Банка России по информационной безопасности[75], ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия» призваны максимально обезопасить банки от возможных попыток злоумышленников украсть деньги или нанести вред банку, например сорвать сделку крупного клиента, который должен внести до определенного времени авансовый платеж, чтобы начать сотрудничество с покупателем.

Основные ошибки и проблемы при обеспечении информационной безопасности на местах:

1. Некачественно сформированный процесс управления криптографическими ключами. Обычно это проявляется в том, что ключи передаются неуполномоченным лицам, конечная отправка рейсов, платежей осуществляется не с выделенного рабочего места – как выделенного физически, так и отделенного от основной сети банка.

В небольших банках встречается ситуация, когда ключи нескольких пользователей записаны на один накопитель, постоянно находятся на компьютере и администраторы удаленно осуществляют отправку.

Это открывает широкие возможности злоумышленникам, которые каким-то образом проникли в банк – через занесенный вирус или нелояльного сотрудника самого банка, в том числе сотрудника ИТ-подразделения.

2. Неподготовленность персонала к воздействиям извне. Социальная инженерия остается одной из самых актуальных проблем. Нередко злоумышленники собирают информацию о работниках в социальных сетях, на форумах и т. д. и затем, представляясь сотрудниками регуляторов, различных ведомств, специалистами технической поддержки, просят перевести денежные средства. Также нередки случаи, когда злоумышленники направляют работникам письма от имени проверяющих органов с вложением (якобы отчетом), открыв которое, сотрудник банка заражает рабочую станцию и злоумышленник осуществляет дальнейшее развитие атаки вглубь инфраструктуры банка.

3. Низкая организованность при предоставлении доступа. Например, нередко в банках можно наблюдать ситуацию, когда на площадке (в помещении), где работают дилеры, используется вход в системы под одной учетной записью, что усложняет контроль действий дилеров и расследование инцидентов.

4. Экономия на средствах безопасности. Злоумышленники имеют высокую мотивацию и хорошую подготовку, в том числе используют средства машинного обучения, чтобы обходить шаблоны и правила стандартных средств безопасности. В большинстве случаев в банках требуется наличие инструментов Threat Intelligence, SOAR, WAF, а также Deception Technologies для противодействия таргетированным атакам.

5. Плохое сегментирование сети на сетевом уровне, отсутствие шифрования.

6. Нерегулярное сканирование инфраструктуры на наличие уязвимостей, а также отсутствие полноценных пентестов, в том числе с участием Red Team. В тех банках, в которых ведется собственная разработка кода, не всегда присутствует полноценный цикл безопасной разработки, включающий в себя обучение разработчиков основным уязвимостям, формирование требований к безопасной архитектуре программы, статический и динамический анализ кода и т. д.

7. Сокращение штата подразделения, ответственного за информационную безопасность (неудивительно, что большую часть противоправных действий осуществляют бывшие сотрудники банковских подразделений ИТ/ИБ), или наличие непрофессиональных сотрудников. Нередка ситуация, когда менеджерский состав подразделения информационной безопасности формируется по принципу «свой-чужой», при этом предпочтение отдается надежности, а не талантливости и качеству работы.

8. Несвоевременное обеспечение информационной безопасности систем интернет-банкинга. Показательный инцидент произошел в марте 2014 г., когда, используя уязвимости Heartbleed, злоумышленники вмешались в работу системы продажи билетов РЖД и смогли перехватывать платежи процессинга ВТБ[76].

9. Отсутствие риск-ориентированного подхода к обеспечению информационной безопасности. Это, пожалуй, самая распространенная ошибка, даже среди крупных банков. Риск-ориентированный подход подразумевает баланс между потребностями бизнеса и решением проблем безопасности, а также использование инновационных ИТ-решений в области безопасности. К сожалению, в большинстве случаев преобладает или узкотехнический, или нормативно-регламентирующий подход.

Данный список неполон. Однако названные типичные проблемы и ошибки предоставляют злоумышленникам хорошую возможность, заразив сеть банка или используя уязвимости систем интернет-банкинга, получить доступ к управлению денежными средствами с целью их кражи. Только вовлеченность руководства кредитных организаций и риск-ориентированный подход позволят изменить ситуацию и повысить уровень безопасности ЭБ.

3.7. Проблемы обеспечения информационной безопасности на стороне клиента

Если слепой, споткнувшись о камень, упадет на дороге, всегда ругает камень, хотя виною его слепота.

Генрик Сенкевич, польский писатель, лауреат Нобелевской премии

Концептуальная схема, выработанная российским банковским сообществом, предполагает, что большую часть рисков при использовании систем интернет-банкинга несет сам клиент.

Нередки случаи, когда банки навязывают средства безопасности, которые фактически не выполняют свою функцию. В том числе это касается различных токенов, которые не в состоянии защитить от подмены платежа в момент подписания, а SMS могут быть перехвачены. К сожалению, в России очень медленно внедряются технологии типа Mobile ID[77], которые в ЕС в настоящий момент доступны за символическую плату.

Банковские системы по противодействию мошенничеству также могут быть обойдены злоумышленниками с помощью имитации повседневного платежа, постепенного вывода денег, использования всех данных самого клиента и т. д.

Сами клиенты часто пренебрегают правилами безопасности:

1) сообщают пароль и данные банковской карты незнакомым лицам, в том числе по телефону;

2) переходят на поддельные веб-сайты, не обращая внимания на оформление и адрес веб-сайта;

3) размещают в свободном доступе паспортные данные, что позволяет злоумышленникам подделать доверенность и выпустить новую SIM-карту для подтверждения платежей;

4) не заботятся об антивирусной защите, поэтому мошенникам не составляет труда получить доступ к СЭБ.

Данный список также неполон, однако демонстрирует слабую осведомленность клиентов о мерах безопасности. Отсутствие у банков жесткой обязанности предоставлять клиентам безопасный сервис ведет к тому, что мошенники и по сей день имеют возможность наращивать капитал, полученный преступным путем.

Обеспечение безопасности СЭБ в России требует комплексного подхода. Отсутствие большого числа ИТ-систем собственного производства, широкое распространение «теневого интернета», нежелание банков обеспечивать информационную безопасность на местах, низкая осведомленность обычных пользователей, в первую очередь граждан и представителей малого бизнеса, создают плодотворное поле для процветания мошеннического контингента.

Предстоит большая работа для того, чтобы изменить ситуацию. Однако в России есть люди, которым небезразлично состояние информационной безопасности как на их рабочих местах, так и в стране в целом. При поддержке Банка России и силовых ведомств, а также правильном законодательном фоне возможно обеспечить защищенный ЭБ и создать качественно новый интернет-продукт для клиентов кредитных организаций и не только для них.

4. Характеристика хищений денежных средств с использованием вредоносных компьютерных программ неправомерного доступа к информации

Наибольший соблазн преступления заключается в расчете на безнаказанность.

Марк Туллий Цицерон, древнеримский политический деятель

4.1. Вредоносные компьютерные программы как средство совершения хищений денежных средств

Не пренебрегай врагами: они первыми замечают твои ошибки.

Антисфен, древнегреческий философ

История рассматриваемых преступлений сравнительно коротка. Появление и массовое распространение вредоносных программ, специально предназначенных для совершения хищений денежных средств в системах платежей, впервые стали отмечаться специалистами в 20052006 гг.[78] В 2007 г. была обнаружена ставшая впоследствии самой массовой и по-своему знаменитой троянская программа «Зевс» (Zeus, Zbot). В 2009 г. появился SpyEye, в 2010 г. – «Карберп» (Carberp, «Цербер») и HodProt (Origami). Некоторые из этих программ до сих пор используются преступными группами – прежде всего вредоносные программы, являющиеся новыми версиями «Зевса» или созданные на его основе[79]. Кроме того, в последние годы появилось большое количество новых специализированных вредоносных программ. В настоящее время актуальны такие банковские троянские программы (или их модификации более широкого назначения), как Corkow, Ranbyus, Lurk, Shiz, BifitAgent. Отдельно и очень активно развиваются троянские программы, специально предназначенные для работы на мобильных устройствах.

Разумеется, хищения в электронных системах, использовавшихся в нашей стране, как уже было отмечено, примерно с середины 90-х гг., происходили и раньше, в том числе с применением различных вредоносных программ. Однако эти преступления носили преимущественно индивидуальный характер и часто совершались с участием человеческого фактора в той или иной форме или с использованием различных приемов социальной инженерии, а вредоносные программы распространялись только адресно. Быстрое распространение недорогого широкополосного доступа к интернету и сопутствовавшее ему развитие различных электронных систем переводов денежных средств открыли компьютерным преступникам новые возможности монетизации их деятельности, причем с доходностью, значительно превышающей доходность от любых других видов компьютерных преступлений.

Для получения скрытого доступа к электронным средствам платежа (ЭСП), перехвата и копирования необходимой для совершения перевода денежных средств информации, а затем и совершения самих несанкционированных переводов со счетов жертв потребовалось создание нового класса вредоносных программ – так называемых банковских троянских программ.

Согласно ст. 273 УК РФ вредоносными считаются «компьютерные программы либо иная компьютерная информация, заведомо предназначенные для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации». Согласно примечанию 1 к ст. 272 УК РФ, «под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи». Определения, данные в УК РФ, являются весьма широкими по смыслу, вполне универсальны и проверены практикой правоохранительных органов. Всем, кто имеет хотя бы поверхностное представление об информационной безопасности, хорошо известно, насколько велико разнообразие вредоносных программ и широк спектр решаемых ими задач. Вирусы, «черви», бэкдоры (средства скрытого удаленного доступа), «клавиатурные шпионы», макровирусы для Word и Excel, вирусы загрузочных секторов (буткиты), скриптовые вирусы (shell-вирусы, java-вирусы и т. д.), разнообразное мошенническое программное обеспечение, шпионские и рекламные программы – вот далеко не полный список того, что обычно относится к категории вредоносных программ.

Описываемые программы относятся к категории троянских. На практике их еще называют «трояны», «троянцы», «троянские кони», «трои». Такое наименование они получили по аналогии с известным античным мифом о гигантской деревянной статуе коня, внутри которой в осажденную Трою тайно проникли греческие воины на заключительном этапе Троянской войны.

Троянская программа незаметно для пользователя устанавливается на компьютере или мобильном устройстве для выполнения каких-либо задач – как правило, вредоносных. В отличие от так называемых компьютерных вирусов и червей, троянские программы обычно не имеют функционала для собственного воспроизведения и распространения своих копий. Установка троянских программ может производиться вручную злоумышленником, получившим непосредственный или удаленный доступ к целевому компьютеру или мобильному устройству, либо самим пользователем по ошибке, неведению, в связке с другими программами. Массовое же распространение троянских программ производится через компьютерные сети, обычно с использованием дополнительных вредоносных программ, уязвимостей операционных систем и пользовательского программного обеспечения, иных специальных приемов и технологий. Массовое и одновременно скрытое заражение троянскими программами как можно большего количества компьютеров и устройств – отдельная сложная задача для преступников, о способах решения которой будет сказано далее.

Троянские программы могут решать следующие задачи:

– получение, копирование и передача любой информации, представляющей ценность, в том числе данных, необходимых для аутентификации в любых системах, для несанкционированного доступа к ресурсам любого типа, для использования ЭСП любого типа;

– осуществление скрытого удаленного доступа к компьютеру или мобильному устройству, в том числе с возможностью управления (администрирования);

– загрузка и передача любых файлов, внесение изменений в любые файлы или программы, удаление файлов или программ, установка других программ, в том числе вредоносных;

– создание помех в работе компьютера или мобильного устройства, выведение их из строя;

– скрытое наблюдение за любыми действиями пользователя и других программ, включая сбор сведений о посещаемых сетевых ресурсах, копирование текста, набираемого на клавиатуре, снятие снимков экрана, скрытое включение микрофона и видеокамеры, запись потокового аудио и видео и т. п.;

– сбор адресов электронной почты из почтовых программ пользователя для последующего использования их в целях рассылки спама;

– использование зараженного компьютера или мобильного устройства для участия в DDoS-атаках, в качестве прокси, для посещения рекламных веб-сайтов, просмотра рекламных объявлений и т. п.;

– дезактивация антивирусных программ или создание помех в их работе, обход или выведение из строя программных или аппаратных средств защиты;

– внедрение кода в загружаемые пользователем при помощи программы браузера веб-страницы (технология так называемых веб-инжектов (от англ. web injection — инъекция в веб-сайт)) с целью подмены информации на просматриваемых пользователем веб-сайтах, перехвата вводимых аутентификационных данных, запроса дополнительных сведений, необходимых для совершения неправомерных действий (например, телефонного номера); сетевой адрес оригинального веб-сайта, посещаемого пользователем, может быть при помощи веб-инжектов скрыто подменен на адрес так называемого фишингового веб-сайта.

Приведенный список не является исчерпывающим, однако из него уже видно, насколько широкие возможности могут предоставлять злоумышленникам троянские программы. Непосредственное назначение и использование троянской программы в каждом случае зависят от ее функционала и криминальной специализации лица, управляющего данной программой.

В случае если некая троянская программа распространяется достаточно широко и устанавливается на множестве компьютеров и иных устройств, возникает такое явление, как ботнет – сеть ботов.

Термином «бот», представляющим собой сокращение от слова «робот», в компьютерной индустрии традиционно называют любые автономные программы, обычно выполняющие однообразную повторяемую работу. Точно так же ботами принято называть вредоносные программы, хотя часто под ботами подразумеваются не только программы, но и сами зараженные ими устройства. Иногда вместо термина «бот» используется слово «зомби» и соответственно вместо термина «ботнет» – «зомби-сеть». Ботнет можно определить как компьютерную сеть, обычно построенную по архитектуре «клиент-сервер» из компьютеров-ботов (мобильных устройств – ботов) с установленной на каждом из них вредоносной программой или несколькими взаимосвязанными вредоносными программами. В большинстве случаев в такой сети имеется единый центр управления, называемый административной панелью ботнета (админ-панелью), ботнет-контроллером, управляющим сервером, контрольно-командным центром ботнета (англ. C&C – command & control).

Центр управления ботнетом в большинстве случаев представляет собой веб-сайт в интернете, запущенный на виртуальном или выделенном физическом сервере (либо в крупных ботнетах на группе серверов). Сам факт существования центра управления ботнетом, сохраняемые в нем данные и осуществляемые с его помощью соединения, а также операции скрываются и защищаются различными способами. Доступ к центру управления ботнетом осуществляется после аутентификации.

Центр управления ботнетом в зависимости от возможностей, назначения и порядка использования ботнета и ботов может быть предназначен для решения следующих задач:

– ведение списка имеющихся ботов, поиск, выборка и классификация ботов по различным критериям;

– сохранение и обработка информации, поступающей от ботов, в частности аутентификационных данных пользователей, экранных снимков рабочих столов и т. п.;

– передача ботам индивидуальных или групповых команд на выполнение каких-либо действий в соответствии с назначением и использованием программ, например на загрузку определенных модулей (плагинов), изменение настроек конфигурации и т. п.;

– удаление и (или) выведение из строя ботов;

– установление удаленного управления ботами с использованием встроенного функционала или при помощи дополнительно устанавливаемых вредоносных программ;

– организация работы с ботнетом нескольких пользователей, в том числе с различными правами и уровнями доступа, контроль за работой пользователей.

Первые ботнеты с централизованным управлением появились в конце 1990-х – начале 2000-х гг. Уже в 2007 г., по оценке создателя протокола TCP/IP Винта Серфа[80], около четверти из 600 млн компьютеров, подключенных на тот момент к интернету, могли состоять в различных ботнетах. Теоретически и практически любой компьютер или иное устройство могут быть одновременно заражены несколькими различными или однотипными вредоносными троянскими программами (с разными центрами управления) и состоять таким образом в нескольких ботнетах сразу.

Рассмотрим банковские троянские программы и ботнеты на их основе. Задачи банковского трояна могут быть описаны следующим образом:

– после скрытой установки на компьютере или мобильном устройстве обнаружить наличие или следы использования ЭСП: программ типа «толстый клиент», используемых для доступа к банковским счетам или электронным денежным средствам; «тонких клиентов» для доступа к платежным веб-сайтам операторов по переводу денежных средств; программ операторов по переводу денежных средств (межрегиональных переводов) или программ платежных агентов (операторов микроплатежей);

– отслеживая использование ЭСП, получать копии аутентификационных данных и любых других сведений, необходимых для осуществления переводов денежных средств, а также информацию о состоянии счета (или остатка ЭДС), производимых переводах, плательщике и получателях денежных средств;

– обеспечивать при необходимости возможность установления соединения для скрытого удаленного управления зараженным компьютером или устройством с целью последующего осуществления несанкционированного перевода денежных средств;

– самостоятельно при наличии возможности осуществлять с использованием имеющихся на компьютере или устройстве ЭСП несанкционированный перевод денежных средств (так называемый автозалив);

– удалять следы несанкционированного использования ЭСП, удалиться с компьютера или мобильного устройства и вывести его из строя.

Получаемые после установки и в процессе работы данные бот должен передавать в центр управления. Обратно он в определенных случаях получает дополнительные модули (плагины) или настройки, предназначенные для работы с ЭСП выявленных типов. Развитие и усложнение функционала банковских троянов происходят непрерывно с момента их появления, по мере того как кредитные организации и иные операторы по переводу денежных средств развивают программные, аппаратные и организационные средства и меры защиты своих клиентов. Противостояние банковских троянов и защиты от них представляет собой классическую ситуацию противоборства меча и щита или снаряда и брони.

Банковские трояны ранних поколений осуществляли только перехват и копирование аутентификационных данных пользователей операторов по переводу денежных средств и передавали их в центр управления. В последующем при помощи полученных таким образом данных и аналогичных ЭСП (например, доступа к веб-сайту оператора или стандартной клиентской платежной программы), не привязанных каким-либо образом к устройству пользователя, совершались несанкционированные переводы денежных средств. Подобным образом троянские программы использовались преимущественно в 2005–2008 гг., однако простые технологии актуальны и до настоящего времени, так как многие системы перевода денежных средств, особенно электронных, по-прежнему используют простые способы аутентификации.

Постепенно операторы вводили все более сложные системы защиты, ограничивающие возможность совершения переводов денежных средств при помощи ЭСП, установленных (или используемых) на посторонних устройствах. В первую очередь для этого начали применяться различного рода аппаратные ключи (токены, USB-ключи), при помощи которых производятся авторизация и аутентификация пользователей и (или) подписание платежных требований электронной подписью.

Принцип работы большинства аппаратных ключей основан на генерации надежных одноразовых паролей или криптографических ключей, без которых невозможны создание и направление оператору платежных поручений. В результате простое копирование аутентификационных данных стало бессмысленным, так как без использования аппаратного ключа невозможно направить платежное поручение. В ответ на эти меры разработчики банковских троянских программ обеспечили возможность скрытого удаленного управления зараженными компьютерами и устройствами.

Предназначенный для организации такого управления функционал, так называемый бэкдор (от англ. back door — задняя дверь), находится в составе троянской программы или загружается на зараженный компьютер как модуль или дополнительная троянская программа. Для совершения хищения устанавливается скрытое подключение к компьютеру или иному устройству пользователя ЭСП, тайно осуществляется управление этими средствами платежа так же, как это делает законный пользователь, и в нужный момент формируется платежное поручение, которое подтверждается при помощи аппаратного ключа, подключенного к компьютеру. Особенно часто хищения с применением технологии удаленного доступа происходили в 2009–2012 гг.

Дальнейшим этапом развития защитных мер операторов по переводу денежных средств становятся повсеместное внедрение обязательного информирования клиентов о фактах использования ЭСП и совершения переводов денежных средств по дополнительным (так называемым внеполосовым) каналам связи (телефон, SMS), внедрение схем двухфакторной авторизации, подтверждения платежей по внеполосовым каналам, разработка и внедрение более сложных аппаратных ключей с обратной связью и т. п.

При этом банковские трояны также продолжают совершенствоваться. Для обхода усиливающихся мер защиты в последние годы часто применяется технология так называемого автозалива. Она подразумевает автоматическую отправку несанкционированных платежных поручений в процессе штатного использования ЭСП законным пользователем, а также в большинстве случаев подмену данных в выполняемых платежных поручениях и диалогах подтверждения платежей, коррекцию страниц с историей переводов и состояния счета в целях сокрытия фактов хищений (технология автоподмены). В случае работы с «тонкими клиентами» для автозалива используются уже упоминавшиеся ранее веб-инжекты – внедрение кода в загружаемые пользователем при помощи программы-браузера страницы платежных веб-сайтов. Пользователь вводит аутентификационные данные, подготавливает и передает платежное поручение, не подозревая, что браузер искажает информацию под воздействием вредоносной программы и на самом деле перевод денежных средств осуществляется на сторонний счет.

Усложнение банковских троянов закономерно приводит к повышению стоимости и длительности их разработки. Современный банковский троян содержит средства обнаружения и модули для большого количества ЭСП различных операторов, а также разнообразный функционал для преодоления средств и мер защиты и совершения переводов денежных средств.

4.2. Организация преступной деятельности

А вы работаете у нас уже десять лет, но так и не осознали простой истины: если есть преступление, значит, есть и преступник…

Аркадий и Борис Стругацкие. Хищные вещи века

4.2.1. Особенности преступной деятельности в киберпространстве

Для осуществления хищений денежных средств специализированной вредоносной программы, разумеется, недостаточно. Преступная деятельность такого рода – «биз (бизнес) по заливам», как иногда называют ее сами участники, требует большой организационной работы, привлечения определенного количества исполнителей и пособников, постоянного приобретения и потребления разнообразных криминальных товаров и использования криминальных услуг.

Задача хищения денежных средств в электронных системах настолько сложна, что физически не может быть выполнена одним человеком от начала до конца: от момента создания вредоносной программы до момента получения на руки похищенных денежных средств. Тем не менее, хотя такие хищения и являются результатом коллективного труда, для их совершения необязательно существование устойчивых групп лиц, связанных между собой в реальной жизни. Специфика групповых компьютерных преступлений позволяет большинству их участников, не встречаясь лично, общаться, планировать и координировать преступные действия только посредством интернета и только в период совершения преступления. При этом физически сообщники могут находиться не только в разных регионах, но и в разных странах. В результате возникает большое количество кратковременно существующих преступных групп, не имеющих постоянного состава, каждый из участников которых может одновременно участвовать в деятельности множества других групп. Отличие деятельности подобных групп от обычной организованной преступной деятельности весьма существенно, а выявление и привлечение к уголовной ответственности их участников затруднены по объективным причинам, особенно если деятельность групп имеет трансграничный характер.

Регулярно встречаются и устойчивые преступные группы, состоящие из знакомых между собой лиц, находящихся в пределах физической досягаемости. Участники таких групп в зависимости от их численности выполняют либо весь спектр задач на всех этапах преступной деятельности (что бывает крайне редко), либо только определенную часть задач.

Любопытным моментом является и то, что при всей сложности задачи организатору хищений денежных средств, как и большей части участников группы, не требуются профессиональная компьютерная или техническая подготовка и образование. За исключением разработки компьютерных программ, все криминальные специальности, необходимые для участия в процессе, могут быть освоены лицами без специальной подготовки и опыта работы. Инвестиции (вложения капитала, если это можно так называть) на начальном этапе также являются минимальными либо вообще не требуются.

Отметим некоторые другие особенности и тенденции рассматриваемой преступной деятельности:

1. Хищения денежных средств в электронных системах являются в настоящее время наиболее доходной разновидностью компьютерной преступности. Налаженная систематическая работа по «банковской тематике» приносит стабильно высокий доход, превышающий доход от любых иных компьютерных преступлений, таких как организация DDoS-атак, спам-рассылок, заказных взломов ресурсов и личных аккаунтов и пр. По данным аналитиков компании «Группа информационной безопасности», в 2012 г. средняя сумма хищения у юридического лица составляла более 1,6 млн руб., а у физического лица – более 75 тыс. руб.[81] Такие суммы позволяют быстро окупить первоначальные вложения в создание ботнета, оплачивать дорогостоящие криминальные услуги и работу многочисленных пособников. При благоприятном стечении обстоятельств возможно очень быстрое обогащение. На практике известны многочисленные случаи удачных хищений на суммы, превышающие несколько десятков миллионов рублей. Так, например, в 2012 г. различными следственными подразделениями ГУ МВД России по г. Москве расследовались уголовные дела по фактам успешно осуществленных хищений на суммы 16, 25 и 35 млн руб. В том же году имели место неудачные, но впечатляющие своими объемами попытки хищений на суммы около 50, 80, 160 и даже 400 млн руб.

2. Возможность извлечения столь высоких доходов привела к формированию черного рынка криминальных товаров и услуг, необходимых для организации и ведения преступной деятельности по «банковской тематике». В первую очередь к таким товарам относятся сами вредоносные банковские троянские программы, а также различные сопутствующие вредоносные программы. Затем идут многочисленные банковские и иные платежные карты, электронные счета, телефонные номера, копии документов физических лиц, комплекты документов юридических лиц, средства сокрытия доступа, трафик и т. п. К популярным на рынке услугам относятся многочисленные услуги в финансовой сфере, как легальные, так и противозаконные, посреднические услуги любых видов, гарантии сделок, техническое обслуживание аппаратных средств, услуги безопасной связи и пр. На рынке действуют многочисленные профессиональные поставщики и продавцы, между которыми естественным образом возникает конкуренция. Разумеется, было бы неправильным утверждать, что рынок товаров и услуг для банковских хищений отделен от общего криминального рынка компьютерной преступности. Он, безусловно, является одной из основных частей данного рынка – возможно, наиболее объемной по оборотам денежных средств.

3. Еще одной специфической чертой рассматриваемой преступной деятельности является четкое разделение криминальной специализации различных ее участников. Сложность технологий, применяемых в процессе хищений, и большое количество операций и действий, производимых при подготовке и осуществлении хищений, не позволяют, как уже было отмечено, работать в одиночку. Наблюдается процесс формирования своеобразных криминальных профессий, и ниже мы рассмотрим основные из них. Специализация отдельных участников преступной деятельности одновременно означает усиление тенденции к ее организованности.

4. «Представительства», или «торговые площадки» (если их можно так назвать), подпольного рынка криминальных товаров и услуг находятся в интернете. Действует большое количество как открытых (общедоступных), так и закрытых (приватных) веб-сайтов и различных систем связи, созданных для общения лиц, занимающихся преступной деятельностью в сфере компьютерной информации. На таких ресурсах продаются вредоносные программы и иные криминальные товары, предлагаются любые необходимые услуги, происходят поиск работы и заказов, общение, рекрутирование, обмен опытом и обучение всех категорий участников преступной деятельности. Доступ на наиболее серьезные веб-сайты закрыт от посторонних посетителей, и попасть на них можно только по рекомендациям или за большую плату. Однако и на общедоступных ресурсах может быть получен полный спектр необходимых для организации преступной деятельности товаров, услуг, знаний и иной информации, что открывает возможности для начинающих преступников. Первичное знакомство с деятельностью и предложениями черного рынка обычно происходит на следующих сетевых ресурсах: http://forum.zloy.bz; http://darkmoney.cc/; http://forum.anti-chat.ru/; http://forum.beznal.cc/.

Общение на указанных тематических ресурсах, а также по каналам двусторонней связи всегда ведется с использованием многочисленных жаргонизмов и специальных терминов.

Рассмотрим подробнее специальности участников преступной деятельности по совершению хищений денежных средств с использованием вредоносных компьютерных программ. Сотрудникам, занятым борьбой с хищениями данной формы, необходимо знать эти профессии и их наименования, чтобы разбираться в организации выявляемых преступных групп. Следует также понимать, что криминальные профессии необязательно коррелируют с видами соучастия в преступлениях, предусмотренными ст. 33 УК РФ. Организаторами, исполнителями, подстрекателями или пособниками могут быть обладатели любых специальностей, а количество вариантов совместной преступной деятельности различных лиц в рассматриваемой сфере является практически неограниченным.

4.2.2. Кодеры

Программисты, создатели вредоносных программ. «Кодер» – стандартный термин компьютерной индустрии, который сам по себе относится к обычному компьютерному жаргону и обозначает программиста в общем смысле (англ. coder — тот, кто кодирует, пишет код программы). Кодеры вредоносных программ по очевидным причинам являются элитой преступного мира. Создание, доработка и модификация современных банковских вредоносных программ требуют не только изучения языков программирования. Необходимо глубокое знание операционных систем, прикладных программ и, наконец, программ дистанционного банковского обслуживания, являющихся по терминологии Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] ЭСП, на которые и оказывается основное вредоносное воздействие.

При этом термин «программист» необязательно подразумевает профессиональное образование или профессиональную деятельность в сфере программирования. Кодер может быть самоучкой, заниматься программированием в качестве хобби или дополнительной деятельности.

Кодеры банковских троянов в силу особой сложности последних зачастую объединяются в группы. Так, например, в составе группы разработчиков программы «Карберп», задержанных в марте 2013 г. на территории Украины сотрудниками СБУ, насчитывалось около 20 человек, средний возраст которых от 25 до 30 лет. «Это были программисты, работавшие удаленно в Киеве, Запорожье, Львове, Херсоне и Одессе. Как правило, они не знали друг друга, каждый отвечал за свою часть разработки программного модуля. Потом данные передавались на главный сервер в Одессе, там же работал главный организатор – 28-летний гражданин России»[82].

Помимо программистов, непосредственно создававших код программ, в данном коллективе были аналитики, изучавшие целевые ЭСП, сотрудники «службы технической поддержки», осуществлявшие сопровождение трояна, веб-программисты, занимавшиеся созданием, развитием и поддержкой программного обеспечения центров управления (контрольных серверов). За сбыт вредоносных программ, эксплуатацию собственных ботнетов на основе собственного трояна и различные обеспечительные функции также отвечали отдельные соучастники. Сбытом занимались как непосредственные участники группы, так и привлеченные посредники (селлеры). Имелось несколько вариантов продажи трояна, отличавшихся стоимостью, комплектностью, оказываемой техподдержкой и сопутствующими услугами. В целом деятельность подобных коллективов значительно выходит за рамки понятия «кодеры». Чаще их называют «вендоры», «поставщики» (троянов), «сервисы ботов».

Кроме того, банковские трояны не являются единственными программными продуктами, используемыми в преступной деятельности. Кодерами также создаются (дорабатываются, модифицируются) так называемые эксплойты (о них будет сказано далее), программы-загрузчики (лоадеры), троянские программы сопутствующего назначения (бэкдоры, «убийцы»), различные сетевые системы (центры управления ботнетами, серверное программное обеспечение), дополнительные модули и компоненты для уже существующих банковских троянов, компиляторы/конфигураторы (билдеры) вредоносных программ и т. п. Еще одно обособленное направление деятельности кодеров – криптование («крипта» – периодически необходимое шифрование исполняемых файлов распространяемых вредоносных программ для сокрытия их от обнаружения антивирусными программами).

4.2.3. Ботнетчики

Создатели, владельцы, администраторы ботнетов. В общем значении – организаторы деятельности по распространению и использованию вредоносных компьютерных программ, управляющие формируемыми в результате их распространения ботнетами. Данный термин понимается достаточно широко, так как его непосредственное смысловое наполнение может быть различным в каждом отдельном случае. В целом ботнетчиком принято называть организатора и владельца преступного бизнеса, даже если он сам не занимается непосредственным текущим администрированием задействованных информационных систем. Так, например, упомянутый выше 28-летний организатор группы разработчиков троянской программы «Карберп», хотя и не принимал личного участия в администрировании нескольких собственных и клиентских ботнетов на последнем этапе существования группы, вполне может быть назван ботнетчиком.

В более точном значении ботнетчик – участник группы, непосредственно занимающийся развитием и поддержанием работоспособности ботнета. Эта деятельность включает в себя администрирование задействованных серверов, работу с используемыми доменными именами и сетевыми адресами, применение различных защитных мер и средств безопасности, ведение деятельности (или управление таковой) по распространению бота, обслуживание и оптимизацию баз данных, работу со списком ботов с целью его оптимизации. В некоторых случаях бот-нетчик создает и поддерживает ботнеты для их сдачи в аренду.

Администрирование серверов (настройка, поддержание работоспособности, решение повседневных технических задач), используемых для размещения центра управления ботнетом, распространения вредоносных программ и для иных сопутствующих целей, может осуществляться как самим ботнетчиком, так и отдельно привлеченным администратором. В некоторых случаях функции администратора в качестве дополнительных может выполнять лицо (или несколько лиц), предоставляющее ботнетчику серверы (хостинг). Также на привлеченного администратора в группе может быть возложена работа с сетевыми адресами и доменными именами, необходимыми для работы и расширения ботнета.

Функция ботнетчика может выполняться отдельным лицом и быть его единственной ролью в преступной группе, но чаще всего эта роль совмещается с другими криминальными специальностями. Так, например, кодеры, занимающиеся созданием или доработкой троянских программ, сами на их основе создают ботнеты для отладки и тестирования программ, а также зачастую для извлечения дополнительного дохода. Еще чаще роль ботнетчика совмещается со следующей важнейшей для совершения хищений специальностью.

4.2.4. Заливщики

Участники преступных групп, непосредственно совершающие несанкционированные переводы денежных средств (хищения) с использованием вредоносных программ или полученной с их помощью информации. Термин происходит от слова «залив»: именно так называют на жаргоне хищение денежных средств. Когда перевод денежных средств стал ассоциироваться с перетеканием жидкости – неизвестно, но употребление термина в указанном значении впервые отмечается в 2008 г. Именно в этот период, как уже было сказано, происходил бурный рост рынка платежных услуг и появились первые специализированные банковские трояны.

Основная задача заливщика – получить скрытый доступ к ЭСП, используемому владельцем компьютера или мобильного устройства, зараженного вредоносной программой. Затем в удобный момент заливщику необходимо совершить несанкционированный перевод денежных средств на заранее подготовленный банковский счет (или счет электронных денежных средств) для последующего безопасного вывода. Как правило, заливщик имеет доступ к центру управления ботнетом и непосредственно использует его основные функциональные возможности. Реже заливщик работает только со сведениями, полученными от ботнетчика, если этих сведений достаточно для совершения переводов денежных средств. Способ доступа к ЭСП, при помощи которых производится хищение денежных средств со счета, зависит от возможностей троянской программы, особенностей самого ЭСП, оператора по переводу денежных средств, порядка работы, принятого в преступной группе.

В любом случае заливщик должен обладать знанием и навыками использования тех ЭСП, с которыми он имеет дело, и уметь совершать с их помощью переводы денежных средств. Перед осуществлением хищения заливщик иногда длительное время изучает целевой компьютер или устройство, порядок работы с ЭСП их законного владельца, состояние счетов и движение денежных средств по ним, используемые владельцем средства связи, сохраненные финансовые документы и т. п. При применении технологий банковских троянов ранних поколений заливщик получает копии аутентификационных данных, необходимых для доступа к ЭСП, а затем создает на сторонних компьютерах копии этих ЭСП. С их помощью, используя полученные ранее данные, он осуществляет доступ к счетам и переводам денежных средств. При использовании банковских троянов с функционалом удаленного управления заливщик должен устанавливать к каждому боту скрытое подключение для удаленного управления, изучения возможности совершить перевод и применения в этих целях ЭСП, имеющихся у бота. Хороший заливщик может в течение рабочего дня изучить несколько десятков ботов (до 100 и более). При работе с банковскими троянами, имеющими функционал автозалива, заливщик изучает списки ботов, имеющиеся в центре управления, выбирает представляющие интерес боты и производит для них настройку автозалива и автоподмены. Удаленное подключение к таким ботам, как правило, не требуется. Переводы денежных средств совершаются автоматически в процессе использования ЭСП их ничего не подозревающими законными владельцами.

Функции заливщика, ботнетчика и организатора преступной деятельности могут совмещаться. Заливщики и ботнетчики зачастую близко связаны и работают совместно на постоянной основе. Существуют и другие схемы организации преступной деятельности. Например, ботнетчик может допускать к работе со своим ботнетом широкий круг заливщиков за некую «абонентскую плату» либо за процент от успешно проведенных заливов. Счета, на которые заливщик переводит похищаемые денежные средства, как правило, предоставляют обладатели следующей важной криминальной профессии.

4.2.5. Нальщики

Задачей нальщиков являются вывод и обналичивание похищенных денежных средств. Сам процесс иногда называют «заналивание» или «сналивание». Деятельность нальщиков не связана с непосредственным использованием вредоносных программ и ботнетов и является более рискованной, так как требует проведения транзакций похищенных денежных средств, а на завершающем этапе – их получения в наличной форме или траты на что-либо.

Для такой деятельности нальщикам необходимы навыки использования многочисленных платежных инструментов, включая ЭСП, а главное – возможность постоянно получать и предоставлять заливщикам реквизиты счетов («реки») для перевода похищаемых денежных средств. Таковыми являются реквизиты банковских счетов юридических и физических лиц, в том числе с привязанными банковскими картами, различных электронных кошельков операторов электронных денежных средств, телефонные сотовые номера для зачисления денежных средств на их балансовые счета, данные физических лиц – получателей переводов в пунктах междугородних и международных переводов.

Счета, банковские карты и иные необходимые платежные инструменты (их общее наименование на жаргоне – «материал») нальщик получает различными способами самостоятельно либо приобретает

у специализирующихся на этом продавцов – селлеров (продавец банковских карт на жаргоне называется «кардселлер»). Банковские счета и карты физических лиц, а также некоторые типы персонифицированных электронных кошельков приобретаются у владельцев, открывающих и продающих их за небольшую плату. Так, например, за банковский счет с привязанной картой нальщик или селлер может заплатить лицу, открывающему счет, 1000–2000 руб. Если в дальнейшем такая карта перепродается кардселлером, то ее цена уже может достигать 5000–7000 руб.

В некоторых случаях счета и карты открываются на имена случайных лиц без их ведома с помощью заинтересованных сотрудников кредитных организаций. SIM-карты мобильных телефонов, заранее зарегистрированные на подставных лиц или на корпоративных клиентов, приобретаются оптом у агентов/субагентов операторов сотовой связи. Наиболее сложным и дорогостоящим является приобретение подставного юридического лица с целью получения банковского счета для крупных «корпоративных» заливов. Такие фирмы регистрируются на случайных лиц за небольшую плату или приобретаются в виде готовых пакетов документов у лиц и организаций, профессионально занимающихся регистрацией так называемых однодневок.

В общем смысле нальщик – это организатор комплексной деятельности по выводу и обналичиванию похищенных денежных средств. Он должен не только предоставить заливщику реквизиты, на которые будет произведен залив, но и незамедлительно после поступления переведенных (похищенных) денежных средств совершить с ними дальнейшие операции, направленные на вывод их из-под возможной блокировки при выявлении хищения. Это необходимо, так как сведения о счетах, на которые переводятся похищаемые денежные средства, доступны потерпевшему посредством имеющихся ЭСП (разумеется, если они не уничтожены и не утрачен доступ к ним) и сотрудникам оператора по переводу денежных средств, клиентом которого является потерпевший. Соответственно, при выявлении факта несанкционированного перевода обычно незамедлительно производится попытка блокировки денежных средств у того оператора (операторов), на счет (счета) клиента которого они были переведены. Это не всегда возможно по ряду причин, однако нальщик в любом случае старается как можно быстрее перевести денежные средства с «засвеченных» счетов на следующие в цепочке. Таким образом, разрывается связь между хищением и выводом денежных средств.

Последовательность и длительность операций с денежными средствами зависят от обстоятельств и суммы конкретного залива, типа банковского счета или электронного кошелька, правил работы оператора по переводу денежных средств и т. п. Цепочка счетов редко бывает длиннее 2–3 этапов, однако в некоторых сложных случаях и (или) при особо крупных суммах похищенные средства могут разделяться на множество частей и довольно долго переводиться по многочисленным счетам различных типов.

На завершающем этапе в большинстве случаев хищений денежные средства переводятся в форму наличных денег, отчего криминальная профессия нальщика и получила такое наименование. В наиболее распространенном типовом случае денежные средства в конце цепочки транзакций оказываются на банковском счете (счетах), к которому (которым) привязана банковская карта, и затем снимаются в обычных банкоматах. В других схемах требуется получение денежных средств в отделениях кредитных организаций, пунктах обмена электронных денежных средств либо пунктах получения и выдачи денежных переводов. Такие действия являются весьма рискованными, так как могут завершиться задержанием получающих денежные средства лиц и привлечением их к уголовной ответственности, поэтому многие нальщики используют для этого специально привлеченных физических лиц – дропов.

Следует отметить, что нальщик существенно отличается от так называемого обнальщика, занимающегося обналичиванием денежных средств в интересах коммерческих организаций («серый обнал», «серка»). В то время как обнальщик работает, хотя и по незаконным схемам, с денежными средствами, имеющими легальное происхождение, нальщик по заливам занимается выводом похищенных денежных средств («черных», «темных» денег, «грязи»). Редкие попытки обнальщиков заниматься обналичиванием «грязи» или попытки нальщиков работать через обнальщиков оканчиваются в основном неудачами из-за существенной разницы в методах и характере деятельности.

Взаимодействие заливщика и нальщика может строиться по различным схемам в диапазоне от систематической совместной деятельности знакомых между собой лиц до случайных разовых сделок, договоренность о которых достигается при общении в интернете. Вознаграждение нальщику выплачивается в виде процента от суммы обналиченного залива, который нальщик оставляет себе. Остальное он обычно должен передать заливщику. Это тонкий момент в отношениях сторон, так как далеко не каждый залив удается обналичить: причинами могут быть как объективные обстоятельства, так и ошибки заливщика или нальщика. В результате возникают споры об ответственности и о выплате компенсации за причиненный ущерб. Кроме того, сторонние нальщики часто обманывают заливщиков, присваивая все денежные средства и сообщая, что вывести их по тем или иным причинам не получилось («банк заблокировал», «дропа задержали» и т. п.). С другой стороны, ошибки в действиях заливщика могут приводить к утрате дорогостоящего «материала» нальщика. Например, в результате неправильного оформления платежа могут быть заблокированы счета дорогостоящей и долго оформлявшейся фирмы-однодневки. Поэтому хороший заливщик всегда ищет хорошего нальщика, и наоборот.

Для взаимного снижения рисков стороны могут прибегать к услугам так называемых гарантов (фактически «эскроу-агентов», англ. Escrow Agent), которые в большом количестве присутствуют на профильных ресурсах в сети. При хищениях больших сумм с той же целью снижения риска заливщик может привлекать нескольких не связанных между собой нальщиков. Точно так же и нальщик, подготавливающийся к приему крупного залива, может привлечь к его «заналиванию» других нальщиков по принципу своеобразного субподряда.

Любопытно, что на начальном этапе развития криминальной индустрии количество нальщиков было совсем небольшим и их вознаграждение достигало 80–90 % от сумм заливов. Постепенно, по мере увеличения числа представленных на рынке нальщиков, объемы их вознаграждения падали, и к настоящему времени, насколько можно судить по объявлениям на профильных веб-сайтах, картина изменилась. Теперь нальщик получает только 30–40 % (а иногда и еще меньше – вплоть до 10–20 %) от залива, и это считается хорошим вознаграждением. Для повышения эффективности своей деятельности, наибольшего охвата «клиентской базы» и улучшения качества предоставляемых услуг некоторые нальщики объединяются в организованные группы. Другие по-прежнему действуют в одиночку, иногда даже не прибегая к услугам дропов.

4.2.6. Дропы

Дропов, как уже было сказано, часто задействуют нальщики на последнем этапе хищения – для непосредственного снятия наличных денег. Термин происходит от английского drop — «бросать, сбрасывать» – и возник в сфере товарного кардинга. Это разновидность хищений, в процессе которых по данным чужих банковских карт в магазинах с дистанционной формой продажи приобретаются различные ликвидные товары. Заказанные таким образом товары «сбрасываются» (доставляются) заранее подобранным физическим лицам, которые затем передают товары кардерам. Дропы могут быть наняты и знать о преступном характере своей деятельности (таких называют «неразводные») либо быть вовлечены в нее обманом – обычно под видом оказания легальных услуг или участия в легальной деятельности (таких называют «разводные»). На практике часто употребляют в одинаковом смысле термины «дроп» и «дроппер», что неправильно, так как последний означает разновидность вредоносных компьютерных программ.

В случае хищений денежных средств термин «дроп» может иметь разные значения. Чаще всего так называется лицо, участвующее в преступной деятельности, которое снимает денежные средства в банкомате, отделении банка, пункте приема и выдачи переводов. Кроме того, так могут быть названы лица, которые оформляют на себя банковские карты и продают их за небольшие суммы нальщикам или кардселлерам. Иногда дропом может быть названо лицо, на которое оформлены какие-либо счета или карты без его ведома. Лицо, организующее деятельность дропов в интересах нальщиков, называется на жаргоне дро-поводом. Грань между нальщиками и дроповодами довольно условна. Иногда встречается термин «дроп-проект» или «дроп-сервис», означающий организованную деятельность по привлечению и использованию дропов, осуществляемую в интересах широкого круга заливщиков и нальщиков.

Сами дропы в большинстве случаев не осведомлены о характере преступной деятельности, в которой принимают участие, не знают подробностей совершенных хищений и участников преступных групп. Как правило, дроп бывает знаком только с нальщиком (дроповодом) и получает сравнительно небольшую плату за свои услуги на сдельной основе. Лишь в редких случаях преступные группы используют постоянных неразводных дропов. Привлечение дропа к уголовной ответственности всегда весьма затруднительно. С точки зрения преступной группы, дропы – это «расходный материал». При этом поиск и наем дропов не являются сложной задачей. Множество лиц, относящихся к малообеспеченным слоям населения (особенно в регионах), нетрудоустроенной молодежи, ранее судимых, а также лиц, злоупотребляющих алкоголем и наркотиками, охотно соглашаются на легкий и быстрый заработок такого рода. Как было отмечено на одном из профильных ресурсов, «Россия – страна дропов».

Кодеры (вендоры троянов), ботнетчики, заливщики, нальщики (и в некоторых случаях дропы) – основные участники преступной деятельности. Именно они обычно составляют ядро преступных групп. Однако это представители еще не всех специальностей, участие которых необходимо для успешного функционирования ботнетов и совершения хищений денежных средств. Носители следующих криминальных специальностей обычно в состав преступных групп не входят и оказывают услуги широкому спектру компьютерных преступников различной специализации, а не только работающим «по заливам».

4.2.7. Поставщики услуг абузоустойчивого хостинга

Хостинг (от англ. host — принимающий гостей) – услуга по предоставлению вычислительных мощностей для размещения информации на сервере, постоянно находящемся в интернете. Оказанием таких услуг для размещения в сети веб-сайтов и иных ресурсов занимается большое количество легальных организаций во всем мире. Однако такие ресурсы, как центры управления ботнетами, опасно размещать на легальных хостингах, так как при выявлении их вредоносной деятельности поступают жалобы из разных источников, что может быстро привести к отказу в обслуживании и утрате ресурса, если хостинг легальный.

Услуги размещения для различного рода нелегальных ресурсов оказывают так называемые абузоустойчивые (от англ. abuse — жалоба) хостинги, поддерживаемые как организациями, так и частными лицами. Главное преимущество услуг подобных хостингов по сравнению с легальными – невосприимчивость их владельцев к любым жалобам и запросам о предоставлении информации со стороны государственных органов, коммерческих организаций или частных лиц. Владелец такого хостинга не требует раскрытия личности от своих анонимных клиентов, не ведет статистику доступа к серверам и трафика, не выдает информацию сотрудникам спецслужб и, разумеется, не предоставляет возможностей для организации оперативно-разыскных мероприятий. В некоторых случаях, как уже было отмечено выше, абузоустойчивый хостер предлагает ботнетчикам дополнительные услуги типа администрирования серверов, управления IP-адресами и доменными именами.

Серверы абузоустойчивых хостингов обычно находятся в странах, власти которых не осуществляют тщательного контроля интернета, или реальное местонахождение серверов скрывается различными техническими способами. Основные клиенты – ботнетчики всех видов, спамеры, распространители порнографических материалов, пиратских программ, фильмов и музыки, запрещенных медикаментов и т. п. Стоимость такого хостинга значительно выше стоимости легального хостинга. Например, аренда одинаковых по техническим характеристикам серверов может стоить $50 в месяц у легального хостера и $500 в месяц у абузоустойчивого хостера. В случае размещения центров управления ботнетами на основе банковских троянов такие расходы полностью себя оправдывают.

Услуги анонимных хостингов обычно предлагаются на тех же сетевых площадках, что и остальные криминальные товары (услуги). Здесь необходимо отметить, что на практике встречаются, конечно, и случаи размещения центров управления ботнетами на легальных хостингах при условии, что доступ ботов к ним обеспечивается не напрямую, а через промежуточные серверы, размещенные в иных местах.

4.2.8. Траферы (поставщики трафика)

Сетевой трафик в общепринятом значении – это количество посещений (буквально – физически подключившихся компьютеров и устройств пользователей) того или иного ресурса в интернете. Трафик обладает ценностью, и для его генерации используются различные способы и средства, как явные, так и скрытые, приводящие посетителей на нужный ресурс. В сети существуют биржи трафика, где он продается или обменивается. Основной способ монетизации трафика в сети – направление его для накрутки рейтингов веб-сайтов, для увеличения показов рекламных материалов, в партнерские программы, на порносайты и т. п. Такой трафик обычно называют белым.

Применительно к распространению вредоносных программ покупка или перенаправление трафика – способ получения новых заражений и увеличения числа ботов в ботнетах. Субъекты такого черного трафика – обычные пользователи – незаметно направляются на ресурсы, где при помощи специальных вредоносных программ или кодов (эксплойтов) осуществляются проникновение в системы и установка вредоносных программ. В отличие от случая с белым трафиком, когда пользователь, хотя и при помощи неких технических приемов, открыто приводится на нужный ресурс (буквально может его увидеть), в случае с черным трафиком пользователь, как правило, не замечает, что его компьютер соединялся с ресурсом, распространяющим вредоносные программы.

Специалист, занимающийся получением, агрегацией или перепродажей трафика для криминальных целей, называется на жаргоне трафером. Источниками трафика для него являются: взломанные (скомпрометированные) легальные веб-сайты, с которых происходит незаметное для посетителей перенаправление (так называемая drive-by загрузка) на связки эксплойтов; сайты-ловушки (дорвеи, сателлиты); рассылки спама; другие ранее установленные вредоносные программы. Эксплуатация уязвимостей на популярных веб-сайтах является наиболее ценным источником трафика, так как позволяет получить целевой трафик (например, если используются бухгалтерские или банковские веб-сайты). После того как веб-сайт каким-либо образом взломан, в исходный код его страниц встраивается вредоносный код, который вместе с содержимым страниц выдает посетителям вредоносные компоненты.

Трафик обычно измеряется в тысячах и классифицируется по стране происхождения, типу (компьютерный или мобильный, например на платформе Android) и тематике. Наиболее ценная тематика трафика для банковских ботнетов – финансовая и коммерческая. Такой трафик поступает со взломанных веб-сайтов соответствующей направленности, посетители которых с большей вероятностью пользуются ЭСП. Еще одна характеристика трафика – его уникальность. Продавец трафика может «отгружать» его в одни руки или нескольким заказчикам. В последнем случае эффективность получаемых ботов значительно снижается, так как на них может оказаться несколько различных вредоносных программ.

Необходимо также отметить, что покупка трафика – не единственный способ пополнения ботнетов и, следовательно, использование услуг траферов не является обязательным. Владельцы крупных ботнетов иногда самостоятельно занимаются генерацией трафика, взламывая веб-сайты, реквизиты доступа к которым поступают в центры управления от ботов. Еще один способ увеличения числа ботов – «покупка загрузок». Под этим термином понимается оплата установки вредоносных программ на компьютеры и устройства, предварительно зараженные специальными программами. Продажей загрузок обычно занимаются владельцы ботнетов, построенных на основе небольших вредоносных программ – лоадеров. Покупка загрузок считается малоэффективным способом наполнения ботнета, так как с целью извлечения максимальной прибыли загрузки обычно продаются сразу нескольким клиентам и устанавливаемые таким образом вредоносные программы имеют минимальный срок жизни. Кроме того, при покупке загрузок не может быть обеспечена необходимая целевая тематика.

Что касается трафика, то он должен быть направлен на заражение вредоносными программами. Заражение производится посредством так называемых эксплойтов (сокр. «сплойты»), разработка и поставка которых являются отдельным важным направлением преступной деятельности в сфере компьютерной информации.

4.2.9. Поставщики эксплойтов

Эксплойты или сплойты – небольшие вредоносные компьютерные программы, фрагменты программного кода или же последовательности команд, использующие уязвимости в программном обеспечении для проникновения на компьютеры или мобильные устройства с вредоносными целями, прежде всего для установки на них других вредоносных программ. Такое проникновение на жаргоне называется пробивом.

Эксплуатируемые уязвимости содержатся в операционных системах компьютеров и мобильных устройств, программах-браузерах, многочисленных прикладных программах и т. п. Поиск таких уязвимостей и написание кодов для их эффективного использования являются отдельной сложной задачей, которой занимается большое количество специалистов и любителей по всему миру. Информация о выявляемых уязвимостях чаще всего публикуется в открытых источниках, но иногда продается за весьма крупные суммы в узком кругу заинтересованных лиц, в том числе разработчикам эксплойтов.

Поскольку каждый компьютер или мобильное устройство имеет свой индивидуальный набор программ, заранее неизвестно, какие именно уязвимости у него имеются и могут быть успешно использованы. Для увеличения вероятности пробива эксплойты объединяются в пакеты – так называемые связки эксплойтов (сплойтов), или сплойт-паки.

Подбор эксплойтов, их объединение в связки и предоставление их на платной основе для целей распространения вредоносных программ являются отдельной криминальной специальностью. Подобная деятельность ведется как многофункциональный сервис: клиенту продается или сдается в аренду сама связка (набор эксплойтов) и предоставляется специальный веб-интерфейс для контроля работы связки (административная панель, «админка»). В этом интерфейсе клиент может настраивать раздачу вредоносных программ и контролировать статистику работы связки. Эксплойты в коммерческих связках постоянно контролируются, зачищаются (перешифровываются – «криптуются») и обновляются для поддержания их эффективности. Хорошим показателем считается пробив не менее 10–20 % от поступившего трафика, однако, если в связке имеются эксплойты, направленные на недавно выявленные и еще не закрытые уязвимости, уровень пробива может достигать 80–90 %.

В наиболее распространенном случае со связки на пробитые компьютеры доставляется специальная небольшая вредоносная программа-загрузчик (лоадер), которая затем запускается и устанавливает основную вредоносную троянскую программу. Однако факт пробива защиты целевого компьютера или устройства еще не означает успешной установки вредоносной программы в систему, так как эта установка может не состояться по техническим причинам, в том числе и в результате работы антивирусных программ. В связи с этим имеет значение итоговый параметр «отстука ботов со связки», показывающий процент успешных установок в общем числе пробитых компьютеров. Нормальным считается «отстук» на уровне 60–80 %. Впрочем, за этот показатель поставщик связки эксплойтов уже ответственности не несет, так как устанавливаемая вредоносная программа предоставляется заказчиком.

Аренда коммерческой связки у поставщика или приобретение ее с последующей технической поддержкой – наиболее удобный вариант для ботнетчиков. По данным аналитиков компании «Группа информационной безопасности»[83], до 2013 г. активно использовались следующие связки эксплойтов, имеющие российское происхождение: Nuclear, Black Hole (только до октября 2013 г.[84]), Styx, Liberty RedKit, связка «от Крыса», связка «от Гранда». Другие известные и актуальные в настоящее время связки: Sweet Orange, RIG, Neutrino Exploit Kit и ряд иных.

Кроме того, в сети доступны бесплатные (или бывшие платные, выложенные в публичный доступ) связки, эффективность которых невысока. Наиболее же продвинутые преступные группы работают со своими собственными («приватными») связками эксплойтов.

4.3. Совершение типового хищения денежных средств с использованием вредоносных компьютерных программ

Возможность украсть создает вора.

Фрэнсис Бэкон, английский государственный деятель, философ

Рассмотрим типовой случай организации преступной деятельности от момента ее начала до совершения результативного хищения денежных средств. Предлагаемая модель преступной группы базируется на изучении материалов ряда уголовных дел, возбужденных на основании результатов оперативно-разыскной деятельности, представлявшихся в следственные органы Управлением «К» БСТМ МВД России.

Итак, первым вопросом, подлежащим разрешению организатором (или организаторами) подобной группы, является создание или приобретение специализированной банковской троянской программы либо установление взаимодействия с лицом (лицами), уже обладающим (обладающими) такой программой.

Самостоятельная разработка банковской троянской программы организатором преступной деятельности является редким случаем, так как требует незаурядного таланта, навыков программирования и больших временных и финансовых затрат. Если и встречаются такие «таланты», то ими обычно создаются и лично используются узкоспециализированные вредоносные программы, нацеленные на одну-две определенные системы переводов денежных средств. Как уже было сказано, банковские трояны являются сложными многофункциональными компьютерными программами и разрабатываются квалифицированными программистами, чаще всего объединенными в коллективы. Разработка троянов такими коллективами напоминает работу фирм-разработчиков, создающих легальное программное обеспечение. Они могут обеспечивать покупателям долговременную поддержку, предоставляя регулярные обновления вредоносной программы, услуги по настройке и поддержанию центра управления ботнетом и любые иные сопутствующие услуги.

Чаще всего организаторы преступных групп обращаются к имеющимся на рынке предложениям со стороны вендоров вредоносных программ и приобретают тот или иной комплект. Поставщики могут предоставить заказчику троян в виде скомпилированного и сконфигурированного под его нужды исполняемого файла, готового к распространению, с услугой последующего периодического обновления (для сокрытия от антивирусных программ). Более платежеспособный заказчик получает в свое распоряжение программу-компилятор/конфигуратор, при помощи которой он может самостоятельно «пересобирать» распространяемый исполняемый файл. Троян и сопутствующие компоненты могут стоить от $500 до 50 000 в зависимости от типа трояна, условий продажи и обслуживания.

Организатор, не имеющий достаточных средств для покупки современного банковского трояна, может воспользоваться имеющимися в свободном доступе в интернете исходными кодами троянов типа «Зевс», SpyEye, «Карберп» и др. Компиляторы для этих троянов также доступны. Однако эффективность бесплатных, устаревших и не имеющих технической поддержки программ невелика, так как они гораздо лучше обнаруживаются антивирусными программами и имеют устаревший функционал. Тем не менее, для начального этапа деятельности их использование иногда оказывается единственным возможным вариантом.

Следующий вопрос, подлежащий разрешению при организации преступной деятельности, – создание и настройка центра управления ботнетом. Если приобретается коммерческий троян с поддержкой, решение обычно предлагается поставщиком за дополнительную оплату. На сервере покупателя устанавливается программное обеспечение, настраиваются веб-интерфейс и базы данных. В конфигурации поставляемого трояна прописываются настройки, требуемые для взаимодействия с центром управления. Для старых троянских программ, распространяющихся в сети свободно и бесплатно, также доступны различные скрипты и программы, необходимые для создания центров управления ботнетами.

Хостинг для размещения управляющего сервера организатор обычно должен приобретать самостоятельно – желательно у поставщиков абузоустойчивого хостинга. Стоимость обычно составляет от $200 до 500 и более за аренду одного физического сервера в месяц. В некоторых случаях хостинг предоставляется заказчику поставщиками трояна, опять же за дополнительную плату.

Если квалификации, возможностей или желания для самостоятельного создания и поддержания работоспособности ботнета у организатора преступной деятельности недостаточно, ботнет с уже настроенным центром управления и определенным количеством ботов может быть куплен или взят в аренду. Соответствующие предложения постоянно присутствуют на тематических веб-сайтах. Однако качество передаваемых таким образом готовых ботнетов обычно низкое, в то время как риск обмана со стороны продавцов, наоборот, высок.

Криминальной индустрией была выработана более совершенная схема взаимоотношений участников преступной деятельности. Появились крупные ботнеты, создатели которых приглашают одиночных или организованных в группы заливщиков для работы по так называемой партнерской схеме. Ботнетчик в такой схеме занимается организацией работы центра управления, предоставляя партнерам либо отдельные интерфейсы, либо разграниченный доступ к единому общему интерфейсу центра управления. Каждый партнер получает свой индивидуально сконфигурированный экземпляр вредоносной программы, самостоятельно (или опять же при помощи ботнетчика) занимается ее распространением, а затем уже работает со своими личными ботами. Начинающему партнеру ботнетчик может предложить доступ и к определенному количеству реальных ботов. По такому образцу в 2010–2011 гг. действовал ботнет Origami на основе вредоносной программы, классифицируемой как HodProt. На едином сервере было одновременно запущено более 10 однотипных интерфейсов административных панелей, доступ к которым имели разнообразные заливщики и группы заливщиков. Размер оплаты за пользование ботнетом зависел от объемов совершаемых хищений.

С точки зрения отдельного заливщика, подобный вариант работы с ботнетом представляется оптимальным. Однако он менее интересен ботнетчику, так как контроль за работой заливщика с отдельными зараженными компьютерами затруднен по объективным техническим причинам и, соответственно, не может быть проверен объем совершаемых хищений. Если ботнетчик начинает подозревать заливщика-партнера в утаивании денежных средств либо в проведении непредусмотренных операций с ботами, он может лишить заливщика доступа. В то же время и сам ботнетчик может совершать в отношении заливщика-партнера нечестные действия, например тайно работать с его ботами для совершения хищений, забирать ботов в другие ботнеты, собирать и продавать без участия заливщиков получаемую с ботов информацию (аккаунты социальных сетей, почтовых программ, реквизиты доступа к FTP и др.). В результате работа по партнерской схеме часто становится для заливщиков и ботнетчиков источником постоянных взаимных подозрений и конфликтов, а их отношения оказываются менее устойчивыми, чем в преступных группах постоянного состава.

Продолжим рассматривать процесс организации преступной деятельности. Когда организатором (или организаторами) приобретена вредоносная программа, оплачен абузоустойчивый хостинг и налажен центр управления ботнетом, начинается этап распространения вредоносной программы и систематической работы с ботами. Для распространения необходимы трафик и связки эксплойтов. И то и другое поставляют специализирующиеся на этом участники криминального рынка товаров, о чем было сказано в предыдущей главе.

Стоимость трафика зависит, как уже было отмечено, от его тематики и различных показателей качества. Так называемый мусорный трафик стоит от $5 до 20 за 1000 единиц, а профильный банковский и коммерческий трафик может стоить гораздо больше: вплоть до $150–200 за 1000 единиц. Аренда связки эксплойтов с полноценной технической поддержкой, а также регулярной сменой доменных имен обходится в среднем в $500-3000 в месяц.

После того как оплачена связка, налажено поступление трафика и вредоносная программа начинает «прогружаться», в интерфейсе центра управления ботнетом появляются боты. Благополучно установившаяся на целевом компьютере или устройстве программа передает на командный сервер по сети первое сообщение, в котором содержатся сведения о зараженном устройстве. В дальнейшем бот постоянно передает подобные сообщения, называемые на жаргоне отстуком. Регулярно отстукивающиеся боты называют живыми. В интерфейсе центров управления ботнетами боты обычно представляются в виде списков, по которым можно производить выборки и поиск. Для каждого отдельного бота ведется накопление данных, необходимых для работы с ним и совершения хищений.

Количество поступающих ботов зависит от количества отгружаемого на связку трафика, процента пробива связки эксплойтов и, наконец, от качества самой троянской программы и текущего уровня ее выявления антивирусными программами. Дальнейшее время жизни ботов зависит также от ряда факторов: эффективности антивирусных программ, действий владельца компьютера и др.

Очевидно, что далеко не каждый зараженный вредоносной программой компьютер или мобильное устройство используется для работы с ЭСП, тем более именно тех систем, для которых предназначен установленный банковский троян. Задача трояна – найти ЭСП (программы типа «толстый клиент», агентские приложения для приема платежей или работы в системах переводов и т. п.), отследить факты обращений к платежным веб-сайтам, найти на компьютере или устройстве следы таких обращений (лог-файлы, ключи, сертификаты и пр.). После того как бот их обнаруживает, он в установленном формате сообщает об этом («отстукивается» определенным образом) в центр управления. На профессиональном жаргоне бот, у которого обнаружились ЭСП или признаки их использования, называется ботом с логами.

Именно бот с логами является главной ценностью. С ним начинает работать заливщик. Объем и характер действий заливщика зависят от типа ЭСП, обнаруженного у бота, наличия на счете денежных средств, возможностей используемой вредоносной программы. В любом случае поступившая от бота информация вначале внимательно изучается. При необходимости боту дается команда на загрузку дополнительных вредоносных программ, модулей или настроек.

Если речь идет о компьютере, используемом для работы с какой-либо системой ДБО, то заливщик, как правило, лично внимательно его изучает. Для этого устанавливается скрытое подключение по протоколу удаленного управления. Существует несколько способов организации такого подключения при помощи штатных средств операционных систем (например, по протоколу RDP (Remote Desktop Protocol) операционных систем Microsoft) или дополнительных вредоносных программ, так называемых бэкдоров. Часто они сделаны на основе модифицированных коммерческих программ (Team Viewer, Virtual Network Computing (VNC), Ammy и др.). Необходимый для такого подключения функционал уже содержится в составе банковских троянов либо для этого на бот устанавливается дополнительный модуль или дополнительная троянская программа-бэкдор, у которой может быть свой собственный центр управления. Заливщик никогда не устанавливает соединение с ботом напрямую со своего сетевого адреса. Для сокрытия адреса используются различные технические решения (об этом будет сказано далее).

Установив такое соединение, заливщик фактически дистанционно использует зараженный компьютер: изучает имеющиеся ЭСП, документацию, касающуюся их использования (если таковая имеется), просматривает архив операций по счетам, анализирует закономерности движения денежных средств, стандартные размеры и формулировки назначения платежей. При правильном применении средств удаленного администрирования этот факт остается незаметным для пользователя компьютера даже при работе одновременно с заливщиком. Однако сбои или недостатки в работе удаленного управления иногда происходят, и тогда пользователь может заметить появление новых неизвестных учетных записей, запуск программ, явное замедление работы компьютера или, например, странные движения курсора по экрану.

При работе заливщика с некоторыми простыми платежными инструментами (например, электронными кошельками операторов по переводу электронных денежных средств, имеющими простую защиту) либо при использовании троянских программ с функционалом автозалива удаленное подключение к ботам не требуется. В первом случае для совершения хищения достаточно тех аутентификационных данных, которые копирует троянская программа на компьютере или устройстве потерпевшего и которые доступны в центре управления ботнетом. Во втором случае заливщик изучает параметры бота и состояние счета по сведениям, накопленным в центре управления. Там же производится настройка автозалива и автоподмены. Эти функции вредоносной программы позволяют произвести перевод денежных средств с использованием имеющегося у бота ЭСП в автоматическом режиме. В зависимости от возможностей вредоносной программы либо платеж совершает сама программа, либо при совершении платежа легальным пользователем незаметно для него подменяется назначение платежа. Чаще всего автозалив используется банковскими троянами для мобильных устройств.

Работая с выбранным ботом, заливщик иногда длительное время ждет появления денежных средств на счете. Так, например, хищение 8 млн руб. у одного из московских заводов в 2011 г. было совершено в день выплаты заработной платы сотрудникам, хотя заражение вредоносной программой произошло за несколько недель до этого. Заливщик, изучив статистику движения по счету, терпеливо ожидал ежемесячного поступления денежных средств.

Если сумма денежных средств, обнаруженных на счете и доступных для хищения, удовлетворяет заливщика, то перевод денежных средств осуществляется практически при первой же возможности – иногда в течение нескольких часов после заражения троянской программой. Для этого заливщик должен располагать реквизитами счета (или счетов), на которые будет осуществлен перевод. Как уже было сказано в предыдущем параграфе, поставкой таких счетов занимаются нальщики. Непосредственно перед совершением хищения заливщик и нальщик согласовывают его детали: какие счета использовать, какие суммы и на какой счет перевести, какие дальнейшие операции предпринять с деньгами. Кроме того, если стороны не работают друг с другом на постоянной основе или в составе устойчивой группы, достигается договоренность о сумме вознаграждения нальщика, гарантиях, предоставляемых заливщику, и порядке передачи ему остатка выведенных денежных средств.

Момент совершения, сумму и назначение перевода денежных средств заливщик выбирает с учетом всех известных ему данных, а также возможностей используемых вредоносных программ. Учитывается возможная реакция легального пользователя компьютера, если предполагается, что у него останется доступ к истории платежей или что ему по внеполосовому каналу связи (телефону) поступит сообщение от оператора по переводу денежных средств. Также учитывается реакция сотрудников банка (если похищаются деньги с банковского счета), проверяющих поступившие платежные поручения. Часто хищения производятся ближе к окончанию рабочего (или банковского) дня, когда внимание пользователей и сотрудников банков ослаблено.

Примером удачного выбора времени является хищение 25 млн руб. у одного из крупных московских акционерных обществ. Перевод был сделан 7 марта примерно в 16 часов, когда не только приближались к концу рабочий день сотрудников компании и банковский день, но и все коллективы (преимущественно женские) были заняты подготовкой к празднованию Международного женского дня. В таких обстоятельствах перевод денежных средств произошел беспрепятственно.

Момент совершения хищения при использовании автозалива зависит от настроек: хищение происходит автоматически при первой возможности либо при совершении пользователем легального перевода денежных средств на нужную сумму.

При использовании оператором по переводу денежных средств одноразовых кодов (SMS-TAN или mTAN) либо голосового телефонного уведомления заливщик заранее предпринимает меры, направленные на получение такого кода или недопущение его отправки. Это отдельная сложная задача, которая решается как техническими методами, так и методами социальной инженерии. Ее решение упрощается при использовании банковских троянов для мобильных устройств. Наиболее современные программы не только совершают переводы денежных средств в режиме автозалива, но и незаметно для пользователей принимают сообщения с одноразовыми кодами и самостоятельно подтверждают платежи.

Деятельность преступных групп существенно осложнили информирование о совершенном платеже и отправка одноразовых кодов подтверждения, в последнее время повсеместно применяемые операторами в связи с вступлением в силу положений ст. 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51]. Однако полной защиты от хищений не обеспечивают даже такие системы, поскольку преступниками активно вырабатываются и используются различные средства противодействия, в частности:

– отключение систем подтверждения платежей (информирования о платежах) вредоносными программами путем воздействия на интерфейсы ЭСП; убеждение владельцев денежных средств отключать такие системы с использованием методов социальной инженерии;

– предварительное накопление одноразовых кодов путем провоцирования операторов на их отправку, а пользователей – на их ввод под различными предлогами, для чего может применяться выдача фиктивных веб-страниц при использовании ЭСП;

– получение одноразового кода для подтверждения платежа от владельца денежных средств путем обмана – в ходе телефонного разговора, при котором злоумышленник представляется сотрудником оператора по переводу денежных средств;

– завладение телефонным номером владельца денежных средств непосредственно перед совершением хищения путем получения дубликата идентификационной карты абонента (SIM-карты) у оператора связи по поддельной доверенности; для этой цели привлекаются соучастники, занимающиеся подделкой документов и получением карт;

– перехват сообщений, содержащих одноразовые коды подтверждения, с использованием специальных технических средств, предназначенных для негласного получения информации (некоторое время назад было отмечено появление на тематических ресурсах объявлений о предоставлении такого рода услуг);

– использование троянской программы со специальным функционалом, который провоцирует владельцев денежных средств устанавливать под видом обновлений мобильных приложений дополнительные троянские программы на мобильные устройства, телефонные номера которых привязаны к счетам; поступающие на такие номера коды подтверждения используются для совершения хищений;

– прямое физическое воздействие на пользователей ЭСП (наиболее опасный способ подтверждения переводов денежных средств); так, например, некоторое время назад на тематических ресурсах были обнаружены сообщения об успешных хищениях денежных средств в особо крупных размерах, в ходе которых преступники, угрожая бухгалтерам компаний, заставляли их подтверждать переводы.

Вернемся к действиям заливщика. После того как все необходимые операции произведены и действия с нальщиком согласованы, в определенный момент осуществляется несанкционированный перевод денежных средств. В случае хищения с банковского счета формируется платежное поручение, которое передается в банк и поступает в очередь на проверку и отправку. Проверка производится вручную или автоматически в зависимости от правил банка и суммы перевода. Перечисление денежных средств осуществляется по корреспондентским счетам так называемыми рейсами – группами платежей по определенному расписанию. До «постановки в рейс» похищаемые денежные средства из банка не уходят и на счета нальщика не поступают. В этот период наиболее высок риск выявления попытки хищения и блокировки перевода. Что касается электронных денежных средств, то их перевод происходит незамедлительно. В системах денежных переводов и системах по приему платежей, по условиям работы операторов и их агентов/субагентов, платежи обычно считаются совершенными с момента оформления соответствующих операций. Движение денежных средств по банковским счетам происходит в таких системах позднее (иногда весьма значительно), например путем взаимозачетов в конце отчетного периода.

Если для злоумышленников все сложилось удачно, денежные средства сразу или через некоторое время оказываются на счете, предоставленном нальщиком. Пока тот выполняет свою часть работы, заливщик решает судьбу бота. Если это компьютер, при помощи которого только что было совершено крупное хищение, то, как правило, производятся удаление троянской программы и вывод компьютера из строя. Для этого используется функционал самого трояна, если таковой предусмотрен, или дополнительно загружаемая вредоносная программа. Степень повреждения компьютера может быть различной – от кратковременного выведения из строя до тщательного многократного удаления всей информации с жестких дисков. Это необходимо, чтобы предотвратить дальнейший доступ пользователя к ЭСП и списку переводов и, соответственно, раннее обнаружение хищения. Чем дольше пользователь не узнает о хищении, тем больше вероятность успешного вывода денежных средств нальщиком.

Впрочем, выведение из строя бота не является обязательным. Иногда хищение производится несколькими частями или повторяется неоднократно, если заливщик уверен в успешности новых хищений. Так, например, счет крупного регионального оператора по приему платежей «сливался» в течение трех дней. В первый день была переведена сумма около 1 млн руб., во второй день – около 1,5 млн руб. и в третий день – еще около 5 млн руб. Многократность хищений (небольшими суммами) также характерна для мобильных банковских троянов.

Действия нальщика после успешного залива зависят от обстоятельств. Практически всегда первый счет (или первые счета), на который были переведены похищенные денежные средства, является промежуточным, на жаргоне – буферным. Задача нальщика – как можно быстрее перевести денежные средства дальше, в другой банк, другую платежную систему (иногда говорят «перестаивать деньги»). Денежные средства, поступившие на буферный счет одной суммой, могут быть разделены на несколько мелких сумм, которые отправляются на счета, открытые у разных операторов. И наоборот, сумма, похищенная серией небольших переводов, например зачислений на балансы сотовых телефонов или переводов на несколько электронных кошельков, может быть после буферных счетов консолидирована на одном счете и оттуда обналичена. После того как денежные средства прошли через цепочку транзакций, нальщики чаще всего обналичивают их в банкоматах, используя банковские карты. Для этих целей хороший нальщик всегда имеет заранее подготовленный запас «материала» – приобретенных у кардселлеров карт, оформленных на посторонних лиц. Криминальные сервисы, торгующие картами, представлены на всех крупных тематических веб-сайтах (пример: http://forum.beznal.cc/).

Наиболее опасный для нальщика случай – когда имеется необходимость получить наличные деньги в отделении банка, пункте получения и выдачи переводов или обмена электронных валют. Потребность в личном посещении такого пункта или отделения банка возникает и тогда, когда особенно дерзкий нальщик пытается получить денежные средства, заблокированные на каком-либо этапе. Часто в таких ситуациях используются дропы. Иногда успешные хищения заканчиваются не обналичиванием денежных средств, а их переводом в надежные электронные валюты (в т. ч. иностранные), обменом на реальные или виртуальные ценности для возврата долга другому нальщику и т. п.

Так или иначе, если хищение совершено удачно и денежные средства прошли все запланированные этапы вплоть до вывода, последним действием является взаимный расчет соучастников. Если хищение совершено устойчивой сплоченной группой, состоящей из реально знакомых между собой лиц, расчеты происходят по заранее согласованной схеме. Например, все денежные средства поступают в так называемый «общак», откуда распределяются в качестве зарплаты или долями по решению организатора преступной деятельности. Если же соучастники (организатор, ботнетчик, заливщик, нальщик) между собой не знакомы, общаются посредством интернета и вступают в кратковременные ситуативные отношения, расчеты между ними обычно происходят путем перечисления на личные банковские или электронные счета. Нальщик перечисляет условленный процент заливщику, а тот в свою очередь перечисляет оговоренную долю ботнетчику и (или) организатору (если эти роли выполняют разные лица). Расчеты с кодерами, траферами, поставщиками хостинга и связок эксплойтов производят бот-нетчик и (или) организатор в установленном порядке, чаще всего на регулярной основе. Оплату услуг дропов, а также «материала» кардселлеров осуществляет нальщик из своей части вознаграждения. При этом для всех участвовавших в хищении лиц важно, чтобы расчеты между ними производились не похищенными в этом или иных случаях денежными средствами (т. е. «грязью»), а исключительно «чистыми» деньгами. Для получения переводов участники стараются использовать банковские карты и электронные кошельки, оформленные не на себя лично, а на посторонних лиц. Эти правила иногда сознательно или по ошибке нарушаются, что дает правоохранительным органам возможность вычислить того или иного участника преступной деятельности.

Приведенная схема взаимоотношений между участниками преступной группы с постоянным составом описана как типовая. В реальности возможны любые схемы организации отношений между лицами, обладающими криминальными специальностями и необходимыми ресурсами. Группы могут складываться на период совершения небольшого числа хищений либо только для разовых крупных хищений. Возможно существование преступных групп, ни один из участников которых не знаком лично с другими участниками. Масштабная систематическая преступная деятельность на основе крупного ботнета может выглядеть как деятельность «группы групп», квалифицируемой правоохранительными органами как преступное сообщество.

Завершая рассмотрение особенностей организации преступной деятельности, необходимо выделить два критически важных и взаимосвязанных вопроса, так или иначе решаемых всеми участниками данной деятельности. Это связь и сокрытие (анонимизация) доступа к сети. Нетрудно предположить, что лица, недооценивающие важность сокрытия своих реальных сетевых адресов (а значит, и физического местоположения) и организации безопасной связи с соучастниками, в «бизнесе по заливам», как и в любом ином криминальном бизнесе, связанном с компьютерной информацией, долго не задерживаются.

Связь внутри территориально разнесенных преступных групп, а также с привлеченными соисполнителями и пособниками в большинстве случаев осуществляется с использованием так называемых мессенджеров – систем мгновенного обмена сообщениями в интернете (англ. instant messaging, messager). Причем популярные коммерческие системы типа ICQ или Skype обычно не используются в связи с их небезопасностью. Используются небольшие системы, преимущественно функционирующие на основе протокола XMPP (известен как «джаббер»), создаваемые на абузоустойчивых серверах и доступные ограниченному кругу лиц. Наиболее технически продвинутые преступные группы, не доверяя чужим ресурсам, устанавливают на отдельных серверах и эксплуатируют собственные «джабберы» и иные системы обмена сообщениями. Обязательная особенность используемых мессенджеров – шифрование передаваемых сообщений для защиты их содержания от возможного перехвата трафика.

В переписке, равно как и при общении на сетевых ресурсах (форумах), никогда не используются реальные имена и иные сведения, позволяющие каким-либо образом идентифицировать злоумышленника. Любопытно, что почти у каждого лица, на постоянной основе занимающегося преступной деятельностью в сфере компьютерной информации, имеется постоянный псевдоним, под которым данное лицо может достигать определенной известности в кругу своих коллег. Это, конечно, не отменяет возможности использования разовых или полностью обезличенных (например, цифровых) псевдонимов. Также участники преступной деятельности иногда используют телефонную связь и электронную почту, что существенно повышает шансы на их выявление и привлечение к уголовной ответственности.

Не менее важной задачей является сокрытие доступа в интернет. Абсолютное большинство компьютерных систем операторов связи, систем операторов по переводу денежных средств и любых иных сетевых систем сохраняет сведения о состоявшихся соединениях, сеансах связи, переданных сообщениях и т. п. в так называемых файлах регистрации статистики (лог-файлах). Участники преступных групп обычно не используют для доступа в сеть постоянные (проводные) соединения, тем более установленные в жилых или рабочих помещениях и предоставляемые на основе официальных договоров. Большинство населенных пунктов сейчас входит в зону покрытия сотовых сетей, предоставляющих услуги широкополосного беспроводного доступа (3-го и 4-го поколений). Устройства для доступа (модемы, телефонные аппараты, смартфоны) повсеместно имеются в свободной продаже, а оформленные на чужие персональные данные идентификационные карты абонентов (SIM-карты) могут быть почти свободно приобретены в любом крупном городе либо на специализированных сетевых ресурсах с доставкой в нужное место. Однако справедливо считается, что даже такой доступ необходимо скрывать, так как по IP-адресу беспроводной сети можно установить если не личные данные и точный адрес пользователя, то как минимум регион, населенный пункт, примерное местонахождение, статистику соединений, а в дальнейшем можно провести в отношении пользователя оперативно-разыскные мероприятия.

Поэтому для сокрытия реальных IP-адресов используются специальные технологии и системы. Прежде всего это VPN (англ. Virtual Private Network — виртуальная частная сеть) – группа технологий, позволяющих обеспечить защищенное сетевое соединение (логическую сеть) поверх интернета. При использовании VPN устанавливается так называемое тоннелированное, зашифрованное, соединение между устройством пользователя и находящимся на удалении VPN-сервером, который в свою очередь устанавливает соединения с нужными пользователю сетевыми ресурсами. Последние, соответственно, сохраняют в своих лог-файлах только IP-адрес VPN-сервера. Для повышения безопасности соединения может быть задействована цепочка из нескольких VPN-серверов (обычно двух или трех, максимум четырех). Разумеется, серверы для таких целей, как правило, арендуются за границей и не сохраняют статистику соединений. Обычно VPN предоставляется как платная услуга многочисленными официальными и неофициальными поставщиками, но наиболее технически продвинутые преступные группы, равно как и отдельные участники преступной деятельности, создают собственные «приватные» VPN-серверы, часто на абузоустойчивых хостингах, и, конечно же, не допускают к ним посторонних лиц.

Другой способ сокрытия реальных IP-адресов – использование так называемых анонимных сетей, работающих поверх интернета и специально предназначенных для обеспечения анонимности соединений. В таких сетях используются шифрование трафика и распределенная структура сетевых узлов. Наиболее популярная анонимная сеть – TOR, всего же их существует несколько десятков. Недостатками данной технологии являются сниженная скорость передачи данных, увеличенное время отклика ресурсов и повышенные объемы сетевого трафика. Поэтому в преступной деятельности, связанной с эксплуатацией ботнетов и компьютерных вредоносных программ, анонимные сети используются реже, чем VPN. Однако к анонимным сетям иногда прибегают для выполнения каких-либо разовых действий, передачи сообщений, а в особо важных случаях могут использоваться комбинации разных технологий, например TOR-VPN, VPN-TOR и т. п.

Еще один любопытный способ сокрытия реальных IP-адресов и введения возможных преследователей в заблуждение – использование в качестве последнего звена в цепочке соединений (прокси) постороннего компьютера или сервера. Обычно таким прокси выступает случайный бот из собственного ботнета, если функционал вредоносной программы это позволяет. Также прокси могут быть куплены в розницу или оптом на любом специализированном сетевом ресурсе. Особенно неприятный для сотрудников правоохранительных органов вариант – использование прокси в моменты совершения хищений либо при осуществлении соединений с какими-либо значимыми ресурсами, информация о которых впоследствии может быть получена при проведении проверок и расследований. В подобных случаях в распоряжении сотрудников правоохранительных органов оказываются реальные IP-адреса посторонних лиц или организаций, которых необходимо проверять на причастность к совершенным хищениям.

Активное использование членами преступных групп сетевых систем связи и средств сокрытия доступа прямо влияет на рассматриваемую в следующей главе статистику выявленных преступлений. Иными словами, можно сказать, что непрозрачность действий преступников является одной из основных причин высокой латентности хищений денежных средств с использованием вредоносных программ.

5. Принципы управления рисками электронного банкинга[85]

Всякого рода беспринципная деятельность приводит к банкротству.

Иоганн Вольфганг Гёте, немецкий поэт, мыслитель и естествоиспытатель

Введение

Напрасно винит Нептуна тот, кто терпит кораблекрушение дважды.

Публий Сир, древнегреческий поэт

Банковские организации предоставляют клиентам обслуживание в электронной форме и дистанционное осуществление операций уже достаточно долго, чтобы перевод средств в электронной форме, включая малые платежи и использование корпоративных систем управления наличностью, равно как и самостоятельное управление своими счетами при помощи общедоступных банкоматов и терминалов, стали глобальными явлениями. В то же время ставшее распространенным во всем мире восприятие интернета в качестве канала предоставления банковских услуг и обслуживания открывает банкам новые возможности и преимущества. В данной главе интернет определяется как все веб-технологии и открытые телекоммуникационные сети, начиная с прямых модемных соединений, общедоступной World Wide Web (всемирной паутины) и заканчивая частными виртуальными сетями связи.

Продолжающийся технологический прогресс, конкуренция между банковскими организациями и появление новых участников рынка обеспечили возможности для расширения набора электронных банковских услуг, а также видов обслуживания для розничных и корпоративных банковских клиентов. В состав услуг входят как традиционные действия типа предоставления доступа к финансовой информации, выдачи ссуд и открытия депозитных счетов, так и относительно новые варианты и виды обслуживания: осуществление электронных платежей, персональные «финансовые порталы», агрегация счетов[86], работа на финансовых рынках и с валютой.

Несмотря на значительные достоинства технологических инноваций, быстрое развитие ЭБ несет с собой не только преимущества, но и риски. Банковским учреждениям важно распознавать данные риски и управлять ими пруденциальным образом. Из-за быстрых изменений в информационных технологиях никакое описание таких рисков не может считаться исчерпывающим. Тем не менее, риски, с которыми сталкиваются вовлеченные в ЭБ банки, в общем случае не являются новыми и входят в состав категорий, определенных Базельским комитетом по банковскому надзору (БКБН) в Основных принципах эффективного банковского надзора в сентябре 1997 г.

В этом документе указаны девять категорий риска: кредитный, страновой, трансфертный, рыночный, процентный, операционный, правовой и репутационный риски, а также риск ликвидности[87]. Разработки такого рода обусловили предварительное изучение БКБН в 1998 г. значимости управления рисками ЭБ и использования электронных денег[88]. В этом первоначальном исследовании продемонстрирована очевидная необходимость дополнительной работы в области управления рисками, связанными с ЭБ. Данная задача была поручена рабочей группе, сформированной в ноябре 1999 г. и составленной из работников банковского надзора и сотрудников центральных банков, – Electronic Banking Group (EBG).

В октябре 2000 г. БКБН выпустил Отчет EBG по управлению рисками, возникающими вследствие разработок в области ЭБ, и надзору за ними[89].

В этом отчете рассмотрены основные риски, ассоциируемые с ЭБ, а именно стратегический, репутационный, операционный (включая риск безопасности и правовой риск)[90], кредитный, рыночный риски и риск ликвидности. EBG пришла к заключению, что деятельность в области ЭБ не приводит к возникновению рисков, которые не были идентифицированы в предыдущих работах БКБН. Однако ЭБ увеличивает и модифицирует некоторые из традиционных рисков, тем самым воздействуя на общий профиль риска банковского дела. В частности, из-за быстрого внедрения операций ЭБ и сопутствующего этому процессу усложнения технологий неизбежно повышаются стратегический, операционный и репутационный риски.

5.1. Проблемы, связанные с управлением рисками электронного банкинга

При прочих равных размер обычно играет решающую роль.

Но не всегда – ведь в противном случае победителя в тяжелом весе определяли бы на весах, а не на ринге.

Ли Чайлд.

Без второго имени

EBG отмечала, что фундаментальные характеристики ЭБ (и в более общем варианте – электронной коммерции) обусловливают ряд проблем, относящихся к управлению рисками:

– изменения, проявляющиеся как инновации в технологиях и обслуживании клиентов посредством ЭБ, реализуются с беспрецедентной скоростью. Исторически новые банковские технологии внедрялись в течение относительно продолжительных интервалов времени и только после тщательной проверки.

Сегодня же банки испытывают конкурентное давление, вынуждающее предлагать новые деловые механизмы в очень сжатые сроки: от разработки концепции до начала эксплуатации нередко проходит всего несколько месяцев. Эта конкуренция усиливает управленческие проблемы в части адекватного стратегического оценивания, анализа рисков и проверки безопасности до внедрения новых практических решений в области ЭБ;

– транзакционные веб-сайты и связанные с ними разнообразные комплексные бизнес-решения обычно интегрируются, насколько это возможно, с уже существующими компьютерными системами с целью достижения более «прямой» обработки электронных транзакций. Такая непосредственная автоматизированная обработка снижает вероятность человеческих ошибок и мошенничества, типичных для процессов, осуществляемых вручную, но также увеличивает зависимость от того, насколько правильны конструкция систем и их архитектура, равно как и от взаимного функционирования систем и операционной масштабируемости;

– ЭБ увеличивает зависимость банков от информационных технологий, тем самым повышая техническую сложность многих функциональных задач и обеспечения безопасности, а также усиливая тенденцию к появлению соглашений с третьими сторонами о совместной работе, сотрудничестве и предоставлении услуг, многие из которых не подпадают под какое бы то ни было регулирование. Такое развитие ведет к возникновению новых бизнес-моделей, в которых участвуют банки и небанковские организации: интернет-провайдеры, телекоммуникационные компании и другие технологические фирмы;

– интернет по своей сути имеет повсеместный и глобальный характер. Это открытая сеть связи, к которой можно получить доступ из любого места в мире, оставаясь неизвестным, с передачей сообщений через неидентифицируемые узлы и с использованием быстро совершенствуемых беспроводных устройств. Вследствие этого существенно повышается значимость средств контроля безопасности и механизмов аутентификации пользователей.

5.2. Основные принципы управления рисками электронного банкинга

В сегодняшнем понимании риск – это в первую очередь бездействие.

Роберт Кийосаки, американский предприниматель, инвестор

На основании проведенной EBG работы БКБН пришел к выводу, что традиционные принципы управления банковскими рисками применимы к деятельности в области ЭБ. Комплексные характеристики каналов доведения услуг через интернет вынуждают приспосабливать эти принципы ко многим банковским онлайновым операциям и сопутствующим проблемам управления рисками.

БКБН полагает, что банкам потребуется разработка процессов управления рисками, соответствующих их индивидуальному профилю риска, функциональной структуре и культуре корпоративного управления, наряду с учетом специфических требований и политик по управлению рисками, применяемых органами банковского надзора в рамках одной или нескольких юрисдикций.

Принципы управления рисками при осуществлении ЭБ делятся на три широкие и часто пересекающиеся тематические категории (рис. 38). Однако эти принципы не ранжируются по степени их приоритетности или значимости. Все зависит от приоритетов, которые устанавливаются в конкретной кредитной организации.

А. Наблюдение со стороны совета директоров и высшего руководства банка[91] (Принципы 1–3):

Рис. 38. Основные принципы управления рисками ЭБ

1. Эффективное наблюдение со стороны руководства за деятельностью в рамках ЭБ.

2. Организация полноценного процесса контроля безопасности.

3. Полноценный процесс наблюдения за выполнением обязательств и управлением в отношении поставщиков услуг и других третьих сторон, от которых имеется зависимость.

B. Средства обеспечения безопасности (Принципы 4-10):

4. Аутентификация клиентов в операциях ЭБ.

5. Отсутствие отказов от проведения операций и возможность учета для транзакций, осуществляемых в рамках ЭБ.

6. Должные меры по обеспечению разделения обязанностей.

7. Необходимые средства авторизации в СЭБ, базах данных и прикладных программах.

8. Целостность данных в транзакциях ЭБ, записях и информации.

9. Организация формирования точных аудиторских записей для транзакций, осуществляемых в рамках ЭБ.

10. Конфиденциальность важнейшей банковской информации.

C. Управление правовым и репутационным рисками (Принципы 11–14):

11. Правильное раскрытие информации для обслуживания в рамках ЭБ.

12. Конфиденциальность клиентской информации.

13. Планирование производительности, непрерывности операций, планирование на случай непредвиденных обстоятельств для обеспечения доступности систем и обслуживания в рамках ЭБ.

14. Планирование реагирования на случайные события.

В последующих разделах каждый из перечисленных принципов обсуждается более подробно в той мере, в какой он относится к ЭБ и базовым принципам управления рисками. Там, где уместно, предлагаются дополнительные примеры правильной организации работы, которые могут рассматриваться как эффективные способы управления этими рисками.

5.2.1. Наблюдение со стороны совета директоров

и высшего руководства банка (Принципы 1–3)

Совет директоров (СД) и высшее руководство банка (ВРБ) отвечают за разработку деловой стратегии кредитной организации. Должны приниматься четкие стратегические решения относительно того, хочет ли СД, чтобы банк предоставлял обслуживание транзакций в рамках ЭБ, до начала предложения таких услуг. В частности, СД следует убедиться в том, что планы внедрения ЭБ точно соответствуют корпоративным стратегическим целям кредитной организации. Одновременно должны быть организованы процессы смягчения и мониторинга рисков. Также необходимо убедиться, что осуществляется текущий контроль для оценивания результатов деятельности в рамках ЭБ в сопоставлении с деловыми планами и целями кредитной организации.

Кроме этого, СД и ВРБ следует удостовериться, что факторы риска, относящиеся к функционированию и безопасности в части деловых стратегий учреждения в рамках ЭБ, рассматриваются и учитываются должным образом. Обеспечение финансовых услуг через интернет может существенно изменить и (или) даже увеличить традиционные банковские риски (например, стратегический, репутационный, операционный, кредитный риски и риск ликвидности). Поэтому следует принимать меры, чтобы существующие в банке процессы управления рисками, контроля безопасности, наблюдения и обеспечения выполнения обязательств в отношениях с третьими сторонами должным образом оценивались и модифицировались в интересах приспособления к видам обслуживания в рамках ЭБ.

Принцип 1: СД и ВРБ следует установить эффективное управленческое наблюдение над рисками, связанными с деятельностью в рамках ЭБ, включая организацию специального учета, политики и средств контроля для управления этими рисками.

Бдительное управленческое наблюдение принципиально важно для обеспечения эффективного внутреннего контроля деятельности в рамках ЭБ. В дополнение к специфическим характеристикам канала предоставления услуг через интернет к значительным проблемам с традиционными процессами управления рисками могут привести следующие аспекты ЭБ:

– основные компоненты канала предоставления услуг (собственно интернет и связанные с ним технологии) не поддаются непосредственному контролю со стороны банка;

– интернет открывает неограниченные возможности оказания услуг через множественные национальные юрисдикции, включая те страны, в которых учреждение физически не присутствует;

– вопросы, ассоциируемые с ЭБ и предполагающие использование концепций и описаний в терминах высоких технологий, во многих случаях оказываются незнакомыми для СД и ВРБ, имеющих традиционный опыт.

Ввиду уникальных характеристик ЭБ новые проекты в этой области, которые могут оказывать значительное влияние на профиль риска конкретного банка и его стратегию, должны изучаться СД и ВРБ и подвергаться стратегическому и затратно-доходному анализу. Без адекватного непредвзятого изучения и текущей деятельности по планированию процедур оценивания банки рискуют недооценить затраты и (или) переоценить доходы от своих инициатив в области ЭБ.

Помимо этого, СД и ВРБ следует удостовериться, что их банк не включается в новый бизнес в сфере ЭБ и не внедряет новые технологии без наличия компетенций, необходимых для обеспечения наблюдения за управлением рисками. Знания руководства и персонала должны быть соразмерны технической природе и сложности применяемых банком технологий ЭБ и соответствующих приложений.

Адекватная квалификация принципиально важна независимо от того, находятся ли СЭБ и соответствующие виды обслуживания под собственным управлением банка или эти функции переданы третьим сторонам. Процессы наблюдения со стороны ВРБ следует вести на динамической основе, чтобы осуществлять эффективное вмешательство и коррекцию любых материальных проблем с СЭБ или недостатков в обеспечении безопасности. Повышенный репутационный риск, связанный с использованием технологии ЭБ, приводит к необходимости непрерывного мониторинга системной функциональности и удовлетворения требований пользователей, как и должного информирования ВРБ о происшествиях.

Наконец, СД и ВРБ следует убедиться в том, что организованные ими процессы управления рисками для деятельности в рамках ЭБ интегрированы в общий подход банка к управлению рисками. Существующие в банке политика и процессы управления рисками должны быть оценены с точки зрения гарантии того, что они достаточно устойчивы, чтобы парировать новые риски, возникающие из-за текущей или планируемой деятельности в области ЭБ.

Дополнительные меры по наблюдению за управлением рисками, которые следует принять во внимание СД и ВРБ, включают:

– четкое определение приемлемого для данной банковской организации уровня риска в рамках ЭБ;

– определение ключевых механизмов распределения полномочий и предоставления отчетности, включая расширенные процедуры для тех случаев, которые влияют на безопасность, надежность или репутацию банка (к примеру, сетевое проникновение, нарушение правил безопасности со стороны работников и любое серьезное нарушение в использовании компьютерных средств)[92];

– обращение внимания на любые особенные факторы риска, ассоциируемые с гарантиями безопасности, целостностью и доступностью услуг и видов обслуживания в части ЭБ и требующие принятия адекватных мер со стороны тех контрагентов, которым банк доверил обслуживание ключевых систем или прикладного программного обеспечения;

– обеспечение необходимого анализа выполнения обязательств и рисков до того, как банк начнет осуществление транзакционных операций в рамках ЭБ.

Интернет в значительной степени расширяет возможности банков по распространению услуг и видов обслуживания на виртуально безграничную географическую территорию, включая пересечение национальных границ. Такая трансграничная деятельность на основе ЭБ, особенно при осуществлении ее без какого-либо лицензированного физического присутствия в «стране дислокации», потенциально подвергает банки повышенным рискам – правовому, нормативному и страновому – ввиду значительных различий, которые могут иметь место между разными юрисдикциями в части требований к лицензированию банковской деятельности, надзора и защиты потребителей. Чтобы избегать непреднамеренного несоответствия законам и правилам зарубежных государств (в т. ч. с точки зрения управления факторами риска, относящимися к той или иной стране), банки, совершающие трансграничные операции посредством ЭБ, должны полностью изучить данные риски и организовать эффективное управление ими еще до практической реализации операций такого рода.

В зависимости от масштаба и сложности деятельности банка в рамках ЭБ охват и структура программ управления рисками будут различными. Ресурсы, требуемые для наблюдения за обслуживанием в части ЭБ, следует выделять в соответствии с транзакционной функциональностью и значимостью систем, уязвимостью сетей связи и важностью передаваемой по ним информации.

Принцип 2: СД и ВРБ следует проверять и утверждать ключевые составляющие процессов контроля безопасности банка.

СД и ВРБ следует наблюдать за разработкой и поддержанием инфраструктуры контроля безопасности, которая обеспечивает должную защиту СЭБ и данных как от внутренних, так и от внешних угроз. При этом следует установить соответствующие права авторизации, логические и физические средства контроля доступа, а также адекватную инфраструктуру обеспечения безопасности для поддержания должных возможностей и ограничений в отношении действий как внутренних, так и внешних пользователей.

Защита банковских активов является одной из областей ответственности ВРБ. В то же время защита банковских активов представляет собой одну из проблемных задач в условиях быстро развивающейся сферы ЭБ ввиду комплексного характера рисков для безопасности, связанных с работой через интернет и применением все новых и новых технологий.

Чтобы гарантировать наличие должных средств обеспечения безопасности для деятельности в рамках ЭБ, СД и ВРБ требуется удостовериться в существовании в их банке полноценного процесса обеспечения защиты, включая политику и процедуры, которые касаются потенциальных внутренних и внешних угроз безопасности как в части предотвращения инцидентов, так и в части реагирования на такие происшествия. Ключевыми компонентами эффективного процесса обеспечения безопасности ЭБ являются:

– установление однозначно определенной ответственности руководства/персонала за организацию и соблюдение корпоративной политики безопасности[93];

– наличие достаточно эффективных средств физического контроля для предотвращения несанкционированного физического доступа к компьютерному оборудованию;

– наличие достаточных средств логического контроля и процессов мониторинга[94] для предотвращения неавторизованного внутреннего[95] и внешнего доступа к прикладным программам и базам данных ЭБ;

– регулярный пересмотр и тестирование мер безопасности и средств контроля, включая постоянное отслеживание современных отраслевых разработок в области безопасности, инсталляцию обновленных версий соответствующего программного обеспечения и служебных пакетов, а также прочие необходимые меры[96].

Ниже приведены дополнительные примеры надежной организации при обеспечении безопасности операций ЭБ.

1. Следует разработать и соблюдать политику обеспечения безопасности, а также особые полномочия авторизации, назначаемые всем пользователям систем и прикладных программ в рамках ЭБ, включая всех клиентов, внутренних пользователей в банке и внешних провайдеров услуг. Также следует разработать средства контроля логического доступа для обеспечения должного разделения обязанностей[97].

2. Данные и системы, относящиеся к области ЭБ, следует классифицировать в соответствии с их значимостью и уязвимостью и обеспечить им адекватную защиту. Для защиты всех уязвимых и подверженных высокому риску систем, серверов, баз данных и прикладных программ, функционирующих в СЭБ, необходимо использовать соответствующие механизмы, такие как шифрование, управление доступом и планы восстановления данных.

3. Следует свести к минимуму хранение уязвимых или подверженных высокому риску данных на настольных и переносных компьютерах, а также должным образом защищать их с помощью шифрования, контроля доступа и планов восстановления данных.

4. Необходимо иметь достаточные физические средства контроля для предотвращения неавторизованного доступа[98] ко всем критичным системам, серверам, базам данных и прикладным программам, применяемым в системах ЭБ.

5. Следует применять должные методы парирования внешних угроз СЭБ, включая использование:

– программного обеспечения для обнаружения компьютерных вирусов во всех критических точках входа (к примеру, на серверах удаленного доступа, прокси-серверах электронной почты) и на каждой настольной системе;

– программного обеспечения для обнаружения проникновения и других инструментальных средств оценивания безопасности для периодической проверки сетей связи, серверов и брандмауэров на предмет наличия слабых мест и (или) нарушений политики и средств контроля безопасности;

– тестирования вариантов проникновения во внутренние и внешние сети связи.

Все сотрудники и провайдеры услуг, занимающие ключевые позиции, должны проходить тщательный процесс проверки надежности.

Принцип 3: СД и ВРБ следует внедрить полноценные и непрерывные процессы наблюдения и контроля выполнения обязательств для управления отношениями банка с провайдерами услуг и другими сторонами, обеспечивающими поддержку выполнения операций ЭБ.

Повышенная зависимость от партнеров и сторонних провайдеров услуг при осуществлении критических функций в рамках ЭБ снижает возможности непосредственного контроля над ними со стороны руководства банка. Соответственно, оказывается необходимым всеобъемлющий процесс управления рисками, ассоциируемыми с заказной обработкой и зависимостью от сторонних организаций. Этот процесс должен охватывать стороннюю деятельность партнеров и провайдеров обслуживания, включая субконтракты на заказную обработку, которые могут иметь материальные последствия для банка.

Исторически заказная обработка часто ограничивалась единственным провайдером обслуживания по заданному набору операций. Однако в последние годы масштаб и сложность связей банков в части заказной обработки значительно возросли, что явилось прямым результатом успехов в информационных технологиях и внедрения ЭБ. В дополнение следует учитывать тот факт, что внешнее обслуживание операций ЭБ может передаваться по субконтрактам иным провайдерам услуг и (или) осуществляться в другой стране. Кроме того, по мере технологического развития и роста стратегической важности приложений и видов обслуживания ЭБ определенные функциональные участки ЭБ оказываются зависимыми от небольшого числа специализированных сторонних поставщиков и провайдеров услуг. Эти разработки могут привести к повышенной концентрации рисков, которая оправдывает внимание как со стороны одного банка, так и со стороны отрасли в целом.

В совокупности все эти факторы подчеркивают необходимость всеобъемлющего и постоянного оценивания связей в рамках заказной обработки и других видов внешней зависимости, включая ассоциируемые с ними влияния на профиль риска конкретного банка и возможности надзора за управлением рисками[99]. Наблюдение со стороны СД и ВРБ за связями в части заказной обработки и зависимости от сторонних организаций следует особенно фокусировать на том, чтобы обеспечивались:

– полное понимание банком тех рисков, которые связаны с привлечением сторонних провайдеров услуг или партнеров в заказную обработку или партнерские отношения для работы с банковскими системами или прикладными программами;

– должная своевременная проверка компетентности и финансовой устойчивости любых сторонних провайдеров услуг или партнеров, проводимая до заключения контрактов на обслуживание в рамках ЭБ;

– точное определение контрактной подотчетности всех участников заказной обработки или партнерских отношений. К примеру, должны быть четко определены обязанности по предоставлению информации провайдеру услуг и получению информации от него;

– учет всех операций и СЭБ, связанных с заказной обработкой, в концепциях управления рисками, обеспечения безопасности и соблюдения конфиденциальности, которые соответствуют принятым в банке стандартам;

– проведение периодического независимого внутреннего и (или) внешнего аудита заказных операций, по меньшей мере в том же объеме, который требовался бы, если бы такие операции совершались в самом банке;

– наличие должных планов на случай непредвиденных обстоятельств для деятельности в рамках ЭБ, осуществляемой в заказном порядке.

Ниже приведены дополнительные примеры надежной организации работы при управлении внешними СЭБ и других случаях зависимости от сторонних организаций.

1. Банкам следует внедрить необходимые процессы для оценивания решений, принимаемых в отношении внешних (заказных) систем и видов обслуживания, в части ЭБ:

– руководство банка должно четко определить стратегические цели, выгоды и затраты, связанные с заключением соглашений с третьими сторонами на заказную обработку в рамках ЭБ;

– решения об использовании сторонней обработки для ключевых функций или видов обслуживания в части ЭБ должны быть согласованы с деловыми стратегиями банка, основываться на точно определенных деловых потребностях и учитывать специфические риски, обусловленные использованием заказной обработки;

– все заинтересованные стороны в банке должны понимать, каким образом провайдер(ы) услуг будет(ут) поддерживать стратегию банка в области ЭБ и обеспечивать соответствие его функциональной структуре.

2. Банкам следует проводить должный анализ рисков и выполнения обязательств до выбора провайдера услуг в части ЭБ и через соответствующие интервалы времени впоследствии:

– банки должны рассмотреть конкурентные предложения нескольких провайдеров услуг в области ЭБ и выработать критерии выбора;

– после определения потенциального провайдера услуг банку следует провести проверку обеспечения соблюдения обязательств, включая анализ риска в отношении финансовых ресурсов данного провайдера услуг, репутации, политики управления рисками и средств управления, а также способности выполнять обязательства;

– далее банк должен регулярно контролировать и при необходимости проводить проверку соблюдения провайдером обязательств по обслуживанию и связанных с ними обязательств по управлению рисками на протяжении всего срока действия контракта[100];

– банкам необходимо гарантировать, что для контроля соблюдения соглашений на заказную обработку в целях обеспечения операций ЭБ выделены адекватные ресурсы;

– обязанности по контролю соблюдения соглашений на заказную обработку в рамках ЭБ должны быть четко распределены;

– банк должен разработать правильную с точки зрения управления рисками стратегию выхода из договорных отношений по заказной обработке, если возникнет необходимость их прервать.

3. Банкам следует внедрить необходимые процедуры для обеспечения адекватности контрактов, в соответствии с которыми выполняются операции ЭБ. Например, контракты должны содержать[101]:

– четкое определение контрактных обязательств договаривающихся сторон, равно как и меры ответственности за принятие решений, включая любые субконтрактные отношения по предоставлению реальных услуг;

– четкое определение ответственности в части предоставления информации провайдеру услуг и получения информации от него. Информация от провайдера услуг должна быть своевременной и достаточно полной для того, чтобы банк имел возможность адекватно оценить уровни обслуживания и риски. Следует оговорить пределы затрат и процедуры, необходимые для уведомления банка о прерывании обслуживания, недостатках в обеспечении безопасности и других событиях, которые подвергают банк материальному риску;

– четкое определение резервов, предназначенных для страхового покрытия, прав собственности на данные, хранимые на серверах или в базах данных конкретного провайдера услуг, а также указание на право банка вернуть данные по истечении или прекращении контрактных отношений;

– определение предполагаемого функционирования как в нормальных условиях, так и в чрезвычайных обстоятельствах;

– определение адекватных мер и гарантий, в частности на основе аудиторских заключений, в обеспечение того, что провайдер услуг действует в соответствии с политикой банка;

– указание на возможности своевременного и уместного вмешательства и устранения ошибок в случае нестандартной работы провайдера услуг;

– в случае трансграничных соглашений о заказной обработке – определение того, законы и правила какой страны будут применимы, включая и те, которые относятся к обеспечению конфиденциальности и другим видам защиты прав клиентов;

– четкое определение права банка на проведение независимых проверок и (или) аудита обеспечения безопасности, средств внутреннего контроля и непрерывности деловых операций, а также планов на случай непредвиденных обстоятельств.

4. Банкам следует обеспечить периодическое проведение внутренних и (или) внешних аудиторских проверок заказных операций, по меньшей мере в том же масштабе, который требовался бы, если бы такие операции проводились в самом банке[102]. В отношении внешних взаимодействий, включающих критичные или технологически сложные виды обслуживания/программные приложения, банкам может потребоваться организация других периодических проверок, выполняемых независимыми сторонними компаниями, которые обладают достаточной технической квалификацией.

5. Банкам следует разработать планы на случай непредвиденных обстоятельств, связанных с заказной деятельностью в области ЭБ:

– необходимо разрабатывать такие планы для всех критичных систем и видов обслуживания в рамках ЭБ, которые были возложены на сторонние организации, осуществляющие заказную обработку, и периодически тестировать эти планы;

– в планах на случай непредвиденных обстоятельств следует учитывать правдоподобные сценарии наихудшего развития событий с точки зрения обеспечения непрерывности обслуживания в рамках ЭБ, если произойдут нарушения в работе, влияющие на выполнение заказных операций;

– необходимо иметь точно определенную группу сотрудников, ответственную за обеспечение восстановления и оценивание физического результата в случае прерывания заказного обслуживания в рамках ЭБ.

6. Банкам, которые возлагают обслуживание в рамках ЭБ на сторонние организации, следует удостовериться в том, что их операции, ответственность и обязательства определены достаточно точно, так, чтобы обслуживаемые учреждения могли адекватно осуществлять эффективные проверки соблюдения обязательств и текущее наблюдение за действующими отношениями.

7. Банки несут ответственность за предоставление обслуживаемым учреждениям информации, необходимой для определения, контроля и мониторинга любых рисков, связанных с соглашениями по обслуживанию в рамках ЭБ.

5.2.2. Средства обеспечения безопасности (Принципы 4-10)

Ввиду того что СД банка несет ответственность за обеспечение наличия должных процессов контроля безопасности для операций ЭБ, содержание этих процессов требует особого внимания со стороны органов управления из-за более сложных проблем с безопасностью, которые возникают при операциях ЭБ[103].

Следующие вопросы являются особенно значимыми:

– аутентификация;

– невозможность отказных операций;

– целостность данных и транзакций;

– разделение обязанностей;

– средства управления авторизацией;

– поддержание аудиторских записей;

– конфиденциальность важнейшей банковской информации.

Принцип 4: банкам следует принимать должные меры по аутентификации идентичности и авторизации[104] клиентов, с которыми они осуществляют деловые операции через интернет.

В банковском деле принципиально важно подтверждение того, что конкретный запрос на взаимодействие (связь), транзакцию или доступ имеет легитимный характер. Соответственно, банкам следует применять надежные методы для верификации идентичности и авторизации новых клиентов, так же как и для аутентификации идентичности и авторизации зарегистрированных клиентов, обращающихся за проведением электронных транзакций.

Верификация клиентов (при определении происхождения счета) важна для снижения риска хищений идентификационных данных, мошеннических действий со счетами и отмывания денег. Если банк не может адекватно аутентифицировать клиентов, то возможны получение несанкционированного доступа к счетам по операциям ЭБ и в конечном итоге финансовые потери и ущерб для репутации банка из-за мошенничества, утечки конфиденциальной информации или непреднамеренного вовлечения в преступную деятельность.

Установление и аутентификация идентичности того или иного лица, а также авторизация доступа к банковским системам в условиях полностью электронной открытой сети связи могут оказаться трудной задачей. Легитимная авторизация пользователя может быть фальсифицирована с помощью разнообразных методов, обычно называемых «мистификация»[105]. Онлайновые хакеры могут также перехватить сеанс легитимно авторизованного лица, используя «вынюхивателя»[106], и выполнять действия вредоносного или криминального характера. Помимо прочего, процессы контроля аутентификации могут быть обойдены посредством воздействия на базы данных, хранящие аутентификационные сведения.

Соответственно, критически важно, чтобы банки имели оформленные политику и процедуры, определяющие необходимую методологию (или методики), для того чтобы гарантировать, что отдельный банк должным образом проводит аутентификацию идентичности и авторизацию прав того или иного лица, агента или системы[107] с помощью уникальных способов и настолько, насколько это осуществимо, гарантирует исключение участия неавторизованных лиц или систем[108]. Банки могут применять разнообразные методы аутентификации, включая ПИН, пароли, микропроцессорные карты, биометрику и цифровые сертификаты[109]. Эти методы могут быть однопараметрическими или многопараметрическими (имеется в виду использование как пароля, так и биометрических технологий[110] для аутентификации). Многопараметрическая аутентификация в общем случае обеспечивает большую уверенность в идентификации.

Банк должен определить, какие методы аутентификации использовать, на основе оценки руководством банка риска, возникающего из-за применения СЭБ в целом или каких-либо ее составных компонентов. В процессе анализа риска следует оценивать пропускную способность[111] СЭБ (например, по переводам, платежам, запросам на ссуды, агрегации счетов и т. д.), важность и значение хранимых данных по операциям ЭБ, а также удобство принятого метода аутентификации для клиентов.

Надежные процессы идентификации и аутентификации клиентов особенно важны в контексте трансграничных операций с применением технологий ЭБ, если учитывать осложнения, которые могут возникнуть при осуществлении электронных операций с клиентами через национальные границы, включая повышенный риск обезличивания индивидуальности и большие затруднения в выполнении эффективных проверок при предоставлении кредита потенциальным клиентам.

Поскольку методы аутентификации продолжают совершенствоваться, банкам рекомендуется отслеживать и перенимать используемые в отрасли надежные методы работы в данной части, обеспечивающие:

– защиту аутентификационных баз данных, которые предназначены для организации доступа к счетам клиентов ЭБ или важным системам, от изменения и повреждения. Любое подобное воздействие должно обнаруживаться, при этом должны вестись аудиторские записи для документирования попыток такого рода;

– должную авторизацию любых добавлений, удалений или изменений в аутентификационной базе данных для того или иного лица, агента или системы с помощью какого-либо источника аутентификационных данных[112];

– осуществление должных мер для контроля подключений к СЭБ, таких, чтобы кто-то неизвестный со стороны не мог подменить известных клиентов;

– поддержание безопасности аутентификационного сеанса в рамках ЭБ на всем его протяжении или затребование повторной аутентификации в случае ошибок в защите.

Принцип 5: банкам следует использовать методы аутентификации транзакций, которые способствуют невозможности отказа от операций (доказательному подтверждению операции) и обеспечивают возможность учета транзакций в рамках ЭБ.

Невозможность отказа от операции обеспечивается за счет формирования доказательства по ее источнику или предоставлению информации в электронной форме для защиты отправителя от ложного отрицания получателем того, что конкретные данные были получены, или для защиты получателя от ложного отрицания отправителем того, что конкретные данные были отправлены.

Риск отрицания транзакций уже стал реальностью для обычных транзакций, которые осуществляются посредством кредитных карт, или при транзакциях ценных бумаг.

В то же время технология ЭБ увеличивает этот риск ввиду сложностей с положительной аутентификацией идентичности и полномочий тех, кто инициирует транзакции, возможностей воздействия на электронные транзакции и их перехвата, а также возможностей для пользователей технологий ЭБ заявлять, что их транзакции подверглись мошенническому воздействию.

Для парирования описанных повышенных угроз банкам требуется предпринимать немалые усилия, соразмерные со значимостью и типами конкретных транзакций в рамках ЭБ, чтобы обеспечить:

– разработку СЭБ таким образом, чтобы уменьшить вероятность инициирования авторизованными пользователями непреднамеренных транзакций, и полное понимание клиентами особенностей рисков, которые связаны с любыми инициируемыми ими транзакциями;

– положительную аутентификацию всех участников конкретной транзакции и поддержание контроля над аутентифицированным каналом взаимодействия;

– защиту данных о финансовых транзакциях от воздействия извне и обнаружение любых воздействий такого рода.

Банковские организации начали применять разнообразные способы, содействующие обеспечению доказательности и гарантированной конфиденциальности транзакций в рамках ЭБ, такие как цифровые сертификаты с использованием инфраструктуры открытых ключей[113]. Банк может выдать цифровой сертификат клиенту или контрагенту для обеспечения их уникальной идентификации/аутентификации и уменьшить риск отрицания транзакций. Хотя в некоторых странах права клиента на отклонение транзакций предусмотрены в специальных нормативных актах, в отдельных национальных юрисдикциях приняты законодательные акты, признающие правомочность цифровых подписей. По мере продолжения развития технологий вероятно более широкое, глобальное правовое признание таких способов.

Принцип 6: банкам следует гарантировать наличие необходимых мер по адекватному разделению обязанностей в системах баз данных и прикладных программных комплексах ЭБ.

Разделение обязанностей представляет собой основную меру внутреннего контроля, предназначенную для уменьшения риска мошенничества в операционных системах и процессах, а также для обеспечения должной авторизации, фиксации и защищенности транзакций и активов компаний. Разделение обязанностей является критичным для гарантирования точности и целостности данных и используется для предотвращения проникновения злоумышленников. Если обязанности разделены правильно, то мошенничество может быть совершено только на основе тайного сговора.

Обслуживание в рамках ЭБ может привести к необходимости изменения тех способов, которыми осуществляется и поддерживается разделение обязанностей, поскольку транзакции выполняются через электронные системы, где действующих лиц легче замаскировать или подменить. Кроме того, в практических приложениях ЭБ операционные и транзакционные функции во многих случаях оказываются более комплексными и интегрированными. Вследствие этого традиционно требуемые средства управления для поддержания разделения обязанностей следует пересмотреть и адаптировать в интересах сохранения должного уровня контроля. Ввиду того что доступ к плохо защищенным базам данных гораздо легче получить через внутренние или внешние сети связи, необходимо сделать акцент на процедуры строгой авторизации и идентификации, безопасную и надежную архитектуру процессов сквозной обработки, а также на адекватные аудиторские записи.

В обычную практику организации и поддержания разделения обязанностей в комплексах ЭБ входят:

– разработка транзакционных процессов и систем таким образом, чтобы обеспечивалась невозможность ввода, авторизации и завершения транзакций ни для какого работника или провайдера заказных услуг;

– соблюдение разделения функций между теми, кто работает со статичными данными (включая содержание веб-страниц), и теми, кто отвечает за верификацию и целостность данных;

– тестирование с СЭБ на предмет проверки невозможности обхода установленного разделения обязанностей;

– соблюдение разделения функций между теми, кто разрабатывает СЭБ, и теми, кто их администрирует[114].

Принцип 7: банкам следует обеспечивать наличие должных средств авторизации и полномочий доступа для систем, баз данных и приложений ЭБ.

Для поддержания разделения обязанностей банкам необходимо строго контролировать авторизацию и полномочия доступа. Недостатки в обеспечении адекватного контроля авторизации могут дать возможность отдельным лицам расширить свои права авторизации, обойти разделение функций и получить доступ к системам, базам данных и прикладным программам ЭБ, к которым они не допущены.

В банках права авторизации и доступа в СЭБ могут устанавливаться как централизованно, так и распределенным образом, и соответствующие параметры обычно заносятся в базы данных. Защита таких баз данных от внешнего воздействия или повреждения принципиально необходима для эффективного контроля авторизации.

Ниже приведены дополнительные примеры надежной организации, которые могут помочь установить должный контроль над авторизацией и правами доступа к системам, базам данных и прикладным программам ЭБ.

1. Всем лицам, агентам или системам, участвующим в деятельности, осуществляемой в рамках ЭБ, следует назначить специальную авторизацию и полномочия доступа.

2. Все СЭБ следует проектировать таким образом, чтобы они гарантированно взаимодействовали с правильной базой данных авторизации.

3. Никакому отдельному агенту или системе не должна быть предоставлена возможность изменять его или ее собственные права либо полномочия доступа, зафиксированные в базе данных авторизации, входящей в СЭБ[115].

4. Любые добавления лица, агента или системы либо изменения в полномочиях доступа, зафиксированных в базе данных авторизации, применяемой в рамках ЭБ, должны быть авторизованы в установленном порядке от аутентифицированного источника, наделенного соответствующими правами адекватным руководящим органом, и должны подлежать полноценному и своевременному наблюдению, а также отражению в аудиторских записях.

5. Следует принимать должные меры для обеспечения обоснованной устойчивости баз данных авторизации в части ЭБ к внешним воздействиям. Любое такое воздействие подлежит обнаружению с помощью процессов постоянного мониторинга. Следует обеспечить документирование в аудиторских записях всех попыток воздействия подобного рода.

6. Любую базу данных, используемую в СЭБ, которая подверглась внешнему воздействию, следует исключить из пользования до замены ее удостоверенной базой данных.

7. Следует обеспечить наличие средств контроля для предотвращения изменений в уровнях авторизации во время сеансов проведения транзакций в рамках ЭБ, кроме того, любые попытки внесения изменений в авторизацию должны фиксироваться (в т. ч. соответствующая информация должна предоставляться руководству банка).

Принцип 8: банкам следует обеспечивать наличие должных мер защиты целостности данных в транзакциях, записях и информации ЭБ.

Под целостностью данных понимается гарантия того, что передаваемая или хранимая информация не подвергалась неавторизованному воздействию. Недостатки в обеспечении целостности данных в транзакциях, записях и информации могут привести к финансовым потерям банков, а также к возрастанию правового и репутационного рисков.

Сам характер сквозной обработки для операций ЭБ может затруднить обнаружение ошибок программирования или мошеннической деятельности на ранней стадии. Поэтому банкам следует реализовать сквозную обработку таким образом, чтобы гарантировать безопасность и идентичность, а также целостность данных.

Поскольку данные по операциям ЭБ передаются по открытым сетям связи, транзакции подвержены дополнительной опасности искажения данных, мошенничества и воздействия на записи. Соответственно, банкам следует обеспечивать наличие должных мер, которые позволяют удостовериться в точности, полноте и надежности транзакций, записей и информации ЭБ, как передаваемых через интернет с размещением во внутренних базах банков, так и передаваемых/хранимых сторонними провайдерами услуг по поручению конкретного банка[116]. Обычные меры, применяемые для поддержания целостности данных в комплексах ЭБ, включают:

– проведение транзакций ЭБ таким образом, что обеспечивается их высокая устойчивость к внешним воздействиям на протяжении всего процесса;

– хранение, предоставление и модификацию записей об операциях ЭБ таким образом, что обеспечивается их высокая устойчивость к внешним воздействиям;

– разработку процессов обработки транзакций и хранения записей ЭБ таким образом, чтобы было фактически невозможно избежать обнаружения неавторизованных изменений;

– наличие адекватной политики контроля над изменениями, включая процедуры мониторинга и тестирования, для защиты против любых изменений в СЭБ, которые могут из-за ошибочных или намеренных действий повредить средствам управления или снизить надежность данных;

– обнаружение любого воздействия на транзакции или записи ЭБ с помощью функций обработки транзакций, мониторинга и обеспечения сохранности данных.

Принцип 9: банкам следует убедиться в формировании точных аудиторских записей по всем транзакциям в рамках ЭБ.

Предоставление финансовых услуг через интернет может затруднить для банков внедрение и применение средств внутреннего контроля и поддержание точных аудиторских записей, если эти меры не адаптированы к комплексу ЭБ. Банки сталкиваются с проблемами обеспечения не только внутреннего контроля в условиях значительной автоматизации, но и независимого аудита средств контроля, особенно в части всех критичных для операций ЭБ событий и прикладных программ.

Условия работы внутреннего контроля банка могут быть ухудшены, если отсутствует возможность формирования точных аудиторских записей по деятельности в рамках ЭБ.

Это обусловлено тем, что многие, если не все, записи о таких операциях и фиксация событий осуществляются в электронной форме. При определении ситуаций, в которых следует обеспечивать наличие точных аудиторских записей, требуется рассматривать следующие типы транзакций в рамках ЭБ:

– открытие, изменение или закрытие счетов клиента;

– любые транзакции, влекущие за собой финансовые последствия;

– любую авторизацию, модификацию или аннулирование прав доступа к системе или полномочий.

Ниже приведены дополнительные примеры надежной организации в целях обеспечения наличия точных аудиторских записей для транзакций, осуществляемых в рамках ЭБ.

1. В банках должны постоянно вестись электронные журналы, в которых осуществляется фиксация всех событий в системе и их описаний по всем транзакциям в рамках ЭБ, чтобы способствовать формированию четких аудиторских записей и аргументации в разрешении спорных вопросов.

2. СЭБ следует разрабатывать и внедрять таким образом, чтобы обеспечивались фиксация и сохранение учитываемых в судебном разбирательстве свидетельств, а также предотвращение воздействия извне и получения фальшивых улик.

3. В случаях, когда за системы обработки и связанные с ними аудиторские записи отвечает сторонний провайдер услуг:

– банку следует обеспечить себе доступ к требуемым ему аудиторским записям, которые делает провайдер услуг;

– аудиторские записи, обеспечиваемые провайдером услуг, должны соответствовать стандартам, установленным в данном банке.

Принцип 10: банкам следует принимать должные меры для сохранения конфиденциальности важнейшей информации в области ЭБ. Меры, принимаемые для сохранения конфиденциальности, должны быть соразмерны значимости передаваемой и (или) хранимой в базах данных информации.

Конфиденциальность определяется как уверенность в том, что важная информация в банке остается частной и не просматривается или не используется никем, кроме имеющих на это право (авторизацию).

Недопустимое использование или неавторизованное раскрытие данных подвергает банк как репутационному, так и правовому рискам. Внедрение технологии ЭБ приводит к появлению дополнительных проблем с безопасностью для банка, поскольку увеличивает возможности доступа к информации, передаваемой через открытую сеть связи или хранимой в базах данных, со стороны неавторизованных либо нежелательных лиц или же использования ее такими способами, которые не предполагались клиентом, предоставившим данную информацию.

Кроме того, активное использование услуг провайдеров может привести к раскрытию важнейших банковских данных посторонним лицам.

Для того чтобы предотвратить проблемы с сохранением конфиденциальности важнейшей банковской информации в части ЭБ, необходимо гарантировать, что:

– доступ ко всем конфиденциальным банковским данным и информации возможен только для должным образом авторизованных и аутентифицированных лиц, агентов или систем;

– для всех конфиденциальных банковских данных в процессе передачи через открытые, частные или внутренние сети связи обеспечиваются безопасность и защита от несанкционированного просмотра или изменения;

– в случаях использования заказной обработки обеспечивается соответствие стандартам и способам контроля банка над использованием данных и их защитой;

– весь доступ к данным ограниченного использования фиксируется и приняты необходимые меры по защите журналов регистрации доступа к этим данным от внешнего воздействия.

5.2.3. Управление правовым и репутационным рисками (Принципы 11–14)

Специфические законы и правила защиты клиента и обеспечения конфиденциальности в разных юрисдикциях варьируются. В общем случае банки несут четко определенную ответственность за обеспечение соответствия уровням требований относительно раскрытия информации, защиты клиентских данных и доступности деловых операций, близким к тем уровням, которые они обеспечивали бы, если бы осуществляли деловые операции через традиционные каналы предоставления банковских услуг.

Принцип 11: банкам следует убедиться в том, что на их вебсайтах представлена правильная информация, позволяющая потенциальным клиентам сделать обоснованные заключения относительно самого банка и его организационно-правовой формы еще до проведения транзакций через СЭБ.

Для того чтобы минимизировать правовой и репутационный риски, связанные с деятельностью в области ЭБ, осуществляемой как локально, так и трансгранично, банки еще до того, как начать осуществлять транзакции в рамках ЭБ, должны удостовериться, что на их веб-сайтах представлена правильная информация о самом банке и его правовом статусе.

В число примеров информации такого рода, которую банк может представить на своем веб-сайте, входят:

– название банка и сведения о местоположении его головного офиса (а также региональных офисов, если они есть);

– указание на основной орган (или органы) надзора за банком, ответственный за осуществление надзора за головным офисом данного банка;

– способы контакта клиентов банка с его центром обслуживания клиентов, решающим проблемы с услугами, рассматривающим жалобы, подозрения в неправомочном использовании счетов и т. п.;

– способы контакта клиентов и общения с соответствующим наблюдательным органом или структурами, отвечающими за определение правил обслуживания потребителей;

– способы получения клиентами доступа к информации о возможных государственных компенсациях или страховом покрытии депозитов (или же указание на веб-сайт с такой информацией);

– другая информация, которая может быть полезна или затребована в конкретных юрисдикциях[117].

Принцип 12: банкам следует принимать должные меры, чтобы обеспечить следование требованиям гарантии конфиденциальности для клиентов, применимым в той юрисдикции, в пределах которой данный банк предоставляет услуги и виды обслуживания, относящиеся к ЭБ.

Соблюдение конфиденциальности клиентской информации представляет собой важнейшую обязанность банка. Ненадлежащее использование или неавторизованное раскрытие конфиденциальных клиентских данных подвергает банк как правовому, так и репутационному рискам.

С целью решения проблем, относящихся к сохранению конфиденциальности клиентской информации, банкам следует прилагать разумные усилия для обеспечения того, чтобы:

– в политике и стандартах банка, описывающих соблюдение конфиденциальности для клиента, были учтены и соблюдены требования всех законов и правил, касающихся конфиденциальности и применимых в пределах той юрисдикции, в которой предоставляются услуги и виды обслуживания, относящиеся к ЭБ;

– клиенты были поставлены в известность о политике соблюдения банком конфиденциальности и соответствующих вопросах соблюдения конфиденциальности, относящихся к использованию услуг и видов обслуживания в рамках ЭБ;

– клиенты могли отклонять («вычеркивать») разрешения на предоставление банком третьим сторонам в целях перекрестного маркетинга любой информации о персональных потребностях, интересах, финансовом положении или банковской деятельности клиента;

– клиентские данные не использовались для целей, выходящих за пределы разрешенного использования, или вне целей, которые были авторизованы клиентом[118];

– стандарты банка в отношении использования клиентских данных соблюдались при доступе третьих сторон к клиентским данным на основе отношений в рамках заказной обработки.

Ниже приведены дополнительные примеры надежной организации для обеспечения конфиденциальности клиентской информации в рамках ЭБ.

1. Банкам следует применять необходимые криптографические методы, специальные протоколы или другие средства контроля безопасности для обеспечения конфиденциальности клиентских данных в операциях ЭБ.

2. Банкам следует разработать необходимые процедуры и средства контроля для периодического оценивания своей инфраструктуры обеспечения безопасности клиентов и протоколов, применяемых в операциях ЭБ.

3. Банкам следует убедиться в том, что сторонние провайдеры услуг имеют разработанные политики соблюдения конфиденциальности клиентских данных.

4. Банкам следует обеспечить информирование клиентов, пользующихся услугами ЭБ, о конфиденциальности и сохранности их информации. Такие меры могут включать:

– информирование клиентов о политике данного банка в части соблюдения конфиденциальности (например, на веб-сайте этого банка). Четкое лаконичное изложение положений о конфиденциальности необходимо, чтобы обеспечить уверенность в том, что отдельные клиенты полностью понимают данную политику. Пространные описания законодательных норм, сколь угодно точные, скорее всего, не будут прочитаны большинством клиентов;

– инструкции для клиентов относительно необходимости держать в секрете свои пароли, ПИН и другие банковские и (или) личные данные;

– предоставление клиентам информации об обеспечении общей безопасности их персональных компьютеров, включая преимущества использования программ защиты от компьютерных вирусов, средств физического контроля доступа и персональных брандмауэров для статичных интернет-соединений.

Принцип 13: банкам следует иметь эффективные процессы планирования производительности, непрерывности бизнеса и реакции на непредвиденные обстоятельства, чтобы способствовать обеспечению доступности систем и видов обслуживания в части ЭБ.

Для защиты банков от делового, правового и репутационного рисков обслуживание в рамках ЭБ должно предоставляться на основе непрерывности и своевременности в соответствии с ожиданиями клиентов. Поддержание требуемой доступности зависит также от способности резервных систем обеспечивать непрерывность функционирования и парировать атаки типа «отказ в обслуживании» или другие события, которые потенциально могут вызвать прерывание деловых операций.

Проблема поддержания непрерывной доступности систем и приложений ЭБ может оказаться весьма серьезной с учетом возможного значительного спроса на проведение транзакций, особенно в периоды пиковой нагрузки. Высокие ожидания клиентов относительно короткого цикла обработки транзакций и постоянной доступности (24/7) также увеличили важность надежного планирования производительности, непрерывности деловых операций и реакции на непредвиденные ситуации. Для обеспечения такой непрерывности обслуживания клиентов в рамках ЭБ, которую они ожидают, банкам необходимо гарантировать, что:

– существующая в настоящий момент производительность СЭБ и ее перспективная масштабируемость анализируются с учетом общей динамики данного рынка электронной коммерции, а также предполагаемого темпа изменения восприятия клиентами услуг и видов обслуживания в области ЭБ[119];

– оценки производительности обработки транзакций в рамках ЭБ выполнены, проверены на максимальную нагрузку и периодически пересматриваются;

– имеются и регулярно проверяются соответствующие планы по поддержанию непрерывности деловых операций и действий в непредвиденных обстоятельствах для критических систем обработки и доведения услуг в рамках ЭБ.

Ниже приведены дополнительные примеры правильной организации планирования производительности, непрерывности деловых операций и действий в непредвиденных обстоятельствах.

1. Следует идентифицировать и критично оценивать все виды обслуживания и прикладные программы, используемые в области ЭБ, включая те, которые предоставляются сторонними провайдерами услуг.

2. Следует осуществлять оценивание рисков для всех критичных видов обслуживания и прикладных программ в части ЭБ, включая потенциальное влияние любых случаев прерывания деловых операций на кредитный, рыночный, правовой, операционный, а также репутационный риски и риск ликвидности для данного банка.

3. Следует установить функциональные критерии для каждого критичного вида обслуживания и программного приложения в рамках ЭБ, а также организовать мониторинг уровней обслуживания в сопоставлении с такими критериями. Следует принять должные меры для обеспечения того, чтобы СЭБ могли обрабатывать как малые, так и большие объемы транзакций и чтобы функционирование систем и их производительность согласовывались с предположениями данного банка относительно перспективного развития СЭБ.

4. Следует принять во внимание разрабатываемые альтернативные варианты обработки для управления спросом при достижении СЭБ установленных заранее номинальных показателей производительности.

5. Планы обеспечения непрерывности операций в части ЭБ следует составлять таким образом, чтобы учитывались все функции, возложенные на сторонних провайдеров услуг, а также прочие внешние зависимости, связанные с необходимостью применения процедур восстановления работоспособности.

6. В планах реагирования на непредвиденные обстоятельства при обслуживании в рамках ЭБ следует определить какие-либо процессы для возобновления или замещения существующих средств обработки в части ЭБ, реконструирования информации для обеспечения выполнения транзакций, а также описать те меры, которые должны быть приняты для восстановления доступности критичных систем и прикладных программ ЭБ в случае прерывания деловых операций.

Принцип 14: банкам следует разработать должные планы реагирования на случайные происшествия для выявления, учета и минимизации проблем, обусловленных неожиданными событиями, включая внутренние и внешние атаки, которые могут ухудшить обеспечение систем и видов обслуживания в рамках ЭБ.

Эффективные механизмы реагирования на случайные происшествия принципиально важны для минимизации операционного, правового и репутационного рисков, обусловленных неожиданными событиями, такими как внутренние и внешние атаки, которые могут оказать влияние на функционирование систем и предоставление услуг ЭБ. Банкам следует разработать соответствующие планы реагирования на случайные происшествия, включая стратегию обеспечения связи, которая гарантирует непрерывность деловых операций, контроль над репутационным риском и ограничивает обязательства, ассоциируемые с прерыванием обслуживания в рамках ЭБ, в частности те, которые связаны с использованием систем и операций в рамках заказной обработки.

Для обеспечения эффективного реагирования на непредвиденные происшествия банкам следует сформировать:

– планы реагирования на происшествия, описывающие восстановление систем и обслуживания в области ЭБ для различных сценариев, деловых операций и географических зон. Анализ сценариев развития событий должен включать рассмотрение вероятности возникновения риска и его влияния на конкретный банк. СЭБ, которые переданы сторонним провайдерам услуг, должны учитываться в таких планах как неотъемлемая часть;

– механизмы оперативного выявления происшествий или кризисных ситуаций, оценивания их материального эффекта и контроля над репутационным риском, ассоциируемым с любым прерыванием обслуживания[120];

– стратегию обеспечения связи для адекватного реагирования на внешние проблемы рыночного или информационного характера, которые могут возникнуть в случае нарушений безопасности, онлайновых атак и (или) отказов СЭБ;

– четкий процесс, организованный для уведомления соответствующих регулятивных органов в случае происшествий, связанных с реальным ущербом безопасности или прерыванием работы;

– группу реагирования на происшествия, наделенную полномочиями экстренного реагирования и имеющую достаточную подготовку в части анализа систем выявления/парирования происшествий и оценивания значимости связанных с ними результатов;

– четкую последовательность обязательных действий, охватывающую как внутренние, так и заказные операции, чтобы гарантировать, что осуществляются должные действия, соответствующие значимости происшедшего. Кроме того, следует разработать процедуры распространения сведений и связи, а также учесть информирование СД банка в случае необходимости;

– процесс, гарантирующий, что все имеющие отношение к делу внешние участники, включая клиентов банка, контрагентов и информационные органы, будут правильно и своевременно поставлены в известность о реальных случаях прерывания операций ЭБ и работах по восстановлению данной деятельности;

– процесс сбора и накопления свидетельств, учитываемых в судебных разбирательствах, для обеспечения должного последующего анализа любого происшествия в связи с операциями ЭБ, а также для содействия судебному преследованию нарушителей.

6. Возможные риски при использовании технологии интернет-банкинга[121]

Безопасные корабли – это вытащенные на берег корабли.

Анахарсис Скифский, древнегреческий философ

Введение

Самый большой риск – не принимать какие-либо рискованные решения… В мире, который очень быстро меняется, единственная стратегия, которая гарантированно потерпит неудачу, – не рисковать.

Марк Цукерберг, основатель социальной сети Facebook

Понятие «интернет-банкинг» относится к системам, которые позволяют клиентам получать доступ к счетам и общей информации по банковским услугам и видам обслуживания с помощью персонального компьютера или другого «интеллектуального» устройства.

Услуги и обслуживание в рамках интернет-банкинга могут включать оптовые услуги для корпоративных клиентов и розничные услуги для частных клиентов.

В число оптовых услуг и обслуживания, в частности, входят:

– управление наличностью;

– электронные переводы;

– автоматические клиринговые операции;

– предъявление счетов к оплате.

В число розничных и фидуциарных услуг входят, например:

– запрос баланса;

– перевод средств;

– затребование информации о транзакциях;

– предъявление счетов к оплате;

– запросы на ссуды;

– инвестиционная деятельность;

– другие виды услуг, приносящие доход.

Прочие варианты обслуживания в рамках интернет-банкинга могут включать предоставление доступа к интернету в качестве провайдера интернет-обслуживания (Internet Service Provider – ISP). Управление контролера денежного обращения США установило, что дочерние организации национальных банков могут предоставлять банковские услуги на дому через интернет-соединения с системой домашнего банковского обслуживания конкретного банка и в качестве дополнения к такому обслуживанию могут также предоставлять доступ к интернет-клиентам банка через посредство этого обслуживания (см. ОСС Interpretative Letter № 742, так называемое «письмо Apollo»). Исторически банки использовали технологию информационных систем для обработки чеков (обработка требований), управления банкоматами (обработка транзакций) и подготовки отчетов (информационные системы управления). В прошлом компьютерные системы, составлявшие функциональную основу информационных систем, почти не привлекали внимание клиентов. Сегодня же веб-сайты, электронная почта и системы предъявления/оплаты электронных счетов являются важными средствами работы банков с клиентами.

Национальные банки экспериментировали с различными формами оперативного удаленного банковского обслуживания (on-line banking) в течение многих лет. Некоторые из первоначальных экспериментов проводились с закрытыми системами, в которых клиенты получали доступ к банку через посредство телефонного набора или кабельного телевизионного соединения. Эти системы ограничивали потенциальную клиентскую базу банка, поскольку для доступа к банку было необходимо, чтобы клиентам, находящимся вне данного региона, приходилось либо оплачивать телефонные счета за удаленные соединения, либо становиться абонентами конкретной системы кабельного телевидения. С учетом расширения интернета клиенты могут воспользоваться этой технологией в любом месте мира, чтобы получить доступ к сети связи какого-либо банка. Интернет как обеспечивающая технология сделал банковские услуги и обслуживание доступными для большого числа клиентов и устранил барьеры, обусловленные географическими факторами и правами собственности на системы. Обширный рынок предоставляет банкам возможности распространения или модификации своих услуг и предложений по обслуживанию.

6.1. Развитие интернет-банкинга

Работайте усердно, чтобы получить то, что любите, иначе придется полюбить то, что получили.

Бернард Шоу,

выдающийся ирландский драматург и романист, лауреат Нобелевской премии в области литературы

Количественные факторы, включая конкурентные затраты, обслуживание клиентов и демографические условия, стимулируют банки к оцениванию используемых технологий и пересмотру стратегий в части электронной коммерции и интернет-банкинга. Многие исследователи ожидают быстрого увеличения числа клиентов, использующих банковские услуги и обслуживание в режиме онлайн. Сложная задача для банков заключается в том, чтобы убедиться, что выгоды от применения технологии интернет-банкинга больше, чем потери из-за затрат и рисков, связанных с ведением бизнеса в киберпространстве.

Стратегии маркетинга будут варьироваться по мере стремления национальных банков к расширению своих рынков и задействованию более дешевых каналов доведения услуг. Чтобы оценить риск, менеджерам потребуется понимание применяемых стратегий и используемых технологий на основе сопоставления банков. Оценивание данных по конкретным банкам в части использования их веб-сайтов может помочь инспекторам в определении стратегических целей конкретного банка, того, насколько хорошо банк выполняет свой план по предоставлению услуг интернет-банкинга, а также насколько доходным может считаться данный вид бизнеса.

В число рыночных факторов, которые могут определять стратегию банка, входят следующие:

1. Конкуренция. Исследования показывают, что конкурентное давление является движущей силой роста применения технологии интернет-банкинга; двумя другими факторами, вторым и третьим по значимости, являются снижение затрат и повышение рентабельности. Банки рассматривают интернет-банкинг как способ сохранения существующей клиентуры и привлечения новых клиентов.

2. Эффективность затрат. Национальные банки могут обеспечить банковское обслуживание через интернет с гораздо более низкими операционными затратами, чем в рамках традиционных стационарных филиалов. Реальная стоимость проведения транзакций будет варьироваться в зависимости от используемого канала доведения услуги. К примеру, в соответствии с данными, которые приводили Booz, Allen & Hamilton, в середине 1999 г. стоимость ручной обработки транзакции в филиале обычно составляла более доллара, транзакции через банкомат и клиринговые центры стоили около 25 центов, а транзакция через интернет обходилась в цент (рис. 39). Предполагается, что эти затраты будут снижаться.

Национальные банки имеют весомые причины для разработки технологий, которые помогут им предоставлять банковские услуги и обслуживание по наиболее экономически выгодным каналам. Многие банкиры считают, что перенос только небольшой доли платежей, осуществляемых в США по почте и оцениваемых в $19 млрд, на электронные каналы доведения данных мог бы сэкономить банкам и другим организациям значительные суммы денег. Однако национальным банкам при принятии решений следует учитывать собственно разработку и текущую стоимость, связанную с новой услугой или видом обслуживания, включая технологию, маркетинг, сопровождение и функции поддержки клиентов. Это будет способствовать руководству банков в выполнении обязательств, принятии обоснованных решений и оценивании успеха деловых мероприятий.

Рис. 39. Изменение затрат на банковские технологии, применяемые для обработки транзакций

3. Географический охват. Интернет-банкинг обеспечивает расширение контактов с клиентами за счет увеличения географического охвата и снижения стоимости каналов доведения услуг. Фактически некоторые банки осуществляют свою деятельность исключительно через интернет: у них нет традиционных банковских офисов, и они работают с клиентами только в режиме онлайн. Другие финансовые учреждения используют интернет в качестве альтернативного канала для взаимодействия с имеющимися клиентами и привлечения новых.

4. Торговая марка. Для многих национальных банков формирование отношений является стратегическим приоритетом. Технология и услуги интернет-банкинга могут обеспечить национальным банкам средства для создания и поддержания непрерывных отношений с клиентами за счет предоставления легкого доступа к широкому спектру услуг и видов обслуживания.

За счет акцентирования своей торговой марки и предоставления широкого спектра финансовых услуг банки рассчитывают завоевать преданность клиентов, осуществлять перекрестные продажи услуг и повысить обращаемость за дополнительными услугами.

5. Демография клиентуры. Интернет-банкинг позволяет национальным банкам предлагать широкий набор вариантов своим клиентам, осуществляющим банковские деловые операции. Одни клиенты будут ориентированы на традиционные филиалы: для многих это наиболее удобный способ осуществления банковских деловых операций. Такие клиенты отдают предпочтение межличностным контактам. Другие клиенты сразу воспринимают новые технологии, появляющиеся на рынке.

Эти клиенты были первыми, кто приобрел персональные компьютеры, и первыми, кто стал использовать их для проведения банковских деловых операций.

Демография банковской клиентуры будет продолжать меняться. Проблема для национальных банков состоит в понимании клиентской базы и поиске правильного сочетания каналов доведения услуг и видов обслуживания с целью их выгодного предоставления в различных сегментах рынка.

6.2. Типы интернет-банкинга

Лучше взять и изобрести завтрашний день, чем переживать о том, что вчерашний был так себе.

Стив Джобс,

американский предприниматель, изобретатель и промышленный дизайнер, один из основателей, председатель совета директоров и CEO корпорации Apple

Понимание сути различных типов услуг интернет-банкинга будет способствовать оцениванию менеджерами банка сопутствующих рисков. В настоящее время на рынках используются три основных варианта интернет-банкинга:

1. Информационный – базовый уровень интернет-банкинга. Как правило, банк при этом дает маркетинговую информацию о банковских услугах и обслуживании на обособленном сервере. Соответствующий риск довольно низок, поскольку информационные системы обычно не имеют непосредственной связи между таким сервером и внутренней вычислительной сетью банка. Этот уровень интернет-банкинга может быть обеспечен как самим банком, так и сторонней организацией. Хотя риск для банка сравнительно невелик, соответствующий сервер или веб-сайт может оказаться уязвимым для воздействий. Поэтому следует предусмотреть должные средства контроля для предотвращения неавторизованных (несанкционированных) воздействий на упомянутый сервер или веб-сайт банка.

2. Коммуникационный – уровень интернет-банкинга, позволяющий реализовать некоторые виды взаимодействия между системами конкретного банка и его клиентом. Такое взаимодействие может быть ограничено электронной почтой, запросами справок о состоянии счетов, заявками на ссуды или обновлением стандартных файлов (изменение имени и адреса). Поскольку соответствующие серверы в этом варианте могут иметь какую-то связь с внутренними вычислительными сетями банка, сопутствующий риск при такой конфигурации выше, чем для исключительно информационных систем. Требуются должные средства контроля для предотвращения, мониторинга и оповещения руководства о любой попытке неавторизованного доступа к внутренним сетям и компьютерным системам банка. В таких условиях существенно более важен вирусный контроль.

3. Операционный – уровень интернет-банкинга, позволяющий клиентам выполнять транзакции. Поскольку в этом варианте обычно

существует непосредственная связь с сервером и внутренней вычислительной сетью банка или обслуживающей его организации, такой архитектуре сопутствует наивысший риск и в ней должны применяться самые серьезные средства контроля. Транзакции клиента могут включать доступ к счетам, осуществление платежей, перевод средств и т. п.

6.3. Риски интернет-банкинга

Так бывает довольно часто: главную трудность представляет не главная роль.

Бернард Шоу,

выдающийся ирландский драматург и романист, лауреат Нобелевской премии в области литературы

Интернет-банкинг создает для банков новые проблемы, связанные с контролем над рисками. Риск представляет собой возможность ситуации, когда ожидаемые или непредвиденные события смогут оказать негативное влияние на доходы или капитал конкретного банка. В интересах банковского надзора ОСС определило девять категорий риска: кредитный, процентный, ликвидности, ценовой, валютный, операционный, несоответствия, стратегический и репутационный. Данный перечень не считается исчерпывающим, и все перечисленные риски связываются с интернет-банкингом.

6.3.1. Кредитный риск

Кредитный риск – это риск для доходов или капитала, возникающий из-за неспособности лица, принявшего на себя обязательства (должника), выполнить требования заключенного с банком контракта или действовать в соответствии с иной договоренностью. Кредитный риск обнаруживается во всех видах деятельности, в которых успех зависит от действий партнера, эмитента или заемщика. Он возникает каждый раз, когда фонды банка распределяются, передаются или иным образом подвергаются опасности через явные или подразумеваемые контрактные соглашения независимо от того, учитываются они на балансе или вне баланса.

Интернет-банкинг предоставляет банку возможность расширить географию своей деятельности. Клиенты могут работать с данным учреждением практически из любого места в мире. При взаимодействии с клиентами через интернет, когда отсутствует какой-либо личный контакт, учреждения сталкиваются с проблемой верификации (подтверждения) истинности личности клиента, что является важным фактором для принятия правильных решений в части кредитования. В случае работы с удаленными заемщиками проблемы также могут быть связаны с подтверждением залога и выполнением соглашений об обеспечении безопасности. При отсутствии правильного управления интернет-банкинг может стать причиной концентрации кредитов у таких заемщиков или кредитов в отдельной отрасли производства. Более того, вопрос о том, под контролем юрисдикции какого штата или государства находятся взаимоотношения через интернет, остается пока на стадии решения.

Эффективное управление кредитным портфелем, сформированным посредством интернет-банкинга, требует, чтобы совет директоров и руководство банка контролировали профиль риска банка в части кредитования и соблюдение культуры кредитования. Они должны гарантировать наличие эффективной политики, процессов и практики контроля риска, связанного с такими кредитами.

6.3.2. Процентный риск

Процентный риск – это риск для доходов или капитала, возникающий из-за движения процентных ставок. С точки зрения экономической перспективы банк акцентирует внимание на чувствительности размера своих активов, обязательств и доходных статей к изменениям в значениях процентных ставок. Процентный риск возникает из различий между моментами изменения ставок и движения средств (риск переоценки), из меняющихся соотношений процентных ставок между разными кривыми доходности, влияющими на деятельность банка (базовый риск), а также из вариантов процентного дохода, заложенных в услугах конкретного банка (опционный риск). При оценивании процентного риска должно рассматриваться влияние стратегии и услуг комплексного неликвидного хеджирования, а также потенциальное влияние, которое окажут на коммерческий доход изменения процентных ставок. В тех случаях, когда трейдинг управляется независимо, это относится к структурным позициям, а не к трейдинговому портфелю.

Интернет-банкинг может способствовать формированию депозитных, кредитных и других отношений с более широким кругом потенциальных клиентов, чем другие формы маркетинга. Расширенный доступ к клиентам, заинтересованным преимущественно в наиболее высоких процентных ставках или сроках, усиливает потребность руководства в поддержании должных систем управления активами/пассивами, включая способность быстрого реагирования на меняющиеся рыночные условия.

6.3.3. Риск ликвидности

Риск ликвидности – это риск для доходов или капитала, обусловленный неспособностью банка выполнять свои обязательства при наступлении соответствующих сроков без неприемлемых для него потерь. Риск ликвидности включает неспособность управлять незапланированными изменениями в источниках финансирования. Данный риск возникает также из-за ошибок в распознавании изменений рыночных условий, влияющих на способность банка быстро реализовать активы с минимальными потерями в их стоимости.

Интернет-банкинг увеличивает изменчивость в депозитах, поступающих от клиентов, которые держат денежные средства на счетах, исходя только из ставок или сроков. Системы управления активами/пассивами и кредитным портфелем должны соответствовать услугам, предлагаемым в рамках интернет-банкинга. Усиленный мониторинг ликвидности и изменений в депозитах и ссудах может быть оправдан в зависимости от объема и характера действий со счетами через интернет.

6.3.4. Ценовой риск

Ценовой риск – это риск для доходов или капитала, возникающий из-за изменений в стоимости торговых портфелей финансовых инструментов. Этот риск появляется из рыночных предположений, сделок и позиций, занимаемых на рынках процентных ставок, акций и товаров.

Банки могут оказаться подвержены ценовому риску, если они начинают или расширяют депозитный брокеринг, торговлю кредитами или программу страхования от риска в результате деятельности в рамках интернет-банкинга. Если осуществляется активный трейдинг активов, то следует обеспечивать наличие необходимых систем управления для мониторинга, измерения ценового риска и управления им.

6.3.5. Валютный риск

Валютный риск имеет место, когда ссуда или кредитный портфель деноминируется в иностранной валюте или финансируется за счет займов в другой валюте. В некоторых случаях банки вовлекаются в мультивалютные кредитные обязательства, позволяющие заемщикам выбирать валюту в каждом периоде пролонгации ссуды. Валютный риск может увеличиться за счет действия политических, социальных или экономических факторов. Соответствующие последствия могут оказаться неблагоприятными, если обмен одной из используемых валют будет подчинен строгому регулированию или если наблюдаются сильные колебания ее обменного курса.

6.3.6. Операционный риск

Операционный риск является постоянным и перспективным риском для доходов и капитала, обусловленным мошенничеством, ошибками и невозможностью предоставления услуг или видов обслуживания, поддержания конкурентной позиции и управления информацией. Операционный риск непосредственно проявляется в каждой услуге и каждом виде обслуживания, которые предлагает банк, и охватывает организацию услуг и их предоставление, обработку транзакций, разработку систем, функционирование компьютерных систем, сложность услуг и обслуживания, а также условия осуществления внутреннего контроля.

Высокий уровень операционного риска может иметь место при оказании услуг интернет-банкинга, особенно если такие направления бизнеса неадекватно спланированы, реализованы и контролируются. Банки, предоставляющие услуги и обслуживание через интернет, должны быть способны отвечать ожиданиям своих клиентов. Банки должны также гарантировать, что им удалось обеспечить правильное сочетание услуг и что они имеют возможность предоставления полного, своевременного и надежного обслуживания для достижения высокого уровня доверия к своей торговой марке. Клиенты, осуществляющие деловые операции через интернет, скорее всего, не потерпят ошибок или промахов со стороны финансовых учреждений, которые не обладают специализированными средствами внутреннего контроля для управления проведением операций в рамках интернет-банкинга. Подобным образом клиенты ожидают непрерывной доступности конкретной услуги и веб-страниц с простой навигацией (ориентацией) по ним.

Программное обеспечение для поддержки различных функций интернет-банкинга поставляется клиентам из разнообразных источников. Банки могут осуществлять поддержку клиентов, используя затребуемое клиентами или поставляемое банком программное обеспечение браузеров или персональных финансовых помощников (Personal Financial Manager – PFM). Хорошая связь между банками и их клиентами будет способствовать отслеживанию соответствия различных программных продуктов PFM желаниям их пользователей.

Основного внимания заслуживают атаки или попытки проникновения в банковские компьютерные и сетевые системы. Исследования свидетельствуют, что системы более уязвимы к внутренним атакам, чем к внешним, поскольку пользователи внутренних систем обладают знанием этих систем и доступом к ним. Банкам следует иметь надежные средства защиты и обнаружения атак, чтобы обезопасить свои системы интернет-банкинга от вторжений как изнутри, так и снаружи.

Для того чтобы банки могли гарантировать предоставление услуг и обслуживания в неблагоприятных обстоятельствах, необходимо планирование в части обеспечения непрерывности и возобновления деловых операций. Предоставление услуг интернет-банкинга с использованием устойчивой сети связи может облегчить решение этой задачи, поскольку резервные возможности могут быть доступны в широкой географической зоне. К примеру, если основной сервер оказывается неработоспособен, то сеть связи могла бы автоматически переадресовывать поток данных на резервный сервер, размещенный в другом месте.

При разработке планов по обеспечению непрерывности и возобновлению деловых операций следует рассматривать вопросы безопасности. Средства обеспечения безопасности и внутреннего контроля на резервных позициях должны быть такими же по сложности, как и те, которые имеются в основном месте обработки операций.

Ключевым требованием клиентов будут высокие уровни доступности систем, и в соответствии с ними будет, вероятно, различаться степень успеха финансовых учреждений в интернете.

Национальным банкам, которые предлагают предъявление и оплату счетов, потребуется осуществление клиринга транзакций между самим банком, его клиентами и третьими сторонами. Ошибки в клиринге могут усугубить не только операционный, но и репутационный и кредитный риски, а также риск ликвидности.

6.3.7. Риск несоответствия

Риск несоответствия – это риск для доходов или капитала, возникающий из-за нарушения законов, правил, инструкций, предписанной практики или этических стандартов либо из-за не соответствующих им действий. Риск несоответствия возникает также в ситуациях, когда законы или правила, регламентирующие отдельные услуги или действия клиентов банка, оказываются неопределенными или непроверенными. Данный риск подвергает учреждение опасности штрафов, административных денежных взысканий, компенсации ущерба и нарушения контрактов. Риск несоответствия может привести к ухудшению репутации, сокращению льгот, ограничению деловых возможностей, возможностей расширения деятельности, а также неполному исполнению договоров. Большинство клиентов интернет-банкинга будут продолжать пользоваться другими каналами доведения банковских услуг. Соответственно, банкам потребуется пояснять, что информация, которую они дают по каналам интернет-банкинга, включая веб-сайты, продолжает соответствовать информации в других каналах предоставления услуг и таким образом гарантируется доведение до клиентов достоверных и точных сведений.

Регулярный мониторинг банковских веб-сайтов позволит обеспечить соответствие применяемым законам, правилам и инструкциям[122].

6.3.8. Стратегический риск

Стратегический риск отражает текущее и перспективное влияние на доходы или капитал неправильных деловых решений, неадекватной реализации решений или недостаточной способности к ответной реакции на изменения в отрасли.

Этот риск зависит от совместимости стратегических целей организации, деловых стратегий, разработанных для достижения этих целей, ресурсов, отведенных для данных целей, и качества реализации стратегий. Ресурсы, требуемые для осуществления деловых стратегий, делятся на материальные и нематериальные. Они включают каналы связи, операционные системы, сети доведения услуг, а также управленческие способности и возможности. Собственные характеристики организации должны быть оценены в сопоставлении с воздействием экономических, технологических, конкурентных, регулятивных и других внешних факторов.

Руководство банка должно осознать риски, связанные с интернет-банкингом, до принятия решения о разработке конкретного направления деятельности. Если банк планирует предлагать новые типы услуг и обслуживания через интернет, важно, чтобы руководство понимало риски и последствия таких решений.

Для поддержки такого рода планов необходим достаточный уровень развития технологий и информационных систем управления. Поскольку многие банки будут конкурировать с другими финансовыми учреждениями вне области своей традиционной деятельности, они должны тесно увязывать применяемые технологии с процессом стратегического планирования.

До внедрения услуги интернет-банкинга руководству следует рассмотреть вопрос, насколько данная услуга и технология согласуются с «материальными» деловыми целями в стратегическом плане банка. Банк должен также оценить, располагает ли он достаточной квалификацией и ресурсами для идентификации, мониторинга и контроля рисков в деловых операциях интернет-банкинга. Процесс планирования и принятия решений необходимо фокусировать на том, как услуга интернет-банкинга удовлетворяет конкретные деловые потребности, а не на самой услуге как независимой цели. В данном процессе наряду с маркетинговым и операционным персоналом должны участвовать банковские эксперты в области технологий. Им следует удостовериться, что план согласуется с общими деловыми целями банка и не выходит за пределы устойчивости банка к риску. Новые технологии, особенно интернет, способны быстро внести изменения в конкуренцию. Соответственно, стратегическое видение должно определять тот способ, с помощью которого бизнес через интернет будет разрабатываться, реализовываться и контролироваться.

6.3.9. Репутационный риск

Репутационный риск представляет собой текущее и перспективное влияние отрицательного общественного мнения на доходы и капитал. Он воздействует на способность учреждения устанавливать новые взаимоотношения, предлагать обслуживание потенциальным клиентам или продолжать обслуживать существующую клиентуру. Данный риск может привести к судебному преследованию учреждения, финансовым потерям или сокращению клиентской базы. Подверженность репутационному риску связана со всей деятельностью организации, в том числе с соблюдением повышенной осторожности при работе с клиентами и взаимодействии с общественностью.

Репутация банка может пострадать, если он не в состоянии соответствовать требованиям рынка или обеспечить адекватное своевременное обслуживание. Это может выражаться в неспособности полностью удовлетворять потребности клиентов в кредитах, применении ненадежных или неэффективных систем доведения услуг до клиентов, несвоевременном отклике на их запросы или невыполнении норм конфиденциальности, соблюдения которых ожидают клиенты.

При обслуживании в рамках интернет-банкинга репутации банка может быть нанесен ущерб в том случае, если оно плохо организовано или по каким-то иным причинам отталкивает клиентов и общественность. Хорошо организованный маркетинг, включая раскрытие информации, является одним из способов обучения потенциальных клиентов и помогает ограничить репутационный риск. Клиенты должны понять, чего они вправе ожидать от той или иной услуги либо вида обслуживания, а также каким рискам они могут подвергаться и какие выгоды получат, используя данную систему. Концепции маркетинга необходимо четко координировать с адекватными заявлениями относительно раскрытия информации. Банкам не следует рекламировать свою систему интернет-банкинга, основываясь на тех свойствах или параметрах, которыми она не обладает. Маркетинговая программа должна представлять продукт честно и точно.

Банкам следует тщательно продумывать представление на своих веб-сайтах связей с третьими сторонами. Гипертекстовые связи часто используются для того, чтобы дать клиенту возможность взаимодействовать с другими организациями. В глазах пользователя такие связи могут означать, что именно этим организациям или услугам банк оказывает предпочтение. Клиенты должны осознавать, что, когда они покидают веб-сайт банка, не возникает неясности относительно провайдера конкретных услуг и обслуживания или относительно применяемых стандартов обеспечения безопасности и конфиденциальности. Подобным образом следует предоставлять информацию об услугах, подлежащих страхованию, чтобы клиенты могли отличить их от услуг, которые не страхуются.

Банкам необходимо быть уверенными, что их планы по обеспечению непрерывности деловых операций учитывают операции, проводимые в рамках интернет-банкинга. Регулярная проверка плана по обеспечению непрерывности операций, включая стратегии взаимодействия с прессой и общественностью, поможет банку гарантировать, что он способен эффективно и правильно реагировать на любые негативные явления в поведении клиентов и средств массовой информации.

6.4. Управление рисками

Горячая лошадь вместе со всадником может сломать себе шею как раз на той тропинке, по которой осторожный осел идет не спотыкаясь.

Готхольд Эфраим Лессинг, знаменитый немецкий писатель и драматург

Банкам следует организовать процесс управления технологическими рисками для того, чтобы они могли идентифицировать, измерять, контролировать свою подверженность технологическому риску и управлять ею. Управление рисками, связанными с новыми технологиями, включает три принципиально важных компонента:

– процесс планирования использования данной технологии;

– реализацию этой технологии;

– средства измерения и мониторинга сопутствующего риска.

Процесс планирования риска является обязанностью СД и ВРБ. Им потребуются квалификация и знания, необходимые для управления применением в банке технологии интернет-банкинга и связанными с этой технологией рисками. СД должен проверять, утверждать и контролировать проекты, относящиеся к технологии интернет-банкинга, которые могут оказать влияние на профиль риска банка. Его членам следует определить, соответствуют ли применяемые технологии и услуги стратегическим целям банка и удовлетворяют ли они потребности рынка. ВРБ должен обладать квалификацией, достаточной для оценивания применяемой технологии и предполагаемого риска. Периодическое независимое оценивание данной технологии интернет-банкинга и услуг аудиторами или консультантами может помочь СД и ВРБ справиться со своими обязанностями.

Реализация технологии является обязанностью руководства. Руководители банка должны обладать квалификацией, достаточной для эффективного оценивания технологий и услуг интернет-банкинга, выбора верных сочетаний и контроля над их правильным внедрением. Если сотрудникам банка не хватает опыта для самостоятельного выполнения таких обязанностей, то им следует рассмотреть возможность заключения контракта с поставщиком, который специализируется на данном типе бизнеса, или организовать совместную работу с другими провайдерами, обладающими комплексными технологиями и опытом.

Измерение и мониторинг риска являются обязанностью руководства банка. Руководителям банка необходимо обладать квалификацией, достаточной для эффективной идентификации, измерения, мониторинга и контроля рисков, ассоциируемых с интернет-банкингом. СД банка должен получать регулярные отчеты по применяемым технологиям, предполагаемым рискам и тому, как эти риски управляются. Мониторинг функционирования систем является ключевым фактором успеха. Национальные банки должны включить в свою систему интернет-банкинга эффективные процессы подтверждения качества и аудита как часть процесса разработки. Банкам следует периодически проверять свои системы, чтобы определять, соответствуют ли они стандартам функционирования.

6.5. Внутренний контроль

Есть дайверы старые, есть дайверы отчаянные. Но не бывает старых отчаянных дайверов.

Цитата из фильма Pressure («Опасное погружение»)

Внутренний контроль над системами интернет-банкинга должен быть соразмерен уровню риска банка. Как и в любой другой области банковского дела, руководство банка несет окончательную ответственность за разработку и реализацию надежной системы внутреннего контроля над технологией и услугами интернет-банкинга.

Регулярный аудит указанной системы контроля поможет гарантировать, что средства контроля соответствуют своему назначению и функционируют должным образом. К примеру, контроль в отношении технологии интернет-банкинга может быть нацелен на то, чтобы обеспечить:

– согласованность технологического планирования и стратегических целей, включая эффективность и экономичность операций, а также соответствие корпоративной политике и законодательным требованиям;

– доступность данных, включая планирование восстановления деловых операций;

– целостность данных, включая обеспечение защищенности активов, должную авторизацию транзакций, а также надежность соответствующего процесса и его результата;

– конфиденциальность данных и защищенность прав личности;

– надежность информационной системы управления.

При наличии установленных целей контроля руководство несет ответственность за внедрение внутреннего контроля, необходимого для того, чтобы убедиться в достижении этих целей. Руководство также несет ответственность за оценивание соответствия средств контроля на основе определения экономического эффекта. При таком анализе могут учитываться эффективность каждого средства контроля в процессе, денежный эквивалент объема потока средств, задействованных в данном процессе, а также стоимость самих средств контроля.

7. Организация внутреннего аудита и внутреннего контроля в кредитных организациях при использовании систем электронного банкинга

Дело должно соответствовать возможностям, действие должно соответствовать времени.

Лао-цзы (Ли Эр), древнекитайский философ

Введение

Если тебе тяжело, значит ты поднимаешься в гору. Если тебе легко, значит ты летишь в пропасть.

Генри Форд, американский промышленник, владелец автомобильных заводов по всему миру В части организации (адаптации) и реализации процессов внутреннего контроля в кредитных организациях, применяющих в своей деятельности технологии ЭБ, целесообразно основываться не только на общепринятом подходе к процессу управления[123], но и на рекомендациях Базельского комитета по банковскому надзору. В частности, БКБН указывает на необходимость принятия четких стратегических решений относительно предоставления банковских услуг посредством электронных технологий, организации процессов должного контроля и мониторинга и парирования рисков.

7.1. Качество корпоративного управления в части развития и применения систем электронного банкинга

Не пренебрегай врагами: они первыми замечают твои ошибки.

Антисфен, древнегреческий философ

7.1.1. Ориентированность кредитной организации

на развитие технологий электронного банкинга

В соответствии с рекомендациями Базельского комитета по банковскому надзору «Совершенствование корпоративного управления в кредитных организациях» и другими международными документами по корпоративному управлению деятельность организации, не имеющей стратегических целей или корпоративных ценностей, крайне затруднена. С учетом этого целесообразно разработать стратегию развития (далее – Стратегия), которой кредитная организация будет руководствоваться в повседневной деятельности.

Поскольку за разработку Стратегии отвечают СД и ВРБ, СД необходимо уделять достаточно времени обсуждению Стратегии, в том числе на этапе ее утверждения, включая определение приоритетных направлений развития в области технологий ЭБ.

Важным элементом корпоративного управления кредитной организации является установление во внутренних документах порядка разработки, утверждения и при необходимости уточнения (корректировки) Стратегии.

Утверждать Стратегию следует общим собранием акционеров или СД.

С учетом рекомендаций зарубежных органов банковского надзора предполагается, что в оптимальном варианте в стратегическом плане кредитной организации излагаются в том числе планы внедрения, применения и развития технологий ЭБ, количественные и качественные показатели, позволяющие оценить деятельность кредитной организации в целом, ее отдельных подразделений и служащих и сравнить достигнутые в соответствующем плановом периоде результаты с запланированными показателями.

В целях обеспечения эффективности управления рисками, возникающими при осуществлении кредитной организацией операций с применением СЭБ, органам управления кредитной организации рекомендуется обеспечить соответствие планов внедрения и развития клиентского обслуживания с использованием СЭБ стратегическим целям.

Кредитной организации целесообразно осуществлять контроль за соблюдением сроков реализации мероприятий по развитию ЭБ, которые предусмотрены в планах по реализации целей, определенных Стратегией.

В соответствии с рекомендациями БКБН перед внедрением технологий ЭБ кредитным организациям необходимо осуществлять предварительный анализ особенностей вновь внедряемых технологий ДБО, оценивать потенциальные факторы риска, связанные с этими технологиями, а также рассматривать альтернативы стратегического развития данного направления деятельности, в том числе наихудший, наилучший и наиболее вероятный варианты развития событий.

При этом возможные последствия решений в области технологий ЭБ необходимо соизмерять с предельно допустимым совокупным уровнем риска, который может принять кредитная организация.

Ошибочные решения органов управления кредитной организации в отношении внедрения, сопровождения и развития СЭБ могут привести к возникновению убытков, причинами которых могут быть:

– высокие затраты на внедрение и сопровождение СЭБ;

– невозможность достижения поставленных кредитной организацией стратегических целей в связи с отсутствием или обеспечением в неполном объеме необходимыми ресурсами (финансовыми, техническими, материальными, человеческими);

– невыполнение организационных мер в области применения технологий ЭБ;

– ошибки в реализации организационно-технических решений при внедрении СЭБ.

Стратегия должна предусматривать процедуры своевременного и адекватного реагирования на возможные действия конкурентов кредитной организации или появление новых технологических решений. Отсутствие такого положения в Стратегии может стать причиной потери кредитной организацией своего конкурентного преимущества в данной области и привести к оттоку клиентов, применяющих технологии ЭБ.

При оценке ориентированности кредитной организации на развитие технологий ЭБ необходимо обращать внимание на следующее:

– имеется ли у кредитной организации Стратегия?

– установлен ли во внутренних документах кредитной организации порядок разработки, утверждения, уточнения (корректировки) Стратегии?

– определены ли в Стратегии вопросы развития ЭБ?

– выполняются ли планы, разработанные кредитной организацией, по развитию ЭБ?

– проводится ли кредитной организацией регулярный мониторинг степени достижения поставленных в Стратегии целей по развитию ЭБ?

– предусмотрены ли Стратегией процедуры своевременного реагирования на возможные действия конкурентов кредитной организации или появление новых технологических решений?

7.1.2. Роль совета директоров кредитной организации в организации внутреннего контроля

Важная роль в создании эффективной системы внутреннего контроля принадлежит СД кредитной организации. Поэтому, учитывая требования Положения Банка России от 16.12.2003 № 242-П «О порядке организации внутреннего контроля в кредитных организациях и банковских группах» [20] (далее – Положение № 242-П), к компетенции СД рекомендуется относить вопросы, приведенные в п. 1 Приложения 1 к Положению № 242-П.

С 2014 г. требования Банка России к организации внутреннего контроля в кредитных организациях изменились. В соответствии с новыми подходами, заложенными в разделах 4 и 4.1 Положения № 242-П, выделяются два уровня внутреннего контроля:

– служба внутреннего аудита (СВА), подотчетная СД банка;

– служба внутреннего контроля (СВК), подотчетная исполнительному органу банка.

Основной функцией СВК является выявление комплаенс-риска, то есть риска возникновения у кредитной организации убытков из-за несоблюдения законодательства Российской Федерации, внутренних документов кредитной организации, стандартов саморегулируемых организаций (если такие стандарты или правила являются обязательными для кредитной организации), а также в результате применения санкций и (или) иных мер воздействия со стороны надзорных органов (регуляторный риск). Таким образом, СВК призвана содействовать менеджерам кредитной организации, решая тактические задачи предотвращения возможных рисков.

Инструментом контроля эффективности действий органов управления банка для акционеров является СВА. К ее функциям в том числе относятся:

– проверка и оценка эффективности системы внутреннего контроля в целом, выполнения решений органов управления кредитной организации (общего собрания акционеров (участников), СД (наблюдательного совета), исполнительных органов);

– проверка эффективности методологии оценки банковских рисков и процедур управления банковскими рисками, установленных внутренними документами кредитной организации, и полноты применения указанных документов;

– проверка надежности функционирования системы внутреннего контроля в отношении использования автоматизированных информационных систем;

– проверка процессов и процедур внутреннего контроля.

Таким образом, чтобы обеспечить эффективность мониторинга внутреннего контроля в области ЭБ со стороны СД, СВА обязана информировать СД о выявляемых при проведении проверок нарушениях (недостатках) по вопросам применения ЭБ, а также представлять СД информацию о принятых мерах по выполнению рекомендаций и устранению выявленных нарушений в данной области. Для этого СВА разрабатывает планы проведения проверок, которые утверждаются СД.

В СД и СВА целесообразно присутствие специалистов, имеющих образование в области информационных технологий.

При наличии таких специалистов в составе СД его члены могут проверить и оценить соответствие организации и функционирования внутреннего аудита в области ЭБ содержанию деятельности кредитной организации, а также принять обоснованные стратегические решения относительно:

– внедрения в кредитной организации новых технологий ЭБ;

– ведения соответствующей маркетинговой политики;

– определения тарифных планов;

– содержания договоров с клиентами, контрагентами и провайдерами.

Внедрение технологий ЭБ существенно повышает квалификационные требования к высшему руководству кредитной организации. Поэтому сотруднику из состава высшего руководства кредитной организации, в круг ответственности которого входят вопросы организации управления информационными технологиями, рекомендуется проходить периодическую подготовку (переподготовку) по вопросам ДБО и особенностей его применения.

Оценивая роль СД кредитной организации в организации внутреннего контроля, необходимо учитывать следующее:

– предусмотрено ли внутренними документами кредитной организации отнесение к компетенции СД вопросов, приведенных в п. 1 Приложения 1 к Положению № 242-П?

– рассматривает ли СД вопросы организации внутреннего аудита и внутреннего контроля и меры повышения их эффективности с учетом особенностей деятельности кредитной организации с применением СЭБ?

– принимались ли СД решения (меры) для обеспечения оперативного выполнения рекомендаций исполнительным органом кредитной организации и устранения замечаний СВА по применению СЭБ?

– утверждены ли СД планы проверок СВА?

– предоставляет ли СВА не реже одного раза в год отчет о выполнении плана проверок?

– информирует ли СВА совет директоров о выявляемых при проведении проверок нарушениях (недостатках) в области применения СЭБ?

– представляет ли СВА совету директоров информацию о принятых мерах по выполнению рекомендаций и устранению выявленных нарушений в области применения СЭБ?

– имеется ли в составе высшего руководства банка куратор по информационным технологиям, получивший образование в области информационных технологий или прошедший специальную переподготовку по данному направлению деятельности?

7.1.3. Общие процедуры организации внутреннего аудита и внутреннего контроля

7.1.3.1 Документарное обеспечение системы внутреннего контроля

В руководствах зарубежных органов банковского регулирования и надзора, а также в нормативных актах Банка России особое внимание уделяется качеству документов, которые необходимо разработать в целях обеспечения банковской деятельности.

В соответствии со ст. 10 и 24 Федерального закона от 02.12.1990 № 395-1 «О банках и банковской деятельности» [47] в уставе кредитной организации должны содержаться сведения о системе органов внутреннего контроля, порядке их образования и полномочиях.

Для организации эффективной работы системы внутреннего контроля должны быть утверждены Положение о системе внутреннего контроля, Положение о СВА и Положение о внутреннем контроле.

Положение о СВА должно определять:

– цели и сферу деятельности СВА;

– принципы и методы деятельности СВА, отвечающие требованиям данного Положения;

– статус СВА в организационной структуре кредитной организации, ее задачи, полномочия, права и обязанности, а также взаимоотношения с другими подразделениями кредитной организации, в том числе осуществляющими контрольные функции;

– подчиненность и подотчетность руководителя СВА совету директоров;

– обязанность руководителя СВА информировать о выявляемых при проведении проверок нарушениях и недостатках совет директоров, единоличный и коллегиальный исполнительные органы и руководителя структурного подразделения кредитной организации, в котором проводилась проверка;

– обязанность руководителя СВА информировать совет директоров, единоличный и коллегиальный исполнительные органы о всех случаях, которые препятствуют осуществлению СВА своих функций;

– обязанность служащих СВА информировать руководителя СВА о всех случаях, которые препятствуют осуществлению СВА своих функций.

В соответствии с Положением № 242-П кредитная организация обязана обеспечить постоянство деятельности, независимость и беспристрастность СВА, профессиональную компетентность ее руководителя и служащих, создать условия для беспрепятственного и эффективного осуществления СВА своих функций.

СВА должна состоять из служащих, входящих в штат кредитной организации. При этом должна быть обеспечена независимость СВА, то есть должен быть определен порядок, при котором СВА:

– действует под непосредственным контролем СД;

– не осуществляет деятельность, подвергаемую проверкам;

– по собственной инициативе докладывает СД о вопросах, возникающих в ходе осуществления СВА своих функций, и предложениях по их решению, а также раскрывает эту информацию единоличному и коллегиальному исполнительным органам кредитной организации.

Во внутренних документах кредитной организации должны быть предусмотрены:

– подотчетность руководителя СВА совету директоров кредитной организации;

– право руководителя СВА взаимодействовать с соответствующими руководителями кредитной организации (ее подразделений) для оперативного решения вопросов и устанавливать порядок такого взаимодействия;

– невозможность функционального подчинения руководителю (его заместителям) СВА иных подразделений кредитной организации, а также совмещения служащими СВА (включая руководителя и его заместителей) своей деятельности с деятельностью в других подразделениях кредитной организации.

Кредитная организация должна обеспечить беспристрастность СВА, в том числе решение поставленных перед СВА задач без вмешательства со стороны органов управления, подразделений и служащих кредитной организации, не являющихся служащими СВА.

Положение о СВК[124], регулирующее деятельность данного подразделения, утверждается единоличным исполнительным органом кредитной организации. Положение о СВК должно определять:

– цели, функции (права и обязанности) СВК;

– статус СВК в организационной структуре кредитной организации;

– методы деятельности СВК;

– подчиненность и подотчетность руководителя СВК;

– распределение обязанностей между осуществляющими функции СВК служащими (далее – служащие СВК) в структурных подразделениях кредитной организации;

– обязанность руководителя СВК информировать о выявленных нарушениях при управлении регуляторным риском единоличный и коллегиальный исполнительные органы кредитной организации;

– обязанность руководителя СВК незамедлительно информировать единоличный и коллегиальный исполнительные органы кредитной организации о возникновении регуляторного риска, реализация которого может привести к возникновению существенных убытков у кредитной организации;

– обязанность руководителя СВК информировать единоличный и коллегиальный исполнительные органы кредитной организации о всех случаях, которые препятствуют осуществлению ими своих функций;

– обязанность служащих СВК информировать руководителя СВК о всех случаях, которые препятствуют осуществлению ими своих функций.

Перечисленные требования могут быть основой для оценки качества документарного обеспечения организации системы внутреннего контроля в кредитной организации.

7.1.3.2. Особенности подбора кадров в службу внутреннего аудита и службу внутреннего контроля

Кредитной организации следует установить численный состав, структуру и материально-техническую обеспеченность СВА и СВК в соответствии с характером и масштабом осуществляемых операций, а также уровнем регуляторного риска, принимаемого кредитной организацией.

СВА и СВК должны состоять из служащих, входящих в штат кредитной организации.

Руководитель СВК может являться членом коллегиального исполнительного органа кредитной организации. Если руководитель СВК не является членом коллегиального исполнительного органа кредитной организации, он подотчетен единоличному исполнительному органу кредитной организации (его заместителю, являющемуся членом коллегиального исполнительного органа и не участвующему в принятии решений, связанных с совершением кредитной организацией банковских операций и других сделок).

СВА и СВК осуществляют свои функции в кредитной организации на постоянной основе. Важным условием эффективности системы внутреннего аудита и контроля выступают достаточно высокая профессиональная квалификация и подготовка специалистов кредитной организации, которые участвуют в работе данных служб, поскольку многие недостатки в организации и особенно функционировании системы внутреннего контроля могут быть обусловлены недостаточным вниманием руководства кредитной организации к профессиональному составу служб.

В случаях, когда функции СВК исполняются служащими разных структурных подразделений, кредитная организация должна установить распределение обязанностей по осуществлению внутреннего контроля между указанными структурными подразделениями.

Опыт и знания сотрудников СВА и СВК должны позволять им использовать адекватные методы анализа и прогнозирования факторов риска, эффективности операций, проводить оценку применяемых в кредитной организации процедур принятия решений.

Профессиональную подготовку (переподготовку) руководителей и служащих СВА и СВК рекомендуется осуществлять на регулярной основе.

Руководители СВА и СВК должны соответствовать требованиям, установленным Указанием Банка России от 01.04.2014 № 3223-У «О требованиях к руководителям службы управления рисками, службы внутреннего контроля, службы внутреннего аудита кредитной организации» [45], и определенным п. 1 ч. 1 ст. 16 Федерального закона от 02.12.1990 № 395-1 «О банках и банковской деятельности» [47] требованиям к деловой репутации.

Лицо, назначаемое на должность руководителя СВА или СВК кредитной организации, должно соответствовать следующим квалификационным требованиям:

– иметь высшее юридическое или экономическое образование, а при отсутствии такого образования – иное высшее образование и квалификацию в области управления рисками или внутреннего контроля, аудита;

– иметь стаж работы не менее одного года в качестве руководителя (его заместителя) подразделения внутреннего контроля, внутреннего аудита или по другим направлениям контроля, осуществления банковских операций, являющихся основными в структуре операций; не менее трех лет в качестве специалиста подразделения кредитной организации по одному из указанных направлений.

С внедрением передовых технологий банковского обслуживания возникает необходимость пересмотра технологии внутреннего контроля в кредитных организациях и ее адаптации к инновациям в предоставлении банковских услуг. Поэтому целесообразно пересмотреть штатное расписание кредитной организации, включив в состав СВК и СВА сотрудников, которые соответствуют квалификационным требованиям, позволяющим обеспечить понимание причин возникновения рисков ЭБ.

Для реализации эффективного внутреннего контроля операций, осуществляемых в рамках ЭБ, сотрудники, занимающиеся вопросами проверок функционирования систем ДБО, должны быть подготовлены на уровне самых квалифицированных специалистов в данной области.

В связи с введением кредитными организациями новых банковских технологий и реализующих их систем необходимо обеспечивать повышение квалификации специалистов, отвечающих за внутренний аудит и контроль в области применения информационных технологий, и осуществлять на регулярной основе их переподготовку, в том числе в рамках взаимодействия с компаниями – разработчиками программно-информационного обеспечения ЭБ и провайдерами интернет-услуг для кредитных организаций.

Органам управления кредитной организации рекомендуется обеспечить участие во внутреннем контроле служащих СВА и СВК в соответствии с обязанностями, регламентированными должностными инструкциями.

Основываясь на сказанном выше, следует отметить, что в части оценки роли совета директоров кредитной организации и исполнительных органов управления в организации внутреннего аудита и контроля необходимо обращать внимание на следующие вопросы:

– имеются ли в кредитной организации документы, определяющие численный состав, структуру и техническую обеспеченность СВА и СВК в соответствии с масштабами деятельности, характером совершаемых банковских операций и применяемых технологий?

– соответствует ли фактическая численность СВА и СВК штатной численности?

– вносились ли изменения в штатное расписание СВА и СВК в связи с применением новых банковских технологий и увеличением объемов проводимых операций?

– определены ли в должностных инструкциях сотрудников СВА и СВК функции контроля рисков при осуществлении операций ЭБ?

– укомплектованы ли СВА и СВК служащими, соответствующими квалификационным требованиям, позволяющим обеспечивать решение задач по применению и развитию ЭБ, а также понимание причин возникновения рисков при использовании данного вида ДБО?

– обучаются ли (проходят ли переподготовку) сотрудники СВА и СВК, отвечающие за внутренний контроль в области применения информационных технологий (включая тематику ЭБ)?

7.1.3.3, Методологическое обеспечение службы внутреннего аудита и службы внутреннего контроля

Основой эффективного функционирования системы внутреннего аудита и контроля являются регламентирующие документы, которые должны достаточно ясно описывать порядок проведения конкретных процедур внутреннего аудита и контроля, устанавливать уровни ответственности и распределять обязанности между подразделениями и сотрудниками кредитной организации, чтобы исключить возможность возникновения конфликта интересов.

Объектом проверок являются любое подразделение и любой служащий кредитной организации. В связи с этим внутренними документами кредитной организации следует предусмотреть порядок планирования работ СВА и СВК.

План проведения проверок должен включать график проверок, учитывать изменения в системе внутреннего контроля и новые направления деятельности кредитной организации. При подготовке годового плана проверок целесообразно учитывать требования Банка России к работе СВА и СВК, условия договора с внешним аудитором кредитной организации, рекомендации внешних надзорных органов.

При составлении графика проверок должна учитываться установленная в кредитной организации периодичность проведения проверок по направлениям деятельности структурных подразделений и кредитной организации в целом.

Также рекомендуется регламентировать внутренними документами работу СВА и СВК в части определения порядка организации, проведения, оформления и реализации материалов проверок.

Рекомендуется отразить во внутренних документах, что состав группы для проверки правильности функционирования СЭБ определяется с учетом объема и особенностей деятельности проверяемого подразделения. В случае привлечения к проверке работников других подразделений такое решение должно быть заблаговременно согласовано с их непосредственными руководителями. При выполнении служебных обязанностей в ходе проверок сотрудники (входящие в рабочую группу СВК) подчиняются только руководителю группы, проводящей проверку (руководителю проверки).

Внутренние документы кредитной организации должны предусматривать разработку отдельной программы проверки каждого направления (вопроса) деятельности кредитной организации в области технологий ЭБ. Данная программа должна содержать цели проверки и определять ключевые банковские риски и механизмы обеспечения полноты и эффективности контроля в области технологий ЭБ. В ходе проверки программа может быть скорректирована с учетом предложений руководства кредитной организации или руководителя рабочей группы.

При оформлении результатов проверок каждому члену рабочей группы рекомендуется подробно документировать свою работу и делать заключения по каждому из проверяемых вопросов. Рабочие материалы по проверке отдельных участков (отчеты) до их включения в общий акт проверяющим целесообразно согласовать с сотрудниками проверяемого подразделения. Отчет с визами члена рабочей группы и сотрудника проверяемого подразделения следует передавать руководителю рабочей группы и хранить в деле по проверке.

Результаты проверок оформляются общим актом, который подписывается руководителем рабочей группы и руководителем проверяемого подразделения. При наличии разногласий по акту со стороны представителей проверяемого подразделения составляется протокол разногласий, в котором указываются возражения. Протокол разногласий подписывается руководителем подразделения. О наличии разногласий делается пометка в акте рядом с подписью руководителя проверяемого подразделения. О проведенных в период проверки мероприятиях по устранению выявленных нарушений и недостатков в работе делается соответствующая запись в акте.

Отдельно следует выделять повторяющиеся недостатки и нарушения, выявленные в ходе предыдущей проверки.

В целях повышения качества проверок рекомендуется разрабатывать внутренние методики проверки вопросов в разрезе направлений контроля над отдельными областями технологий ЭБ.

Согласно рекомендациям зарубежных органов банковского регулирования и надзора, при применении кредитной организацией технологий ЭБ необходимо разрабатывать методики проверок по отдельным направлениям ДБО, включая вопросы контроля:

– над подразделениями информационных технологий;

– содержанием и ведением веб-сайта, используемого кредитной организацией;

– бухгалтерским учетом операций, совершаемых через интернет, и отражением соответствующих данных в отчетности кредитной организации;

– функционированием, финансовым состоянием и аппаратно-программным обеспечением провайдеров необходимых кредитной организации услуг;

– поставщиками программного обеспечения СЭБ;

– мероприятиями, осуществляемыми службой обеспечения информационной безопасности кредитной организации.

Перечень основных вопросов, связанных с осуществлением внутреннего контроля, по которым кредитная организация должна принять внутренние документы, предусмотрен Приложением 2 к Положению № 242-П. Основные способы (методы) осуществления проверок СВА, которые следует использовать кредитной организации, предусмотрены Приложением 3 к Положению № 242-П. При этом основными и минимально необходимыми являются следующие вопросы:

– имеется ли в кредитной организации внутренний документ, определяющий порядок планирования работы СВА и СВК?

– определен ли во внутреннем документе порядок организации, проведения, оформления и реализации материалов проверок?

– разработаны ли методики проверки вопросов, связанных с применением кредитной организацией технологий ЭБ?

7.1.3.4. Организация работы службы внутреннего аудита и службы внутреннего контроля с результатами проверок применения технологий электронного банкинга

С учетом требований Положения № 242-П необходимо регламентировать порядок доведения результатов проверок до сведения руководства кредитной организации, что может быть реализовано следующим образом.

Руководитель СВК после анализа результатов проверки и плана мероприятий по устранению выявленных недостатков представляет руководству кредитной организации служебную записку, в которой кратко освещаются состояние дел в проверенном подразделении и принятые меры по устранению вскрытых недостатков. Серьезные упущения и нарушения должны получать в записке исчерпывающее отражение с указанием характера нарушения, его последствий, причин появления, конкретных должностных лиц, в результате действия или бездействия которых оно было допущено. В записке излагаются также рекомендации руководству кредитной организации и подразделения, в котором проведена проверка, предложения по совершенствованию внутреннего контроля, предлагаются меры по устранению выявленных недостатков. К записке прилагаются акт проверки, разработанный план мероприятий, при необходимости – другие документы.

СВА осуществляет контроль эффективности мер, принятых подразделениями и органами управления по результатам проверок и обеспечивающих снижение уровня выявленных рисков, или документирование принятия руководством подразделения и (или) органами управления решения о приемлемости уровня и сочетания выявленных рисков для кредитной организации.

В кредитной организации должен быть установлен порядок, в соответствии с которым СВА не реже одного раза в полгода предоставляет совету директоров (наблюдательному совету), единоличному исполнительному органу (его заместителям) информацию об эффективности организации процедур внутреннего контроля, в том числе об эффективности принятых мер по выполнению рекомендаций и устранению выявленных нарушений.

После окончания проверки проверенное подразделение кредитной организации составляет план мероприятий по устранению выявленных недостатков (далее – план мероприятий) в области ЭБ. В плане мероприятий рекомендуется отражать конкретные действия по устранению выявленных нарушений, при необходимости запланировать обучение сотрудников подразделения, разработку новых (дополнение, изменение действующих) нормативных документов, внесение изменений в технологию работы. В плане необходимо указывать сроки исполнения мероприятий и ответственных за исполнение.

При необходимости проводится деловое совещание с участием всего коллектива проверенного подразделения, где обсуждаются допущенные недостатки, принятые меры по их устранению, причины, по которым недостатки стали возможными, меры, которые необходимо принять для недопущения подобных недостатков, рассматриваются рекомендации управления внутреннего контроля. По результатам обсуждения в план мероприятий вносятся необходимые изменения и дополнения.

В соответствии с требованиями Положения № 242-П СВА должна осуществлять контроль эффективности мер, принятых подразделениями и органами управления по результатам проверок и обеспечивающих снижение уровня выявленных рисков, и кредитная организация должна установить порядок контроля (включая проведение повторных проверок) за принятием мер по устранению выявленных СВК нарушений.

Один из возможных вариантов реализации СВА выполнения подразделениями кредитной организации плана мероприятий заключается в том, что после окончания проверки подразделение предоставляет в СВА отчет о выполнении плана мероприятий. В случае невыполнения отдельных мероприятий по объективным причинам подразделению рекомендуется своевременно информировать СВА о ходе выполнения плана до наступления сроков исполнения.

При необходимости руководитель СВА может назначить внеплановую тематическую проверку выполнения подразделением плана мероприятий.

Перечисленные выше мероприятия могут быть использованы для оценки качества работы СВА и СВК (в части функционирования СЭБ), при этом основными и минимально необходимыми являются следующие вопросы:

– установлен ли порядок доведения результатов проверок до сведения руководства и совета директоров кредитной организации?

– установлен ли кредитной организацией порядок контроля выполнения подразделениями мероприятий по результатам проверок в части снижения уровня выявленных рисков?

– принимаются ли подразделениями меры по результатам проверок в части снижения уровня выявленных рисков в области ЭБ?

– контролируют ли СВА и СВК выполнение подразделениями мероприятий по результатам проверок в области ЭБ?

– проводит ли СВА оценку эффективности принимаемых мер по устранению выявленных нарушений и недостатков?

7.1.4. Организация управления рисками, связанными с использованием системы электронного банкинга

К банковским рискам, связанным с применением СЭБ, относятся операционный, правовой, стратегический риски, риск потери деловой репутации (репутационный риск) и риск ликвидности.

Распределение подчиненности и подотчетности в рамках управления рисками ЭБ рекомендуется организовывать таким образом, чтобы обеспечить своевременность, полноту и адекватность информирования органов управления кредитной организации:

– о состоянии и характеристиках аппаратно-программного обеспечения СЭБ;

– выявленных недостатках в функционировании информационного контура ЭБ;

– связанных с ЭБ источниках (факторах) рисков;

– результатах выполнения принятых решений по управлению банковскими рисками;

– процедурах реагирования на возможные события, которые могут негативно повлиять на безопасность, финансовую устойчивость или деловую репутацию кредитной организации, и результатах их выполнения.

Хорошей практикой является назначение в кредитной организации лица (лиц), ответственного (ответственных) за реализацию процессов управления рисками ЭБ и их мониторинг.

К этим процессам целесообразно привлекать структурные подразделения (службы, служащих), прямо или косвенно участвующие в функционировании СЭБ или отвечающие за внедрение и применение информационных технологий, обеспечение информационной безопасности, правовое обеспечение деятельности кредитной организации, соблюдение правил внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также за операционную работу с клиентами.

Кредитной организации рекомендуется оказывать методологическую и консультационную помощь клиентам ЭБ, доводить до них информацию о принимаемых ими рисках, а также необходимом комплексе мер по защите информации.

Во внутренних документах кредитной организации, связанных с управлением ЭБ и контролем за функционированием реализующих его систем, рекомендуется определить роль органов управления и структурных подразделений кредитной организации:

– в распределении полномочий между органами управления кредитной организации (советом директоров, единоличным и коллегиальным исполнительными органами);

– распределении прав и обязанностей, ответственности, подчиненности и подотчетности структурных подразделений и служащих, в обязанности которых входят выполнение функций в рамках ЭБ и управление рисками, связанными с данным видом ДБО;

– реализации учетной политики кредитной организации во внутрибанковских автоматизированных системах с учетом особенностей применения СЭБ;

– определении допустимых уровней банковских рисков, принимаемых кредитной организацией при использовании СЭБ;

– определении порядка информирования органов управления кредитной организации о выявленных источниках (факторах) банковских рисков и принятии мер, обеспечивающих снижение уровня рисков.

В целях создания условий для эффективного управления рисками рекомендуется разработать внутренние документы, в которых реализовать основные принципы управления каждым видом риска, в том числе с учетом применения СЭБ. Внутренние документы по управлению рисками с учетом применения технологий ЭБ утверждаются советом директоров.

Управление рисками, связанными с применением СЭБ, состоит из выявления, оценки, мониторинга, контроля и (или) минимизации операционного риска. Во внутренних документах кредитной организации рекомендуется определить основные принципы управления рисками:

– методики выявления, оценки и мониторинга рисков;

– основные методы контроля и (или) минимизации рисков (принятие мер по поддержанию риска на уровне, не угрожающем интересам кредиторов и вкладчиков, устойчивости кредитной организации);

– порядок доведения результатов мониторинга до руководства кредитной организации.

Кредитные организации могут разрабатывать методы оценки риска самостоятельно либо использовать методы, принятые в международной банковской практике.

В целях предупреждения возможности повышения уровня рисков рекомендуется проводить мониторинг рисков, связанных с применением ЭБ.

Контроль функционирования системы управления банковскими рисками рекомендуется осуществлять на постоянной основе в порядке, установленном внутренними документами кредитной организации.

Периодичность проведения мониторинга рисков рекомендуется определять на основе его существенности для обеспечения непрерывности финансово-хозяйственной деятельности при совершении банковских операций и других сделок кредитной организации.

Обеспечение контроля своевременной идентификации, оценки и принятия мер по минимизации банковских рисков в области технологий ЭБ, а также выработку рекомендаций по минимизации банковских рисков рекомендуется возложить на СВА.

Процедуры оценки рисков можно разделить на два направления: оперативное и последующее. В рамках оперативного направления производится регулярная оценка уровня основных рисков. При этом уровень рисков оценивается с использованием тех показателей, расчет которых возможен в текущем режиме. Результаты оценки уровня рисков представляются руководству банка и СВК. Последующая оценка рисков проводится СВА и включает в себя анализ показателей оперативной оценки.

При внедрении новых и модернизации используемых информационных технологий необходимо пересмотреть методологию оценки управления банковскими рисками, а также иные внутренние документы, регламентирующие порядок управления рисками, и внести в них соответствующие изменения.

В соответствии с рекомендациями БКБН во внутренних документах по операционному риску в области применения СЭБ необходимо раскрыть организационные вопросы, связанные:

– с аутентификацией идентичности и авторизацией клиентов;

– доказательным подтверждением операций;

– обеспечением целостности данных в транзакциях, записях и информации ЭБ;

– обеспечением должных средств авторизации и полномочий доступа к системам, базам данных и приложений ЭБ;

– организацией документирования аудита транзакций ЭБ;

– обеспечением конфиденциальности наиболее значимой банковской и клиентской информации;

– должным раскрытием информации об обслуживании в рамках ЭБ на веб-сайтах кредитной организации;

– планированием производительности, непрерывности операций и учетом непредвиденных обстоятельств при обеспечении доступности систем и услуг ЭБ;

– планированием мероприятий на случай аварийных ситуаций.

Минимизация операционного риска, связанного с применением СЭБ, предполагает осуществление комплекса мер, направленных на снижение вероятности наступления событий или обстоятельств, приводящих к операционным убыткам, и (или) на уменьшение (ограничение) размера потенциальных операционных убытков.

Методы минимизации операционного риска рекомендуется применять с учетом характера и масштабов деятельности кредитной организации.

В целях обеспечения условий для эффективного выявления операционного риска, а также его оценки следует вести аналитическую базу данных о понесенных операционных убытках, в которой отражать сведения об их видах и размерах в разрезе уровней выявления риска, обстоятельств возникновения операционных убытков.

Рекомендуется установить во внутренних документах порядок рассмотрения и расследования фактов операционных убытков и причин их возникновения, периодичность оценки органами управления кредитной организации результатов указанных расследований, а также оценки достигнутого уровня управления операционным риском в кредитной организации.

В целях ограничения операционного риска рекомендуется предусмотреть комплексную систему мер по обеспечению непрерывности финансово-хозяйственной деятельности при совершении банковских операций и других сделок, включая планы действий на случай непредвиденных обстоятельств (планы по обеспечению непрерывности и (или) восстановления финансово-хозяйственной деятельности).

Кредитной организации рекомендуется разработать программу мер, направленную на снижение и минимизацию риска потери ликвидности при использовании СЭБ, включающую в том числе меры:

– по противодействию хищениям денежных средств;

– снижению вероятности возникновения сбоев в работе автоматизированных систем кредитной организации (или меры на случай возникновения таких ситуаций);

– снижению вероятности возникновения сбоев в работе автоматизированных систем провайдеров и других поставщиков услуг (или меры на случай возникновения таких ситуаций).

Во внутренних документах по управлению правовым риском и риском потери деловой репутации с учетом применения СЭБ целесообразно учесть рекомендации, изложенные в Письме Банка России от 30.06.2005 № 92-Т «Об организации управления правовым риском и риском потери деловой репутации в кредитных организациях и банковских группах».

Во внутреннем документе по управлению правовым риском в области применения ЭБ рекомендуется предусмотреть процедуры выявления, идентификации и оценки рисков, в том числе возникающих по причине:

– несоблюдения требований нормативно-инструктивных документов, регламентирующих банковскую деятельность;

– несовершенства правовой системы;

– несоответствия внутренних документов кредитной организации законодательству Российской Федерации;

– неэффективной организации правовой работы, приводящей к ошибкам в действиях служащих и органов управления кредитной организации при разработке и внедрении новых технологий ЭБ;

– нарушения условий договоров кредитной организацией (включая договоры с клиентами на обслуживание с применением СЭБ и договоры с провайдерами услуг);

– нарушения условий договоров клиентами кредитной организации;

– нарушения условий договоров провайдерами услуг.

В целях снижения риска потери деловой репутации кредитной организации следует предусмотреть процедуры выявления, идентификации и оценки данного риска, в том числе:

– с учетом принципа «знай своего клиента»;

– с учетом принципа «знай своего работника»;

– связанные с содержанием и ведением веб-сайта кредитной организации;

– связанные с обеспечением защиты конфиденциальности клиентской и банковской информации;

– связанные с обеспечением непрерывности функционирования СЭБ.

Во внутренних документах по управлению стратегическим риском в условиях применения СЭБ рекомендуется учесть рекомендации, изложенные в Письме Банка России от 13.09.2005 № 119-Т «О современных подходах к организации корпоративного управления в кредитных организациях».

Кредитным организациям, планирующим оказание клиентам трансграничных банковских услуг посредством СЭБ, рекомендуется предварительно изучить дополнительные источники (факторы) банковских рисков, связанные с нарушением законодательства зарубежных государств, а также возможности учета факторов риска, относящихся к той или иной стране или юрисдикции.

7.2. Организация (адаптация) процедур внутреннего аудита и контроля в части системы электронного банкинга

– Почему собака виляет хвостом?

– Потому что собака умнее хвоста.

Если бы хвост был умнее, то он бы сам вилял собакой.

Цитата из фильма Wag the Dog («Хвост виляет собакой»)

Относительно рекомендаций об организации (адаптации) процедур внутреннего аудита и контроля в части использования технологий ЭБ необходимо учитывать, что они основываются на рекомендации БКБН о непригодности единого подхода к решению вопросов управления рисками в области ЭБ по причине специфичности архитектуры внутрибанковских распределенных компьютерных систем, а соответственно и профиля сопутствующих рисков для каждой кредитной организации, методов и средств внутреннего контроля.

Существенной необходимостью для кредитных организаций является самостоятельный индивидуальный учет всех особенностей реализации своих или приобретенных и интегрированных в уже имеющиеся банковские автоматизированные системы программно-аппаратных комплексов ЭБ.

В большинстве кредитных организаций, применяющих СЭБ, обобщенное описание совокупности процедур внутреннего контроля должно учитывать основные особенности содержания и выполнения функций внутреннего контроля в данной кредитной организации.

Такая обобщенная реализация (адаптация) процедур внутреннего контроля может базироваться на модели непрерывного циклического процесса менеджмента (модели Деминга)[125] и предполагать разбиение стадий модели на этапы жизненного цикла СЭБ, часто выделяемые при разработке и использовании таких систем. Составляющие комплекса процедур внутреннего контроля могут быть реализованы на следующих этапах жизненного цикла СЭБ (рис. 40):

– этапе обоснования проекта СЭБ;

– этапе принятия решения о новом проекте СЭБ;

– этапе планирования реализации СЭБ;

– этапе проектирования СЭБ;

– этапе разработки СЭБ;

– этапе испытаний, сдачи и приемки в эксплуатацию СЭБ;

– этапе эксплуатации СЭБ;

– этапе вывода из эксплуатации СЭБ.

Рис. 40. Жизненный цикл СЭБ

Подразумевается, что доработка и модификация СЭБ должны осуществляться после обоснования проекта, в связи с чем в жизненном цикле не выделяется отдельный этап доработки и модификации.

С одной стороны, специфика адаптации процедур внутреннего аудита и контроля к условиям эксплуатации СЭБ в кредитных организациях должна обеспечивать непрерывность процесса внутреннего контроля на всех участках информационного контура СЭБ, во всех задействованных в работе СЭБ структурных подразделениях кредитной организации, а также должна охватывать ее взаимодействие:

– с клиентами (как юридическими, так и физическими лицами), использующими СЭБ;

– контрагентами, к которым могут быть отнесены провайдеры (организации, предоставляющие кредитным организациям услуги по выполнению функций обработки, передачи, хранения банковской и другой информации, а также обеспечивающие доступ к информационно-телекоммуникационным сетям), поставщики программного обеспечения и оборудования, задействованного в информационном контуре СЭБ, а также другие сторонние организации, например обеспечивающие консультационные услуги в части ЭБ, ремонтно-настроечные услуги модулей или СЭБ, продвигающие услуги кредитной организации в форме ЭБ на рынке банковских услуг среди юридических лиц и населения посредством специализированных маркетинговых пиар-акций и программ.

С другой стороны, с учетом всех указанных особенностей внутреннего аудита и контроля необходимо распределять его процедуры по соответствующим этапам жизненного цикла СЭБ.

7.2.1. Организация процедур внутреннего аудита и контроля на этапе обоснования нового проекта системы электронного банкинга

Содержание этапа обоснования нового проекта СЭБ, как и любой другой электронной технологии, заключается в осознании экономической целесообразности реализации определенных, уже существующих или планируемых, функций и услуг кредитной организации посредством технологии ДБО.

В основе осознания целесообразности могут лежать:

– очевидное снижение затрат на осуществление соответствующих банковских операций;

– экономия времени кредитной организации на обработку внутренних документов и документов клиентов;

– увеличение числа потенциальных клиентов за счет преодоления географических ограничений и связанного с этим снижения затрат на открытие филиалов и дополнительных офисов, представительств кредитной организации;

– дополнительная самореклама, продвижение индивидуальных преимуществ кредитной организации.

С организационной точки зрения должны быть четко определены инициатор или группа инициаторов (коллегиальный инициатор) внедрения в практику кредитной организации СЭБ. Группа инициаторов должна состоять из конечного числа специалистов или структурных подразделений.

Инициатор в данном случае выступает в роли заказчика СЭБ и выполняет соответствующие функции на всех последующих этапах вплоть до приема системы в эксплуатацию.

Функции заказчика на первоначальном этапе заключаются в формализации идеи в виде документарно оформленной заявки на разработку СЭБ.

Заявка не является детализированным заданием на разработку, которое должно быть подготовлено на последующих этапах, а представляет собой краткое обоснованное описание необходимости разработки или приобретения СЭБ.

Заявка должна отражать основные цели реализации такой системы, определять круг задач, решение которых может быть более эффективным с использованием системы, и иметь краткое экономическое, функциональное и технологическое обоснование.

Обоснование является исходным материалом, необходимым для принятия соответствующим полномочным органом кредитной организации решения относительно целесообразности реализации СЭБ, и поэтому должно максимально полно отражать все аспекты нововведения.

Если экономическое и функциональное обоснование составляется заказчиком системы, то технологическое обоснование является приложением к заявке и составляется структурным подразделением кредитной организации, ответственным за эксплуатацию информационных систем.

В случае отсутствия такого специализированного подразделения технологическое обоснование может подготовить специально созданная для данной цели рабочая группа из специалистов различных подразделений, задачи которых связаны с автоматизацией деятельности.

Чтобы исключить конфликт интересов, важно нормативно закрепить за таким подразделением функции экспертизы заявок на развитие информационных систем и подготовки технологического обоснования.

Итоговое обоснование должно отражать различные аспекты возможного применения ЭБ, в том числе такие, как:

– оценка возможности (технологичности и удобства) интеграции с действующими автоматизированными системами. Такую возможность необходимо оценивать с учетом планов развития действующих в банке автоматизированных систем: их доработки, замены и т. д. В противном случае обоснование может оказаться объективным в конкретный момент и недостоверным в ближайшие последующие периоды, что может привести к стратегически неверным решениям руководства кредитной организации на следующем этапе – этапе принятия решения о новом проекте СЭБ;

– адекватная организация распределения информационных ресурсов, определение круга подразделений, которые могут быть задействованы в реализации и последующей эксплуатации СЭБ, сопоставление с имеющимися штатными ресурсами и организационной структурой кредитной организации. Необходимо также оценить основные роли и распределение прав доступа с точки зрения соответствия действующей в кредитной организации политике информационной безопасности (ПИБ) и т. д.;

– оценка стоимости разработки, внедрения и сопровождения СЭБ. Следует учитывать, что СЭБ может быть приобретена у сторонней организации-разработчика или поставщика, представляющего интересы разработчика, как целиком, так и в виде отдельных модулей и технических средств либо разработана кредитной организацией (при этом приобретается только соответствующее оборудование). В последнем случае может потребоваться увеличить штатную численность специалистов подразделения автоматизации. В обосновании может быть также отражена информация об объеме затрат, связанных с модернизацией СЭБ, и т. д.;

– оценка трудоемкости и сроков исполнения всех работ, связанных с разработкой (закупкой) и внедрением СЭБ. Такая оценка должна основываться на штатном расписании кредитной организации, принятых нормах и внутренних правилах осуществления подобных работ;

– общий перечень рисков и их источников, с которыми может столкнуться кредитная организация, используя СЭБ, и которым необходимо будет уделять внимание на всех этапах жизненного цикла системы;

– оценка информационной безопасности.

Обоснование проекта СЭБ должно представлять собой документ общего характера, не предполагающий глубокой детализации всех рассматриваемых аспектов. Вместе с тем информация, изложенная в данном документе, должна быть достаточной для объективного, взвешенного принятия решения.

После составления заявки и обоснования по проекту документы визируются руководителем подразделения-заказчика или группой руководителей соответствующих подразделений.

Все отмеченные аспекты являются основой для оценки качества организации этапа обоснования нового проекта СЭБ службами внутреннего аудита и контроля. При этом основными и минимально необходимыми являются следующие вопросы:

1. Начинается ли процедура принятия решения о внедрении нового проекта (модернизации) СЭБ с формирования подразделением-заказчиком документарно оформленной заявки на разработку (доработку) СЭБ?

2. Наделено ли подразделение информатизации (или иное подразделение) функциями анализа поступивших заявок и подготовки обоснования по проекту или иного аналитического документа по итогам рассмотрения заявки?

3. Производится ли (и отражается ли в обосновании по проекту) ответственным подразделением (специалистом) анализ заявки в части необходимости реализации нового проекта, в том числе с точки зрения:

– технологичности и удобства эксплуатации готового решения?

– информационной безопасности, необходимости и достаточности прав доступа для пользователей потенциальной разработки?

– стоимости внедрения и сопровождения?

– трудоемкости, сроков реализации и внедрения?

– выявления и парирования источников внутренних и внешних рисков, сопутствующих внедрению и эксплуатации проекта?

4. Согласуется ли документ «Обоснование по проекту» с руководителями подразделения информатизации и подразделения-заказчика?

7.2.2. Организация процедур внутреннего аудита и контроля на этапе принятия решения о новом проекте системы электронного банкинга

Содержание данного этапа предполагает детализированный анализ всей информации, подготовленной на этапе обоснования нового проекта СЭБ, с целью принятия взвешенного, объективного стратегического решения о целесообразности реализации системы.

С точки зрения достижения объективности и обеспечения всестороннего анализа необходимости внедрения и использования кредитной организацией СЭБ видится целесообразной организация коллективного совещательного органа – так называемого комитета по технологиям, функциональное назначение которого заключается в анализе всего массива информации (заявки и обоснования по проекту) и принятии соответствующего решения.

Комитет по технологиям или иной коллегиальный орган с обозначенными функциями может быть сформирован решением СД (наблюдательного совета) как действующий на постоянной основе либо формироваться избирательно (в зависимости от масштаба рассматриваемого вопроса) на временной основе.

И в том, и в другом случае решение о формировании комитета по технологиям закрепляется документарно.

В состав комитета по технологиям могут входить представители:

– подразделения автоматизации;

– подразделения информационной безопасности;

– подразделения управления банковскими рисками;

– юридической службы;

– СВА и СВК;

– коллегиального органа управления кредитной организацией (правления).

Исходя из основной функции комитета по технологиям (выработка коллективного решения рекомендательного характера о целесообразности внедрения и эксплуатации той или иной автоматизированной системы или о ее значительной доработке) хорошей практикой является формирование этого органа из руководителей соответствующих подразделений.

Обязанности по координации деятельности комитета возлагаются на представителя коллегиального органа управления кредитной организацией. При этом предполагается, что такой член правления обладает знаниями и навыками (имеет соответствующее образование или опыт руководящей работы) в области построения и эксплуатации распределенных компьютерных систем, программного и аппаратного обеспечения.

В соответствии с рекомендациями БКБН на такого руководителя могут быть возложены функции координации работы подразделений автоматизации, то есть функции куратора по информационным технологиям.

Предполагается, что деятельность комитета по технологиям регламентируется внутренним банковским документом, который определяет порядок проведения заседаний комитета и содержит следующие данные:

– численный и персональный состав комитета;

– периодичность проведения заседаний;

– круг рассматриваемых вопросов;

– распределение ответственности между членами комитета;

– порядок взаимодействия со структурными подразделениями кредитной организации;

– порядок взаимодействия со сторонними организациями (оказывающими консультационные и аудиторские услуги);

– порядок ознакомления членов комитета с заявкой на проект разработки (доработки) и внедрения в эксплуатацию автоматизированных систем, в том числе СЭБ;

– порядок ознакомления членов комитета с экономическим и технологическим обоснованием по проекту разработки (доработки) и внедрения в эксплуатацию автоматизированных систем, в том числе СЭБ;

– порядок и форма документирования результатов рассмотрения вопросов, входящих в компетенцию комитета.

Заседания комитета по технологиям должны проводиться своевременно, а также обеспечивать объективность и полноту анализа рассматриваемых вопросов. Одним из вариантов может быть формирование отдельного графика работы комитета по технологиям, согласующегося с планами перспективного развития автоматизированных технологий в кредитной организации и планами работы основных подразделений.

Круг вопросов, рассматриваемых комитетом по технологиям, должен позволять осуществлять полноценный анализ заявки на разработку (доработку) автоматизированной системы. К числу таких вопросов должны относиться:

– планирование развития автоматизированных систем кредитной организации;

– сопряжение и взаимодействие различных автоматизированных систем кредитной организации;

– экономический анализ работы комплекса автоматизированных систем кредитной организации, в том числе СЭБ;

– анализ и оценка процессов, работ, трудовых ресурсов, требуемых для реализации планируемой автоматизированной системы;

– информационная безопасность использования автоматизированных систем во взаимодействии между собой;

– оценка потенциальных рисков, связанных с возможной эксплуатацией СЭБ и других автоматизированных систем, с учетом их взаимодействия с внутренней и внешней средой кредитной организации.

В целях обеспечения полноценной работы комитета по технологиям все его члены предварительно должны быть ознакомлены с заявкой на разработку (доработку) и эксплуатацию СЭБ, а также с экономическим и технологическим обоснованиями по проекту. Одним из вариантов документарного оформления такого ознакомления может быть собственноручная подпись члена комитета по технологиям на документе.

После ознакомления с заявкой и обоснованием по проекту комитет по технологиям приступает к обсуждению проекта СЭБ.

В случае необходимости обсуждения значительного числа вопросов, требующих глубокого изучения, например при обсуждении нового проекта СЭБ, члены комитета по технологиям в соответствии с распределением полномочий и ответственности подготавливают краткие заключения, содержащие основные выводы по каждому направлению и варианту реализации СЭБ.

Заседание комитета по технологиям протоколируется. В протоколе также отражаются принятые решения относительно целесообразности разработки (приобретения) и эксплуатации СЭБ, о варианте ее реализации. Протокол визируется всеми членами комитета по технологиям, принимавшими участие в заседании, и утверждается куратором по информационным технологиям.

Все отмеченные выше аспекты деятельности кредитной организации являются основой для оценки качества организации этапа принятия решения о новом проекте СЭБ службами внутреннего аудита и контроля. При этом основными и минимально необходимыми являются следующие вопросы:

1. Предусмотрен ли в кредитной организации коллегиальный или иной орган, ответственный за рассмотрение заявок на новые разработки (доработки) и за решение вопроса о необходимости реализации нового проекта (например, комитет по технологиям)?

2. Входят ли в состав комитета по технологиям:

– куратор по информационным технологиям?

– представитель подразделения информационной безопасности?

3. Разработан ли и утвержден ли документ (регламент комитета по технологиям), регламентирующий порядок проведения заседаний комитета?

4. Предусмотрено ли регламентом комитета по технологиям ознакомление с заявкой и обоснованием по проекту?

5. Предусмотрена ли регламентом комитета по технологиям оценка необходимости реализации проекта с учетом приоритетов, определенных в Стратегии по внедрению информационных технологий (или стратегическом плане по информационным технологиям) банка?

6. Предусмотрена ли регламентом комитета по технологиям оценка вариантов реализации проекта с учетом анализа:

– технологичности и удобства эксплуатации готового решения?

– интегрируемости с информационной системой банка?

– информационной безопасности?

– стоимости внедрения и сопровождения?

– трудоемкости, сроков реализации и внедрения?

– выявления и парирования источников внутренних и внешних рисков, сопутствующих внедрению и эксплуатации проекта?

7.2.3. Организация (адаптация) процедур внутреннего аудита и контроля на этапе планирования реализации системы электронного банкинга

Содержание этапа планирования реализации СЭБ предполагает проработку системы планов и распределения обязанностей между отдельными структурными подразделениями или сотрудниками, задействованными в разработке (приобретении) и эксплуатации СЭБ.

План разработки (приобретения) СЭБ должен представлять собой общий документ, содержащий описание основных процедур, распределение сроков исполнения и ответственности.

Проект плана разработки (приобретения) СЭБ обсуждается членами комитета по технологиям, по результатам обсуждения в план вносятся необходимые корректировки, он одобряется комитетом по технологиям и утверждается куратором по ИТ.

Общий план разработки (приобретения) СЭБ должен доводиться до руководителей всех задействованных в плане подразделений и соответствующих специалистов данных подразделений.

В связи с тем что разработка (приобретение отдельных модулей) СЭБ представляет собой сложный многозадачный последовательный процесс, требующий согласованности с существующими бизнес-процессами в кредитной организации, архитектурой ее внутренних распределенных автоматизированных систем, целесообразным является включение в план пунктов, описывающих отчетные или контрольные мероприятия.

Включение таких контрольных точек позволит руководству кредитной организации, СВК и другим заинтересованным подразделениям контролировать исполнение плана и при необходимости своевременно вносить изменения в те или иные мероприятия.

Контрольные точки следует включать в план таким образом, чтобы они позволяли выделять и объединять функционально и технологически связанные между собой виды работ в группы, поддающиеся автономному анализу или тестированию с целью контроля качества их исполнения.

Например, включение в план непосредственно разработки СЭБ позволит осуществлять тестирование отдельных модулей программного обеспечения и комплексов аппаратного обеспечения значительно раньше этапа контрольных испытаний СЭБ, что даст возможность выявить часть источников рисков, заложенных на первоначальных этапах, и вовремя устранить их.

Немаловажным является детальное распределение ответственности за исполнение плана работ. Такое распределение ответственности может фиксироваться в плане работ, в отдельном документе либо в совокупности распорядительных документов.

Подготовка распределения ответственности возлагается на комитет по технологиям. При подготовке должны учитываться функции задействованных подразделений и обязанности их сотрудников, отраженные во внутренних документах кредитной организации, текущие планы деятельности данных подразделений и другие факторы, влияющие на текущую деятельность подразделений.

Распределение должно включать в себя в том числе перечень подразделений или сотрудников кредитной организации, ответственных:

– за разработку описания комплекса требований (бизнес-требований) к программному обеспечению в рамках СЭБ;

– разработку технопроектной документации к программному и аппаратному обеспечению СЭБ;

– разработку технорабочей документации к программному и аппаратному обеспечению СЭБ;

– разработку программного обеспечения в рамках СЭБ;

– проведение конъюнктурного анализа и приобретение у сторонних организаций-разработчиков программного обеспечения в рамках СЭБ;

– организацию и проведение контрольных испытаний, периодического тестирования, мониторинг возникающих ошибок и сбоев СЭБ;

– сопровождение СЭБ.

Все перечисленные мероприятия являются основой для оценки качества организации этапа планирования реализации СЭБ службами внутреннего аудита и контроля. При этом основными и минимально необходимыми являются следующие вопросы:

– утвержден ли план разработки, внедрения и эксплуатации новой СЭБ?

– утверждены ли приказ, распоряжение или иной документ «Распределение ответственности по проекту»?

– определены ли ответственные за разработку описания комплекса требований (бизнес-требований) к программному обеспечению системы?

– определены ли ответственные за разработку технорабочей документации к программному обеспечению в рамках СЭБ?

– определены ли ответственные за разработку программного обеспечения СЭБ?

– определены ли ответственные за проведение конъюнктурного анализа и приобретение у сторонних организаций-разработчиков программного обеспечения в рамках СЭБ?

– определены ли ответственные за организацию и проведение контрольных испытаний, периодического тестирования, мониторинг возникающих ошибок и сбоев СЭБ?

– определены ли ответственные за сопровождение СЭБ?

7.2.4. Организация (адаптация) процедур внутреннего аудита и контроля на этапе проектирования системы электронного банкинга

Данный этап предусматривает работы, связанные непосредственно с проектированием СЭБ. Они заключаются по большей части в разработке проектной документации, содержащей основные взаимоувязанные проектные решения по системе в целом, ее функциям и всем видам обеспечения СЭБ, достаточные для разработки, наладки и функционирования СЭБ, ее проверки и обеспечения работоспособности.

Учитывая, что СЭБ представляет собой сложное в организационном и технологическом плане решение, значительное внимание следует уделять качеству организации ее документарного обеспечения и качеству самих документов.

Одним из аспектов является систематизация документарной базы, обусловленная потребностью вносить изменения в документы по мере развития системы с учетом их взаимосвязи. В противном случае внесение изменений в отдельные документы может привести к возникновению противоречий с положениями, отраженными в других документах.

В целях систематизации документарного обеспечения СЭБ должен быть разработан перечень необходимой проектной и рабочей документации[126] на СЭБ. Перечень проектной документации утверждается одним из руководителей кредитной организации, курирующим вопросы применения информационных технологий (куратором по ИТ).

К разрабатываемой проектной документации могут относиться следующие документы.

1. Описание постановки комплекса задач или иной подобный документ. Представляет собой комплекс задач или совокупность технических заданий на разработку комплекса программных и аппаратных средств, составляющих информационный контур СЭБ.

Описание постановки комплекса задач может включать в себя:

– информацию об основании разработки СЭБ: указываются документ (документы), на основе которого планируется разработка, а также орган или ответственное лицо кредитной организации, утвердившие данный документ;

– информацию о функциональном назначении будущей системы или модуля СЭБ;

– в основной части документа – требования к системе или модулю СЭБ. Наиболее детально должны быть описаны требования к функциональным характеристикам системы и ее модулей. Подлежат описанию все бизнес-процедуры, связанные с обслуживанием клиентов и соответствующими внутрибанковскими процессами по обработке информации, поступившей от клиентов, и информации задействованных подразделений и функциональных узлов кредитной организации;

– условия эксплуатации СЭБ (кратко), в том числе количество клиентов, которое предполагается подключить к работе с СЭБ на момент ввода ее в эксплуатацию, а также с учетом динамики развития кредитной организации. Должны быть оговорены количество пользователей внутри кредитной организации, периоды функционирования, периоды технического обслуживания и т. д.;

– дополнительно – требования к техническим характеристикам аппаратных средств, совместимости с программным обеспечением, использующимся в деятельности кредитной организации, и т. д.

Описание постановки комплекса задач – основной проектный документ СЭБ, отражающий требования к информационному и функциональному контурам с точки зрения различных аспектов. Данный документ является связующим в комплексе проектной документации: на его основе при необходимости подготавливаются частные технические задания и требования к отдельным элементам информационного контура.

В подготовке описания постановки комплекса задач должны быть задействованы специалисты подразделения – заказчика СЭБ, а также ряд представителей других подразделений, к компетенции которых относятся соответствующие вопросы.

2. Описание системы защиты или иной подобный документ. По содержанию данный документ является частным техническим заданием СЭБ на реализацию процедур и средств информационной безопасности в рамках информационного контура.

Документ должен содержать:

– перечень критически важной информации, обрабатываемой и генерируемой в среде СЭБ;

– перечень технических средств обеспечения информационной безопасности информационного контура СЭБ;

– описание организационных процедур обеспечения информационной безопасности;

– описание технологических средств и систем защиты и обеспечения целостности информации, варианты их сопряжения и функционирования в информационном контуре СЭБ;

– механизм организации парольной защиты, администрирования и систематизации данной работы;

– механизм реализации антивирусной защиты СЭБ.

Приложением к данному документу могут выступать:

– детальное распределение прав и обязанностей внутрибанковских пользователей СЭБ;

– описание их ролей с функциональной точки зрения и прав «владения» определенными массивами информации.

3. Альбом выходных форм или иной подобный документ. Это частный документ, связанный с описанием постановки комплекса задач и содержащий описание всех диалоговых окон и выходных форм СЭБ, доступных как для клиентов кредитной организации в процессе их работы с программным комплексом, так и для внутренних пользователей, функционально задействованных в информационном контуре СЭБ. Документ включает в себя точное графическое отображение выходных форм и правила их заполнения, а также информационные источники заполнения форм.

Также в части каждой выходной формы приводятся перечень программных модулей, в которых она используется, и перечень функций и процедур, вызывающих данную форму. Указываются назначение каждого элемента выходной формы, действия по управлению ими и результаты такого управления.

4. Описание технологии взаимодействия с банковской автоматизированной системой или иной подобный документ. Как правило, разработка данного документа обусловлена сложной архитектурой внутрибанковских автоматизированных систем и необходимостью описать правила и технологические решения по их взаимодействию.

Интегрирование СЭБ в работу внутрибанковских автоматизированных систем требует раскрытия следующих основных моментов:

– перечень информационных ресурсов и данных, подлежащих передаче в другие внутрибанковские автоматизированные системы;

– перечень информационных ресурсов других внутрибанковских автоматизированных систем, подлежащих использованию в СЭБ;

– перечень аппаратных ресурсов информационного контура СЭБ, используемых в целях взаимодействия с другими внутрибанковскими автоматизированными системами;

– выбор (разработка) формата файлов для обмена данными СЭБ с другими внутрибанковскими автоматизированными системами;

– процедуры защиты информации и обеспечения целостности данных на участках обмена с другими внутрибанковскими автоматизированными системами (могут быть также приведены в описании системы защиты).

5. Описание комплекса технических средств или иной подобный документ. Представляет собой детальный перечень аппаратных средств, входящих в состав информационного контура СЭБ.

Помимо состава оборудования описываются:

– необходимые настройки аппаратных средств;

– условия эксплуатации каждого средства;

– варианты проверки работоспособности средства.

Документ может также содержать информацию об оборудовании других марок или модификаций, которое может быть использовано для замены применяемого аппаратного обеспечения.

6. Схема функциональной структуры информационного контура СЭБ – обобщающий проектный документ. Подобные схемы зачастую документируются при разработке автоматизированных комплексов и систем.

Документ представляет собой графическое отображение и соответствующее описание совокупности аппаратных и программных средств и каналов связи, при помощи которых программные и аппаратные средства взаимодействуют между собой.

Такой документ должен содержать информацию:

– о технологическом решении вычислительной сети, на которой основывается СЭБ.

В случае наличия альтернативных вариантов взаимодействия элементов информационного контура такие варианты должны быть отражены и описаны;

– об аппаратных и программных средствах на стороне кредитной организации;

– об аппаратных и программных средствах на стороне клиента кредитной организации;

– об аппаратных и программных средствах на стороне провайдера кредитной организации. При этом следует представить описание в разрезе всех провайдеров услуг для кредитной организации и контрагентов, выполняющих заказную обработку данных (процессинг, клиринг и т. д.);

– о маршрутах прохождения информации при взаимодействии клиента и кредитной организации, об этапах ее преобразования, обработки и контроля.

Хорошей практикой является наличие общего описания внешнего информационного контура кредитной организации, в котором выделены участки взаимодействия непосредственно с информационным контуром СЭБ.

Схема информационного контура приводится с кратким функциональным описанием ее элементов.

Качество документа должно позволить:

– выделить основные технологические и функциональные участки передачи, приема, контроля, обработки и хранения информации;

– установить их физическое размещение;

– оценить концентрацию источников рисков на различных участках информационного контура.

Сведения, отображаемые в схеме функциональной структуры информационного контура СЭБ, требуются для ее тестирования и качественной организации обслуживания.

Помимо отмеченных документов в кредитной организации могут быть разработаны и другие проектные документы в соответствии с утвержденным перечнем проектной документации на СЭБ.

Все проектные документы должны разрабатываться в соответствии с принятой в кредитной организации практикой ведения документооборота – ответственными по соответствующим направлениям деятельности с учетом их координации между собой – и утверждаться куратором по информационным технологиям.

Все перечисленные выше аспекты являются основой для оценки качества организации внутреннего аудита и внутреннего контроля на этапе проектирования СЭБ. При этом основными и минимально необходимыми являются следующие вопросы:

1. Разработан ли перечень требуемой проектной документации?

2. Разработаны ли перечисленные или подобные им документы:

– описание постановки комплекса задач?

– описание системы защиты?

– альбом выходных форм?

– описание технологии взаимодействия с банковской автоматизированной системой?

– описание комплекса технических средств?

– схема функциональной структуры информационного контура СЭБ?

3. Разработаны ли иные документы, предусмотренные перечнем проектной документации?

7.2.5. Организация (адаптация) процедур внутреннего аудита и контроля на этапе разработки системы электронного банкинга

На данном этапе производится непосредственно разработка СЭБ. Подразумеваются:

– разработка либо приобретение программного обеспечения в соответствии с перечнем программного обеспечения, утвержденным на этапе проектирования, и в соответствии с другими проектными документами, такими как описание постановки комплекса задач, альбом выходных форм, описание системы защиты, описание технологии взаимодействия с банковской автоматизированной системой. Разрабатываются или приобретаются: клиентская часть для «толстого клиента», автоматизированные рабочие места операторов в кредитной организации, администраторов системы, администраторов информационной безопасности системы, программное обеспечение серверной части системы, необходимое для сопряжения с другими внутрибанковскими автоматизированными системами, и т. д.;

– разработка (монтаж) сегментов электронной вычислительной сети, являющихся частью информационного контура СЭБ, в соответствии с подготовленной на этапе проектирования проектной документацией (в т. ч. схемой функциональной структуры информационного контура): прокладка необходимых участков кабеля, установка и настройка сетевого оборудования, сетевого программного обеспечения и т. д.;

– разработка необходимой эксплуатационной документации;

– разработка необходимой внутренней документации, регламентирующей обеспечение информационной безопасности и непрерывности функционирования СЭБ;

– заключение договоров (контрактов) с контрагентами – поставщиками программного обеспечения и оборудования для информационного контура СЭБ;

– заключение договоров (контрактов) с провайдерами на предоставление услуг связи;

– разработка типовых договоров с клиентами на обслуживание посредством СЭБ.

Договоры с контрагентами

Важным на данном этапе является обеспечение должного качества договоров с контрагентами. Этому вопросу помимо юридической службы должны также уделять внимание и специалисты СВК кредитной организации.

К числу аспектов, которым следует уделять внимание, относится наличие в договоре (контракте) с поставщиком описания программного и аппаратного обеспечения СЭБ, положения о сопровождении поставляемого программного обеспечения или иных технических средств на протяжении всего срока их службы либо приобретении полного комплекта технической документации, обеспечивающего возможность сопровождения программного обеспечения или иных технических средств и их компонентов без участия разработчика.

В части договорных отношений с организациями – провайдерами услуг связи важным является наличие в договоре положения, предусматривающего ответственность провайдера за качественное и бесперебойное предоставление услуг, ответственность в случае возникновения сбоев не по вине кредитной организации и ответственность провайдера за сохранность и целостность информации в случае, если часть ресурсов информационного контура обслуживается специалистами провайдера или арендуется кредитной организацией у провайдера, и т. д.

Помимо включения в договоры с провайдерами положений об обеспечении информационной безопасности и конфиденциальности клиентской и банковской информации, в кредитной организации могут быть разработаны соответствующие внутренние документы, такие как:

– порядок (порядки) соблюдения конфиденциальности клиентской информации;

– порядок (порядки) соблюдения конфиденциальности банковской информации;

– должностные инструкции сотрудников, ответственных за соблюдение информационной безопасности и конфиденциальности информации клиентов и банковской информации об операциях и сделках;

– различные документы, регламентирующие порядок взаимодействия кредитной организации и провайдеров по вопросам обеспечения информационной безопасности и конфиденциальности информации.

Следует отметить, что содержание документов, регламентирующих порядок взаимодействия кредитной организации и провайдеров по вопросам обеспечения информационной безопасности и конфиденциальности информации, должно быть направлено на обеспечение приемлемого уровня «прозрачности» провайдера с учетом специфики его организационной структуры.

Такая «прозрачность» в отношении вопросов информационной безопасности может быть обеспечена возможностью осуществления проверок или мониторинга провайдера со стороны СВК кредитной организации по данным вопросам.

Другим вариантом может быть периодический мониторинг качества организации работы по обеспечению информационной безопасности и конфиденциальности информации специализированными аудиторскими компаниями. В этом случае в документах, о которых идет речь, может содержаться положение о возможности доступа специалистов СВК или службы информационной безопасности (СИБ) к актам или другим документам, подготовленным аудиторами.

Хорошей практикой является наличие у провайдера собственных СВК и СИБ либо отдельных квалифицированных в данной области специалистов.

Наличие таких специалистов, очевидно, стало бы фактором, повышающим эффективность взаимодействия кредитной организации и провайдера по обозначенным вопросам.

В случае, когда провайдер (в силу финансового состояния или объемов бизнеса) не обладает такими СВК и СИБ, становится очевидной необходимость наличия документов, регламентирующих взаимодействие кредитной организации и провайдера по данным вопросам. Отсутствие у провайдера таких документов и служб является фактором, значительно повышающим риски.

Следует отметить, что основная ответственность перед клиентами за обеспечение информационной безопасности и конфиденциальности клиентской информации ложится на кредитную организацию. Качественная организация взаимодействия с провайдерами является лишь одним из факторов (хотя и значительным) обеспечения «прозрачности» и уменьшения риска нарушения целостности, потери или утечки данных о клиенте и его операциях посредством СЭБ.

Кредитная организация определяет методы обеспечения информационной безопасности и конфиденциальности информации, к которым могут относиться:

1) общий мониторинг источников рисков, связанных с деятельностью провайдера;

2) оценка и мониторинг финансового состояния провайдера, в том числе:

– частоты сменяемости топ-менеджмента;

– текучести кадров;

– стабильности развития бизнеса, частоты изменения основных направлений бизнеса;

– профессиональных навыков и опыта работы ключевых сотрудников в области информационных технологий, непосредственно связанных с особенностями реализации СЭБ;

3) разработка и использование специализированных процедур оценки технологических особенностей провайдера, возможностей его оборудования и т. д.;

4) разработка и использование совместной или согласованной между кредитной организацией и провайдером политики обеспечения информационной безопасности и конфиденциальности информации;

5) разработка и использование процедур, обеспечивающих информирование клиентов кредитной организации о состоянии информационной безопасности и конфиденциальности их данных, о способах противодействия и предупреждения угроз информационной безопасности и конфиденциальности информации и т. д.

Обеспечение непрерывности функционирования СЭБ

Другим немаловажным фактором, который необходимо учитывать уже на этапе разработки СЭБ, является обеспечение непрерывности ее функционирования, возможности системы быстро восстанавливать свою работоспособность в случае непредвиденных сбоев и других проявлений источников рисков.

Положения в части обеспечения непрерывности функционирования СЭБ рекомендуется включать как в договоры с провайдерами и поставщиками, так и во внутренние документы кредитной организации. Эти положения должны четко разграничивать ответственность за обеспечение непрерывности функционирования системы между кредитной организацией, провайдерами и поставщиками оборудования и программного обеспечения, используемого в составе информационного контура системы.

Например, необходимо отразить следующие моменты:

– конкретные временные ограничения по устранению сбоев и неисправностей в поставленном контрагентами по договору оборудовании или программном обеспечении;

– ответственность провайдера за предоставление резервного канала связи, который может быть задействован в короткие сроки и обеспечивать должное качество связи.

В кредитной организации должны быть разработаны соответствующие внутренние документы, описывающие:

– функции структурных подразделений кредитной организации в части обеспечения непрерывности функционирования СЭБ и процедуры реализации данных функций;

– порядок информирования органов управления кредитной организации и других структурных подразделений, а также клиентов кредитной организации о возникновении нештатных ситуаций, способных привести к нарушению непрерывности функционирования СЭБ, и реализуемых или требуемых мероприятиях, направленных на устранение причин;

– план обеспечения непрерывности и восстановления работоспособности СЭБ;

– методики стресс-тестирования в части непрерывности функционирования СЭБ.

При разработке указанных документов кредитной организации следует учитывать все наиболее вероятные сценарии, способные привести к нарушению непрерывности функционирования СЭБ. К их числу могут относиться:

– сетевые (хакерские) атаки на ресурсы кредитной организации или провайдера;

– механическое нарушение основного и дублирующего каналов связи с провайдером;

– выход из строя сервера баз данных СЭБ;

– выход из строя сервера приложений СЭБ;

– временное отключение электроэнергии в сети;

– отключение резервного источника электропитания СЭБ;

– воздействие компьютерных вирусов на СЭБ или на ее отдельные модули.

Ключевым документом, разработанным в целях обеспечения непрерывности функционирования СЭБ, является план обеспечения непрерывности и восстановления работоспособности системы. Такой план должен основываться на перечне наиболее критичных для работоспособности СЭБ воздействий.

В целях обеспечения эффективности плана данные воздействия могут быть классифицированы по степени возможного материального ущерба кредитной организации и ее клиентам, а также по вероятности их возникновения.

В отношении каждого из видов возможного воздействия на СЭБ план должен предусматривать соответствующие действия кредитной организации, ее клиентов и провайдеров. Наиболее подробно должны быть прописаны внутренние восстановительные процедуры самой кредитной организации с описанием действий ее внутренних подразделений, а также с указанием временных параметров осуществления данных процедур.

Помимо процедур восстановления работоспособности СЭБ план должен предусматривать процедуры по организации проведения операций клиентов альтернативными способами (без использования СЭБ) в наиболее короткие сроки.

Процедуры, регламентированные планом, должны учитывать зафиксированное в договорах с поставщиками программного обеспечения и оборудования распределение ответственности.

Качественная разработка плана должна учитывать возможные действия в целях реагирования на сбои не только кредитной организации, но и провайдеров, а также возможности оперативного привлечения к устранению неисправностей других организаций, оказывающих сервисные услуги в области информационных технологий.

Помимо плана обеспечения непрерывности функционирования СЭБ в кредитной организации должны быть регламентированы:

– способы мониторинга СЭБ, ее внешней и внутренней среды с целью выявления и предупреждения воздействий, способных нарушить непрерывность функционирования системы;

– методики оценки ущерба (материального и нематериального) в случае негативных воздействий или кризисных ситуаций;

– процедуры и рекомендации по уведомлению клиентов в случае нарушения непрерывности функционирования СЭБ.

Целесообразно создать в кредитной организации службу поддержки клиентов в части функционирования СЭБ.

Антикризисная комиссия

Также в целях координации деятельности структурных подразделений в условиях возникновения сбоя и приостановки работы СЭБ (в соответствии с закрепленными за ними функциями по устранению нарушений в работе СЭБ и организации альтернативных способов проведения операций) в кредитной организации распоряжением ее руководства может быть сформирована антикризисная группа или комиссия из руководителей соответствующих подразделений, в состав которой могут входить руководители:

– службы информационных технологий;

– службы информационной безопасности;

– службы операционной работы;

– службы хозяйственного обеспечения;

– службы по связям с общественностью;

– юридической службы;

– других служб (при необходимости).

Основными задачами членов комиссии являются правильная классификация нештатных ситуаций[127] и выбор процедур реагирования в соответствии с планом обеспечения непрерывности функционирования СЭБ.

Так, например, право наделять отрицательное воздействие внешнего фактора на деятельность банка статусом «кризисная ситуация» и предлагать соответствующие процедуры предоставляется:

– по вопросам электроснабжения – члену антикризисного комитета, руководителю службы хозяйственного обеспечения;

– по вопросам качества систем связи – члену антикризисного комитета, начальнику управления информатики;

– по вопросам репутационного риска – члену антикризисного комитета, руководителю службы по связям с общественностью;

– по вопросам возникших правовых коллизий, связанных с обслуживанием клиентов посредством СЭБ, – руководителю юридической службы и т. д.

Окончательное решение о работе банка по антикризисному плану принимает председатель антикризисной комиссии. То есть поддержка функционирования банка в нештатной ситуации в соответствии с ее характером, координация деятельности структурных подразделений, руководителей и отдельных сотрудников возлагаются на председателя антикризисной комиссии.

Условием для принятия такого решения является наступление события, квалифицируемого как кризисная ситуация.

Председателем антикризисной комиссии может быть либо руководитель кредитной организации, либо куратор по ИТ, если ему делегированы данные полномочия.

Стресс-тестирование

Чтобы повысить эффективность плана обеспечения непрерывности функционирования системы, мероприятия, направленные на обеспечение непрерывности ее функционирования, необходимо разрабатывать на основе результатов стресс-тестирования – процедур, позволяющих оценить качественное и количественное влияние наиболее вероятных источников рисков на основные показатели функционирования кредитной организации.

Процедуры стресс-тестирования могут учитывать функционирование как отдельных участков информационного контура СЭБ (например, внешних участков – аппаратных и программных средств клиентов кредитной организации или ее провайдеров; внутренних участков – автоматизированного рабочего места операциониста, контролера, администратора системы и т. д.), так и информационного контура в целом.

При этом в процедурах стресс-тестирования могут использоваться простейшие сценарии, когда анализируется воздействие одного или нескольких факторов (источников) рисков. Следует отметить, что использование простейших сценариев целесообразно в отношении отдельных сегментов или элементов информационного контура СЭБ, части ее функциональных возможностей.

Предпочтительно использовать комплексные сценарии, что значительно расширяет анализ потенциального воздействия источников рисков и позволяет получить более объективные результаты.

Достоверная оценка потенциального комплексного воздействия основных источников рисков на функционирование СЭБ значительно повышает качество разрабатываемых процедур реагирования на такое воздействие в целях обеспечения непрерывности или восстановления функционирования системы.

Договоры с клиентами

Относительно разработки типовых договоров с клиентами на обслуживание посредством СЭБ следует отметить, что для минимизации правового и репутационного рисков целесообразно унифицировать договоры на подключение к СЭБ. При такой унификации нужно учитывать, что различным клиентам могут быть предоставлены неодинаковые права и возможности, что делает необходимой разработку соответствующих типовых договоров.

Помимо типовых форм договора могут быть разработаны типовые формы заявлений:

– на предоставление услуг посредством СЭБ;

– изменение вариантов обслуживания.

В общем случае договор на подключение и обслуживание в СЭБ между кредитной организацией и ее клиентом может содержать следующие положения:

– предмет договора;

– права и обязанности сторон;

– ответственность сторон;

– стоимость услуг;

– срок действия договора;

– прочие условия.

В разделе, раскрывающем предмет договора, могут оговариваться:

– перечень и объем предоставляемых услуг;

– возможность и порядок изменения вариантов обслуживания;

– порядок проведения расчетных операций в электронной форме по открытому клиентом в банке счету;

– способ передачи кредитной организацией клиенту необходимых программных или аппаратных средств, в том числе используемых для генерирования ключей электронной цифровой подписи, состав передаваемых программных и аппаратных средств;

– способы обмена электронными документами между кредитной организацией и клиентом.

В разделе, посвященном правам и обязанностям сторон, могут быть раскрыты:

– обязанность банка обеспечивать возможность передачи электронных документов в СЭБ по указанным клиентом адресам;

– перечень случаев, в которых банк имеет право не исполнять электронные документы клиента;

– порядок уведомления клиента об изменении размера и условий платы за использование СЭБ;

– обязанность клиента своевременно и надлежащим образом формировать и передавать электронные документы;

– обязанность клиента своевременно и надлежащим образом генерировать секретный ключ и не передавать его третьим лицам, а при его компрометации незамедлительно письменно известить банк для прекращения работы;

– порядок уведомления банка клиентом о намерении изменить вариант обслуживания в СЭБ.

В разделе, посвященном ответственности сторон, в рамках действующего законодательства детально раскрывается ответственность клиентов и кредитной организации. В том числе в раздел могут быть включены положения, согласно которым:

– в случае нарушения договора и других документов, определяющих правила взаимодействия банка и клиента посредством системы, ответственность за последствия несет сторона, которая допустила эти нарушения. При этом каждая сторона не несет ответственности за убытки, понесенные другой стороной не по вине первой в результате использования СЭБ, в том числе при исполнении ошибочных платежных электронных документов, если эти документы надлежащим образом клиентом оформлены и переданы, а кредитной организацией получены, проверены и признаны верными;

– клиент несет ответственность за правильность формирования документов, их достоверность и срочность передачи их банку;

– устанавливаются пределы ответственности кредитной организации за невыполнение своих обязательств по договору с клиентом вследствие ситуаций, влияние кредитной организации на которые ограничено (отключения напряжения в электросети, повреждения линий связи с провайдером и подобных), при этом должен быть приведен перечень таких ситуаций;

– разграничена ответственность в случае, если информация, передаваемая сторонами друг другу через электронную почту, стала доступна третьим лицам либо если ущерб возник из-за составляющей СЭБ, находящейся вне непосредственного контроля кредитной организации.

Проектная документация

В отношении проектной документации, в соответствии с которой разрабатывается и монтируется СЭБ, следует иметь в виду, что на этапе разработки в изначальный проект системы по различным причинам могут вноситься изменения, связанные с усовершенствованием отдельных функций или технологических решений. Данные изменения должны сопровождаться корректировкой проектной документации, подготовленной на предыдущем этапе.

Все изменения, вносимые в проектную документацию, должны предварительно анализироваться комитетом по технологиям кредитной организации в рамках текущей работы по проекту СЭБ на предмет:

– выявления и парирования факторов рисков;

– совместимости, согласованности с технологическими решениями на других участках СЭБ;

– информационной безопасности;

– экономической целесообразности.

Все вносимые в проектную документацию изменения утверждаются решением комитета по технологиям или куратором по ИТ.

Эксплуатационная документация

На этапе разработки СЭБ, как и на этапе ее проектирования, значительное внимание следует уделять качеству организации документарного обеспечения системы в части эксплуатационной документации.

На этапе планирования СЭБ должны быть определены специалисты или подразделения, ответственные за подготовку данной документации.

В целях систематизации эксплуатационной документации на этапе планирования составляется перечень документации, который утверждается решением комитета по технологиям либо куратором по ИТ.

К разрабатываемой эксплуатационной документации могут относиться:

– спецификация программных средств и модулей СЭБ;

– спецификация аппаратных средств СЭБ;

– инструкция по эксплуатации комплекса технических средств;

– руководство по установке и настройке компонентов СЭБ;

– руководство по сопровождению программного обеспечения СЭБ;

– руководство пользователей компонентов СЭБ.

Первые два документа аналогичны «Описанию комплекса технических средств» или иному подобному документу, разрабатываемому на этапе проектирования. Данные документы также представляют собой детальное описание перечня программных и аппаратных средств, фактически используемых в составе информационного контура СЭБ, с учетом всех доработок в проектной документации и информационном контуре, внесенных на этапе разработки.

Инструкция по эксплуатации комплекса технических средств представляет собой документ, содержащий в соответствии со спецификацией программных средств и модулей и спецификацией аппаратных средств СЭБ описание основных особенностей, допустимого режима работы программных и аппаратных средств в составе информационного контура СЭБ, требования к необходимым для данного программного обеспечения техническим средствам, общие характеристики входной и выходной информации, а также требования и условия организационного, технического, технологического характера и т. п.

Руководство(а) по установке и настройке представляет собой один или несколько документов, содержащих описание процессов:

– установки серверного программного обеспечения (формирования баз данных, программного обеспечения, обслуживающего работу баз данных о клиентах и об их операциях, и т. д.);

– установки и настройки программного обеспечения в части автоматизированных рабочих мест (АРМ) специалистов кредитной организации, в том числе операционных работников, контроллера операций, администратора СЭБ, администратора информационной безопасности СЭБ; программных модулей и комплексов, обеспечивающих взаимодействие информационного контура СЭБ с другими банковскими автоматизированными системами; другого специализированного программного обеспечения;

– настройки аппаратного обеспечения информационного контура.

Все особенности настройки программного и аппаратного обеспечения СЭБ, описываемые в данном документе, должны соответствовать положениям, отраженным в инструкции по эксплуатации комплекса технических средств.

Руководство по сопровождению программного обеспечения СЭБ – документ, представляющий собой перечень и описание инструкций в части сопровождения программного и аппаратного обеспечения СЭБ. Данный документ, как правило, содержит:

– общие сведения о программном обеспечении или модуле: могут быть указаны назначение и функции программного обеспечения и сведения о рекомендуемых технических и программных средствах, необходимых для функционирования данного программного обеспечения, а также минимальный состав технических средств для работы программного обеспечения;

– описание структуры программного обеспечения: могут быть приведены сведения о структуре программного обеспечения, его составных частях, связях между составными частями и связях с другим программным обеспечением;

– правила действий ответственных специалистов кредитной организации при установке модулей обновления программного обеспечения;

– описание дополнительных разделов функциональных возможностей программного обеспечения и способов их выбора;

– тексты сообщений, выдаваемых в ходе выполнения настройки, проверки программного обеспечения, а также в ходе его функционирования, описание их содержания и действий, которые необходимо предпринять в соответствии с этими сообщениями;

– описание способов детальной проверки, позволяющих дать общее заключение о работоспособности программного обеспечения (контрольные примеры, методы прогона, результаты);

– правила действий ответственных специалистов кредитной организации для устранения наиболее типичных сбоев программного и аппаратного обеспечения СЭБ;

– правила действий ответственных специалистов кредитной организации при совершении других операций, связанных с обслуживанием программного и аппаратного обеспечения информационного контура СЭБ.

Руководство пользователей программных компонентов СЭБ представляет собой документ, предназначенный непосредственно для пользователей СЭБ как вне кредитной организации (клиентов кредитной организации – физических и юридических лиц), так и внутри ее (сотрудников, в функциональные обязанности которых входит совершение определенных операций и бизнес-процедур с использованием компонентов СЭБ).

Для соответствующего программного обеспечения в составе информационного контура СЭБ такой документ может содержать следующую информацию, сгруппированную по разделам[128]:

1) в разделе «Введение»:

– область применения программного обеспечения;

– краткое описание возможностей программного обеспечения;

– требуемый уровень подготовки пользователя программного обеспечения;

– перечень эксплуатационной документации, с которой необходимо ознакомиться пользователю программного обеспечения;

2) в разделе «Назначение и условия применения»:

– виды операций, функции, для автоматизации которых предназначено данное программное обеспечение;

– условия, при соблюдении (выполнении, наступлении) которых обеспечивается применение средства автоматизации в соответствии с назначением (например, вид ЭВМ и конфигурация технических средств, операционная система и общесистемные программные средства, входная информация, носители данных, база данных);

3) в разделе «Подготовка к работе»:

– состав и содержание дистрибутивного носителя данных;

– порядок загрузки данных в программное обеспечение;

– порядок проверки работоспособности программного обеспечения пользователем;

4) в разделе «Описание операций»:

– детальное описание всех выполняемых функций, задач, комплексов задач и процедур;

– описание операций технологического процесса обработки данных, необходимых для выполнения функций и процедур.

При этом для каждой операции обработки данных могут указываться:

✓ наименование;

✓ условия, при соблюдении которых возможно выполнение операции;

✓ подготовительные действия;

✓ основные действия в требуемой последовательности;

✓ заключительные действия;

✓ ссылки на файлы подсказок, размещенные на магнитных носителях;

5) в разделе «Аварийные ситуации» – действия:

– в случае несоблюдения условий выполнения технологического процесса, в том числе при длительных отказах технических средств;

– в целях восстановления программного обеспечения или данных при отказе магнитных носителей или обнаружении ошибок в данных;

– в случаях обнаружения несанкционированного вмешательства в данные;

– в других аварийных ситуациях;

6) в разделе «Рекомендации по освоению» – рекомендации по освоению и эксплуатации, включая описание контрольного примера, правила его запуска и выполнения.

Все отмеченные выше аспекты являются основой для оценки качества организации этапа разработки СЭБ. При этом основными и минимально необходимыми являются следующие вопросы:

1. Производится ли разработка СЭБ в сроки, определенные планом на проект?

2. Имеются ли в наличии отчеты о выполнении работ, определенных планом по проекту?

3. Предусмотрен ли комплексный анализ специалистами СВК положений договора (контракта) на поставку программного обеспечения СЭБ или его части, а также иных технических средств?

4. Предусмотрен ли комплексный анализ специалистами СВК положений договора (контракта) с организацией-провайдером на предоставление услуг связи?

5. Разработаны ли проекты типовых договоров с клиентами на обслуживание посредством СЭБ?

6. Разработана ли необходимая внутренняя документация, регламентирующая обеспечение информационной безопасности и непрерывности функционирования СЭБ?

7. Внесены ли в разработочную документацию изменения, которые (при необходимости) принимались на этапе разработки?

8. Санкционированы ли куратором по ИТ или комитетом по технологиям изменения в технико-разработочную документацию на этапе разработки?

9. Разработан ли ответственными за документацию перечень необходимой эксплуатационной документации?

10. Разработаны ли следующие или подобные документы:

– инструкция по эксплуатации комплекса технических средств?

– спецификация программных средств и модулей СЭБ?

– руководство по сопровождению программного обеспечения СЭБ?

– руководство по установке и настройке?

– руководства пользователей?

11. Разработаны ли ответственными за документацию иные документы, предусмотренные перечнем эксплуатационной документации?

7.2.6. Организация (адаптация) процедур внутреннего аудита и контроля на этапе испытаний, сдачи и приемки в эксплуатацию системы электронного банкинга

Этап проведения испытаний и приемки в эксплуатацию является неотъемлемым с точки зрения организации корпоративного управления звеном в жизненном цикле любой автоматизированной системы, в том числе СЭБ.

Основной задачей данного этапа является установление соответствия разработанной СЭБ предъявляемым к ней требованиям функциональности, удобства пользовательского интерфейса, надежности, совместимости с другими банковскими автоматизированными системами, информационной безопасности и т. д., отраженным в проектной документации, в частности в описании постановки комплекса задач на СЭБ.

В зависимости от индивидуальных особенностей организации корпоративного управления в кредитной организации и от особенностей реализации СЭБ могут предусматриваться различные стадии испытаний СЭБ, такие как:

– предварительные испытания;

– опытная эксплуатация;

– приемочные испытания.

Предварительные испытания автоматизированной системы проводят для определения ее работоспособности и решения вопроса о возможности приемки в опытную эксплуатацию. Предварительные испытания следует выполнять после проведения разработчиком отладки и тестирования поставляемых программных и технических средств системы и представления им соответствующих документов об их готовности к испытаниям, а также после ознакомления персонала автоматизированной системы с эксплуатационной документацией.

Цель опытной эксплуатации автоматизированной системы – определить фактические значения ее количественных и качественных характеристик, готовность персонала к работе в условиях функционирования автоматизированной системы, фактическую эффективность системы, при необходимости внести корректировки в документацию.

Приемочные испытания автоматизированной системы проводят для определения соответствия автоматизированной системы техническому заданию, оценки качества опытной эксплуатации и решения вопроса о возможности приемки автоматизированной системы в постоянную эксплуатацию. Приемочным испытаниям автоматизированной системы, как правило, предшествует ее опытная эксплуатация в кредитной организации.

Положительной практикой является уже отмеченная многоуровневая организация испытаний СЭБ. При этом допускается дополнительное проведение других видов испытаний СЭБ или ее отдельных модулей, например на этапе разработки по соответствующим контрольным точкам плана реализации СЭБ.

Вместе с тем, учитывая индивидуальные особенности внутренней структуры и деятельности кредитной организации, отдельные виды испытаний СЭБ можно объединить в единый процесс приемочных испытаний.

Испытания могут быть автономными или комплексными. Автономные испытания охватывают части автоматизированной системы. Их проводят по мере готовности частей к сдаче в опытную эксплуатацию. Комплексные испытания проводят для групп взаимосвязанных частей автоматизированной системы или для автоматизированной системы в целом.

Вне зависимости от стадии испытаний СЭБ проверке или аттестации в ней подвергают:

– отдельный модуль СЭБ;

– СЭБ в целом;

– персонал кредитной организации, функциональные обязанности которого предполагают работу с СЭБ;

– эксплуатационную документацию, регламентирующую деятельность персонала при функционировании СЭБ.

При испытаниях СЭБ в целом рекомендуется уделять внимание:

– качеству выполнения комплексом программных и технических средств автоматических функций во всех режимах функционирования СЭБ согласно техническому заданию (описанию постановки комплекса задач) на создание СЭБ;

– знанию персоналом кредитной организации эксплуатационной документации и наличию у него навыков, необходимых для выполнения установленных функций во всех режимах функционирования СЭБ, согласно описанию постановки комплекса задач;

– полноте содержащихся в эксплуатационной документации указаний персоналу кредитной организации по выполнению им функций во всех режимах функционирования СЭБ согласно описанию постановки комплекса задач;

– количественным и (или) качественным характеристикам выполнения автоматизированных функций СЭБ в соответствии с описанием постановки комплекса задач;

– другим свойствам СЭБ, которым она должна соответствовать согласно описанию постановки комплекса задач.

Испытания СЭБ следует проводить на стенде, подготовленном и приближенном к условиям работы подразделения-заказчика. По согласованию между подразделением-заказчиком и разработчиком возможны предварительные испытания и приемка программных средств СЭБ без стенда (с использованием технических средств разработчика), если созданы условия для получения достоверных результатов испытаний.

Допускаются последовательное проведение испытаний и последовательная сдача частей СЭБ в опытную и постоянную эксплуатацию при соблюдении установленной в техническом задании очередности ввода автоматизированной системы в действие.

В соответствии с классификацией стадий испытаний СЭБ предварительные испытания могут быть также автономными и комплексными.

Автономные предварительные испытания СЭБ

Автономные предварительные испытания СЭБ следует проводить в соответствии с программой и методикой автономных испытаний, разрабатываемыми для каждой части СЭБ.

В программе автономных испытаний могут содержаться:

– перечень функций, подлежащих испытаниям;

– описание взаимосвязей объекта испытаний с другими частями СЭБ и внутрибанковскими автоматизированными системами;

– условия, порядок и методы проведения испытаний и обработки результатов;

– критерии приемки частей СЭБ по результатам испытаний.

К программе автономных предварительных испытаний может быть приложен график проведения испытаний.

Подготовленные и согласованные тесты (контрольные примеры) на этапе автономных предварительных испытаний должны обеспечить:

– полную проверку функций и процедур по перечню, согласованному с заказчиком;

– необходимую точность вычислений, установленную в описании постановки комплекса задач;

– проверку основных временных характеристик функционирования программных средств (в тех случаях, когда такие характеристики являются существенными);

– проверку надежности и устойчивости функционирования программных и технических средств.

В целях обеспечения достоверности в качестве исходной информации для теста может быть использован фрагмент реального информационного массива данных в объеме, достаточном для обеспечения необходимой достоверности испытаний.

Результаты автономных испытаний частей СЭБ следует фиксировать в протоколах испытаний. Протокол должен содержать заключение о возможности (невозможности) допуска части СЭБ к комплексным испытаниям.

В случае если проведенные автономные испытания будут признаны недостаточными либо будет выявлено нарушение требований регламентирующих документов по составу или содержанию документации, испытываемая часть СЭБ может быть возвращена на доработку, при этом назначается новый срок испытаний.

Любые испытания СЭБ должны проводиться соответствующей комиссией, состоящей из руководителей и сотрудников основных подразделений, в чьи функции входит непосредственная работа с СЭБ: подразделений информационных технологий (HT-подразделений), информационной безопасности и т. д. Состав комиссии утверждается приказом или распоряжением, которые могут содержать:

– наименование(я) принимаемой СЭБ в целом или ее частей;

– сведения о составе комиссии;

– основание для организации комиссии;

– наименование подразделения-заказчика;

– наименования организации-разработчика и организации-соисполнителя или соответствующих подразделений кредитной организации;

– описание назначения и целей работы комиссии;

– информацию о сроках начала и завершения работы комиссии;

– указание на форму завершения работы комиссии.

Комплексные предварительные испытания СЭБ

Комплексные предварительные испытания СЭБ проводят путем выполнения комплексных тестов. Результаты испытаний отражают в протоколе. Работа завершается оформлением акта приемки в опытную эксплуатацию.

В программе комплексных испытаний СЭБ или ее частей могут содержаться:

– перечень объектов испытаний;

– информация о составе предъявляемой документации;

– описание проверяемых взаимосвязей между объектами испытаний;

– сведения об очередности испытаний частей СЭБ;

– описание порядка и методов испытаний, в том числе состава программных средств и оборудования, необходимых для проведения испытаний, включая специальные стенды.

Для проведения комплексных предварительных испытаний должны быть подготовлены:

– программа комплексных предварительных испытаний;

– сводное заключение по автономным испытаниям соответствующих частей СЭБ и устранению ошибок и замечаний, выявленных при автономных испытаниях;

– комплексные тесты;

– программные и технические средства, соответствующая эксплуатационная документация.

В качестве исходной информации в ходе комплексных предварительных испытаний может быть использована информация, полученная на автономных испытаниях частей СЭБ.

Тесты и контрольные примеры, подготовленные для комплексных предварительных испытаний, должны:

– быть логически увязанными между собой;

– обеспечивать проверку выполнения функций частей СЭБ во всех режимах функционирования, установленных в описании постановки комплекса задач, в том числе всех связей между ними;

– обеспечивать проверку реакции СЭБ на некорректную информацию и аварийные ситуации.

Протокол комплексных предварительных испытаний должен содержать заключение о возможности (невозможности) приемки СЭБ в опытную эксплуатацию, а также перечень необходимых доработок и указание на рекомендуемые сроки их выполнения.

После устранения недостатков целесообразно проведение повторных комплексных испытаний в необходимом объеме.

Заканчиваются предварительные испытания подготовкой акта приемки в опытную эксплуатацию, который может содержать:

– наименование СЭБ (или ее части), принимаемой в опытную эксплуатацию;

– наименование документа, на основании которого разработана СЭБ;

– информацию о составе приемочной комиссии и основание для ее работы (наименование, номер и дату утверждения документа, на основании которого создана комиссия);

– указание временного периода, в котором работала комиссия;

– наименования организации-разработчика, организации-соисполнителя и организации-заказчика или соответствующих подразделений кредитной организации;

– сведения о составе функций СЭБ (или ее части), принимаемых в опытную эксплуатацию;

– перечень составляющих технического, программного, информационного и организационного обеспечения, проверяемых в процессе опытной эксплуатации;

– перечень документов, предоставленных комиссии;

– оценку соответствия принимаемой СЭБ техническому заданию или описанию комплекса задач на ее создание;

– основные результаты приемки в опытную эксплуатацию;

– решение комиссии о принятии автоматизированной системы в опытную эксплуатацию.

Опытная эксплуатация СЭБ

Опытную эксплуатацию СЭБ проводят в соответствии с программой, в которой могут указываться:

– условия и порядок функционирования частей СЭБ и системы в целом;

– продолжительность опытной эксплуатации, достаточная, чтобы проверить правильность функционирования СЭБ при выполнении каждой функции и готовность персонала кредитной организации к работе в условиях функционирования СЭБ;

– порядок устранения недостатков, выявленных в процессе опытной эксплуатации.

В период проведения опытной эксплуатации СЭБ необходимо поддерживать в актуальном состоянии рабочий журнал, в который заносят сведения:

– о продолжительности функционирования СЭБ;

– об отказах, сбоях, аварийных ситуациях;

– об изменениях параметров объекта автоматизации;

– о проводимых корректировках документации и программных средств;

– о наладке технических средств.

Сведения должны фиксироваться в журнале с указанием даты и ответственного лица. В журнал могут быть занесены замечания персонала кредитной организации, касающиеся удобства эксплуатации СЭБ.

По результатам опытной эксплуатации принимают решение о возможности (или невозможности) предъявления частей СЭБ и системы в целом на приемочные испытания.

Опытная эксплуатация СЭБ завершается оформлением акта о завершении опытной эксплуатации и допуске СЭБ к приемочным испытаниям.

Приемочные испытания

Приемочные испытания проводят в соответствии с программой, в которой могут указываться:

– перечень объектов, выделенных в СЭБ для испытаний, и перечень требований, которым должны соответствовать объекты (со ссылкой на пункты технического задания или описания постановки комплекса задач);

– критерии приемки СЭБ и ее частей;

– условия и сроки проведения испытаний СЭБ;

– средства для проведения испытаний;

– лица, ответственные за проведение испытаний;

– методики испытаний и обработки их результатов;

– перечень оформляемой документации.

Для проведения приемочных испытаний должна быть подготовлена следующая документация:

– техническое задание или описание постановки комплекса задач на создание СЭБ;

– акт приемки в опытную эксплуатацию;

– рабочие журналы опытной эксплуатации;

– акт завершения опытной эксплуатации и допуска СЭБ к приемочным испытаниям;

– программа и методика испытаний.

Приемочные испытания следует проводить на функционирующем оборудовании с реальными или идентичными им информационными данными.

В первую очередь приемочные испытания должны включать проверку:

– полноты и качества реализации функций при штатных, предельных, критических значениях параметров объекта автоматизации и в других условиях функционирования автоматизированной системы, указанных в техническом задании;

– выполнения каждого требования, относящегося к интерфейсу системы;

– работы персонала в диалоговом режиме;

– средств и методов восстановления работоспособности автоматизированной системы после отказов;

– комплектности и качества эксплуатационной документации.

Проверку полноты и качества выполнения функций СЭБ целесообразно осуществлять в два этапа:

– на первом этапе проводят испытания отдельных функций (задач, комплексов задач). При этом проверяется выполнение требований технического задания или описания постановки комплекса задач к функциям (задачам);

– на втором этапе проводят проверку взаимодействия задач в системе и выполнения требований описания комплекса задач к СЭБ в целом.

По согласованию с подразделением-заказчиком проверка задач в зависимости от их специфики может проводиться автономно или в составе комплекса задач. Объединение задач для проверки в составе комплекса целесообразно проводить с учетом общности используемой информации и внутренних связей.

Проверку работы персонала в диалоговом режиме проводят с учетом полноты и качества выполнения функций системы в целом.

Проверке подлежат:

– полнота сообщений, директив, запросов, доступных оператору, и их достаточность для эксплуатации системы;

– сложность процедур диалога, возможность работы персонала без специальной подготовки;

– реакция СЭБ и ее частей на ошибки оператора, средства сервисного обслуживания автоматизированных средств.

Проверка средств восстановления работоспособности СЭБ после отказов ЭВМ может включать проверку:

– наличия в эксплуатационной документации рекомендаций по восстановлению работоспособности и их полноты;

– практической выполнимости рекомендованных процедур;

– работоспособности средств автоматического восстановления функций (при их наличии).

Проверку комплектности и качества эксплуатационной документации следует проводить путем анализа документации на соответствие требованиям нормативно-технических документов и описания постановки комплекса задач.

Результаты предусмотренных программой испытаний объектов СЭБ могут фиксироваться в протоколах, содержащих следующие разделы:

– назначение испытаний;

– состав технических и программных средств, используемых при испытаниях;

– указание методик, в соответствии с которыми проводятся испытания, обработка и оценка результатов;

– условия проведения испытаний и характеристики исходных данных;

– обобщенные результаты испытаний;

– выводы о результатах испытаний и соответствии созданной системы или ее частей определенному разделу требований технического задания на разработку автоматизированной системы.

Протоколы испытаний объектов СЭБ по всей программе могут обобщаться в едином протоколе, на основании которого делают заключение о соответствии СЭБ требованиям описания постановки комплекса задач на создание СЭБ и о возможности оформления акта приемки СЭБ в постоянную эксплуатацию.

Протокол испытаний может содержать:

– наименование объекта испытаний;

– список должностных лиц, проводивших испытания;

– цель испытаний;

– сведения о продолжительности испытаний;

– перечень пунктов технического задания или описания постановки комплекса задач на создание СЭБ, на соответствие которым проведены испытания;

– перечень пунктов программы испытаний, по которым проведены испытания;

– сведения о результатах наблюдений за правильностью функционирования СЭБ;

– сведения об отказах, сбоях и аварийных ситуациях, возникающих при испытаниях СЭБ;

– сведения о корректировках параметров объекта испытания и технической документации.

Акт о приемке СЭБ в эксплуатацию

Приемочные испытания завершаются оформлением акта о приемке СЭБ в эксплуатацию, который может содержать:

– наименование объекта в составе информационного контура СЭБ или всей СЭБ, принимаемой в эксплуатацию;

– сведения о статусе приемочной комиссии, ее составе и основание для работы;

– указание временного периода, в котором работала комиссия;

– наименования организации-разработчика, организации-соисполнителя и организации-заказчика или соответствующих подразделений кредитной организации;

– наименование документа, на основании которого разработана СЭБ;

– состав функций СЭБ (или ее части), принимаемой в эксплуатацию;

– перечень составляющих технического, программного, информационного и организационного обеспечения СЭБ, принимаемых в эксплуатацию;

– перечень документов, предъявляемых комиссии;

– заключение о результатах опытной эксплуатации СЭБ в случае ее осуществления;

– оценку соответствия принимаемой СЭБ техническому заданию на ее создание;

– краткую характеристику и основные результаты выполненной работы по созданию СЭБ;

– оценку экономической эффективности внедрения СЭБ (по проектным данным);

– решение комиссии;

– рекомендации комиссии по дальнейшему развитию СЭБ.

К акту приемки в эксплуатацию могут прилагаться: программа и протоколы испытаний, протоколы заседания комиссии, акты приемки в эксплуатацию принятых ранее частей СЭБ, перечень технических средств, которые использовала комиссия при приемке СЭБ. По усмотрению комиссии в приложение могут включаться дополнительные документы.

Программа и методика испытаний

Для планирования проведения всех видов испытаний в кредитной организации должен быть разработан документ «Программа и методика испытаний», разработчиком которого является ответственное лицо из числа членов комитета по технологиям. Это основной документ, регламентирующий любые виды испытаний СЭБ. К разработке документа могут быть также привлечены подразделение – заказчик СЭБ, HT-подразделение и подразделение информационной безопасности. Данный документ может разрабатываться как на СЭБ в целом, так и на отдельный модуль СЭБ.

Программа и методика испытаний СЭБ предназначены для установления технических данных, подлежащих проверке при испытании компонентов СЭБ, а также порядка испытаний и методов их контроля. Документ должен устанавливать необходимый и достаточный объем испытаний, обеспечивающий заданную достоверность получаемых результатов, и содержать перечень конкретных проверок, которые следует осуществлять при испытаниях для подтверждения выполнения требований описания постановки комплекса задач, со ссылками на соответствующие методики (разделы методик) испытаний.

Перечень проверок (на этапе испытаний) включает проверки:

– соответствия СЭБ требованиям описания постановки комплекса задач;

– комплектности СЭБ;

– комплектности и качества документации на СЭБ;

– комплектности, достаточности состава и качества программных средств и программной документации;

– количества и квалификации персонала, обслуживающего СЭБ;

– степени выполнения требований к функциональному назначению СЭБ;

– пригодности СЭБ для осуществления контроля.

В общем случае программа испытаний может содержать следующие разделы:

– объект испытаний;

– цель испытаний;

– общие положения;

– объем испытаний;

– условия и порядок проведения испытаний;

– материально-техническое обеспечение испытаний;

– отчетность.

В документ также могут включаться приложения.

В зависимости от особенностей СЭБ отдельные разделы могут объединяться или исключаться при условии изложения их содержания в других разделах программы испытаний; также в нее могут включаться дополнительные разделы (при необходимости).

В разделе «Объект испытаний» могут указываться:

– полное наименование системы и ее условное обозначение;

– комплектность испытательной системы.

В разделе «Цель испытаний» указываются конкретные цели, которые должны быть достигнуты, и задачи, которые должны быть решены в процессе испытаний.

В разделе «Общие положения» указываются:

– перечень руководящих документов, на основании которых проводятся испытания;

– место и продолжительность испытаний;

– организации, участвующие в испытаниях;

– перечень ранее проведенных испытаний;

– перечень предъявляемых на испытания документов, откорректированных по результатам ранее проведенных испытаний.

В разделе «Объем испытаний» указываются:

– перечень этапов испытаний и проверок, а также количественные и качественные характеристики, подлежащие оценке;

– последовательность проведения и режим испытаний;

– требования к испытаниям программных средств СЭБ;

– перечень работ, проводимых после завершения испытаний, требования к ним, объем и порядок проведения.

В разделе «Условия и порядок проведения испытаний» указываются:

– условия проведения испытаний;

– условия начала и завершения отдельных этапов испытаний;

– имеющиеся ограничения в условиях проведения испытаний;

– требования к техническому обслуживанию системы;

– порядок взаимодействия подразделений и внешних организаций – контрагентов кредитной организации, участвующих в испытаниях;

– порядок привлечения экспертов для исследования возможных нарушений целостности данных, антивирусной защиты и т. д. в процессе проведения испытаний;

– требования к персоналу кредитной организации, проводящему испытания, и порядок его допуска к испытаниям с использованием действующей информационной базы данных.

В разделе «Материально-техническое обеспечение испытаний» указываются конкретные виды материально-технического обеспечения с распределением задач и обязанностей подразделений и организаций – контрагентов кредитной организации, участвующих в испытаниях.

В разделе «Отчетность» приводят перечень отчетных документов, которые должны оформляться как в процессе проведения испытаний, так и по их завершении, с указанием подразделений кредитной организации, разрабатывающих и согласующих сроки оформления этих документов. К отчетным документам могут относиться акт и отчет о результатах испытаний.

В приложения могут включаться перечень методик испытаний, применяемых для оценки характеристик СЭБ, и контрольные примеры с детальным описанием тестов, осуществляемых в ходе испытаний системы.

Методики испытаний разрабатывают на основе описания постановки комплекса задач и утвержденных программ испытаний с использованием типовых методик испытаний (при наличии). Отдельные положения типовых методик испытаний могут уточняться и конкретизироваться в разрабатываемых методиках испытаний в зависимости от особенностей СЭБ и условий проведения испытаний. Содержание разделов методик устанавливается подразделением-разработчиком совместно с подразделением – заказчиком СЭБ.

Все перечисленные выше аспекты могут являться основой для оценки качества организации этапа испытаний, сдачи и приемки в эксплуатацию СЭБ службами внутреннего аудита и внутреннего контроля. Основными и минимально необходимыми вопросами являются следующие:

– разработаны ли «Программа и методика испытаний СЭБ» или иной подобный документ?

– разработан ли «Контрольный пример испытаний СЭБ» или иной подобный документ?

– назначен ли ответственный за организацию испытаний СЭБ?

– определены ли члены экспертной комиссии по проведению испытаний СЭБ?

– входит ли в состав экспертной комиссии представитель подразделения-разработчика?

– входит ли в состав экспертной комиссии представитель подразделения, ответственного за сопровождение СЭБ?

– входит ли в состав экспертной комиссии представитель организации – поставщика системы или модулей СЭБ?

– входит ли в состав экспертной комиссии представитель организации-провайдера?

– входит ли в состав экспертной комиссии представитель подразделения информационной безопасности?

– входит ли в состав экспертной комиссии представитель подразделения-заказчика?

– отражены ли в протоколе результаты испытаний, а также выявленные ошибки и сбои?

– согласован ли протокол испытаний членами экспертной комиссии?

– оформляется ли процедура передачи в эксплуатацию СЭБ или модулей СЭБ актом приемки-передачи?

– согласуется ли акт приемки-передачи подразделением-разработчиком, подразделением-заказчиком, куратором информационных технологий либо членами комитета по технологиям?

7.2.7. Организация (адаптация) процедур внутреннего аудита и контроля на этапе эксплуатации системы электронного банкинга

Качество организации процедур внутреннего аудита и контроля в части организационных мер предоставления услуг и выполнения операций посредством СЭБ зависит от следующих моментов:

– предусматривается ли проверка СВА соответствия перечня услуг и операций, которые предлагаются клиентам, перечню, заявленному в договорах с клиентами и технической документации;

– разработаны ли и утверждены ли внутренние документы, определяющие порядок предоставления и изменения доступа клиентов к услугам и операциям по технологии ЭБ;

– разработана ли и утверждена ли методика оценки и мониторинга источников рисков, связанных с использованием СЭБ.

Важной с точки зрения минимизации операционного и репутационного рисков кредитной организации является качественная организация информационного обеспечения СЭБ.

Целесообразной является разработка кредитной организацией внутреннего документа, регламентирующего процедуры изменения и дополнения публикуемой информации. Эффективность данного документа может зависеть от того, содержит ли он:

– порядок принятия решений о внесении изменений и дополнений в публикуемую информацию;

– порядок назначения сотрудников, ответственных за внесение изменений и дополнений в публикуемую информацию;

– порядок контроля своевременности и полноты внесения изменений и дополнений в публикуемую информацию.

В части правового обеспечения при организации соответствующих процедур внутреннего контроля следует обращать внимание:

– на наличие в договорах на банковское обслуживание клиентов положений, определяющих перечень предоставляемых услуг в рамках СЭБ и обязанности клиентов по соблюдению порядка предоставления услуг;

– наличие установленного порядка внесения изменений в договоры с клиентами, который регламентирует унификацию договоров на предоставление услуг посредством СЭБ.

Для повышения качества организации деятельности служб разработки и сопровождения СЭБ необходимо обращать внимание на то, регламентированы ли следующие моменты:

– статус руководителей служб разработки и сопровождения СЭБ, их подчиненность и подотчетность куратору информационных технологий;

– профессиональный уровень (профессиональная подготовка по технологии ЭБ) руководителей служб разработки и сопровождения СЭБ;

– организационно-штатная структура и персональный состав подразделений служб разработки и сопровождения СЭБ (численность, квалификация и др.);

– профессиональный уровень сотрудников служб разработки и сопровождения СЭБ (профессиональная подготовка по технологии ЭБ);

– закрепление обязанностей за сотрудниками служб разработки и сопровождения СЭБ;

– периодичность и формы отчетов о своей деятельности, представляемых службой автоматизации.

Для повышения качества планирования применения и развития СЭБ необходимы:

– наличие тактических планов развития СЭБ, их соответствие стратегическому плану развития технологий, применяемых кредитной организацией;

– своевременность (актуальность) разработки (корректировок) тактических планов развития СЭБ в соответствии с политикой управления электронными системами кредитной организации;

– определение статуса должностных лиц (куратора информационных технологий, членов комитета по технологиям), согласовывающих и утверждающих тактические планы (корректировки) развития СЭБ;

– наличие формализованных процедур внесения изменений (корректировок) в планы развития СЭБ;

– обеспечение своевременности и периодичности проведения совещаний комитета по технологиям, на которых рассматриваются вопросы управления и развития СЭБ;

– регулярность рассмотрения комитетом по технологиям отчетов о выполнении планов развития СЭБ.

Немаловажной с точки зрения организации процедур внутреннего контроля также является должная организация учета информационных активов (программных и аппаратных средств, других информационных ресурсов – источников данных), составляющих информационный контур СЭБ. Для этого необходимы:

– наличие реестра аппаратных средств в составе информационного контура СЭБ;

– наличие формализованных процедур внесения изменений в реестр аппаратных средств;

– наличие ответственного за ведение и внесение изменений в реестр аппаратных средств;

– проведение на периодической основе и наличие актов инвентаризации аппаратных средств в составе информационного контура СЭБ;

– наличие реестра программных средств в составе информационного контура СЭБ;

– наличие формализованных процедур внесения изменений в реестр программных средств;

– наличие ответственного за ведение и внесение изменений в реестр программных средств;

– проведение на периодической основе и наличие актов инвентаризации программных средств в составе информационного контура СЭБ;

– наличие реестра информационных ресурсов в составе информационного контура СЭБ;

– наличие формализованных процедур внесения изменений в реестр информационных ресурсов;

– наличие ответственного за ведение и внесение изменений в реестр информационных ресурсов;

– проведение на периодической основе и наличие актов инвентаризации информационных ресурсов в составе информационного контура СЭБ.

В части качества процессов контроля функционирования аппаратных и программных средств СЭБ необходимы:

– наличие процедур и средств контроля нагрузки и режимов функционирования аппаратных и программных средств кредитной организации;

– документарное отражение результатов контроля в специализированных электронных журналах и (или) на бумажных носителях;

– соблюдение своевременности и периодичности составления прогнозов будущих потребностей в аппаратных и программных средствах СЭБ;

– учет прогнозов при составлении и утверждении планов развития СЭБ.

В части качества организации процедур внутреннего контроля в отношении сопровождения и реагирования на инциденты (сбои) в процессе эксплуатации СЭБ целесообразно уделять внимание:

– обеспечению своевременности и регулярности технического обслуживания компьютерного, телекоммуникационного и прочих видов оборудования информационного контура СЭБ согласно рекомендациям производителей;

– определению процедур реагирования на инциденты (сбои) в процессе эксплуатации аппаратных и программных средств СЭБ;

– закреплению обязанностей сотрудников регистрировать и сообщать обо всех случаях сбоев функционирования;

– наличию порядка (рекомендаций) действий пользователей СЭБ при возникновении инцидентов (сбоев);

– наличию в службе автоматизации лиц, ответственных за устранение последствий инцидентов (сбоев);

– наличию порядка регистрации случаев инцидентов (сбоев) в процессе эксплуатации аппаратно-программных средств, а также выбору корректирующих мер по недопущению в дальнейшем потенциальных сбоев в СЭБ;

– учету результатов анализа произошедших инцидентов (сбоев) при составлении планов развития СЭБ.

В части качества организации процедур информационной безопасности целесообразно уделять внимание:

– наличию в высшем руководстве кредитной организации собственного куратора СИБ (рекомендуется, чтобы служба автоматизации и СИБ не имели общего куратора);

– назначению лица, ответственного за защиту основных информационных ресурсов СЭБ (администратора информационной безопасности СЭБ);

– регламентации деятельности администраторов информационной безопасности СЭБ нормативно-методическими документами, разработанными в кредитной организации;

– обеспечению своевременности и периодичности проведения специалистами СИБ или администраторами информационной безопасности СЭБ проверок обеспечения режима информационной безопасности в функциональных подразделениях кредитной организации, задействованных в организации функционирования СЭБ;

– обеспечению своевременности и регулярности повышения квалификации представителей СИБ по направлению технологий ЭБ;

– исключению совмещения в одном лице функций администратора СЭБ и администратора информационной безопасности СЭБ;

– обеспечению распределения обязанностей между администраторами СЭБ и администраторами информационной безопасности СЭБ таким образом, чтобы исключить возможность обладания теми или другими всей полнотой полномочий для бесконтрольного создания, уничтожения и изменения платежной информации, а также проведения операций по изменению состояния банковских счетов;

– оснащению средств вычислительной техники (на которой осуществляются операции в рамках СЭБ) сертифицированными средствами защиты от несанкционированного доступа и средствами криптографической защиты информации;

– утверждению руководством кредитной организации перечня информации (в части ЭБ), содержащей сведения ограниченного распространения и подлежащей защите в соответствии с законодательством;

– ведению в СЭБ журналов регистрации действий, выполняемых пользователями;

– включению в трудовые договоры (соглашения, контракты), а также в должностные инструкции всех сотрудников кредитной организации, задействованных в организации функционирования СЭБ, обязанностей и ответственности за обеспечение информационной безопасности;

– наличию в кредитной организации действующих инструкций по антивирусной защите и порядка принятия мер при обнаружении компьютерного вируса, учитывающих особенности СЭБ;

– установлению в кредитной организации запрета на присутствие и использование в СЭБ несанкционированных программных средств и данных, не связанных с выполнением конкретных функций в банковских технологических процессах;

– наличию в кредитной организации организационно-распорядительных документов, устанавливающих порядок резервного копирования и хранения критически важных данных и программных средств СЭБ;

– обеспечению своевременности и регулярности резервного копирования критически важных данных СЭБ.

В рамках этапа эксплуатации СЭБ в кредитной организации должны быть также предусмотрены процедуры вывода СЭБ из эксплуатации в случаях, когда изменяется стратегия кредитной организации в части направлений деятельности или вводится в эксплуатацию новая СЭБ, значительно отличающаяся от первоначальной.

Качественная организация таких процедур предусматривает:

– наличие соответствующих распорядительных документов;

– наличие методологии осуществления вывода из эксплуатации;

– порядок действий отдельных подразделений кредитной организации;

– фиксацию данных мероприятий в учетной документации на электронные ресурсы и оборудование, задействованное в информационном контуре СЭБ, и т. д.

Рассмотренный подход может быть принят за основу при разработке конкретных методик и процедур внутреннего аудита и внутреннего контроля, так как направлен на достижение основных целей внутреннего контроля посредством сквозного применения его процедур и предполагает возможность учета специфики деятельности и организационной структуры кредитной организации, а также является одним из аспектов безопасного применения технологий ДБО.

8. Электронные деньги: риски легализации преступных доходов

Странный этот мир, где двое смотрят на одно и то же, а видят полностью противоположное.

Агата Кристи, английская писательница

Введение

Нет большей мудрости, чем своевременность.

Фрэнсис Бэкон, английский государственный деятель, философ

Формирование системы противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма (ПОД/ФТ) и организация финансового мониторинга на национальном уровне являются важными задачами для любого государства, которое ставит одной из своих целей обеспечение финансовой безопасности.

К основным глобальным тенденциям и вызовам можно отнести:

– глобализацию финансовых рынков (приток незаконных средств создает серьезную опасность для экономики любого государства);

– развитие телекоммуникационных технологий (возможность перемещать деньги легко и быстро, эксплуатируя просчеты в международном регулировании);

– финансовый кризис (при нехватке ликвидных средств бизнес стал чаще привлекать преступные деньги) [97, с. 6].

По оценкам Управления ООН по наркотикам и преступности[129], объем незаконной деятельности, включая чисто экономические преступления, ежегодно составляет порядка $2,1 трлн. Это примерно 3,6 % мирового ВВП, из которых ежегодно отмывается примерно $1,6 трлн[130].

Цель отмывания денег – скрыть или замаскировать незаконный источник их получения, что дает возможность владельцу этих денег тратить их, не вызывая подозрений у надзорных и правоохранительных органов.

Легализация доходов, полученных преступным путем (чем по сути своей и является отмывание денег), – это фактическое внедрение «грязных» денег в финансовую систему. Незаконные доходы поступают в банковские структуры государств и путем проведения многочисленных операций принимают вполне легальный вид с точки зрения как обывателя, так и любого контролирующего органа. Для этого используются разнообразные средства, которые могут включать разделение (разбивку) наличных денег на меньшие суммы, приобретение мелких предприятий, соучастие сотрудников кредитных организаций и др. Большое число операций, успешно выполненных для сокрытия источника денежных средств, значительно затрудняет воспроизведение контролирующими органами всей их цепочки. Чем разнообразнее инструменты, используемые при размещении незаконных денежных средств для сокрытия их источника, например: чеки, дорожные чеки, акции, облигации и т. п., – тем сложнее проследить происхождение денег. Определению происхождения доходов препятствует проведение денег через несколько стран, где отсутствует эффективная система противодействия легализации преступных доходов, или через офшорные финансовые центры.

В целом отмывание денег представляет собой незаконную деятельность, посредством которой легализуются преступные доходы. Эта функция присуща практически всем действиям по созданию прибыли преступными сообществами.

Большинству финансовых транзакций свойственен некоторый след, однозначно привязывающий сумму к конкретной персоне. Преступники избегают использования традиционных средств платежа: чеков, кредитных карт и т. д., – именно в силу наличия этого следа. Они предпочитают использовать наличность (т. к. это анонимно). Физическая наличность имеет весьма существенные неудобства, связанные с большим объемом и массой[131]. Поэтому «отмыватели» стараются использовать различные способы перемещения денежных средств, где можно избежать жестких требований к идентификации. И системы интернет-платежей стали для них в какой-то степени «находкой».

8.1. Электронные деньги

Будущее, как известно, бросает свою тень задолго до того, как войти.

Анна Ахматова, русская поэтесса

8.1.1. Понятие «электронные деньги»

За деньги нельзя купить одного – бедности. Тут нужно обратиться к помощи фондовой биржи.

Роберт Орбен, американский фокусник и профессиональный юморист

Для многих государств, включая Российскую Федерацию, одной из актуальных задач в сфере денежного обращения является оптимизация денежного оборота. Если 20–30 лет назад оптимизацию денежного оборота связывали с банковскими картами, то сегодня им вполне могут составить конкуренцию электронные деньги.

Отправной точкой в развитии правового регулирования электронных денег в России можно считать принятие Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51]. Так, закон ввел понятие «электронные денежные средства» – «денежные средства, которые предварительно предоставлены одним лицом (лицом, предоставившим денежные средства) другому лицу, учитывающему информацию о размере предоставленных денежных средств без открытия банковского счета (обязанному лицу), для исполнения денежных обязательств лица, предоставившего денежные средства, перед третьими лицами и в отношении которых лицо, предоставившее денежные средства, имеет право передавать распоряжения исключительно с использованием электронных средств платежа». Данный закон также определил основные права и обязанности операторов электронных денежных средств, до этого основывавших свою деятельность преимущественно на общих диспозитивных нормах гражданского законодательства.

Учитывая, что в зарубежных нормативных документах заметно преобладает термин «электронные деньги», в данном разделе мы будем использовать именно его.

На сегодняшний день электронными деньгами так или иначе пользуются сотни миллионов людей по всему миру. С помощью электронных денег мы можем приобрести большинство благ и услуг, которые мы привыкли приобретать за наличный расчет или при помощи банковской карты.

Обобщая международные подходы к определению понятия «электронные деньги», можно сделать вывод, что они являются денежной стоимостью, предоставленной требованием на эмитента. При этом она:

– хранится на электронном устройстве;

– выпускается по получении средств эмитентом в размере не менее внесенной в качестве предоплаты денежной суммы;

– принимается в качестве средства платежа иными учреждениями, кроме эмитента.

Существующие в настоящий момент системы электронных денег принято разделять на две группы:

– электронные деньги на базе карт;

– электронные деньги на базе интернета.

Системы электронных денег, относящиеся к первой группе, представляют собой подтип электронных денег, инструментом обращения которых является карта со встроенным чипом, на котором записана информация о хранящихся на нем электронных деньгах.

Приобретая у эмитента подобную карту, клиент может расплачиваться ею в специальных торговых точках, оборудованных соответствующим образом.

В настоящий момент подобный тип электронных денег относительно мало распространен, поскольку во многом дублируется обычной банковской картой международных платежных систем.

Вторым типом электронных денег являются электронные деньги на базе интернета. Ключевым свойством таких электронных денег является отсутствие материального объекта, с помощью которого можно было бы осуществлять их оборот. Все платежи происходят онлайн в интернете без какого-либо перемещения материальных объектов.

В отличие от банковских платежей с использованием удаленного управления счетом через интернет-банкинг, у таких систем электронных денег нет «наличных» электронных денег, которые принимались бы всеми участниками системы в качестве эквивалента.

Необходимо отметить, что в некоторых из таких систем имеются предоплаченные карты, на которых записана фиксированная стоимость электронных денег (5, 10, 100 единиц и т. п.). С помощью таких карт можно впоследствии осуществить пополнение счета в системе электронных денег на нужную сумму.

Считать подобные карты аналогом наличных денежных средств представляется не совсем корректным. Действительно, теоретически данные карты можно использовать в качестве инструмента платежа (если контрагент согласен принять такие карты как средство оплаты). Поскольку существуют карты с различным номиналом, при необходимости можно выдать сдачу.

Свойства, которые позволяют определить банкноту как единицу настоящих денег, имеют физическую природу: соответствующий размер банкноты, рисунок, тип бумаги, наличие водяных знаков и т. п. Свойства, которые определяют предоплаченную карту как единицу электронных денег, – это тот набор информации, который на ней записан (номер карты и другие реквизиты).

Иными словами, покупая предоплаченную карту, клиент приобретает ее ради информации, записанной на ней, а не ради самого материального объекта.

Отдельно стоит отметить системы платежей на базе мобильных телефонов. В таких системах электронные деньги привязаны к счету мобильного телефона пользователя, при помощи которого он расплачивается за услуги связи. Списание денег со счета абонента может осуществляться различными способами: посредством SMS, специального программного обеспечения и др.

Примечателен тот факт, что современный мобильный телефон может одновременно использоваться для расчета как настоящими деньгами (через интернет-банкинг), так и электронными деньгами (либо через интернет-браузер, либо при помощи специального программного обеспечения).

Другой общепринятой классификацией является деление электронных денег на фиатные и нефиатные.

Электронные фиатные деньги номинированы в валюте какого-либо государства и являются разновидностью денежной единицы данного государства.

Соответственно, эмиссия, оборот и погашение электронных фиатных денег регулируются законодательством государства, в валюте которого они выпущены. Признавая электронные деньги фиатными, государство обеспечивает их надежность и ценность.

Электронные нефиатные деньги не выражены в валюте какого-либо государства, а эмитируются негосударственными организациями. Исполнение обязательств по таким электронным деньгам соответственно гарантируется только выпустившей их организацией[132].

Основными преимуществами использования электронных денег являются:

– удобство для пользователей. Электронные деньги обладают превосходной делимостью, портативностью, их легко объединять. В отличие от наличных денег, они идеально сохраняются (электронные деньги не теряют своих качеств с течением времени). Системы электронных платежей позволяют точно фиксировать момент платежа;

– очень низкая стоимость эмиссии. Например, Европейскому союзу наличные денежные средства обходятся более чем в 80 млрд евро в год, а странам еврозоны – в 40–45 млрд евро (0,3–0,4 % ВВП еврозоны[133]);

– удобство для интернет-магазинов и провайдеров. Подключиться к системе электронных денег для многих компаний зачастую значительно проще, нежели обеспечить эквайринг банковских карт. Расчет, в отличие от платежа банковским переводом, осуществляется мгновенно;

– доступность для небольших интернет-магазинов. Прием банковских карт чреват высокой долей опротестований, которые нанесут серьезный убыток продавцу, особенно если он реализует виртуальные товары;

– конкурентоспособность. Для виртуальных магазинов предоставляемые способы оплаты являются фактором конкурентоспособности. Ограничить выбор потребителя банковским или почтовым переводом зачастую означает навсегда потерять его как покупателя[134];

– низкий уровень риска. Клиенты традиционно настороженно относятся к расчетам в интернете с использованием платежных карт. Именно поэтому до сих пор чрезвычайно актуальна оплата наличными курьеру по факту передачи товара. Для магазинов такая опция неудобна, поскольку служба доставки вынуждена возить с собой крупные суммы наличности, а также подвергаться риску получения фальшивых купюр.

Электронные деньги дают клиентам уверенность, что они будут распоряжаться только той суммой, которая находится в «кошельке», не рискуя иными средствами. Зачастую электронный кошелек является для клиента альтернативой «дополнительной» карте;

– адаптированность к удаленному характеру расчетов. Хотя оплата наличными курьеру может быть актуальна для физических товаров, для товаров виртуальных (электронных книг, доступа к академическим базам данных, подарков в социальных сетях) такая опция недоступна. Как правило, подобные покупки находятся в низшей ценовой категории, и банковская карта не используется;

– обязательность личного присутствия для получения карты. Данный аспект зачастую игнорируется, однако является одной из существенных причин недостаточного использования платежных карт. Не у всех потребителей есть физический доступ к банковским отделениям; для многих процедура получения карты сопряжена с неоправданной тратой времени[135].

Добавим, что электронные деньги могут выступать и эффективным способом привлечения клиентов за счет предоставления им максимальной свободы. В отличие от обычного магазина, веб-сайт «торговой точки» покупатель может покинуть одним нажатием клавиши – вне зависимости от того, рассматривал ли он витрину или дошел до этапа оплаты.

По данным консалтинговой компании Data Insight, в использовании онлайн-платежей в России лидируют следующие категории населения: молодежь до 35 лет, люди с высокими доходами, жители Москвы и Санкт-Петербурга и опытные пользователи интернета[136]. Однако в электронной коммерции наблюдается совсем другая тенденция: основной рост покупок приходится на периферийные регионы России, покупателей с невысокими доходами и лиц, недавно подключившихся к интернету.

В 2012 г. 22 млн человек покупали товары и услуги в режиме онлайн, что на 30 % (5 млн человек) больше, чем в 2011 г. При этом объем рынка розничной электронной торговли в 2012 г. составил около 405 млрд руб. (около $13 млрд), из них материальные товары – 280 млрд руб.[137] Рост по сравнению с предыдущим годом составил 27 %.

В качестве недостатков электронных денег на сегодняшний день можно отметить:

– отсутствие устоявшегося правового регулирования в условиях применения электронных денег;

– необходимость специальных инструментов хранения и обращения электронных денег;

– отсутствие узнаваемости (без специальных электронных устройств нельзя легко и быстро определить, что это за предмет, какова его сумма и т. д.);

– возможность заинтересованных лиц отслеживать персональные данные плательщиков;

– возможность заинтересованных лиц похищать электронные деньги посредством инновационных методов, используя недостаточную зрелость технологий защиты и недостаточный уровень финансовой грамотности населения.

Добавим, что многие центральные банки настороженно относятся к развитию электронных денег, опасаясь неконтролируемой эмиссии и других проблем внедрения электронных денег: до сих пор не решенных принципиально проблем, связанных со сбором налогов, отсутствия стандартов обеспечения эмиссии и обращения электронных нефиатных денег, использования электронных платежных систем для отмывания денег и финансирования терроризма (ОД/ФТ).

8.1.2. Международный опыт регулирования электронных денег

Работа коммерческих интернет-сайтов регламентируется в основном в части защиты клиента[138], запрета на продажу определенных товаров и возможности отмены онлайновой покупки.

В Евросоюзе электронная торговля регулируется несколькими директивами. Целью регулирования являются обеспечение прозрачности электронной торговли для потребителей и, как следствие, обеспечение их защиты. Основные правила и требования раскрываются в Директиве об электронной торговле (2000/31/ЕС) и Директиве о дистанционной торговле (1997/7/ЕС). В первой директиве содержатся несколько требований к обеспечению прозрачности деятельности электронно-коммерческих компаний (прозрачность информации о типе компании, общей информации о компании, а также информации о процессе покупки продукта). Во второй директиве изложены правила об аннулировании покупок (в течение определенного времени). И, наконец, в Директиве о гармонизации трансграничных операций (2006/2004/ЕС) оговаривается порядок сотрудничества между государствами в части защиты прав потребителя.

В США защитой потребителей от недобросовестных, вводящих в заблуждение, мошеннических методов торговли занимается Бюро защиты потребителей при Федеральной торговой комиссии США. Бюро ведет расследования, преследует компании и лиц, нарушающих закон, в судебном порядке, разрабатывает нормы и правила защиты клиентов, информирует потребителей и компании об имеющихся у них правах и обязанностях. Бюро также собирает информацию об обмане потребителей и хищениях персональных данных[139] и передает ее в правоохранительные органы страны.

Во многих странах на интернет-сайты, помимо стандартных информационных услуг оказывающие услуги по переводу интернет-платежей, распространяются международные стандарты по ПОД/ФТ (приравнивая такие интернет-сайты к традиционным торговым предприятиям). Обязательства в области ПОД/ФТ (включающие в себя среди прочего обязательства по мониторингу и обнаружению подозрительных операций) налагаются на финансовые учреждения и поставщиков услуг, связанных с электронными деньгами. Если получаемая торговым предприятием сумма наличных не превышает установленного порога, предприятию не требуется применять меры ПОД/ФТ (такие как надлежащая проверка клиентов, сотрудничество с подразделениями финансовой разведки, надлежащий внутренний контроль).

В Евросоюзе эмитенты электронных денег подлежат лицензированию, а их деятельность регулируется органами той страны, в которой выпускаются электронные деньги. Европейский паспорт позволяет любому эмитенту электронных денег, получившему лицензию в одной стране Евросоюза, работать на всей территории Евросоюза. Электронные деньги, выпущенные в одной стране Евросоюза, могут быть потрачены на коммерческом интернет-сайте в другой стране Евросоюза. Большинство эмитентов электронных денег находятся в Великобритании, Люксембурге и Германии. В США лицензированные поставщики услуг интернет-платежей называются «компаниями по оказанию денежных услуг».

Пруденциальный контроль за эмитентами электронных денег в Евросоюзе осуществляется в соответствии с Директивой по электронным деньгам (2000/46/ЕС). Цель такого контроля – обеспечить рациональную работу и финансовую устойчивость эмитентов. Нормативные положения предусматривают среди прочего обязательства по наличию начального капитала, денежных средств, достаточных для исполнения всех финансовых обязательств по выпущенным и неоплаченным электронным деньгам, учетной политики и механизмов внутреннего контроля, обязательства по обеспечению рационального управления и надлежащего порядка управления, а также ограничения на инвестирование.

Европейские директивы в области ПОД/ФТ распространяются и на эмитентов электронных денег. Третья директива по противодействию отмыванию денег (2005/60/ЕС) предусматривает упрощенный порядок надлежащей проверки клиентов, оговаривающий, что если устройство не может быть пополнено, максимальная сумма хранения не должна превышать 150 евро, а если устройство может быть пополнено, то общая сумма операций за календарный год не может превышать 2500 евро, за исключением случаев снятия наличных владельцем такого устройства на сумму 1000 евро или более в том же календарном году (см. ст. 3 Директивы 2000/46/ЕС).

Для тех предприятий, деятельность которых регламентируется, например для поставщиков услуг интернет-платежей, регулятивные органы и профессиональные объединения стараются разработать рекомендации по обеспечению соответствия требованиям ПОД/ФТ и умению различать виды мошенничества и способы ОД/ФТ.

Далее рассмотрим на примерах нескольких стран зарубежный опыт регулирования в области применения электронных денег, в том числе в рамках ПОД/ФТ.

8.1.2.1. Великобритания

Специальной нормативной базы, регламентирующей электронную торговлю, в Великобритании нет. При этом в стране существует Служба финансового надзора – орган, регулирующий деятельность, связанную с выпуском электронных денег и продажей компаниями финансовых услуг с помощью электронных средств. По законодательству Великобритании электронные деньги представляют собой денежную стоимость, представленную обязательствами эмитента, которая хранится в электронной форме и принимается при платежах третьими лицами. Электронные деньги считаются электронным эквивалентом монет и банкнот, предназначенным для осуществления платежей на небольшие суммы.

Служба финансового надзора регулирует использование электронных денег в соответствии с Директивой ЕС по электронным деньгам. Эмитенты электронных денег также имеют обязательства в соответствии с Положениями об отмывании денег 2007 г.[140] При обнаружении подозрительных действий компания юридически обязана сообщить об этом властям. Служба финансового надзора требует от эмитентов электронных денег доказательств того, что они в состоянии надлежащим образом контролировать риски, с которыми сталкиваются в своей работе. Меры, которые могут быть приняты эмитентами электронных денег для исполнения своих юридических обязательств, обсуждаются в Руководстве Совместной руководящей группы по контролю за отмыванием денег.

8.1.2.2. Люксембург

В Люксембурге законодательство страны имеет преимущественную силу по отношению к Директиве ЕС по электронным деньгам и к директивам в области ПОД/ФТ. Первый поставщик услуг интернет-платежей открыл свою штаб-квартиру в Люксембурге в июле 2007 г. В лицензии, выданной Комиссией по надзору за финансовым сектором (Commission de Surveillance du Secteur Financier), данное предприятие было признано банком. Исходя из этого его деятельность (как поставщика услуг интернет-платежей) регламентируется теми же законами и положениями по ПОД/ФТ, что и деятельность любого банка в Люксембурге. Так, предприятие обязано идентифицировать клиентов[141], вести учет клиентов и их операций, иметь надлежащие внутренние процедуры ПОД/ФТ, сотрудничать с властями Люксембурга (в частности, с подразделением финансовой разведки).

8.1.2.3. Нидерланды

В Нидерландах применяются Директива по электронным деньгам (2000/46/ЕС) и Третья директива по противодействию отмыванию денег (2005/60/ЕС). Для предоставления услуг интернет-платежей нужна лицензия на использование электронных денег, после получения которой в отношении поставщика таких услуг действуют специальные юридические нормы. Обязанности включают в себя регистрацию/лицензирование, (пруденциальный) контроль, ведение учетной документации, уведомление о подозрительных операциях, иные специальные стратегии и процедуры ПОД/ФТ (меры по надлежащей проверке клиентов).

Юридические нормы, действующие в отношении поставщиков услуг, которым было предоставлено разрешение на отступление от требований, менее обременительны. Обязанности включают в себя ведение учетной документации, уведомление об отсутствии подозрительных операций. Какие-либо иные стратегии и процедуры ПОД/ФТ не применяются. Официальные разрешения на отступление от требований для целей пруденциального контроля были предоставлены пяти эмитентам электронных денег.

Кроме того, некоторые поставщики услуг интернет-платежей разработали механизмы саморегулирования деятельности. Главными целями создания таких механизмов являются защита репутации компании, решение вопросов, связанных с юридической ответственностью и кредитными рисками.

8.1.2.4. США

Деятельность банковских организаций, которые предлагают своим клиентам методы платежей, использующиеся в электронной торговле, регламентируется целым комплексом требований ПОД/ФТ, включая требования об обнаружении и уведомлении о подозрительных операциях, ведении учета переводимых средств и идентификации клиента.

Если банковская организация посчитает, что та или иная операция является подозрительной, она обязана представить в управление финансовой разведки США (Службу по борьбе с финансовыми преступлениями) отчет о подозрительной деятельности.

Банковские организации, работающие в США, обязаны сообщать об операции или нескольких операциях на (общую) сумму, равную или превышающую $5000, которые были осуществлены или в отношении которых была попытка осуществления.

Федеральные банковские агентства и Служба по борьбе с финансовыми преступлениями Министерства финансов США являются основными органами власти, ответственными за обеспечение исполнения требований ПОД/ФТ.

Федеральным банковским агентствам США было поручено (в соответствии с федеральными банковскими законами 12 USC 1818(s) и 12 USC 1786(q) для банков и сберегательных банков) обеспечить выполнение банковскими организациями (в соответствии с их юрисдикцией) программ соответствия требованиям Закона о банковской тайне/противодействии отмыванию денег. Деятельность, связанная с электронными переводами платежей, регулируется и некоторыми другими нормативными актами. Они регламентируют права, ответственность и обязанности сторон при электронных переводах платежей, а также защиту потребителей, пользующихся системами электронных переводов платежей (такими как банкоматы и дебетовые карты).

8.1.2.5. Сингапур

В Сингапуре электронные деньги часто называют «средством хранения денежной стоимости». По законодательству Сингапура средства хранения денежной стоимости являются разновидностью предоплаченного электронного кошелька или карты, которые могут использоваться в системе эмитента средств хранения денежной стоимости. Эмитентов средств хранения денежной стоимости также называют «держателями средств хранения денежной стоимости».

Эмиссия и использование средств хранения денежной стоимости регулируются Законом о платежных системах (надзор) 2006 г. (PS(O)A) и соответствующими подзаконными актами. Любая организация вправе выпустить средства хранения денежной стоимости для хранения денежной стоимости. Однако выпуск средств хранения денежной стоимости, общая денежная стоимость которых превышает 30 млн сингапурских долларов, должен быть утвержден Валютным управлением Сингапура, а банк, получивший лицензию Валютного управления Сингапура, несет всю полноту ответственности за хранимую стоимость.

Эмитентам средств хранения денежной стоимости с общей хранимой стоимостью ниже установленного лимита в 30 млн сингапурских долларов не требуется получать разрешение Валютного управления Сингапура на осуществление деятельности, однако они должны уведомлять потенциальных клиентов, что их средства хранения денежной стоимости не подлежат утверждению Валютным управлением Сингапура.

Помимо нормативных требований (PS(O)A), любой держатель средств хранения денежной стоимости, выпускающий средства хранения денежной стоимости с лимитом, превышающим 1000 сингапурских долларов, обязан соблюдать и применять положения Уведомления Валютного управления Сингапура для держателей средств хранения денежной стоимости о требованиях по борьбе с ОД/ФТ (2007 г.).

Уведомление обязывает держателей принимать превентивные меры, направленные на снижение риска использования средств хранения денежной стоимости в незаконных целях. В Уведомлении изложены обязательства держателей средств хранения денежной стоимости, в соответствии с которыми они должны принимать меры для снижения рисков ОД/ФТ, включая такие меры, как:

– надлежащая проверка клиентов (по упрощенной/расширенной процедуре);

– идентификация пользователей (клиентов);

– проверка идентификации пользователей;

– идентификация и проверка личности бенефициарных владельцев;

– заочная проверка;

– анализ соответствующих операций;

– ведение учетной документации;

– уведомление о подозрительных операциях;

– внутренний контроль, проверки и обучение.

Валютное управление Сингапура также выпустило Рекомендации по средствам хранения денежной стоимости (2006 г.), в которых изложены принципы рациональной работы и методы снижения рисков для всех держателей средств хранения денежной стоимости. Рекомендации, разработанные на основе указанных принципов, затрагивают такие вопросы, как открытость и прозрачность, общественное доверие, защита хранимой стоимости, профилактика отмывания денег и борьба с финансированием терроризма.

8.1.2.6. Китай

Нормативной базы, регламентирующей электронную торговлю или использование систем интернет-платежей, в Китае нет.

Тем не менее, 13 декабря 2007 г. Министерство торговли издало рекомендательный документ «О содействии регулируемому развитию электронной торговли».

В документе поставщикам услуг интернет-платежей предложены рекомендации по улучшению репутации предприятий отрасли, обеспечению их стабильной и разумной работы, недопущению неоправданного расширения предприятий и беспорядочной конкуренции между ними, обеспечению безопасности средств пользователей. В документе рекомендуется принятие таких мер, как стандартизация управления, надзор за работой предприятия, обеспечение безопасности электронных платежей, сохранение данных об операциях, профилактика незаконных финансовых операций и т. д.

8.1.2.7. Австралия

В Австралии осуществление платежей регулируется в основном Законом (положением) о платежных системах 1998 г., Законом о платежных системах и неттинге 1998 г. и Правилами электронных переводов платежей.

Резервный банк Австралии следит за выполнением Закона (положения) о платежных системах 1998 г. и Закона о платежных системах и неттинге 1998 г. для обеспечения эффективности, конкурентности и стабильности. Австралийская комиссия по ценным бумагам и инвестициям следит за выполнением Правил электронных переводов платежей для защиты прав потребителей.

Основными законами, нацеленными на борьбу с ОД/ФТ, являются Закон о борьбе с ОД/ФТ и Правила борьбы с ОД/ФТ. В законе изложены общие принципы и обязательства в рамках ПОД/ФТ. Порядок выполнения указанных обязательств подробно оговаривается в подзаконных нормативных актах, а именно в Правилах борьбы с ОД/ФТ.

Закон о борьбе с ОД/ФТ охватывает финансовый сектор, игорный бизнес, торговлю драгоценными металлами и любые другие компании и специалистов, оказывающих обособленные услуги (т. е. несущие в себе риски ОД/ФТ). Он налагает на предприятия, оказывающие обособленные услуги (т. н. подотчетные организации), определенные обязательства.

Эти обязательства включают в себя меры по надлежащей проверке клиентов (идентификация, проверка личности и постоянный мониторинг операций), отчетность (подозрительные моменты, операции, превышающие установленный порог, поручения о перечислении денежных средств за границу), ведение учетной документации, разработку и выполнение программы ПОД/ФТ.

Закон о борьбе с ОД/ФТ предполагает использование подхода, основанного на оценке риска. Компании, для того чтобы узнать, выполняет ли она свои обязательства, нужно определить, насколько велик риск того, что обособленная услуга, оказываемая ею клиенту, может способствовать отмыванию денег или финансированию терроризма. В Правилах борьбы с ОД/ФТ указано, как именно подотчетная организация может обеспечить соблюдение своих обязательств, используя методы и средства контроля на основе оценки рисков. При выборе и внедрении необходимых методов и средств контроля подотчетная организация должна учитывать характер, размер и сложность осуществляемой ею деятельности, а также тип рисков ОД/ФТ, с которыми она может столкнуться.

При определении рисков ОД/ФТ подотчетная организация также должна учитывать риск, обусловленный следующими факторами: тип клиентов (в т. ч. обращая внимание на то, есть ли среди них лица, имеющие отношение к политике), тип оказываемых ею обособленных услуг, методы, используемые для их оказания, а также иностранные юрисдикции, с которыми она имеет дело.

В Нидерландах применяются Директива по электронным деньгам (2000/46/ЕС) и Третья директива по противодействию отмыванию денег (2005/60/ЕС). Для предоставления услуг интернет-платежей нужна лицензия на использование электронных денег, после получения которой в отношении поставщика таких услуг действуют специальные юридические нормы. Обязанности включают в себя регистрацию/лицензирование, (пруденциальный) контроль, ведение учетной документации, уведомление о подозрительных операциях, иные специальные стратегии и процедуры ПОД/ФТ (меры по надлежащей проверке клиентов).

Юридические нормы, действующие в отношении поставщиков услуг, которым было предоставлено разрешение на отступление от требований, менее обременительны. Обязанности включают в себя ведение учетной документации, уведомление об отсутствии подозрительных операций. Какие-либо иные стратегии и процедуры ПОД/ФТ не применяются. Официальные разрешения на отступление от требований для целей пруденциального контроля были предоставлены пяти эмитентам электронных денег.

Кроме того, некоторые поставщики услуг интернет-платежей разработали механизмы саморегулирования деятельности. Главными целями создания таких механизмов являются защита репутации компании, решение вопросов, связанных с юридической ответственностью и кредитными рисками.

8.2. Электронные деньги: анализ источников риска возможного использования в схемах, направленных на отмывание денег

Гораздо важнее знать, что делается, чем делать то, что знаешь.

Боэций, древнеримский философ

8.2.1. Источники риска ОД/ФТ в условиях использования электронных денег

Процесс легализации преступных доходов (другими словами – отмывание денег) представляет собой сложный комплекс, состоящий из множества промежуточных звеньев (заключение мнимых сделок, лишенных экономического смысла, совершение большого числа операций по переводу денежных средств, включая переводы в офшорные компании и банки), реализуемых разнообразными методами, которые постоянно совершенствуются.

Одна из самых распространенных схем отмывания денег (встречающаяся как в отечественных, так и в зарубежных источниках) включает три стадии: размещение (рlасеment), расслоение (layering) и интеграцию (integration) (см. также главу 1). Указанные стадии могут осуществляться одновременно или частично накладываться друг на друга – это зависит от разработанного механизма легализации и от требований, предъявляемых преступной организацией.

На первой стадии (размещения) преступники осуществляют физическое размещение наличных денежных средств в мобильные финансовые инструменты – территориальное удаление от мест происхождения денежных средств. Размещение осуществляется в традиционных финансовых учреждениях, нетрадиционных финансовых учреждениях, предприятиях розничной торговли либо полностью за пределами страны. Отметим, что этап размещения крупных сумм наличности является самым слабым звеном в процессе отмывания денег, так как на этом этапе проще всего выявлять незаконно полученные денежные средства.

Вторая стадия (расслоение) включает в себя отрыв незаконных доходов от их источников путем сложной цепи финансовых операций, направленных на маскировку проверяемого следа этих доходов. Если размещение больших сумм денег прошло успешно (т. е. не было обнаружено), вскрыть дальнейшие действия «отмывателей» становится намного труднее. Различные финансовые операции наслаиваются одна на другую с целью усложнить поиск правоохранительными органами незаконных фондов, подлежащих конфискации.

На заключительной стадии (интеграции) происходит процесс легализации, непосредственно направленный на придание видимости законности преступно нажитому состоянию. После того как процесс расслоения успешно проведен, лица, отмывающие денежные средства, должны создать видимость достоверности при объяснении источников появления своего богатства. Во время интеграции отмытые деньги помещаются обратно в экономику. Таким образом, они входят в банковскую систему под видом «чистых» денег (т. е. честно заработанных доходов). Если след отмываемых денег не был выявлен на двух предыдущих стадиях, то отделить законные деньги от незаконных становится намного сложнее. Обнаружение «грязных» (отмытых) денег на стадии интеграции становится возможным лишь с помощью агентурной работы.

Источники риска ОД/ФТ в условиях осуществления расчетов с использованием электронных денег целесообразно привязать к перечисленным выше этапам обобщенной схемы отмывания денег.

На этапе размещения:

– анонимность[142] клиентов на некоторых коммерческих интернет-сайтах и в системах интернет-платежей. В ряде случаев как регистрация, так и операции могут осуществляться анонимно (для регистрации на некоторых веб-сайтах достаточно указать анонимный адрес электронной почты);

– заочный характер отношений с клиентами. Поставщики услуг интернет-сайтов и интернет-платежей работают вне личного контакта с клиентами, поэтому им сложно быть уверенными в том, что они общаются с человеком, который были идентифицирован при регистрации;

– возможность многократной регистрации. Многократная (анонимная) регистрация пользователем для покупки и продажи товаров может стать причиной возникновения сложностей при обнаружении, мониторинге и обратном отслеживании операций и денежных потоков;

– удаленный доступ к коммерческим интернет-сайтам и системам интернет-платежей. Зайти на коммерческий интернет-сайт и воспользоваться системой интернет-платежей можно в любой точке мира. Преступник может выйти в интернет с любого терминала, не зарегистрированного на его имя или никак не связанного с ним, что усложняет работу правоохранительных органов по отслеживанию и поимке преступников и лиц, занимающихся отмыванием денег;

– относительная анонимность некоторых способов платежей. При оплате с помощью предоплаченных кредитных карт, подарочных карт/подарочных чеков[143] происхождение средств отследить либо невозможно, либо очень трудно[144].

На этапе расслоения:

– быстрота перевода денежных средств. Операции, выполняемые продавцами и покупателями через коммерческие интернет-сайты и системы интернет-платежей, проходят очень быстро, так как совершаются в электронном виде;

– глобальный характер операций и проблема подсудности. Операции через коммерческие интернет-сайты и системы интернет-платежей могут совершаться глобально, вне границ какого-то одного государства, поэтому компетентные органы страны, в которой находится поставщик услуг интернет-платежей, не всегда имеют право на расследование случаев ОД/ФТ и преследование в судебном порядке. Точно так же не существует какого-либо единого органа, выполняющего регулирующие и контролирующие функции.

Быстрота перевода денежных средств, глобальный характер операций и проблема подсудности, связанные с использованием коммерческих интернет-сайтов и систем интернет-платежей, затрудняют деятельность подразделений финансовой разведки и правоохранительных органов, расследующих случаи отмывания денег или финансирования терроризма;

– объем (большое количество операций и сумм[145]). Поставщикам услуг интернет-платежей сложно определить критерии мониторинга и обнаружения подозрительных операций из-за большого количества таких операций и соответственно сумм по таким операциям (неясно, операции какого типа стоит считать подозрительными)[146];

– ограниченное участие человека. Так как операции, совершаемые через коммерческие интернет-сайты и системы интернет-платежей, характеризуются меньшими объемами участия человека, традиционные механизмы обнаружения первого уровня, почти полностью построенные на личном общении с клиентом, в данном случае отсутствуют – их роль должны выполнять тщательно продуманные механизмы обнаружения второго уровня[147];

– отсутствие или несоответствие необходимым требованиям журналов контроля, учетной документации или отчетов о подозрительных операциях со стороны некоторых поставщиков услуг интернет-платежей.

На этапе интеграции: возможность приобретения дорогостоящих товаров, драгоценных металлов, недвижимости или ценных бумаг через коммерческие интернет-сайты с помощью систем интернет-платежей.

8.2.2. Интернет-платежи

В этом разделе рассмотрим, на какие особенности проведения расчетов посредством интернет-платежей (источники риска ОД/ФТ) следует обращать внимание поставщикам услуг интернет-платежей при анализе подозрительных операций:

– клиент открывает личный счет в системе интернет-платежей в одной стране, после чего регулярно заходит в систему в другой стране или странах;

– на открытый клиентом счет приходит большое количество денежных переводов из другой страны;

– клиент начинает делать покупки через интернет на суммы, не соответствующие суммам его покупок в прошлом;

– клиент пополняет свой счет в системе интернет-платежей наличными[148] (если это предусмотрено поставщиком услуг интернет-платежей);

– какая-либо третья сторона, не имеющая с клиентом никакой видимой связи, перечисляет средства на счет клиента в системе интернет-платежей;

– клиент регулярно покупает достаточно дорогие предметы с помощью предоплаченной дебетовой карты[149] или подарочной карты, происхождение средств на которых отследить гораздо сложнее[150];

– клиент перепродает товары, которые (скорее всего) были куплены им ранее, без всяких видимых причин, со значительной скидкой или с существенной надбавкой к цене;

– покупатель требует, чтобы товары были отправлены либо на абонентский ящик, либо по адресу, отличающемуся от адреса, указанного при регистрации счета;

– клиент использует счет, открытый у поставщика услуг интернет-платежей, не для покупки товаров через интернет, а для сокрытия незаконно полученных денежных средств;

– клиент открывает у поставщика услуг интернет-платежей счет, кладет на него необходимую сумму денег, оставляет эти деньги на счете на нужный ему период, после чего забирает их[151];

– клиент требует, чтобы деньги с его счета в интернете были перечислены третьей стороне, не имеющей к нему никакого видимого отношения;

– клиент использует кредитные карты (особенно предоплаченные), выпущенные в другой стране;

– клиент занимается продажами незаконных товаров или изделий, находящихся в списке запрещенных товаров;

– на аукционе в интернете или во время аукционной продажи за товар предлагается неадекватная цена, которая может свидетельствовать о сговоре между покупателем и продавцом (клиент предлагает купить товар по цене существенно выше запрашиваемой[152]);

– купленные товары регулярно отправляются в другую страну;

– клиент использует кредитную карту, выпущенную банком в какой-либо офшорной стране или в стране, не желающей сотрудничать с ФАТФ;

– деньги происходят из страны, не желающей сотрудничать с ФАТФ;

– по информации ФАТФ, страна происхождения клиента не желает сотрудничать в области ПОД/ФТ;

– наблюдается неожиданно большой оборот денежных средств на недавно открытом коммерческом интернет-сайте или неожиданное увеличение стоимости коммерческого интернет-сайта после нескольких продаж.

Поведение клиента или осуществленные им операции могут рассматриваться как подозрительные при наличии одного или нескольких источников риска ОД/ФТ.

Далее приведем несколько примеров отмывания денег с использованием интернет-платежей.

Преступники, для того чтобы объяснить происхождение получаемых ими средств, могут осуществлять фиктивные операции через коммерческие интернет-сайты с использованием традиционных финансовых учреждений или систем интернет-платежей. Такая разновидность мошенничества имеет много общего с отмыванием денег с помощью продаж, при которых сумма перечисляемых денег несоразмерна стоимости поставляемых товаров. На рис. 41 приведен пример, когда один и тот же человек использует коммерческий интернет-сайт для «продажи» несуществующих товаров (при этом движение денежных средств реальное). Для обоснования происхождения денежных средств клиент предоставляет выписку или распечатку с экрана монитора с изображением коммерческого интернет-сайта, на котором, например, изображен выставленный на продажу товар.

Рис. 41. Продажа несуществующих товаров «мистером Хайдом» «доктору Джекилу»[153]

Другой пример связан с использованием коммерческого интернет-сайта для отмывания выручки от незаконного оборота наркотиков. Торговец наркотиками может использовать коммерческие интернет-сайты для получения средств, вырученных от незаконной продажи наркотиков. Вместо того чтобы получать деньги на свой банковский счет напрямую, вызывая подозрения у банка, торговец наркотиками дает объявление о продаже несуществующих товаров. Лица, приобретающие у него наркотики, начинают делать «покупки» на веб-сайте. После получения платежа торговец поставляет им наркотики. При этом он всегда может объяснить, что деньги, зачисленные на его счет, были получены «в результате продаж через интернет».

Коммерческий веб-сайт может использоваться и для продажи товаров по завышенной цене, что может служить инструментом для отмывания денег. Механизм такой же, как и в вышеописанном примере, за исключением того, что продаваемые товары действительно существуют, но продаются по завышенной цене с помощью нескольких подставных покупателей (рис. 42). Чистая разница между номинальной ценой продажи и фактической стоимостью поставленных товаров составляет сумму отмытых денежных средств. Сделки такого типа более безопасны для лиц, отмывающих деньги, так как в этом случае остаются официальные записи, документы, регистрационные данные о фактически поставленных товарах, а правоохранительным органам нужно доказать, что стоимость продажи сильно завышена по сравнению с реальной стоимостью товара на рынке.

Отмывание денег может осуществляться и прямо противоположным способом: покупатель приобретает товар по цене, которая значительно ниже его рыночной стоимости, а затем выгодно перепродает его. Далее покупатель может заявить, что низкая стоимость товара, обеспечившая прибыль, была обусловлена разницей цен на него на разных рынках, а продавец спишет такую разницу на коммерческий убыток.

Следует добавить, что на многих интернет-сайтах, особенно продающих товар на онлайновых аукционах, предлагаются товары, рыночная цена которых точно не известна (или с трудом поддается определению). Кроме того, аукционеры достаточно часто завышают цену даже при совершении законных сделок. Выставленный на продажу товар во время проведения аукциона остается у продавца, а компания, занимающаяся организацией онлайновых аукционов, практически не имеет возможности установить действительную рыночную стоимость товара.

Рис. 42. Продажа товаров по завышенной цене с использованием коммерческого интернет-сайта и системы интернет-платежей

8.2.3. Азартные игры в интернете

Азартные игры в интернете (тотализаторы, казино, лотереи и т. п.) за последние годы приобрели достаточно большую популярность. Этому способствуют постоянно развивающиеся технологии мобильного доступа к интернету, а также снижение стоимости на планшеты, смартфоны и др.

Добавим, что азартные игры становятся более доступными: их количество в интернете постоянно возрастает[154].

Подобные компьютерные игры по своей сути являются трансграничной деятельностью. Различные составляющие, используемые для управления интернет-сайтом, могут быть рассредоточены по всему миру, включая офшорные юрисдикции[155].

Сама организация азартных игр в интернете в ряде случаев целенаправленно распределяется по нескольким юрисдикциям (т. е. управление веб-сайтом, осуществление платежей, а тем более сами игроки, могут быть рассредоточены по разным странам).

В связи с этим могут возникать законодательные противоречия, используемые для целей ОД/ФТ.

Азартные игры в интернете значительно расширяют профиль риска ОД/ФТ за счет:

– быстроты и трансграничного характера транзакций;

– дистанционного характера азартных игр в интернете;

– низкого процента случаев расследований и привлечения к ответственности по делам, связанным с ОД/ФТ;

– зачисления выигрышей на разные счета;

– использования нескольких счетов;

– использования основных счетов;

– использования VIP-счетов[156];

– использования игровых цепочек[157].

В марте 2009 г. ФАТФ и Азиатско-Тихоокеанская группа по борьбе с отмыванием денег совместно опубликовали типологический отчет об отмывании денег и финансировании терроризма через казино[158]. Хотя в докладе не рассматриваются риски, связанные с азартными играми в интернете, в нем упоминается о серьезном пробеле, связанном с выявлением и анализом рисков ОД/ФТ и уязвимостей в секторе азартных игр в интернете. Исходя из этого, МАНИВЭЛ[159] принял решение о проведении типологического исследования для выявления новых типологий ОД/ФТ, уязвимостей и индикаторов риска в секторе азартных игр в интернете[160].

По результатам данного исследования все юрисдикции можно разделить на три категории:

– юрисдикции, в которых азартные игры в интернете являются законными и регулируются;

– юрисдикции, в которых азартные игры в интернете являются законными, но не регулируются;

– юрисдикции, в которых азартные игры в интернете не являются законными.

Регулирование азартных игр в интернете включает:

– систему лицензирования;

– требования в сфере ПОД/ФТ, применяемые к операторам игорного бизнеса в интернете[161];

– регулирование платежей и требования в сфере ПОД/ФТ, применяемые к платежам[162];

– требования к открытию электронного счета.

Операторы игорного бизнеса в интернете должны открывать электронный счет каждому игроку после регистрации. Регистрация заключается в идентификации игрока, то есть получении сведений о полном имени, дате рождения и адресе игрока. В некоторых случаях требуются также номер удостоверения личности, адрес электронной почты и номер налогоплательщика.

В ряде стран устанавливаются ограничения в отношении возраста игроков (например, в некоторых странах запрещается открывать счета лицам, не достигшим 18-летнего возраста, в других ограничения касаются лиц, не достигших 21 года). Существуют и другие ограничения, такие как ограничения по сумме ставки, времени игры, количеству игровых счетов, принадлежащих одному игроку, запрет на предоставление кредита игрокам или на принятие ставок от игрока в случае, если на его счете нет средств.

Для пополнения игровых счетов в интернете могут использоваться различные способы платежа: внесение средств с дебетовых или кредитных карт, переводы через провайдеров платежей в интернете, электронные денежные переводы, электронные деньги, чеки и предоплаченные карты. Внесение средств с помощью дебетовой или кредитной карты является приемлемым способом платежа во всех странах. Средства, перечисленные через провайдеров платежей в интернете или электронным денежным переводом, также принимаются повсеместно, хотя и в меньшей степени по сравнению со средствами, внесенными с дебетовой или кредитной карты. Электронные деньги, чеки, наличные и предоплаченные карты обычно запрещены в качестве средств платежа.

Поскольку транзакции для азартных игр в интернете совершаются через финансовый сектор, для кредитных организаций возникают дополнительные источники риска ОД/ФТ в силу следующих обстоятельств:

– банки не в состоянии выявить каждый индикатор риска ОД/ФТ, связанный с игроком, поскольку не имеют доступа к определенной информации об игроке (например, о его активности);

– игровые веб-сайты, действующие без лицензии, не требуют от игроков переводить средства через лицензированные кредитно-финансовые учреждения, которые подчиняются соответствующим требованиям в сфере ПОД/ФТ;

– не все юрисдикции, которые выдают лицензии на открытие игровых веб-сайтов, требуют от операторов игорного бизнеса в интернете следить за тем, чтобы игроки переводили средства только через лицензированные кредитно-финансовые учреждения, которые подчиняются соответствующим требованиям в сфере ПОД/ФТ.

Другим важным фактором, который следует учитывать при оценке рисков ОД/ФТ в секторе азартных игр в интернете, является использование альтернативных способов платежа для перевода средств на виртуальный игровой счет. Способы платежа обычно делятся на традиционные и альтернативные. К традиционным способам относятся переводы средств с банковских счетов (электронные переводы), платежи с помощью дебетовых и кредитных карт, дорожных чеков, банковских переводных векселей, именных чеков, а также денежные переводы. Альтернативные способы включают платежи с помощью предоплаченных карт, онлайновые платежи и платежи с использованием электронных денег.

Кредитно-финансовые учреждения часто блокируют операции с кредитными картами, связанные с азартными играми в интернете. Очевидно, что потребность в альтернативных способах платежа будет увеличиваться[163].

Риски ОД/ФТ, связанные с альтернативными способами платежа, были детально изучены ФАТФ[164]. В частности, были выявлены две уязвимости, связанные с альтернативными способами платежа в сфере азартных игр в интернете:

– размещение средств через финансовых посредников. При использовании для размещения средств на игровом счете услуг финансовых посредников в интернете, деятельность которых не регулируется в целях ПОД/ФТ, определить источник средств невозможно;

– использование предоплаченных карт. К владельцам таких карт применяются упрощенные меры по надлежащей проверке клиентов, поэтому при использовании предоплаченных карт для размещения средств на игровом счете операторы игрового бизнеса также не могут определить источник средств.

Уровень регулирования игорного бизнеса в интернете различается в зависимости от действующего в каждой стране законодательства в сфере ПОД/ФТ. Эти различия могут препятствовать эффективному сотрудничеству правоохранительных органов и проведению трансграничных расследований. Например, в связи с тем, что азартные игры в интернете считаются законными в одних странах и незаконными в других, возникают трудности при сборе доказательств в рамках взаимной правовой помощи. Кроме того, эксперты, проводящие расследование, сталкиваются с проблемами, связанными с организацией работы веб-сайтов с азартными играми[165].

Однако, по мнению некоторых экспертов в области ПОД/ФТ, риски, связанные с регулируемым сектором азартных игр в интернете, невысоки[166], и этот способ отмывания денежных средств не является привлекательным для преступников, что обусловлено несколькими причинами:

– игроки обязаны проходить процедуру идентификации (следовательно, их личности устанавливаются);

– финансовые транзакции, связанные с азартными играми в интернете, совершаются в электронной форме (и таким образом легко отслеживаются);

– все ставки, принимаемые операторами азартных игр на вебсайтах, регистрируются.

И все же операции с электронными деньгами должны подпадать под контроль финансовых разведок, так как существует достаточно примеров использования их для ОД/ФТ. Приведем наиболее характерные схемы, направленные на ОД/ФТ с использованием азартных игр в интернете.

Например, преступник, занимающийся отмыванием денег, действуя в сговоре с оператором офшорного веб-сайта с азартными играми, размещает средства, полученные от преступной деятельности, на игровом счете и снимает эти средства в качестве выигрыша. Оператор веб-сайта оставляет себе процент от поступлений в качестве комиссии, а преступник декларирует выигрыш в налоговых органах и затем использует средства для законных целей (рис. 43).

Рис. 43. Использование интернет-казино в схемах, направленных на отмывание денег

В другом случае преступник, занимающийся отмыванием денег, вступает в сговор с профессиональными игроками с целью размещения незаконно полученных средств на веб-сайтах с азартными играми. Игроки оставляют себе комиссионные от выигрышей перед переводом оставшихся средств преступнику.

Игровой счет может использоваться преступником и для хранения денег, полученных от противозаконной деятельности (в т. ч. и под чужим именем, чтобы избежать обнаружения).

Добавим, что партнерские карточные игры[167] могут использоваться и для намеренного проигрыша (при плохих картах делаются высокие ставки). Такой способ организации выигрыша может рассматриваться как источник риска финансирования терроризма.

Далее приведем основные источники риска ОД/ФТ через азартные игры в интернете:

– информация, предоставляемая игроком, содержит ряд несоответствий (почтовый домен, телефон или почтовый индекс не соответствуют стране);

– указанные данные кредитной карты или банковского счета не соответствуют регистрационным данным игрока;

– игрок находится в юрисдикции, включенной в группу повышенного риска, или идентифицирован как включенный в перечень субъектов международных санкций;

– игрок идентифицирован как видный политический деятель;

– игрок пытается открыть несколько счетов под одним именем;

– игрок открывает несколько счетов под разными именами, используя один IP-адрес;

– вывод средств со счетов не соответствует активности счета, например игрок часто выводит деньги со счета, но активно в игре не участвует;

– игрок размещает крупные суммы денег на своем игровом счете;

– источник средств, размещенных на счете, кажется подозрительным и нет возможности проверить происхождение средств;

– игрок заходит на свой счет из разных стран;

– после размещения крупных сумм игрок не проявляет игровой активности;

– игрок имеет отношение к ранее проводившимся расследованиям в отношении счетов;

– различные игроки идентифицированы как совместно использующие банковские счета, на которых размещаются или с которых выводятся средства.

8.2.4. Немного о биткоинах

Биткоин (Bitcoin[168]) – децентрализованная электронная платежная система, не имеющая администратора или какого-либо его аналога, которая использует одноименные единицы для учета. Биткоины могут использоваться для электронной оплаты товаров и услуг у продавцов, готовых их принимать. Также существует возможность обмена биткоинов на обычные деньги через специализированные площадки для торгов или обменные пункты[169]. Ключевым отличием от обычных электронных денег является анонимность валюты, поскольку эмиссия новых биткоинов может производиться любым желающим, который соблюдает все необходимые требования системы[170].

Анонимность валюты является одной из причин, по которой правительства отказываются рассматривать ее как легитимный финансовый инструмент, поскольку не так давно были раскрыты несколько случаев использования биткоинов для отмывания денег и незаконной торговли в интернете.

В частности, в начале октября 2013 г. ФБР закрыло международный онлайн-базар «Шелковый путь» (Silk Road), торговавший по всему миру кокаином и героином, а оплата товара осуществлялась именно в биткоинах. На момент закрытия оборот нелегальных операций через эту сеть составлял $1 млрд.

Многие эксперты сравнивают биткоины с золотом. Ценность золота абстрактна и обусловлена культурным восприятием. Аналогично и биткоин стоит ровно столько, сколько мы готовы за него заплатить. Как и золото, биткоины может «добывать» каждый (у этой системы нет единого эмиссионного центра), но конечное число биткоинов на планете ограничено. Общее количество монет составит 21 млн (с 2009 г. выпущено 12,3 млн).

В большинстве государств биткоин был признан неким частным способом расчетов, ненадежным активом, не запрещенным в обороте. С другой стороны, Народный банк Китая запретил финансовым и платежным институтам использовать биткоины, многие европейские центральные банки предупредили участников финансового рынка о рисках, связанных с обращением биткоинов, и об отсутствии публичной поддержки этой криптовалюты. Выбирая тот или иной подход к биткоину, государства ориентируются на свои приоритетные задачи. В одной стране это противодействие легализации преступных доходов, в другой – развитие сектора электронной коммерции. Большинство правительств осознают, что биткоины потенциально посягают на их монопольное право денежной эмиссии.

Так, например, в марте 2013 г. Управление Министерства финансов США по борьбе с финансовыми преступлениями выпустило руководство, в котором системы виртуальных валют были приравнены к обычным платежным системам. В сентябре того же года в США состоялась встреча высокопоставленных сотрудников финансовых и правоохранительных органов с руководством Bitcoin Foundation – организации, объединяющей участников рынка биткоинов. По итогам встречи представители федеральных властей США подтвердили намерение распространить на операции с биткоинами правила по борьбе с отмыванием денег, действующие в отношении обычных валют[171].

Летом 2013 г. Министерство финансов Германии сообщило, что признает биткоин в качестве единицы взаиморасчетов. В октябре того же года биржа виртуальных валют Kraken заключила эксклюзивный договор с немецким Fidor Bank AG, регулируемым Федеральным управлением финансового надзора Германии. Таким образом, у граждан Евросоюза появилась возможность осуществлять любые банковские операции с помощью биткоинов, лайткоинов, рипплов и других криптовалют.

В январе 2014 г. стало известно, что финансовые власти Великобритании могут оптимизировать налоговый режим для операций с биткоинами. Сейчас они облагаются налогом 20 %, как операции с долговыми расписками.

В декабре 2013 г. парламентом Швейцарии был предложен постулат, согласно которому биткоин следует рассматривать как иностранную валюту. Постулат был подписан 45 из 200 членов парламента.

В июле 2013 г. Центральный банк Таиланда запретил финансовым организациям страны использовать операции с криптовалютой, поскольку не признал ее валютой.

В декабре 2013 г. Народный банк Китая запретил финансовым институтам осуществлять операции с криптовалютами.

Также в декабре 2013 г. Центральный банк Индии предостерег финансовые организации от высоких рисков операций с биткоинами. Некоторые индийские торговые площадки по обмену биткоинов приостановили работу, но заявление о запрете криптовалют не прозвучало, и в начале следующего года они стали возобновлять деятельность.

Центральный банк Российской Федерации (Банк России) также высказал свое мнение о биткоинах. В ходе онлайн-конференции «Виртуальные валюты: возможности и риски», которая проходила в феврале 2014 г., представители Департамента национальной платежной системы Банка России сравнили биткоины с пирамидами в связи со спекулятивностью сделок с данной криптовалютой. По их мнению, «биткоин обеспечен только временем, потраченным на его добычу»[172].

Есть и первые серьезные потери от инвестиций в биткоины. Так, по информации Reuters, инвестфонд Fortress Investment Group в 2013 г. понес убытки в $3,7 млн от инвестиций в биткоины. Компания представила документы, согласно которым в 2013 г. инвестировала в эту криптовалюту $20 млн, а к концу года ее доля стоила $16,3 млн[173].

8.3. Участники процесса оценки риска ОД/ФТ

Дело должно соответствовать возможностям, действие должно соответствовать времени.

Лао-цзы (Ли Эр), древнекитайский философ

8.3.1. Подходы к оценке риска

Рассмотрев международные подходы к регулированию расчетов с использованием электронных денег и характерные примеры сделок по легализации преступных доходов с применением интернет-платежей, можно сделать вывод, что отставание нормативной базы позволило различным преступным группировкам внедрять электронные деньги в схемы, направленные на ОД/ФТ.

Использование риск-ориентированного подхода (т. е. подхода, основанного на оценке риска) является центральным элементом стандартов ФАТФ, в том числе при проведении операций с использованием электронных денег. Выявление, оценка и понимание[174] рисков ОД/ФТ – важнейшие составляющие процесса внедрения и развития мер в области ПОД/ФТ на национальном уровне, включающих в себя принятие соответствующего законодательства, нормативных актов, правоприменительные и другие меры.

Цель управления рисками ОД/ФТ в условиях интернет-платежей заключается в принятии мер, направленных на снижение риска до приемлемого уровня.

Рассматривая подходы, используемые для оценки риска ОД/ФТ в условиях интернет-платежей, необходимо иметь общее понимание ключевых терминов: «риск», «вероятность», «последствия».

Понятие «риск» может рассматриваться в качестве производной от трех факторов: угрозы, уязвимости и последствий.

Оценка рисков ОД/ФТ в условиях интернет-платежей является процессом, основанным на разработанной методологии, которая позволяет выявлять, анализировать и понимать возможные последствия проявления различных источников риска ОД/ФТ, возникающих при использовании интернет-платежей. В идеальном случае оценка данного риска состоит в вынесении решения о значимости конкретных угроз, уязвимостей и возможных последствий их проявления.

Под «угрозой» понимается лицо (или группа лиц), объект или деятельность, которые могут потенциально нанести вред[175]. В контексте ОД/ФТ это понятие включает преступников (в т. ч. киберпреступников, осуществляющих противозаконную деятельность с использованием интернет-платежей), террористические группы и поддерживающих их лиц, их денежные средства, а также прошлую, настоящую и будущую деятельность, направленную на ОД/ФТ. Угроза обычно служит важным отправным пунктом для понимания риска ОД/ФТ в условиях интернет-платежей.

Понятие «уязвимость» (в рамках проведения оценки риска ОД/ФТ в условиях интернет-платежей) включает области (в т. ч. аппаратно-программные средства, обеспечивающие функционирование систем интернет-платежей), в которых угроза может реализоваться, либо то, что может содействовать или способствовать ее реализации.

Уязвимости систем интернет-платежей имеют как юридическую, так и техническую сторону. Это могут быть особенности функционирования аппаратно-программного обеспечения различных систем интернет-платежей, уровень их надежности и качества, используемые способы идентификации клиентов и т. д.

Термин «вероятность» означает потенциальную возможность возникновения событий, представляющих риск ОД/ФТ. Вероятность зависит от сочетания угроз и уязвимостей.

«Последствия» означают вред, который может быть причинен проявлением одного из источников риска ОД/ФТ в условиях интернет-платежей. По своему характеру последствия проявления данных источников риска могут быть краткосрочными или долгосрочными. Последствия также отражаются на населении, конкретных группах людей, деловой среде, конкретной системе, обеспечивающей интернет-платежи, национальных или международных интересах, а также на репутации и привлекательности финансового сектора страны.

Результаты оценки риска ОД/ФТ в условиях интернет-платежей могут использовать:

– государственные органы[176] для принятия обоснованных решений, касающихся нормативно-правовой базы и выделения ресурсов компетентным органам в соответствии с положениями последних рекомендаций ФАТФ;

– оперативные органы, включая правоохранительные органы, следственные органы, подразделения финансовой разведки и др.;

– регулирующие органы, надзорные органы и саморегулируемые организации;

– финансовые учреждения, предприятия и другие организации, для которых оценка риска ОД/ФТ на национальном уровне является важнейшим источником информации для проведения собственных оценок рисков (в т. ч. в рамках выполнения обязательств с учетом оценки данного риска);

– некоммерческие организации;

– эксперты в области ПОД/ФТ;

– научные сообщества, заинтересованные лица и т. д.

Перед началом проведения любой оценки риска ОД/ФТ все участвующие в ней стороны, включая тех, кто будет проводить оценку, и конечных пользователей результатов оценки, должны согласовать цель и масштаб оценки. Цель может быть как общей (для понимания принимаемых рисков), так и конкретной (при проведении определенной оценки рисков)[177].

Понимание масштабов и влияния выявленных источников риска ОД/ФТ также может помочь в определении надлежащего уровня и характера мер контроля в области ПОД/ФТ, применяемых в отношении конкретного продукта (отдельной технологии осуществления интернет-платежей) или сектора. С учетом разнообразия потенциальных пользователей и возможных расхождений в видении результатов очень важно, чтобы с самого начала была ясность в отношении:

– целей проведения оценки;

– вопросов, на которые она должна дать ответ;

– критериев, которые будут использоваться для получения ответов на эти вопросы;

– решений, которые могут быть приняты на основании результатов оценки.

Ключевым вопросом при определении масштаба оценки риска ОД/ФТ в условиях интернет-платежей является принятие решения о том, следует ли оценивать данный риск по отдельности или вместе с другими сопутствующими рисками. Подлежащие рассмотрению факторы, связанные с финансированием терроризма, могут значительно отличаться от факторов, имеющих отношение к отмыванию денег. Например, денежные средства, используемые для целей финансирования терроризма, могут быть получены как от преступной деятельности, так и из законных источников. Кроме того, основные усилия в сфере противодействия финансированию терроризма сосредоточены на недопущении совершения террористических актов, тогда как в случае отмывания денег преступное деяние (предикатное преступление) уже совершено. Еще одним примером является то, что операции, связанные с финансированием терроризма, могут осуществляться на очень небольшие суммы, и когда такие операции анализируются вне контекста противодействия финансированию терроризма, они часто рассматриваются как представляющие минимальный риск с точки зрения отмывания денег[178].

Оценка риска ОД/ФТ может проводиться на разных уровнях с разными целями и в разных масштабах, включая оценку на наднациональном уровне (на уровне группы стран), оценку на национальном уровне (на уровне отдельно взятого государства) и оценку на местном уровне (на уровне конкретного сектора, региона или вида деятельности в стране), несмотря на то что основополагающая обязанность по оценке и пониманию риска ОД/ФТ возложена на само государство.

Подходы, используемые каждой страной, могут зависеть от национальной системы сотрудничества и взаимодействия в рамках режима ПОД/ФТ. Например, в некоторых случаях будут целесообразными объединение всех или многих участников процесса и проведение единой оценки риска ОД/ФТ на национальном уровне. Такой подход также упрощает сопоставление и сравнение результатов различных оценок и обеспечивает более прямой обмен информацией между участниками процесса.

Вне зависимости от выбранного подхода странам рекомендуется обеспечить комплексность проводимой ими оценки риска ОД/ФТ для получения общей картины данного риска на национальном уровне. В идеале такая общая картина должна содержать обширные и глубокие данные о потенциальных угрозах, уязвимостях (включая различные системы осуществления интернет-платежей) и последствиях, чтобы соответствовать целям и масштабам оценки[179].

Важно, чтобы перед проведением оценки риска ОД/ФТ была получена политическая поддержка такой работы, обеспечивающая достижение целей оценки. Такая поддержка может быть продемонстрирована в виде четких обязательств высокопоставленных правительственных чиновников по проведению оценки риска ОД/ФТ. Следует не допускать ситуации, при которой правительства (или компетентные органы) сознательно не замечают источники риска ОД/ФТ, существующие в их странах (или намеренно определяют некоторые из них как представляющие низкий риск), поскольку полагают, что это может повредить их репутации или негативно сказаться на инвестициях в их страны и финансовый сектор.

8.3.2. Участники оценки риска

Участниками, способными оказать существенное содействие в процессе проведения оценки рисков ОД/ФТ на национальном уровне, могут быть следующие органы и организации:

– политические органы, которые должны, где это уместно, участвовать в проведении оценки рисков (необязательно в качестве субъектов, предоставляющих информацию, но непременно в роли основных пользователей результатов такой оценки) с целью обеспечения надлежащего охвата вопросов высокого уровня и определения любых возможных последствий оценки рисков для пересмотра национальной политики в области ПОД/ФТ. Они должны играть важную роль при оказании содействия в определении масштабов оценки риска ОД/ФТ;

– правоохранительные органы и органы прокуратуры (включая при необходимости полицию, таможенные органы и органы уголовного розыска). Данные оперативные органы могут предоставить информацию по конкретным делам в конкретных оцениваемых областях, а также оказать содействие в оценке сумм преступных доходов на основании имеющейся у них информации о предикатных преступлениях. Они способны играть ключевую роль в качестве источника информации в этом процессе. В их распоряжении может находиться статистика по расследованиям, судебным преследованиям и приговорам по делам, связанным с ОД/ФТ, а также статистика, касающаяся арестованных, конфискованных, возвращенных, разделенных активов и (международных) запросов о правовой помощи. Они могут обладать информацией о способах совершения преступлений криминальными элементами, полученной в ходе проведения расследований, а также о новых тенденциях и рисках, выявленных в ходе проведения расследований. Кроме того, они могут оказать помощь в выявлении уязвимостей (включая различные технологии осуществления платежей с использованием интернета и возможностей сотовой связи);

– разведывательные органы и (или) другие спецслужбы, которые могут играть особенно важную роль в оценках, касающихся терроризма и финансирования терроризма, где большинство информации об угрозах может поступать из разведывательных источников[180]. Данные органы также могут выступать в качестве центров экспертного анализа разведывательной информации, осуществлять «внешний» анализ и подтверждение результатов оценки риска ОД/ФТ или угроз, используя методики анализа разведывательной информации и оценок (при их наличии)[181];

– подразделения финансовой разведки, которые благодаря получаемым сообщениям о подозрительных операциях, иной информации, а также проводимому стратегическому анализу имеют идеальную возможность для выявления угроз, уязвимостей, тенденций и способов ОД/ФТ. Подразделения финансовой разведки могут использовать информацию, имеющуюся в их базах данных и касающуюся конкретных видов продуктов или операций (включая интернет-платежи), которая может быть представлена в виде ситуационных исследований (примеров), не содержащих секретной информации, либо в виде обобщенных данных для выявления тенденций. Такая информация может дополняться статистикой направления сообщений об операциях подотчетными организациями;

– регулирующие и надзорные органы (включая саморегулируемые органы и подразделения финансовой разведки, обладающие такими полномочиями), которые имеют хорошее представление об организациях (осуществляющих интернет-платежи), подлежащих регулированию в области ПОД/ФТ в своих странах;

– другие органы, такие как министерства иностранных дел (например, в случае угроз, выявленных ООН) или статистические органы, обладающие информацией, полезной для проведения оценки риска ОД/ФТ. Органы, которые могут иметь информацию о конкретной преступной деятельности или предикатных преступлениях, также в состоянии внести свой вклад в проведение оценки (например, министерства социального обеспечения – в отношении мошенничества в сфере социального обеспечения, налоговые органы – в отношении налоговых преступлений, антикоррупционные органы – в отношении коррупции, Управление «К» МВД России – в отношении компьютерных преступлений);

– международные и зарубежные партнеры, региональные группы по типу ФАТФ, членом которых является страна: они могут являться полезными источниками информации о рисках (в частности, с точки зрения проведения работы, направленной на выявление и оценку рисков, в других областях региона).

Для полноценной оценки риска ОД/ФТ могут привлекаться представители частного сектора. Их мнение может оказаться полезным для формирования общей картины национальных рисков ОД/ФТ, а также определенным образом помочь проведению оценки.

Если финансовые учреждения, предприятия и другие организации уже самостоятельно проводили оценку своих рисков ОД/ФТ, то данная информация может стать весомым вкладом в проведение оценки риска на национальном уровне.

Отраслевые ассоциации и саморегулируемые организации с широким охватом представителей оцениваемых секторов могут располагать важной общей статистикой, касающейся, например, объемов операций определенного вида, а также информацией в масштабах всей отрасли.

Есть немало и других субъектов: исследователи, криминалисты, специалисты частного сектора (например, практикующие специалисты или другие эксперты, обладающие глубокими знаниями о специализированных видах финансовой деятельности, включая платежи ИП и другие способы осуществления платежей с использованием различных способов связи), эксперты в области управления рисками, представители неправительственных организаций, гражданского общества и научных кругов, а также международные эксперты/специалисты, которые могут изложить свою точку зрения и значительно расширить знания об источниках риска ОД/ФТ.

Преступники также могут служить ценным источником информации, особенно в тех странах, где их стимулируют делиться информацией в обмен на благоприятное обращение в системе уголовного правосудия. Они могут объяснить, почему конкретные сектор, продукт, технология, операция или способ действия были использованы для ОД/ФТ. Напрямую получать от них такую информацию крайне затруднительно, однако можно работать с тюремными властями. Судебные отчеты, материалы судопроизводства и обвинительных приговоров также могут являться богатым источником информации о мотивах и методах преступников, занимающихся ОД/ФТ.

Если целевая оценка риска ОД/ФТ проводится в отношении конкретного сектора, может потребоваться участие небольшого количества представителей частного сектора (например, представителей отраслевой ассоциации или саморегулируемой организации). С другой стороны, комплексная оценка рисков на национальном уровне осуществляется в гораздо большем масштабе и в ней может принимать участие большее количество представителей из большего числа сегментов частного сектора. Поэтому при планировании крупномасштабных оценок, предусматривающих проведение широких консультаций, следует учитывать время и ресурсы для координации ролей и достижения согласованной позиции всех участников.

8.3.3. Результаты оценки риска

По результатам оценки риска ОД/ФТ на национальном уровне может быть сделан вывод, что одной из существенных уязвимостей является наличие информационных пробелов в режиме ПОД/ФТ, которые необходимо устранить. Таким образом, в ходе оценки данного риска можно определить достаточность и адекватность имеющихся данных, возможные источники информации, а также направления сбора данных в будущем. Проведение анализа данных и информации, полученных в рамках выполнения мероприятий по ПОД/ФТ на национальном уровне, помогает установить, в какой степени отсутствие данных и информации является системной уязвимостью в стране.

Опыт, приобретенный в ходе проведения оценки риска ОД/ФТ (при условии, что он будет документально зафиксирован надлежащим образом), безусловно, может помочь стране усовершенствовать процедуру проведения оценок в будущем или принять и использовать абсолютно новый и более эффективный подход при проведении последующих оценок.

Международные финансовые операции, осуществляемые страной, также могут быть ключевым элементом при рассмотрении тенденций в области ОД/ФТ. Данные о трансграничных финансовых потоках являются ценным источником информации, который необходимо принимать во внимание. Кроме того, в ряде стран уже существуют подробные процедуры передачи сообщений о криминальной деятельности, имеющей отношение к отмыванию денег[182], а некоторые международные организации осуществляют сопоставление статистических данных по этим и другим, связанным с ними, преступлениям. Такие сообщения могут быть важным источником информации для проведения оценки на национальном уровне.

Рекомендуется проводить оценку риска ОД/ФТ на постоянной основе и следить за тем, чтобы оценки оставались актуальными.

Периодичность обновления (актуализации) оценок риска ОД/ФТ должна определяться страной исходя из ряда факторов, в том числе с учетом того, насколько быстро (и существенно) могут измениться риски.

К другим факторам, которые могут повлиять на необходимость актуализации или проведения новой оценки риска ОД/ФТ, в частности, относятся:

– существенный вред, наносимый новыми видами деятельности, связанными с ОД/ФТ;

– появление новой разведывательной информации или типологий (включая использование различных систем интернет-платежей);

– серьезные изменения в продуктах или услугах (включая их операционную среду).

Некоторые события (как внутри страны, так и на международном уровне) также могут потребовать анализа и пересмотра оценки риска, например:

– изменения в международных стандартах или руководящих указаниях (рекомендациях ФАТФ, Международной организации комиссий по ценным бумагам, Международной ассоциации органов страхового надзора, документах о добросовестной практике, публикуемых БКБН, конвенциях ООН, законодательстве Евросоюза и др.);

– изменения в политической и экономической структуре или в правовой базе страны;

– изменения в режимах других стран (в частности, государств, являющихся важными торговыми партнерами страны, государств с аналогичными финансовыми секторами или правовыми системами);

– постановка вопросов частным сектором (например, «равные условия», «страны, вызывающие озабоченность», которые еще не определены ФАТФ, новые продукты, услуги и технологии);

– публикация материалов в открытых источниках или общедоступных отчетов (например, типологических отчетов ФАТФ), касающихся новых тенденций в области ОД/ФТ[183];

– появление внутренних типологических исследований и разведывательной информации, поступающей от правоохранительных органов, подразделений финансовой разведки и других заинтересованных сторон, где могут содержаться самые свежие данные об уязвимости продукта или услуги[184];

– получение информации о тенденциях в других странах (на международных конференциях, в процессе регулярного обмена информацией и т. д.).

Независимо от методов или процедур, используемых для проведения оценки риска ОД/ФТ в условиях интернет-платежей, целесообразно, чтобы назначенный орган или структура, отвечающие за оценку данного риска в стране, документально фиксировали достаточную информацию об используемых методологиях и процедурах.

Это обеспечивает информированность всех участников оценки об их обязательствах и обязанностях, а также помогает продемонстрировать другим заинтересованным сторонам, включая экспертов-оценщиков, каким образом проводилась оценка риска. Данный подход также способствует обеспечению прозрачности (транспарентности) и ответственности.

Не вся информация и не все результаты, полученные в ходе оценки риска, могут подлежать широкому распространению. Важно, чтобы уполномоченный орган, отвечающий за координацию процесса оценки, обеспечил защищенное и надежное хранение соответствующих данных, информации, результатов анализа и выводов. Такие записи и информация позволяют сохранить преемственность, а также разъясняют основания принятых в прошлом политических решений, касающихся рисков, дают возможность вносить уточнения в будущем и обеспечивают проведение последующих оценок рисков[185].

Добавим, что оценки, проводимые на наднациональном уровне, могут представлять ценность для оценок рисков на национальном уровне. Результаты наднациональных оценок могут служить дополнительным источником информации при проведении оценок на уровне страны и оказаться полезными при выявлении угроз и уязвимостей. Помимо этого, они могут служить ориентиром для суждений и выводов в ходе проведения последующих оценок рисков на уровне страны.

В заключение следует отметить, что мероприятия, направленные на противодействие отмыванию денег, являются наиболее эффективными способами пресечь любые формы финансирования терроризма. Сегодня террористы могут достаточно свободно пересекать границы государств, у них есть возможность использовать различные системы интернет-платежей, функционирующие во многих странах мира, и бороться с этим злом всем государствам необходимо сообща – только совместные усилия могут свести возможности террористов к минимуму. Банки, являясь в первую очередь финансовыми посредниками, должны понимать, что, не уделяя должного внимания процедурам финансового мониторинга, они могут стать невольными участниками сложных схем, направленных на финансирование терроризма.

8.4. Оценка риска ОД/ФТ в условиях интернет-платежей

Даже один падающий лист предвещает наступление осени.

Японская пословица

8.4.1. Этапы оценки риска

Обобщая все подходы, которые используются для оценки рисков, можно выделить три основных этапа, входящие в данный процесс (в т. ч. в процесс оценки риска ОД/ФТ в условиях интернет-платежей): выявление, анализ и оценку.

Выявление начинается с составления исходного списка возможных факторов риска ОД/ФТ[186], которые фиксируются в рамках выполнения мероприятий по ПОД/ФТ[187]. Такие факторы риска определяются исходя из известных или подозреваемых угроз и уязвимостей. В идеальном случае на данном этапе процесс выявления факторов риска должен быть (по возможности) всесторонним и комплексным. При этом он должен быть динамичным (не статичным), чтобы обеспечить возможность рассмотрения новых или ранее не установленных факторов риска на любом этапе процесса оценки риска ОД/ФТ.

Анализ лежит в основе процесса оценки риска ОД/ФТ. Он включает рассмотрение характера, источников, вероятности и последствий проявления обнаруженных факторов риска. Целью данного этапа является достижение целостного понимания причинно-следственных связей между каждым фактором риска ОД/ФТ и возможной неблагоприятной ситуацией в стране.

Для этого необходимо понимать, каким образом каждая угроза соотносится с уязвимостями в системе ПОД/ФТ отдельно взятого государства и какое значение для него могут иметь последствия проявления риска ОД/ФТ.

Анализ факторов риска может проводиться с различной степенью детализации в зависимости от цели оценки риска ОД/ФТ, а также исходя из имеющихся информации и ресурсов.

Оценка в контексте анализа риска ОД/ФТ заключается в определении приоритетов в области снижения данного риска с учетом установленных целей. Такие приоритеты могут быть использованы при разработке общей стратегии снижения рисков в стране.

Рассмотрим подробнее, что входит в каждый из этапов оценки риска ОД/ФТ (рис. 44).

8.4.1.1. Первый этап: выявление факторов риска ОД/ФТ

С учетом того, что риск ОД/ФТ представляет собой сочетание угроз, уязвимостей и последствий, основой для выявления риска может служить список[188] основных известных или предполагаемых угроз и уязвимостей, обусловленных основными используемыми способами и механизмами платежей.

Рис. 44. Общая схема процесса оценки риска ОД/ФТ

Выявленные угрозы и уязвимости, связанные с ОД/ФТ, должны соотноситься с целью и масштабом проводимой оценки, поскольку от этого зависит, какое внимание им будет уделено.

На этом начальном этапе информация, содержащаяся в списке, может носить широкий или более конкретный характер, быть основанной на реальных или известных типологиях либо быть взята из более общего списка событий или схем (обстоятельств), связанных с процессами ОД/ФТ. При составлении списка угроз ОД/ФТ может оказаться полезным доступ к национальным оценкам угроз[189], а также к общей информации и знаниям, имеющимся у правоохранительных органов. При составлении списка уязвимостей, касающихся ОД/ФТ, обычно используются информация из отчетов о взаимных оценках соответствия Рекомендациям ФАТФ, отчетов надзорных органов, отчетов об уязвимостях в регулируемом секторе, оценок рисков, подготовленных регулируемыми субъектами, а также общая информация и знания государственных органов, занимающихся вопросами ПОД/ФТ[190].

При составлении первого списка угроз и уязвимостей следует учитывать все без исключения аспекты ОД/ФТ, в том числе в международном (трансграничном) контексте. В условиях интернет-платежей это могут быть определенные послабления при идентификации клиентов исходя из особенностей законодательства конкретной страны. При выполнении данной работы может потребоваться участие соответствующих экспертов, которые помогут составить исходный список основных угроз и уязвимостей, связанных с ОД/ФТ.

Всем участникам процесса оценки риска ОД/ФТ важно понимать, что риск ОД/ФТ существует тогда, когда реализуются угрозы ОД/ФТ, а реализуются они благодаря наличию уязвимостей, связанных с недостатками в системе ПОД/ФТ. Поэтому после составления списка угроз и уязвимостей следующей задачей участников оценки является определение того, как угрозы соотносятся с уязвимостями и каким образом данное положение дел препятствует усилиям страны по выполнению мероприятий в рамках ПОД/ФТ. Следует подчеркнуть, что сам по себе факт включения чего-либо в список на этом этапе необязательно означает наличие повышенного или пониженного риска ОД/ФТ. Это свидетельствует только об отношении к важности данного фактора риска ОД/ФТ, подлежащего анализу.

На этапе выявления могут быть использованы два основных подхода.

Первый подход базируется на выявлении событий, представляющих интерес с позиции риск-ориентированного надзора в рамках ПОД/ ФТ. Рассмотрение и изучение конкретных случаев ОД/ФТ (событий) помогают определить масштабы (незначительные или, напротив, значительные) возможных нежелательных последствий для конкретной страны.

Приведем примеры конкретных событий, в которых проявляются факторы риска ОД/ФТ:

– группы наркоторговцев используют контрабанду наличных денег для вывода незаконных доходов за границу;

– известно, что террористическая группировка «Х» занимается сбором пожертвований наличными деньгами на территории страны;

– иностранные террористические группировки используют некоммерческие организации внутри страны в качестве прикрытия деятельности, связанной с финансированием терроризма;

– иностранные преступные группировки отмывают в стране преступные доходы, полученные за рубежом, путем инвестирования в сектор недвижимости в этой стране;

– террористы/преступники переводят денежные средства из страны, используя неофициальные системы денежных переводов[191];

– финансовые учреждения не могут выявить подозрительные операции вследствие слабой системы мониторинга факторов риска ОД/ФТ;

– лица, занимающиеся отмыванием денег, избегают обвинительных приговоров вследствие несовершенства законодательства в области ПОД/ФТ.

Второй подход предусматривает изначальное рассмотрение существующих тенденций и ситуации на макроуровне. На основании результатов данного анализа делается вывод о необходимости совершенствования национальной системы ПОД/ФТ (исходя из наличия уязвимостей для конкретной страны). При использовании данного подхода составляется список факторов риска, касающихся угроз и уязвимостей.

Приведем некоторые примеры факторов риска ОД/ФТ на макроуровне:

– характер и масштабы соответствующей преступной деятельности (т. е. предикатных преступлений) внутри страны;

– виды совершаемых предикатных преступлений;

– суммы доходов от преступной деятельности внутри страны;

– трансграничные потоки преступных доходов из страны и в страну;

– суммы доходов, полученных от совершаемых за рубежом преступлений и легализуемых (отмываемых) в стране;

– источники, нахождение и места сосредоточения преступной деятельности, в том числе в незаконных («подпольных») секторах экономики;

– характер и масштабы террористической деятельности и террористических группировок внутри страны;

– характер и масштабы террористической деятельности и террористических группировок в соседних странах, регионах и субрегионах.

Такой список может быть расширен или, наоборот, сокращен в зависимости от масштаба оценки риска ОД/ФТ. После составления исходного списка рисков можно переходить к следующему этапу оценки.

8.4.1.2. Второй этап: анализ риска ОД/ФТ

Данный этап составляет основу процесса оценки риска ОД/ФТ. Именно в рамках анализа процесс оценки переходит от стадии простого описания факторов риска ОД/ФТ, с которыми сталкивается страна (иными словами, от обзора ситуации в стране), к стадии более полного понимания характера, масштабов и возможного влияния факторов риска ОД/ФТ на ситуацию в стране (т. е. производной от угрозы, уязвимости и последствий). Соответственно, основной целью этого этапа является проведение анализа факторов риска ОД/ФТ для понимания их характера, вероятности и последствий и присвоения каждому фактору риска ОД/ФТ определенного относительного значения или важности.

В идеале при проведении такого анализа учитываются соответствующие факторы общей ситуации и условий (в самом широком понимании), которые оказывают влияние на развитие рисков. Такие факторы включают общие условия в стране (в частности, политические, экономические, географические и социальные аспекты), а также иные факторы, касающиеся структуры и конкретных обстоятельств, которые могут повлиять на то, каким образом реализуются меры ПОД/ФТ. При определении того, какие факторы внешней среды и условий связаны с проблемой ОД/ФТ, целесообразно рассматривать их в политическом, экономическом, социальном, технологическом, экологическом и правовом разрезе.

С практической точки зрения многие из этих факторов, наряду с некоторыми имеющимися в стране уязвимостями, окажутся уже выявленными и определенными. Приведем несколько примеров таких факторов[192].

Политические факторы:

– структура политической системы;

– стабильность действующего правительства;

– серьезность политических намерений и обязательств реализовывать программы в области ПОД/ФТ;

– серьезность политических намерений и обязательств бороться с преступностью;

– наличие незаконного оборота стрелкового оружия;

– распространение сетей, по которым осуществляется контрабанда;

– включение ПОД/ФТ в число национальных приоритетов;

– проведение государственными органами оценки риска ОД/ФТ.

Экономические факторы:

– масштабы регулирования в экономике;

– средние доходы населения;

– обменные курсы валюты;

– стоимость услуг;

– размер сектора финансовых услуг;

– общая прозрачность финансовой системы;

– характер системы осуществления платежей и масштабы (распространенность) операций с использованием наличных денег;

– величина неофициального сектора экономики;

– процент наличных денег, обращающихся вне официальной (законной) банковской системы, особенно по сравнению с другими сопоставимыми странами;

– наличие некоммерческих организаций, занимающихся деятельностью в зонах конфликтов за рубежом или в регионах, известных как места сосредоточения террористической деятельности;

– наличие некоммерческих организаций, занимающихся сбором средств для получателей в третьей стране – членов структур, участвующих в насильственной или партизанской деятельности.

Социальные факторы:

– демографическая ситуация в обществе;

– степень социальной вовлеченности;

– миграция населения;

– этническое разнообразие населения;

– культурные факторы и характер гражданского общества;

– наличие областей социальных, этнических или политических конфликтов;

– наличие культурных связей с юрисдикциями, в которых ведется террористическая деятельность и (или) существует политическая нестабильность;

– уровень взаимодействия/сотрудничества между правительством и финансовым сектором;

– практика обхода дочерними (аффилированными) структурами банков международных запретов на осуществление операций для террористов, лиц, занимающихся незаконным оборотом наркотиков, и других лиц, ведущих противоправную деятельность, а также «стран-изгоев».

Технологические факторы:

– использование транспорта;

– использование новых методов связи;

– внедрение и использование новых способов платежей.

Экологические факторы:

– глобальные экологические факторы, такие как наличие воды, глобальное потепление и т. д.;

– использование ресурсов (в т. ч. повторное);

– влияние местной экологической обстановки на преступность[193];

– влияние законодательства в сфере экологии.

Правовые факторы:

– состояние системы уголовного правосудия и правовой среды;

– быстрота и простота принятия законов;

– особенности действующего законодательства;

– влияние международных стандартов на национальное законодательство;

– сильные и слабые стороны законодательства, направленного на борьбу с серьезными (тяжкими) преступлениями и организованной преступностью;

– сильные и слабые стороны законодательства в области ПОД/ФТ.

На практике для оценки риска ОД/ФТ применимы не все факторы внешней среды и условий. Отдельные факторы различаются в зависимости от страны и могут со временем видоизменяться. Важно, чтобы рассматриваемые факторы имели непосредственное отношение к предмету оценки, и поэтому, возможно, потребуется использование таких методов, как опросы, групповые обсуждения экспертами для согласования факторов, подлежащих рассмотрению в процессе конкретной оценки риска ОД/ФТ. Кроме того, при рассмотрении некоторых внешних факторов может выясниться, что определенные факторы риска ОД/ФТ не были выявлены на первом этапе. Как отмечалось выше, процесс оценки (даже на этапе анализа) должен быть достаточно гибким и позволять делать уточнения для внесения изменений (добавлений, удалений или объединений) в список факторов риска ОД/ФТ, выявленных на первом этапе.

В процессе анализа факторов риска ОД/ФТ чрезвычайно важно иметь общее понимание того, почему имеют место случаи ОД/ФТ.

Деятельность, связанная с ОД/ФТ, способствует расширению масштабов преступности и терроризма. Большинство преступлений совершаются ради получения выгоды (доходов), и поэтому преступники предпринимают все усилия для перемещения полученных незаконным образом денежных средств и другого имущества с целью их конвертации, а также сокрытия или маскировки истинного характера и источника происхождения средств[194].

Не менее важными являются последствия ОД/ФТ (в т. ч. связанные с возможным использованием интернет-платежей в схемах, направленных на ОД/ФТ). Последствия такой незаконной финансовой деятельности часто рассматриваются на национальном или международном уровне, но они также оказывают влияние на региональном и местном уровнях (в т. ч. уровне отдельных граждан).

Далее приведем примеры последствий отмывания денег, которые могут помочь участникам оценки риска ОД/ФТ сделать выводы о степени относительной важности каждого выявленного фактора данного риска:

– ущерб для жертв и доходы для преступника;

– более высокий приток капитала;

– нарушение структуры потребления;

– изменения в сфере прямых иностранных инвестиций;

– диспропорция в структуре вкладов и сбережений;

– повышение доступности кредитов;

– изменения в денежном спросе, обменных курсах валют и процентных ставках, в том числе усиление колебаний обменных курсов валют и процентных ставок;

– снижение доходов государственного сектора;

– риски для финансовой состоятельности и ликвидности финансового сектора;

– снижение доходов финансового сектора;

– подрыв репутации финансового сектора;

– нечестная конкуренция;

– искусственное повышение цен;

– изменение структуры импорта и экспорта;

– проникновение нелегального бизнеса в законную деятельность;

– снижение темпов экономического роста;

– искажение экономической статистики;

– снижение объемов производства, доходов и занятости;

– коррупция и взяточничество;

– рост преступности;

– угроза для приватизации;

– подрыв деятельности политических учреждений;

– подрыв достижения внешнеполитических целей;

– рост терроризма.

Сложность при использовании формализованных методов заключается в том, что риск ОД/ФТ по своему характеру трудно поддается описанию или измерению в количественном или числовом выражении. Если имеется возможность проанализировать уровень серьезности отдельных факторов риска ОД/ФТ с точки зрения их последствий или влияния, а также вероятности их реализации, то может быть выведена приблизительная оценка уровня данного риска.

На рис. 45 приведен пример простейшей таблицы (матрицы) для анализа риска ОД/ФТ.

При проведении комплексной оценки риска ОД/ФТ на национальном уровне целесообразно использовать более подробную таблицу (матрицу) для включения расширенного спектра возможных действий.

8.4.1.З. Третий этап: оценка риска ОД/ФТ

Последним этапом рассматриваемого процесса является оценка риска ОД/ФТ. На этом этапе результаты, полученные в ходе анализа, используются для определения приоритетных направлений снижения риска ОД/ФТ с учетом цели, определенной в начале процесса оценки[195].

Рис. 45. Пример таблицы/матрицы оценки риска ОД/ФТ

В зависимости от источника имеется ряд способов управления риском ОД/ФТ, включая предупреждение (избежание), снижение (уменьшение), принятие (допустимой степени риска) или планирование на случай чрезвычайных обстоятельств. В контексте риск-ориентированного подхода наиболее актуальными из этих методов являются предупреждение (т. е. запрет определенных продуктов, услуг или деятельности) и снижение (уменьшение) риска. Таким образом, результатом оценки уровней риска ОД/ФТ обычно является разработка стратегии по управлению данным риском.

Если взять за основу пример таблицы (матрицы) анализа риска ОД/ФТ (рис. 45), то для его оценки может быть использован подход, отраженный на рис. 46.

Рис. 46. Пример расширенной таблицы/матрицы оценки риска ОД/ФТ

Повышенные уровни риска ОД/ФТ могут потребовать принятия более быстрых и оперативных мер по их снижению, тогда как в случае пониженных уровней данного риска могут потребоваться менее активные меры или другие виды реагирования (например, мониторинг). С другой стороны, повышенные уровни риска ОД/ФТ могут указывать на наличие системных или более глубоких рисков, требующих принятия соответствующих мер по их снижению на протяжении продолжительного периода. В целом по своему характеру такое реагирование требует проведения консультаций (внутри правительства, а также между правительством и представителями отрасли), выработки политики и практической реализации мер, и все это может занять довольно много времени.

Определение приоритетности в рамках управления риском ОД/ФТ на этапе оценки поможет в решении задачи, касающейся распределения ограниченных ресурсов для финансирования программ, направленных на ПОД/ФТ[196]. Процесс оценки помогает государственным органам в принятии решений о наиболее эффективном использовании ресурсов, а также позволяет определить приоритетные направления деятельности регулирующих и правоохранительных органов.

В рамках выполнения мер по ПОД/ФТ странам следует реализовывать все доступные меры (например, стандарты ФАТФ) и выделять достаточные ресурсы для снижения выявленных факторов риска ОД/ФТ. Фактически применение риск-ориентированного подхода позволяет странам разработать гибкий комплекс мер для более эффективного направления ресурсов, в том числе путем гибкого применения предупредительных мер в отношении финансового и других секторов. Исходя из выявленных факторов риска ОД/ФТ применяемые меры должны служить наиболее эффективным препятствием на пути проникновения преступных доходов и средств, предназначенных для поддержки терроризма.

Меры, направленные на снижение риска ОД/ФТ, должны также позволять всем участникам системы ПОД/ФТ более эффективно выявлять случаи такой деятельности и сообщать о них. В арсенале правоохранительных органов должны быть меры, позволяющие эффективно выявлять, пресекать деятельность и наказывать тех, кто участвует в ОД/ФТ.

8.4.2. Представление результатов оценки рисков

В рекомендациях ФАТФ нет строгих правил оформления результатов оценки риска ОД/ФТ. Однако для государственных органов удобнее всего, когда результаты оценки оформляются в виде отчета.

Целесообразно, чтобы решение о структуре такого отчета (а также о степени подробности представленной в нем информации) принималось на ранних этапах процесса проведения оценки, обычно с учетом ее цели и масштаба.

Независимо от формы проведения и представления результатов оценки риска ОД/ФТ ее результаты должны давать государственным органам возможность судить об уровне риска ОД/ФТ и определять приоритетность мер по его снижению.

Ответные политические меры должны быть пропорциональны характеру и уровню выявленных факторов риска ОД/ФТ. Поэтому целесообразно, чтобы в оценке риска ОД/ФТ содержалась достаточная информация об источнике, характере и степени каждого фактора риска, которая могла бы помочь определить меры для его снижения.

Таким образом, результаты оценки риска ОД/ФТ на национальном уровне могут внести ценный вклад в выработку или уточнение национальной политики или планов действий в области ПОД/ФТ. Такие политические решения могут в конечном итоге отразиться на действиях некоторых компетентных органов и порядке выполнения ими своих обязанностей (например, порядке проведения финансовых расследований).

Необходимо учитывать, что в некоторых оценках риска ОД/ФТ содержится слишком много чувствительной информации. Открытое опубликование такой информации (или результатов такой оценки) привлечет излишнее внимание к недостаткам в системе ПОД/ФТ страны. Кроме того, на часть информации, получаемой в ходе оценки, могут распространяться требования о конфиденциальности. Если чувствительный характер информации не позволяет предоставить полный отчет об оценке риска ОД/ФТ широкому кругу заинтересованных лиц, то следует рассмотреть возможность предоставления отредактированных материалов, не содержащих чувствительной информации[197].

Отдельной целью оценки риска ОД/ФТ может быть предоставление информации общественности для содействия общему пониманию правительственных инициатив в области ПОД/ФТ.

Следует отметить, что распространение интернет-платежей стало причиной возникновения новых факторов риска ОД/ФТ. В рамках предоставления банковских услуг данные факторы риска должны выявляться в ходе инспекционных проверок со стороны уполномоченных представителей Банка России.

Обобщенный порядок выявления и анализа операций клиентов банка на предмет выявления сомнительности представлен на рис. 47.

В заключение хотелось бы отметить, что в последнее время все большую популярность завоевывают различные системы мобильных платежей, при которых не требуется открытия банковского счета. С учетом того, что данный сегмент рынка финансовых услуг еще недостаточно урегулирован с точки зрения ПОД/ФТ, в ближайшее время потребуется разработка новых (или существенная доработка действующих) нормативных документов, направленных на снижение риска ОД/ФТ.

Рис. 47. Порядок выявления сомнительных операций в банке

Поднятые в данной главе вопросы должны в первую очередь расширить представление читателей об источниках риска ОД/ФТ, связанных с особенностями функционирования интернет-сайтов и возможным использованием интернет-платежей в противоправных целях.

Не менее важно, чтобы традиционные финансовые учреждения (реализующие мероприятия в рамках финансового мониторинга) обращали пристальное внимание на истинные цели использования отдельных интернет-сайтов, а также на клиентов, предположительно использующих интернет-платежи для сомнительных операций. В связи с этим сотрудники, в чьи обязанности входит проведение мероприятий финансового мониторинга, должны знать о существующих способах ОД/ФТ с использованием интернет-платежей. Необходимо постоянно повышать уровень их осведомленности о новых источниках риска ОД/ФТ (в т. ч. с использованием новейших информационных и телекоммуникационных технологий)[198].

Источники риска ОД/ФТ имеют глобальный характер, так как поставщики услуг интернет-платежей могут находиться в разных странах и осуществлять свою деятельность не в одном правовом поле. Поэтому важно, чтобы во всех странах принимались схожие законы, предусматривающие обязательную идентификацию клиента, надлежащую проверку клиента, ведение учетной документации и предоставление отчетности, – в противном случае некоторые поставщики услуг интернет-платежей могут выбрать страну с самым несовершенным законодательством или страну, в которой такая деятельность вообще не регламентируется.

Положительную роль в совершенствовании мер, направленных на ПОД/ФТ в условиях интернет-платежей, может играть изучение передовых методов работы финансовых разведок отдельных стран. В связи с этим большое значение имеет международное сотрудничество в данной области.

9. Интернет-трейдинг как инструмент отмывания денежных средств на фондовой бирже

Только нам начинает казаться, что мы что-то узнали, как обнаруживается, что мы не знаем ничего.

Гастон Леру. Тайна желтой комнаты

Введение

Три пути ведут к знанию. Путь размышлений – самый благородный, путь подражания – самый легкий, путь опыта – самый горький.

Конфуций (Кун-цзы), древнекитайский мыслитель и философ

Одним из финансовых секторов экономики, наиболее часто используемых злоумышленниками в целях реализации противоправных схем, направленных на отмывание преступных доходов, является фондовый рынок (рынок ценных бумаг).

В схемах, реализуемых злоумышленниками, сделки с ценными бумагами могут проводиться как на организованных биржевых торгах, так и на внебиржевом рынке, то есть путем заключения сторонами различных договоров (купли-продажи, мены, репо[199] и др.) вне организованного биржевого рынка. Чаще всего злоумышленниками используется комбинированная схема, при реализации которой поочередно совершаются биржевые и внебиржевые сделки.

Ввиду того что фондовая биржа представляет собой достаточно сложный механизм с огромным разнообразием возможностей заключения сделок в различных режимах торгов, механизмов отмывания преступных доходов на фондовом рынке существует достаточно много, и, как правило, выбор используемого злоумышленниками механизма зависит от следующих факторов:

– профессионализма организаторов схемы, их навыков и компетенции;

– сумм денежных средств, которые должны получить законный вид;

– планируемого периода использования схемы;

– наличия дополнительных по отношению к отмыванию задач, которые должны быть реализованы;

– предназначения схемы (отмывание собственных средств, предоставление услуг третьим лицам).

Прежде чем перейти к разбору механизмов реализации схем по отмыванию преступных доходов на фондовой бирже с использованием систем интернет-трейдинга, необходимо дать определение понятию «интернет-трейдинг» и рассмотреть ряд важных вопросов, которые помогут более детально разобраться в описанных в настоящей главе схемах:

– как устроен механизм эмиссии и размещения ценных бумаг?

– кто является участником биржевых торгов?

– как устроена система учета прав на ценные бумаги?

– каков механизм расчета по сделкам с ценными бумагами, заключенным на организованных биржевых торгах и на внебиржевом рынке?

– каков механизм совершения биржевых сделок?

Обозначенные вопросы мы разберем ровно в той мере, которая необходима для понимания процессов, реализуемых злоумышленниками в рассмотренных авторами схемах по отмыванию преступных доходов.

Интернет-трейдинг – это способ доступа к биржевым торгам посредством разнообразных программных комплексов и сервисов через интернет. В настоящей главе будет использовано понятие системы интернет-трейдинга, под которым подразумевается любой доступ к биржевым торгам с использованием интернета.

9.1. Механизм эмиссии и размещения ценных бумаг

Правители нуждаются в мудрецах значительно больше, чем мудрецы в правителях.

Абу-ль-Фарадж, сирийский писатель, ученый, философ и врач

9.1.1. Как устроен механизм эмиссии и размещения ценных бумаг?

Деятельность, связанная с организацией биржевых торгов, регулируется Федеральным законом от 21.11.2011 № 325-ФЗ «Об организованных торгах» [59] (далее – Закон № 325-ФЗ), в котором закреплены достаточно жесткие требования, предъявляемые к организаторам и участникам биржевых торгов, а также определены основы государственного регулирования указанной деятельности и контроля над ее осуществлением.

По состоянию на май 2019 г. только шесть организаций имели соответствующие лицензии биржи, уполномочивающие осуществлять биржевую деятельность на территории Российской Федерации[200]. Из них только две организации проводят организованные биржевые торги в секции фондового рынка: ПАО Московская Биржа и ПАО «СПБ».

Одним из требований, предъявляемых к организатору биржевых торгов, являются составление и закрепление «правил биржевых торгов», в которых должны быть учтены нормы действующего законодательства, регулирующего соответствующее направление. Правила биржевых торгов в обязательном порядке должны быть зарегистрированы в Банке России. Одним из наиболее значимых элементов правил организованных торгов является обязательное закрепление в них правил допуска ценных бумаг к организованным биржевым торгам и листинга/делистинга ценных бумаг.

Требования к ценным бумагам, претендующим на включение в список ценных бумаг, допущенных к биржевым торгам, закреплены в Положении Банка России от 24.02.2016 № 534-П «О допуске ценных бумаг к организованным торгам» [19].

Ценные бумаги допускаются к организованным биржевым торгам путем осуществления их листинга (включения ценных бумаг эмитентов в список ценных бумаг, допущенных к организованным биржевым торгам).

Осуществление листинга ценных бумаг допускается при условии соответствия таких ценных бумаг требованиям законодательства Российской Федерации, в том числе нормативных актов Банка России.

Список ценных бумаг, допущенных к торгам биржи, состоит из трех разделов (первый уровень, второй уровень и третий уровень).

Разграничение уровней (первый, второй, третий) списка ценных бумаг, допущенных к организованным биржевым торгам, реализовано в целях защиты инвесторов, которые должны понимать риск вложения в те или иные ценные бумаги, не прибегая к глубокому использованию методов фундаментального анализа. Уровень листинга служит своеобразным качественным показателем надежности эмитента и риска, который несет в себе инвестирование денежных средств в ценные бумаги, включенные в тот или иной уровень ценных бумаг, допущенных к биржевым торгам.

В первый уровень включены ценные бумаги наивысшей надежности, например облигации федерального займа или акции крупных компаний, показывающих устойчивые темпы развития на протяжении длительного периода.

Во второй уровень включены ценные бумаги иных эмитентов, которые не соответствуют требованиям, предъявляемым к ценным бумагам первого уровня. Первый и второй уровни включены в котировальные списки.

В третий уровень включены ценные бумаги эмитентов, которые не соответствуют требованиям, предъявляемым к ценным бумагам первого и второго уровней, однако допущены биржей к организованным торгам.

Эмиссия ценных бумаг и их последующее размещение на организованных биржевых торгах являются сложным и довольно длительным процессом, как правило, состоящим из следующих этапов:

– принятия решения о размещении ценных бумаг или иного решения, являющегося основанием для размещения ценных бумаг;

– утверждения решения о выпуске (дополнительном выпуске) ценных бумаг;

– подготовки проспекта эмиссии ценных бумаг и его регистрации;

– государственной регистрации выпуска (дополнительного выпуска) ценных бумаг или присвоения выпуску (дополнительному выпуску) ценных бумаг идентификационного номера;

– размещения ценных бумаг;

– государственной регистрации отчета об итогах выпуска (дополнительного выпуска) ценных бумаг или представления в Банк России уведомления об итогах выпуска (дополнительного выпуска) ценных бумаг.

В некоторых случаях процедура эмиссии и размещения может сопровождаться дополнительными этапами или, наоборот, проводиться в упрощенном порядке.

После успешного размещения ценных бумаг на организованных биржевых торгах они попадают на вторичный рынок, где становятся доступны для покупки/продажи неограниченному кругу инвесторов.

Стоит отметить, что в некоторых случаях для определенного вида ценных бумаг устанавливаются законодательные ограничения на категории инвесторов, имеющих право совершать сделки с такими ценными бумагами.

Для использования ценных бумаг в целях отмывания денежных средств на фондовой бирже с использованием систем интернет-трей-динга неважно, в какой из вышеуказанных уровней были включены выбранные злоумышленниками ценные бумаги.

Важно, что такие ценные бумаги допущены к организованным биржевым торгам, а это значит, что их эмитенты прошли проверку экспертов биржи и признаны ими как соответствующие правилам листинга.

В табл. 2 приведены сведения о количестве каждого из видов ценных бумаг, допущенных к торгам на одной из крупнейших российских бирж – ПАО Московская Биржа[201] (на 01.05.2019).

Согласно данным, представленным в таблице, к организованным биржевым торгам ПАО Московская Биржа допущено весьма небольшое количество ценных бумаг, что в свою очередь связано с довольно сложными этапами их эмиссии и первичного размещения.

Кроме того, в соответствии со ст. 30 Федерального закона от 22.04.1996 № 39-ФЗ «О рынке ценных бумаг» [55] после эмиссии ценных бумаг на компанию-эмитента возлагается обязанность по раскрытию информации о собственной деятельности на периодической основе.

Таблица 2

Количественные данные о ценных бумагах, допущенных к биржевым торгам на 01.05.2019

К такой информации относятся:

– ежеквартальный отчет эмитента эмиссионных ценных бумаг;

– консолидированная финансовая отчетность эмитента;

– сообщения о существенных фактах (сведения, которые в случае их раскрытия могут оказать существенное влияние на стоимость или котировки эмиссионных ценных бумаг эмитента).

Под раскрытием информации понимается обеспечение ее доступности всем заинтересованным в этом лицам независимо от целей получения. Доступность информации обеспечивается путем ее размещения на веб-сайте одного из информационных агентств, которые уполномочены на проведение действий по раскрытию информации:

– ООО «Интерфакс – Центр раскрытия корпоративной информации»;

– АО «Агентство экономической информации «ПРАЙМ»;

– АО «Система комплексного раскрытия информации и новостей»;

– ЗАО «Анализ, Консультации и Маркетинг»;

– АНО «Ассоциация защиты информационных прав инвесторов».

После выбора информационного агентства и размещения там необходимой информации эмитент обязан разместить на собственном веб-сайте ссылку на страницу выбранного им информационного агентства.

В случае если эмитент размещенных им ценных бумаг перестает соответствовать требованиям, предъявляемым к эмитентам ценных бумаг, эмитированные им ценные бумаги будут исключены из списка ценных бумаг, допущенных к организованным торгам биржи (делистинг ценных бумаг). Также делистинг ценных бумаг может быть проведен биржей в случаях:

– заявления эмитента;

– признания эмитента банкротом;

– реорганизации/ликвидации эмитента;

– несоблюдения эмитентом требований законодательства;

– существенных нарушений раскрытия информации.

9.1.2. Кто является участником биржевых торгов?

Закон № 325-ФЗ строго определил перечень лиц, допущенных к участию в организованных биржевых торгах, к которым относятся следующие субъекты:

– компании, имеющие лицензии профессионального участника рынка ценных бумаг (управляющие компании, брокеры);

– управляющие компании инвестиционных фондов, паевых инвестиционных фондов, негосударственных пенсионных фондов;

– дилеры;

– центральный контрагент;

– Банк России;

– Федеральное казначейство.

Право совершать сделки с ценными бумагами на организованных биржевых торгах от своего имени и за свой счет без посредников и получения дополнительных лицензий (разрешений) предоставлено законом только Федеральному казначейству и Банку России.

Иным юридическим лицам предоставляется возможность совершения сделок от своего имени и за свой счет только при получении лицензии дилера, выдаваемой Банком России.

Юридическим лицам, не имеющим дилерской лицензии, а также всем физическим лицам для совершения биржевых сделок необходим посредник, которым, согласно действующему законодательству, выступает такой профессиональный участник рынка ценных бумаг, как брокер.

Брокером может являться только юридическое лицо, получившее в установленном законом порядке выдаваемую Банком России лицензию брокера.

Брокерской деятельностью признается деятельность по исполнению поручения клиента (в т. ч. эмитента эмиссионных ценных бумаг при их размещении) на совершение гражданско-правовых сделок с ценными бумагами и (или) на заключение договоров, являющихся производными финансовыми инструментами, осуществляемая на основании возмездных договоров с клиентом[202].

Иными словами, брокер выступает посредником между двумя сторонами, имеющими намерение на покупку/продажу какого-либо финансового инструмента. По распоряжению клиента брокер может совершать сделки в интересах клиента как на организованных биржевых торгах, так и на внебиржевом рынке.

9.1.3. Как устроена система учета прав на ценные бумаги?

Важнейшим элементом инфраструктуры рынка ценных бумаг является учетная система. В России учетная система реализуется такими профессиональными участниками рынка ценных бумаг, как регистраторы и депозитарии.

Деятельность регистраторов и депозитариев осуществляется на основании соответствующих лицензий, выдаваемых Банком России. Основными функциями данных организаций являются учет (хранение) ценных бумаг и подтверждение прав на них, а также осуществление перечислений своим депонентам доходов по ценным бумагам и осуществление налоговых отчислений по таким перечислениям.

В настоящее время практически все ценные бумаги выпускаются в бездокументарной форме, поэтому в большинстве случаев учет прав на ценные бумаги представляет собой систему электронных записей в соответствующих программных комплексах.

Учет прав на ценные бумаги, осуществляемый депозитарием и регистратором, юридически равнозначен, однако роль данных профессиональных участников рынка ценных бумаг в системе учета ценных бумаг имеет существенные различия.

Регистратор ориентирован на обслуживание эмитентов ценных бумаг, с которыми он заключает договоры на ведение реестра ценных бумаг. Регистратор учитывает выпущенные эмитентом ценные бумаги и осуществляет запись перехода прав на них по лицевым счетам, которые открывает своим клиентам. Таким образом, клиент регистратора не может учитывать на лицевом счете, открытом в регистраторе, ценные бумаги, эмитент которых не является клиентом регистратора.

Депозитарий же, наоборот, ориентирован на обслуживание физических и юридических лиц. Депозитарий заключает со своими клиентами депозитарные договоры, в рамках которых открывает счета депо. На одном счете депо может учитываться множество различных видов ценных бумаг.

Таким образом, для получения возможности совершения сделок с ценными бумагами инвестору необходимо открыть лицевой счет или счет депо, на котором будут учитываться приобретенные инвестором ценные бумаги.

Как правило, профессиональные участники рынка ценных бумаг совмещают брокерскую и дилерскую деятельность, однако это не обязывает инвестора заключать договоры на брокерское и депозитарное обслуживание с одной компанией.

В случае если условия на депозитарное обслуживание, предлагаемые третьей компанией, не являющейся брокером инвестора, будут для него наиболее подходящими, он беспрепятственно может стать клиентом такого депозитария. В свою очередь регистратор не может совмещать свою деятельность с иной деятельностью профессионального участника рынка ценных бумаг.

Для того чтобы брокер на основании полученных от инвестора поручений мог выставлять заявки на совершение сделок в торговую систему биржи, ему необходимо обладать сведениями об остатках ценных бумаг, учитываемых на счете депо инвестора. Для этого инвестору необходимо передать права на распоряжение ценными бумагами, находящимися на его счете депо, брокеру. Лицо, получившее полные права на распоряжение счетом депо, называется попечителем счета депо. Лицо, получившее частичные права на распоряжение счетом депо, называется оператором счета депо.

Таким образом, при назначении попечителя счета депо клиент депозитария лишается возможности подавать депозитарию поручения на совершение операций с принадлежащими ему ценными бумагами. Даже если инвестор заключил с кем-либо внебиржевую сделку, предусматривающую переход прав на ценные бумаги без участия брокера, поручение на перевод ценных бумаг он должен направить своему брокеру, являющемуся попечителем счета депо, который в свою очередь транслирует такое поручение в депозитарий.

В отношении одного счета депо может быть назначен только один попечитель. Таким образом, если инвестор является клиентом двух и более брокеров, то для совершения сделок по таким брокерским счетам он должен открыть два и более счета депо.

В случае назначения оператора счета депо инвестор может предоставить такому оператору право распоряжения ценными бумагами по самостоятельно выбранным им разделам и подразделам счета депо. В отношении одного счета депо может быть назначено более одного оператора счета депо.

Стоит отметить, что между попечителем/оператором и депозитарием должен быть заключен договор, устанавливающий их взаимные права и обязанности.

В конце 2011 г. был принят Федеральный закон от 07.12.2011 № 414-ФЗ «О Центральном депозитарии» [57] (далее – Закон № 414-ФЗ), согласно которому с 01.01.2012 в России действует централизованная система учета прав на ценные бумаги. При этом в соответствии с п. 5 ст. 22 Закона № 414-ФЗ статус центрального депозитария может быть присвоен только одному юридическому лицу. Приказом Федеральной службы по финансовым рынкам (ФСФР России)[203] от 06.11.2012 № 12-2761/пз-и статус центрального депозитария был присвоен Небанковской кредитной организации акционерному обществу «Национальный расчетный депозитарий» (НКО АО НРД).

Ценные бумаги эмитента, которые претендуют на включение в список ценных бумаг, допущенных к организованным биржевым торгам, должны быть приняты к учету в НКО АО НРД. Стоит отметить, что к учету в НКО АО НРД также принята значительная часть ценных бумаг, наиболее часто выступающих предметом внебиржевых сделок, но не допущенных к организованным биржевым торгам.

Центральный депозитарий может открывать счета депо только профессиональным участникам рынка ценных бумаг. В свою очередь депозитарий, в котором инвестор открыл счет депо, учитывает принадлежащие инвестору ценные бумаги на счете депо номинального держателя, открытом в НКО АО НРД.

Количество ценных бумаг, учитываемых на счетах депо, открытых депозитарием его клиентам, всегда идентично количеству ценных бумаг, учитываемых на счете номинального держателя, открытом депозитарием в НКО АО НРД.

Указанная система учета прав на ценные бумаги реализована для удобства осуществления взаиморасчетов по сделкам с ценными бумагами, заключаемыми между инвесторами на организованных биржевых и внебиржевых торгах, а также для защиты добросовестных инвесторов от мошеннических действий со стороны третьих лиц.

9.1.4. Каков механизм расчетов по сделкам с ценными бумагами, заключенным на организованных биржевых торгах и на внебиржевом рынке?

В настоящем разделе рассмотрены механизмы расчетов по сделкам, заключенным в режиме основных торгов фондовой секции ПАО Московская Биржа.

При этом для совершения сделок в иных режимах торгов или секциях (срочный рынок, товарный рынок, валютный рынок) ПАО Московская Биржа могут быть установлены другие механизмы расчетов. Также соответствующими правилами биржевых торгов могут быть установлены иные механизмы расчетов в иных компаниях, имеющих лицензии биржи.

Для совершения сделок с ценными бумагами на биржевом рынке инвестор должен перевести собственные денежные средства на специальный банковский счет брокера или внести их наличными через кассу брокера. После этого переведенная/внесенная инвестором сумма денежных средств отразится на его брокерском счете и будет доступна для совершения биржевых операций.

При заключении сделок в режиме основных торгов ПАО Московская Биржа все сделки заключаются с центральным контрагентом, в качестве которого выступает Небанковская кредитная организация – центральный контрагент «Национальный Клиринговый Центр» (АО) (НКО НКЦ (АО)).

Центральный контрагент выступает для продавца покупателем, а для покупателя – продавцом. Таким образом, инвесторы, совершающие биржевые сделки, застрахованы от неисполнения обязательств контрагента по заключенным сделкам. Все риски неисполнения сделок на себя принимает центральный контрагент.

Основным режимом торгов биржи является такой режим торгов, где инвесторы видят (ограниченный) реестр биржевых заявок по тому или иному инструменту, однако информация о том, в чьих интересах была выставлена такая заявка, им недоступна. Даже в случае заключения сделки на основании поданной инвестором заявки он не узнает, кто являлся его контрагентом.

В силу указанных обстоятельств именно основной режим торгов биржи используется злоумышленниками в схемах по отмыванию денежных средств на фондовой бирже с использованием систем интернет-трейдинга (данная тема будет подробно рассмотрена при описании схем по отмыванию денежных средств).

Клиринг по сделкам, заключенным в режиме основных торгов, ПАО Московская Биржа также проводит НКО НКЦ (АО). На рынке акций и паев режима основных торгов ПАО Московская Биржа установлен режим расчетов Т+2. Для совершения сделок в режиме основных торгов ПАО Московская Биржа с муниципальными облигациями, российскими корпоративными облигациями, еврооблигациями Минфина России, еврооблигациями, номинированными не в долларах США, установлен режим расчетов Т+0.

Режим Т+ обозначает срок совершения расчета и непосредственной поставки ценных бумаг по сделке, где Т – это день сделки, а цифра – количество дней до дня расчетов. В режиме Т+2 расчеты и поставка по заключенным сделкам осуществляются на второй день с момента заключения сделки. В режиме расчетов Т+0 расчеты и поставка по сделке осуществляются в день заключения сделки.

При совершении сделок на внебиржевом рынке отсутствует гарант исполнения сделки, которым в режиме основных торгов ПАО Московская Биржа выступает центральный контрагент НКО НКЦ (АО). Это значит, что обе стороны сделки несут риск невыполнения второй стороной своей части обязательств по заключенному договору.

При заключении инвестором договора, предусматривающего переход прав на ценные бумаги за определенную условиями договора плату, инвестор после выполнения своей части договора – оплаты ценных бумаг – сталкивается с риском неисполнения его контрагентом обязательств по поставке ценных бумаг и, как следствие, самостоятельного проведения дальнейших разбирательств с контрагентом в плоскости гражданско-правовых отношений.

При этом инвестор может обезопасить проведение внебиржевых сделок путем привлечения брокера в качестве гаранта по сделке. Однако в таких случаях инвестору необходимо оплатить брокеру комиссию за совершение сделки.

9.1.5. Каков механизм совершения биржевых сделок?

Как правило, подача поручений на совершение сделок с ценными бумагами инвестором своему брокеру может осуществляться следующими способами:

– с использованием систем интернет-трейдинга;

– с использованием телефонной связи;

– путем факсимильного или почтового направления письменного поручения;

– путем самостоятельной передачи письменного поручения представителю брокера.

Брокер, получив от своего клиента поручение на совершение сделки, выставляет заявку, содержащую условия, указанные в поручении клиента, в торговую систему биржи. Право подачи поручений на совершение сделок предоставлено только лицу, заключившему с брокером договор на брокерское обслуживание, однако при оформлении нотариальной доверенности данным правом может быть наделено иное лицо.

В случае использования клиентом брокера систем интернет-трейдинга брокер не имеет возможности сопоставления данных о лице, подавшем поручение, с данными о непосредственном владельце брокерского счета, с которым брокером заключен договор на брокерское обслуживание.

Таким образом, в случае передачи клиентом брокера доступа к выделенной ему системе интернет-трейдинга иному лицу конечный пользователь указанной системы может анонимно совершать биржевые сделки. Брокер при этом будет считать, что такие сделки заключаются непосредственно его клиентом.

К одной из особенностей систем интернет-трейдинга можно отнести скорость выставления заявок в торговую систему биржи. Как правило, разница во времени между подачей клиентом брокера соответствующего поручения и выставлением заявки в торговую систему биржи не превышает одной секунды.

Кроме того, посредством систем интернет-трейдинга поручения могут быть поданы из любой точки мира, где можно установить подключение к интернету.

В настоящее время для передачи поручений на совершение сделок посредством систем интернет-трейдинга разработано множество программных комплексов, в которых реализован весьма широкий спектр возможностей, в том числе:

– получение доступа к торгам на российских и зарубежных биржах;

– получение биржевой информации в режиме реального времени, включая очереди котировок ценных бумаг;

– выставление стоп-заявок (заявок, исполнение которых откладывается до наступления указанного в них условия), отложенных заявок с их пакетным выставлением в торговую систему биржи;

– иные возможности.

Заявки на сделки могут быть лимитированными и рыночными. Лимитированные заявки – это заявки на совершение сделки по покупке/ продаже необходимого инвестору количества ценных бумаг по конкретной указанной им цене. Рыночные заявки – это заявки на совершение сделки по покупке/продаже необходимого инвестору количества ценных бумаг по текущей рыночной цене.

Сделки между участниками торгов заключаются в случае полного или частичного совпадения лучшей цены, указанной в разнонаправленных заявках, поступивших в торговую систему биржи.

Понятие «лучшая цена» рассмотрим на следующем примере. Допустим, инвестор хочет купить ту или иную ценную бумагу за 100 руб. Другой инвестор (Инвестор 1) хочет продать данную ценную бумагу также за 100 руб., Инвестор 2 хочет продать такую же ценную бумагу за 90 руб., а Инвестор 3 – за 80 руб. Для инвестора лучшей ценой будет 80 руб. за ценную бумагу.

Если инвестором будет исполнена в полном объеме заявка, имеющая лучшую цену 80 руб. (заявка Инвестора 3), но этого количества ценных бумаг не хватит, чтобы закрыть его заявку, автоматически будет заключена еще одна сделка также по лучшей для инвестора цене 90 руб. (заявка Инвестора 2).

В случае подачи в торговую систему биржи нескольких заявок, имеющих идентичные параметры цены, их исполнение будет проведено в порядке очереди с учетом времени их выставления в торговую систему биржи. Разница между лучшей ценой покупки и лучшей ценой продажи финансового инструмента называется спредом.

В качестве примера на рис. 48 представлена условная очередь биржевых заявок, поступивших в торговую систему биржи на рынке акций «Х». В профессиональных кругах такая очередь называется «биржевой стакан».

Количество заявок на совершение сделок, поданных в торговую систему биржи, напрямую зависит от ликвидности рынка, и зачастую на рынках неликвидных ценных бумаг можно наблюдать полное отсутствие спроса или предложения на заключение сделок с такими финансовыми инструментами.

Рис. 48. Очередь биржевых заявок («биржевой стакан»)

По результатам совершенной сделки в зависимости от ее условий, предопределенных в том числе условиями режима торгов биржи, в котором такая сделка была заключена, осуществляется переход прав на ценные бумаги от продавца к покупателю. При этом денежные средства в сумме, определенной условиями сделки, поступают с брокерского счета покупателя на брокерский счет продавца.

9.2. Схемы отмывания денежных средств с использованием систем интернет-трейдинга

Мошенничество – это хорошая сделка, столкнувшаяся с плохим законом.

Альфред Капю, французский журналист, романист и драматург, главный редактор Le Figaro

В данном разделе будут рассмотрены самые распространенные способы отмывания преступных доходов на фондовой бирже с использованием систем интернет-трейдинга, которые были раскрыты правоохранительными органами благодаря тесному взаимодействию с иными компетентными структурами. Вопросы, рассмотренные в предыдущем разделе настоящей главы, позволят более детально понять описанные авторами схемы.9.2.1. Схема 1 (simple)

Данная схема является несложной в реализации и может быть использована злоумышленниками, имеющими лишь поверхностные знания процессов, протекающих на фондовом рынке.

Предположим, торговец запрещенными веществами мистер Уайт имеет крупную сумму наличных денежных средств, полученных от реализации наркотических веществ. До момента придания правомерного вида владению (пользованию) указанными денежными средствами мистер Уайт весьма ограничен в своих действиях, связанных с их использованием.

Приобретение желаемых мистером Уайтом дорогостоящих объектов движимого и недвижимого имущества может вызвать ряд вопросов со стороны компетентных органов. В случае если мистер Уайт не сможет указать на источники происхождения денежных средств и подтвердить их законное происхождение, он может стать объектом проверки, по результатам которой его противоправная деятельность, вероятнее всего, будет изобличена, и к мистеру Уайту будут применены соответствующие меры, включая возможную конфискацию незаконно полученного имущества.

В рассматриваемом нами примере в целях придания правомерного вида владению (распоряжению) денежными средствами, полученными от реализации наркотических веществ, мистер Уайт получил в свое распоряжение несколько брокерских, депозитарных и банковских счетов, открытых двум юридическим лицам: ООО «Север» и ООО «Восток» (указанные счета могут быть открыты как на физических, так и на юридических лиц).

ООО «Север» и ООО «Восток» проведены все процедуры, необходимые для получения доступа к дистанционным сервисам обслуживания, включая системы электронного банкинга (СЭБ) и интернет-трейдинга.

Самым простым способом получения указанных счетов является обращение к распространенным специализированным форумам, на которых ежедневно размещаются десятки сотен предложений незаконных финансовых услуг, в том числе услуг по продаже зарегистрированных юридических лиц, имеющих открытые брокерские, депозитарные и банковские счета[204].

Стоит отметить, что вышеуказанные специализированные форумы, как правило, располагаются в так называемом теневом интернете (DarkNet), и все сделки с участниками таких форумов проходят в условиях полной анонимности, то есть покупатель не знает продавца, а продавец не знает покупателя. Анонимность поддерживается на должном уровне в результате использования специальных технических и программных средств, а также благодаря соблюдению элементарных правил конспирации участниками таких форумов.

После получения доступа к «подставным» счетам мистеру Уайту необходимо обеспечить перевод наличных денежных средств, полученных в результате реализации наркотических веществ, в безналичную форму. Для решения данной задачи может быть использовано множество способов. Мы рассмотрим вариант внесения наличных денежных средств через банкомат на корпоративную банковскую карту, открытую на одну из подставных компаний – ООО «Север».

Далее в целях совершения сделок с ценными бумагами от имени ООО «Север» денежные средства, внесенные на корпоративную карту указанного общества, должны быть перечислены брокеру, клиентом которого является ООО «Север». Денежные средства могут быть перечислены в адрес брокера посредством СЭБ, что позволит мистеру Уайту сохранять должный уровень анонимности.

Поступившие на счет брокерской компании денежные средства будут отражены на брокерском счете ООО «Север» и станут доступны для совершения сделок с ценными бумагами. В рассматриваемом нами примере брокер ООО «Север» одновременно выступает его депозитарием и является попечителем счета депо ООО «Север». То есть все поручения на проведение операций по счету депо ООО «Север» может давать только брокер.

Стоит отметить, что мистер Уайт мог сразу внести денежные средства в наличной форме на брокерский счет ООО «Север» через кассу брокерской компании. Однако злоумышленники редко прибегают к данному способу пополнения брокерского счета, так как операции с наличными денежными средствами по брокерским счетам, как правило, вызывают больше подозрений со стороны соответствующих служб внутреннего контроля финансовых организаций, чем совершение операций с наличными денежными средствами по банковским счетам.

После поступления денежных средств на брокерский счет ООО «Север» по данному счету могут совершаться сделки с ценными бумагами в пределах суммы внесенных денежных средств (эквивалентна сумме «грязных» денежных средств, принадлежащих мистеру Уайту).

Для подачи поручений на совершение сделок от имени ООО «Север» мистер Уайт может использовать системы интернет-трейдинга. Как было отмечено в предыдущем разделе настоящей главы, брокер не имеет возможности сопоставления данных о владельце брокерского счета и лице, непосредственно использующем системы интернет-трей-динга. Брокер ООО «Север» будет считать, что заявки от имени ООО «Север» подаются его законным представителем, – это и требуется мистеру Уайту.

В продолжение реализации своего умысла мистер Уайт может приобрести на бирже ликвидные ценные бумаги, реализация которых в дальнейшем не вызовет никаких сложностей. После подачи распоряжения на приобретение ценных бумаг – предположим, условных акций «Х» – брокер выставит соответствующую заявку в торговую систему биржи, и по результатам совершения биржевой сделки на счет депо ООО «Север» поступят приобретенные мистером Уайтом ценные бумаги.

В целях разрыва взаимосвязи между «грязными» денежными средствами и приобретенными на них акциями «Х» мистер Уайт может заключить внебиржевой договор купли-продажи ценных бумаг между ООО «Север» и ООО «Восток».

Для обеспечения возможности аргументированного общения со службой внутреннего контроля брокера, депозитария и биржи в случае возникновения соответствующих вопросов со стороны указанных компаний в условиях договора купли-продажи могут быть прописаны разные сроки фактической поставки ценных бумаг и их оплаты. То есть, согласно условному договору купли-продажи ценных бумаг, ООО «Восток» оплатит акции «Х» через 30 дней после их фактической поставки ООО «Север».

Поскольку попечителем счета депо ООО «Север» выступает его брокер, распоряжение на совершение операции по переводу акций «Х» на счет депо ООО «Восток» должно быть направлено именно брокеру, который самостоятельно транслирует поручение депозитарию ООО «Север» (в рассматриваемом нами примере брокер ООО «Север» также является депозитарием данной компании).

В качестве основания совершения операции брокеру предоставляется копия договора купли-продажи, заключенного между ООО «Север» и ООО «Восток». Отметим, что появление представителей ООО «Север» и ООО «Восток» в брокерской компании необязательно и все вышеуказанные операции могут быть проведены дистанционно с использованием систем интернет-трейдинга.

На данном этапе акции «Х», поступившие на счет депо ООО «Восток», имеют вид законно приобретенных ценных бумаг. Для лиц, которые не обладают информацией о том, что ООО «Север» и ООО «Восток» являются «техническими» компаниями, подконтрольными мистеру Уайту, сделки с акциями «Х», заключенные между ООО «Север» и ООО «Восток», не кажутся подозрительными.

На заключительном этапе легализации денежных средств мистер Уайт от собственного имени может заключить договор купли-продажи ценных бумаг с ООО «Восток», в условиях которого также могут быть прописаны разные сроки фактической поставки ценных бумаг и их оплаты. При этом ООО «Восток» может не иметь действующего брокерского счета, а напрямую подать поручение своему депозитарию (указанное поручение также может быть подано посредством электронных каналов связи).

После поступления акций «Х» на собственный счет депо мистера Уайта акции «Х» могут быть реализованы на биржевом рынке, что придаст денежным средствам видимость легально полученных. С учетом того факта, что акции «Х» являются высоколиквидными ценными бумагами, их реализация практически в любом объеме не вызовет у мистера Уайта никаких сложностей.

В дальнейшем денежные средства с брокерского счета мистера Уайта могут быть переведены на его банковский счет и израсходованы им по собственному усмотрению. В случае приобретения мистером Уайтом дорогостоящих объектов движимого и недвижимого имущества и возникновения соответствующих вопросов со стороны компетентных органов мистер Уайт сможет подтвердить происхождение денежных средств, предоставив соответствующие документы, которые могут быть получены у его брокера.

Несомненно, может сложиться такая ситуация, когда представители компетентных органов попросят мистера Уайта предоставить документы, подтверждающие приобретение реализованного им пакета акций «Х». По этому запросу им может быть предоставлен договор купли-продажи, заключенный между мистером Уайтом и ООО «Восток». Стоит отметить, что между мистером Уайтом и ООО «Восток» могут быть заключены дополнительные соглашения, предусматривающие продление срока оплаты акций «Х».

Также между мистером Уайтом и ООО «Восток» может быть заключено соглашение о прекращении обязательств, вытекающих из договора купли-продажи ценных бумаг, путем передачи мистером Уайтом какого-либо неликвидного имущества или неликвидных ценных бумаг, включая векселя «технических» компаний.

Рассмотренная схема представлена на рис. 49.

Рис. 49. Схема 1 (simple)

Используемые в данной схеме подставные счета не позволяют злоумышленникам пользоваться ею на протяжении продолжитервую очередь это связано с тем, что подставные счета оформлены ельного периода. В пна физических и юридических лиц, к которым злоумышленники не имеют никакого отношения. Соответственно, злоумышленники не могут прогнозировать действия физических лиц, являющихся собственниками таких счетов или учредителями компаний, на которые открыты подставные счета. Потеря контроля над подставными счетами может произойти в силу следующих обстоятельств:

– физические лица, являющиеся владельцами подставных счетов или учредителями юридических лиц, на которые такие счета оформлены, узнав о состоянии остатков по банковским и депозитарным счетам, могут принять самостоятельное решение о снятии активов со счетов;

– участник «серого» форума, предоставивший подставные счета в распоряжение злоумышленников, мог сохранить контроль над данными счетами с целью дальнейшего хищения поступающих на них активов;

– как правило, подставные счета и компании открываются на представителей социально неблагополучных слоев населения, у которых в любой момент могут возникнуть проблемы с правоохранительными и иными компетентными органами государственной власти, способные привести к блокировке банковских, брокерских и депозитных счетов, открытых таким лицам и учрежденным ими компаниям.

Ввиду вышеуказанных причин злоумышленники при использовании рассмотренной схемы всегда рискуют на каком-то этапе потерять контроль над подставными счетами и тем самым лишиться своих нечестно заработанных денежных средств.

Также стоит отметить, что в соответствии с действующим законодательством компании, осуществляющие банковскую, брокерскую и депозитарную деятельность, должны не реже одного раза в год обновлять сведения о своих клиентах. С учетом отсутствия подконтрольности злоумышленникам физических и юридических лиц, счета которых ими используются, пройти повторную процедуру идентификации для мошенников будет практически невозможно.

9.2.2. Схема 2 (complex)

Реализация данной схемы стала возможной благодаря появлению и стремительному развитию систем интернет-трейдинга, позволяющих моментально выставлять заявки на совершение сделок в торговую систему биржи. Данная схема требует от лиц, ее использующих, одновременного выставления торговых заявок по собственным и подставным счетам в режиме основных торгов биржи, что может быть обеспечено только при использовании систем интернет-трейдинга.

Как было отмечено в предыдущих разделах настоящей главы, основной режим торгов биржи – это режим анонимных торгов, где инвесторы не видят контрагентов по сделкам. Участники торгов имеют доступ к информации о собственных заявках, а также о заявках с двадцатью лучшими ценами спроса и предложения, находящихся в очереди торговой системы биржи «биржевой стакан» (см. рис. 48). При этом инвесторам недоступна информация о лицах, выставивших данные заявки. Сделки между инвесторами заключаются в случае совпадения параметров сделки, указанных в заявке. Количество активных заявок на покупку/продажу ценных бумаг напрямую зависит от ликвидности рынка ценных бумаг. В случае если на рынке ценных бумаг присутствует одинаковое количество желающих продать и желающих купить ценную бумагу, наблюдается минимальное значение спреда. При изменении пропорции продавцов и покупателей значение спреда расширяется.

Представим, что по каким-то причинам мистер Уайт отказался от использования схемы 1 (simple) в пользу рассматриваемой схемы 2 (complex). Подыскав несколько подставных брокерских и депозитарных счетов, открытых на трех физических лиц, которыми проведены процедуры, необходимые для получения доступа к системам интернет-трейдинга, и открыв собственные брокерский и депозитарный счета, мистер Уайт решил приступить к отмыванию денежных средств, полученных в результате реализации наркотических веществ.

Теперь мистеру Уайту необходимо применить все имеющиеся у него навыки торговли ценными бумагами на фондовой бирже и путем совершения сделок с ценными бумагами зафиксировать прибыль по собственному брокерскому счету, равную сумме имеющихся в его распоряжении «грязных» денежных средств.

К сожалению, биржевая торговля в какой-то степени схожа с игрой в казино, и, если бы мистер Уайт был способен регулярно получать значительную прибыль от биржевых сделок, возможно, он бы не занимался распространением наркотических веществ.

Здесь-то мистеру Уайту и понадобятся ранее полученные им подставные счета, на которые им могут быть внесены «грязные» денежные средства, подлежащие легализации. Внесение денежных средств на подставные счета позволит мистеру Уайту совершать сделки с ценными бумагами в пределах внесенной суммы.

В целях получения гарантированной прибыли от сделок с ценными бумагами мистер Уайт может заключать сделки между собственным счетом и используемыми им подставными брокерскими счетами, подавая заявки на совершение сделок, имеющие параметры цены, не выходящей за пределы спреда. При этом заявки должны быть поданы одновременно, так как в случае выставления заявок на заключение сделки даже с незначительной разницей во времени сделка может быть исполнена за счет встречной заявки иного участника биржевых торгов.

Мистер Уайт, как и иные участники биржевых торгов, не может обладать информацией об иных участниках выбранного им рынка ценных бумаг. В то же время, выставляя заявки на совершение сделок вышеуказанным способом, мистер Уайт может обеспечить совершение сделок между собственными и подставными счетами.

К примеру, открыв реестр биржевых заявок условных акций «Х», мистер Уайт увидел, что лучшая цена спроса на акции «Х» – 926 руб., лучшая цена предложения – 932 руб., спред равен 6 руб. (рис. 50).

Приобретя по 10 акций «Х» на каждый из подставных счетов у участника рынка, предложившего лучшую цену (932 руб.), мистер Уайт может выставить заявку на продажу указанных акций «Х» по цене 926,2 руб. и одновременно заявку на приобретение акций «Х» с собственного счета по аналогичной цене 926,2 руб. (на данном этапе мистер Уайт может заключать сделки на небольшие суммы собственных (легально) полученных денежных средств).

После приобретения акций «Х» по цене 926,2 руб. мистер Уайт получит возможность продажи указанных ценных бумаг. Учитывая наличие на рынке акций «Х» довольно-таки широкого спреда (6 руб.), мистер Уайт может совершить обратные сделки аналогичным способом (между собственным и подставными счетами), зафиксировав по собственному счету прибыль, а по подставным счетам – убыток.

Рис. 50. Рынок акций «Х» (спред)

В целях наиболее быстрого получения прибыли мистер Уайт может выбрать рынок низколиквидных ценных бумаг с расширенным значением спреда. В нашем примере рассмотрен рынок условных акций «Х», где значение спреда приближено к 6 руб., однако это не самый высокий показатель значений спреда.

В дальнейшем указанные серии сделок могут повторяться многократно до тех пор, пока внесенные на подставные счета «грязные» денежные средства не окажутся на брокерском счете мистера Уайта в виде честно заработанных денежных средств. По результатам совершения данных сделок мистер Уайт оплатит налог на прибыль, полученную в результате таких сделок, и далее сможет вывести денежные средства на банковский счет.

Рассмотренная схема представлена на рис. 51.

Рис. 51. Схема 2 (complex)

Стоит отметить, что ст. 6 Федерального закона от 27.07.2010 № 224-ФЗ «О противодействии неправомерному использованию инсайдерской информации и манипулированию рынком и о внесении изменений в отдельные законодательные акты Российской Федерации» [54] (далее – Закон № 224-ФЗ) установлен запрет на осуществление действий, относящихся к манипулированию рынком, а именно запрещены:

– умышленное распространение через средства массовой информации, в том числе через электронные, информационно-телекоммуникационные сети, доступ к которым не ограничен определенным кругом лиц (включая интернет), любым иным способом заведомо ложных сведений, в результате которого цена, спрос, предложение или объем торгов финансовым инструментом, иностранной валютой и (или) товаром отклонились от уровня или поддерживались на уровне, существенно отличающемся от того уровня, который сформировался бы без распространения таких сведений;

– совершение операций с финансовым инструментом, иностранной валютой и (или) товаром по предварительному соглашению между участниками торгов и (или) их работниками и (или) лицами, за счет или в интересах которых совершаются указанные операции, в результате которых цена, спрос, предложение или объем торгов финансовым инструментом, иностранной валютой и (или) товаром отклонились от уровня или поддерживались на уровне, существенно отличающемся от того уровня, который сформировался бы без таких операций. Данная норма применяется к организованным торгам, операции на которых совершаются на основании заявок, адресованных всем участникам торгов, в случае если информация о лицах, подавших заявки, а также о лицах, в интересах которых были поданы заявки, не раскрывается другим участникам торгов (режим основных анонимных торгов);

– совершение сделок, обязательства сторон по которым исполняются за счет или в интересах одного лица, в результате которых цена, спрос, предложение или объем торгов финансовым инструментом, иностранной валютой и (или) товаром отклонились от уровня или поддерживались на уровне, существенно отличающемся от того уровня, который сформировался бы без таких сделок. Данная норма применяется к организованным торгам, сделки на которых заключаются на основании заявок, адресованных всем участникам торгов, в случае если информация о лицах, подавших заявки, а также о лицах, в интересах которых были поданы заявки, не раскрывается другим участникам торгов (режим основных анонимных торгов);

– выставление за счет или в интересах одного лица заявок, в результате которого на организованных торгах одновременно появляются две и более заявки противоположной направленности, в которых цена покупки финансового инструмента, иностранной валюты и (или) товара выше цены либо равна цене продажи такого же финансового инструмента, иностранной валюты и (или) товара, в случае если на основании указанных заявок совершены операции, в результате которых цена, спрос, предложение или объем торгов финансовым инструментом, иностранной валютой и (или) товаром отклонились от уровня или поддерживались на уровне, существенно отличающемся от того уровня, который сформировался бы без таких операций. Данная норма применяется к организованным торгам, операции на которых совершаются на основании заявок, адресованных всем участникам торгов, в случае если информация о лицах, подавших такие заявки, а также о лицах, в интересах которых были поданы такие заявки, не раскрывается другим участникам торгов (режим основных анонимных торгов);

– неоднократное в течение торгового дня совершение на организованных торгах сделок за счет или в интересах одного лица на основании заявок, имеющих на момент их выставления наибольшую цену покупки либо наименьшую цену продажи финансового инструмента, иностранной валюты и (или) товара, в результате которых их цена существенно отклонилась от уровня, который сформировался бы без таких сделок, в целях последующего совершения за счет или в интересах того же или иного лица противоположных сделок по таким ценам и последующее совершение таких противоположных сделок;

– неоднократное в течение торгового дня совершение на организованных торгах за счет или в интересах одного лица сделок в целях введения в заблуждение относительно цены финансового инструмента, иностранной валюты и (или) товара, в результате которых цена финансового инструмента, иностранной валюты и (или) товара поддерживалась на уровне, существенно отличающемся от уровня, который сформировался бы без таких сделок;

– неоднократное неисполнение обязательств по операциям, совершенным на организованных торгах без намерения их исполнения, с одними и теми же финансовым инструментом, иностранной валютой и (или) товаром, в результате чего цена, спрос, предложение или объем торгов финансовым инструментом, иностранной валютой и (или) товаром отклонились от уровня или поддерживались на уровне, существенно отличающемся от того уровня, который сформировался бы без таких операций. Данные действия не признаются манипулированием рынком, если обязательства по указанным операциям были прекращены по основаниям, предусмотренным правилами организатора торговли и (или) клиринговой организации.

Критерии существенного отклонения цены, спроса, предложения или объема торгов финансовым инструментом, иностранной валютой и (или) товаром по сравнению с уровнем цены, спроса, предложения или объема торгов такими финансовым инструментом, иностранной валютой и (или) товаром, который сформировался бы без учета действий, являющихся манипулированием рынком ценных бумаг, устанавливаются в зависимости от вида, ликвидности и (или) рыночной стоимости финансового инструмента, иностранной валюты и (или) товара организатором торговли (биржей) на основании методических рекомендаций Банка России[205].

Контроль за соблюдением требований, установленных Законом № 224-ФЗ, осуществляет Банк России. Ответственность за нарушения Закона № 224-ФЗ в части манипулирования рынком ценных бумаг в зависимости от последствий такого манипулирования предусмотрена ст. 15.20 КоАП РФ и ст. 185.3 УК РФ[206].

На официальном веб-сайте Банка России[207] опубликовано более 90 пресс-релизов о выявленных случаях манипулирования рынками различных наименований ценных бумаг. Каждый из этих пресс-релизов показывает, насколько совершенно налажена работа Банка России в части контроля за соблюдением участниками биржевых торгов требований Закона № 224-ФЗ и насколько уязвимы перед Банком России злоумышленники, предпринимающие попытки нарушения запретов, установленных данным Законом.

Таким образом, злоумышленники, реализующие схему 2 (complex), несут дополнительные риски изобличения их противоправной деятельности Банком России, что в дальнейшем может послужить поводом для дополнительной квалификации правоохранительными органами действий злоумышленников по соответствующим статьям, предусматривающим ответственность за манипулирование рынками ценных бумаг.

9.2.3. Схема 3 (difficult)

Данная схема является наиболее сложной в реализации и чаще всего используется злоумышленниками, имеющими весьма глубокие познания в области фондовой биржи, информационной безопасности, а также законодательства, регулирующего сферы противодействия отмыванию доходов, полученных преступным путем, неправомерному использованию инсайдерской информации и манипулированию рынком ценных бумаг.

В большинстве случаев схема 3 (difficult) используется злоумышленниками для предоставления незаконных финансовых услуг третьим лицам, однако встречаются случаи, когда владельцы крупных корпораций реализуют данную схему исключительно в собственных интересах.

Помимо легализации денежных средств, полученных преступным путем, схема 3 (difficult) позволяет злоумышленникам реализовывать ряд иных дополнительных по отношению к легализации задач:

– неправомерный вывод денежных средств за пределы Российской Федерации;

– неправомерное обналичивание денежных средств в интересах третьих лиц;

– хищение ликвидных активов предприятий.

Учитывая тот факт, что через данную схему могут проходить очень крупные суммы денежных средств, в том числе не принадлежащих злоумышленникам, ее организаторы предпочитают иметь постоянный контроль над задействованными в схеме компаниями и банковскими/ брокерскими/депозитарными счетами.

Как уже было отмечено выше, получение злоумышленниками полного контроля над подставными компаниями и счетами по ряду объективных причин практически невозможно, в связи с чем в целях получения контроля над вовлеченными в схему 3 (difficult) юридическими лицами, а также над используемыми в схеме банковскими/брокерски-ми/депозитарными счетами мошенники стараются открывать такие компании и счета на своих родственников или близких друзей.

В то же время количество компаний и счетов, необходимых для реализации схемы 3 (difficult), не всегда позволяет злоумышленникам ограничиться открытием компаний и счетов на родственников и (или) друзей.

В некоторых случаях злоумышленниками могут привлекаться третьи лица, не являющиеся их родственниками и (или) друзьями. В случае открытия компаний или счетов на третьих лиц преступники стараются получить полный контроль над действиями таких лиц, для чего нередко прибегают к следующим методам:

– подкупу: физическим лицам может выплачиваться ежемесячная плата за выполнение распоряжений злоумышленников; также может осуществляться разовая оплата за фактически выполненное распоряжение (регистрацию юридического лица, открытие счета, предоставление доступа к нему и др.);

– шантажу: физических лиц могут запугивать раскрытием общественности какой-либо компрометирующей их информации, которая ранее попала в распоряжение злоумышленников;

– угрозам: физические лица получают угрозы расправы над ними и их близкими в случае невыполнения распоряжений злоумышленников.

Таким образом, преступники практически всегда имеют возможность связаться с задействованными в схеме 3 (difficult) лицами и дать соответствующие «обязательные к исполнению» распоряжения.

Одним из основных отличий схемы 3 (difficult) от схем 2 (complex) и 1 (simple) является то, что в целях реализации данной схемы злоумышленники предпочитают использовать ценные бумаги, эмитированные подконтрольными им организациями.

Так как размещение ценных бумаг на организованных биржевых торгах требует от эмитента первоначальных финансовых вложений, связанных с оплатой комиссии биржи, услуг организатора выпуска ценных бумаг (андеррайтера) и др., а также накладывает на эмитента ряд обязательств, это в десятки раз увеличивает уровень сложности реализации схемы и повышает затраты на ее реализацию.

Для того чтобы ценные бумаги были успешно размещены на организованных торгах биржи, они должны быть интересны потенциальному инвестору, при этом даже крупным и широко известным компаниям не всегда удается заинтересовать инвесторов и произвести успешное размещение эмитируемых ими ценных бумаг. Однако, забегая немного вперед, можем сразу отметить, что в процессе реализации схемы 3 (difficult) инвесторы интересуют злоумышленников в последнюю очередь; причины этого будут рассмотрены далее.

Как правило, злоумышленники производят эмиссию ценных бумаг, выпуск и размещение которых требуют наименьших затрат финансовых, временных и трудовых ресурсов. В первую очередь к таким ценным бумагам можно отнести корпоративные или биржевые облигации.

Представим, что в какой-то момент мистер Уайт, в совершенстве освоив принципы торговли на фондовой бирже, получив достаточные знания в области информационной безопасности и законодательства, регулирующего сферы противодействия отмыванию доходов, полученных преступным путем, неправомерному использованию инсайдерской информации и манипулированию рынком ценных бумаг, подыскивает себе несколько сообщников из числа близких друзей: мистера Блэка, мистера Рэда, мистера Еллоу, мистера Блю и мистера Грина, – и решает организовать сервис по легализации, выводу за пределы Российской Федерации и обналичиванию денежных средств, а также хищению ликвидных активов предприятий.

В указанных целях сообщник мистера Уайта мистер Блэк приобретает действующую на протяжении длительного периода компанию ООО «Блэк», соответствующую требованиям, предъявляемым к эмитентам биржевых облигаций. В дальнейшем мистер Блэк, являясь учредителем и руководителем ООО «Блэк», может произвести эмиссию облигаций «Блэк».

Для того чтобы облигации «Блэк» были размещены на торгах биржи, сообщники мистера Уайта могут получить кредит на сумму эмитируемых облигаций «Блэк», а в дальнейшем, используя собственные счета или счета, открытые на подконтрольные им юридические лица, выкупить размещаемые облигации «Блэк» в полном объеме.

После приобретения облигаций «Блэк» сообщниками мистера Уайта на их счетах депо окажутся указанные облигации, а уплаченные за них денежные средства поступят на счет эмитента облигаций ООО «Блэк». Денежные средства, поступившие на счет ООО «Блэк», могут быть направлены на погашение кредита, взятого сообщниками мистера Уайта (рис. 52).

После вышеописанных действий облигации «Блэк» будут доступны для совершения биржевых сделок, включая сделки в режиме основных анонимных торгов биржи для широкого круга инвесторов. Совершение сделок в основном анонимном режиме торгов биржи по предварительной договоренности между сообщниками мистера Уайта позволит злоумышленникам достигать преследуемых ими целей.

Рис. 52. Схема размещения облигаций «Блэк»

Таким образом, в распоряжении мистера Уайта и его сообщников может оказаться финансовый инструмент, номинальная стоимость которого будет ограничена лишь условиями выпуска облигаций «Блэк» и может достигать десятков миллиардов рублей, в то время как его реальная стоимость будет в разы ниже суммы, затраченной на эмиссию облигаций «Блэк». При этом реальная стоимость облигаций «Блэк» будет известна лишь мистеру Уайту и его сообщникам.

Необходимо отметить, что все вышеуказанные действия по эмиссии и последующему размещению облигаций «Блэк» могут быть осуществлены при помощи дистанционных сервисов, включая системы интернет-трейдинга.

Итак, предположим, что к мистеру Уайту с просьбой содействовать в легализации денежных средств, полученных преступным путем, обратился его давний приятель, заработавший крупную сумму денежных средств от реализации наркотических веществ, – доктор А. Дополнительно доктор А пожелал получить часть денежных средств наличными на территории условного государства Викоритания, а часть денежных средств – на банковский счет принадлежащей ему условной компании «Кирус Холдинг Лимитед», зарегистрированной на территории условного государства Кирус.

Отметим, что само по себе обналичивание денежных средств со счетов компаний или физических лиц не является правонарушением. При этом в случае, когда происходит систематическое обналичивание денежных средств, в интересах третьих лиц фактически осуществляются банковские операции, перечень которых закреплен в ст. 5 Федерального закона от 02.12.1990 № 395-1 «О банках и банковской деятельности» [47]. В то же время законодательством запрещено совершение банковских операций без соответствующей лицензии, выдаваемой Банком России. Ответственность за осуществление незаконной банковской деятельности закреплена в ст. 172 УК РФ.

Для выполнения пожеланий доктора А сообщники мистера Уайта – мистер Блю и мистер Еллоу, используя подконтрольные им компании ООО «Блю» и ООО «Еллоу», могут стать клиентами брокерских и депозитарных компаний, предоставляющих услуги на территории Викоритании и Кируса.

Для того чтобы на брокерских счетах ООО «Блю» и ООО «Еллоу», открытых в брокерских компаниях, зарегистрированных на территории Викоритании и Кируса, оказались денежные средства, имеющие вид легально полученных денежных средств, на депозитные счета указанных компаний по внебиржевым сделкам могут быть переведены облигации «Блэк» (в т. ч. без их фактической оплаты) в количестве, сопоставимом с суммой «грязных» денежных средств, принадлежащих доктору А.

В дальнейшем с использованием систем интернет-трейдинга в режиме основных анонимных торгов биржи мистер Блю и мистер Еллоу могут выставить заявки на продажу облигаций «Блэк», поступивших на счета ООО «Блю» и ООО «Еллоу». Покупателями облигаций «Блэк» также могут выступить сообщники мистера Уайта мистер Рэд и мистер Грин, действуя за счет «грязных» денежных средств доктора А, предварительно зачисленных на подконтрольные мистеру Рэду и мистеру Грину ООО «Рэд» и ООО «Грин».

Использование злоумышленниками систем интернет-трейдинга обеспечит заключение сделок между счетами ООО «Блю» и ООО «Еллоу» (продавцов) и ООО «Рэд» и ООО «Грин» (покупателей), даже если на рынке облигаций «Блэк» будут присутствовать иные инвесторы (механизм заключения сделок по предварительному соглашению сторон был описан при рассмотрении схемы 2 (complex)).

По результатам совершения данных сделок «грязные» денежные средства доктора А окажутся на брокерских счетах ООО «Блю» и ООО «Еллоу», открытых в вышеуказанных государствах, откуда беспрепятственно могут быть обналичены или перечислены на собственные банковские счета. В том числе денежные средства, выведенные с брокерского счета на банковский счет ООО «Грин» на территории Кируса, в дальнейшем могут быть перечислены на банковский счет подконтрольной доктору А «Кирус Холдинг Лимитед» в качестве оплаты каких-либо услуг. Денежные средства, обналиченные на территории Викоритании, могут быть переданы доктору А в наличной форме.

Рассмотренная схема представлена на рис. 53.

Реализация дополнительной задачи хищения ликвидных активов предприятия чаше всего осуществляется путем совершения обыкновенных сделок купли-продажи на биржевом или внебиржевом рынке, где предметом таких сделок выступают ценные бумаги, аналогичные облигациям «Блэк».

В таких сделках покупателю достоверно известно истинное предназначение приобретаемых им финансовых инструментов, однако, имея соответствующие договоренности с эмитентом ценных бумаг, покупатель, приобретая ценные бумаги за их полную (номинальную) стоимость, получает от продавца уплаченные за ценные бумаги денежные средства за вычетом комиссии продавца наличными или на счета подконтрольных покупателю компаний.

Рис. 53. Схема 3 (difficult)

В дальнейшем эмитент ценных бумаг допускает дефолт (невыполнение обязательств) по купонным выплатам, после чего инициируется процедура банкротства эмитента. Как показывает практика, доказать преступный умысел покупателя, эмитента и продавца ценных бумаг удается не всегда. Однако при комплексном подходе различных государственных и частных структур к расследованию подобной деятельности у злоумышленников ни остается ни единого шанса на безнаказанность.

Выявление данной схемы легализации денежных средств с использованием систем интернет-трейдинга по ее отдельным элементам весьма затруднительно, так как по отдельности каждое из действий злоумышленников (эмиссия ценных бумаг, заключение сделок, снятие наличных, полученных в результате прибыльных биржевых сделок) не кажется подозрительным. Задействованные преступниками биржа, банки, брокеры и депозитарии как раз видят схему фрагментарно – в части, их касающейся.

Злоумышленники же, будучи компетентными во многих областях экономики и права, а также будучи уверенными в том, что информация об организованной ими схеме скрыта от третьих лиц, всегда готовы дать правдоподобные пояснения по каждой из частей схемы.

Однако, как и любая иная противоправная деятельность, легализация денежных средств с использованием систем интернет-трейдинга по схеме 3 (difficult) имеет множество слабых сторон, которые успешно могут быть использованы сотрудниками компетентных структур.

В настоящее время российское законодательство максимально адаптировалось к всевозможным уловкам, используемым злоумышленниками, не оставляя им шансов избежать наказания. Соответствующие государственные и негосударственные структуры наделены достаточными полномочиями для выявления деятельности преступников, в том числе реализующих вышеописанные схемы легализации денежных средств с использованием систем интернет-трейдинга.

В первую очередь необходимо отметить, что в соответствии со ст. 5 Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» [53] (далее – Закон № 115-ФЗ) профессиональные участники рынка ценных бумаг отнесены к числу организаций, осуществляющих операции с денежными средствами и (или) иным имуществом, и соответственно на них распространяются требование о создании подразделений внутреннего контроля в целях ПОД/ФТ и иные требования Закона № 115-ФЗ.

Кроме того, на профессиональных участников рынка ценных бумаг в соответствии с Положением о внутреннем контроле профессионального участника рынка ценных бумаг, утвержденным Приказом ФСФР России от 24.05.2012 № 12–32/пз-н, возложена обязанность по организации внутреннего контроля в целях противодействия неправомерному использованию инсайдерской информации и манипулированию рынком.

Вместе с тем в целях предотвращения, выявления и пресечения неправомерного использования инсайдерской информации и (или) манипулирования рынком в соответствии со ст. 12 Закона № 224-ФЗ организатор торговли (биржа) обязан осуществлять контроль операций с финансовыми инструментами, иностранной валютой и (или) товарами на организованных торгах.

С учетом того факта, что реализация вышеописанных схем легализации денежных средств с использованием систем интернет-трейдинга основана на совершении биржевых сделок, деятельность злоумышленников при реализации данных схем попадает в поле зрения сразу нескольких государственных и частных структур:

– соответствующих подразделений Банка России;

– Росфинмониторинга;

– службы внутреннего контроля биржи;

– службы внутреннего контроля брокера;

– службы внутреннего контроля депозитария;

– службы внутреннего контроля банка.

Благодаря слаженной работе государственного и частного секторов схемы, реализованные по примеру схем 1 (simple), 2 (complex) и 3 (difficult) даже самыми изощренными способами, выявляются и пресекаются высококвалифицированными специалистами вышеуказанных структур в максимально короткие сроки.

10. Проблемы доверия и их решения

– Бороться?

– Нет. Не ври. Делай что хочешь.

– Это просто.

– Не ври, делай что хочешь!

– Это же просто.

– Не ври, делай что хочешь.

– А хватит сил?

Михаил Жванецкий. Отодвинули облако

Введение

Человек есть мера всех вещей существующих, что они существуют, и несуществующих, что они не существуют.

Платон. Теэтет, 152а

Доверие является фундаментальным понятием безопасности (защищенности). Любая защита, сколь бы надежной она ни была, не создаст ощущения безопасности, если человек ей не доверяет.

И наоборот: если человек доверяет плохому продукту, у него возникает ощущение безопасности. Но это плохо – безосновательная успокоенность при реальной незащищенности обычно приводит к печальным последствиям.

Доверие обеспечивается технологией обработки, например применением электронной подписи (ЭП) или специальных каналов доставки. В подлинности купюры, получаемой в банке, можно не сомневаться, хотя ЭП она не содержит. Распоряжение правительства, подписанное подлинной электронной подписью владельца ларька, вряд ли стоит исполнять без дополнительной проверки.

Сегодня практически нет банков, клиенты которых не пострадали бы от действий хакеров, атакующих системы ДБО. Информационные системы банков просто плохо защищены, идентификация клиентов выстроена неправильно. Банки обычно понимают опасность незащищенных и слабо защищенных решений, но зарабатывать на современных услугах хочется, и поэтому они переносят ответственность за финансовые потери на клиентов. Клиенты соглашаются, потому что не понимают реальных рисков.

Во всех случаях «успешных» хакерских атак банки объясняли своим пострадавшим клиентам, что банк ни при чем, а виноваты они сами. Но как же так? Разве клиент виноват, что банк перепутал его с преступником и отдал преступнику деньги, которые гражданин доверил банку? Зачастую вина клиента в таких ситуациях лишь в том, что он выбрал именно этот банк.

При потере средств клиент испытывает огромное разочарование в услуге банка и банке в целом, что не способствует привлечению новых клиентов и связано с колоссальными репутационными рисками.

Заметим, что эти проблемы существуют объективно в нормальных отношениях банка и клиента. Нужно сказать, что среди клиентов иногда все же попадаются злоумышленники, а среди банков известны случаи, когда имитация хакерских атак использовалась для незаконного вывода денежных средств клиентов со счетов банка.

При наступлении нештатной ситуации в стресс попадают обе стороны информационного взаимодействия, так как клиент бесправен и никогда ни за что не сможет доказать, что деньги украли не у него, а у банка; банк же должен компенсировать утраченные деньги – конечно, за счет клиента, который рядом, а не за счет хакера, которого еще надо разыскать. В результате реализуются самые сильные репутационные риски для банка и финансовые риски для клиента.

Какое уж тут доверие? Клиенты недовольны банками, банки в каждом клиенте видят потенциального хакера.

Так как быть? Защищать банки от клиентов или клиентов от банков?

Для ухода от крайних позиций целесообразно правильно выставить цели и понять, как сделать информационное взаимодействие клиента и банка безопасным, удобным и при этом недорогим.

Положения Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] создали реальные предпосылки для повышения доверия клиентов к ДБО: если деньги клиента со счета в банке исчезнут, то банк должен сначала деньги вернуть, а уже потом разбираться, куда они исчезли и кто в этом виноват. Это достаточно радикальное средство возвращения доверия клиентов к услугам банка. Но риски банков тоже должны быть блокированы – а ведь техническая защита информации никак не может быть профильной для банка. Совсем другой бизнес у банков. Видимо, поэтому за минувшее время почти ничего не изменилось – предпосылки так и остались предпосылками. У сильного всегда бессильный виноват.

В ДБО участвуют две стороны: банк и клиент.

Банк. Функция обеспечения защиты информации, идентификации и аутентификации клиентов не свойственна банку. Но банк вынужден это делать в силу упомянутых особенностей законодательства. Конечно, он делает это плохо. Более того, плохое исполнение этих функций банку выгодно. Имитируя защиту, банк не тратит много денег и всегда может обвинить клиента в недостаточно полном следовании правилам информационной безопасности (ИБ).

Клиент. Клиент (хозяйствующий субъект) приходит в банк потому, что другого способа управлять своими деньгами у него нет. Он исходит из того, что банк его не обманет, и рекомендации банка по ИБ воспринимает как диктуемое ему условие, выполнение которого необходимо для получения услуги от банка.

Суть информационного взаимодействия клиента и банка заключается в том, что клиент поручает (с использованием электронного платежного поручения) банку выполнить ту или иную операцию с его (клиента) деньгами, находящимися на его (клиента) счете. Это волеизъявление клиента, и оно должно быть оформлено соответствующим образом. При использовании услуги ДБО это означает, что поручение клиента должно быть подписано электронной подписью. ЭП может эффективно соответствовать своим декларируемым целям при условии, что она вырабатывается и устанавливается в доверенной среде. Средство, с помощью которого ведется работа с ЭП, называется средством электронной подписи (СЭП).

Для банка при выполнении поручения клиента важнейшим элементом является закрепленное клиентским договором положение о том, что банк «выполняет поручения клиента». Клиента, а не хакера.

Для выполнения данного положения в распоряжении банка должны быть средства идентификации и аутентификации, позволяющие однозначно отделять хакерские «поручения» от волеизъявления клиентов, а также надежные средства ЭП. Причем средство ЭП вполне может быть не клиентским, а банковским (с точки зрения размещения). Юридическую значимость имеет волеизъявление клиента, а не его подпись. Подпись может подтверждать волеизъявление, но для этого должны быть обеспечены соответствующие условия – например, собственноручность подписи. Если подпись клиента ставит хакер – является ли это отражением волеизъявления клиента? Думается, что нет.

Таким образом, нужно рассмотреть требования к идентификации и требования к ЭП.

Электронная подпись – это всегда набор данных, основанных на преобразовании исходного сообщения. Отдавая себе отчет в том, что каждая формула уменьшает аудиторию читателей книги в два раза, а распоряжаться таким образом аудиторией коллективной монографии как минимум легкомысленно, постараемся минимизировать обозначения разного рода, ограничившись только теми, что призваны сократить текст, а не ввести в него какую-либо математику. Ознакомиться со схемой ЭП в общем виде можно, например, в [85, с. 211–217].

Анализируя ту или иную схему ЭП, обычно ставят вопрос так: «Можно ли быстро подобрать два различных (осмысленных) сообщения, которые будут иметь одинаковые ЭП?». Ответ здесь обычно отрицательный: трудно это сделать. Если используется хорошая хэш-функция, для которой не найден эффективный механизм поиска коллизий, такая атака практически всегда обречена на провал. Михаил Грунтович [116] поставил вопрос по-другому: «Можно ли, имея два сообщения, подобрать ключи подписи так, чтобы подписи совпадали?». И оказалось, что сделать это чрезвычайно просто! А вот последствия могут быть очень непростыми.

Вот пример действий злоумышленника:

1) подготовить две платежки:

– на 10 млн руб.;

– на 3 руб.;

2) выбрать ключ подписи и рассчитать второй ключ подписи так, чтобы ЭП платежек совпали;

3) зарегистрировать ключи проверки подписи, соответствующие ключам подписи;

4) отправить в банк требование на 10 млн руб. с подписью на первом ключе;

5) дождаться выполнения банком поручения;

6) предъявить банку претензию, состоящую в том, что клиент якобы посылал требование о переводе 3 руб. (на втором ключе), а не 10 млн руб. (на первом ключе), а то, что кто-то подобрал текст сообщения, не изменяющий ЭП, – дело не его. Пусть платит банк, удостоверяющий центр, страховая компания – кто угодно, только верните деньги! И главное, что придется вернуть!

В чем же источник успеха такой атаки? Дело в том, что закон допускает множественность ЭП для одного лица. Именно поэтому злоумышленник получает реальную возможность не подбирать сообщение, что невероятно трудно, а подобрать и зарегистрировать (легально) ключ. Более того, не исключен вариант сговора двух лиц: ЭП оказывается уязвимой, если ключ подписи известен хоть кому-нибудь! А если сговорятся два центра по сертификации подписей?

Рассмотрим еще раз схему атаки на ЭП, обнаруженную М. Грунтовичем. Предварительно злоумышленник регистрирует два активных ключа проверки подписи у_1 и у_2, соответствующие ключам подписи х_1и х_2. С помощью первого ключа х_1 он подписывает один документ, а с помощью х_2 – второй. Причем ключи х_1 и х_2 выбраны таким образом, что подписи на документах совпадают. После этого первый подписанный документ вместе с подписью отсылается адресату, который с успехом проверяет подпись ключом проверки y_1 и верит ему. А автор отказывается от документа и при попытке предъявить ему претензию показывает в качестве «истинного» подписанного им документа второй документ с точно такой же подписью.

В [85, с. 211–217] конкретные условия реализации указанной атаки рассмотрены на примере подписи по схеме Эль-Гамаля. Вера в стойкость схемы Эль-Гамаля основана на (гипотетической) сложности задачи дискретного логарифмирования, но здесь атаке подвергается вовсе не задача дискретной математики. Для расчета х_2 по известному х_1 требуемые вычисления минимальны по сравнению с субэкспоненциальной задачей дискретного логарифмирования.

Тем не менее, не все так страшно. Дело в том, что полученные результаты никак не дискредитируют собственно криптостойкость ЭП. Они показывают возможную уязвимость при неправильном применении механизмов ЭП.

Решения могут быть разными. Так, можно с помощью сертификатов надежно связывать уникальный идентификатор ключа с открытым ключом. Но, во-первых, это требует введения дисциплины контроля идентификаторов ключа на уникальность, а во-вторых, закон не запрещает удостоверяющему центру (его должностному лицу) иметь несколько ключей подписи!

Существует и радикальный способ борьбы с атаками такого рода – для этого всего лишь необходимо иметь устройство, в котором:

1) генерируется секретный ключ;

2) вычисляется открытый ключ;

3) открытый ключ экспортируется, в том числе для сертификации в удостоверяющем центре;

4) секретный ключ применяется для выработки ЭП только внутри устройства, его экспорт невозможен.

ЭП использует ключ подписи (КП), который принципиально не должен быть никому известен, поскольку именно он обеспечивает свойства электронного документа (ЭлД), связанные с тем, что снабдить документ ЭП может только его автор или владелец[208].

Наверное, самое главное, что нужно понимать об электронной подписи, – это то, что процедура ЭП всегда используется в некоторой системе, обеспечивающей некоторую целевую функцию, включающую выработку и проверку ЭП. То есть это всегда подсистема системы более высокого уровня.

Со стороны подсистемы реализации ЭП вся остальная система является внешним окружением и потенциально враждебна с точки зрения сохранности КП. Попадание КП во враждебную среду эквивалентно его компрометации, и чем меньший интервал времени КП находится во враждебной среде, тем ниже вероятность неблагоприятного исхода.

Если ЭП реализована в отдельном устройстве, не имеющем общей памяти с окружением, – тогда КП не попадает во враждебную среду и в полной мере защищен от компрометации. При этом КП обрабатывается локально, не допускается перемещение информации о КП в другие части системы. Принцип локальной реализации предопределяет реализацию алгоритма ЭП в отдельном устройстве как предпочтительную. Такое решение актуально также в смысле противодействия целевой компрометации КП. Суть противодействия состоит в необходимости обеспечить условия, при которых воздействие методами социальной инженерии (давление, подкуп, шантаж) не приводило бы к выведению КП из системы, его отчуждению и передаче третьим лицам. Задача противодействия целевой компрометации решается изолированностью КП, его неизвлекаемостью из контейнера, в котором КП хранится. Тем самым снимается и нагрузка с владельца ЭП, который избавляется от опасности компрометации ЭП с помощью внесистемных методов воздействия.

Принципиально важным является обеспечение целостности и однозначности связи «человек-ключ подписи».

Эта связь может быть обеспечена либо тем, что человек хранит свое персональное средство ЭП у себя, полностью за него отвечает и (или) КП неизвлекаем, либо тем, что СЭП хранится в банке («облачная подпись»), а средства идентификации клиента надежны настолько, что позволяют однозначно идентифицировать клиента.

Рассмотрим эти варианты.

Персональное СЭП. Надежное и традиционное решение. Должно быть сертифицировано, отчуждаемо от компьютера, соответствовать принципу локальной реализации, иметь собственные средства отображения либо использоваться совместно с доверенным компьютером, иметь «вирусный иммунитет» [82] или мощную и постоянно обновляемую систему антивирусной защиты.

СЭП для ДБО у клиента должно иметь определенные особенности. Главная особенность СЭП – оно должно быть ненастраиваемым: работать «в одно касание», one touch. Настройки безопасности – дело достаточно сложное и тонкое, и лучше его доверить профессионалам[209].

При этом, конечно, со стороны банка доверенность информационной системы должна быть обеспечена в полном объеме.

Облачное СЭП. Такие решения только разрабатываются, но разрабатываются активно. И камень преткновения здесь – обеспечение надежной идентификации клиента. Действительно, если осуществлять надежную криптографическую идентификацию/аутентификацию, то требования доверенности среды, локальной реализации СЭП, работы с КП все равно нужно выполнить. В этом случае цена решения никак не снизится, и никаких препятствий для установки еще и СЭП на те же технические средства (уже доверенные) не будет. То есть выигрыш здесь недостижим.

Совсем по-другому решение будет смотреться, если нужный уровень доверия к идентификации можно обеспечить при использовании недоверенного компьютера, например смартфона. Вот над этим стоит хорошо поработать, преодолевая как свое собственное профессиональное недоверие, так и профессиональное недоверие регулятора.

Некоторые черты такого решения уже вырисовываются: это, видимо, будет биометрия с обратной когнитивной связью – рефлекторная идентификация. Если получится – то для идентификации достаточно будет смартфона[210]. Конечно, и в этом случае со стороны банка доверенность информационной системы должна быть обеспечена в полном объеме.

Таким образом, мы видим две основные задачи, без решения которых не имеют смысла все остальные частные усилия и меры по защите информации: это создание и поддержание доверенной среды вычислений (в частности, ЭП) и создание системы надежной идентификации пользователя. На них и остановимся, не смешивая в одном котле технику, ментальность, ошибки программного обеспечения и криптографию.

Ведь для всех без исключения банков обеспечение доверенности среды – это единое требование, как и требование о доверенности и ненастраиваемости СЭП для клиента. Всем банкам придется так или иначе эту задачу решать. И если задача решена правильно – потери будут сведены к минимуму. Если неправильно и с помощью негодных средств – банк может нести ощутимые потери.

10.1. Доверенные системы

Ei incumbitprobatio, qui dicit, non qui negat

(Тяжесть доказательства лежит на том, кто утверждает, а не на том, кто отрицает).

Одно из положений римского права

Доверие к системе в общечеловеческом понимании формируется либо доказательством корректности ее работы в заданных условиях, либо продолжительным положительным опытом ее эксплуатации. Наличие сертификата способствует формированию доверия, но не равносильно ему, и свидетельство тому – постоянно появляющиеся сообщения о найденных критически опасных уязвимостях в сертифицированных средствах защиты.

Информационные системы развиваются так быстро, что очень немногие из них действительно имеют продолжительный положительный опыт эксплуатации. Остается понять, при каких верифицируемых условиях систему можно считать доверенной.

Понятие «доверенная вычислительная среда» (ДВС) было введено в [83] в развитие понятия «изолированная программная среда» (ИПС) [112]. Было показано, что ДВС поддерживается в системе, все узлы которой аутентифицированы и целостность их установлена. Там же было показано, что обеспечение целостности и аутентификация должны выполняться специальным средством, получившим название «резидентный компонент безопасности» (РКБ), для которого были перечислены свойства и доказана лемма о размещении РКБ в ДВС.

В доверенной системе все должно быть доверенным – показано в [83]. Эту позицию по прошествии ряда лет нужно уточнить. Сейчас понятно, что тогда защищенная система воспринималась как локальная или корпоративная. И для корпоративной системы практически всегда это утверждение верно.

Но появление открытых систем существенно изменило ситуацию, и нам приходится задуматься о транспортных каналах, влиять на которые мы далеко не всегда можем.

И здесь ощутимо помогают ассоциации со сферой материального производства [85, с. 11–17]. Каналы связи целесообразно считать вспомогательным элементом, предназначенным для «транспортировки» данных между узлами обработки (действия по транспортировке, измерению, маркировке продукции и т. п. в сфере материального производства называются «вспомогательные операции»). Вспомогательные элементы редко бывают доверенными и – поскольку обычно они принадлежат другим собственникам с другими целями – совсем не обязаны быть доверенными.

Как сделать доверенной транспортную среду? Или как ее использовать в доверенной системе без снижения уровня доверия? Как минимум нужно знать ответ на вопросы, «откуда» и «куда» двигаются данные, а это значит, что точки подключения к транспорту должны быть аутентифицированы.

Соответственно, характеристики системы, способной поддерживать ДВС, должны быть дополнены еще одной: каналы связи должны быть аутентифицированы и могут быть защищены.

Как сделать доверенными технические средства?

Обеспечить целостность. Обеспечить аутентификацию.

Это делает резидентный компонент безопасности.

Таким образом, доверенное средство должно содержать РКБ. РКБ активен, он выполняет контрольные процедуры, взаимодействуя с другими узлами системы. Активность становится важнейшим необходимым (но, конечно, не достаточным) признаком.

Доверенное средство всегда активно.

Компьютер: дополним аппаратным модулем доверенной загрузки или выберем компьютер, в котором целостность обеспечивается архитектурно [82].

Периферия: подменить мышь, клавиатуру или принтер ничего не стоит. А они – подмененные – вполне могут выполнять функции, не входящие в состав защищенных информационных технологий. Сделать их доверенными, если это актуально, можно, вставив в них небольшой специализированный блок РКБ. Это сделает их активными на этапе аутентификации и защитит систему от подмены.

Отчуждаемые носители: как правило, они пассивны. Значит, невозможно понять, можно с ними работать или нет. Специализированные отчуждаемые носители со встроенным РКБ выпускаются [88] и могут использоваться в составе доверенных систем.

Исторически получилось так, что современные компьютеры являются реализацией идеи «машины Тьюринга», то есть универсального исполнителя. Это означает, что принципиально они созданы так, чтобы выполнить любую задачу. Любую, а не только те, что мы бы хотели.

Удивительно, что, не обладая, скорее всего, в большинстве своем знаниями о машине Тьюринга и ее особенностях, эту довольно специфичную проблему компьютерной безопасности хорошо чувствуют гуманитарно ориентированные люди: писатели, поэты, римские папы, – формулируя теми или иными словами, что компьютеры могут все и наша задача заставить их делать только то, что нам нужно, не дать им делать все. Мы, пожалуй, довольно далеки от опасений насчет бунта компьютеров и захвата ими власти над миром, но полностью разделяем убежденность в том, что универсальность современных компьютеров является основным источником всех связанных с компьютерной сферой угроз. Если компьютер способен выполнить любую задачу, то он выполнит и вредоносную.

Именно в этом состоит цель мероприятий по обеспечению ИБ, если посмотреть на нее с определенной дистанции: нам необходимо добиться того, чтобы все наши (т. е. легальные) задачи решались, а задачи злоумышленников (нелегальные) не решались.

Отсюда распространенное убеждение о том, что все задачи защиты информации сводятся к управлению доступом субъектов к объектам. Это не вполне так, к этому сводятся не все задачи.

Если пытаться уложить деятельность по защите информации в некую максиму, то скорее она будет звучать так: защита информации – это ограничение универсальности средств вычислительной техники.

Универсальность компьютера обеспечивается архитектурно, самой «конструкцией» машины Тьюринга – как мыслимой в абстракции, так и реализованной на практике.

Поскольку архитектуру нельзя изменить программным путем, никакие программные средства не помогут нам защититься от хакеров надежно. Игра «кто кого» продолжается уже много лет, давая работу сотням тысяч специалистов по ИБ, но не спасая нас от потерь.

Как же быть?

Если уязвимость в архитектуре – то и совершенствовать нужно архитектуру.

Мы можем делать это одним из двух способов:

1) усовершенствовать архитектуру уже существующих технических средств;

2) использовать новые технические средства на базе новой, более совершенной, архитектуры.

Следуя первому направлению, эксплуатирующие организации при приобретении новой техники устанавливают на нее те или иные средства защиты, следуя второму – приобретают технику, спроектированную тем или иным особым образом.

10.1.1. Устройства с правильной архитектурой

Quod ab initio vitiosum est, tractu temporis convalescere non potest

(Что с самого начала порочно, не станет лучше с течением времени).

Крылатое латинское выражение

Каждый день, выходя из дома, мы, даже не задумываясь, запираем дверь. Это действие выполняется привычно, автоматически, так как накопленный за многие годы опыт однозначен: это полезно для сохранения в неприкосновенности принадлежащих нам вещей. Конечно, дверь, замок и ключ не решают проблему воровства полностью, но ни у кого не возникает сомнения, что дверь все же должна быть и чтобы вор в нее не влез – необходимо ее не носить с собой, а запирать по месту установки. Заметим еще раз: вещи, находящиеся в квартире, будут в большей безопасности, если квартиру защищать.

Аналогия верна и для вашего компьютера. Программы и данные, составляющие принадлежащие вам информационные ресурсы, легче сохранить, если компьютер будет защищен.

Конечно, запертая дверь не гарантирует, что вещи не украдут. Защита компьютера – тоже не гарантия от нарушения целостности программ, но это абсолютно необходимый рубеж защиты. Вещи из квартиры точно украдут, если дверь оставить нараспашку. Без защиты компьютера невозможно обеспечить защиту программ.

Но даже если ваши вещи будут находиться внутри защищенной квартиры, вовсе не обязательно они сохранятся в первозданном виде. Если вы в этом не уверены – попробуйте, не выходя из квартиры, вместе с рубашкой простирать паспорт.

Похожая ситуация и в виртуальном мире: казалось бы, в защищенном компьютере ничто не может повлиять на состояние данных и программ – однако же нет! В процессе исполнения одна программа вполне может изменить состояние данных другой программы и даже код другой программы – так, собственно, и ведут себя вирусы, да и не только они.

Именно поэтому на «рабочих» компьютерах, а особенно на машинах, участвующих в технологических процессах, как правило, обеспечена изолированная программная среда, а то и функционально-замкнутая среда [83]. Очевидно, что избежать влияния потенциально опасных программ на функционирование критически важных программ – тех, которым следует выполняться исключительно корректно, – невозможно, не изолируя их одну от другой. Однако как изолировать «Клиент-Банк» на компьютере клиента от его онлайн-игры?

Потери при ДБО в системах класса «Клиент-Банк», «Банк-онлайн» и других всегда связаны с хакерскими атаками – как клиентов (возможно и такое), так и неклиентов банка. Банк обычно неплохо защищен, и слабым звеном системы является компьютер клиента. Если компьютер клиента не защищен, то нельзя ни надежно идентифицировать клиента, ни доверять его подписи, так как в этом случае она устанавливается в недоверенной среде.

Надежная (достаточная) защита компьютера стоит около 1520 тыс. руб., что неприемлемо для подавляющего числа клиентов. При этом защита ощутимо ограничивает возможности применения компьютера для других целей, что также неприемлемо для клиентов.

Кроме этого, существующие системы защиты сложны и требуют специальных знаний для настройки, а этого от клиента требовать вообще невозможно. Более того, если знания такие есть (или еще хуже: пользователю ошибочно кажется, что они есть), в своем стремлении улучшить настройки клиент может завести ситуацию очень далеко от предписанного документацией состояния. Клиента в этом обвинять сложно: со своими устройствами, вообще говоря, он имеет право делать все, что сочтет нужным и сможет.

Таким образом, традиционные подходы к защите информации для систем ДБО непригодны.

10.1.1.1. Новая гарвардская архитектура

Если базовая уязвимость компьютеров в их архитектуре, значит, компьютер, соответствующий требованию one touch security должен быть создан на основе принципиально иной архитектуры, не имеющей этой уязвимости. Компьютеры, о которых пойдет речь ниже, – это компьютеры, архитектура которых отличается и от архитектуры фон Неймана, и от гарвардской архитектуры.

Отличительной особенностью архитектуры фон Неймана является то, что команды и данные не разделяются, они передаются по единому общему каналу (рис. 54).

Рис. 54. Архитектура фон Неймана

Гарвардская архитектура предполагает наличие разных каналов для команд и данных (рис. 55).

Рис. 55. Гарвардская архитектура

Такая схема взаимодействия требует более сложной организации процессора, но обеспечивает более высокое быстродействие, так как потоки команд и данных становятся не последовательными, а параллельными, независимыми.

Однако и в случае компьютера фоннеймановского типа, и в случае компьютера с гарвардской архитектурой организация потоков команд и данных такова, что архитектурная уязвимость присуща каждому из них. Гибкость и универсальность как в одном, так и в другом случае обеспечиваются возможностью изменения последовательности команд и данных (двунаправленные стрелки от процессора к памяти) независимо от того, в одной памяти они лежат или разделены. В свою очередь, возможностью изменения последовательности команд и данных создается и возможность несанкционированного вмешательства вредоносного ПО – это и есть основная архитектурная уязвимость, на которой базируются атаки «перехват управления».

Схема атаки обычно выглядит так:

s1) внедряется и размещается в оперативной памяти вредоносное ПО (ВрПО);

s2) внедряется и размещается в оперативной памяти вредоносный обработчик прерываний;

s3) записываются в долговременную память ВрПО и обработчик прерываний;

s4) с помощью любого доступного механизма (например, с помощью DDoS-атаки) вызывается прерывание;

s5) внедренный ранее обработчик прерываний срабатывает и передает управление ВрПО;

s6) ВрПО выполняет свою функцию (например, реализует разрушающее программное воздействие).

Здесь s1-s3 – это шаги по подготовке атаки, s4 – инициирование атаки, s5 и s6 – собственно использование архитектурной уязвимости.

Для того чтобы отразить атаку на шагах s1 и s2, обычно используются антивирусные программы. Иногда это бывает полезным, но только иногда: невозможно с помощью антивирусных программ выявить все ВрПО. Более того, специалистам известны конструкции ВрПО, которые точно нельзя обнаружить. Можно даже сказать, что компьютерные вирусы и в целом ВрПО удается обнаружить только в силу их несовершенства. В общем случае всегда можно разработать такое ВрПО, которое не может быть обнаружено с помощью антивирусных программ сигнатурного поиска, эвристических анализаторов и поведенческих блокираторов.

Борьбе с вирусами и «вирусному иммунитету» посвятим здесь отдельное эссе.

Блокирование последствий выполнения шага s3 осуществляется при последующей загрузке с помощью механизмов контроля целостности – по сути ревизоров, определяющих, есть ли изменения в составе данных; иногда эта проверка выполняется с помощью тех же наборов антивирусных программ – но это слабое решение, так как проверка должна выполняться до загрузки ОС, а программы, в том числе антивирусные, работают под управлением ОС.

Генерация события на шаге s4 частично блокируется с помощью специальных средств анализа трафика, устанавливаемых как в сети, так и на клиентских компьютерах. Важно то, что пока нет средств, позволяющих гарантированно блокировать эту уязвимость.

Негативные последствия шагов s5 и s6 блокируются с помощью механизмов контроля запуска задач (процессов, потоков). Это очень эффективные механизмы, но реализующие их средства, в том числе СЗИ НСД «Аккорд», которые будут описаны ниже, довольно дорогие и для их настройки нужно быть специалистом в компьютерных технологиях и ИБ.

Поскольку некоторые из перечисленных функций безопасности должны выполняться до загрузки ОС, их можно реализовать только с помощью сложного устройства и нельзя реализовать программно.

Эффективность СЗИ НСД «Аккорд» связана с тем, что он блокирует уязвимости, связанные с нарушением целостности, и создает доверенную среду для работы программных средств, обеспечивающих защиту компьютера на шагах s1-s6.

Несмотря на большую распространенность, цена СЗИ НСД «Аккорд» довольно высока, и его настройка – дело для профессионалов. Конечно, это лучшее решение для корпоративных задач, но ожидать его применения от, например, физических лиц – клиентов ДБО совершенно невозможно.

Однако если в компьютерах, использующих гарвардскую архитектуру, где потоки команд и данных уже разделены, сделать память неизменяемой, то не будет необходимости использовать сложные механизмы контроля целостности программ и данных до старта ОС, а контрольные процедуры можно исполнять под управлением проверенной и неизменяемой ОС.

Очевидно, что такая архитектура обеспечит неизменность ОС, программ и данных.

Если вернуться к схеме атаки, описанной выше, то видно, что шаг s3 не может быть выполнен, поэтому и шаги s5 и s6 (сама атака) тоже не исполнятся. Такой компьютер приобретет значительный «вирусный иммунитет», так как вредоносное ПО не будет на нем фиксироваться.

Недостатком при этом будет необходимость дорабатывать практически все ПО, так как разработчики существующего ПО не ограничивают себя в использовании операций записи в память. Для работы практически всех программ необходима возможность записи.

Чтобы можно было использовать без доработок все ранее разработанное ПО, необходимо дополнить предложенную архитектуру блоками сеансовой памяти, в которой и будут исполняться программы.

Таким образом, архитектура компьютера будет отличаться на разных этапах – это и есть динамически изменяемая Новая гарвардская архитектура (рис. 56).

Она отличается тем, что в ней используется память, для которой установлен режим «только чтение». При загрузке команды и данные размещаются в сеансовой памяти, в которой и исполняются. Начальная загрузка и копирование кодов в сеансовую память могут выполняться как последовательно, так и параллельно – суть разделения этапов от этого не меняется.

Рис. 56. Новая гарвардская архитектура

Новая архитектура характеризуется динамической изменяемостью, что обеспечивает защищенность и эффективность, неизменность операционной системы, «вирусный иммунитет» и не мешает возможности применения адаптированных стандартных ОС и всего ПО, написанного для них.

Основных преимуществ два: высокий уровень «вирусного иммунитета» и возможность создания и поддержки доверенной среды, возможность использовать все ранее наработанное ПО.

10.1.1.2. Борьба с вирусами или «вирусный иммунитет»

Каждая крупная компания, специализирующаяся в этой сфере, описывает свои достижения в своей собственной терминологии, основы которой не всегда ясны; иногда представляется, что термины используются произвольно. Именно поэтому неискушенному читателю сложно разобраться, включает ли проактивная защита в себя эвристические анализаторы или, наоборот, между ними есть четкая грань; означает ли наличие класса эвристических анализаторов то, что проактивная защита и поведенческие блокираторы носят не эвристический, а аналитический характер, и т. д.

Встретившись с новым для себя феноменом – компьютерными вирусами, человечество восприняло его как стихию и стало бороться с вирусами как таковыми, как с «вещью в себе», позабыв об их среде обитания и жизненном цикле в целом, выхватив всего лишь одно свойство вирусов (и то совершенно фрагментарно) и построив индустрию антивирусных программ, только исходя из абсолютно неправильного предположения, что можно написать программу, способную проанализировать другую программу.

Попробуем исключительно на понятийном уровне, избегая любых сложностей и подробностей, рассмотреть жизненный цикл вирусов, проиллюстрировать известные методы защиты информации и прокомментировать неудачи в антивирусной борьбе.

Жизненный цикл разрушающих программных воздействий (РПВ) включает в себя:

1) заказ на РПВ;

2) разработку РПВ;

3) транспортировку РПВ на компьютеры пользователей;

4) исполнение РПВ;

5) борьбу с РПВ;

6) восстановление состояния.

Противодействие на первых двух этапах – это зоны деятельности преимущественно государства. Заказчик РПВ – это заказчик преступления, разработчик РПВ – исполнитель. Так и надо к этому относиться.

Нет сомнения, что компьютерный вирус – это программа. Программу пишут люди. Значит, все вирусы так или иначе созданы человеком.

Написать программу – нелегкий труд, а за нелегкий труд целесообразно ожидать хорошую оплату. Оплата (пусть не сейчас, а когда-нибудь потом) – это и есть мотивация «вирусописателей».

Что можно противопоставить мотивации? Вряд ли что-нибудь кроме мотивации более сильной. Что же является более сильной мотивацией, чем желание получить много денег? Видимо, что-то касающееся более простых и потому более важных вещей – желание остаться на свободе, например. Здесь уже чувствуется роль государства как аппарата принуждения. Конечно, важна роль гражданского общества, действительно, общественное мнение имеет первостепенное значение, но наказывать надо, если кто-то кое-где у нас порой…

Государство должно из словосочетания «компьютерное преступление» выбросить слово «компьютерное». А преступник должен сидеть в тюрьме.

Итак, пока вируса на вашем компьютере нет – вам нечего опасаться. Стало быть, вознамерившись вам навредить, злоумышленник первым делом должен доставить вирус (разрушающее программное воздействие) на ваш компьютер.

О том, как доставляются вирусы, написаны тома (см., например, [86, 87]). Как только вирусы не маскируют – от простейшего грима под «полезную утилиту» до «любовных писем» и фотографий звезд (с анонсом «обнаженная»). Все это только для одной цели – доставить вирус на ваш компьютер. По сути, в том или ином виде всегда используется все тот же метод социальной инженерии: для доставки вам вируса злоумышленнику необходимо вас же мотивировать. Как с этим бороться – твердят на каждом шагу: применяйте антивирусные программы, и не просто применяйте, а применяйте, своевременно обновив. В этом случае можно выявить вирусы, которые уже известны антивирусной компании.

Вот в этом месте задержимся ненадолго. Итак:

– выявить таким образом можно не все вирусы, а только известные, и

– только посредством антивирусного пакета с актуальными базами сигнатур.

Первый факт позволяет утверждать, что если антивирусные программы и могут предотвратить вирусную эпидемию, то защитить ваш компьютер от нового вируса они не могут. И чем более активны вы в сети, тем больше у вас шансов одним из первых «познакомиться» с новым вирусом и, конечно, пасть его жертвой. Вряд ли при этом вас успокоит тот факт, что эпидемии все-таки не будет.

Не менее интересен и второй отмеченный факт. Из него точно следует, что время от времени вы вынуждены получать из сети данные, о которых принято думать, что это обновления антивирусных баз. Вот здесь стоит задуматься: почему, получая из сети от некоторого субъекта некоторые данные, мы верим, что перед нами именно то, чего мы ожидаем, и именно от того абонента, от которого мы этого ждем? Доверие – фундаментальная характеристика безопасности, но слепое, ничем не обоснованное доверие – это, скорее всего, либо неинформированность, либо просто глупость.

Рассмотрим проблемы обновления антивирусных баз (как, кстати, и обновления ОС) подробнее.

Итак, если вы используете программное обеспечение Microsoft и любой из существующих антивирусных пакетов, то периодическая легальная доставка обновлений осуществляется обязательно. Естественно, этим может воспользоваться злоумышленник, отправив пользователю разрушающее программное воздействие, замаскированное под обновление. Никаких технических препятствий этому в настоящее время не существует. У вас доставка обновления не вызовет никаких опасений – это действие вполне привычное и кажущееся безопасным. Иллюзию безопасности поддерживают также проверки, которые проводит сервер перед передачей обновления. Но эти проверки призваны защищать интересы (как правило, финансовые) компании, а вовсе не ваши. А на вашем компьютере, как правило, просто нет оборудования, которое способно установить подлинность (аутентифицировать) абонента.

Для того чтобы вы могли установить, что автором обновления является именно антивирусная компания, средствами которой вы пользуетесь, было бы достаточно, если бы обновление подписывалось ЭП производителя, а вы могли эту подпись проверить. В этом случае, установив, что подпись правильна, срок ее действия не истек, сертификат действующий и т. д., вы можете убедиться, что получили именно то обновление, которое изготовлено вашим контрагентом – антивирусной компанией. Можно с уверенностью сказать, что подписание обновлений электронной подписью и проверка вами этой подписи способны блокировать угрозу подмены обновлений. Конечно, для этого необходимо как минимум, чтобы авторы обновлений захотели их подписывать, а на вашем компьютере были средства проверки ЭП.

Но есть и более опасные возможности доставки РПВ от злоумышленника к вам. Эти способы известны специалистам и связаны с возможностью «навязать» антивирусной компании доставку вам в составе обновлений некоторой последовательности, которая при определенных условиях может быть преобразована в разрушающее программное воздействие. Чтобы блокировать угрозы такого рода, необходимо применение гораздо более сложных контрольных процедур, требующих аппаратной поддержки. Измениться при этом должна и процедура сертификации обновлений антивирусных баз.

Можно сказать и больше: в общем случае нельзя предотвратить доставку кода вируса на компьютер. Проиллюстрируем это на примере, предложенном проф. А.Ю. Щербаковым.

Пусть К — код РПВ; S_1 – случайное число такой же длины, как К.

Если ⊕ – операция сложения по модулю 2, легко вычислить S_2:

S_2 = S_1 ⊕ K.

Очевидно, что S_2 представляет собой случайное число как результат операции над случайным числом.

Таким образом, если на ваш компьютер последовательно попадут числа S_1 и S_2, их не признают опасными никакие антивирусные средства – ни антифаги, ни эвристические анализаторы, ни поведенческие блокираторы. Действительно, это же просто случайные числа! Никакой анализ не обнаружит в них ничего похожего на опасные части кода и тем более опасного поведения: случайные числа уж точно не программы и никак себя не ведут. Таким образом, числа S_1 и S_2 могут легко попасть на ваш компьютер.

Рассмотрим теперь сложившуюся ситуацию. На компьютере есть S_1 и S_2, и может быть выполнена операция ⊕. Тогда

S_1 ⊕ S_2 = S_1 ⊕ S_1 ⊕ K.

Так как S_1 ⊕ S_1 = 0 (как сумма по модулю 2 двух одинаковых чисел),

S_1 ⊕ S_2 = K,

то есть при сложении двух безопасных случайных чисел мы получили код разрушающего программного воздействия!

Не хотим никого огорчать, но справиться с таким видом доставки РПВ за счет антивирусных средств вообще невозможно.

Это звучит страшновато, но нужно ли пугаться? Сотни тысяч вирусов хранятся в антивирусных компаниях, и это не мешает им (компаниям) благоденствовать. Находящиеся в статическом состоянии вирусы никому не нанесут вреда, пока не будут исполнены. Таким образом, если контролировать запуск программ, то можно обезопасить себя от вирусов, находящихся на компьютере.

Вряд ли мысль о том, что вирусы вредят не тогда, когда они попадают на компьютер, а тогда, когда исполняются, покажется кому-либо новой. Скорее она покажется совершенно тривиальной – настолько, что даже говорить об этом как-то неудобно. Но вот что вызывает удивление: почему же тогда все усилия в борьбе с вирусами заканчиваются на борьбе с доставкой вирусов?

Почему никто не предложил технических средств, которые служили бы для того, чтобы вирусы не исполнялись? Да и можно ли вообще это сделать? Как пережить отрезок времени от создания вируса до обновления баз, содержащих его сигнатуру?

Оказывается, выход есть, и средства такие есть. Это средства защиты от несанкционированного доступа (НСД) – правда, не любые, а те, которые обладают развитыми системами управления доступом и контроля запуска задач. Такие системы защиты от НСД позволяют создать среду, в которой могут исполняться только разрешенные для исполнения задачи. Если в такой среде не предоставить права исполняться неизвестным задачам, то вирус и не исполнится.

Как создать такую среду исполнения, в которой вирус исполняться не будет, рассмотрим ниже. А пока остановимся на другом аспекте, который ярко проявляет сходство вирусов компьютерных и биологических.

В абсолютном большинстве случаев для исполнения вирусом его вредоносной функции необходимо заражение. Вирус должен записаться в долговременную память компьютера. За то, состоится ли заражение, отвечает иммунитет. Компьютер, в котором вирус даже после попадания в оперативную память не может записаться в долговременную, обладает «вирусным иммунитетом». Именно в этом смысле мы говорим о «вирусном иммунитете» компьютеров Новой гарвардской архитектуры.

10.1.1.3. Компьютеры

На базе компьютеров Новой гарвардской архитектуры [117] можно создавать автоматизированные рабочие места (АРМ) для самых разных видов информационного взаимодействия. Ограничимся небольшим числом примеров, которые позволят понять логику формирования АРМ из компьютеров. Общая же идея такова, что эксплуатирующая организация получает не универсальное средство вычислительной техники (СВТ), которое она самостоятельно делает частью своей информационной системы и инструментом выполнения своих целевых функций, а сразу АРМ, подготовленное к конкретной системе и конкретным задачам.

Нам представляется правильным именно такой подход, аналогичный тому, когда инструменты для производственных задач (станки и прочее специализированное оборудование) предприятие в общем случае покупает готовыми, а не создает само из каких-то универсальных блоков. Банкиры, врачи, атомщики и транспортники должны быть профессионалами в своем деле, а не в деле настройки персональных компьютеров под задачи организации.

ДБО как пример one touch security задач

Поскольку цена самого экономичного из микрокомпьютеров Новой гарвардской архитектуры – MKT – в 10–15 раз ниже цены традиционного компьютера на базе x86, понятно, что это и есть современное решение для потенциальных клиентов ДБО [80], для которых исключено (если здраво смотреть на вещи) применение «тяжелых» средств защиты с учетом как стоимости, так и сложности настройки и применения.

Если MKT будет позиционироваться аналогично банковской карте – как собственность банка, предоставляемая клиенту на тех или иных условиях для получения услуги, ситуация будет выглядеть крайне привлекательно как для клиента, так и для банка. Клиент банка получает ненастраиваемое устройство, которое обеспечивает загрузку неизменяемой проверенной операционной системы, устанавливает защищенное с использованием криптографических алгоритмов соединение с защищенным центром обработки данных, в котором установлено программное обеспечение (клиент ДБО) для доступа к банковской автоматизированной системе (БАС) банка. Риски клиентов и банка сведены к минимуму. Притом для клиента это еще и эффектный бизнес-аксессуар (рис. 57).

Рис. 57. Микрокомпьютер MKT

Клиент ДБО (программное обеспечение) размещается в ЦОД, отвечающем всем требованиям по защите информации, соответственно доступ к БАС выполняется из одной, достоверно известной, точки – из ЦОД, по защищенному каналу.

Технология доверенного сеанса связи гарантирует безопасность доступа клиента банка к своему клиенту ДБО (и соответственно к банку) из любой точки мира.

То есть клиент банка (человек) с помощью защищенного микрокомпьютера MKT из любого гостиничного номера, где есть телевизор, защищенно соединяется с клиентом ДБО (программным обеспечением), размещенным в защищенном ЦОД и по защищенному каналу взаимодействующим с защищенной БАС банка. Данные клиента обрабатываются в защищенной вычислительной среде, а хранятся на устройстве.

Конечно, заставить всех клиентов всех банков покупать (или даже арендовать) такое изделие нельзя, но целесообразно рекомендовать сделать это, поскольку с такой защитой при сегодняшнем уровне техники успешные хакерские атаки на компьютер клиента невозможны. Такой уровень защищенности вполне позволяет банку предложить программу страхования от кибермошенничества.

Чтобы обеспечить принятие клиентом правильного решения, нужно предоставить в клиентском договоре обоснованный выбор: либо управление счетом с использованием защищенного компьютера – и тогда все риски покрывает банк (или ЦОД, или страховая компания), либо любые другие механизмы – и тогда все риски на клиенте. Так банк и обезопасит себя, и обеспечит высокий уровень защищенности клиента.

Самому же банку целесообразно рассмотреть возможность использования в качестве рабочих мест защищенных компьютеров MKT-card long. Пример приведен в следующем подразделе.

MKT-card long как офисный компьютер

Сегодня не кажется чем-то из ряда вон выходящим необходимость делать несколько дел сразу. Мало кто из имеющих основания считать себя эффективными и ценными сотрудниками имеет возможность (да, откровенно говоря, и желание) не переключаться в течение дня между совершенно разными со всех точек зрения задачами. И дело тут не только в том, что работодатель предпочтет сотрудников, которые могут и готовы совмещать несколько задач, но и в том, что совершенствование орудий труда и самосовершенствование объективно позволяют человеку быть эффективнее и от этого счастливее.

Компьютеры как никто другой могут делать несколько дел сразу. Однако из соображений безопасности выполнение разных задач часто должно быть разнесено по разным вычислительным средам.

Чтобы безопасность не мешала сотруднику становиться счастливым, на сегодняшний день существует уже целый ряд защищенных решений, позволяющих выполнять задачи в разных контурах защищенности на одном рабочем месте.

Задачу работы в двух контурах защиты с использованием микрокомпьютеров Новой гарвардской архитектуры можно решить несколькими способами. Опишем те из них, которые не требуют использования никаких дополнительных инфраструктурных решений типа «брокеров» или аналогичных.

Очевидно, что основа у этих способов общая: работа в разных контурах будет изолирована в том случае, если соединение с серверной частью производится из разных – изолированных одна от другой – ОС.

1. Использование модификации компьютера с физическим переключателем, положение которого определяет один из двух разных банков памяти, из которых может загружаться ОС. То есть запуск одной или второй ОС определяется положением переключателя, которым невозможно управлять программно – ни хакеру, ни вирусу. Итак, при одном положении переключателя запускается ОС, например, с ICA клиентом, который инициирует сессию с терминальным сервером в общедоступном контуре, а при втором положении переключателя – ОС, допустим, с VMware View Client, соединяющимся с защищенным виртуальным рабочим столом. Или как угодно иначе. Главное, что из одной ОС можно попасть только в один контур, а из второй – только в другой.

2. При использовании микрокомпьютера с одной ОС, размещенной в памяти в режиме RO, параметры доступа к серверной части системы хранятся обычно на внутренней SD-карте. Однако это не единственная возможность: параметры доступа и при необходимости какое-то дополнительное ПО можно получать с сервера по сети.

В модификации «MKT-card long для двойного применения» реализованы оба эти варианта одновременно. В процессе загрузки пользователь может выбрать, откуда получить конфигурационную информацию, и в зависимости от этого выбора попасть в один или в другой контур.

Наиболее логичными видятся доступ в контур ограниченного доступа с помощью загружаемых по сети конфигураций и доступ в общедоступный контур с конфигурациями на SD-карточке (потому что это позволит более гибко и оперативно управлять настройками доступа именно в более тщательно защищаемый контур). Хотя можно поступить и наоборот – это зависит скорее от желательного порядка администрирования конфигураций, чем от соображений безопасности.

3. Ну и, конечно, неверно было бы списывать со счетов естественный способ, порождаемый самой архитектурой решения, – использование док-станции и отчуждаемого ПК (рис. 58). Док-станции и ПК в общем случае инвариантны один к другому, то есть любой ПК можно подключить к любой док-станции той же модели. А значит, доступ в разные контуры можно получать, просто подключая к своей док-станции разные компьютеры.

Рис. 58. Микрокомпьютер MKT-card long и док-станция

Еще одна типично офисная задача, связанная с защитой информации, – включение выработки и проверки ЭП в технологию обработки электронных документов. Если нарисовать предельно обезличенную схему, то с учетом обрисованных условий она может выглядеть примерно так: документы формируются на терминальных серверах и должны быть подписаны операторами терминалов, при этом работа должна производиться с учетом требований Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» [60] (далее – Закон № 63-ФЗ) и Требований к средствам электронной подписи (Приложение № 1 к Приказу ФСБ России от 27.12.2011 № 796 [31]; далее – Требования).

С применением защищенного терминала MKT-card long это может быть реализовано, например, так:

1) документ формируется на терминальном сервере;

2) когда документ должен подписать оператор терминала, он передается с терминального сервера на терминальный клиент;

3) в целях контроля целостности документа при передаче по каналу перед отправкой на терминал он подписывается средством криптографической защиты информации на ключе сервера в автоматическом режиме (ст. 4 Закона № 63-ФЗ[211]);

4) на терминале подпись проверяется резидентным СКЗИ терминала;

5) в случае подтверждения целостности документ визуализируется (ч. 2 ст. 12 Закона № 63-ФЗ[212]);

6) оператор должен сознательным действием подтвердить корректность отображенного документа (ч. 2 ст. 12 Закона № 63-ФЗ);

7) подтверждение оператора является сигналом для вычисления хеш-функции от документа резидентным СКЗИ терминала. Далее тем же резидентным СКЗИ или отчуждаемым персональным СКЗИ (токеном) вычисляется ЭП (п. 15 Требований[213]);

8) после подписания документ снова визуализируется на терминале (ч. 2 ст. 12 Закона № 63-ФЗ).

Подтверждение оператора является сигналом для отправки подписанного документа на сервер.

Очевидно, что факторами, определяющими реализуемость данной схемы (как и любой другой разумной схемы встраивания в технологию ЭДО механизмов ЭП) на микрокомпьютерах семейства MKT, являются, с одной стороны, доверенная среда, обеспечиваемая технологически, и с другой – их вычислительные характеристики, достаточные для вычисления и проверки ЭП резидентным СКЗИ и корректной визуализации документа[214].

На данный момент есть опыт встраивания всех наиболее распространенных отечественных СКЗИ.

В части идентификаторов и ключевых носителей в MKT-card long предусмотрен целый ряд возможностей.

Во-первых, сам отчуждаемый компьютер из состава MKT-card long обладает всеми признаками персонального аппаратного идентификатора и ключевого носителя. Он отчуждаемый, персональный, безусловно аппаратный и защищенный. Он может выполнять функции идентификатора пользователя в СЗИ НСД семейства «Аккорд» и защищенного ключевого носителя.

Такое хранение и аутентифицирующей, и ключевой информации является заметно более правильным с точки зрения защиты информации по следующим причинам. При идентификации с помощью компьютера пользователь подтверждает не только то, что подключается к системе именно он, но и то, что он это делает именно со своего законного рабочего места, а не со специально подготовленного надлежащим образом ноутбука, например просто используя свой легальный идентификатор. Это позволит блокировать значительное число уязвимостей, связанных с так называемым BYOD, что на самом деле зачастую является неконтролируемым размыванием защищенного контура.

В плане работы с ключами все еще более очевидно, ведь даже храня ключи на так называемом «токене», можно скомпрометировать их, подключив токен не к защищенному рабочему месту, а к незащищенному компьютеру, на котором уже есть какой-нибудь ворующий ключи троян.

Заметим, что для укрепления метафорического смысла термина «ключ» пропорции отчуждаемого компьютера таковы, что он помещается в стандартный пенал для ключей и может сдаваться под охрану в конце рабочего дня.

Во-вторых, в MKT-card long реализована поддержка наиболее распространенных типов идентификаторов (список расширяемый, поскольку образ ОС формируется для каждой конкретной системы отдельно) и ключевых носителей, работающих по стандартному протоколу CCID.

Fin-TrusT – криптошлюз на базе защищенного микрокомпьютера m-TrusT

Построение микрокомпьютера в виде комплекта «интеллектуальной» и «интерфейсной» частей имеет смысл не только для офисного применения. Максимально далекая от офисной область применения – критические информационные инфраструктуры (КИИ) [22, 33, 48] – нуждается в таком разделении едва ли не больше. Довольно быстро исчезли сомнения в том, что финансовые организации в большинстве своем попадают в зону действия нормативной базы, касающейся КИИ. Краткий обзор, который может служить своего рода путеводителем по наиболее важным документам в этой области, приведен в конце главы. Здесь же на примере одного конкретного решения, предназначенного именно для финансовых организаций, рассмотрим особенности защиты сетевой коммуникации в КИИ. Целесообразно рассмотреть именно эту задачу, поскольку она охватывает практически все аспекты технической защиты информации. Так происходит потому, что в подавляющем большинстве КИИ (не только финансовых организаций) непременной частью системы защиты сетевого взаимодействия являются СКЗИ, поскольку объекты КИИ в основном взаимодействуют по сетям общего доступа, причем с использованием стандартных цифровых каналов типа WiFi, BlueTooth и LTE. Изменение порядка взаимодействия с построением выделенных защищенных каналов не всегда возможно в принципе, а когда возможно – то влечет за собой весьма продолжительные и дорогостоящие работы, несопоставимые с внедрением СКЗИ (откровенно говоря, даже не смешно представить себе такую постановку задачи для стоящего «в чистом поле» банкомата). Со стороны СКЗИ же, в свою очередь, предъявляются требования к среде функционирования криптографии (СФК), условиям хранения и применения ключей и т. п.: об этом уже говорилось немало.

Так, к основным особенностям, которые существенно влияют в том числе на обеспечение защиты сетевой коммуникации, в КИИ (в частности, при осуществлении переводов денежных средств [44], но также и на транспорте, в АСУТП и т. д.) относятся:

– жесткие требования к времени и порядку выполнения автоматизированных функций;

– наличие разнородных, территориально и пространственно распределенных элементов (мобильных и стационарных) с сочетанием разнообразных информационных технологий (банкоматы, терминалы оплаты, информационные киоски, автомобили инкассации, фронт-офис, ДБО и пр.);

– крайняя нежелательность отключения систем для проведения мероприятий по обеспечению безопасности информации, а также другие требования аналогичного плана.

Кроме этого:

– основной защищаемой информацией является технологическая (обеспечивающая управление технологическими или чувствительно важными процессами), программно-техническая (программы системного и прикладного характера, обеспечивающие функционирование системы), командная (управляющая) и измерительная;

– существует опасность последствий вывода из строя и (или) нарушения функционирования системы (в этом смысле опасность для жизни и здоровья обычно стоит особняком, однако при выходе из строя системы обеспечения платежей той же финансовой организации, если она категорирована как КИИ, заметным образом пострадают интересы большого числа граждан).

Большая часть этих особенностей определяет по существу лишь одно требование общего характера к используемым СЗИ: они должны создаваться с повышенным вниманием к качеству на всех этапах – от проектирования до производства. Как правило, гарантия особенно высокого качества связана с более высокой ценой продукта, а значит, данный сегмент должен быть крайне привлекательным для производителя, что, в свою очередь, обеспечит конкуренцию, та повысит общий уровень качества и т. д.

К сожалению, на деле так происходит не всегда. И в основе клубка причин находятся именно те особенности объектов КИИ, которые характеризуют их техническую, а не организационную, уникальность. Первая особенность заключается в том, что большая часть вычислительных ресурсов объектов КИИ – это не офисные компьютеры общего назначения, на работу с которыми в основном и ориентированы производители средств защиты информации. И смежная с нею особенность – особенность обрабатываемых на этих вычислительных ресурсах данных.

Иметь в своей продуктовой линейке варианты исполнения СЗИ с огромным разнообразием интерфейсов, в том числе довольно экзотических, производителю сложно и невыгодно, ведь многотысячные продажи делают стандартные интерфейсы, свойственные офисным компьютерам. Аналогично обстоит дело с форматами данных, файловыми системами, поддержкой подключаемого оборудования. Поэтому эксплуатирующая или подрядная организация при создании проекта подсистемы защиты информации вынуждена использовать то, что есть, и за ту цену, которую назначит подчас единственный поставщик, а не то, что соответствует высоким требованиям к качеству, надежности и живучести.

Однако это наиболее оптимистичный сценарий, предполагающий, что система достаточно стабильна по составу и есть определенный накопленный опыт ее защиты. Хуже обстоит дело для тех систем, которым еще только предстоит приводить свои объекты в соответствие с требованиями к КИИ.

Какие существуют решения?

Структурно в таких системах могут быть выделены совокупность подконтрольных объектов (ПКО) и совокупность каналов связи, по которым передаются информационные и управляющие сигналы. Все информационные и управляющие сигналы, сформированные ПКО, должны защищаться на месте выработки, доставляться в защищенном виде и расшифровываться перед обработкой (использованием) другим ПКО. Это достаточно очевидная для любой сетевой коммуникации схема, и нетривиальной задачу делает не что иное, как необходимость внедрения в уже функционирующие инфраструктуры средств защиты, которые должны обеспечивать:

– криптографическую защиту информации о состоянии ПКО и управляющих сигналов для ИС;

– информационное взаимодействие с ПКО (USB, Ethernet и др.);

– возможность использования стандартных цифровых каналов (WiFi, BlueTooth и др.);

– информационное взаимодействие с каналообразующей аппаратурой (RS232, RS435 и др.).

Если рассматривать в качестве примера объекта КИИ банкомат, то там сегодня все устроено на первый взгляд довольно просто. В его составе есть диспенсер (где лежат деньги и откуда они выдаются), компьютер и периферийное оборудование. Компьютер взаимодействует с процессинговым центром (например, по IP-протоколу) и USB-кабелями соединен с диспенсером и другим периферийным оборудованием.

При работе с банкоматом с пластиковой карты считывается ее номер, с клавиатуры – PIN, все это передается в процессинговый центр, где и выполняется авторизация. Если все в порядке – проверяется запрашиваемая сумма. Затем компьютером банкомата формируется команда на выдачу денег, которая передается в диспенсер. Из защитных механизмов здесь используется только один – диспенсер размещен в сейфе.

Такого очень упрощенного описания уже достаточно, чтобы рассмотреть возможные атаки и методы защиты от них.

Атака на канал взаимодействия с процессинговым центром.

Атака может быть реализована примерно так: вставляется любая карточка, вводится любой PIN, из процессингового центра приходит сигнал отказа в авторизации, но он подменяется сигналом успешной авторизации. При этом злоумышленнику достаточно иметь возможность вмешаться в работу канала, изменять логику работы банкомата необходимости нет.

Атака имитацией сигнала на выдачу денег.

Обращаем внимание на абзац, где условно описана работа банкомата, а именно на ту часть, где говорится, что команда на выдачу денег, которую исполняет диспенсер, формируется компьютером банкомата. А почему бы тогда злоумышленнику не использовать другой компьютер? Например, принести с собой ноутбук, отключить USB-кабель диспенсера от компьютера банкомата, подключить его к принесенному ноутбуку и подавать команды вида «дай 5000 рублей»? Естественно, диспенсер выполнит команду, если ее подать в нужном формате. Но это, конечно, дело техники и никакого труда не представляет.

Эта же атака может быть реализована и по-другому. Так, злоумышленник может внедрить закладку в компьютер банкомата (это несложно сделать, например, при выполнении профилактических работ). Логика работы вредоносной программы может быть любой, например при предъявлении определенной легальной карты может запрашиваться подтверждение на выдачу 100 руб., а выдаваться вполне может значительно больше.

Казалось бы, разные атаки, но они отличаются только нюансами реализации. Суть одна: на диспенсер подается команда, сформированная нештатными программными средствами.

Атака имитацией сигнала на прием денег.

Современные банкоматы не только выдают деньги, но и принимают их: подсчитывают купюры, размещенные в приемнике купюр, вычисляют сумму – эта информация передается в процессинговый центр, и деньги зачисляются на счет клиента. На этом вполне может быть основана очень опасная атака: допустим, клиент вносит 100 руб., а действиями закладки на его счет заносится значительно большая сумма, например 100 тыс. руб. Даже не ясно, можно ли будет этого клиента привлечь к ответственности (если поймают), – денег-то он не брал!

Сбор критичной информации пользователей.

Если вредоносная программа внедрена, то что может ей помешать запомнить все номера карт и PIN в один день и все запросы на выдачу денег повторить в другое время по внешней команде – например, по предъявлении какой-то конкретной карты? Или просто передать эту информацию злоумышленникам?

Представляется, что такое перечисление возможных атак уже содержит ответ на извечный вопрос: «Что делать?». Надо защитить каналы – как от процессингового центра к компьютеру, так и от компьютера к диспенсеру – и обеспечить целостность программно-аппаратной среды компьютера.

Нельзя сказать, что сегодня ничего из этого не делается. Конечно, некоторые меры принимаются. Как правило (не станем утверждать, что всегда), только для защиты канала между процессинговым центром и компьютером банкомата. И тех мер, что принимаются в большинстве случаев, явно недостаточно для удовлетворения требований к КИИ.

Фактически в части защиты сетевой коммуникации все специфичное в требованиях к КИИ сводится к тому, что при взаимодействии с использованием сетей общего доступа каждый узел должен быть защищен СКЗИ высокого класса. Все остальное – следствия из этого обстоятельства или детали сертификационных требований. О последних можно прочитать в справочном разделе в конце этой главы, а вот на следствиях из необходимости оборудовать каждый банкомат (и не только банкомат) СКЗИ, сертифицированным на высокий класс, стоит кратко остановиться здесь.

Неприемлемо использовать для этого установленный на компьютер в банкомате программный VPN[215]. Даже если для него создана и поддерживается СФК, это неприемлемо потому, что при обслуживании в ПО этого компьютера могут быть внесены изменения, нарушающие СФК, а проведение в каждом случае соответствующих проверок просто невозможно организационно: работа остановится. Более того, нет никаких гарантий, что непредсказуемые изменения – в частности, замена компьютера на свой, улучшенный, – не будут произведены, например, при работах вообще не с компьютером, а с диспенсером.

Ситуация выглядит несколько лучше при использовании аппаратного шлюза, однако посмотрим правде в глаза: отечественные сертифицированные устройства в этом качестве не используются. Причины этого, в общем, объективные. Они без слов понятны по рис. 59, на котором показано, как выглядят криптошлюзы для защиты сетевой коммуникации на класс КС3.

Рис. 59. Средства защиты сетевой коммуникации на КС3

Не то чтобы их нельзя было установить в каждый банкомат, но они дороги, избыточны по характеристикам, очень велики по размеру и подвержены множеству уже хорошо разработанных и постоянно появляющихся новых атак.

Использование же импортных устройств подходящего размера неприемлемо по причине их несоответствия требованиям регуляторов.

Еще одна задача, которая стоит перед производителем криптошлюза для объекта КИИ (в частности, банкомата), связана уже не с требованиями, а с техническими особенностями этих объектов: она заключается в том, чтобы поддержать множество разнообразных интерфейсов.

Примеров таких СЗИ для защиты сетевой коммуникации в инфраструктуре, включающей разнообразное оборудование, взаимодействующее разнообразным образом по различным каналам, на сегодняшний день немного, но они есть. Так, можно использовать криптошлюз fin-TrusT – российское решение на базе защищенной интеграционной платформы MK-И. MK-И – это микрокомпьютер Новой гарвардской архитектуры m-TrusT и интерфейсная плата для его коммутации с сетевой инфраструктурой, которая может включать в себя самые разные типы оборудования. Поэтому интерфейсные платы делаются различными, а сам микрокомпьютер m-TrusT универсальный, его формфактор не зависит от предполагаемого места установки.

Остановимся в двух словах на том, почему это важно, ведь, казалось бы, это касается только нюансов производства. Важно это потому, что изменения интерфейсной части не влияют на вычислительную часть компьютера, а это снимает основные сложности, вызываемые адаптацией серийного продукта: возможное внесение новых ошибок или дефектов, необходимость повторных проверок или сертификации и т. п.

В зависимости от архитектуры сети в качестве ответной части решения может использоваться такое же устройство в стоечном исполнении (если требуется небольшое количество подключений и ресурсы сервера VPN избыточны) или обыкновенный сервер VPN, стоимость которого ощутимо выше.

Криптошлюз функционирует прозрачно для пользователя, не расширяя его привычный набор действий.

Каждый микрокомпьютер m-TrusT является точкой сбора информационных и (или) управляющих сигналов от ПКО, их шифрования для передачи по каналам связи, а также приема зашифрованных сигналов из каналов связи и их расшифровки.

Типовые характеристики микрокомпьютеров:

– габаритные размеры: 65 х 80 мм;

– процессор: Quad-core ARM Cortex-A17, up to 1.8 GHz;

– ОЗУ: 2 ГБ DDR3;

– ПЗУ: 16 ГБ NAND-flash;

– microUSB;

– microHDMI.

Общий вид микрокомпьютера m-TrusT представлен на рис. 60.

Микрокомпьютер не подключается напрямую ни к чему, кроме собственной интерфейсной платы, поэтому его состав несложен и постоянен. Интерфейсная плата же нужна как раз для того, чтобы корректно подключиться к тому или иному конкретному ПКО и каналообразующей аппаратуре различных типов.

Рис. 60. Микрокомпьютер m-TrusT

Наличие собственной ОС и вычислительных ресурсов позволяет обеспечить достаточную для защиты сетевого взаимодействия производительность (возможна защищенная передача видеосигнала с камер без ощутимого снижения качества изображения) и высокий уровень защищенности. Особенностями m-TrusT являются наличие датчика случайных чисел и размещение ПО в памяти с физически устанавливаемым доступом Read Only (только чтение), что исключает вредоносное воздействие на ПО и обеспечивает неизменность среды функционирования средств криптографической защиты информации. Ресурсы m-TrusT позволяют обеспечить СФК, позволяющую сертифицировать вариант исполнения СКЗИ на m-TrusT на класс КС3. Помимо Новой гарвардской архитектуры защищенность платформы обеспечивается РКБ и средством доверенной загрузки (СДЗ), сертифицированным ФСТЭК России.

Встроенное по умолчанию в fin-TrusT СКЗИ – DCrypt от компании ТСС – сертифицировано ФСБ России.

Итак, коммутировать микрокомпьютер m-TrusT в «разрыв» между ПКО различного назначения и каналом связи позволяет интерфейсная плата. Как уже упоминалось, разнообразие оборудования, взаимодействующего по сети (ПК, банкомат, информационный киоск, терминал оплаты и т. д.), является ключевой характеристикой инфраструктуры, поэтому интерфейсные платы должны быть разными, чтобы коммутировать одно и то же СЗИ (т. е. не совместимые, не похожие, а именно одинаковые СЗИ) с разными ПКО. Например, она может быть такой, как на рис. 61:

– габаритные размеры: 90 х 105 мм;

– соединитель типа розетка 87758-2016 MOLEX;

– разъем USB Type A;

– разъем Ethernet;

– разъем питания от источника постоянного напряжения 5 вольт.

Рис. 61. Интерфейсная плата с подключенным m-TrusT

Интерфейсная плата № 2:

– габаритные размеры 90 х 110 мм;

– соединитель типа розетка 87758-2016 MOLEX;

– USB-хаб;

– разъем USB Type A;

– два разъема Ethernet;

– разъем RS-232, подключенный через преобразователь USB-RS-232;

– разъем RS-485, подключенный через преобразователь USB-RS-485;

– разъем для microSD-карты;

– разъем питания от источника постоянного напряжения 5 вольт.

На рис. 62 изображен m-TrusT, подключенный к интерфейсной плате.

Рис. 62. Интерфейсная плата другого типа с подключенным m-TrusT

На рис. 63 показан другой вариант интерфейсной платы с меньшим количеством интерфейсных разъемов:

– габаритные размеры: 90 х 105 мм;

– соединитель типа розетка 87758-2016 MOLEX;

– разъем USB Type A;

– разъем Ethernet;

– разъем питания от источника постоянного напряжения 5 вольт.

Рис. 63. Интерфейсные платы (примеры)

Возможна разработка интерфейсных плат для других типов разъемов, с учетом уже имеющегося опыта внедрения на транспорте мы уверенно говорим о том, что эта задача решается с положительным результатом в разумные сроки. Для банкоматов, как показала практика, удобным может быть исполнение в едином корпусе, так как частого переоборудования в этом случае не требуется, а корпус в то же время снижает возможное воздействие внешних условий, которые могут быть довольно разнообразными у банкоматов, установленных вне помещений.

Разумеется, за счет описанных особенностей МК-И построенный на нем криптошлюз fin-TrusT может поддержать любой из вариантов связи с процессинговым центром или даже все их одновременно, причем с дублированием каждого канала (несколько шнурков Ethernet, несколько SIM-карт для мобильного интернета и т. д.), чтобы во время работы можно было использовать тот, что доступен в данный момент и в данном месте (рис. 64).

Рис. 64. Связь банкоматов с процессинговым центром через fin-TrusT

Разумеется, не всегда уместно использование СЗИ именно такого форм-фактора. Обычно оборудование, обрабатывающее данные с ПКО, представляет собой обыкновенные серверы в серверных стойках, размещенных стационарно и не имеющих каких-либо значительных конструктивных особенностей. И для этого элемента инфраструктуры финансовой организации больше подойдет исполнение «в стойку» (рис. 65).

Рис. 65. Стоечное исполнение того же самого СЗИ

При этом технически (не считая корпуса) это одно и то же оборудование: оно работает, эксплуатируется и обслуживается одинаково – при подключении подразделения к ЦОД, удаленного офиса к головному или банкомата к процессинговому центру.

Таким образом, использование криптошлюза fin-TrusT для защиты сетевого взаимодействия объектов КИИ финансовой организации позволит построить подсистему защиты для разнообразного оборудования с использованием одного и того же СЗИ, «подогнанного» под каждый инфраструктурный элемент. Это трудно переоценить в самых разных аспектах – от обучения эксплуатирующего персонала до проведения ремонтных работ: перекоммутировать интерфейсную плату не требуется, просто заменяется подключенный к ней модуль, и операция становится элементарной.

Двухконтурный моноблок

Еще одно решение для защищенной работы в двух изолированных контурах безопасности – Двухконтурный моноблок. Принципиальное отличие этого решения в том, что он предоставляет пользователю две полнофункциональные среды, а не только защищенный доступ к некоторой системе, при этом работа в этих средах может вестись параллельно, а не последовательно: для переключения не требуется ни перезагрузка, ни смена сеанса, все процессы идут в каждой ОС своим чередом. То есть – стоит еще раз подчеркнуть – оба режима могут работать одновременно, не влияя друг на друга.

Это собственно моноблок, в корпусе которого компьютер x86 с установленным ПАК «Аккорд» совмещен с защищенным микрокомпьютером Новой гарвардской архитектуры MKT-card long. Это позволяет пользователю работать параллельно в двух защищенных ОС (в общем случае одна из них Windows, а вторая – Linux). ОС Windows загружается с жесткого диска моноблока. При работе в этом режиме пользователь может устанавливать любое ПО и инициировать любые подключения в рамках заданных для него правил разграничения доступа. Во втором режиме ОС Linux загружается из защищенного от записи раздела памяти микрокомпьютера MKT-card long, встроенного в корпус моноблока, то есть не просто с другого жесткого диска, а с другого компьютера.

Переключение между режимами выполняется посредством нажатия кнопки переключения для смены экрана, расположенной на корпусе моноблока, и KVM-переключателя, установленного внутрь моноблока, для передачи сигналов клавиатуры и мыши к текущей системе.

Теоретически очевидно (и на практике так и есть), что устройством с правильной архитектурой может быть не только компьютер в бытовом понимании этого слова. Не только компьютер «страдает» от уязвимости универсальной архитектуры. По существу те же проблемы касаются и служебных носителей: флешек, носителей ключей и т. д., – которые тоже являются компьютерами, но редко так называются.

Устройства этих типов также можно создавать с правильной архитектурой, и примеры таких серийных продуктов уже есть.

10.1.1.4. Служебные носители (флешки, ключевые носители, средства хранения журналов)

Яркий пример технического средства, в отношении которого постоянно ведутся разговоры о непреодолимости человеческого фактора, – это разного рода носители информации, в первую очередь, конечно, флешки.

Однако недалеко от них отстоят и, например, токены – ключевые носители, на небрежном отношении пользователей к которым основывается большинство попыток вендоров оправдать утечки и потери, произошедшие «под защитой» их устройств.

Невозможно не согласиться с тем, что бесполезно бороться с человеческим фактором. Здесь так же, как и в предыдущем случае, не надо пытаться изменить человека, надо изменить то, что в наших силах, – архитектуру «железки».

В отношении архитектуры носителя требуется изменение принципиально того же плана, что и в отношении компьютера: универсальное устройство нужно сделать менее универсальным. Таким, чтобы оно выполняло те функции, которые нужно, на тех компьютерах, на которых можно, и ничего не выполняло в любых других условиях.

Если предельно обобщить эту задачу, охватывая все возможные носители, то их стандартная архитектура будет характеризоваться двумя важными для безопасности параметрами: памятью RW (универсальная, для любых целей) и возможностью работы на любом ПК (универсальный инструмент).

Ограничивать универсальность этих параметров можно и нужно. Эта задача уже решена, и решения запатентованы [70, 88].

Рассмотрим основные типы носителей, наиболее широко применяемые в реальных системах.

Флешки

В информационных системах – государственных, частных или личных – данные хранятся, передаются и обрабатываются. Средства хранения данных принято называть носителями.

Носители данных в информационной системе (как, впрочем, и средства их обработки) могут быть стационарными и мобильными. Помимо этого носители информации могут быть составной частью оборудования, выполняющего также и обработку данных, а могут быть носителями в собственном смысле слова – устройствами, с помощью которых информацию носят, и во время того, как ее носят, она там хранится. А потом, когда информацию перенесли, она обрабатывается с помощью какого-либо другого оборудования и вновь сохраняется на носитель, чтобы быть перенесенной куда-то еще.

Являясь частью защищенной информационной системы, носители информации тоже должны быть защищенными.

Защищенность – характеристика объекта, определяющая его способность противостоять атакам. Поэтому тезис о том, что защищенность различных элементов информационных систем обеспечивается разными способами, очевиден: повышает защищенность объекта способность противостоять именно тем атакам, осуществление которых наиболее вероятно по отношению к данному элементу системы. Спасательный круг существенно повысит защищенность на воде, но совершенно не повысит ее при пожаре или, скажем, морозе.

Что это означает применительно к вопросу защищенности мобильных носителей информации?

Носители информации являются частью информационной системы, и, значит, существенно большая их защищенность по отношению к остальным ресурсам системы не имеет смысла: она никак не усилит общую защищенность данных, и переплачивать за нее нецелесообразно. Нет практического смысла использовать сверхзащищенную флешку в незащищенной системе.

Однако даже для того, чтобы защищенность флешки соответствовала уровню защищенности самого обыкновенного домашнего компьютера, не защищенного ничем, кроме антивируса, эта флешка должна:

а) находиться в квартире и нигде более;

б) быть каким-то мистическим образом защищена от возможного воздействия вирусов.

Теоретически это достижимо с помощью оргмер. Владелец флешки, которая используется только внутри защищенного помещения для переноса информации между несколькими защищенными от вирусов компьютерами, может быть спокоен: флешка не снижает общей защищенности его системы.

К сожалению, такая идеальная с точки зрения безопасности ситуация даже если и возникает, то обычно длится недолго: флешку понадобится куда-то вынести.

Главная особенность мобильных носителей состоит в том, что они подвержены дополнительным угрозам (по отношению к угрозам, актуальным для основной («стационарной») системы), связанным с тем, что контур системы для них проницаем: они могут не только выноситься (и выносятся!) за пределы системы, но и использоваться там. Как следствие, это приводит к утечкам информации из системы и к притоку вредоносного ПО в систему.

Именно поэтому проекты защищенных информационных систем зачастую предусматривают полный запрет на использование USB-носителей. Флешки признаются абсолютным злом потому, что они могут использоваться вне системы. Значит, защищенный носитель – это такой носитель, который может использоваться только внутри системы (государственной, корпоративной, личной) и не может использоваться вне ее.

Назовем такой носитель служебным.

Служебный носитель – это такой носитель, который позволяет оперативно и просто переносить информацию внутри системы согласно ее внутренним правилам, но не позволяет ни выносить хранимую на нем информацию из системы, ни приносить в систему информацию, записанную на него вне системы. Никому, в том числе и легальному, пользователю. Только в этом случае носитель не будет снижать общего уровня защищенности системы даже при его физическом выносе за ее периметр.

Если посмотреть с этой точки зрения на продукты информационной безопасности, позиционируемые поставщиками как средства защиты информации на флешках, то выяснится, что при всех своих возможных плюсах необходимую задачу они не решают.

Критерии оценки, которые адекватны понятию «защищенный служебный носитель», следующие:

1) является ли продукт средством хранения и переноса информации (носителем);

2) удобно ли его использование (аппаратные требования, требовательность к навыкам эксплуататора, мобильность, дружественность);

3) снижает ли применение продукта степень негативных последствий кражи или утери носителя с данными для системы;

4) защищает ли продукт данные от доступа посторонних лиц;

5) способен ли продукт при использовании вне защищенной системы предотвратить заражение вредоносным ПО, которое в дальнейшем может попасть в систему;

6) можно ли при помощи продукта защитить данные от хищения мотивированным инсайдером;

7) имеет ли применение продукта нормативные ограничения в РФ;

8) сколько стоит продукт.

Ни одно из представленных на рынке средств или решений по защите информации до сих пор не давало возможности создать систему, включающую в себя защищенные служебные носители, поскольку не было предложено решение главной задачи: привязки носителя к системе.

В программно-аппаратных комплексах (ПАК) линейки «Секрет» именно эта функция является основной.

Что может предпринять злоумышленник в отношении флешки как носителя информации, включенного в интересующую его систему?

1. Кража или находка.

2. Отъем.

3. Завладение оставленным без присмотра устройством.

4. Завладение устройством путем мошенничества и социальной инженерии.

5. Покупка у мотивированного инсайдера.

Как правило, действия из п. 1, 2 и 5 имеют своей целью завладение данными с флешки, а целью действий из п. 3 или 4 может также быть внедрение подложных данных или вредоносного кода (реже – уничтожение данных на флешке).

В отличие от угроз данным в сетях или на локальных компьютерах, которые реализуются посредством весьма разнообразных атак, угрозы, связанные с флешками, характеризуются значимыми общими признаками возможных атак: это физическое завладение устройством и получение доступа к его памяти на каком-либо ПК.

Атаки на флешки через сеть, например, весьма маловероятны и будут скорее атаками на данные на дисках компьютера (подключаемых), а не на данные на флешке. И в любом случае вряд ли возможность реализации такого рода угрозы может быть классифицирована как уязвимость флешки.

Очевидно, что защитить маленькое устройство от физической кражи (или находки в результате целенаправленного поиска в местах возможных потерь, провокации потери) крайне сложно и сделать это техническими методами практически невозможно.

Более того, и применение организационных мер крайне затруднительно, поскольку на физическое владение таким маленьким предметом очень сильно влияет характер пользователя: возможно, он рассеян, любит похвалиться, нечист на руку или доверчив.

Значит, задача защиты флешки сводится к тому, чтобы сделать нелегальное физическое обладание ею бессмысленным. То есть, даже имея флешку, получить доступ к данным на ней на компьютере, не разрешенном явно для этой флешки, не разрешенному явно пользователю должно быть невозможно.

Тогда одинаково бесполезно (или, если смотреть с другой стороны баррикад, – не опасно) ее красть (терять), отнимать (отдавать), покупать (продавать) и т. д.

Для того чтобы флешка работала на одних компьютерах и не работала на других, она должна уметь различать компьютеры.

Это первая задача, только после решения которой можно обсуждать, по каким параметрам различать компьютеры правильно, а по каким нет или каким образом добиваться изменения списка разрешенных (или запрещенных) компьютеров.

Очевидно, что все эти вопросы важны, но только в том случае, если флешка в принципе различает компьютеры.

Обыкновенная флешка этого делать не может: у нее просто нет ресурсов. Если говорить упрощенно, флешка состоит из памяти и контроллера USB (рис. 66).

Ни то, ни другое не является ресурсом, способным осуществлять произвольные операции.

Компьютер может различать флешки по их уникальным идентификаторам: VID, PID и серийному номеру, если на нем установлены средства для этого (например, USB-фильтры), потому что у него, в отличие от флешки, есть необходимые вычислительные ресурсы. Стоит иметь в виду, что эти уникальные идентификаторы не всегда и не совсем уникальны (все флешки некоторых производителей имеют один и тот же серийный номер, а с помощью специального технологического ПО эти «уникальные параметры» можно менять). Однако в любом случае, чтобы проанализировать тот или иной признак объекта (флешки ли, компьютера ли), тот, кто проводит анализ, должен иметь предназначенные для этого ресурсы.

Вывод очевиден: чтобы различать компьютеры, флешка должна сама быть компьютером. Именно в этом и заключается особенность служебных носителей (СН) «Секрет». В устройствах «Секрет» архитектура флешек изменена так, как показано на рис. 67.

USB-контроллерFlash-память

Рис. 66. USB-накопитель

Рис. 67. Служебный носитель «Секрет»

Управляющий элемент в СН «Секрет» различных модификаций реализован по-разному, однако общая логика остается единой: управляющий элемент «коммутирует» компьютер с диском «Секрета» (собственно флешкой) только после успешного завершения контрольных процедур: взаимной аутентификации СН, компьютера и пользователя. Прежде чем сценарий аутентификации не будет успешно разыгран до конца, диск «Секрета» не будет примонтирован, не появится в списке дисков и не окажется доступен не только для пользователя, но и для системы (с ее потенциальными закладками или вирусами).

Дополнительно защитные свойства «Секрета» могут быть усилены шифрованием данных при записи на диск. Выбирать такой носитель целесообразно тогда, когда разумно предположение, что злоумышленник может попытаться считать данные с флеш-памяти напрямую, например выпаяв ее с устройства. Однако надо иметь в виду, что за счет аппаратного шифрования заметно снижается скорость чтения/записи, – это неизбежные издержки. В СН «Секрет» без шифрования скорости чтения/записи не отличаются от скоростей обычных флешек.

Таковы принципиальные структура и логика защитных свойств служебного носителя «Секрет», а продукты линейки «Секрет» различаются тем, как организовано управление процессом взаимной аутентификации компьютера, «Секрета» и его пользователя.

Ключевые носители

Ключи, также как и любые данные, существуют в трех процессах: хранятся, обрабатываются (в т. ч. создаются и уничтожаются) и передаются.

Никаких других состояний у данных и ключей (как явлений этой сущности) не бывает.

Ключи отличаются от других данных только одним: компрометация ключей заметно более критична. Это значит, что никаких специфичных приемов для защиты именно ключей не требуется, просто меры защиты должны приниматься несколько более тщательно, чем в отношении любых других данных.

Почему более тщательно – очевидно на уровне здравого смысла. Сравним случаи компрометации документа и компрометации ключа. Если скомпрометирован документ, то наступают некие негативные последствия. Безусловно, они могут быть весьма существенными, поэтому защищать необходимо отнюдь не только ключи. Но все-таки, если происходит компрометация ключа (например, ключа электронной подписи), злоумышленник может создавать неограниченное количество документов от имени пользователя, чей ключ скомпрометирован.

К сожалению, здравый смысл не всегда детерминирует безопасное поведение, потому более жесткие требования по защите ключей (хотя вернее было бы сказать – систем с ключом) предъявляются и регуляторами.

В свете требований к средствам электронной подписи (СЭП), в которых взаимоувязаны все три состояния ключа, это становится особенно наглядно: мы можем руководствоваться самыми разными соображениями, выбирая тип желательной для нас в тех или иных обстоятельствах ЭП, выбирая подходящее для нас СЭП, но как только мы выбрали усиленную ЭП (то есть «ЭП с ключом») мы попадаем в зону действия существенно более высоких требований.

Таким образом, с точки зрения безопасного существования криптографических ключей в автоматизированной системе (АС) принципиальное значение имеют два фактора:

– защищенное хранение ключа (и соответственно носитель ключа);

– условия доступа к ключу и работы с ним (т. е. СФК).

Очевидно и не нуждается в детализации, что второй фактор (условия доступа к ключу) касается и обработки, и передачи ключей – как части технологии, реализуемой СКЗИ (СЭП) при выполнении своих функций.

В то же время очевидно, что криптография, как правило, является вспомогательным механизмом, а не основной целевой функцией системы, поэтому условно выделяемым третьим фактором можно считать степень влияния на информационную инфраструктуру. Естественно, что удорожание и усложнение системы обычно желательно минимизировать, поэтому средство хранения ключей, например требующее изменения применяемых в системе протоколов взаимодействия, замены операционных систем и (или) внедрения не требующихся ни для чего более средств защиты каналов связи, может считаться удачным решением только для подрядчика, который будет нанят на все эти работы.

Этот подраздел посвящен средству хранения ключей (токену), которое позволяет решить несколько большее число задач, чем обычно применяемые в этом качестве устройства, не требуя серьезных инфраструктурных изменений АС. Поэтому оно называется «Идеальный токен».

Сложившаяся практика

Сложившаяся практика применения ключей такова, что в качестве их носителей используются универсальные накопители (дискеты, флешки), идентификаторы пользователей, если они представляют собой устройства с доступной для записи/чтения памятью (ТМ-идентификаторы), или специализированные устройства (смарт-карты, USB-токены).

Обзор этих видов «хранилищ ключей» (невозможно использовать эту формулировку без кавычек, так как далеко не все эти объекты хотя бы минимально приспособлены к хранению именно ключей) приведен ниже. Из обзора исключены дискеты, так как побочным эффектом развития вычислительной техники, все реже имеющей дисководы для дискет, явилось постепенное отмирание применения этого носителя и в этой конкретной функции.

Здесь невозможно не вспомнить снова аксиому о том, что для специальных целей логично применять специализированные средства.

Однако и специализированные средства – токены[216] – не идеальны.

Токены предоставляют возможность использования хранимых на них ключей и сертификатов после предъявления PIN-кода (авторизации пользователя). Казалось бы, таким образом блокируются все уязвимости, связанные как с хранением, так и с доступом к ключу.

Однако очевидно, что ограничение доступа к ключу только использованием PIN-кода недостаточно. Токен должен использоваться только в той системе, в которой обеспечена защита от несанкционированного доступа (а именно – обеспечена доверенная СФК), а PIN-код можно правильно ввести в любой среде. Токен не может определить, в какой системе производится попытка работы с ним, у него нет для этого никаких механизмов. Невозможность расширения функций токена проистекает не из лени программистов, а из ограниченности его архитектуры (рис. 68).

Чем же опасна невозможность контролировать внешнюю среду? Например, в ней могут быть предустановлены программные закладки, предназначенные для перехвата криптографической информации или перехвата управления компьютером. При правильно введенном PIN-коде (а в некоторых случаях и до введения PIN-кода) все это вредоносное программное обеспечение получит доступ к ключам.

Рис. 68. USB-токен

В части доступа к ключу очевидна необходимость учитывать как условия доступа пользователя (человека), так и условия доступа СКЗИ и другого системного и функционального программного обеспечения.

При этом необходимо принимать во внимание особенности сред и систем, в которых пользователи выполняют задачи, связанные с криптографическими преобразованиями: работа в различных ОС, загруженных на СВТ различных архитектур из различных источников различными способами, может иметь целый ряд особенностей, существенно влияющих на безопасность ключа.

Отсюда следуют требования к защищенному ключевому носителю. Защищенный носитель ключа в идеальном случае должен быть способен контролировать:

– доступ к ключу через любые интерфейсы, в том числе и путем применения разрушающего программного воздействия;

– среду, в которой производится попытка доступа к ключу.

Естественно, защищенный ключевой носитель не должен контролировать корректность работы СКЗИ или собственно обеспечивать среду его функционирования (это функция средства доверенной загрузки). То есть задача «контроля» среды, из которой осуществляется доступ к ключу, сводится к тому, чтобы доступ к ключу предоставлялся не только исключительно легальному пользователю, но и исключительно на заданных рабочих местах (наличие «правильной» среды на которых обеспечивается в установленном в организации порядке). Принципиально это та же задача, что и для флешек: ограничение числа компьютеров, на которых технически возможна работа с токеном.

В случае реализации такой защитной меры при случайном или преднамеренном подключении токена к неразрешенному (а значит, недоверенному) компьютеру устройство не будет примонтировано, следовательно, ключи не будут доступны ни пользователю (даже легальному), ни системе (с потенциально функционирующими в ней вирусами и закладками).

Кроме того, при этом будет исключено несанкционированное использование ключей легальным пользователем токена вне рамок его служебных задач. Это важно, так как само по себе СКЗИ не может определить правомерность формирования данного документа на данном компьютере и подписание его с помощью того или иного ключа.

Вероятность подмены рабочего места выглядит не очень страшно только по одной причине: кажется, что в этом никто особенно не заинтересован (например, трудно представить, что бухгалтер соберется сделать с домашнего ноутбука нелегальный перевод, подписав платежку своей ЭП).

Однако на самом деле представить себе сценарий как случайной, так и злонамеренной компрометации ключа и документа несложно.

Опишем несколько самых явных сценариев.

Начнем с добросовестного бухгалтера (а их все-таки, мы уверены, большинство). Из лучших побуждений – выполнять часть работы сверхурочно – он может организовать себе дополнительное рабочее место дома. При этом он может разделить работы по критичности и для «домашнего» выполнения выделить не платежи, а только подготовку и отправку в налоговую инспекцию отчетов в электронном виде. Это делается с помощью одной из специальных программ, например «Фельдъегерь» («Доклайнер», «Контур-Экстерн»), и бухгалтеру на его домашнем компьютере даже не потребуется «Клиент-Банк».

Скорее всего, из средств защиты от НСД на этом «дополнительном рабочем месте» будет в лучшем случае только антивирус. Эта ситуация создаст предпосылки для компрометации ключа с помощью широко распространенных вредоносных программ. В случае направленной атаки это позволит злоумышленнику в дальнейшем использовать украденный ключ в своих целях. Если же компьютер используется и для проведения платежей, а не только для подготовки и отправки отчетов, то задача злоумышленника и вовсе упрощается.

Все еще хуже, если злоумышленником является сам бухгалтер (надеемся, что не доведем никого до греха).

Итак, если бухгалтер задумал провести нелегальный платеж, что его может остановить? Теоретически его должна сдержать неотказуемость от ЭП на его ключе.

Однако в действительности при наличии технической возможности передачи ключевого носителя другому лицу и одновременно возможности применения ключа на произвольном СВТ неотказуемость от ЭП – это уже вопрос алиби, а не криптографии.

Представим себе такой «детективный сюжет»: злоумышленник организует рабочее место с необходимым для проведения платежа программным обеспечением. На собственном рабочем месте он подготавливает накануне несколько платежных поручений, подписанных его ЭП, но не отправляет их.

Вечером бухгалтер передает сообщнику токен с ключом ЭП и договаривается о времени проведения незаконного платежа таким образом, чтобы сам владелец ключа в это время был на рабочем месте, на глазах у свидетелей.

В результате в условленное время злоумышленник находится на виду у будущих свидетелей и отправляет заранее подготовленные платежки со своей легальной ЭП (токен ему для этого не нужен, ведь документы подписаны заранее). В это же время в другом месте с другого компьютера другое физическое лицо (сообщник) подписывает ключом нашего героя другое платежное поручение, используя токен.

При разборе инцидента владелец ключа имеет все шансы отказаться от своей ЭП, так как находился в это время на собственном рабочем месте и даже отправлял другой документ с подписью на том же ключе, а никаких следов отправки нелегального платежа на его рабочем СВТ нет. Очевидно, что он совершенно ни при чем.

Чтобы избежать обвинений в предвзятости к бухгалтерам, приведем пример, никак не связанный с платежами.

Предположим, что злоумышленником движет желание осуществить атаку на корпоративную информационную систему, обрабатывающую информацию ограниченного доступа.

Предположим также, что система распределенная централизованная (допустим, система терминального доступа или веб-система). Документы обрабатываются на сервере, сервер надлежащим образом защищен, клиентские СВТ не содержат средств обработки информации («тонкие клиенты»), загружаются с обеспечением доверенности клиентской ОС, и каналы между клиентами и сервером тоже защищены.

Ключи СКЗИ, защищающего канал, хранятся в токене.

Наиболее очевидная атака – это подключение в качестве терминального клиента произвольного СВТ злоумышленника, оснащенного программами для осуществления какой-либо атаки на систему.

Если атаку осуществляет легальный пользователь системы – он обладает идентификатором к СЗИ НСД на сервере и токеном с ключами СКЗИ, защищающего канал (зачастую это одно и то же устройство).

Именно таких случаев касается п. 31 Требований к средствам электронной подписи [31]: «В состав средств ЭП классов КС3 должны входить компоненты, обеспечивающие:…управление доступом субъектов к различным компонентам и (или) целевым функциям средства ЭП и СФ на основе параметров, заданных администратором или производителем средства ЭП…». Предотвратить эту атаку может только применение комплексной системы защиты, включающей взаимную аутентификацию клиентского СВТ и сервера. Это не рядовая функция, зачастую относительно сервера аутентифицируется только пользователь.

Все эти леденящие кровь сценарии невозможны, если токен просто различает СВТ, к которым его подключают.

Итак, защищенный ключевой носитель должен:

1) быть персональным отчуждаемым устройством;

2) быть специализированным именно для хранения ключей устройством (т. е. обеспечивать возможность защищенного хранения криптографических ключей с применением интерфейсов работы со смарт-картой (CCID или PKCS#11));

3) предоставлять доступ к ключам только легальному пользователю после успешной аутентификации в устройстве;

4) предоставлять легальному пользователю доступ к ключам только на тех СВТ, на которых данному пользователю разрешено работать с данным ключевым носителем.

«Идеальный токен»

Функции токена с функцией ограничения числа разрешенных компьютеров объединяет в себе «Идеальный токен» – токен с несколько измененной архитектурой: она включает в себя блок идентификации компьютера, до прохождения проверки которым недоступен в том числе и блок идентификации/аутентификации пользователя (рис. 69).

Рис. 69. «Идеальный токен»

В «Идеальном токене» есть две роли пользователей: «Администратор» и собственно «Пользователь». Список компьютеров, на которых разрешена работа с «Идеальным токеном», определяется пользователем с ролью «Администратор», который с точки зрения информационной системы должен быть администратором информационной безопасности или лицом, которому делегированы соответствующие функции.

Для того чтобы добавить компьютер в список разрешенных, администратор подключает к нему «Идеальный токен», программное обеспечение токена определяет, а внутреннее программное обеспечение запоминает внутри устройства ряд параметров этого рабочего места. При каждом последующем подключении «Идеальный токен» определяет параметры текущего компьютера и сравнивает их с теми данными, которые соответствуют разрешенным рабочим местам. Если данные совпадают, разрешается доступ к токену со стороны внешнего ПО – то есть, собственно, со стороны СКЗИ (СКЗИ – это внешнее по отношению к «Идеальному токену» ПО), в противном случае в доступе отказывается.

Очевидно, что ни одно иное устройство, применяемое для защищенного хранения ключей, не выполняет более трех требований к защищенным ключевым носителям одновременно (см. табл. 3). При этом важнейшее требование, касающееся СФК, не выполняется ни одним из таких устройств.

«Идеальный токен» является специализированным устройством, предназначенным именно для хранения ключей СКЗИ и поддерживающим все необходимые для этого интерфейсы.

Использование «Идеального токена» возможно только после успешного завершения взаимной аутентификации токена и компьютера, к которому его подключили, а затем успешной аутентификации пользователя в токене и СКЗИ.

Таким образом, при корректной настройке системы управляющим персоналом исключена возможность сознательной или случайной компрометации ключей из-за подключения к незащищенному компьютеру, на котором могут быть предустановлены программные закладки, предназначенные для перехвата ключей или перехвата управления компьютером. А также, что не менее важно, исключено несанкционированное использование ключей легальным пользователем токена – вне рамок его служебных задач, что невозможно предотвратить при использовании обычных токенов, не различающих служебные и любые другие ПК.

В то же время «Идеальный токен» лишен каких бы то ни было избыточных функций, негативно влияющих на цену изделия.

Технология «Идеального токена» запатентована [70].

Обзор ключевых хранилищ

Смарт-карты

Смарт-карты обычно обладают весьма скромным объемом памяти данных (десятки килобайт), однако этого достаточно для хранения ключей или сертификатов. Для доступа к данным необходим ввод PIN-кода. Устройство может быть заблокировано после некоторого количества неверных вводов PIN-кода подряд, что делает затруднительным подбор PIN-кода. Смарт-карты обладают хорошей совместимостью, так как используют стандартный протокол, но для их использования требуется картридер. Одна из основных проблем смарт-карт – их возможный отказ, так как тонкий пластиковый корпус чипа не может обеспечить надежную защиту при физических воздействиях.

Если злоумышленник завладел и смарт-картой, и ее PIN-кодом, он сможет получить доступ к данным. Владелец смарт-карты технически может (хотя и не должен бы) использовать ее вне доверенной среды, при этом PIN-код может быть перехвачен с устройства ввода, ключи могут быть списаны из оперативной памяти или из памяти смарт-карты после разблокировки хозяином.

Разумеется, хранение ключей – это не единственная функция смарт-карты, но одна из основных.

Токены

Токены могут иметь более широкие возможности по сравнению со смарт-картами. Например, устройство может содержать свою собственную клавиатуру для ввода PIN-кода, что значительно усложняет перехват. Обычно для работы с токеном необходима установка драйверов.

Если злоумышленник завладел и токеном, и необходимым кодом доступа, он сможет получить доступ к данным. Владелец токена технически может (хотя и не должен) использовать его вне доверенной среды, при этом ключи могут быть списаны из оперативной памяти или прямо из устройства после его разблокировки хозяином.

Хранение ключей – это не единственная и не основная функция токенов, их основное назначение – двухфакторная аутентификация.

Флешки

Обычные флеш-накопители не обладают никакой защитой. Они могут быть украдены или утеряны, в этом случае любой человек сможет получить доступ к данным. Зато флеш-накопители обладают значительным объемом памяти и совместимы практически со всеми устройствами, имеющими USB-порты. Флеш-накопитель может быть использован на любом АРМ в любых условиях.

Рассматривать вопрос о том, является ли хранение ключей специальной функцией флеш-накопителей, было бы нелепо.

ТМ-идентификаторы

В основном эти хранилища, так же как и флешки, не обладают никакими защитными механизмами, кроме необходимости наличия специального считывающего устройства – впрочем, свободно продаваемого.

Содержимое ТМ-идентификаторов можно копировать, поэтому данные, хранящиеся в устройстве в открытом виде (в т. ч. ключи), могут быть легко скомпрометированы.

Основное предназначение ТМ-идентификаторов, как и токенов, – двухфакторная аутентификация. Если аутентифицирующей информацией являются не непосредственно хранящиеся в ТМ-идентификаторе данные, а результат преобразования, которое производится резидентным компонентом безопасности с данными, полученными по разным каналам, то копируемость памяти ТМ-идентификатора не является критичным фактором, в отличие от считывания хранящихся в «таблетке» в открытом виде ключей.

Подытожим наш обзор в табл. 3.

Таблица 3

Выполнение устройствами, используемыми в качестве хранилища ключей, целевых функций

* «+» или «-» в строке «Контроль легальности пользователя» оценивает наличие в ключевом носителе собственных механизмов, независимых от механизмов СКЗИ. То же справедливо и для остальных параметров, однако именно в отношении указанного возможна неоднозначная интерпретация.

Другие служебные носители

По принципу, впервые реализованному в служебных носителях «Секрет», кроме «Идеального токена» построены и другие служебные носители для более узких целей. Например, это программно-аппаратный неперезаписываемый журнал (ПАЖ), где свойства «Секрета» дополнены тем, что память, в которой сохраняются журналы событий различных устройств и приложений, обладает свойствами add only – то есть в нее можно только добавлять, а что-либо удалять или изменять в ней нельзя. Также ПАЖ характеризуют некоторые особенности реализации ролей пользователей, связанные с работой именно с журналами, но они не касаются архитектуры и являются в общем-то частными деталями.

Еще один пример – мобильный генератор лицензий: устройство, позволяющее распространять лицензии на программное обеспечение, избегнув основных типов проблем, с которыми сталкиваются при этом вендоры ПО.

Осознание того, что даже самая простая флешка по сути является компьютером с собственным процессором и собственной памятью, привело к тому, что перепрограммированные USB-накопители стали считаться важными и весьма вероятными каналами утечки. Известен целый класс атак, называемый BadUSB, в основе которого лежит модификация firmware USB-устройств для выполнения несанкционированных действий процессором этих самых USB-устройств. Кроме того, существуют варианты реализации штатных протоколов взаимодействия USB-устройств с нештатными расширениями, которые могут быть использованы и как скрытые каналы управления, и как нелегальные хранилища конфиденциальной информации [118]. Эта уязвимость блокируется применением носителей, firmware которых защищено от перезаписи, таких как описанные специальные служебные носители семейства «Секрет».

Однако у служебных носителей «Секрет» есть собственная функциональность, и если она в системе не требуется, то их применение избыточно. USB-накопитель «Транзит» не имеет никакой дополнительной функциональности, это именно флешка – но флешка, которую нельзя перепрограммировать, то есть такая, которая точно не сможет быть использована как-то иначе, кроме как по прямому назначению.

В данном случае от перезаписи защищено только внутреннее ПО USB-накопителя, во всем остальном архитектура устройства не нуждается в изменении – и не изменяется. Важно, что изменять можно разные параметры, нужные для той или иной конкретной цели.

Более того, решений такого рода может быть очень много, потому что базовый принцип – изменение архитектуры как способ решения проблем с нею – является научным, а значит, экспериментально подтверждаемым и воспроизводимым.

Однако в ряде случаев для эксплуатирующей организации по тем или иным причинам представляется целесообразным использовать СВТ традиционных уязвимых архитектур. В этом случае уязвимость необходимо компенсировать применением специальных средств защиты. О них пойдет речь в следующем разделе.

10.1.2. Средства защиты, изменяющие архитектуру устройств (наложенные средства защиты информации)

Даже бузина в огороде через миллиарды опосредствующих звеньев связана с дядькой в Киеве.

Эвальд Ильенков.

Диалектика абстрактного и конкретного

Пытаясь защититься от вредоносных хакерских программ, человечество уже более 60 лет разрабатывает программы, традиционно относимые к области защиты информации: средства идентификации, аутентификации, авторизации, контроля целостности, антивирусные программы, криптографические средства и т. д. Использование этих средств дает положительный эффект, но очень и очень небольшой.

Если мы делаем забор все выше и выше, а клубнику по-прежнему воруют – значит, в заборе есть дыра и надо не наращивать высоту, а найти и забить дыру. Эта аналогия касается всех мер защиты информации, принимаемых бессистемно, в нарушение положения диалектического материализма о всеобщности связи предметов и явлений (каждые предмет и явление имеют взаимную связь с каждым из всех остальных предметов и явлений).

Если мы все же используем компьютеры с принципиально уязвимой архитектурой, то у нас должно быть средство управления этой архитектурой: только контроль над архитектурой и возможность ее изменения в соответствии с выполняемой задачей могут дать обоснованную уверенность в том, что данный конкретный компьютер – ваш инструмент, а не чей-нибудь еще.

На практике это означает, что на время загрузки и проведения контрольных процедур компьютер должен утрачивать свойства машины Тьюринга (универсального исполнителя), а затем, после успешного завершения контрольных процедур, – снова приобретать эти свойства.

Контрольные процедуры требуется проводить для того, чтобы убедиться в неизменности аппаратной и программной среды компьютера. Однако очевидно, что если контрольные процедуры производятся компонентом, который был (или мог быть, что в данном случае равнозначно) в свою очередь модифицирован злоумышленником, то в них нет никакого смысла.

Именно поэтому контролировать неизменность среды программными средствами нельзя, так как программа может быть изменена. Для того чтобы убедиться, что она не была изменена, ее нужно сначала проверить. Если мы ее проверяем другой программой, то сначала нужно проверить ту программу, которой мы проверяем первую, и т. д. Мы попадаем в зону действия известного парадокса «Кто будет сторожить сторожей?». В защите информации попытки контролировать целостность среды программными средствами носят название «синдром Мюнхгаузена» (рис. 70), поскольку они аналогичны попыткам вытащить себя самого из болота за волосы [83, 84, 87].

Рис. 70. Проверка целостности программы средствами программы

Продолжая эту аналогию, легко прийти к правильным выводам: вытащить себя из болота за волосы нельзя, потому что нет точки опоры, а вот если тянуть за ветку дерева, растущего на кочке, – то можно, потому что у дерева есть точка опоры.

Что может означать «точка опоры» применительно к компьютерной системе фоннеймановского типа (а у абсолютного большинства современных настольных компьютеров именно такая архитектура), не различающей команды и данные, системе, в которой одним из основных действий является «запись», то есть системе принципиально модифицируемой?

«Точка опоры» может означать только одно: контролирующие процедуры должны быть вынесены из этой модифицируемой среды в среду немодифицируемую и легко проверяемую, то есть простую, небольшую по объему (тогда легко обеспечить ее верифицируемость). Это означает аппаратное устройство, независимое от компьютера, который оно проверяет.

Независимость контролирующего устройства – обязательное требование: если часть процедур или решений об обработке их результатов вынесены в основной (контролируемый) компьютер, то модифицированной системой могут быть навязаны любые результаты контроля. Эффект от применения аппаратуры сведется к нулю.

И, наконец, главное: независимое аппаратное контролирующее устройство должно стартовать первым, до старта операционной системы, иначе у модифицированной системы будет возможность отключить своего контролера. «Кто первый встал, того и тапки». Стартовать первым должно то, чему мы доверяем.

Такое аппаратное, простое, независимое от компьютера контролирующее устройство, стартующее первым, до загрузки ОС компьютера, называется резидентным компонентом безопасности (РКБ) [83, 84, 87].

Резидентный компонент безопасности – это встроенный в вычислительную систему объект, способный контролировать целостность среды путем сравнения ее параметров с эталонными.

Задача РКБ – сделать так, чтобы на этапе прохождения контрольных процедур защищаемый компьютер не был универсальным, или «машиной Тьюринга», а потом, после их успешного завершения, пользователю снова становились доступны все плюсы универсальности.

Перечислим ключевые характеристики РКБ. Это устройство памяти:

– с очень высоким уровнем защищенности (его внутреннее ПО должно быть немодифицируемым);

– примитивное (иначе обеспечение его собственной защищенности эквивалентно задаче защиты компьютера, который оно защищает);

– встроенное в контролируемую систему и стартующее до старта основной ОС (иначе его функционирование будет необязательным);

– независимое от контролируемой системы (функционирующее автономно);

– перестраиваемое (т. е. предполагающее функционирование в режиме управления, когда возможно изменение политик (только специальным привилегированным пользователем), и в пользовательском режиме, когда изменение политик невозможно и осуществляется только контроль их выполнения).

Концепция РКБ реализована во всех решениях, которые описаны в этом разделе. Каждое из них включает в себя аппаратный компонент (базис) и может включать в себя программную надстройку, неразрывно связанную с этим базисом.

10.1.2.1. Средства доверенной загрузки

Первым решением, с которого началась практическая реализация парадигмы аппаратной защиты в нашей стране и в мире, стало СЗИ НСД «Аккорд-АМДЗ», положившее начало линейке «Аккорд» [83].

«Аккорд-АМДЗ» – это аппаратный модуль доверенной загрузки (РКБ), обеспечивающий тот самый «правильный старт» компьютерной системы, доверенную загрузку операционной системы.

Доверенная загрузка – это загрузка заранее определенной операционной системы с заранее определенных постоянных носителей после успешного завершения специальных процедур проверки заранее определенных условий (проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и идентификации/аутентификации пользователя).

Понятие доверенной загрузки операционной системы было введено в научный оборот еще в 1999 г. – в рамках парадигмы РКБ и ДВС. А теперь этот термин вошел в понятийный ряд ФСТЭК России как обозначение целевой функции отдельного типа средств защиты информации – средств доверенной загрузки (СДЗ). «Аккорд-АМДЗ» (рис. 71) во всех его вариантах исполнения, согласно терминологии ФСТЭК России, является СДЗ уровня платы расширения.

«Аккорд-АМДЗ» может быть реализован на различных контроллерах, принципиально различающихся только шинными интерфейсами: PCI или PCI–X; PCI-express; Mini PCI-express; Mini PCI-express half card; m.2.

Рис. 71. СЗИ НСД «Аккорд»

Существует также вариант исполнения «Аккорд-АМДЗ» на базе USB-устройства, которое называется «Инаф» (от англ. enough — достаточно). Этот вариант имеет определенные ограничения, которые должны восполняться оргмерами или применением дополнительных механизмов, однако в ряде случаев его вполне достаточно – отсюда и название.

Отдельного упоминания в связи с СДЗ требует вопрос применения криптографии. Эта область защиты информации регулируется ФСБ России, а не ФСТЭК России, из-за чего возникает определенный терминологический разрыв, который, впрочем, устранить довольно несложно, так как анализ даже исключительно открытых нормативных методических документов этих регуляторов [29, 37] позволяет установить однозначные соответствия.

Ключевым понятием, «перекидывающим мостик» от криптографии к защите информации от несанкционированного доступа, является понятие «среда функционирования криптографии» (СФК).

Среда функционирования СКЗИ, СФК – это совокупность одного или нескольких аппаратных средств (АС СФ) и программного обеспечения, совместно с которыми штатно функционирует СКЗИ и которые способны повлиять на выполнение предъявляемых к СКЗИ требований [37].

Все физические лица, имеющие доступ к техническим и программным средствам, совместно с которыми используются криптосредства, могут быть отнесены к следующим категориям:

– категория I – лица, не имеющие права доступа в контролируемую зону;

– категория II – лица, имеющие право постоянного или разового доступа в контролируемую зону.

Все потенциальные нарушители подразделяются:

– на внешних нарушителей, осуществляющих атаки из-за пределов контролируемой зоны;

– внутренних нарушителей, осуществляющих атаки, находясь в пределах контролируемой зоны.

Различают шесть основных типов нарушителей: Н1, Н2…, Н6, которые отличаются друг от друга возможностями и квалификацией.

Различают также шесть уровней (КС1, КС2, КСЗ, КВ1, КВ2, КА1) криптографической защиты информации, не содержащей сведений, составляющих государственную тайну, определенных в порядке возрастания количества и жесткости предъявляемых к криптосредствам требований, и соответственно шесть классов криптосредств, обозначаемых аналогично: КС1, КС2, КСЗ, КВ1, КВ2, КА1.

Уровень криптографической защиты информации, не содержащей сведений, составляющих государственную тайну, обеспечиваемой криптосредством, определяется заказчиком этого криптосредства в ТЗ путем отнесения нарушителя, действиям которого должно противостоять криптосредство, к конкретному типу.

При отнесении заказчиком нарушителя к типу H1 криптосредство должно обеспечить криптографическую защиту по уровню КС1, к типу H2 – КС2, к типу H3 – КСЗ, к типу H4 – КВ1, к типу Н5 – КВ2, к типу H6 – КА1[217].

Классы СДЗ для СКЗИ

При аргументации путем отсылок к нормативной методической базе очень сложно избежать утраты читателем нити рассуждения, что приводит к ощущению необоснованности вывода. Попробуем избежать этого эффекта, прорисовывая нить следствий из приводимых положений.

1. Для ИС организаций банковской системы Российской Федерации актуальны угрозы, связанные с действиями нарушителя в пределах контролируемой зоны. Это следует, например, из Рекомендаций в области стандартизации Банка России:

– РС БР ИББС-2.9-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации» [41], введение: «Наибольшими возможностями для нанесения ущерба, в том числе неумышленного, организации БС РФ и (или) ее клиентам в части возможного нарушения конфиденциальности обрабатываемой информации обладают работники организации БС РФ и (или) иные лица, обладающие легальным доступом к информации, – возможные внутренние нарушители информационной безопасности»;

– РС БР ИББС-2.9-2016, раздел 8: «Организации БС РФ рекомендуется рассматривать следующие категории возможных внутренних нарушителей:… Категория А. Пользователи АБС и приложений…, Категория Б. Эксплуатационный персонал., Категория В. Технический и вспомогательный персонал – лица, в том числе не являющиеся работниками организации БС РФ, не обладающие полномочиями по доступу к информации конфиденциального характера, но осуществляющие непосредственный физический доступ в помещения, в которых осуществляется обработка такой информации»;

– РС БР ИББС-2.5-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Менеджмент инцидентов информационной безопасности» [40], раздел 6: «Основными источниками угроз ИБ являются. работники организации БС РФ, реализующие угрозы ИБ с использованием легально предоставленных им прав и полномочий (внутренние нарушители ИБ)».

2. Согласно базовой модели нарушителя для СКЗИ, внутренний нарушитель из числа лиц, имеющих право постоянного или разового доступа в контролируемую зону, который не имеет права доступа к средствам вычислительной техники с СКЗИ и самостоятельно осуществляет создание способов атак, подготовку и проведение атак, относится к типу Н2.

Внутренние нарушители более высокого типа обладают более широким набором возможностей.

3. Следствие из п. 1 и 2: при эксплуатации СКЗИ в ИС организаций банковской системы Российской Федерации следует рассматривать нарушителя как минимум типа Н2.

4. Приказом ФСБ России от 10.07.2014 № 378 [29] и Рекомендациями по стандартизации Р 1323565.1.012-2017 установлено, что:

– СКЗИ всех классов должны противостоять атакам, проводимым из-за пределов контролируемой зоны;

– СКЗИ классов KC2 и выше должны противостоять атакам, проводимым из пределов контролируемой зоны.

5. Следствие из п. 1–4: в ИС организаций банковской системы Российской Федерации должны использоваться СКЗИ классов КС2 и выше. И в целом нормативными документами ФСБ России установлено, что при отнесении заказчиком нарушителя к типу Н2 СКЗИ должно обеспечить криптографическую защиту по уровню КС2. Если тип нарушителя выше Н2, выше и уровень СКЗИ.

6. Согласно п. 6.1.3 Рекомендаций по стандартизации Р 1323565.1.0122017, в качестве составной части СКЗИ классов KC2 и выше должна быть реализована система защиты от несанкционированного доступа к защищаемой СКЗИ информации.

7. Согласно п. 6.1.9е Рекомендаций по стандартизации Р 1323565.1.0122017, до начала обработки информации, безопасность которой должна обеспечиваться СКЗИ, следует проводить, в частности, контроль целостности СКЗИ.

8. Следствие из п. 6 и 7: система защиты от несанкционированного доступа к защищаемой СКЗИ информации должна реализовывать механизм контроля целостности до загрузки ОС СВТ. Из этого, в свою очередь, следует, что в составе системы защиты от несанкционированного доступа к защищаемой СКЗИ информации для класса КС2 и выше должно использоваться средство доверенной загрузки.

9. Согласно п. 4.8 Рекомендаций по стандартизации Р 1323565.1.0122017, СКЗИ должны отвечать требованиям по безопасности информации, устанавливаемым в соответствии с законодательством Российской Федерации. Приказом ФСБ России от 10.07.2014 № 378 [29] установлено, что для обеспечения защищенности необходимо использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

10. Следствие из п. 6–9: для СКЗИ классов КС2 и выше должно использоваться средство доверенной загрузки, сертифицированное ФСБ России.

11. Согласно п. А.1.3 Рекомендаций по стандартизации Р 1323565.1.0122017, СКЗИ классов KC2 и выше должны противостоять атакам в том числе на аппаратные средства и ПО, на которых реализованы среда функционирования СКЗИ (СФ СКЗИ) и СКЗИ.

12. Согласно п. 3.43 Рекомендаций по стандартизации Р 1323565.1.0122017, программное обеспечение, функционирующее в рамках одного аппаратного средства и предназначенное для решения узкоспециализированного круга задач, включая BIOS компьютера, входит в состав ПО СФ.

13. Следствие из п. 11 и 12: СДЗ уровня базовой системы ввода-вывода не может использоваться для защиты от несанкционированного доступа к защищаемой СКЗИ информации, поскольку является составным элементом BIOS СВТ, входит в состав СФ и, следовательно, само рассматривается в качестве объекта атаки и нуждается в применении к нему механизмов защиты.

Кроме того, существующие на сегодняшний день требования ФСБ России к модулям доверенной загрузки распространяются исключительно на аппаратно-программные средства, функционирующие на уровне платы расширения. Это означает, что условие п. 10 может быть выполнено только с помощью СДЗ уровня платы расширения соответствующего класса.

А именно:

– для защиты СВТ, в которых обрабатывается конфиденциальная информация, не содержащая сведений, составляющих государственную тайну, могут использоваться СДЗ уровня платы расширения классов защиты 1–3;

– для защиты СВТ, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, со степенью секретности «секретно», могут использоваться только СДЗ уровня платы расширения классов защиты 1 и 2;

– для защиты СВТ, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, со степенью секретности «совершенно секретно», могут использоваться только СДЗ уровня платы расширения класса защиты 1.

Выводы: СКЗИ, используемые в организациях банковской системы Российской Федерации, должны иметь класс КС2 и выше. Использование на СВТ СКЗИ класса КС2 возможно исключительно при совместном использовании с СДЗ уровня платы расширения (АПМДЗ[218]), сертифицированного ФСБ России. Использование СДЗ уровня базовой системы ввода-вывода (BIOS) в тех же целях неприемлемо.

Сегодня нет проблем с тем, чтобы выбрать АПМДЗ (в терминологии ФСБ России)/СДЗ (в терминологии ФСТЭК России) для создания СФК на большинстве моделей настольных компьютеров и серверов. Хуже обстоит дело с ноутбуками, но проблема решаема. Совсем сложно ее решить для планшетов. На то есть технические причины, которые сводятся к двум основным:

1. Мало на каких планшетах есть свободный разъем m.2 с ключами А-Е. Это означает m.2 с выходом на интерфейс PCI, который необходим для работы СДЗ уровня платы расширения (АПМДЗ) в форм-факторе m.2 (о том, чтобы поместить в планшет какой-то еще вариант, трудно даже вести речь). Обычно имеющийся в планшете разъем m.2 имеет ключи вывода на SSD, то есть предназначен для работы с диском. Если же «нужный» m.2 есть в наличии, он, как правило, занят Wi-Fi-модулем, а вынимать из планшета Wi-Fi-модуль, разумеется, неприемлемо в абсолютном большинстве случаев.

2. У планшетов совершенно иначе, чем у стационарных машин, реализовано управление питанием – в частности, режим «сна». И это делает неприменимыми на планшетах существующие в АПМДЗ механизмы реализации «сторожевого таймера» (тем более что в них вообще нет той цепи, разрыв которой осуществляет стандартная схема сторожевого таймера), требует изменения механизмов идентификации/аутентификации пользователя и т. д.

Как правило, задача решается тем, что используется СДЗ уровня BIOS. Однако такое СДЗ не подходит для создания СФК. Таким образом, для того чтобы на планшете можно было использовать криптографию приличного класса (КС2 и выше), необходимы и особенное СДЗ, и особенный планшет. Подобрать эту пару самостоятельно – задача непростая и нелогичная для эксплуатирующей организации, поэтому планшет «ПКЗ 2020», в котором реализована СФК на класс СКЗИ КС3 (установлен «Аккорд-АМДЗ», сертифицированный ФСБ России), поставляется ОКБ САПР[219] целиком, как единое решение.

Характеристики планшета соответствуют всем современным требованиям, извлечение Wi-Fi-модуля и отключение LTE не требуются.

Аналоги решения на сегодняшний день неизвестны – как целиком, так и АПМДЗ в формате m.2, соответствующий требованиям ФСБ России в части управления питанием для планшетов.

В то же время СДЗ уровня BIOS также имеют свою область применения и в линейке продуктов «Аккорд» представлены СДЗ «Аккорд-MKT».

Средства разграничения доступа

«Аккорд-АМДЗ» контролирует только старт компьютера и не работает в операционной системе. Поэтому в тех случаях, когда необходимо не только загрузить доверенную среду, но и разграничить доступ к ресурсам компьютера уже в ходе работы пользователей, особенно при многопользовательском режиме работы или в распределенных инфраструктурах, необходимо применять программно-аппаратные комплексы на базе СДЗ «Аккорд-АМДЗ»: ПАК «Аккорд-Win32», «Аккорд-Win64» или «Аккорд-Х». Они предназначены соответственно для разграничения доступа в 32- и 64-разрядных ОС Windows и в ОС Linux.

Функциональность комплексов одинакова: в них реализованы дискреционный (с использованием 13 атрибутов) и мандатный механизмы разграничения доступа, в том числе контроль запуска задач и контроль печати из любых приложений на принтеры любых типов (сетевые, локальные, виртуальные). Для терминальных систем как на базе Microsoft, так и на базе Citrix предназначены версии TSE (Terminal Server Edition), поддерживающие управление терминальными сессиями. Cерверные и клиентские компоненты комплексов взаимодействуют в рамках протоколов ICA или RDP, формируя собственный виртуальный канал.

За счет совокупности своих функций, включающих аппаратный контроль целостности среды и контроль запуска задач в программной части комплекса, ПАК СЗИ НСД «Аккорд» позволяет закрыть уязвимость фон-неймановской архитектуры компьютера, блокируя атаку на «перехват управления», которая была схематически описана выше, на всех шести ее шагах. Архитектура компьютера, как и в случае с Новой гарвардской архитектурой, но при значительно больших усилиях, становится динамически изменяемой: сохраняя необходимые для решения функциональных задач свойства «машины Тьюринга» во время работы, во время старта компьютер ею не является, работая скорее как «конечный автомат».

10.1.2.2. Средства защиты для виртуальных структур

Для виртуальных инфраструктур, на которых сейчас все чаще строятся ЦОД, в линейке продуктов «Аккорд» предназначены программно-аппаратные комплексы «Аккорд-В» и «ГиперАккорд». Первый предназначен для виртуализации на базе VMware, второй – для виртуализации на базе Microsoft [79].

Работа конечных пользователей с ЦОД может строиться несколькими способами: работа с виртуальными рабочими станциями, работа на основе терминального доступа, веб-доступа или смешанная. Во всех этих случаях пользователь физически работает на каком-то СВТ, и оно также является объектом защиты, поскольку именно с него осуществляется доступ к защищаемому ЦОД. Система защиты должна учитывать все нижеперечисленные требования:

– доступ к системе должен осуществляться из доверенной среды, которая должна соответственно обеспечиваться на клиентских СВТ;

– внедрение системы защиты не должно вести к замене оборудования, еще не вышедшего из строя, даже если это «зоопарк» разных СВТ с разными ОС;

– защищенный доступ к системе не должен быть разорван с подсистемой разграничения доступа в самой системе.

Системы, работающие с ЦОД, хороши тем, что позволяют использовать в качестве клиентских рабочих мест практически что угодно. В первую очередь это значит, что можно использовать все, что «никому не нужно, а выбросить жалко». Это очень важно, однако это далеко не единственный плюс такой неприхотливости централизованных систем.

Кроме машин, которые иначе можно только выбросить (и сохранения инвестиций за счет этого), в качестве клиентов можно использовать и машины, которые обладают прекрасными характеристиками и возможностями. Это позволяет учитывать разнородность служебных функций сотрудников организации, а значит, создать централизованную систему, в которой могли бы работать все сотрудники – даже те, кто в силу своих задач не может работать на терминале типа «тонкий клиент».

Можно отказаться от того, чтобы такие сотрудники работали в режиме удаленного доступа, однако это заметно снизит эффект от внедрения системы, поскольку использование централизованного ресурса наиболее значимо как раз для тех задач и данных, которые являются общими для сотрудников всех категорий.

Использование в качестве клиентских СВТ не только специализированных аппаратных терминалов, но и разнообразных средств вычислительной техники – как с высокими, так и с практически отсутствующими характеристиками – позволит избежать двух главных проблем, с которыми сталкиваются организации, эксплуатирующие системы удаленного доступа и стремящиеся к унификации клиентов:

1) необходимости взаимодействовать с монопольным поставщиком терминалов (с ним может случиться неприятность или он может начать вести себя не совсем хорошо);

2) постоянных обновлений модельного ряда терминалов, чем грешат практически все «бренды» (а в результате либо теряется преимущество унификации, либо внезапно снятую с производства модель приходится разыскивать и приобретать чуть ли не «с рук»).

Заметим, что есть производители, у которых терминалы одной модели, абсолютно идентичные по всем параметрам спецификации, на поверку не имеют ничего общего между собой (даже построены на разных чипсетах). Однако это уже, как говорится, другая история.

Итак, возможность строить систему на разнородных СВТ – это очень существенный плюс. Однако «в тени» этого плюса скрывается сложность, связанная с тем, что среда исполнения клиентского ПО (любого – терминального клиента, браузера, клиента Horizon View и пр.) во всех этих случаях (на подлежащих списанию ПЭВМ под Windows XP, мощных машинах проектировщиков под каким-нибудь специфическим Linux, ноутбуке руководителя с Windows 10, ноутбуках или планшетах агентов или инспекторов – вовсе с гарвардской архитектурой) окажется разной.

Это не проблема, если в системе не нужно обеспечивать информационную безопасность, так как клиентское ПО есть практически для любой ОС.

Если же система удаленного доступа должна быть защищенной, то необходимо контролировать вычислительную среду всех типов клиентов, иначе получается классическая дыра в заборе, сводящая на нет его высоту и острые шипы по периметру. Выгода централизованной системы в части организации защиты информации связана именно с унификацией предмета защиты – ОС клиента, узкоспециальной, обычно небольшой по объему, а следовательно, легко контролируемой.

Если мы теряем эту особенность, то фактически задача с точки зрения защиты информации сводится к точно такой же, как если бы в системе применялись обыкновенные ПЭВМ, только к их количеству и разнообразию добавляются серверы. Более того, любая система, в которой одно и то же СВТ применяется в нескольких режимах, требует, помимо защищенности в каждом режиме отдельно, еще и доказанного отсутствия взаимовлияния этих режимов.

Стоит ли тогда вообще игра свеч? Безусловно, защита – это только одна сторона дела, и, возможно, не так критично, что теряется выгода именно в ней, ведь остается масса других плюсов, а защита вообще редко связана с выгодой.

Однако есть решение, позволяющее не терять выгоду унификации клиента, но не терять и возможность использовать в этом качестве практически любые СВТ, – это загрузка на СВТ необходимой (унифицированной, контролируемой) среды только на тот период, когда оно должно работать в качестве клиента централизованной системы.

Естественно, для СВТ разных типов и назначений нужно использовать различные (подходящие к каждому конкретному случаю) способы обеспечения загрузки этой контролируемой среды, но она всегда должна быть организована таким образом, чтобы загружаемая для работы в системе удаленного доступа среда не влияла на основную среду СВТ и наоборот.

В настоящее время на отечественном рынке представлены решения всех необходимых типов. Их можно разделить на группы в соответствии с ключевыми особенностями защищаемого СВТ:

1) СВТ разных моделей от разных производителей, основная задача которых – работа в системе удаленного доступа (классические «тонкие клиенты»);

2) СВТ – это компьютеры с различными характеристиками, для которых работа в сессии связи с сервером – эпизодическая задача, а в основном пользователи работают с собственными ресурсами СВТ или с веб-системой;

3) компьютер (ноутбук) руководителя.

Последний тип вполне разумно выносить в отдельную категорию, потому что при всей своей немногочисленности в штатном составе организации руководители – это не та категория сотрудников, которой можно пренебречь.

Рассмотрим, чем будет отличаться загрузка эталонной ОС в этих случаях.

Классические «тонкие клиенты»

Унифицировать среду исполнения ПО и одновременно сделать ее защищенной, но гибкой и администрируемой можно с использованием комплексов защищенного хранения и сетевой загрузки ОС терминальных станций.

Универсальная часть образа ОС клиента загружается с отчуждаемого персонального устройства пользователя, а затем та часть образа, которая требует администрирования, скачивается на клиент со специального сервера хранения и сетевой загрузки и после успешной проверки целостности и аутентичности полученного образа загружается. Эта часть образа, включающая средства поддержки периферии (она может выходить из строя или просто заменяться), ограничения доступа к устройствам ввода-вывода и съемным носителям (принтерам, флешкам) и тому подобные «индивидуальные» настройки, должна быть доступной для изменений, но в то же время верифицируемой. Это и обеспечивается комплексами защищенного хранения и сетевой загрузки образов терминальных станций.

Таким комплексом средств защищенного хранения и загрузки по сети образов ПО терминальных станций является ПАК «Центр-Т».

Работа с ЦОД как эпизодическая задача

Если работа в терминальной, виртуальной сессии или веб-сессии является эпизодической задачей, то требования к ОС клиента минимальны, а его модификации маловероятны – во всяком случае, крайне редки.

Для таких ситуаций как нельзя лучше подойдет решение с загрузкой эталонного неизменяемого образа из защищенной памяти отчуждаемого устройства. После окончания работы в сессии пользователю достаточно отключить устройство и перезагрузиться, чтобы вернуться к работе с ресурсами основного СВТ.

Это и есть краткое описание доверенного сеанса связи (ДСС), реализуемого, в частности, СОДС (средством обеспечения доверенного сеанса связи) «МАРШ!».

Суть концепции доверенного сеанса связи с точки зрения безопасности заключается в следующем: раз компьютер практически всегда используется в незащищенных сетях и только иногда – в защищенных, значит, нужно добиваться не «тотальной» защиты, что дорого и неудобно, а защиты, при которой защищенные и «опасные» ресурсы разделяются и не могут использоваться совместно.

При этом очевидно, что целесообразность применения «постоянной» защиты или средства обеспечения доверенного сеанса связи прямо пропорциональна тому, сколько данный конкретный компьютер должен использоваться в режиме доверенной среды. Если постоянно или большую часть времени – то его необходимо полноценно, хоть и со значительными затратами, защищать, создавая ИПС, защищая каналы связи и т. д. Если же это короткие сеансы в течение дня – то логично использовать СОДС.

Успешность атаки определяется в том числе временем, в течение которого злоумышленник имеет возможность ее осуществлять. Это математически доказуемое и доказанное положение давно стало общим местом и в результате, к сожалению, дало почву для злоупотреблений, когда несанкционированное использование злоумышленниками ключей, хранящихся в токенах, объяснялось тем, что пользователи слишком надолго оставляли токены подключенными.

Ошибочность этого объяснения настолько очевидна, что его сложно считать именно ошибочным. Однако предпосылки понятны: любая атака требует подготовки, создания условий для ее успешного проведения.

Подготовить условия для проведения атаки в постоянной среде удобнее, чем в среде, создающейся на ограниченное время. Поэтому постоянная вычислительная среда должна быть более устойчивой к воздействиям.

Однако для того, чтобы повысить устойчивость системы, не обязательно непременно повышать устойчивость среды. Альтернатива повышению устойчивости среды к воздействию – повышение устойчивости системы за счет уменьшения периодов времени существования целевой (для хакера) среды.

Вспомним распространенный мотив из детективов и боевиков: для того чтобы засечь место, из которого производится телефонный звонок, специалистам необходимо N секунд. Поэтому тот, кому звонят, старается продержать абонента на связи нужное время, а звонящий – прервать сеанс на (N – 2) – й секунде. После этого можно перезванивать снова: специалистам опять понадобится N секунд, а не только две оставшиеся, так как результат их действий не накапливается, а создается всякий раз с нуля.

Примерно такова и логика ДСС.

Доверенная вычислительная среда создается комплексом средств единожды и на постоянное время и стоит дорого. Доверенный сеанс связи создается многократно по мере необходимости в нем на непродолжительный промежуток времени (сеанс), и средства его обеспечения стоят ощутимо меньше.

Почему же тогда неверна логика кратковременности подключения токенов? Почему ключи успевают попасть в руки злоумышленников даже в тех случаях, когда токены подключаются только для подписания платежки и даже если ключи в них неизвлекаемые?

Принципиальное требование к сеансу, детерминирующее безопасность применения этой технологии, – «обнуление» среды при разрыве сеанса, возвращение ее в исходное состояние. Именно это не дает злоумышленнику возможность накопить результаты воздействий на среду, подготовить условия для проведения атаки. В случае с СОДС это обеспечивается тем, что доверенная среда взаимодействия загружается из раздела памяти Read Only и модифицировать ее можно только во время сеанса связи.

В случае же с токенами среда компьютера постоянна, все необходимые манипуляции с ней злоумышленник может произвести в любое удобное время вне зависимости от того, подключен ли токен. И потом даже предельно кратковременного подключения будет достаточно для того, чтобы доступ к ключам был получен.

Безусловно, возможны атаки и на «МАРШ!» (например, атакой через сеть, так как остальные ресурсы компьютера не поддерживаются средой, загружаемой с «МАРШ!»). Даже если такая атака состоялась, например в доверенную среду попал вирус или была осуществлена попытка «инъекции кода», то после отключения «МАРШ!» от компьютера среда вернется в исходное состояние, так как вирус не сможет записаться в память RO.

Работа с ЦОД как задача руководителя

На руководителя, как правило, возлагается так много совершенно необходимых обязанностей, что от выполнения лишних действий он закономерно хочет быть избавлен. Кроме того, в случае с компьютером или ноутбуком руководителя крайне желательно избегнуть заметных изменений привычного порядка действий при загрузке компьютера и замедления процедуры загрузки ОС, что неизбежно в первых двух описанных случаях.

Поэтому загрузка ОС с терминальным клиентом на СВТ руководителя должна производиться без подключения дополнительных устройств и через интерфейс, который не станет узким местом по скорости чтения. Это значит, что терминальный клиент должен загружаться на такой компьютер прямо из аппаратного модуля доверенной загрузки, требуя от пользователя только указания желаемого в данный момент режима.

Так и реализован «Ноутбук руководителя»: в ноутбук установлен miniPCIe-контроллер Аккорд-GXMH, firmware которого по факту отсутствия смарт-карты в считывателе загружает ноутбук штатным образом (ОС с жесткого диска), а в случае наличия смарт-карты в считывателе загружает собственную ОС, в которой загружается приложение доступа к защищенному ЦОД. Таким образом, порядок действий руководителя для перехода в режим ДСС сводится к привычной работе со смарт-картой: установил смарт-карту, ввел PIN-код и получил доступ к защищенным ресурсам.

Материал этой главы, конечно, не претендует на полноту. Представленное – скорее очерки. Однако, думается, они позволят сделать самостоятельные выводы и обобщения, достаточные для отыскания необходимого читателю решения, если оно не описано в этой главе в явном виде. А в завершение хочется традиционно заглянуть в будущее – в отношении очень острого для финансовых организаций вопроса: биометрической идентификации.

10.2. Идентификация для защищенности

и безопасности

Тщательней надо, ребята.

Общим видом овладели, теперь подробности не надо пропускать.

Михаил Жванецкий.

Тщательнее

Приемы идентификации существенно зависят от целей, которые можно грубо разделить на криминалистические и технологические.

Криминалистическая идентификация выполняется, как правило, на доверенном оборудовании без сотрудничества с идентифицируемым объектом (возможно, это труп, а возможно – подозреваемый; оба на сотрудничество, как правило, не настроены, и оно от них не требуется). Идентификация в рамках технической защиты информации предполагает, что субъект готов к сотрудничеству.

До последнего времени все исследования в области технической защиты информации проводились с учетом того, что мы работаем с корпоративными системами, границы которых точно известны. В этих границах всегда можно обеспечить достаточный уровень защищенности, базирующийся на доверенности СВТ, включенных в состав системы. В открытых же системах ставить вопрос об обеспечении доверенности всех средств вычислительной техники просто невозможно. Так, мобильные средства доступа пользователей ни при каких условиях нельзя сделать доверенными.

В этих условиях можно развивать систему в двух направлениях: перенести всю тяжесть защиты на центр и отказаться от использования надежной криптографической защиты при доступе к сервисам (например, банка) с мобильных устройств пользователей и (или) строить распределенную «иммунную» систему защиты, обеспечивающую приемлемый уровень защищенности клиентских транзакций даже при недоверенном оборудовании.

Первое направление очевидно, и по этому пути идут многие, полагая, что риски пока невелики и такими же останутся. Безусловно, это не так. Брешь в защите преступники всегда находят и начинают эксплуатировать. Поэтому брешей в защите следует избегать.

Второе направление еще ждет своих исследователей. Основой эффективных решений могут стать системы обнаружения вредоносной активности, построенные по принципу мультиагентных систем [89], а также системы мультимодальной биометрической идентификации с использованием динамики рефлекторных реакций.

Последнему – рефлекторной идентификации как методу и средству применения недоверенных клиентских терминалов в доверенных информационных системах цифрового общества – и посвящен этот раздел.

Идентификация и аутентификация занимают особое место в последовательности операций [81], так как еще до начала всех операций нужно понимать, с кем начинается взаимодействие – с партнером или хакером.

Кроме того, коль скоро результат информационного взаимодействия фиксируется применением электронной подписи, придающей записи свойства документа, а при использовании недоверенных клиентских терминалов (телефонов) ключи подписи должны быть отчуждены и храниться защищенным образом, то уровень доверенности результата идентификации должен быть достаточным для доступа к отчужденным ключам подписи.

В рамках корпоративных систем не проблема обеспечить всех участников сертифицированными идентификаторами и выполнять операции по аутентификации в доверенной среде. В открытой же системе этого добиться невозможно. Обращаясь за госуслугами, телемедицинскими консультациями, услугами банков, услугами в секторе B2C, граждане всегда будут пользоваться смартфонами, о доверенности которых говорить не приходится. Такой доступ всегда будет самой легкой добычей для всех видов атак с использованием вредоносного ПО.

10.2.1. Идентификация в открытых системах

У биологов есть синоним для слова «стабильный». Это слово «мертвый».

Джек Коэн, биолог

Естественным механизмом идентификации (аутентификации) для открытых систем представляется биометрическая идентификация. Биометрические параметры неотъемлемы от человека, и поэтому соблазн использовать их объясним.

Об эффективности биометрии свидетельствует огромный опыт ее применения для идентификации самых разных модальностей: радужной оболочки глаза, папиллярного узора, рисунка сосудистого русла, формы лица, ладони, голоса, состава генома и др. Эти биометрические модальности хотя и избыточны, но предельно просты: они или статичны или условно статичны. Более того – если снимаемые приборами характеристики не инвариантны[220], то исследователи зачастую пытаются свести их к инвариантам[221] [105] в попытке упростить последующий анализ.

В силу простоты и статичности эти модальности легко воспроизводятся и моделируются, что не только не снижает риски ошибочной идентификации, но и позволяет влиять на ее результаты. Традиционные (инвариантные) биометрические модальности не обеспечивают и не могут обеспечить достаточный уровень доверия к результатам идентификации на недоверенном устройстве. Успешный же опыт применения биометрии связан не с визуальной и (или) приборной идентификацией, а только с криминалистической, что объяснимо: в базах данных никто отпечатки не подменит, гражданин не наденет при регистрации отпечатков перчатку и не передаст ее потом злоумышленнику, а средства идентификации, используемые полицией, доверенные [122].

Простота подделки статических биометрических модальностей сегодня осознана [114], и операторов идентификации на основе биометрических данных начинает интересовать вопрос: «А нельзя ли повысить достоверность идентификации за счет использования не одной, а нескольких биометрических характеристик?» – то есть за счет мультимодальности на этапе принятия решения.

Для независимых модальностей вероятности ошибок (как первого, так и второго рода) перемножаются, что объясняет целесообразность многофакторных (мультимодальных) решений и позволяет обеспечить достаточный уровень доверенности. Независимость при этом понимается как независимость факторов и независимость каналов [83].

Предположительно биометрические характеристики человека нельзя считать независимыми уже хотя бы потому, что они принадлежат одному человеку. Во всяком случае, независимость не доказана и, скорее всего, не изучалась. Уже в связи с этим гипотеза о повышении уровня доверия при использовании мультимодальностей не очевидна и требует серьезного изучения.

Еще более наглядной является необходимость независимости каналов – а в нашем случае канал один: он формируется клиентским терминалом (смартфоном) и интернетом. Конечно, ни о какой независимости здесь даже не может идти речь.

Таким образом, использование статических параметров для повышения достоверности идентификации с использованием недоверенного устройства практически нецелесообразно.

Одним из решений проблемы подделки (подмены) статических (инвариантных) биометрических параметров является проверка активности и разумности субъекта в дополнение к проверке биометрических показателей. Даже если предположить, что проверка разработана так, что ее действительно может пройти только человек, нельзя упускать из виду, что это любой человек, в том числе и злоумышленник.

Сравним задачи, средства и данные, необходимые для решения задачи идентификации в криминалистике и в цифровой экономике.

Идентификация в рассматриваемом контексте может упрощенно трактоваться как установление личности. Это так и для криминалистики, и для процессов цифровой экономики. Видимо, такая упрощенная трактовка и привела к имеющейся путанице. Рассмотрим теперь понятия более глубоко.

Нулевая гипотеза идентификации может быть сформулирована субъектом так: «Идентифицируемый объект – тот, за кого он себя выдает (за кого его принимает субъект)».

Криминалистика, как правило, имеет дело с людьми, не ориентированными на сотрудничество, поскольку ее обычный объект идентификации – это труп, подозреваемый или преступник. Цель анализа – доказать факт совершившегося доступа объекта к орудию и (или) месту преступления, установить личность потерпевшего и т. д. И, конечно, объект обычно совсем не заинтересован в правильной идентификации.

Активное противодействие здесь, если оно есть, направлено на то, чтобы нарушить идентификацию – доказать, что на месте преступления не был, в преступлении не участвовал, законов не нарушал.

Другими словами, противодействие (со стороны субъекта или сообщников либо трудности, связанные с недостатком данных) направлено на достижение ошибки false positive – ошибки первого рода.

Цель противодействия (бездействия) – отклонить нулевую гипотезу при том, что она верна.

Используемые технические средства при этом доверенные. Они специально разрабатываются, защищаются сертифицированными средствами, проходят регламентные процедуры контроля и т. д.

В цифровой экономике объект идентификации – вполне живой и добропорядочный участник экономической деятельности. Пример его потребности – получить доступ к некоторым ресурсам. Он готов к сотрудничеству, готов выполнить определенные действия, чтобы после успешной идентификации получить нужную ему услугу. Он заинтересован в правильной идентификации.

Активное противодействие системе может осуществлять хакер (или просто злоумышленник), добиваясь ложной идентификации в свою пользу. Противодействие направлено на достижение ошибки false negative – ошибки второго рода.

Цель противодействия – выдать себя за другого, вынудить субъекта принять нулевую гипотезу при том, что она ложна.

Технические средства произвольные: это обычные планшеты и смартфоны, ничем не защищенные от внедрения вредоносного ПО.

Для наглядности сведем характеристики и установки объекта процесса идентификации в таблицу (табл. 4). Вырожденные случаи (труп) не рассматриваем.

Мы видим полностью противоположные характеристики.

Не менее наглядны и отличия в позициях субъекта идентификации (табл. 5).

Таким образом, процессы идентификации в криминалистике и цифровой экономике при заданной гипотезе полностью различны.

Таблица 4

Субъект идентифицирует объект. Цели объекта

Таблица 5

Субъект идентифицирует объект. Характеристики процесса

Не совпадают:

– объекты идентификации;

– их одушевленность/неодушевленность;

– заинтересованность объекта идентификации в ошибке;

– желательный для объекта идентификации результат;

– характер участия объекта в процессе идентификации.

При этом противоположными являются:

– контролируемость инструмента субъектом;

– доверенность среды идентификации;

– значимость того, жив ли объект идентификации;

– значимость согласия объекта идентификации с результатом идентификации;

– заинтересованность объекта идентификации в подтверждении гипотезы субъекта.

10.2.2. Новая биометрия. Замысел защиты

A potentia ad actum

(От возможного к реальному)

Крылатое латинское выражение

Для устранения уязвимостей, связанных с простотой подмены измерений на недоверенных устройствах, необходимо от статических показателей перейти к динамическим типа «стимул-реакция» со сложной динамикой связи. Динамическим звеном, чрезвычайно сложным на сегодняшний день для моделирования, являются нервная и вегетативная системы человека и связанные с этим особенности физиологии движений. В частности, индивидуальными оказываются непроизвольные реакции на внешние стимулы (например, аудио- и видеораздражители).

Реакция на стимулы может быть зафиксирована датчиками клиентского устройства, обработана с помощью методов искусственного интеллекта, например искусственных нейронных сетей [66], что позволит определить источник потоков данных и повысить достоверность идентификации.

Совокупность нескольких биометрических модальностей нужно дополнить анализом хотя бы одной физиологической (рефлекторной) реакции, что повысит достоверность биометрической идентификации и обеспечит решение задачи виталентности.

На недоверенном клиентском терминале несложно подделать голос, лицо, подменить отпечатки пальцев и рисунок сосудистого русла, сымитировать движение глаз, но если в качестве биометрического признака использовать реакцию на раздражитель – то изменения этих модальностей при реальном источнике должны быть согласованными, и поэтому подделать потоки данных будет почти невозможно, так как для согласования поддельных данных нужна модель реакций конкретного человека, что нереально ввиду высокой сложности такой модели.

На сегодняшний день психомоторные реакции человека исследуются, как правило, на сложном лабораторном медицинском оборудовании в контролируемых условиях. Однако, исходя из параметров современных и перспективных технических средств (смартфонов), с их помощью среди динамических биометрических характеристик человека представляется возможным зафиксировать по крайней мере характеристики пульсовой волны, динамику изменения диаметра зрачка, динамику слежения взглядом за стимулом на экране. Для этого достаточно иметь на смартфоне камеру и вспышку (фонарик), а также сенсорный экран.

Перспективным является изучение движения глаз. Глаз не может быть неподвижным, клетки рецепторов «утомляются» и «подменяются» в процессе саккадических движений. Эти движения характеризуются высокой сложностью. Достаточно отметить, что движениями глаз управляют семь мышц (!), и мышцы, ответственные за саккадические движения, являются самыми быстрыми. Многообещающим представляется изучение рефлекторной составляющей саккад, а также (возможно, и в первую очередь) процессов фиксации и регрессии при чтении.

Изучение пульсовой волны предположительно позволит выделить реакцию сердца – изучить вариабельность сердечного ритма. Это тем более важно потому, что для жизнедеятельности организма сердце важнее зрения и регулирование осуществляется более «старыми» (и, таким образом, более стабильными) механизмами, в том числе ЦНС и вегетативной системой. При этом уровни регулирования могут меняться в зависимости от многих факторов, что позволяет считать механизм достаточно сложным для моделирования.

В качестве внешних раздражителей можно использовать имеющиеся у смартфона возможности: звук, цвет и свет, вибрацию, отображение текста (в т. ч. со случайным изменением числа пробелов).

Для разработки данного подхода необходимо:

– проверить методом объективных измерений гипотезу о влиянии различных внешних раздражителей на рефлекторные реакции;

– создать алгоритмы сбора первичных данных на пользовательских устройствах (смартфонах);

– разработать искусственную нейронную сеть анализа данных, снимаемых средствами смартфона, либо применить другие адекватные задаче методы анализа.

Подробнее ознакомиться с этими исследованиями и заглянуть в будущее можно, например, в [72].

10.3. Краткий обзор нормативной базы по критическим информационным инфраструктурам

Когда умные и честные люди действуют заодно, глупцы и мошенники отступают.

Шарль Дюкло, французский историк, королевский историограф XVIII в.

10.3.1. Основные документы

Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [48] (далее – Закон № 187-ФЗ), вступивший в силу с 1 января 2018 г., регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.

Под безопасностью КИИ в Законе № 187-ФЗ понимается состояние защищенности КИИ, обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак.

Под компьютерной атакой понимается целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты КИИ, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации.

Под объектами КИИ понимаются информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ (п. 7 ст. 2 Закона № 187-ФЗ).

В свою очередь субъектами КИИ являются государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей (п. 8 ст. 2 Закона № 187-ФЗ).

Таким образом, Закон № 187-ФЗ и его подзаконные акты можно и нужно применять для обеспечения безопасности функционирования систем электронного банкинга.

Рассмотрим основные положения этих документов.

Постановление Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» [22]. Вводится перечень показателей критериев значимости объектов КИИ Российской Федерации и их значений, а также определяется порядок категорирования этих объектов.

Категорирование осуществляется субъектами КИИ в отношении принадлежащих им на праве собственности, аренды или ином законном основании объектов КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ.

Устанавливаются три категории значимости. Самая высокая категория – первая, самая низкая – третья. Определен перечень исходных данных для категорирования.

Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов. Перечень объектов в течение пяти рабочих дней после утверждения направляется в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ (ФСТЭК России).

Определен перечень сведений о результатах присвоения объекту КИИ одной из категорий значимости (либо об отсутствии необходимости присвоения ему одной из таких категорий), направляемых в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ. Форма направления сведений о результатах присвоения объекту КИИ Российской Федерации одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий утверждена Приказом ФСТЭК России от 22.12.2017 № 236 [36].

Следует отметить, что проект данного постановления Правительства Российской Федерации был согласован с Центральным банком Российской Федерации.

По информации ФСТЭК России, в настоящее время насчитывается более 250 систем банковской сферы и иных сфер финансового рынка, подлежащих категорированию в качестве объектов КИИ. Как минимум половина из этих систем так или иначе относится к системам электронного банкинга, и доля их будет только увеличиваться.

Основными проблемными вопросами категорирования, с которыми приходится сталкиваться субъекту КИИ, являются:

– определение принадлежности к субъектам КИИ;

– определение критических процессов;

– определение перечня объектов КИИ, подлежащих категорированию;

– определение необходимости согласования перечня объектов КИИ с государственным органом или российским юридическим лицом;

– подготовка сведений о результатах категорирования объектов КИИ.

Требования к созданию систем безопасности значимых объектов КИИ Российской Федерации и обеспечению их функционирования утверждены Приказом ФСТЭК России от 21.12.2017 № 235 [33]. Документ определяет требования к силам, программным и программно-аппаратным средствам обеспечения безопасности значимых объектов КИИ, к организационно-распорядительным документам, к функционированию системы безопасности в части организации работ.

Требования по обеспечению безопасности значимых объектов КИИ утверждены Приказом ФСТЭК России от 25.12.2017 № 239 [34]. Документом в зависимости от категории значимости и угроз безопасности информации определены следующие организационные и технические меры, подлежащие реализации:

– идентификация и аутентификация;

– управление доступом;

– ограничение программной среды;

– защита машинных носителей информации;

– аудит безопасности;

– антивирусная защита;

– предотвращение вторжений (компьютерных атак);

– обеспечение целостности;

– обеспечение доступности;

– защита технических средств и систем;

– защита информационной (автоматизированной) системы и ее компонентов;

– планирование мероприятий по обеспечению безопасности;

– управление конфигурацией;

– управление обновлениями программного обеспечения;

– реагирование на инциденты информационной безопасности;

– обеспечение действий в нештатных (непредвиденных) ситуациях;

– информирование и обучение персонала.

Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом КИИ.

В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами КИИ самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации.

В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации (это шесть видов средств защиты: межсетевые экраны, системы обнаружения вторжений, средства антивирусной защиты, средства доверенной загрузки, средства контроля съемных машинных носителей информации, операционные системы):

а) в значимых объектах 1-й категории применяются средства защиты информации не ниже 4-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

б) в значимых объектах 2-й категории применяются средства защиты информации не ниже 5-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

в) в значимых объектах 3-й категории применяются средства защиты информации 6-го класса защиты, а также средства вычислительной техники не ниже 5-го класса.

При этом в значимых объектах 1-й категории значимости применяются сертифицированные средства защиты информации, соответствующие (вместо 4-го уровня НДВ) 4-му или более высокому уровню доверия. В значимых объектах 2-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 5-му или более высокому уровню доверия. В значимых объектах 3-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 6-му или более высокому уровню доверия.

В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (персональных данных) принимаются в соответствии с более высокими категорией значимости, классом защищенности или уровнем защищенности персональных данных.

Таким образом, объекты КИИ (автоматизированные и информационные системы в их составе) подлежат защите так же, как ГИС и ИСПДн высоких классов защищенности.

Постановление Правительства Российской Федерации от 17.02.2018 № 162 «Об утверждении Правил осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры» [23]. Правилами устанавливается порядок осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ Российской Федерации, и его территориальными органами мероприятий по государственному контролю в области обеспечения безопасности значимых объектов КИИ Российской Федерации.

Государственный контроль осуществляется путем проведения плановых и внеплановых выездных проверок. Проверка проводится должностными лицами органа государственного контроля, которые указаны в приказе органа государственного контроля о проведении проверки. Срок проведения плановой проверки не должен превышать 20 рабочих дней. Срок проведения внеплановой проверки не должен превышать 10 рабочих дней.

Информация об организации проверок, в том числе об их планировании, о проведении и результатах таких проверок, в органы прокуратуры не направляется, за исключением информации о результатах проверок, проведенных на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям.

10.3.2. Другие документы

Необходимо упомянуть еще ряд документов ФСТЭК России и ФСБ России:

– Приказ ФСТЭК России от 06.12.2017 № 227 «Об утверждении Порядка ведения реестра значимых объектов критической информационной инфраструктуры Российской Федерации» [32];

– Приказ ФСТЭК России от 11.12.2017 № 229 «Об утверждении формы акта проверки, составляемого по итогам проведения госконтроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» [35]. Содержание этого и предыдущего документов очевидно из названий;

– Приказ ФСБ России от 24.07.2018 № 366 «О Национальном координационном центре по компьютерным инцидентам» [24]. Инициирует создание Национального координационного центра по компьютерным инцидентам (НКЦКИ), определяет его задачи и права;

– Приказ ФСБ России от 24.07.2018 № 367 «Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации…» [25]. Устанавливает набор параметров инцидентов для передачи в НКЦКИ (не позднее 24 часов с момента их обнаружения) и способы передачи информации;

– Приказ ФСБ России от 24.07.2018 № 368 «Об утверждении Порядка обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации…» [27]. Определяет способы передачи информации об инциденте другим субъектам КИИ и получения субъектами КИИ сведений об атаках. Обмен информацией с иностранными организациями осуществляет НКЦКИ;

– Приказ ФСБ России от 06.05.2019 № 196 «Об утверждении Требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты» [30]. Определяет требования к функциональным возможностям и характеристикам технических средств, необходимых для решения задач центров ГосСОПКА;

– Приказ ФСБ России от 19.06.2019 № 281 «Об утверждении порядка, технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты…» [28]. Обязывает субъекта КИИ согласовывать с НКЦКИ установку средств ГосСОПКА и уведомлять о приеме их в эксплуатацию. Определяет необходимые для согласования сведения. Срок согласования – до 45 календарных дней;

– Приказ ФСБ России от 19.06.2019 № 282 «Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак…» [26]. Определяет состав плана реагирования на инциденты и принятия мер по ликвидации последствий, разрабатываемого субъектом КИИ. Обязует информировать НКЦКИ о результатах реагирования и ликвидации последствий не позднее 48 часов после завершения мероприятий.

10.3.3. Преступления и наказания

Федеральным законом от 26.07.2017 № 194-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в связи с принятием Федерального закона “О безопасности критической информационной инфраструктуры Российской Федерации”» [49] внесены изменения, предусматривающие ответственность физических и юридических лиц:

– за создание, распространение и (или) использование ПО или иной компьютерной информации для неправомерного воздействия на КИИ: принудительные работы до 5 лет/лишение свободы до 5 лет/штраф до 1 млн руб.;

– неправомерный доступ к информации КИИ, если он повлек за собой вред: принудительные работы до 5 лет/лишение свободы до 6 лет/ штраф до 1 млн руб.;

– нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой законом информации КИИ либо правил доступа, если оно повлекло за собой причинение вреда КИИ: принудительные работы до 5 лет/лишение свободы до 6 лет/запрет занимать должности до 3 лет;

– совершение соответствующего правонарушения группой лиц или с использованием служебного положения: лишение свободы до 8 лет/ запрет занимать должности до 3 лет;

– совершение соответствующего правонарушения, которое повлекло за собой тяжкие последствия: лишение свободы до 10 лет/запрет занимать должности до 5 лет.

К счастью, специалисты «на местах» не предоставлены сами себе в этой ситуации. В различных учебных центрах и центрах повышения квалификации проводятся курсы повышения квалификации по программам (например, [76]), разработанным в соответствии:

– с «Методическими рекомендациями по разработке программ профессиональной переподготовки и повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, противодействия иностранным техническим разведкам и технической защиты информации» [11], утвержденными ФСТЭК России 16 апреля 2018 г., и

– примерной программой повышения квалификации «Программа повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры» [10], утвержденной ФСТЭК России 17 декабря 2018 г.

Разработка программы в соответствии с приведенными документами ФСТЭК России означает, что все положения, модули и темы программы утверждены регуляторами и соответствуют нормативной методической базе.

Вместо заключения

Итак, для обеспечения безопасности электронного банкинга, в котором одинаково заинтересованы клиенты и банки, всем клиентам нужно использовать ненастраиваемое СЭП[222], формирующее доверенную среду или же средства доверенной идентификации с помощью недоверенных устройств. Каждый банк должен создать свою собственную доверенную систему идентификации и аутентификации.

Рационально ли это? Есть ли другой путь?

Клиент хорошо понимает, что он не специалист по ИБ, наслышан об активности хакерских группировок, надеется, что его это не коснется, но хочет свои риски передать кому угодно. В цепочке взаимодействия «клиент-банк» нет третьего, поэтому клиент хочет передать риски банку и, даже не сделав это, верит, что так и есть.

В свою очередь, для банков тоже было бы важно передать не свойственные им функции по идентификации клиентов и их технической защите – конечно, вместе с рисками. Самостоятельно банк в общем случае не может корректно обеспечить защищенность клиента.

Как мы видим, все участники информационного взаимодействия хотят расстаться со своими рисками. Но в текущей конструкции взаимодействия «клиент-банк» такой возможности нет. Противоречие выглядит неразрешимым.

Для его разрешения нужно изменить саму конструкцию. Например, создать единого для всех Национального оператора идентификации (НОИ), который возьмет на себя предоставление доверенной услуги идентификации клиента для всех банков и ответственность за предоставление данной услуги, тем самым снимая с банков не свойственные им функции и блокируя риски. Свои же риски НОИ сможет застраховать.

Страхование информационных рисков [73] – не слишком развитая сегодня практика. Сертификация и аттестация будут при этом иметь важный, но лишь справочный характер. Создать систему, при которой учет требований страховщиков не подменил бы собой оценки наших регуляторов, а дополнил бы их в требуемом разрезе, – важная задача. При этом сам механизм страхования информационных рисков вполне может выступить инструментом регулирования на рынке СЗИ и СКЗИ: страховая премия отразит качество продуктов защиты информации.

11. Точка бифуркации для финансового регулирования в эпоху четвертой промышленной революции

Будущее уже наступило.

Просто оно пока еще неравномерно распределено.

Уильям Гибсон, писатель-фантаст, «отец» киберпанка

11.1. Четвертая промышленная революция

Люди, которые считают, что жизнь человеческая с древних времен меняется только внешне, а не по существу, уподобляют костер, у которого коротали вечера троглодиты, телевизору, развлекающему наших современников. Это уподобление спорно, ибо костер и светит, и греет, телевизор же только светит, да и то лишь с одной стороны.

К. Прутков-инженер

.

Мысль № 111 (из книги Владимира Савченко «Открытие себя») В данной главе имеет смысл обсуждать не технологические тренды, а возможные изменения в финансовом поведении (behavioral finance model), в том числе обусловленные развитием технологий, и последствия этих изменений для финансового регулирования.

Четвертая промышленная революция, более известная как «Индустрия 4.0», получила свое название от инициативы, представленной на Ганноверской выставке 2011 г. и рассматривавшей ее как средство повышения конкурентоспособности обрабатывающей промышленности Германии через усиленную интеграцию «киберфизических систем» (CPS[223]) в заводские процессы. В 2014 г. США последовали примеру Германии и создали некоммерческий консорциум Industrial Internet, в который вошли такие лидеры промышленности, как General Electric, AT&T, IBM и Intel. CPS-подход предполагает создание сетей машин, которые не только будут производить товары с меньшим количеством ошибок, но и смогут автономно изменять производственные шаблоны в соответствии с необходимостью.

Один из основных стимулов Четвертой промышленной революции – стремление конкурировать с аутсорсингом производства в развивающихся странах (особенно в Китае), которое легло в основу современной политики США при администрации Д. Трампа. Широкомасштабное внедрение CPS в Европе и США в принципе способно обратить вспять ситуацию с переносом производств в страны с относительно дешевой рабочей силой (но все более дорогой логистикой). Это позволит условному Западу сохранить экономическое лидерство в условиях возобновления экономического роста в «развивающихся» странах, которые в большей степени полагаются на «обычное» производство.

«Индустрию 4.0» можно рассматривать как производственную сторону ориентированного на потребителей «интернета вещей» (IoT[224]), где любые предметы быта, в которые можно вставить микрочип (от автомобилей до холодильников), будут подключены к интернету[225]. Связь между умными продуктами IoT и умными CPS, которые их производят (совместно они образуют т. н. «промышленный интернет»), будет означать, что вмешательство человека необходимо только для формирования заказа на товар или услугу (и то не всегда: система на основе предикативного анализа способна предугадать рутинные запросы). IoT запустит API-экономику, потребляющую миллионы приложений, цифровых контейнеров и микросервисов.

Максимизация преимуществ Четвертой промышленной революции требует унификации компьютерных платформ (развития PaaS[226]-подхода) и унификации языков общения устройств IoT, чтобы CPS если и не говорили на одном языке, то хотя бы могли понимать друг друга в режиме межмашинного взаимодействия M2M[227]. Однако такая развитая со-платформенность может стать опасной в условиях доминирования ограниченного набора PaaS, что продемонстрировало недавнее «отлучение» китайской компании Huawei от платформы Google/Android.

Вообще в настоящее время можно говорить о переизбытке технологий доступа[228] при наличии многочисленных разрозненных устройств и несогласованности задач, которые ставятся перед каждым из решений IoT[229].

Архитектурный каркас IoT, разработанный IEEE, требует совместимости всех компонентов IoT: устройств и контроллеров, сетей, периферийных и туманных вычислений, хранилищ данных, приложений и аналитики[230].

Крупные игроки объединяют усилия в рамках новых консорциумов, среди которых Industrial Internet Consortium (IIC)[231], Open Connectivity Foundation (OCF)[232], OpenFog Consortium (OFC)[233] и OPC Foundation[234].

Интеграция CPS посредством интернета также делает их довольно уязвимыми к кибератакам. С развитием «Индустрии 4.0» все больший спектр производственных процессов можно дестабилизировать удаленно, манипулируя протоколом производства или просто перегружая процесс посредством DDoS-атак. Недавние заявления американцев, что вредоносные программы уже внедрены в российской электросети[235], не оставляет сомнений в том, что критическая инфраструктура превращается в арену кибервойн. Закон № 187-ФЗ демонстрирует осознание наличия проблемы, но рецепты ее решения пока не слишком проработаны.

В этом отношении вложения в безопасность CPS мало отличаются от покупки различных типов страховок: нарушение безопасности теперь можно считать естественным ходом вещей, поскольку безопасность уже не может быть безупречной без полного отключения от сети, возможность которого даже не рассматривается. Вместо этого владельцам CPS необходимо оценивать риски, чтобы определять, какой уровень риска допустить для каждой системы и каждого бизнес-процесса.

Проблема особенно актуальна для финансовых рынков, где превращение банков и других финансовых институтов в «киберкрепости» в отсутствие доверенной среды[236] передачи финансовой информации может быть относительно недорого нивелировано DDoS-атаками с использованием в качестве ботов домашней электроники, имеющей выход в интернет (IP-камер, smart-телевизоров и т. п.).

А «умный холодильник», имеющий возможность совершать автоматизированные заказы и соответственно порождать финансовые транзакции для их оплаты, может в случае взлома нанести непоправимый ущерб финансовому состоянию своего «хозяина», например сформировав и оплатив несанкционированный заказ быстропортящихся деликатесов. Границы юридической ответственности разработчиков, поставщиков и пользователей вышеописанных платформ пока остаются достаточно размытыми.

Постоянный контроль индивидуума со стороны многочисленных электронных устройств позволяет сформировать и отслеживать его цифровой профиль (или цифровой аватар личности), что облегчает не только маркетинговые акции, но и его идентификацию и контроль финансовых операций на основе анализа его индивидуальных поведенческих реакций и предпочтений. Одновременно возникают риски кражи, подмены этого цифрового профиля или вообще создания весьма достоверно выглядящих фейковых виртуальных персон.

На этом фоне самое существенное воздействие на финансовые рынки могут оказать следующие тренды:

– переход на арендную модель жизни: кредитный (социальный) рейтинг человека становится его судьбой;

– становление Homo Connected[237], окруженного IoE и цифровыми помощниками, которому необходим постоянный доступ к сетям связи со всех возможных устройств;

– ликвидация частной жизни в силу экспоненциального роста регистрирующих устройств: приватность – удел богатых, которые могут себе позволить дорогостоящую техническую защиту и (или) «редактирование» систем хранения;

– угроза кражи цифровой личности или создания достаточно убедительной фейковой: электронная тень обретает самостоятельность;

– утрата понимания, «как это работает», и контроля за нейросетями и искусственным интеллектом (Artificial intelligence, AI[238]). Миром управляют платформы, алгоритмы и BigTech;

– цифровой феодализм: экосистемы развивают несовместимость, а государственный суверенитет (как и государственные границы) распространяется на цифровые платформы;

– точка бифуркации в соревновании RegTech vs SupTech: RegTech становится все изощреннее, реальный надзор и регулирование смогут обеспечить только не менее изощренные SupTech.

11.2. Переход на арендную модель жизни

А какой смысл покупать машину, чтобы разъезжать по асфальту? Там, где асфальт, ничего интересного, а где интересно, там нет асфальта.

Аркадий и Борис Стругацкие, классики современной научной социальной фантастики

В современном мире в первую очередь меняется сама скорость изменений: «Если мысленно представить все время существования человечества как одни сутки, то окажется, что земледелие было изобретено в 23 часа 56 минут, цивилизации появились в 23 часа 57 минут, а современные общества – в 23 часа 59 минут 30 секунд. Однако за эти тридцать секунд произошло, возможно, столько же изменений, сколько за весь “день человечества”»[239]. Цифровой мир открывает инновационным продуктам и услугам возможность быстро достичь целевой аудитории. В августе 2015 г. венчурный предприниматель и владелица Cowboy Ventures Айлин Ли (Aileen Lee) в своем эссе назвала «единорогами» (unicorns) стартап-компании, капитализация которых превысила $1 млрд за пять лет. Lending Club потребовалось семь лет, чтобы его капитализация превысила $1 млрд, Stripe – только три года, OnDeck – всего один год! Для сравнения: стандартной компании из списка Fortune 500, чтобы выйти на капитализацию в $1 млрд, нужно было потратить порядка 20 лет.

В условиях Liquid Modernity[240] финансовым организациям «приходится бежать со всех ног, чтобы только остаться на том же месте, а чтобы попасть в другое место, нужно бежать вдвое быстрее»[241]. Бесшовная цифровизация финансовой сферы становится не модой, а условием выживания. Быстрые изменения приводят к резким и малопредсказуемым колебаниям стоимости почти любых материальных активов (примеры: «пузыри» на финансовых рынках, высокая волатильность цен на недвижимость, нефть, золото и т. п.). С другой стороны, в актив (и все более дорогостоящий) все чаще превращаются данные и информация (см. бизнес-модели таких «единорогов», как Uber, Airbnb, Lending Club и т. д.). Однако новые успешные быстрорастущие компании-«единороги» также имеют пределы роста, приближение к которым означает замедление темпов, снижение интереса инвесторов и падение капитализации. Материальные активы же еще надо содержать, защищать и обновлять (примеры: рост взносов на капитальный ремонт, увеличение налогов и сборов для владельцев автомобилей). Постепенно даже рядовые пользователи сталкиваются с необходимостью учета «совокупной стоимости владения» и (или) замены собственности арендой. Во временную аренду переходят жилье, транспортные средства (каршеринг, «уберизация»), программное обеспечение, даже гаджеты (ежегодное обновление делает экономически бессмысленной покупку новинок). При этом повышается мобильность населения, физические перемещения становятся короче (жилье рядом с источником дохода), усиливается роль безналичного обращения (cashless society)[242].

Все большее значение приобретает «совместное потребление» (sharing economy) товаров и услуг.

Результат – полный отрыв стоимости актива от объема генерируемого им дохода и (или) его ликвидационной стоимости, ставка на «ожидания рынка» и, как следствие, необходимость хеджирования рисков и страхования сделок; таким образом, владение имуществом/активами становится скорее проблемой, чем преимуществом. Финансовым институтам приходится расширять спектр не обеспеченных залогами продуктов, у их клиентов частично высвобождаются средства на текущее потребление, отчасти лишаются смысла накопления (только на «черный день»), но возникает необходимость приобретения страховых продуктов, компенсирующих внезапную утрату дохода (страхование жизни, страхование от потери работы и т. п.).

Вообще же для поддержания режима sharing economy необходимы либо постоянный и стабильный доход, либо возможность в любой момент получить кредитный ресурс (от простого лимита по кредитной карте до динамически пересчитываемой кредитной линии)[243]. В свою очередь для оперативного доступа к кредитным средствам человек должен обладать достаточным кредитным (социальным) рейтингом: именно рейтинг становится основой для доступа к общественным благам в режиме sharing economy, поскольку на индивидуальную работу с клиентом у финансовых институтов не остается ни времени (решение надо принимать немедленно, в процессе покупки), ни достаточных ресурсов (клиентских менеджеров успешно «оптимизируют»). При этом сам рейтинг фактически становится судьбой. Автоматизированные системы, пусть и построенные на основе последних технологий машинного обучения (machine learning, ML) и (или) сведенные в нейросети (NeuroNet), анализируя большие данные[244], чтобы на их основе составить электронный рейтинг потребителя финансовых услуг, явным образом проецируют прошлое на будущее, исходя из того, что бедные останутся бедными навсегда, небрежно относящихся к возврату долга исправит только могила и т. д. Конечно, это подтверждается наличием устойчивых корреляций на основе массы статистических данных, что придает рейтинговым моделям солидный вид беспристрастной науки. Но такие модели помещают потребителей в невидимые группы людей, чье поведение лишь кажется похожим. Создатели моделей зачастую путают корреляцию с причинно-следственной связью.

В принципе мировая практика предоставления персональных займов уже давно опирается на введение градаций и предварительный отсев заявителей, не имеющих приемлемого кредитного рейтинга, который в свою очередь рассчитывается на основе данных об имеющейся кредитной нагрузке и кредитной истории[245]. В качестве альтернативы рассматриваются различные системы вроде Credit Karma, использующие данные из социальных сетей и т. п. в качестве косвенного подтверждения платежеспособности заемщика, или же ему придется прибегать к использованию Р2Р-платформ вроде Lending Club, которые могут разделить риски дефолта заемщика между большим количеством кредиторов.

Акцент при оценке платежеспособности заемщика, таким образом, делается не столько на его текущем материальном положении (зачастую оцениваемом на основе анкеты = самодекларации, поскольку предоставление ложных сведений является преступлением и сама возможность уголовного преследования становится важным стоп-фактором), сколько на его кредитной истории и социальном поведении.

Китай стал первой страной, которая к 2020 г. планирует официально внедрить систему социального рейтинга (Social Credit Score, SCS). Рейтинги уровня SCS начали тестироваться в отдельных провинциях Китая еще в 2010 г. А в 2014 г. эта инициатива вышла на новый уровень и впервые появилась в документе Государственного совета КНР. В рамках системы оценивания будет определен рейтинг жителей Китая – страны, чье население составляет почти 1,3 млрд человек.

Система будет определять позицию гражданина, отслеживая его социальное поведение: как он тратит деньги, регулярно ли оплачивает счета, даже как он взаимодействует с другими людьми. На этой публичной оценке и будет основано доверие к каждому отдельному человеку. Рейтинг будет находиться в открытом доступе для каждого. От него будет зависеть, сможет ли гражданин получить работу или ипотеку, а также в какой школе смогут учиться его дети.

Такая «услуга» станет полностью доступна только в 2020 г., однако уже сейчас Китай начал добровольное внедрение рейтинга SCS: правительство сотрудничает с рядом частных компаний, чтобы отладить отдельные алгоритмы, необходимые для работы такой крупномасштабной системы обработки данных.

В работе над проектом задействованы такие компании, как China Rapid Finance (партнер сетевого гиганта Tencent) и Sesame Credit (дочерняя компания Ant Financial Services Group (AFSG), партнера Alibaba).

Как China Rapid Finance, так и Sesame Credit имеют доступ к огромному массиву данных: первая компания – через приложение обмена сообщениями WeChat (в настоящее время 850 млн активных пользователей), а вторая – через свою платежную систему AliPay

Tencent внедряет рейтинг SCS в чат-приложение QQ, где рейтинг человека находится в диапазоне от 300 до 850, как и FICO Score, и разбивается на пять подкатегорий: социальные связи, потребительское поведение, безопасность, материальное состояние и законопослушность.

Отслеживать социальное поведение помогают не только смартфоны, с которыми граждане КНР уже почти не расстаются, но и 176 млн камер (к 2020 г. – 676 млн), подключенных к системам распознавания лиц.

С помощью SCS китайское правительство фактически убивает двух зайцев одним выстрелом: оно может продвинуть и навязать обществу свое представление о «социально приемлемом поведении» и одновременно с этим получает возможность контролировать все аспекты жизни граждан.

И хотя система еще только тестируется, результат налицо: в 2018 г. китайцы, которые не заплатили налоги, штрафы или допустили другие нарушения, приведшие к снижению социального рейтинга, не смогли купить около 23 млн билетов на самолеты и поезда[246]. Эти люди стали «дискредитированными» за неуказанные поведенческие преступления. В том же году из-за неуплаченных налогов 128 человек не смогли покинуть Китай, а всего в черные списки правительства попали уже 3,6 млн неблагонадежных физических и юридических лиц. Компании, включенные в такие списки, не смогут покупать землю, выпускать облигации и потеряют право на заключение госконтрактов, получение кредитов и импорт товаров.

Европа (да и Америка) здесь пока отстает. Вторая платежная директива ЕС (известная как PSD2[247]) довольно радикально меняет возможности кредиторов по автоматизированному доступу к информации о финансовом положении и поведении потенциальных заемщиков: информационные посредники могут с разрешения клиента получить доступ к его счетам в любом банке и совершать операции от его имени с использованием Open API.

Таким образом, PFM[248]-агентства и агрегаторы финансовой информации наряду с кредитными бюро, несмотря на саботаж банков, превращаются в ключевых инфраструктурных игроков кредитного рынка.

В 2019 г. в России официально действовали 13 бюро кредитных историй (БКИ), в которых хранилось более 300 млн записей. Подготовленная Банком России реформа этой сферы[249] предполагает:

1. Внедрение механизмов повышения точности идентификации субъектов кредитной истории за счет присвоения всем сделкам уникальных идентификаторов и наделения Банка России полномочиями по обмену информацией с федеральными органами исполнительной власти (ФОИВ): МВД России, Пенсионным фондом РФ и т. д., – с целью выверки титульных частей кредитных историй.

2. Уточнение порядка формирования сведений о кредитных историях, включая порядок направления информации в БКИ в целях исключения «разрывов» в кредитной истории при уступке долга или введении временной администрации, при осуществлении секьюритизации, в том числе установление права ипотечных агентов и уполномоченных ими кредитных организаций передавать информацию в БКИ, а также установление обязательных контрольных (проверочных) соотношений для минимизации ошибок.

3. Уточнение состава сведений о кредитных историях: включение сведений о сумме и дате очередного платежа, сумме минимального платежа по банковской карте, длительности беспроцентного периода, среднемесячном платеже, цели займа; уточнение перечня сделок, информация по которым должна направляться в БКИ (овердрафт), источников формирования кредитной истории и т. д.

4. Обеспечение условий для расчета совокупной долговой (платежной) нагрузки: создание института квалифицированных БКИ, на которые будут возложены обязанности по агрегации сведений о платежной нагрузке; установление Банком России порядка расчета и предоставления сведений о совокупной платежной нагрузке (единые форматы и условия взаимодействия между БКИ, между БКИ и пользователями, требования к API) и среднерыночной стоимости кредитного отчета.

Реформа также позволит упростить доступ граждан к своей кредитной истории. С 31 января 2019 г. ее можно проверить не выходя из дома, например через портал госуслуг.

Услуги БКИ не ограничиваются хранением и предоставлением кредитных отчетов: в соответствии с Федеральным законом от 30.12.2004 № 218-ФЗ «О кредитных историях» [50] они вправе осуществлять скоринг на основе данных кредитных историй и иной открытой информации для создания так называемого «обогащенного скоринга».

В результате совершенствования надзорных полномочий Банка России к нему перейдет функция контроля за соблюдением требований к инфраструктуре, качеству данных, качеству управления и внутреннего контроля, финансовой состоятельности владельцев БКИ.

За счет развития роботизированных технологических систем и 3D-печати sharing economy будет дополнена «экономикой по требованию» (on-demand economy).

Но наряду с существенным снижением себестоимости товаров и услуг (вызванным отказом от создания складских запасов и дорогостоящей логистики, отсутствием затрат на утилизацию нераспроданного, снижением до нуля расходов на управление и т. д.) новые формы ведения бизнеса повлекут за собой не просто реорганизацию рабочих мест, а изменение самого характера работы: «поставщики трудовых услуг» уже не будут постоянными сотрудниками, а станут фрилансерами, нанимаемыми на основе срочных (временных) трудовых договоров под конкретную работу. Таким образом, будет формироваться класс, которому британский экономист Гай Стэндинг[250] (Guy Standing) в 2011 г. дал название precariat (от англ. precarious (нестабильный) и proletariat). Прекариат – класс работников, которые зарабатывают от заказа к заказу, при этом лишаясь гарантированной занятости, социального обеспечения и трудовых прав. В России эта социальная группа уже сейчас насчитывает, по некоторым оценкам, до 40 % трудоспособного населения[251].

«Жертвой» «Индустрии 4.0», которая создает гораздо меньше рабочих мест, чем ликвидирует, очень скоро окажется любимец финансовых менеджеров – «средний класс». Виртуализация рабочих мест и временная занятость лишают его гарантий привычного образа жизни с четырьмя традиционными атрибутами статуса (высшее образование, доступ к высококачественному здравоохранению, гарантированная пенсия и жилье в собственности).

А практически неизбежная сегрегация по уровню креативности и доступности медицинских и (или) киберфизических апгрейдов, радикально улучшающих физические и умственные способности человека, разделит общество на сравнительно небольшие группы «победителей» (разработчики цифровых платформ и сервисов, инженеры и дизайнеры виртуальных моделей вещей и устройств, деятели искусства и т. д.) и массу представителей прекариата и низкооплачиваемых работников, занятых на позициях, которые пока еще слишком дорого роботизировать. Это в свою очередь усугубит разрыв между производственными возможностями экономики и уровнем платежеспособного спроса.

В таких условиях финансовым институтам придется радикально пересматривать бизнес-модели, исходя из понимания, что арендная модель жизни должна сопровождаться динамически пересматриваемой пожизненной кредитной линией, бремя которой, возможно, будет переходить на потомков.

11.3. Становление Homo Connected, окруженного loE и цифровыми помощниками

Любая достаточно развитая технология неотличима от магии.

Так называемый третий закон Артура Кларка из книги «Черты будущего» (Profiles of the Future)

Homo Connected необходим постоянный доступ к сетям связи со всех возможных устройств (желательно со сходными интерфейсами). Отсутствие в сети приводит к «выпадению из жизни». Развитие сетевого взаимодействия обусловливает виртуализацию рабочих мест, а потом и вообще работы, что в свою очередь сказывается на необходимости перемещений (хотя популярная некогда концепция «глобальной деревни» Герберта Маршалла Маклюэна (Herbert Marshall McLuhan)[252], похоже, так и не будет реализована).

Фактически Homo Connected оказывается частью глобальной электронной среды, вопросы интеграции в которую могут быть решены как за счет расширения возможностей и функциональности гаджета (камеры, датчики, геопозиционирование), так и за счет общей интеллектуализации среды обитания (частью IoE становятся дома, предметы обихода, дроны и т. д.). При этом само электронное устройство оказывается все более «связанным» с человеком как с его носителем – теперь уже постоянным. Апофеозом такого «прогресса» мобильной электроники станет нейроимплант, который непосредственно взаимодействует с головным мозгом, интегрируясь с неокортексом[253] и отчасти подменяя его (рис. 72).

В результате такого стремительного прогресса человек постепенно теряет навыки общения с миром и управления собственной жизнью без «электронных костылей», как ранее уже успел утратить остроту зрения и слуха, свойственную древним охотникам и сказителям эйдетическую память[254] и т. д. Но чем больше времени люди проводят в цифровой среде, тем больше снижаются их познавательные способности по причине того, что они утрачивают желание «докопаться до сути», полагаясь на поисковые системы и различных виртуальных цифровых помощников (Virtual Digital Assistant, VDA).

Рис. 72. Развитие связанности/мобильности

А здесь их поджидает, даже если пока оставить за скобками возможности целенаправленных манипуляций, «ловушка релевантности»: в top поисковиков поднимаются сведения не наиболее достоверные и адекватные запросу, а наиболее «кликабельные». Показатель CTR[255] стал ключевой метрикой в интернет-маркетинге и в погоне за монетизацией интернет-сервисов фактически подменил собой настоящую релевантность (в ее научном понимании[256]): мнение 100 тыс. малообразованных пользователей с точки зрения машинных алгоритмов куда весомее мнения пары настоящих специалистов, оценить квалификацию которых ни поисковик, ни пользователи не в состоянии. Мало того, информация из дефицитной быстро превратилась в избыточную, что мешает устанавливать причинно-следственные связи тех или иных явлений.

Ситуацию усугубляют информационная перегрузка и быстрый темп изменений, ведущие к утрате желания «вникать в детали». Происходят тотальные симплификация[257], коммодитизация[258] и игровизация[259] продуктов и услуг, которые теперь должны быть «интуитивно понятными»; пространные инструкции превращаются из средства информирования потребителей в гарантию от юридических исков. Выбор обусловливается не только и не столько потребительскими свойствами, сколько «вознаграждением» (приобщение к «избранным» с покупкой последней модели iPhone, получение дополнительных выгод и (или) подарков в рамках программ лояльности и т. п.).

Для финансовых рынков это означает перемещение всех операций в устройство связи, через которое решаются и проблемы идентификации. Как следствие, традиционным банкам, вероятно, придется сфокусироваться на хранении денег клиентов и осуществлении расчетов, а интерфейсы отдать FinTech-компаниям (вышеупомянутая PSD2 уже лишила банки монополии на управление деньгами клиентов: предоставлять API для третьих сторон становится для них не правом, а обязанностью). Это приведет к постепенному отказу от неоцифрованных услуг (что пока сдерживается юридическими коллизиями) и увеличению объема операций, происходящих вне контроля пользователя, таких как автоплатежи за продукты и услуги, сбор информации в «фоновом режиме» для целей управления персональными финансами (PFM). В результате банк либо сам становится ИТ-компанией, либо превращается в back office для FinTech-компаний.

Параллельно будут расти число ошибочных действий (в т. ч. совершенных «по инерции») и возможности для манипулирования (пример: автовозобновление подписки и других услуг, если пользователь специально не заявил об отказе от них). Так, знаменитый «мгновенный обвал» (Flash Crash) американского фондового рынка 6 мая 2010 г. (снижение стоимости ценных бумаг на $1 трлн в рамках одной торговой сессии) с высокой степенью вероятности стал результатом «гонки вооружений» производителей систем для высокочастотного трейдинга[260].

Вообще формирование вокруг человека своего рода цифрового «кокона» дает простор для манипуляций в просто невообразимых масштабах. То, как мы распознаем мир, – результат веры как в данные, предоставляемые разнообразными устройствами, так и в системы их дистрибуции. Социальные сети и VDA уже сейчас активно фильтруют медиа и контент согласно своим внутренним алгоритмам. В недалеком будущем то, на что обращают внимание миллиарды людей (а при использовании VR/AR очков – и то, что они вообще видят), будет контролировать небольшая группа владельцев социальных сетей и производителей ботов и VDA.

«Все вокруг нас напоминает о нашем отречении от нашей собственной власти в пользу технологий… В конце концов мы можем прийти к ощущению того, что мы вообще уже ничего не решаем и не можем ни на что повлиять, – те или иные вещи просто происходят с нами.

Жизнь станет намного проще, не так ли? Идти следом гораздо легче, чем прокладывать дорогу самому… Сможем ли мы свободно принимать решения, не основанные на логике и алгоритмах? Сможем ли мы по-прежнему совершать глупые поступки: превышать скорость, напиваться, есть вредную еду? Или свобода воли перестанет существовать?

В одном можно быть уверенным: технологии и их крупнейшие провайдеры сделают все возможное, чтобы склонить нас к повиновению и отречению, случайно или преднамеренно»[261].

Предиктивная аналитика[262], первоначально призванная помочь с сортировкой и пониманием потока информации для обеспечения принятия обоснованных решений, теперь фактически превращается в способ склонить человека к выполнению действий, ведущих к выгоде финансового института.

Отклонения от рекомендованного финансового поведения будут пресекаться с помощью кредитных (социальных) рейтингов (см. выше). Таким образом, Homo Connected создает основу для реализации бизнес-модели Behavioral Finance[263], которая начиналась с идеи необходимости учета особенностей психологии брокеров и инвесторов, но теперь «пошла в народ» и легла в основу многих типов розничных сделок: от POS-кредитов до «финансовых пирамид».

11.4. Ликвидация частной жизни в силу экспоненциального роста регистрирующих устройств

Неприкосновенность частной жизни чем дальше, тем больше становится роскошью, которую могут позволить себе только богатые.

Кэти О’Нил,

математик, автор книг по науке о данных, включая «Оружие математического уничтожения» (Weapons of Math Destruction)

Все больше информации выносится в публичное пространство посредством социальных сетей и облачных технологий, которые, несмотря на все заверения, не гарантируют защищенность данных клиентов: отсюда попытки создать гибридные облака (hybrid cloud), сочетающие в себе преимущества публичных (снижение расходов на ИТ-инфраструктуру и стоимости хранения данных) и частных (защита критической информации от несанкционированного доступа) облаков. Размывается само понятие privacy[264] как неприкосновенности частной жизни (честному человеку не стоит бояться Большого брата[265]). Можно даже говорить о фактической ликвидации частной жизни в силу экспоненциального роста регистрирующих устройств. Скоринг все более основывается не на сопоставлении данных клиента с параметрической моделью, а на оценке всех данных о клиенте, до которых можно «дотянуться», и построении вероятностной модели его действий, хотя при этом зачастую игнорируется старое римское правило: post hoc, поп est propter hoc[266].

Реализация на практике вышеупомянутой PSD2 может вступить в противоречие с Генеральным регламентом о защите персональных данных (GDPR)[267]. Под персональными данными GDPR понимает любую информацию о пользователе, которая позволяет так или иначе идентифицировать его, включая cookies и IP-адрес. В отдельную категорию «особых персональных данных» выносятся расовая, конфессиональная, политическая/партийная принадлежность, биометрические и генетические данные, медицинская информация, сексуальная ориентация и т. д.

GDPR в принципе схож с российским Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» [52]. Оба документа предусматривают:

– прозрачность процедуры сбора персональных данных: данные можно собирать только на законных основаниях, с согласия их владельцев, объясняя при этом, как планируется их использовать;

– ограничения по использованию персональных данных: их нельзя собирать и хранить в иных целях, нежели те, на которые было получено согласие их владельца. При этом объем собираемых данных, сроки их хранения и методы обработки должны строго соответствовать заявленным целям;

– право гражданина на управление своими персональными данными (гражданин вправе запросить у оператора, какими именно сведениями о нем тот располагает) и возможность отзыва согласия на их использование (вплоть до требования все удалить);

– безопасность использования персональных данных: раскрывать их третьим лицам без согласия владельцев запрещено, оператор обязан обеспечить надежное хранение данных и несет ответственность за их утечки.

Но GDPR идет дальше: вводится понятие организации-контролера, которая проверяет корректность исполнения всего процесса сбора, обработки и хранения персональных данных. GDPR также определяет право на перенос данных (т. е. их передачу между операторами персональных данных по запросу пользователя) и требует уведомлять регулирующие органы об утечках в течение 72 часов после обнаружения – с отчетом о рисках для физических лиц и списком предпринятых мер по их снижению. За этим будет особо следить European Data Protection Board[268]. При этом, в отличие от России, штраф за хотя бы одно нарушение составляет минимум 2 % от оборота компании либо 10 млн евро.

Помимо обработки персональных данных, в GDPR используется понятие мониторинга поведения субъектов данных, которое распространяет действие GDPR на организации, созданные за пределами ЕС, если они (в качестве контролеров или операторов) контролируют поведение жителей ЕС (в той мере, в которой такое поведение имеет место в ЕС). Мониторинг может включать: отслеживание резидента ЕС в интернете; использование методов обработки данных для профилирования отдельных лиц, их поведения или их отношения к чему-либо (например, для анализа или прогнозирования личных предпочтений).

Формально процедуры сбора персональных данных строго регламентированы и гражданин защищен от их несанкционированного использования. На самом деле реальный и тотальный контроль за соблюдением законодательства в сфере персональных данных практически невозможен: у российских граждан по любому поводу требуют паспортные данные и (или) снимают копии паспортов[269]. Дальнейшая судьба этой информации гражданину зачастую не известна. Разработчики ПО в основном уделяют внимание «чудесам» производительности алгоритмов и доступности всевозможных цифровых сервисов, в то время как нежелательные и негативные последствия, похоже, никого особенно не беспокоят.

Большую проблему с точки зрения приватности, например, могут создать камеры с системой распознавания лиц, активное внедрение которых мотивируется как возможностью предоставления целого ряда сервисов без дополнительной идентификации, так и необходимостью бороться с преступностью. Но никто из граждан не подписывал с их операторами индивидуальных соглашений и не имеет возможности проверить условия хранения записей[270]. На этом фоне обращает на себя внимание тот факт, что власти Сан-Франциско ввели мораторий на использование городскими учреждениями и управлением полиции технологий распознавания лиц. Дополнительным стимулом для властей Сан-Франциско стало исследование, проведенное в 2018 г. M.I.T. Media Lab, которое показало, что программы распознавания лиц допускают более высокий процент ошибок, когда речь идет об афроамериканках или представительницах иных отдельных этнических групп[271].

Другой пример: все современные смартфоны оснащены множеством сенсоров и по умолчанию все установленные и устанавливаемые программы ориентированы на максимальный доступ к ним. Но если риски утраты конфиденциальности, связанные с такими сенсорами, как микрофон, камера или модуль GPS/ГЛОНАСС, очевидны, то какие угрозы несет доступ, например, к сенсорам движения – гироскопу и акселерометру, не всегда можно осознать. А такой доступ позволяет идентифицировать пользователя по манере его движения, считывать символы, вводимые с клавиатуры, рядом с которой лежит смартфон, и даже прослушивать разговоры без доступа к микрофону – используя гироскоп в качестве грубого датчика звуковых волн. Благодаря продвинутым техникам радиокартографирования можно, анализируя сигнал вышек сотовой связи и сетей Wi-Fi и (или) indoor-локализацию посредством фиксации смартфоном электромагнитного поля, с достаточно высокой точностью установить местонахождение любого пользователя.

Вследствие развития систем VR/AR[272] компании, производящие эти устройства, будут получать информацию буквально о каждом моргании – каждой реакции на любой стимул. В дальнейшем они фактически смогут видеть мир глазами клиента и получат возможность «убирать» людей и предметы из вашего мира: пользователи «умных очков» просто не будут их видеть. А будущий нейронный интерфейс обеспечит прямую связь между человеческим мозгом и всеми доступными электронными устройствами. В результате вся имеющаяся физическая, электронная и экономическая инфраструктура станет своего рода экзоскелетом, обеспечивающим огромные возможности его носителям.

Пользователи смартфонов и бесплатных веб-сервисов уже продемонстрировали, что готовы отказаться от некоторой степени конфиденциальности в обмен на удобство, но дальнейшее развитие технологий может привести к тому, что корпорации, предоставляющие PaaS, займут место постоянных посредников между нами и окружающим нас миром, навязывая собственные установки в отношении приемлемости того или иного поведения и контента. Предметом юридических баталий может стать само право человека видеть мир непосредственно, невооруженным глазом (ведь это может вступить в противоречие с GDPR, декларирующим в том числе право скрыть свои персональные данные, в т. ч. лица, от чужих взглядов).

На повестке дня экспоненциальное слежение. Неприкосновенность частной жизни все в большей степени будет становиться роскошью. «Цифровой помощник будет фиксировать все, что происходит в нашей виртуальной и реальной жизни… Любой человек или устройство с соответствующими полномочиями или правами (настоящими или поддельными) сможет получить доступ к этой информации.

Это означает, что любое лицо, обладающее некоторыми навыками взлома интернет-ботов, сможет сгенерировать наш профиль или повесить на нас ярлык подозреваемого, диссидента или опасного элемента»[273].

Таким образом, настоящая конфиденциальность останется только для очень богатых: они могут себе позволить проводить жизнь в защищенных от наблюдения местах, использовать надежные цифровые технологии и (или) просто заплатить за уничтожение информации о них во всех доступных базах данных и на всех возможных носителях. Любой обычный гражданин будет постоянно находиться под наблюдением, поскольку даже незначительные перемены в его типичном поведении станут важными сигналами для кредиторов и страховых компаний, работающих на основе вышеупомянутой модели Behavioral Finance. IoE позволяет им контролировать и автоматизировать среду жизни клиентов, которым, конечно, открываются новые возможности для совершения покупок, обращения за услугами и т. д. Но если поведение клиента в любой ситуации становится предсказуемым, то встает вопрос: сколько реальной личной свободы у него остается, не начинают ли люди сами действовать как роботы и наоборот – из чувства протеста (или желания обмануть алгоритмы) действовать так, чтобы прогноз не оправдался?

11.5. Угроза кражи цифровой личности или создания достаточно убедительной фейковой

Риск, которому мы подвергаемся, заключается в том, что, подстраивая мир под себя, технологии могут формировать нашу физическую и концептуальную среду и сдерживать нашу способность приспособиться к ним, поскольку это лучший или самый простой (а иногда – единственный) способ заставить все работать.

Лучано Флориди,

профессор философии и этики информации Оксфордского университета

Повышение надежности механизмов поведенческой и биологической идентификации при стремительном падении стоимости секвенирования генома[274] открывает возможность создания крайне надежного биологического идентификатора – геномного (генетического) паспорта. Такое решение проблемы идентификации в принципе открывает доступ к любым финансовым сервисам из любой точки мира, но создает новую проблему – утраты биообразцов[275], которые могут быть использованы для введения в заблуждение систем идентификации, причем такой инцидент будет крайне сложно оспорить.

Таким образом, введение методов биометрической идентификации, например распознавания голоса и лица, как в применяемой в Российской Федерации Единой биометрической системе (ЕБС), не устраняет полностью проблему кражи и (или) подмены «электронного образа» потребителя.

Программное обеспечение компании Nvidia, используя генеративно-состязательную нейросеть (Generative Adversarial Network, GAN), позволяет уже сейчас превращать наброски в реалистичные изображения. GAN на основе огромной коллекции изображений реальных лиц способна за секунды создавать в высоком разрешении изображения несуществующих людей, генерируя любые культурные и этнические особенности, эмоции, настроение и т. п. GAN использует комбинацию работы двух нейросетей: первая генерирует (создает) образцы, вторая отличает настоящие образцы от поддельных. Преступники могут использовать такие изображения для разного рода мошеннических действий, распознать которые cможет только еще более продвинутая GAN.

Следующим шагом на пути обретения электронной «тенью» некоторой самостоятельности стала технология DeepFake, позволяющая уже снять видеоролик, в котором сгенерированный с применением GAN персонаж практически неотличим от прототипа, но, управляемый закадровым «кукловодом», может двигаться и говорить, демонстрируя вполне реалистичные мимику и артикуляцию. Первые примеры реализации технологии DeepFake были представлены в интернете в 2017 г. Тогда пользователь с ником Deepfakes выложил в Reddit несколько роликов «для взрослых», в которых заменил порноактрис на таких celebrities, как певица Тейлор Свифт, актрисы Галь Гадот, Скарлетт Йоханссон, Эмма Уотсон и др.[276] Опасность DeepFake-технологий состоит в том, что инструменты, которые позволяют сделать все вышеописанное, стали доступны обычным людям и, постепенно совершенствуясь, становятся все менее требовательными к вычислительным мощностям[277]. То же касается и голосовых данных: уже сегодня существуют коммерческие решения для высококачественной имитации чужого голоса. А при активном внедрении технологий удаленной биоидентификации доказать, что, например, договор с банком или МФО заключил «виртуальный персонаж», будет все труднее[278].

Однако «виртуальные персонажи», совершающие вполне реальные сделки, появляются и без столь продвинутых технологий, как DeepFake. В 2019 г. в России произошла первая в истории страны кража недвижимости при помощи электронной цифровой подписи (ЭЦП) посредством договора дарения, составленного в простой письменной форме и заключенного дистанционно. По сведениям Росреестра, все необходимые для заключения сделки документы были поданы в электронном виде и заверены ЭЦП с обеих сторон. Усиленные квалифицированные электронные подписи (УКЭП) дарителя и одаряемого были выданы аккредитованным Минкомсвязи России ЗАО «Национальный удостоверяющий центр» по доверенности (фальшивой). Правовая экспертиза регистратора подтвердила подлинность УКЭП и действующий статус сертификата. При этом настоящий владелец квартиры вообще не оформлял ЭЦП, не выдавал никому доверенности на совершение сделки и никак не участвовал в процессе передачи квартиры[279].

Фальшивая ЭЦП может лишить граждан не только имущества[280], но и всех сбережений и (или) сделать жертвой кредитного мошенничества: между тем в России растет количество случаев использования ЭЦП при заключении кредитных договоров[281]. Конечно, финансовые учреждения принимают дополнительные меры безопасности, вводя многофакторную идентификацию и отслеживая цифровой профиль клиента (а особенно любые отклонения от него). Но на конференции Security Analyst Summit 2019 «Лаборатория Касперского» поделилась информацией об обнаруженном в DarkNet рынке Genesis[282], на котором продаются цифровые маски, включающие в себя данные о поведении пользователя в сети и его цифровые следы: историю посещения веб-сайтов, данные об операционной системе коммуникационного устройства, установленном на нем браузере, плагинах и т. д., то есть как раз те данные, которые банковские системы фрод-мониторинга используют для проверки клиентов. Если они видят маску, совпадающую с той, которую ранее применял пользователь, то транзакция может быть одобрена даже без отправки кода безопасности в SMS или push-уведомления для подтверждения операции. Возможна и противоположная операция: мошенник может создать новую цифровую личность и настроить вышеуказанные параметры так, чтобы система защиты восприняла его как нового пользователя, в отношении которого у нее не будет оснований для недоверия. В 2018 г. таким образом были скомпрометированы данные около 50 млн пользователей Facebook, 3 млн пользователей Uber и т. д.

А между тем Правительство Российской Федерации уже одобрило концепцию российского электронного паспорта, предложенную НИИ «Вoсхoд» и АО «^знак», согласно которой в России могут появиться две версии паспорта: в виде мобильного приложения и пластиковой карты с чипом. В приложении будет содержаться полная цифровая копия паспортных данных, которые также будут записаны на чип карты, и открыт доступ к цифровому профилю и ЭЦП гражданина. Авторы концепции предполагают, что на карточке с чипом будут содержаться информация с отпечатками пальцев владельца для бюметричестой идентификации, а также ЭЦП. Но такое их совмещение на одном носителе делает вышеописанные угрозы еще более реальными в случае, если гражданин не сообщит своевременно об утрате электронного паспорта.

«День, когда украдут вашу цифровую личность, наступит внезапно. Это может быть следствием утечки данных из глобальной корпорации, атаки на госпортал или интернет-магазин. Большинство людей не знает, сколько информации в открытом доступе о них хранит интернет и как легко ее достать»[283].

Decentralized Identity Foundation (DIF)[284], в число членов которого входят, в частности, Accenture, IBM, Microsoft и RSA, видит выход в использовании системы децентрализованных идентификаторов (DID)[285] и специального идентификационного хаба[286]. Это зашифрованное хранилище идентификационных данных, включающее защищенные коммуникации, собственный механизм удостоверения подлинности и специализированное оборудование, работающее с DID, каждый случай использования которых фиксируется в блокчейне. Примером такого решения может служить Microsoft Authenticator[287].

В любом случае попытки защитить цифровой профиль от кражи будут напоминать известное соревнование снаряда и брони. При этом наибольшей проблемой все-таки являются не технические средства безопасности и криптоалгоритмы, а пресловутый «человек посредине», man in the middle (MITM).

11.6. Утрата понимания, «как это работает», и контроля за нейросетями и AI

Создавая искусственный интеллект, мы призываем демона. Во всех историях, где есть парень с пентаграммой и святой водой, он уверен, что сможет контролировать его. Но обычно у него ничего не получается.

Илон Маск, основатель компаний Tesla Motors и Space X

Рост «квалификации» AI при одновременном удешевлении роботов ведет к размыванию представления о незаменимости человека. В 2014 г. компьютерная программа впервые в истории прошла знаменитый тест Тьюринга[288] на человечность[289]. Мы уже наблюдаем автоматизацию рутинных операций и замену людей ботами в сфере виртуального сервиса в банковском и других бизнесах, связанных с массовым обслуживанием розничных клиентов.

Благодаря deep learning[290] компьютеры уже могут выявлять основополагающие рекомендации, принципы и правила, а в недалеком будущем станут способны их понимать и, возможно, успешно имитировать. И вот тогда настанет время проверки когнитивных способностей человека, уже ослабленных привычкой опираться на различных электронных помощников: смогут ли пользователи оценить, выдает AI правильные рекомендации или нет, поскольку его вычислительные возможности уже значительно превысят человеческие. «Если краткосрочное воздействие искусственного интеллекта зависит от того, кто его контролирует, то долгосрочное – от того, будет ли вообще возможен такой контроль…»[291].

В отличие от предыдущих трех индустриальных революций, в четвертой технологический прогресс более не является катализатором роста зарплат и рабочих мест. Маржинальные и общие прибыли компаний растут, когда машины работают вместо людей, сокращение рабочих мест и рост безработицы становятся новой нормой. Фактически занятость еще будет расти в высокодоходных когнитивных и творческих профессиях и низкодоходном ручном труде, который экономически нецелесообразно роботизировать, но она значительно снизится в среднедоходных профессиях, суть которых составляют рутинные операции.

На какое-то время еще сохранится ориентация компаний на высококвалифицированные кадры[292], но «средний класс» как наиболее желанная целевая аудитория многих финансовых институтов будет подвергнут деструкции.

А это в свою очередь ведет к снижению платежеспособного спроса и заставляет финансовые институты корректировать скоринговые модели (оценивать как перспективность источника дохода в зависимости от позиции заемщика и сферы деятельности его работодателя, так и вообще возможность сохранения источника дохода при долгосрочном, особенно ипотечном, кредитовании). Неизбежен рост популярности идеи «скидывания денег с вертолета» для обеспечения минимально гарантированного уровня потребления[293]. Банкам же придется сфокусироваться на создании максимально гибких и ситуативных кредитных продуктов.

С высокой степенью вероятности можно предполагать, что роботизация технологических процессов, виртуализация рабочих мест и AI приведут к конфликту человека и технологий, который будет заключаться не только в потере рабочих мест, но и во все возрастающем искушении создать аватары людей путем загрузки сознания (whole brain emulation, WBE[294]) и (или) киборгизации – реализовать заветные мечты трансгуманистов [295].

Все более актуальной угрозой для развивающихся стран с относительно низким уровнем доходов населения, в период глобализации превратившихся в промышленные площадки, становится reshoring[296], так как доступность дешевой рабочей силы более не является определяющим фактором конкурентоспособности компаний. А поскольку платежеспособный спрос в этих странах сохранится на относительно низком уровне, это усугубит социальное напряжение и конфликты, будет способствовать развитию деглобализации и еще большей нестабильности мира. Четвертая промышленная революция в итоге сделает принцип omnes vincit accipit[297] доминирующим в отношениях между странами и внутри их.

Уже на нынешней стадии развития AI ощутимы рост неопределенности (трудно достоверно определить, общается с вами чат-бот или человек, сам ли человек принимал решение или им искусно манипулировал интеллектуальный помощник, ограждающий от «излишней информации») и потеря контроля (нелегко распознать, являются рекомендации пока еще псевдо-AI истинными или ложными, потому что невозможно отследить логику нейросети, т. е. возникает дилемма: либо полностью доверять AI, либо всегда его перепроверять, а последнее становится все сложнее)[298].

При этом асимметрия информации ведет к значительной асимметрии власти, делая субъекта с правами суперпользователя почти всемогущим: ведь только тот, кто знает, как использовать технологию, приобретает силу от ее использования. На первых порах усилится неравенство между технически грамотными людьми, которые понимают и контролируют информационно-коммуникационные технологии (ИКТ), и людьми, не обремененными существенными познаниями в сфере ИКТ, которые являются пассивными потребителями технологий, не обладая их пониманием.

Все это создаст условия, при которых технологические гиганты, такие как Amazon, Apple, Facebook, Google и Microsoft[299], владеющие технологическими платформами, BigData и технологиями AI, обретут такие богатство и мощь, что фактически выйдут из-под контроля регулирующих органов и национальных государств[300]. Sharing economy делает все более ценным владение платформой по сравнению с владением материальными активами: при использовании CPS предельная себестоимость производства каждой дополнительной единицы товара или услуги стремится к нулю (по сравнению с затратами на разработку цифровой модели этого продукта или бизнес-процесса оказания услуги). При этом запуск BigTech-компаниями собственных криптовалют вроде Libra[301] от Facebook превращает их в замкнутые самодостаточные экосистемы, которые уже не нуждаются во внешних провайдерах финансовых услуг (деньги не надо «приземлять» на банковские счета, вся прежняя инфраструктура расчетов тоже становится ненужной).

Параллельно идет определенная десакрализация власти: правительства теряют преимущественный доступ к информации и действуют все менее своевременно и эффективно, в то время как управляемый субъект, то есть население, теперь гораздо лучше информирован и более требователен. Он все чаще рассматривает правительство по аналогии с BigTech-компаниями – как такой же центр обслуживания населения – и оценивает его по способности поставлять эти услуги наиболее эффективным и индивидуализированным способом.

В перспективе уже ожидается выход AI на уровень Artificial General Intelligence[302] (AGI), критерием достижения которого выступает «способность освоить большинство профессий, по крайней мере тех, которыми мог бы владеть среднестатистический человек»[303]. Не вдаваясь в полемику технооптимистов вроде создателя концепции сингулярности[304] в результате слияния человека с AGI Рэймонда Курцвейла (Raymond Kurzweil) и технопессимистов, ярким представителем которых является шведский философ-трансгуманист Ник Востром (Niklas Bostrom), стоит заметить, что уже сейчас уровень сложности программ не позволяет контролировать их наполнение до уровня строчек кода. Создание

AGI, который сможет самостоятельно программировать в том числе самого себя, в принципе ведет к утрате контроля за системами уровня PaaS и ключевой ИТ-инфраструктурой. Выступать в роли контроллера и аудитора AGI сможет только другой AGI: «Единственный способ избавиться от драконов – это иметь своего собственного»[305].

11.7. Цифровой феодализм

Демонстрация рабов в Древнем Риме. Несут транспаранты «Да здравствует феодализм – светлое будущее человечества!».

Фольклор Исторического факультета МГУ им. М.В. Ломоносова

В 2017 г. Центр стратегических разработок предложил концепцию «Государства-как-Платформы» – качественно новую систему организации и функционирования органов государственной власти Российской Федерации, основанную на «трех китах»:

– ликвидации разрозненности ведомственных систем путем их объединения (создания) на единой PaaS, обеспечивающей единство системы сбора и хранения данных, цифровой инфраструктуры, среды взаимодействия для государственных служащих, автоматизированного принятия решений и т. п.;

– переводе всех государственных услуг в электронную форму с системой удаленной биометрической идентификации, переводе контрольно-надзорной и разрешительной деятельности в цифровой формат;

– формировании цифровых двойников граждан, организаций, объектов и проактивном предоставлении государственных услуг[306].

Указанная идея предполагала полную цифровую трансформацию государственного управления с использованием возможностей, которые предоставляют современные ИТ, вместо цифровизации устаревших процессов[307].

Однако создатели этой красивой концепции обошли своим вниманием проблемы сохранения государственного суверенитета в цифровом пространстве, поскольку рычаги управления «Государством-как-Платформой» в реальности все-таки будут в руках владельцев (разработчиков) PaaS, систем хранения данных и алгоритмов их обработки и реализации бизнес-процессов.

Между тем гиперсвязанность мира, обеспеченная господством BigTech-компаний, в условиях растущего неравенства размывает грань между войной и миром, а также между теми, кто участвует и не участвует в боевых действиях. Гипотетическая война в киберпространстве является самой серьезной угрозой нашего времени. Никто из технологически продвинутых игроков не в силах избежать искушения подорвать функционирование, внести сбои или уничтожить инфраструктуру своего противника, обеспечивающую коммуникации и принятие решений (включая датчики, базы данных, средства связи и т. д.). «В результате этого не только снизится порог критериев наличия войны, но также станет менее выраженной грань между войной и миром, поскольку любые сети или подключенные устройства, от военных систем до гражданской инфраструктуры, такие как источники энергии, электрические сети, системы управления здравоохранением, движением или водоснабжением, могут быть взломаны и подвергнуты нападению»[308]. Уже сейчас принципиально возможны военные действия посредством самоуправляемых систем[309], в том числе боевых роботов и автоматизированного оружия с применением AI. Настоящей проблемой может стать асимметричное преимущество негосударственных формирований (от хакерских команд до террористических группировок), которые сложно не только держать под контролем, но даже идентифицировать.

Даже полная изоляция от интернета не является 100 %-ной гарантией защиты от возможного вторжения в информационные системы, что наглядно продемонстрировала история с вирусом Stuxnet, серьезно подорвавшим иранскую ядерную программу в 2010 г.[310] Собственно, с этого времени можно начинать отсчет эпохи настоящих кибервойн, поскольку это были не простой взлом веб-серверов, кража данных или DDoS-атака, а нападение на максимально защищенную промышленную инфраструктуру[311].

Атака правительства США на Huawei из-за технологий сетей 5G[312], поддержанная всей большой пятеркой BigTech-компаний, только внешне похожа на акт недобросовестной конкуренции: на самом деле речь идет, с одной стороны, об угрозе появления не подконтрольной США технологической платформы и, с другой стороны, о «праве»[313] американского правительства запретить использование информационных технологий любой страны или компании, если они угрожают доминированию США в той или иной области. Таким образом, США открыли «ящик Пандоры»: технологии 5G – это только начало, впереди проблемы с AI и квантовыми вычислениями, способные кардинально поменять очень многие аспекты жизни людей.

Перед лицом таких техно-политических вызовов страны, имеющие собственные развитые ИТ, начинают проводить политику своего рода технологического огораживания или цифрового феодализма, принимая национальные ИТ-стратегии, носящие выраженный техно-националистический характер[314]. Ставка в них делается уже не на альянсы и международную кооперацию, а на национальные ИТ-ресурсы, которым нужно создать особые условия и преференции, дабы они могли противостоять вторжению «чужих технологий».

В России с 2018 г. действует Закон № 187-ФЗ, согласно которому к критической информационной инфраструктуре отнесены сети связи и информационные системы госорганов, предприятий оборонной промышленности, транспорта, кредитно-финансовой сферы, энергетики, топливной и атомной промышленности и др. Владельцы таких объектов должны предоставить информацию о них в Федеральную службу по техническому и экспортному контролю (ФСТЭК России), чтобы она могла категорировать их с точки зрения требований об обеспечении безопасности. Также владельцы объектов критической информационной инфраструктуры должны подключиться к Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), созданной ФСБ России по поручению Президента РФ, и передавать информацию о кибератаках на свои объекты в Национальный координационный центр по компьютерным инцидентам (НКЦКИ).

Но это явно паллиативные меры: контроль над такими объектами сохраняется за производителями ПО, особенно прошивки (firmware). ГосСОПКА в 2018 г. выявила более 4 млрд компьютерных атак на российскую критическую инфраструктуру, однако ФСТЭК России констатирует, что российские компании, управляющие объектами критической инфраструктуры, передают информацию о кибератаках в первую очередь техподдержке поставщиков ПО (а это преимущественно иностранные организации), хотя из Приказов ФСБ России от 24.08.2018 № 367 и № 368 следует, что по вопросам обмена информацией с иностранными организациями они должны обращаться в НКЦКИ[315].

В этих условиях можно рассматривать решение проблемы «защищенного периметра» в одном из трех возможных сценариев:

1) создание системы шлюзов для передачи внешней информации и (или) подключения через защищенный API;

2) формирование отдельной аппаратной и программной доверенной среды;

3) создание несовместимой платформы (например, на базе квантовых технологий).

Вариант 1 близок к идее средневекового замка, вход в который представлял собой систему ворот/решеток, мостов и предзамковых укреплений. В некоторых замках для того, чтобы попасть внутрь, приходилось какое-то время двигаться между двумя стенами под внимательными взглядами стрелков. В современной жизни это может означать существенное замедление передачи данных в силу необходимости не просто проверки на признаки компьютерных вирусов, а фактически их полной декомпозиции с целью убедиться в отсутствии посторонних вложений и (или) использования виртуального «лотка», в который выкладываются не сами передаваемые файлы, а только данные из них.

Вариант 2, собственно, напоминает экосистемы, создаваемые BigTech-компаниями, особенно Apple. Большой российской проблемой остается фактическая утрата серьезной микроэлектронной промышленности. Хорошо, конечно, что ИНЭУМ им. И.С. Брука, входящий в концерн «Автоматика» госкорпорации «Ростех», разработал первый суперкомпьютер на российских 8-ядерных микропроцессорах «Эльбрус-8С»[316], НТЦ «Модуль» смог создать отечественные процессоры для нейросетей, разработанные на собственной архитектуре NeuroMatrix и способные обрабатывать даже потоковое видео в высоком качестве[317], но пока этой продукции далеко до господства на рынке. Фактически вариант 2 реализуют российские вооруженные силы, осознавшие свою зависимость от микросхем класса Military/Space. Но их примеру должны последовать и другие эксплуатанты элементов критической информационной инфраструктуры. Ведь абсолютно ясно, что доверенную среду невозможно построить с использованием недоверенных узлов.

Вариант 3 предполагает настоящий технологический прорыв в сфере квантовых вычислений и (или) AI. Сбербанк и Российский квантовый центр (РКЦ) запустили первую линию связи с квантовой защитой между двумя московскими офисами банка еще в конце 2017 г.[318], однако первый квантовый компьютер на 20 кубитов, пригодный для коммерческого использования, анонсировала в 2019 г. IBM[319]. Между тем начало использования квантовых компьютеров ставит под угрозу все современные системы защиты информации, основанные на идее недостаточности у взломщиков вычислительной мощности.

Существенный толчок развитию цифрового феодализма придал и рассматривавшийся выше запрет США на использование продукции Huawei. Фактически, в полном соответствии с феодальной традицией, «сюзерен» отдает приказы «вассалам», указывая, какими именно аппаратно-программными платформами они могут пользоваться. На наших глазах происходит гибель концепции глобализации, мир распадается на «империи», «сателлитов» и «варварские государства», не обремененные необходимостью соблюдать правила игры и чьи бы то ни было интеллектуальные права.

Для финансового рынка эта тенденция означает сегрегацию финансовых продуктов и услуг, выделение «массовых» и «элитных» версий, доминирование разработчиков стандартов, аудиторов и рейтинговых агентств (как следствие, полный или частичный отказ других «империй» от унификации), возникновение виртуальных страновых барьеров (доступ к ресурсам и на рынки только «для своих»), расширение всевозможных санкционных программ.

11.8. Точка бифуркации: RegTech[320] vs SupTech[321]

Человек, который почувствовал ветер перемен, должен строить не щит от ветра, а ветряную мельницу.

Стивен Кинг, американский писатель, получил прозвище «Король ужасов»

В начале XXI в. фактически произошла цифровая революция, связанная с массовым переносом данных из аналогового формата в цифровой. Если еще в 2000 г. 3/4 всех данных в мире были в аналоговом формате, то к 2002 г. объем цифровых данных впервые превысил совокупный объем информации, хранимой в аналоговом формате, а к 2020 г. доля данных, хранящихся в аналоговом формате, стремится к нулю. Объем «цифровой вселенной» каждые два года расширяется в два раза. В 2016 г. объем данных измерялся 16 зеттабайтами, а к 2025 г. этот показатель увеличится до 163 зеттабайт (для сравнения: вся Ленинская библиотека, по примерным подсчетам, – это 200-гиговый диск, а на 100-терабайтовый накопитель легко поместится вся музыка мира в формате mp3). Примерно 60 % этой информации в мире будут генерировать компании. В IDC ожидают, что в 2025 г. почти 20 % генерируемых данных будут представлять собой информацию, получаемую в режиме реального времени.

В этих условиях финансовая отчетность, поступающая с задержкой на 4,5 месяца, уже не может адекватно отражать реальное положение участников финансового рынка. Бухучет должен вернуться к истокам и снова стать «фотоснимком реальности», не ее редуцированной виртуальной версией. Динамичность современного мира требует от бухучета «серийной съемки» с высокой частотой обновления информации. Но это, в свою очередь, означает необходимость перехода от дискретных учета и контроля к перманентным (т. е. от анализа отчетов к обработке Big Data, поступающих в режиме онлайн).

Современные технологические решения уже сейчас позволяют хранить и обрабатывать весь объем информации, генерируемой финансовым рынком (NYSE собирает за день 1 терабайт данных). На подходе «четвертая волна» повышения эффективности электронных коммуникаций – возникновение среды систем, основанных на технологиях программных роботов (robotic process automation, RPA), возможно, с элементами AI.

С таким ростом сложности мира финансов становится затруднительно корректно классифицировать и лицензировать поставщиков финансовых сервисов, а для их контроля придется применять SupTech. Фактически вместо анализа отчетности регулятор в ближайшем будущем должен перейти на постоянный мониторинг участников финансового рынка с использованием технологий BI[322], предикативного анализа и предсказательной аналитики.

Исходными данными для подобной системы должны служить не отчеты о состоянии финансов организации «в моменте», а данные операционного учета транзакций (Smart Data, т. е. большие данные, очищенные от шумов, структурированные и валидированные), желательно описанных на языке XBRL[323].

Последнее важно, так как внедрение тегов XBRL, например в платежные сообщения, сформированные в соответствии со стандартом ISO 20022, позволит в автоматическом режиме контролировать ключевые показатели финансовых организаций и обеспечивать процедуры ПОД/ФТ. В некоторой степени моделью может служить European Reporting Framework (ERF)[324], но устранение дублирования и облегчение формирования отчетности не должны быть конечной целью предлагаемой системы.

В связи с этим одним из перспективных направлений развития проекта XBRL является работа по гармонизации понятийного аппарата, используемого при анализе Банком России как данных регуляторной отчетности, так и детальных данных и данных, поступающих из внешних источников.

Для дальнейшего использования формата XBRL на финансовом рынке доступны такие возможности, как использование продвинутой аналитики в целях моделирования поведения участников финансового рынка (во взаимосвязи с финансовым рынком, потребителями и между собой); применение pull-технологий сбора данных о поднадзорных организациях из различных источников («цифровые следы») на основе единой модели данных, открытой для рынка через XML-код (например, таксономия XBRL), возможно, в сотрудничестве с другими надзорными органами.

Отработав технологии сбора, обработки, анализа и защищенного хранения отчетности в формате XBRL, мегарегулятору необходимо сделать следующий шаг в совершенствовании регуляторной системы, перейдя на взаимодействие с поднадзорными организациями в режиме RegTech vs SupTech.

Уже сейчас банки тратят $80 млрд на управление рисками и комплаенс, и в соответствии с прогнозами Reuters к 2020 г. эта цифра должна возрасти до $120 млрд. К настоящему времени американские финансовые организации, в том числе находящиеся за пределами США, выплатили более $160 млрд штрафов за несоблюдение законодательства. Сфера финансовых услуг нуждается в более экономичных решениях для соблюдения законодательства без потерь в качестве. RegTech отлично вписывается в требования к автоматизации процессов, такие как:

– бесшовная автоматизация. Использование тегов XBRL в операционном учете позволяет полностью автоматизировать подготовку отчетности согласно действующим правилам и нормам и ее передачу регулятору. В более сложных случаях вполне возможно использовать технологии RPA;

– оперативное реагирование на изменения в регулировании. Нормативные акты могут быть переведены в алгоритмы, обеспечивающие донесение регуляторных требований до поднадзорных организаций через XML-код, пригодный для автоматического использования; таким образом, создаются предпосылки для перехода на настоящее машиночитаемое регулирование (Machine Readable Regulation);

– существенное сокращение комплаенс-рисков. Фактически регулирование может осуществляться в режиме M2M (см. ниже), сводя к минимуму риски как некорректной интерпретации нормативных актов поднадзорными организациями, так и их расширенного толкования регулятором.

Встречным процессом по отношению к RegTech является SupTech. Таким образом, можно говорить о двустороннем процессе: не только об автоматизации поставки данных поднадзорными организациями мегарегулятору, но и об автоматизации самих регуляторных воздействий. Последняя может быть обеспечена за счет использования Банком России технологий Machine Readable Regulation, причем вновь созданные нормативные акты можно будет предварительно проверить на модельных Smart Data, а уже затем предоставить для загрузки в учетные системы поднадзорных организаций.

Успешными примерами внедрения SupTech могут служить инициативы ФНС России по внедрению онлайн-фискализации и отслеживанию цепочек уплаты НДС (АСК НДС-2). Благодаря внедрению АСК НДС-2 возмещение НДС из бюджета высокорискованными компаниями сократилось примерно в восемь раз. Система позволяет в реальном времени отслеживать разрывы в уплате НДС по цепочке поставок. Все это привело к снижению числа фирм-однодневок в 2,5 раза с 2011 г. Для сравнения: в 2011 г. фирм-однодневок, которые зачастую используются для уклонения от налогов и обналичивания, насчитывалось 1,7–1,8 млн, в начале 2015 г. – уже только 1 млн, а в 2019 г. их доля снизилась до 4,7 % от общего числа зарегистрированных в России юрлиц. Всего в России насчитывается порядка 3,9 млн коммерческих компаний. Фактически следующим шагом ФНС России уже может стать стимулирование юридических и физических лиц к отказу от традиционной бухгалтерии в пользу облачных AccountTech-сервисов.

Регуляторам новые технологии могут позволить наконец перейти от предварительно установленных форм отчетности к сбору и анализу первичных данных поднадзорных организаций. Переход от системы, базирующейся на формах отчетности (формоцентричной, form-driven), к системе, основанной на данных (датацентричной, data-driven), может существенно упростить предоставление отчетности регуляторам и упорядочить процесс соблюдения регуляторных требований в целом.

Точка бифуркации для финансового рынка возникнет, когда RegTech и SupTech будут представлены взаимодействующими (и конкурирующими, как снаряд и броня) RPA, вместо регулярной отчетности в ИТ-системы поднадзорных организаций будут встроены резидентные модули, а арбитром в спорах будет выступать AI.

Пока же надеждой и утешением для сотрудников банков служит диалог из старого доброго фильма «Гараж»:

– В Индии обезьяны собирают кокосы. А мои макаки в сибирской тайге будут собирать кедровые шишки, лущить их, складывать в ящики, понимаете… Наклеивать ярлыки…

– Ну нет, наклеивать ярлыки – это мы обезьянам не отдадим!

Заключение

В заключение хотелось бы еще раз обратить внимание на то, что прогресс в области информационных и телекоммуникационных технологий и следующее за ним развитие технологий ДБО внесли принципиальные изменения в работу кредитных организаций. Это обусловлено изменениями в информационном контуре банковской деятельности и появлением в нем новых участников: провайдеров услуг и различных каналов связи, а также совершенно нового типа клиента, который уже не приходит в банк для того, чтобы осуществить банковские операции, но сам становится «операционистом».

Тем, кто сомневается, что технологии ДБО (включая системы ЭБ) будут активно использоваться в банковском бизнесе, авторы предлагают ответить на несколько вопросов:

1. Согласны ли вы, что IoE делает финансовые услуги всепроникающими и что отсутствие мобильности и интегрированности финансовых услуг с другими сервисами становится для банка непозволительной роскошью?

2. Согласны ли вы, что экономика совместного использования и арендная модель жизни в сочетании с тотальной симплификацией, коммодитизацией и игровизацией финансовых услуг требуют, чтобы банк мог принимать решения немедленно и предоставлять услуги здесь и сейчас?

3. Согласны ли вы, что концепция «открытого банка», строящего свою экосистему через открытый API, создает не только многочисленные возможности, но и угрозу проникновения мошенников в пределы защищенного периметра, особенно если где-то уже расположился «man in the middle»?

4. Согласны ли вы, что в условиях постоянно меняющегося, «текучего», мира строительство «цифровых крепостей» обречено на неудачу и необходимо реализовывать концепцию smart security вместо тотальной защиты?

5. Согласны ли вы, что для того чтобы банки не оказались заложниками разработчиков систем с элементами AI, нейросетей, принимающих решения, и оборудования с «закладками», им необходима квалифицированная, высокотехнологичная и заслуживающая доверия экспертиза как внутри самого банка, так и со стороны мегарегулятора?

6. Согласны ли вы, что мы не очень хорошо себе представляем последствия Четвертой промышленной революции, но точка бифуркации уже близка, а «кто предупрежден – тот вооружен»?

7. Согласны ли вы, что, если вы не уделите должного внимания тому, о чем написано в этой книге, новые игроки, такие как BigTech, телекоммуникационные компании и т. д., вскоре просто вытеснят вас из самых прибыльных сегментов финансового рынка?

Очевидно, что большинство опрашиваемых дадут положительные ответы на все вопросы. Исходя из этого, можно сделать только один вывод: в ближайшее время технологии ДБО (и СЭБ в частности) будут активно трансформировать банковский бизнес в сторону так называемого Open Bank, а способы совершения преступлений, связанных с хищением денежных средств при помощи компьютерных технологий и удаленного доступа, будут только развиваться.

Лишь целенаправленная работа по обеспечению безопасности ЭБ может свести к минимуму возможности киберпреступников и обеспечить полное доверие к данному виду ДБО.

Список использованных источников и литературы

Нормативные правовые акты

1. COSO in the Cyber Age: Report Offers Guidance on Using Frameworks to Assess Cyber Risks. January 2015. URL: https://www.coso.org/documents/COSO%20in%20the%2 °Cyber%20Age_FULL_r11.pdf.

2. Electronic Banking Group Initiatives and White Papers. October 2000. URL: http://www.bis.org/publ/bcbs76.htm.

3. Management and Supervision of Cross-Border Electronic Banking Activities. October 2002. URL: http://www.bis.org/publ/bcbs93.htm.

4. Risk Management for Electronic Banking and Electronic Money Activities. March 1998. URL: http://www.bis.org/publ/bcbs35.pdf.

5. Risk Management Principles for Electronic Banking. July 2003. URL: http://www.bis.org/publ/bcbs98.htm.

6. Risk Management Principles for Electronic Banking. May 2001. URL: http://www.bis.org/publ/bcbs82.htm.

7. Roux C. Cybersecurity and cyber risk. BIS central bankers’ speeches. The Bank for International Settlements. September 2015. URL: https://www.bis.org/review/r151002d.pdf.

8. Виртуальные валюты – ключевые определения и потенциальные риски в сфере ПОД/ФТ. Июнь 2014 г. URL: http://www.eurasiangroup.org/files/FATF_docs/Virtualnye_valyuty_FATF_2014.pdf.

9. Документы, размещенные на сайте Евразийской группы по противодействию отмыванию преступных доходов и финансированию терроризма (ЕАГ). URL: www.eurasiangroup.org.

10. Информационное сообщение ФСТЭК России от 17.12.2018 № 240/ 11/5453 «О разработанной ФСТЭК России примерной программе повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры».

11. Информационное сообщение ФСТЭК России от 23.04.2018 № 240/ 11/1868 «О разработанных ФСТЭК России Методических рекомендациях по разработке программ профессиональной переподготовки и повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, противодействия иностранным техническим разведкам и технической защиты информации».

12. Использование азартных игр в интернете для отмывания денег и финансирования терроризма. Апрель 2013 г. URL: http://www.coe.int/t/dghl/monitoring/moneyval/Typologies/MONEYVAL(2013)9_Onlinegambling.pdf.

13. Конституция Российской Федерации (принята всенародным голосованием 12.12.1993) (с учетом поправок, внесенных Законами РФ о поправках к Конституции РФ от 30.12.2008 № 6-ФКЗ, от 30.12.2008 № 7-ФКЗ, от 05.02.2014 № 2-ФКЗ, от 21.07.2014 № 11-ФКЗ).

14. Криминальные денежные потоки в сети Интернет: методы, тенденции и взаимодействие между всеми основными участниками. Март 2012 г. URL: http://www.eurasiangroup.org/ru/MONEYVAL_typologies.php.

15. Международные стандарты по противодействию отмыванию денег, финансированию терроризма и финансированию распространения оружия массового уничтожения – Рекомендации ФАТФ. Февраль 2012 г. URL: http://eurasiangroup.org/Rekomendatcii_FATF.pdf.

16. Методология оценки технического соответствия Рекомендациям ФАТФ и эффективности систем ПОД/ФТ. Февраль 2013 г. URL: http://www.eurasiangroup.org/files/FATF_docs/Rus_FATF_Methodology_light.pdf.

17. Отчет о новых способах платежей. Октябрь 2006 г. URL: http://eurasiangroup.org/ru/news/typ_16.pdf.

18. Отчет Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Департамента информационной безопасности Банка России. 1 сентября 2017 г. – 31 августа 2018 г. URL: https://www.cbr.ru/Content/Document/File/50959/survey_0917_0818.pdf.

19. Положение Банка России от 24.02.2016 № 534-П «О допуске ценных бумаг к организованным торгам».

20. Положение Банка России от 16.12.2003 № 242-П «О порядке организации внутреннего контроля в кредитных организациях и банковских группах».

21. Положение Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

22. Постановление Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».

23. Постановление Правительства Российской Федерации от 17.02.2018 № 162 «Об утверждении Правил осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры».

24. Приказ ФСБ России от 24.07.2018 № 366 «О Национальном координационном центре по компьютерным инцидентам».

25. Приказ ФСБ России от 24.07.2018 № 367 «Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».

26. Приказ ФСБ России от 19.06.2019 № 282 «Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации».

27. Приказ ФСБ России от 24.07.2018 № 368 «Об утверждении Порядка обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации, между субъектами критической информационной инфраструктуры Российской Федерации и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты, и Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения».

28. Приказ ФСБ России от 19.06.2019 № 281 «Об утверждении порядка, технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры Российской Федерации».

29. Приказ ФСБ России от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».

30. Приказ ФСБ России от 06.05.2019 № 196 «Об утверждении Требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты».

31. Приказ ФСБ России от 27.12.2011 № 796 «Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра». Приложение № 1.

32. Приказ ФСТЭК России от 06.12.2017 № 227 «Об утверждении Порядка ведения реестра значимых объектов критической информационной инфраструктуры Российской Федерации».

33. Приказ ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».

34. Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» (в ред. Приказа ФСТЭК России от 26.03.2019 № 60).

35. Приказ ФСТЭК России от 11.12.2017 № 229 «Об утверждении формы акта проверки, составляемого по итогам проведения госконтроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

36. Приказ ФСТЭК России от 22.12.2017 № 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий (в ред. Приказа ФСТЭК России от 21.03.2019 № 59).

37. Рекомендации по стандартизации Р 1323565.1.012-2017 «Криптографическая защита информации. Принципы разработки и модернизации шифровальных (криптографических) средств защиты информации». URL: http://docs.cntd.ru/document/556323231.

38. Риски использования небанковских финансовых институтов в схемах отмывания доходов, полученных преступным путем. Ноябрь 2010 г. URL: https://www.cbr.ru/statichtml/file/61493/nebank2010.pdf.

39. Риски использования электронных денег для отмывания (легализации) доходов и финансирования терроризма. Декабрь 2010 г. URL: http://www.eurasiangroup.org/emoney_rus_2010.pdf.

40. РС БР ИББС-2.5-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Менеджмент инцидентов информационной безопасности». URL: https://www.cbr.ru/Content/Document/File/46928/rs-25-14.pdf.

41. РС БР ИББС-2.9-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации». URL: https://www.cbr.ru/Content/Document/File/ 46924/rs-29-16.pdf.

42. Руководство ФАТФ по применению риск-ориентированного подхода для предоплаченных карт, мобильных платежей и онлайн платежей. Июнь 2013 г. URL: http://www.eurasiangroup.org/files/FATF_docs/RBA_mobile_ internet_payments_copy0.pdf.

43. Руководящие указания ФАТФ по оценке рисков ОД/ФТ на национальном уровне. Февраль 2013 г. URL: http://eurasiangroup.org/FATF_risk_accessment.pdf.

44. Указание Банка России от 07.05.2018 № 4793-У «О внесении изменений в Положение Банка России от 9 июня 2012 года № 382-П “О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств”».

45. Указание Банка России от 01.04.2014 № 3223-У «О требованиях к руководителям службы управления рисками, службы внутреннего контроля, службы внутреннего аудита кредитной организации».

46. Уязвимость казино и игорного сектора. Март 2009 г. URL: http://www.eurasiangroup.org/ru/FATF_typologies.php.

47. Федеральный закон от 02.12.1990 № 395-1 «О банках и банковской деятельности».

48. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

49. Федеральный закон от 26.07.2017 № 194-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в связи с принятием Федерального закона “О безопасности критической информационной инфраструктуры Российской Федерации”».

50. Федеральный закон от 30.12.2004 № 218-ФЗ «О кредитных историях».

51. Федеральный закон от 27.06.2011 № 161-ФЗ «О национальной платежной системе».

52. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

53. Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

54. Федеральный закон от 27.07.2010 № 224-ФЗ «О противодействии неправомерному использованию инсайдерской информации и манипулированию рынком и о внесении изменений в отдельные законодательные акты Российской Федерации».

55. Федеральный закон от 22.04.1996 № 39-ФЗ «О рынке ценных бумаг».

56. Федеральный закон от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)».

57. Федеральный закон от 07.12.2011 № 414-ФЗ «О Центральном депозитарии».

58. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

59. Федеральный закон от 21.11.2011 № 325-ФЗ «Об организованных торгах».

60. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи».

Книги, статьи и патенты

61. Barabanov A.V., Markov A.S. and Tsirlov V.L., “Information security systematics of software supply chains”. Bezopasnost’ informatsionnykh tekh-nologiy = IT Security, vol. 26, no. 3, pp. 68–79, 2019. DOI: http://dx.doi.org/10.26583/bit.2019.3.06 (in Russian).

62. Berdyugin A.A., “Development of algorithm for assessment risk of cyberattacks in electronic banking”. Bezopasnost’ informatsionnykh tekhnologiy = IT Security, vol. 26, no. 2, pp. 86–94, 2019. DOI: http://dx.doi.org/10.26583/ bit.2019.2.06 (in Russian).

63. Berdyugin A.A., Revenkov P.V., “Approaches to measuring the risk of cyberattacks in remote banking services of Russia”. Bezopasnost’ informat-sionnykh tekhnologiy = IT Security, vol. 26, no. 4, pp. 83–92, 2019. DOI: http://dx.doi.org/10.26583/bit.2019.4.06.

64. Jeong C.Y., Lee S.-Y. T. and Lim J.-H., “Information security breaches and IT security investments: Impacts on competitors”. Information & Management, vol. 56, iss. 5, pp. 681–695, 2019. DOI: https://doi.org/10.1016/j.im.2018.11.003.

65. Kasperskaya N.I., Kuzmenko V.V., Manannikov D.A., Khairetdinov R.N. and Shcherbakov A.Yu., “To the problem of assessing and ensuring the correctness of business processes”. Bezopasnost’ informatsionnykh tekhnologiy = IT Security, vol. 26, no. 3, pp. 8-21, 2019. DOI: http://dx.doi.org/10.26583/ bit.2019.3.01 (in Russian).

66. LeCun Y., Bengio Y. and Hinton G., “Deep learning”. Nature, vol. 521, no. 7553, pp. 436–444, 2015. DOI:10.1038/nature14539.

67. Skinner C. Digital bank: Strategies to Launch or Become а Digital Bank. Singapore, Marshall Cavendish International (Asia), 2014, 300 p.

68. Turing A.M., Neumann J.V. and Yanovskaya S.A., Mozhet li mashina myslit’? Obshchaya i logicheskaya teoriya avtomatov. Per. s angl. 3-e izd. [Can the machine think? General and logical theory of automata. Trans. from Eng. 3rd ed.]. Moscow, Lenand Publisher, 2018, 232 p.

69. Авдошин С.М., Песоцкая Е.Ю. Информатизация бизнеса. Управление рисками. М.: ДМК-Пресс, 2011. 176 с.

70. Батраков А.Ю., Конявская С.В., Счастный Д.Ю. Съемный носитель ключевой и конфиденциальной информации. Патент на полезную модель № 147529. 10.11.2014, бюл. № 31.

71. Бердюгин А.А. Способ управления операционными рисками финансовой организации // Защита информации. Инсайд. 2018. № 2 (80). С. 78–81.

72. Бродский А.В., Горбачев В.А., Карпов О.Э., Конявский В.А., Кузнецов Н.А., Райгородский А.М., Тренин С.А. Идентификация в компьютерных системах цифровой экономики // Информационные процессы. 2018. Том 18. № 4. C. 376–385.

73. Вусс Г., Конявский В., Хованов В. Система страхования информационных рисков // Финансовый бизнес. 1998. № 3. С. 34–36.

74. Грень И.В. Компьютерная преступность. Минск: Новое знание, 2007. 413 с.

75. Интернет-технологии в банковском бизнесе: перспективы и риски: учебно-практическое пособие / Ю.Н. Юденков, Н.А. Тысячникова, И.В. Сандалов, С.Л. Ермаков. 2-е изд., стер. М.: КноРус, 2014. 318 с.

76. Каннер Т.М. Особенности повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, в ОКБ САПР совместно с МФТИ // Безопасность информационных технологий. 2019. № 3 (в печати).

77. Кинг Б. Банк 3.0. Почему сегодня банк – это не то, куда вы ходите, а то, что вы делаете. М.: ЗАО «Олимп-Бизнес», 2014. 520 с.

78. Козьминых С.И. Обеспечение комплексной защиты объектов информатизации: учебное пособие. М.: Издательство «Юнити-Дана», 2020. 543 с.

79. Конявский В.А. Безопасное «облако» // Федеральный справочник. Связь и массовые коммуникации в России [информационно-аналитическое издание]. Т. 12. М.: НП «Центр стратегического партнерства», 2012. С. 325–330.

80. Конявский В.А. Защищенный микрокомпьютер МК-TrusT – новое решение для ДБО // Национальный банковский журнал. 2014. № 3. С. 105.

81. Конявский В.А. Идентификация и применение ЭЦП в компьютерных системах информационного общества // Безопасность информационных технологий. 2010. № 3. С. 6–13.

82. Конявский В.А. Компьютер с «вирусным иммунитетом» // Информационные ресурсы России. 2015. № 6. С. 31–34.

83. Конявский В.А. Управление защитой информации на базе СЗИ НСД «Аккорд». М.: Радио и связь, 1999. 325 с.

84. Конявский В.А., Гадасин В.А. Основы понимания феномена электронного обмена информацией. Минск, 2004. 327 с.

85. Конявский В.А., Конявская С.В. Доверенные информационные технологии: от архитектуры к системам и средствам. М.: URSS, 2019. 264 с.

86. Конявский В.А., Лопаткин С.В. Компьютерная преступность. В 2-х томах. Т. 1. М.: РФК-Имидж Лаб, 2006. 560 с.

87. Конявский В.А., Лопаткин С.В. Компьютерная преступность. В 2-х томах. Т. 2. М.: РФК-Имидж Лаб, 2008. 840 с.

88. Конявский В.А., Щербаков А.Ю. Специальный съемный носитель информации. Патент на полезную модель № 94751. 27.05.2010, бюл. № 15.

89. Лихтенштейн В.Е., Конявский В.А., Росс Г.В., Лось В.П. Мульти-агентные системы: самоорганизация и развитие. М.: Финансы и статистика, 2018. 264 с.: ил.

90. Логинов Е.Л. Отмывание денег через Интернет-технологии. М.: ЮНИТИ-ДАНА, 2005. 208 с.

91. Лямин Л.В. Применение технологий электронного банкинга: риск-ориентированный подход. М.: КноРус; ЦИПСиР, 2011. 336 с.

92. Лямин Л.В. Принципы организации внутреннего аудита в условиях электронного банкинга // Банковское дело. 2012. № 5. С. 51–54.

93. Лямин Л.В. Электронный банкинг и риски его клиентов // Банкноты стран мира. 2018. № 7. С. 26–28.

94. Лямин Л.В. Электронный банкинг: направления банковского регулирования и надзора // Деньги и кредит. 2004. № 6. С. 56–61.

95. Ревенков П.В. Расширение профилей банковских рисков в условиях работы в киберпространстве // Финансы и кредит. 2018. Т. 24. № 11 (779). С. 2471–2485. DOI: 10.24891/fc.24.11.2471.

96. Ревенков П.В. Управление рисками в условиях электронного банкинга: монография. М.: Издательский дом «Экономическая газета», 2011. 168 с.

97. Ревенков П.В. Финансовый мониторинг в условиях интернет-платежей. М.: КноРус; ЦИПСиР, 2016. 64 с.

98. Ревенков П.В., Бердюгин А.А. Кибербезопасность в условиях Интернета вещей и электронного банкинга // Национальные интересы: приоритеты и безопасность. 2016. № 11 (344). С. 158–169.

99. Ревенков П.В., Бердюгин А.А. Компьютерные атаки как источник операционного риска в условиях электронного банкинга // Финансы и кредит. 2018. Т. 24. № 3. С. 629–640. URL: https://doi.Org/10.24891/fc.24.3.629.

100. Ревенков П.В., Каратаев М.В., Дудка А.Б., Воронин А.Н. Финансовый мониторинг: управление рисками отмывания денег в банках. М.: КноРус; ЦИПСиР, 2012. 280 с.

101. Ревенков П.В., Пименов П.А., Ожеред И.В. Противодействие компьютерным атакам в условиях применения систем электронного банкинга: учебное пособие. М.: Прометей, 2019. 158 с.

102. Роговский Е.А. Кибер-Вашингтон: глобальные амбиции. М.: Международные отношения, 2014. 848 с.

103. Росс А. Индустрии будущего [пер. с англ. П. Миронова]. М.: Издательство АСТ, 2017. 287 с.

104. Славин Б.Б. Цифровые платформы – новый тренд в корпоративной автоматизации // БИТ. Бизнес & Информационные технологии. 2019. № 2 (85). С. 12–15.

105. Сорокин В.Н., Макаров И.С. Обратная задача для голосового источника // Информационные процессы. 2006. Т. 6. № 4. С. 375–395.

106. Торчиков В. Мыслить, как преступник: с точки зрения киберпреступника, банкомат – это в первую очередь полноценный компьютер // Банковское обозрение. 2018. № 5. С. 84–86.

107. Федотов Н.Н. Форензика – компьютерная криминалистика. М.: Onebook.ru, 2012. 420 с.

108. Фролов Д.Б. FinCERT: основные задачи и направления развития // Банковское дело. 2016. № 2. С. 74–76.

109. Фролов Д.Б., Персанов Д.Ю. Практические аспекты аутсорсинга процессов обеспечения безопасности // Безопасность информационных технологий. 2012. Т. 19. № 2. С. 128–132.

110. Фролов Д.В., Поспелов А.Л., Ревенков П.В. Обеспечение информационной безопасности в условиях ДБО // Аналитический банковский журнал. 2014. № 6 (219). С. 76–81.

111. Фролов Д.Б., Ревенков П.В. Кибербезопасность в условиях применения систем электронного банкинга // Деньги и кредит. 2016. № 6. С. 9–12.

112. Щербаков А.Ю. Хрестоматия специалиста по современной информационной безопасности. Palmarium academic publishing, 2016. Т. 1. 265 c.

113. Ярыгина И.З., Гисин В.Б. Методологические подходы к оценке стоимости банковских активов как методу управления финансовыми рисками // Банковские услуги. 2019. № 2. С. 20–26.

Электронные издания

114. Garrido Р, Zollhofer M., Casas D., Valgaerts L., Varanasi K., Perez P. and Theobalt C. Reconstruction of Personalized 3D Face Rigs from Monocular Video. URL: http://gvv.mpi-inf.mpg.de/files/TOG2016/PersonalizedFaceRig.pdf.

115. Group-IB: новые атаки хакерской группы Cobalt // Банкноты стран мира. 2018. № 7. С. 24–25. URL: http://www.icpress.ru/catalog/bsm/detail.php?ID=20440.

116. Грунтович М.М. О «двуличии» в алгоритмах цифровой подписи // itWeek. (334–335)16-17'2002. URL: https://www.itweek.ru/infrastructure/article/detail.php?ID=61554.

117. Компьютеры с «вирусным иммунитетом». URL: http://www.trus-tedcloudcomputers.ru.

118. Кравец В.В. Клавиатура – устройство вывода? URL: https://habrahabr.ru/company/pm/blog/352868/.

119. Крылов Г.О. Международные проблемы информационного права // Электронная библиотека Российской государственной библиотеки. 2013. URL: http://search.rsl.ru/ru/record/01006682336.

120. Лунтовский Г.И. Внимание к безопасности – критерий зрелости // Электронная версия журнала «Информационная безопасность банков». 2016. URL: https://new3.ib-bank.ru/bisjournal/post/411.

121. Неваленный А.В. Переоценка приоритетов // Электронная версия журнала «Информационная безопасность банков». 2015. URL: http://www.journal.ib-bank.ru/post/335.

122. Система оперативных проверок по оттиску пальца ПАПИЛОН «Фильтр». URL: http://www.papillon.ru/rus/38/.

123. Фролов Д.Б., Неваленный А.В. Противодействовать кризису // Электронная версия журнала «Информационная безопасность банков». 2015. URL: http://www.journal.ib-bank.ru/post/359.

Примечания

1

В ряде случаев вводят так называемый «режим регуляторной песочницы».

2

Как правило, под ДБО понимают совокупность методов предоставления банковских услуг с помощью средств телекоммуникации, при использовании которых присутствие самого клиента в банке не требуется.

3

В связи с этим можно говорить только о вероятности наступления того или иного события и масштабе его последствий, то есть использовать для оценки уровня безопасности рисковый подход.

4

См.: Валенцева Н.И. Законы и закономерности развития кредита // Банковские услуги. 2010. № 12. С. 2–9.

5

Данное понятие часто упоминается в сочетании со словом «глобальная».

6

Status Report on European Telework // Telework 1997, European Commission Report, 1997. URL: http://www.eto.org.uk/twork/tw97eto.

7

Еще в середине 1999 г. на веб-сайте Международного валютного фонда были приведены расчеты затрат на выполнение банковских операций: стоимость ручной обработки транзакции в филиале коммерческого банка составляла в среднем более 1 доллара, телефонное обслуживание оценивалось в 60 центов за услугу, транзакции через банкоматы и клиринговые центры стоили около 25 центов, а транзакция через интернет обходилась всего в 1 цент. Учитывая постоянное снижение тарифов на предоставление доступа в интернет, можно предположить, что сейчас банковские операции, выполняемые в рамках интернет-банкинга, обходятся еще дешевле.

8

По этой же причине у многих возникает желание пропустить большой абзац.

9

Интернет-доступ (мировой рынок). URL: http://www.tadviser.ru/a/53635.

10

Там же.

11

Просторы интернета: для работы или развлечений? ВЦИОМ. URL: https:// wciom.ru/index.php?id=236&uid=9322.

12

Подробнее см.: The IT cloud // The Economist. 2013. No. 8845. P. 61.

13

Правила регистрации доменных имен в доменных зонах. RU и. РФ. URL: https: / / cctld.ru/ru/docs/project/algoritm/rules_draft.pdf.

14

ГОСТ Р 56205-2014/IEC/TS 62443-1-1:2009. Национальный стандарт Российской Федерации. Сети коммуникационные промышленные. Защищенность (кибербезопасность) сети и системы. Часть 1–1. Терминология, концептуальные положения и модели (утв. и введен в действие Приказом Росстандарта от 10.11.2014 № 1493-ст).

15

Письмо Минобрнауки России от 28.04.2014 № ДЛ-115/03 «О направлении методических материалов для обеспечения информационной безопасности детей при использовании ресурсов сети Интернет».

16

Эти же рекомендации должны знать и специалисты кредитной организации, отвечающие за бесперебойное и безопасное функционирование веб-сайта, чтобы без промедления пресекать подобные мошеннические действия.

17

Речь идет об адресной строке. Для проверки наличия кодированного (шифрованного) вида пользователю необходимо обращать внимание на конфигурацию ссылки веб-сайта банковского учреждения. Кодированным (шифрованным) и безопасным соединением считается ссылка, в начале которой указывается аббревиатура https.

18

Самостоятельно получить сведения о веб-сайте можно на следующих сетевых ресурсах: www.dnsdtuff.com,www.geobytes.com,www.nextwebsecuritj.com, www.do-maintools.com и др.

19

Автор сознательно приводит не один, а несколько однотипных примеров вебсайтов, чтобы показать разнообразие уловок кибермошенников.

20

ФинЦЕРТ, или Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере, входит в состав Департамента информационной безопасности Банка России.

21

Подробнее см.: Отчет центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Департамента информационной безопасности Банка России. URL: www.cbr.ru/fincert.

22

Маркировка осуществляется в виде зеленой галочки, которая устанавливается рядом с адресной строкой и наименованием веб-сайта при поиске ресурса в поисковой системе «Яндекс».

23

Подробнее см.: Отчет центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Департамента информационной безопасности Банка России. URL: www.cbr.ru/fincert.

24

Подробнее см.: Отчет центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Департамента информационной безопасности Банка России. URL: www.cbr.ru/fincert.

25

Более подробно процедуру выявления фиктивных кредитных организаций мы рассматривали в разделе 1.2.1 «Лжебанки». Потребителю необходимо быть бдительным и проверять не только сам веб-сайт, но и информацию об организации, предоставляющей на нем платежные услуги.

26

Все эти махинации носят название MLM-схем (Multi-Level Marketing – многоуровневый маркетинг).

27

Другое распространенное название – «Афера 419» (по номеру соответствующей статьи в Уголовном кодексе Нигерии).

28

Надо отметить, что география подобных преступлений постоянно растет. Были даже примеры, когда делили сбережения российских олигархов.

29

Сразу хочется задать вопрос, почему обладатель такого состояния решает обратиться через интернет к незнакомцу, а не иметь дело со знакомым и проверенным человеком.

30

Червь (worm) – разновидность самовоспроизводящихся компьютерных программ, распространяющихся в локальных и глобальных компьютерных сетях. В отличие от компьютерных вирусов, червь является самостоятельной программой.

31

Троянская программа, или троян (trojan), – разновидность компьютерных программ, которые «претендуют» на то, что выполняют определенную функцию, в действительности же работают совершенно иначе (свое название получила в честь «троянского коня»).

32

В системе WebMoney используются различные валюты. WMZ – средства, эквивалентные долларам США.

33

В последнее время в качестве причин проблем все чаще называют финансовый кризис.

34

Ботнет (botnet) – компьютерная сеть, состоящая из некоторого количества зараженных компьютеров (ботов).

35

DoS-атака (от англ. Denial of Service — отказ в обслуживании) и DDoS-атака (от англ. Distributed Denial of Service — распределенный отказ в обслуживании) – разновидности атак на вычислительную систему. Цель этих атак – довести систему до отказа, то есть создать такие условия, при которых легитимные (правомерные) пользователи системы не могут получить доступ к предоставляемым системой ресурсам либо этот доступ затруднен.

36

Компания Sophos является одним из мировых лидеров в области решений для информационной безопасности.

37

Кроме того, сами банки иногда используют недостаточно надежные системы ДБО.

38

Более известен во всемирной сети под псевдонимами Гермес и Араши.

39

Group-IB – международная компания, лидер российского рынка по оказанию полного комплекса услуг в области расследований инцидентов информационной безопасности и компьютерных преступлений: начиная от оперативного реагирования на инцидент и заканчивая постинцидентным консалтингом (официальный веб-сайт компании: http://www.group-ib.ru).

40

Подробнее см. интервью Ильи Сачкова для РИА Новости: Хакер, укравший 150 млн рублей, работал с 25 сообщниками // Прайм. Бизнес-лента 22 июня 2012 г.; Гендиректор Group-IB: у хакеров есть несколько собственных платежных систем // ПЛАС-daily 19 июля 2012 г.

41

Carberp – распространенная среди киберпреступников вредоносная программа. Она собирает информацию о пользователе и системе и отправляет ее на сервер злоумышленников. Также бот может делать снимки экрана, перехватывать нажатия клавиш, содержимое буфера обмена с отправкой на сервер. Троян имеет возможность самоудаления, установки дополнительных вредоносных модулей, кражи цифровых сертификатов для популярных систем ДБО.

42

Главари организованных преступных группировок с большим интересом участвуют в таких махинациях, поскольку хакеры готовы отдавать до 50 % украденных денег.

43

Вступила в действие с 1 января 2014 г.

44

Перечень типичных банковских рисков приведен в Письме Банка России от 23.06.2004 № 70-Т «О типичных банковских рисках».

45

Следует отметить, что риски, возникающие на стороне различных провайдеров услуг и сотовых операторов, сотрудникам кредитных организаций весьма затруднительно (а в ряде случаев невозможно) контролировать.

46

В основном это связано с обучением персонала и совершенствованием методик проведения проверок специалистами риск-подразделений и служб внутреннего контроля.

47

Потери компаний от кибератак в мире в 2019 г. могут достигнуть $2,5 трлн. URL: https://www.kommersant.ru/doc/3957187.

48

Hi Tech Crime Trends 2019/2020. URL: https://www.group-ib.ru/resources/threat-research/2019-report.html.

49

Краткая характеристика состояния преступности в Российской Федерации за январь-октябрь 2019 г. URL: https://мвд. рф/reports/item/19007735/.

50

Эта парадигма уходит корнями в историю России. Так, система государственной безопасности СССР и деятельность КГБ были построены на этой модели. Четко просматривается эта парадигма и в начале 1990-х гг. XX в. Например, в Законе РФ от 05.03.1992 № 2446-I «О безопасности» безопасность определяется как состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз.

51

Подтверждением этому может служить принятие ряда важнейших концептуальных документов, направленных на обеспечение разных видов безопасности Российской Федерации (в которых акценты сделаны именно на проблемах развития): Стратегии национальной безопасности Российской Федерации (2009 г.), Доктрины информационной безопасности Российской Федерации (2000 г.), Стратегии развития информационного общества в Российской Федерации (2008 г.) и др.

52

АРМ КБР – автоматизированное рабочее место клиента Банка России.

SWIFT – Society for Worldwide Interbank Financial Telecommunications.

53

Интернет вещей (англ. Internet of Things, IoT) – концепция вычислительной сети физических объектов («вещей»), оснащенных встроенными технологиями для взаимодействия друг с другом или с внешней средой, рассматривающая организацию таких сетей как явление, способное перестроить экономические и общественные процессы, исключающее из части действий и операций необходимость участия человека.

54

Подробнее см.: http://www.comnews.ru/node/99810#ixzz42a2YxSMK.

55

Атаки хакеров-одиночек – вчерашний день. Настоящие кибернетические войны теперь ведут государства. Согласно информации о взломах, наиболее развитым кибероружием обладают США, Великобритания, Россия, Китай, Индия, Иран и Северная Корея. URL: http://tadviser.ru/a/53662.

56

Подробнее см.: MasterCard представила решения для платежей через холодильник и фитнес-браслеты. URL: http://www.banki.ru/news/lenta/?id=8603837.

57

Интернет вещей, IoT, M2M мировой рынок. URL: http://www.tadviser.ru/a/302413.

58

Там же.

59

Россиянка взломала автоматические кормушки для животных. URL: https:// www.securitylab.ru/news/502052.php.

60

September 2019 Cyber Attacks Statistics. URL: https://www.hackmageddon.com/ 2019/11/04/september-2019-cyber-attacks-statistics/.

61

Пентагон уберет антивирус Касперского из всех своих информационных систем. URL: https://ria.ru/20171019/1507196875.html.

62

Телепередача «Вести. Дежурная часть» от 12 февраля 2016 г., сюжет «Новый вид карманных краж: в зоне риска пассажиры общественного транспорта». URL: http://www.vesti.ru/videos/show/vid/670703/cid/1741/.

63

Radio Frequency Identification – радиочастотная идентификация, способ автоматической идентификации объектов, когда посредством радиосигналов считываются или записываются данные. Некоторые энтузиасты тестируют применение RFID-чипов в реальной обстановке: для оплаты покупок и переводов между счетами клиента. Вдобавок вживляемый в руку биочип позволяет открывать дверные замки и запускать офисное оборудование.

64

Видеостена – компьютеризированная система наглядной информации, представляющая собой конструкцию из нескольких панелей (экранов) для демонстрации рекламы, установленную в общественных местах: метро, аэропортах, магазинах и т. д.

65

Результаты мониторинга кибербезопасности кредитной организации рекомендовано оценивать не реже, чем раз в квартал. Такая периодичность обусловлена увеличением числа кибератак на системы финансовых организаций и ростом финансовых потерь клиентов из-за хакерских программ (Письмо Банка России от 24.03.2014 № 49-Т «О рекомендациях по организации применения средств защиты от вредоносного кода при осуществлении банковской деятельности»).

66

Латентная киберпреступность представляет собой скрытую или незарегистрированную часть фактически совершенных преступлений. Латентная киберпреступность является серьезным криминогенным фактором, детерминирующим дальнейшее ее распространение.

67

Данные Банка России. URL: http://www.banki.ru/news/lenta/?id=8686505.

68

Официальное воровство: как Китай крадет технологии у всего мира. URL: http://inosmi.ru/fareast/20150911/230231504.html.

69

URL: https://wikileaks.org/wiki/WikiLeaks: Tor.

70

URL: http://www.nytimes.com/2011/01/16/world/middleeast/16stuxnet.html?_r=0.

71

URL: https://www.cnbc.com/2018/03/21/facebook-cambridge-analytica-scandal-everything-you-need-to-know.html.

72

URL: https://www.interfax.ru/business/683812.

73

URL: https://www.enforcementtracker.com/.

74

URL: https://www.gartner.com/en/newsroom/press-releases/2018-08-15-gartner-forecasts-worldwide-information-security-spending-to-exceed-124-billion-in-2019.

75

С содержанием стандартов Банка России по информационной безопасности можно познакомиться на официальном веб-сайте Банка России. URL: http:// www.cbr.ru/psystem/.

76

URL: http://mir-procentov.ru/banks/news/komprometatsiya-bankovskih-kart.html.

77

URL: https://moscow.megafon.ru/corporate/productsandsolutions/products/ mobile_id.html#description.

78

Как сообщается в статье ООО «Доктор Веб» «История развития преступной отрасли создания банковских троянцев», троянская программа GoldSpy предназначалась для хищения электронных денег в уже не существующей в настоящее время американской платежной системе E-Gold. URL: http://antifraud. drweb.com/bank_trojs/history/?lng=ru.

79

Подробнее см.: Эволюция Zeus. URL: http://habrahabr.ru/post/161707/.

80

Носакин Р. Ботнет великий и ужасный // Компьютерра онлайн. 07.05.2007. URL: http://old.computerra.ru/focus/317787/.

81

Рынок преступлений в области высоких технологий: состояние и тенденции 2013 года / ООО «Группа информационной безопасности», 2013. URL: http://www. group-ib.ru/list/1008-analytics/?view=article&id=1155.

82

Ошибка системы // Коммерсант-Украина. URL: http://www.kommersant.ru/doc/ 2160535.

83

Рынок преступлений в области высоких технологий: состояние и тенденции 2013 года. Аналитический обзор ООО «Группа информационной безопасности», 2013 г. URL: http://www.group-ib.ru/list/1008-analytics/?view=article&id= 1155.

84

В октябре 2013 г. разработчик связки эксплойтов Black Hole, 27-летний программист-самоучка из г. Тольятти, известный под сетевым псевдонимом Paunch, был задержан сотрудниками УЭБиПК ГУ МВД России по г. Москве и Следственного департамента МВД России.

85

Данная глава подготовлена на основе документа Базельского комитета по банковскому надзору «Принципы управления рисками для предоставления банковских услуг в электронной форме» (май 2001 г.).

86

Службы агрегации счетов позволяют клиентам получать в одном месте консолидированную информацию об их финансовых и нефинансовых счетах. Агрегатор изначально действует как агент по предоставлению клиентам консолидированной информации об их счетах в различных финансовых учреждениях. Клиенты предоставляют агрегатору защитные пароли или персональные идентификационные номера для получения доступа и консолидации информации о состоянии счетов. В основном это реализуется через так называемое «считывание экранной информации» – процесс, включающий отбор данных с веб-сайтов других учреждений, зачастую без их оповещения или через контрактные отношения по прямому обмену данными между финансовыми учреждениями.

87

Указанные основные принципы размещены на веб-сайте Банка международных расчетов (Bank for International Settlements): http://www.bis.org.

88

Документ Risk Management for Electronic Banking and Electronic Money Activities (март 1998 г.) размещен на веб-сайте Банка международных расчетов: http://www.bis.org.

89

Документ Electronic Banking Group Initiatives and White Papers (октябрь 2000 г.) размещен на веб-сайте Банка международных расчетов: http://www.bis.org.

90

В этой главе используется определение операционного риска, сформулированное Группой управления рисками БКБН, которое включает риск безопасности и правовой риск.

91

В данном документе БКБН считается, что структура управления состоит из совета директоров и высшего руководства. БКБН осознает, что в разных странах существуют значительные различия в законодательных и регулятивных схемах, касающихся функций совета директоров и высшего руководства банков. В некоторых странах такой совет обладает главной, если не исключительной, функцией надзора за исполнительным органом (высшим руководством, основным руководством) с точки зрения обеспечения выполнения последним своих обязанностей. По этой причине он иногда называется надзирающим советом. Напротив, в других странах компетенция такого совета шире и включает определение структуры основного руководства банков. Из-за различий такого рода сами термины «совет директоров» и «высшее руководство» используются для обозначения двух функций, связанных с принятием решений в банках, но не для определения узаконенных структур.

92

В дополнение к требованиям, касающимся внутренней отчетности, расширенные процедуры предоставления отчетности о происшествиях должны включать подготовку необходимых отчетов для соответствующих надзорных органов.

93

Такая ответственность обычно не должна являться объектом внимания аудита, который отвечает за проверку того, что функция контроля безопасности реализована эффективно.

94

Включая права контролируемого доступа и полномочия, равно как и текущий мониторинг попыток сетевого проникновения.

95

Включая сотрудников, контрактников и тех, кто обладает правами доступа на основе контрагентских отношений.

96

Включая мониторинг сетевой активности, фиксацию попыток проникновения и получение сведений о серьезных недостатках в обеспечении безопасности.

97

Определение стандартов безопасности и качества, а также надежности схем сертификации может быть специфичным для отдельных учреждений или стандартизированным (т. е. в пределах национальной банковской отрасли в целях повышения уровня безопасности деятельности в рамках ЭБ). Также банки могут выбирать порядок назначения прав доступа – на централизованной или распределенной основе. Например, могут существовать единственный орган авторизации, ответственный за назначение прав доступа отдельным пользователям и группам пользователей, либо несколько органов авторизации, созданных для упорядочения работы по разным направлениям бизнеса.

98

Они должны включать средства защиты от неавторизованного доступа посторонних лиц, таких как посетители, контрактники или техники, которые могут иметь доступ в помещения, не будучи непосредственно вовлеченными в обслуживание, осуществляемое в рамках ЭБ.

99

При таком оценивании следует также учитывать степень контроля, реализуемого в отношении сторонних организаций. Основной акционер в совместном предприятии нередко может обладать более значительным контролем, чем в случае контрактных отношений с провайдером услуг. Однако из этого не следует, что акционерный контроль над совместным предприятием или товариществом всегда будет эффективным, особенно если технологии и обслуживание, необходимые для работы такой ассоциации, предоставляются акционером с малым числом акций. Подобные различения бывают полезны в основном для того, чтобы обосновать периодическое проведение оценивания.

100

Масштаб проверок соблюдения обязательств следует определять, исходя из финансовой значимости заказных операций и степени изменений в системах и управлении рисками с течением времени, включая любые последующие субконтрактные отношения, которыми может быть связан данный провайдер услуг.

101

Как и в случае с другими законными контрактами, которые заключает банк, его юрист или юридическое подразделение должны изучить все пункты и условия контрактов, определяющие соглашения по заказной обработке в рамках ЭБ.

102

Банкам, в которых отсутствует специализированная аудиторская служба, следует как минимум иметь сотрудников, не принимающих участия в управлении отношениями, связанными с заказной обработкой, и проверяющих эффективность контроля соблюдения таких контрагентских договоренностей.

103

К примеру, в тех случаях, когда СД полагается на стороннего поставщика в части обслуживания в рамках ЭБ, он должен убедиться, что данный поставщик адекватно относится к решению этих вопросов и как минимум соответствует собственным стандартам деятельности банка.

104

В этом разделе под аутентификацией понимаются методы! процедуры и процессы, используемые для подтверждения идентичности и авторизации ожидаемых и установленных пользователей. Под идентификацией — процедуры, методы и процессы, используемые для установления идентичности клиентов при открытии счетов. Под авторизацией — процедуры, методы и процессы, используемые для определения того, обладает ли клиент или сотрудник разрешенным доступом или полномочиями для проведения транзакций, связанных с конкретными счетами.

105

«Мистификация» (spoofing) – это имитация легитимного клиента за счет использования его номера счета, пароля, персонального идентификационного номера (ПИН) и (или) адреса электронной почты.

106

«Вынюхиватель» (sniffer) – это устройство, которое способно просмотреть поток данных, передаваемых по каналу связи, перехватить пароли и данные при их передаче.

107

В число систем включаются и собственные веб-сайты учреждений.

108

В системах должно быть предусмотрено определение того, что они работают с аутентифицированным лицом, агентом или системой и с действительной базой данных аутентификации.

109

Банк может выдавать цифровые сертификаты с использованием инфраструктуры открытых ключей (ИОК) для клиента, чтобы обеспечить безопасность связи с банком. Цифровые сертификаты и ИОК более полно рассмотрены в описании Принципа 5.

110

Технология биометрики представляет собой автоматизированную проверку физиологических или бихевиористических характеристик, используемых для идентификации и (или) аутентификации личности. Общепринятые формы биометрических технологий включают портретное сканирование, распознавание отпечатков пальцев, сканирование радужной оболочки глаза, сканирование сетчатки глаза, сканирование рук, сканирование подписи, опознавание голоса и динамики нажатия клавиш. Системы биометрической идентификации обеспечивают очень точную аутентификацию, но вместе с тем могут значительно усложнить этот процесс по сравнению с другими методами идентификации/аутентификации.

111

Эффективные решения в части аутентификации могут также уменьшить риск отказа от операции, источником которого является то, что авторизованный пользователь через какое-то время может отрицать факт осуществления им авторизованной транзакции (см. также Принцип 5).

112

В некоторых случаях источниками аутентификационных данных могут быть электронные средства.

113

При использовании ИОК каждая сторона обладает парой ключей шифрования: личным и открытым. Личный ключ является скрытым, чтобы им мог пользоваться только один человек. Открытый ключ используется всеми участниками. С помощью личного ключа генерируется цифровая подпись к документу, а сама ключевая пара сконструирована таким образом, что сообщение, зашифрованное с личным ключом, может быть прочитано только с помощью второго ключа. Банк может сам действовать как орган сертификации (ОС) или полагаться на стороннюю доверенную организацию в части снабжения того или иного лица либо контрагента конкретным цифровым сертификатом. Однако если банк получает цифровой сертификат для обеспечения аутентичности со стороны, то он должен убедиться в том, что ОС, выдавший этот сертификат, обеспечивает тот же уровень аутентификации, который гарантировал бы сам банк при аутентификации личности. Основным недостатком системы аутентификации с ИОК является то, что ее сложнее реализовать.

114

Либо должны присутствовать альтернативные компенсирующие средства контроля.

115

Если это нереально для пользователей уровня системного администратора, следует обеспечить наличие других средств строгого внутреннего контроля и разделение обязанностей для мониторинга движения средств по счетам таких пользователей.

116

Банкам следует удостовериться, что системы хранения записей разработаны и инсталлированы таким образом, что возможно восстановление записей, которые могли подвергнуться воздействию или порче.

117

Например, банк может при желании указать те страны, в которых он намеревается предоставлять обслуживание в рамках электронного банкинга, или, напротив, те страны, в которых он не собирается предлагать такие виды обслуживания.

118

В некоторых юрисдикциях законы и правила могут не обязывать банк запрашивать разрешение клиента на использование клиентских данных для собственных целей. Однако они могут обязывать банк предоставлять клиенту возможность отмены данного банку разрешения на обмен такой информацией с третьими сторонами и аффилированными организациями. В других же юрисдикциях клиент может обладать правом запретить банку использовать клиентские данные для любых внутренних или внешних целей.

119

Текущую и перспективную производительность критических систем доведения услуг в рамках электронного банкинга следует оценивать на постоянной основе.

120

Мониторинг «горячей линии» и работы службы сопровождения клиентов, а также регулярный обзор жалоб клиентов могут способствовать выявлению пробелов в информации, обнаруживаемых и регистрируемых средствами обеспечения безопасности, в сопоставлении с реальными случаями вмешательства извне.

121

Данная глава подготовлена по материалам специализированной брошюры в составе «Справочника контролера» Управления контролера денежного обращения США (Office of the Comptroller of the Currency, ОСС).

122

Одним из первых документов Банка России по тематике интернет-банкинга было Письмо от 03.02.2004 № 16-Т «О Рекомендациях по информационному содержанию и организации web-сайтов кредитных организаций в сети Интернет». В настоящее время действует обновленная версия данного документа – Письмо от 23.10.2009 № 128-Т с аналогичным названием.

123

Речь идет о подходе, который включает в себя стратегическое и тактическое управление.

124

В соответствии с требованиями, изложенными в Положении № 242-П.

125

Стандарт Банка России СТО БР ИББС-1.0-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения».

126

См. ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения».

127

Речь идет о нештатных ситуациях, при которых может быть нарушена непрерывность функционирования СЭБ.

128

Представлены условные названия разделов документа и их содержание.

129

Управление ООН по наркотикам и преступности (United Nations Office on Drugs and Crime, UNODC, ЮНОДК или УНП ООН) – подразделение ООН, созданное для борьбы с незаконным оборотом наркотиков, оружия, организованной преступностью, торговлей людьми и международным терроризмом. Управление основано в 1997 г. в результате слияния Программы ООН по контролю за наркотиками и Центра по предотвращению международной преступности. ЮНОДК действует по всему миру через сеть региональных отделений.

130

Подробнее см. материал директора Росфинмониторинга Юрия Анатольевича Чиханчина «Международное сотрудничество в сфере борьбы с легализацией доходов, полученных преступным путем, и финансированием терроризма как фактор укрепления глобальной и региональной безопасности» (Финансовая безопасность. 2013. № 1).

131

Например, 44 фунта (примерно 20 кг) кокаина, стоящие $1 млн, эквивалентны 256 фунтам (примерно 116 кг) наличности суммой в $1 млн. Вес наличности почти в шесть раз превышает вес наркотиков.

132

Обычно такие электронные деньги привязаны к стоимости одной из мировых валют.

133

World Payments Report. Capgemini and The Royal Bank of Scotland plc (RBS), 2011.

134

Также электронные деньги могут быть более привычными для активных пользователей интернета.

135

Подробнее см.: Достов В.Л., Кузнецов В.А., Шуст П.М. Электронные деньги как инструмент оптимизации платежного оборота (точка зрения) // Деньги и кредит. 2013. № 12.

136

Подробнее см.: Овчинников Б.В. Рынок e-commerce в России: итоги 2012 г. и тренды 2013 г. URL: http://www. datainsight. ru/ecommerce2012.

137

Подробнее см.: Овчинников Б.В. Рынок онлайн-платежей в России: пользователи и их предпочтения. URL: http://www. datainsight. ru/onlinepayment 2012.

138

Обеспечение надлежащей информированности пользователей об имеющихся у них правах и обязанностях, общие условия использования, использование электронных договоров, определение коммерческого интернет-сайта, реклама и т. д.

139

Так называемые «кражи личности».

140

Например, обязательства по надлежащей проверке клиентов и обеспечению постоянного мониторинга своих отношений с деловыми партнерами.

141

Должна проводиться надлежащая проверка клиентов (по упрощенной/расширенной процедуре) с использованием подхода на основе оценки рисков.

142

Надлежащая идентификация клиента является необходимым условием не только для обнаружения подозрительных действий, осуществляемых физическим лицом/компанией, но и для эффективного расследования подозрительной операции.

143

Даже учитывая тот факт, что в большинстве случаев эмитенты анонимных подарочных карт кладут на них небольшие суммы.

144

Степень анонимности можно снизить, используя механизмы внутреннего контроля для мониторинга и надзора за выпуском подарочных карт в местных магазинах или супермаркетах, недопущения или контроля внезапного увеличения количества эмитированных подарочных карт и положенных на них сумм (анализ информации о покупках, структуры покупок и места расхода денег, IP-адреса, физический мониторинг территории). Однако полностью устранить анонимность нельзя.

145

Поставщик услуг интернет-платежей должен уметь снижать потенциальный риск за счет введения необходимых ограничений на использование счета.

146

Следует заметить, что традиционным финансовым учреждениям также трудно определить критерии мониторинга операций тех клиентов, которые осуществляют их с помощью программного обеспечения.

147

Если поставщики услуг интернет-платежей обеспечат надлежащий мониторинг финансовых операций своих клиентов, реагируя на отклонения от сложившейся модели поведения клиента, то недостаток личного контакта, имеющийся в начале взаимоотношений с поставщиком услуг коммерческого интернет-сайта и поставщиком услуг интернет-платежей, может перестать быть проблемой.

148

Стоит заметить, что само по себе пополнение счета или карты наличными не является достаточным основанием для того, чтобы подозревать клиента в ОД/ФТ. Источник происхождения наличных может быть законным. При использовании клиентом наличных поставщик услуг интернет-платежей должен использовать методы контроля или надлежащей проверки клиентов более высокого уровня (мониторинг операций, лимиты, ограничения и т. д.).

149

Поставщикам услуг интернет-платежей иногда бывает сложно отличить кредитную карту от предоплаченной, так как эмитенты кредитных и предоплаченных карт используют похожие номера для карт обоих типов.

150

Следует упомянуть, что в большинстве случаев эмитенты подарочных карт кладут на них небольшие суммы. Поэтому для обеспечения рентабельности операций по отмыванию денег преступники должны использовать несколько подарочных карт. Эмитенты подарочных карт также используют механизмы внутреннего контроля, отслеживая их выпуск в местных магазинах и супермаркетах. Это снижает степень анонимности, но не устраняет ее полностью.

151

Необходимо отметить, что некоторые онлайновые электронные кошельки предусматривают временные ограничения на хранение денег.

152

Дополнительными признаками опасности могут являться неоднократные продажи товара одним и тем же покупателем одному и тому же продавцу.

153

Имена преступников взяты из известной фантастической повести шотландского писателя Роберта Стивенсона «Странная история доктора Джекила и мистера Хайда» (англ. Strange Case of Dr Jekyll and Mr Hyde), которая вышла в Лондоне в 1886 г. В этой повести главный герой существует в двух разных образах: доктора Джекила и мистера Хайда.

154

На долю азартных игр приходится значительная часть финансовых объемов.

155

Например, интернет-сайт азартных игр может быть зарегистрирован в одной юрисдикции, а сервер может находиться в другой.

156

Операторы игорного бизнеса могут предоставлять VIP-счета игрокам, которые размещают крупные суммы на своих игровых счетах. К таким игрокам, как правило, не применяются строгие меры по надлежащей проверке клиентов.

157

Игроки вносят наличные деньги операторам наземного игорного бизнеса для перевода средств на виртуальный игровой счет. Таким образом они полностью избегают использования финансовой системы.

158

Подробнее см. доклад Азиатско-Тихоокеанской группы по борьбе с отмыванием денег и ФАТФ «Уязвимость казино и игорного сектора» (март 2009 г.).

159

Комитет экспертов Совета Европы по оценке мер борьбы с отмыванием денег (МАНИВЭЛ) – региональная группа по типу ФАТФ, в задачи которой входит распространение политики международных стандартов в области ПОД/ФТ на страны Европы. МАНИВЭЛ является подкомитетом Европейского комитета Совета Европы по проблемам преступности.

160

Подробнее см. типологический отчет «Использование азартных игр в интернете для отмывания денег и финансирования терроризма» (апрель 2013 г.).

161

Надзор в целях ПОД/ФТ осуществляется либо подразделениями финансовой разведки, либо другим надзорным органом в финансовом или игорном секторе соответствующей страны.

162

Большинство стран – членов МАНИВЭЛ, регулирующих игорный бизнес в интернете, следят за тем, чтобы операторы игорного бизнеса в интернете, которые получили лицензию в их юрисдикции, принимали платежи только от лицензированных кредитно-финансовых учреждений, подчиняющихся соответствующим требованиям в сфере ПОД/ФТ.

163

Операторам азартных игр в интернете важно следить за тем, чтобы игроки переводили свои средства через регулируемые учреждения, предоставляющие услуги по альтернативным способам оплаты, к которым применяются соответствующие требования в сфере ПОД/ФТ.

164

См. типологический отчет ФАТФ «О новых способах платежа» (23 октября 2006 г.), отчет «Об уязвимости коммерческих интернет-сайтов и платежных интернет-систем к угрозам ОД/ФТ» (18 июня 2008 г.) и отчет «Отмывание денег с использованием новых способов осуществления платежей» (октябрь 2010 г.).

165

Серверы могут находиться в одной юрисдикции, а управление веб-сайтами может осуществляться удаленно из других юрисдикций. В то же время игроки могут получать доступ к этим веб-сайтам из любой точки мира. Определение всех этих мест по IP-адресам представляет собой трудную задачу для правоохранительных органов, особенно в тех случаях, когда веб-сайты с азартными играми работают без лицензии.

166

Подробнее см. отчет «Угроза отмывания денег и финансирования терроризма через индустрию азартных игр в интернете», подготовленный компанией MHA Consulting для Ассоциации удаленного игорного бизнеса (июнь 2009 г.), и отчет Майкла Леви «Риски отмывания денег и азартные игры в интернете: обзор и оценка на примере Европы» (сентябрь 2009 г.).

167

Например, электронный покер.

168

Система Bitcoin была внедрена в 2008 г. одной загадочной личностью под псевдонимом Сатоши Накамото.

169

В конце октября 2013 г. в канадском Ванкувере открылся первый банкомат по обслуживанию биткоинов. Любой желающий может обменять в нем обычные деньги на кибервалюту или, наоборот, продать принадлежащие ему биткоины, обменяв их на наличные деньги.

170

Существенная особенность биткоинов заключается в том, что это и система электронных платежей, и деньги сами по себе. В отличие от электронных денег, которые появляются только по предоплате, биткоины не имеют предоплаченной природы.

171

Однако уже в январе 2014 г. Управление Министерства финансов США по борьбе с финансовыми преступлениями выпустило новые рекомендации по биткоинам. Рекомендации уточняют, что казначейство не требует отчетности от пользователей и компаний, которые создают биткоины «для личных целей».

172

Центробанк приравнял биткоины к финансовым пирамидам // NEWSru.com. 24 февраля 2014 г.

173

Fortress Investment Group в 2013 г. понесла убытки в 3,7 млн долл. из-за инвестиций в bitcoin // RBC NEWS. 1 марта 2014 г.

174

Термин «понимание» присутствует во многих документах ФАТФ по тематике риск-ориентированного подхода в рамках проведения мероприятий по ПОД/ФТ и в большей степени соответствует термину «значимость» (используется для того, чтобы показывать, насколько последствия проявления рисков ОД/ФТ будут влиять на экономику страны).

175

Например, государству, обществу, экономике и т. д.

176

Например, для выработки национальной политики в области ПОД/ФТ.

177

Например, получение информации, необходимой для выработки политики или перераспределения ресурсов между надзорными, правоохранительными и иными компетентными органами.

178

В связи с этим страны могут принять решение проводить оценку рисков отмывания денег и финансирования терроризма раздельно.

179

Спектр угроз и уязвимостей в рамках любой конкретной оценки будет различаться в зависимости от масштабов оценки (оценка на национальном уровне, на региональном уровне, на уровне отдельного сектора экономики и т. д.).

180

При этом на практике обмен и предоставление информации разведывательными органами или органами безопасности часто бывают невозможны.

181

Помимо этого, они могут оказать содействие в выявлении уязвимостей.

182

Например, о торговле людьми и организованной преступности.

183

Например, использования электронных денег при расчетах за поставку (продажу) запрещенных в свободной торговле товаров.

184

Например, о возможности использования упрощенной идентификации при проведении различных операций с использованием электронных денег.

185

Такие данные могут быть использованы для информирования экспертов-оценщиков в области ПОД/ФТ о достаточности и адекватности процесса оценки рисков в стране при условии неразглашения чувствительной информации.

186

Понятие «факторы риска» используется для обозначения конкретных угроз или уязвимостей, которые являются причинами, источниками или движущими силами возрастания риска ОД/ФТ.

187

Как правило, они отличаются для каждой отдельно взятой страны в зависимости от уровня риска ОД/ФТ (от высокого уровня до приемлемого).

188

Данный список должен быть составлен заранее и в дальнейшем корректироваться в соответствии с появлением новых факторов риска ОД/ФТ.

189

Это может быть типологический отчет по преступлениям в области ОД/ФТ.

190

Это могут быть данные о наличии и эффективности любых мер, направленных на ПОД/ФТ (например, ограничения на использование наличных денег при проведении определенных операций), а также данные о слабых местах в выполнении обязанностей, в том числе по причине нехватки ресурсов.

191

Например, известную систему Hawala (подробнее см.: Ревенков П.В., Воронин А.Н. Мошенничество в сфере международных денежных переводов // Расчеты и операционная работа в коммерческом банке. 2009. № 6. С. 83–93).

192

Эти факторы следует использовать с учетом особенностей каждой отдельной страны.

193

Например, на количество квартирных краж, степень общественной безопасности и т. д.

194

Для того чтобы террористы могли осуществлять свои операции, а также оказывать поддержку своим организациям, им необходимо иметь «рабочий» капитал.

195

Такие приоритетные направления могут помочь в разработке стратегии по снижению данного риска.

196

А также другой деятельности по осуществлению государственной политики и обеспечению безопасности.

197

Это может быть краткий обзор или информация об использованной методологии и выводах, сделанных по результатам оценки, и др.

198

Например, с помощью проведения специального обучения по вопросам использования интернет-сайтов и интернет-платежей в противоправных целях. Здесь могут оказать большую помощь регулирующие органы и профессиональные объединения, занимающиеся разработкой рекомендаций по ПОД/ФТ и типизацией способов ОД/ФТ.

199

Согласно определению договора репо, закрепленному в ст. 51.3 Федерального закона от 22.04.1996 № 39-ФЗ «О рынке ценных бумаг» [55], таким договором признается договор, по которому одна сторона (продавец по договору репо) обязуется в срок, установленный этим договором, передать в собственность другой стороне (покупателю по договору репо) ценные бумаги, а покупатель по договору репо обязуется принять ценные бумаги и уплатить за них определенную денежную сумму (первая часть договора репо) и по которому покупатель по договору репо обязуется в срок, установленный этим договором, передать ценные бумаги в собственность продавца по договору репо, а продавец по договору репо обязуется принять ценные бумаги и уплатить за них определенную денежную сумму (вторая часть договора репо).

200

Данные представлены на официальном веб-сайте Банка России. URL: http:// www.cbr.ru/content/filedocument/file/14174/list_exchange.xls.

201

Информация представлена на официальном веб-сайте ПАО Московская Биржа. URL: https://www.moex.com/ru/listing/securities.aspx.

202

Данное определение приведено в ст. 3 Федерального закона от 22.04.1996 № 39-ФЗ «О рынке ценных бумаг»[55].

203

ФСФР России была образована Указом Президента РФ от 09.03.2004 № 314 «О системе и структуре федеральных органов исполнительной власти», в соответствии с которым данной службе были переданы: функции по контролю и надзору упраздненной Федеральной комиссии по рынку ценных бумаг; функции по контролю и надзору в сфере финансовых рынков упраздненного Министерства труда и социального развития Российской Федерации; функции по контролю деятельности бирж упраздненного Министерства Российской Федерации по антимонопольной политике и поддержке предпринимательства; функции по контролю и надзору в сфере формирования и инвестирования средств пенсионных накоплений Министерства финансов Российской Федерации. Четвертого марта 2011 г. к ФСФР России была присоединена Федеральная служба страхового надзора. Первого сентября 2013 г. служба упразднена и ее функции переданы в ведение Банка России в соответствии с Указом Президента РФ от 25.07.2013 № 645. Третьего марта 2014 г. Служба Банка России по финансовым рынкам (СБРФР) упразднена. Полномочия по регулированию, контролю и надзору в сфере финансовых рынков, ранее осуществляемые СБРФР, переданы созданным структурным подразделениям Банка России.

204

Ознакомиться с подобными предложениями можно на следующих интернет-ресурсах: http://cfudbizo5i5r6lf6.onion, http://qr5rw75na7gipe62onion, http://hyd-raruzxpnew4af.onion.

205

«Методические рекомендации по установлению критериев существенного отклонения объема торгов ценными бумагами» (утв. Банком России 11.03.2019 за № 7-МР).

206

В случае если такие действия причинили крупный ущерб гражданам, организациям или государству либо сопряжены с извлечением излишнего дохода или избежанием убытков в крупном (от 3,75 млн руб.) или особо крупном (от 15 млн руб.) размере.

207

URL: http://www.cbr.ru/finmarket/inside/inside_detect/.

208

В сертификатах на средства криптографической защиты информации (СКЗИ) это требование формулируется как аксиома («…при сохранении в тайне ключа подписи»).

209

Не следует ожидать, что в ближайшее время нам удастся в достаточной степени подготовить в области информационной безопасности всех наших сограждан – а именно они и являются клиентами банков. Банкиров бы подготовить…

210

В конце этой главы рассмотрим особенности интерактивной рефлекторной идентификации в отдельном разделе.

211

Статья 4 Закона № 63-ФЗ: «Принципами использования электронной подписи являются: недопустимость признания электронной подписи и (или) подписанного ею электронного документа не имеющими юридической силы только на основании того, что такая электронная подпись создана не собственноручно, а с использованием средств электронной подписи для автоматического создания и (или) автоматической проверки электронных подписей в информационной системе».

212

Часть 2 ст. 12 Закона № 63-ФЗ: «При создании электронной подписи средства электронной подписи должны: 1) показывать лицу, подписывающему электронный документ, содержание информации, которую он подписывает; 2) создавать электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи; 3) однозначно показывать, что электронная подпись создана».

213

Пункт 15 Требований: «Средства ЭП класса КС3 противостоят атакам, при создании способов, подготовке и проведении которых используются возможности…:…доступ к СВТ, на которых реализованы средство ЭП и СФ».

214

Параметры компьютера: процессор 4-ядерный, 1,6 ГГц, Cortex A9; графический процессор Mali400, 2D/3D OpenGL ES2.0/OpenVG1.1; ОЗУ 2GB DRR3; WiFi IEEE 802.11 b/g/n; Bluetooth V4.2; считыватель карт microSD (TF card) до 32GB; размер защищенного диска 8 ГБ. Параметры док-станции: порт HDMI: 2, порт USB: 8 (host) + 1 (slave), порт Ethernet, порт питания: 1 DC 4.0mm, питание: DC 5V 2A.

215

Если приведенных аргументов до сих пор недостаточно, можно обратиться к математическому доказательству [83, с. 46–60].

216

Это слово используется в разных значениях, но в рамках этого текста условимся применять только одно из них: защищенное тем или иным способом хранилище ключей в виде объектов PKCS.

217

Более подробно об этом можно прочитать в методическом документе: Рекомендации по стандартизации Р 1323565.1.012-2017 «Криптографическая защита информации. Принципы разработки и модернизации шифровальных (криптографических) средств защиты информации» [37].

218

Аппаратно-программный модуль доверенной загрузки.

219

ОКБ САПР – разработчик средств защиты информации, год создания – 1989. Подробнее на официальном веб-сайте компании: www.okbsapr.ru.

220

Например, голос существенно зависит от состояния мягких тканей – то есть при насморке может сильно измениться.

221

Например, к зависимости только от твердых тканей – добиваясь инвариантности, но уменьшая информативность (сложность).

222

В идеале – предоставляемое банком.

223

Cyber-physical (или cyberphysical) systems – это по сути всеобъемлющий термин, который используется для описания интеграции подключенных к интернету машин и производственных процессов, не основанных на человеческом труде.

224

Internet of Things. Впрочем, теперь с подачи Cisco набирает популярность расширенная трактовка этого термина – Internet of Everything, IoE или «всеобъемлющий интернет» (URL: https://newsroom.cisco.com/ioe). IoE объединяет людей, процессы, информацию и все, что способствует повышению значимости сетевых связей посредством превращения информации в действия.

225

При этом надо понимать, что датчики в каждом новом подключенном к сети автомобиле генерируют до двух петабайтов данных в год. CPS-подходы превращают сами автомобили в мобильные центры обработки данных, которые могут в реальном времени осуществлять их сортировку и индексацию и посылать предупреждения, когда необходимо принять какие-либо меры.

226

Platform as a service. Этот термин впервые применила базирующаяся в Лондоне компания Fotango, дочка Canon Europe, когда в 2005 г. запустила платформу для Java-разработчиков, известную как Zimki.

227

Machine-to-Machine. Первым M2M-проектом считают разработанную Qualcomm в 1989 г. для отслеживания космического транспорта систему OmniTRACS.

228

Решения IoT уже не ограничиваются внедрением Ethernet, Wi-Fi и 3G/4G и включают технологии спутниковой связи, Bluetooth LE, энергоэффективных сетей дальнего радиуса действия (LPWAN), к которым относятся LoRa, связь через ЛЭП (PLC) и различные беспроводные персональные сети (WPAN), такие как Wi-SUN и ZigBee NAN, а также многие другие.

229

В качестве примеров можно назвать два беспроводных стандарта для подключения датчиков к сети: Wireless HART и ISA100. Оба были разработаны на основании протоколов IEEE 802.15.4, но каждый при этом был создан отдельной экосистемой участников отрасли, в результате чего стандарты оказались несовместимы.

230

IEEE запустил специализированную инициативу в сфере IoT (URL: http://iot. ieee.org/). IEEE придерживается комплексного и амбициозного подхода к созданию экосистемы IoT на базе открытых стандартов, разрабатывая стандарт для архитектурного каркаса IoT (IEEE P2413) и сокращая разрыв между развитием политик и технологий (IEEE Internet Initiative).

231

Консорциум промышленного интернета (URL: http://www.iiconsortium.org/) ставит своей целью ускорение развития и внедрения IoT в промышленный сектор, чтобы установить взаимосвязь между машинами, бизнес-процессами, умной аналитикой и работающими на предприятии людьми.

232

OCF (URL: https://openconnectivity.org/) определяет требования к стандартам связи и совместимости коммуникации «устройство-устройство», «устройство-инфраструктура» и «устройство-облако», определяя спецификации и создавая открытый программный код и программу сертификации. Это необходимо для масштабируемой интеграции миллиардов устройств, датчиков и генерируемых ими данных в решения IoT.

233

OpenFog Consortium (URL: https://www.openfogconsortium.org/) разрабатывает вычислительную архитектуру на базе открытых туманных вычислений для распределения вычислительных сервисов и ресурсов в непосредственной близости от пользователей и конечных устройств с целью удовлетворить растущий спрос на локальные вычисления в рамках IoT. Туман не является отдельным архитектурным решением; он расширяет и масштабирует существующую облачную архитектуру до самой периферии сети, подводя ее как можно ближе к источнику данных. Цель заключается в том, чтобы обеспечить обработку и аналитику больших объемов данных в реальном времени или обработку данных «на лету», что позволяет решить целый ряд типичных проблем, таких как значительная задержка, непредсказуемые сетевые заторы и (или) потеря связи в сети, широкая географическая распределенность систем и клиентов при мобильности оконечных устройств и т. д.

234

OPC Foundation (URL: https://opcfoundation.org/) возглавляет работу в сфере совместимости данных, автоматизации промышленных процессов и оборудования, применяя собственную «единую архитектуру».

235

URL: https://www.nytimes.com/2019/06/17/world/europe/russia-us-cyberwar-grid.html.

236

То есть вычислительной среды (линейки компьютеров, сетевого оборудования и программного обеспечения), которой можно было бы полностью доверять с точки зрения всех видов защищенности.

237

В литературе используются также термины homo in nexu (лат.) и connected man.

238

Под AI здесь понимается не набор алгоритмов любой степени сложности, а способность ПО выполнять творческие функции, которые традиционно считаются прерогативой человека.

239

Гидденс Э. Социология. М.: URSS, 2005.

240

Эта теория Зигмунта Баумана (Zygmunt Bauman) описывает переход от сложного структурированного мира, который обременен сетью социальных обязательств и условий, к миру гибкому, текучему, свободному от границ и условий. Это состояние непрерывного перемещения, плавления, перетекания. Человек становится мобильным и не обременен длительными обязательствами.

241

Кэрролл Л. Алиса в Зазеркалье. М.: Росмэн, 2019.

242

Хотя усиление контроля за финансовым поведением (см. далее) ведет и к обратному процессу – стремлению укрыть хотя бы часть финансовых операций от мониторинга.

243

К чему это в итоге может привести – очень ярко описал Роберт Шекли в рассказе «Кое-что задаром».

244

Или даже данные верифицированные, валидированные, то есть «умные» (Smart Data).

245

См. пример расчета FICO Score от американской компании Fair Isaac Corporation: общая сумма набранных баллов складывается из сведений об активах клиента, уже полученных им кредитах, истории их обслуживания и т. п. и обычно варьируется в пределах от 300 до 850. Если индивидуальный рейтинг заемщика оказался ниже 650 баллов, ему будет предложен кредит на условиях хуже рыночных.

246

Такие данные приводятся в отчете Национального центра публичной кредитной информации (National Public Credit Information Center, NPCIC), обнародованном в феврале 2019 г.

247

Payment services (PSD 2) Directive (EU) 2015/2366. URL: https://ec.europa.eu/info/ law/payment-services-psd-2-directive-eu-2015-2366_en.

248

PFM (Personal Financial Management) – система управления личными финансами.

249

В 2019 г. в Госдуму внесен большой пакет изменений в Федеральный закон от 30.12.2004 № 218-ФЗ «О кредитных историях» [50].

250

Сооснователь и сопрезидент Basic Income Earth Network – организации, объединяющей сторонников внедрения безусловного базового дохода.

251

URL: https://www.emediator.ru/index.php/investigations/33-sotsiologicheskie-is-sledovaniya/1530-precariat-in-russia.

252

Интернет делает расстояние между пользователями физически несущественным, обитатель «глобальной деревни» становится «электронным человеком» (понятие введено Маклюэном еще в 1962 г.), живущим в условиях приоритета электронных коммуникаций.

253

Области коры головного мозга, отвечающие за высшие нервные функции: сенсорное восприятие, выполнение моторных команд, осознанное мышление и речь.

254

Особый вид памяти, позволяющий сохранять и воспроизводить в деталях образ (или текстовое описание) воспринятого ранее предмета или явления.

255

От англ. click-through rate — показатель кликабельности.

256

То есть как степень соответствия найденного набора данных информационным нуждам пользователя.

257

Simplification – отбор и рациональное ограничение номенклатуры продуктов и услуг до числа, достаточного для удовлетворения существующих в данное время потребностей, плюс максимальное сокращение числа операций, необходимых для их использования.

258

Commoditization – лишение продуктов и услуг специфических свойств, из-за чего конкуренция между ними сводится к преимущественно ценовой.

259

Gamification – процесс использования игрового мышления и динамики игр для вовлечения аудитории и решения задач, превращение бизнес-процессов в игру.

260

Востром Н. Искусственный интеллект: этапы, угрозы, стратегии. М.: Манн, Иванов и Фербер, 2016.

261

Леонгард Г. Технологии против человека. М.: АСТ, 2018.

262

От англ. predictive analytics. Предиктивная аналитика использует статистические методы, методы интеллектуального анализа данных, теории игр, анализирует текущие и исторические факты для составления предсказаний о будущих событиях. Прогнозные модели фиксируют связи среди многих факторов, чтобы сделать возможной оценку рисков или потенциала, связанного с конкретным набором условий.

263

Основы концепции были разработаны еще в 60-е годы прошлого века на базе экспериментальных наблюдений и опросов. Но сегодня, например, функциональная магнитно-резонансная томография позволяет определить, какие части мозга задействованы при принятии экономических решений. А эксперименты, имитирующие финансовые операции, могут устранить влияние отдельных когнитивных искажений на поведение человека.

264

Privacy policy – это заявление или юридический документ, раскрывающие некоторые или все способы сбора, использования, раскрытия и управления данными клиента.

265

Англ. Big Brother – персонаж романа Джорджа Оруэлла «1984», единоличный лидер государства Океания и партии «Ангсоц».

266

После этого – не значит вследствие этого (лат.).

267

Directive 95/46/EC (General Data Protection Regulation). URL: https://eur-lex. europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679.

268

URL: https://edps.europa.eu/.

269

Например, в гостиницах, согласно требованию МВД России, все вновь прибывающие должны быть поставлены на временный учет в течение суток. Администрация берет на себя функции регистрации постояльцев, делая скан или копию паспорта.

270

Например, российская компания NtechLab, работающая по контракту с Единым центром хранения и обработки данных Москвы, включает в карточку опознанного лица не только его паспортные данные и сведения о регистрации, но и «адреса, где подозреваемый чаще всего попадает в поле видимости городских видеокамер» (URL: https://www.kp.ru/daily/26983.4/4042482/), что является прямым нарушением конституционного права гражданина на неприкосновенность частной жизни (ч. 1 ст. 23 Конституции РФ), поскольку сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (ч. 1 ст. 24 Конституции РФ).

271

URL: http://news.mit.edu/2018/study-finds-gender-skin-type-bias-artificial-intelli-gence-systems-0212.

272

В настоящее время можно говорить уже о трех разных видах искусственной реальности: виртуальной (VR), дополненной (AR) и смешанной (MR).

273

Леонгард Г. Технологии против человека.

274

Секвенирование биополимеров (белков и нуклеиновых кислот – ДНК и РНК) – определение их аминокислотной или нуклеотидной последовательности (от лат. sequentum – последовательность).

275

Видимо, не зря ведьмы и колдуны издревле опасались утраты своих биологических материалов, под которыми понималась практически любая частица тела объекта воздействия. Сюда относятся абсолютно все выделения, физиологические жидкости, твердые «кусочки».

276

Пример DeepFake-видео: https://www.youtube.com/watch?v=ttGUiwfTYvg&feat ure=youtu.be.

277

Компания Google еще в 2014 г. представила TensorFlow – общедоступное ПО, которое помогает в обучении GAN, способных реализовать DeepFake-видео.

278

Банки уже переложили на клиентов обязанность доказывать, почему они считают ту или иную операцию по карте недействительной или мошеннической, прилагая все имеющиеся документы по этой операции (чеки, счета, переписку). Ранее в отношении таких операций применялся алгоритм как для mail order and telephone order (MOTO), когда операция отменялась по заявлению клиента и банк сам проводил расследование.

279

URL: https://rg.ru/amp/2019/05/27/kak-cifrovaia-podpis-mozhet-ostavit-sobstven-nikov-bez-zhilia.html.

280

По мнению юристов, сегодня существует лишь один способ предотвратить подобное: написать в МФЦ или офисе Росреестра заявление о необходимости личного присутствия собственника при проведении любых операций с его недвижимостью.

281

Согласно ст. 820 Гражданского кодекса РФ, «кредитный договор должен быть заключен в письменной форме. Несоблюдение письменной формы влечет недействительность кредитного договора. Такой договор считается ничтожным». Однако возможность использовать ЭЦП при оформлении потребительских кредитов есть в целом ряде российских банков. Основанием для этого служит ст. 160 Гражданского кодекса РФ, которая указывает, что использование при совершении сделок факсимильного воспроизведения подписи с помощью средств механического или иного копирования, электронной подписи либо иного аналога собственноручной подписи допускается в случаях и в порядке, предусмотренных законом или соглашением сторон. В качестве акцепта используется, как правило, либо введение кода, полученного в SMS, либо списание с карты пользователя минимальной суммы и ее последующий возврат. Правомерность подобной схемы не раз подтверждалась судами.

282

URL: https://securelist.com/digital-doppelgangers/90378/.

283

Илья Сачков, генеральный директор Group-IB. URL: https://www.group-ib.ru/ media/pmef-2019-tiaser/.

284

URL: http://identityfoundation/.

285

URL: https://w3c-ccg.github.io/did-spec/.

286

URL: https://github.com/decentralized-identity/identity-hub/blob/master/explai-ner.md.

287

URL: https://news.microsoft.com/ru-ru/decentralized-did/.

288

Эмпирический тест, предложенный Аланом Тьюрингом, позволяет определить, обладает ли машина интеллектом. Компьютер успешно пройдет тест Тьюринга, если человек-экспериментатор, задавший ему вопросы в письменном виде (при этом отпадает необходимость в физической имитации человека), не сможет определить, получены ли ответы от другого человека или от AI.

289

URL: http://www.gazeta.ru/science/2014/06/09_a_6064069.shtml.

290

Под глубоким (или глубинным) обучением здесь понимается совокупность методов машинного обучения, основанных на обучении представлениям (в т. ч. основанным на неочевидных критериях), а не специализированным алгоритмам для решения конкретных задач.

291

Цит. по: Шваб К. Четвертая промышленная революция. М.: Эксмо, 2018. Аналогичные опасения высказывал и Илон Маск. В рамках завершающей сессии MIT Aeronautics and Astronautics Centennial Symposium, который прошел 2224.10.2014 в Бостоне (США), он отметил, что исследования и разработки в области AI могут иметь глобальные непредсказуемые последствия, поэтому необходимо регулировать данную сферу уже сейчас.

292

В рамках концепции Talentizm: для успеха компании доступ к талантам важнее капитала.

293

Концепция безусловного (гарантированного) базового дохода восходит к «Утопии» Томаса Мора (XVI в.). Но перевести теорию в практику рискнула только Финляндия, запустив в 2017 г. эксперимент, в рамках которого 2 тыс. случайным образом отобранных безработных получали 560 евро в месяц без каких-либо условий. Уровень занятости от этого не изменился, но «эти люди чувствовали себя счастливее, у них снизилось ощущение постоянного стресса» (URL: https://www.bbc.com/russian/features-47179757).

294

Иные версии названия этой технологии – mind transfer или brain upload: создание полной цифровой копии личности и загрузка ее в компьютер.

295

Трансгуманизм – философская концепция, обосновывающая возможность (и этичность) использования технологических достижений для улучшения умственных и физических возможностей человека с целью устранения таких аспектов его существования, как страдания, болезни, старение и даже смерть. В РФ еще в 2005 г. было создано Российское трансгуманистическое движение (URL: http://transhuman.ru/).

296

Возвращение значительной части глобального производства в развитые экономики в рамках Четвертой промышленной революции и внедрения CPS.

297

Победитель получает все (лат.).

298

На фоне уже довольно многочисленных скандалов с биржевыми роботами 2019 г. ознаменовался переносом вышеупомянутых проблем AI в юридическую плоскость: китайский инвестор Саматур Ли Кин-Кан, из-за ошибки интеллектуальной системы потерявший за день более $20 млн, впервые в истории подал в суд на владельца биржевого робота – компанию Tyndaris Investments. URL: https://www.kommersant.ru/doc/3967462.

299

Они же GAFAM, Big Five или BigTech-компании.

300

Даже странно, что Apple – налогового резидента Ирландии – по-прежнему считают американской компанией. Apple была пионером налоговой схемы, которая позже получила название «двойной ирландский с голландским сэндвичем». Компания проводила прибыль через ирландские и голландские «дочки», выплачивая минимальный налог, а затем выводила ее на Карибские острова.

301

URL: https://habr.com/ru/post/457050/.

302

Он же сильный (общий, универсальный) искусственный интеллект или искусственный интеллект человеческого уровня.

303

Востром Н. Искусственный интеллект: этапы, угрозы, стратегии.

304

Технологическая сингулярность – гипотетический момент, когда технический прогресс станет настолько быстрым и сложным, что окажется практически недоступным человеческому пониманию. Сингулярность может стать результатом создания AGI и самовоспроизводящихся машин, киборгизации человека либо скачкообразного увеличения возможностей человеческого мозга за счет биотехнологий.

305

Шварц Е.Л. Дракон: пьесы. М.: Время, 2018.

306

Предполагалось, что государство перейдет от предоставления единичных «точечных» сервисов через многофункциональные центры на основе государственных (ведомственных) информационных систем и баз данных к комплексному «обслуживанию» жизненных ситуаций человека на основе единого массива данных и алгоритмов работы с ними.

307

Петров М., Буров В., Шклярук М., Шаров А. Государство как платформа. (Ки-бер)государство для цифровой экономики. Цифровая трансформация. М.: ЦСР, 2018.

308

Шваб К. Четвертая промышленная революция.

309

Пентагон уже финансирует разработку «этичного» ПО, закладывающего основу для расширения сферы самостоятельного принятия техникой решений об открытии огня.

310

URL: https://habr.com/ru/post/105964/.

311

Из недавнего – информация из The New York Times об атаке на российскую энергетическую инфраструктуру (URL: https://www.nytimes.com/2019/06/17/ world/europe/russia-us-cyberwar-grid.html). Однако пресс-служба Минэнерго заявила, что в ведомство информация о таких атаках от энергетических компаний не поступала.

312

Американские власти запретили использование оборудования Huawei на своей территории и уговаривают союзников отказаться от сотрудничества с китайским ИТ-гигантом под предлогом угрозы кибершпионажа в пользу КНР. URL: https://www.rbc.ru/opinions/business/24/05/2019/5ce6a8a09a79471c2317044a.

313

А собственные «правовые акты» в США в принципе не считают ограниченными национальной юрисдикцией.

314

См., напр.: Rogers М. Capabilities, competition and communication. Why the West needs a strategy for technology The Australian Strategic Policy Institute (ASPI) International Cyber Policy Centre. Issues Paper. Report No. 19/2019.

315

URL: https://www.rbc.ru/technology_and_media/27/06/2019/5d139b1e9a7947640a 1ca807.

316

URL: http://ineum.ru/ineum-razrabotal-pervyj-superkompyuter-na-baze-processo-rov-elbrus.

317

URL: https://module.ru/catalog/cifrovaya_obrabotka/neural_networks/.

318

URL: https://tass.ru/ekonomika/4851708.

319

URL: https://habr.com/ru/post/435560/.

320

Согласно принятому в Банке России определению, под RegTech (Regulatory Technology) понимаются технологии, используемые для упрощения выполнения финансовыми организациями регуляторных требований. В соответствии с международным опытом наиболее распространенными сферами применения RegTech являются: проверка соответствия требованиям регулятора или комплаенс-контроль; идентификация клиентов; мониторинг транзакций; защита информации, аудит систем; управление рисками; предоставление отчетности.

321

Под SupTech (Supervision Technology) в Банке России понимаются технологии, используемые регуляторами для повышения эффективности регулирования и надзора за деятельностью участников финансового рынка.

322

Business intelligence – совокупность компьютерных методов и инструментов, обеспечивающих перевод транзакционной деловой информации в форму, пригодную для бизнес-анализа, а также средства для массовой работы с такой обработанной информацией.

323

XBRL (eXtensible Business Reporting Language – расширяемый язык деловой отчетности) – широко используемый в мире открытый стандарт обмена деловой информацией, который позволяет выражать с помощью семантических средств общие для участников финансового рынка и регулирующих органов требования к представлению бизнес-отчетности. XBRL является средством коммуникации и обмена бизнес-информацией между системами. Эта коммуникация основана на наборах метаданных (данных о данных), которые содержат описание как отдельных показателей отчетности, так и взаимосвязей между ними и прочими семантическими элементами таксономий. URL: https://www.cbr.ru/finmarket/projects_xbrl1/.

324

URL: https://www.ecb.europa.eu/pub/pdf/other/europeanreportingframeworkke yfactsandinformation062015.en.pdf?b4ed01289c0db8bca94c05535774e358.

Content

Кибербезопасность в условиях электронного банкинга
Практическое пособие под редакцией П.В. Ревенкова

Авторы и рецензенты

Принятые сокращения

Вступительное слово

Предисловие

1. Электронный банкинг и риски недостаточного обеспечения информационной безопасности

Введение

1.1. Интернет и банковский бизнес

1.2. Основные виды мошенничества в интернете

1.2.1. Лжебанки

1.2.2. Лжестраховщики

1.2.3. ПсевдоР2Р-переводы

1.2.4. Схемы с использованием страхового (закрепительного) платежа

1.2.5. Схемы быстрого обогащения: «Золотой поток» (Golden Stream), «Алмазный дождь» (Diamond Rain) и др

1.2.6. «Нигерийские письма»

1.2.7. Опасные инвестиции

1.2.8. Виртуальная медицина

1.2.9. Виртуальное трудоустройство

1.2.10. Горячие торговые точки

1.2.11. Сетевое попрошайничество

1.2.12. Ботнеты

1.2.13. Сетевые банды

1.3. Актуальные направления регулирования в условиях электронного банкинга

1.3.1. Управление операционным риском

1.3.2. Противодействие киберпреступлениям в финансовой сфере

1.3.3. Противодействие использованию систем электронного банкинга в схемах, направленных на легализацию преступных доходов

1.3.4. Подготовка сотрудников коммерческих банков по вопросам обеспечения информационной безопасности

2. Кибербезопасность в условиях применения систем электронного банкинга

2.1. Парадигмы построения системы кибербезопасности

2.2. Методология анализа рисков недостаточного обеспечения кибербезопасности

2.3. Информационное общество и кибербезопасность

2.4. Электронные финансы – в интернет вещей

2.5. Кибербезопасность в условиях развития интернета вещей и электронного банкинга

2.6. Типовые атаки на организации кредитно-финансовой сферы

2.6.1. Целевые атаки на кредитные организации

2.6.2. Атаки с применением методов социальной инженерии в отношении сотрудников банка

2.6.3. Атаки на системы дистанционного банковского обслуживания, используемые юридическими лицами

2.6.4. Атаки на клиентов – физических лиц

2.6.5. Атаки на устройства самообслуживания (отмена транзакции)

3. Влияние «теневого интернета» на безопасность электронного банкинга

Введение

3.1. Проблемы политического характера

3.2. Проблема «теневого интернета» на примере системы TOR и идентификации злоумышленников

3.3. Описание сети I2P и принцип ее работы

3.4. Проблема борьбы с «теневым интернетом» и средствами анонимизации

3.5. Проблемы законодательного характера

3.6. Проблемы обеспечения информационной безопасности в банковском секторе на местах

3.7. Проблемы обеспечения информационной безопасности на стороне клиента

4. Характеристика хищений денежных средств с использованием вредоносных компьютерных программ неправомерного доступа к информации

4.1. Вредоносные компьютерные программы как средство совершения хищений денежных средств

4.2. Организация преступной деятельности

4.2.1. Особенности преступной деятельности в киберпространстве

4.2.2. Кодеры

4.2.3. Ботнетчики

4.2.4. Заливщики

4.2.5. Нальщики

4.2.6. Дропы

4.2.7. Поставщики услуг абузоустойчивого хостинга

4.2.8. Траферы (поставщики трафика)

4.2.9. Поставщики эксплойтов

4.3. Совершение типового хищения денежных средств с использованием вредоносных компьютерных программ

5. Принципы управления рисками электронного банкинга

Введение

5.1. Проблемы, связанные с управлением рисками электронного банкинга

5.2. Основные принципы управления рисками электронного банкинга

5.2.1. Наблюдение со стороны совета директоров и высшего руководства банка (Принципы 1–3)

5.2.2. Средства обеспечения безопасности (Принципы 4-10)

5.2.3. Управление правовым и репутационным рисками (Принципы 11–14)

6. Возможные риски при использовании технологии интернет-банкинга

Введение

6.1. Развитие интернет-банкинга

6.2. Типы интернет-банкинга

6.3. Риски интернет-банкинга

6.3.1. Кредитный риск

6.3.2. Процентный риск

6.3.3. Риск ликвидности

6.3.4. Ценовой риск

6.3.5. Валютный риск

6.3.6. Операционный риск

6.3.7. Риск несоответствия

6.3.8. Стратегический риск

6.3.9. Репутационный риск

6.4. Управление рисками

6.5. Внутренний контроль

7. Организация внутреннего аудита и внутреннего контроля в кредитных организациях при использовании систем электронного банкинга

Введение

7.1. Качество корпоративного управления в части развития и применения систем электронного банкинга

7.1.1. Ориентированность кредитной организации на развитие технологий электронного банкинга

7.1.2. Роль совета директоров кредитной организации в организации внутреннего контроля

7.1.3. Общие процедуры организации внутреннего аудита и внутреннего контроля

7.1.3.1 Документарное обеспечение системы внутреннего контроля

7.1.3.2. Особенности подбора кадров в службу внутреннего аудита и службу внутреннего контроля

7.1.3.3, Методологическое обеспечение службы внутреннего аудита и службы внутреннего контроля

7.1.3.4. Организация работы службы внутреннего аудита и службы внутреннего контроля с результатами проверок применения технологий электронного банкинга

7.1.4. Организация управления рисками, связанными с использованием системы электронного банкинга

7.2. Организация (адаптация) процедур внутреннего аудита и контроля в части системы электронного банкинга

7.2.1. Организация процедур внутреннего аудита и контроля на этапе обоснования нового проекта системы электронного банкинга

7.2.2. Организация процедур внутреннего аудита и контроля на этапе принятия решения о новом проекте системы электронного банкинга

7.2.3. Организация (адаптация) процедур внутреннего аудита и контроля на этапе планирования реализации системы электронного банкинга

7.2.4. Организация (адаптация) процедур внутреннего аудита и контроля на этапе проектирования системы электронного банкинга

7.2.5. Организация (адаптация) процедур внутреннего аудита и контроля на этапе разработки системы электронного банкинга

7.2.6. Организация (адаптация) процедур внутреннего аудита и контроля на этапе испытаний, сдачи и приемки в эксплуатацию системы электронного банкинга

7.2.7. Организация (адаптация) процедур внутреннего аудита и контроля на этапе эксплуатации системы электронного банкинга

8. Электронные деньги: риски легализации преступных доходов

Введение

8.1. Электронные деньги

8.1.1. Понятие «электронные деньги»

8.1.2. Международный опыт регулирования электронных денег

8.1.2.1. Великобритания

8.1.2.2. Люксембург

8.1.2.3. Нидерланды

8.1.2.4. США

8.1.2.5. Сингапур

8.1.2.6. Китай

8.1.2.7. Австралия

8.2. Электронные деньги: анализ источников риска возможного использования в схемах, направленных на отмывание денег

8.2.1. Источники риска ОД/ФТ в условиях использования электронных денег

8.2.2. Интернет-платежи

8.2.3. Азартные игры в интернете

8.2.4. Немного о биткоинах

8.3. Участники процесса оценки риска ОД/ФТ

8.3.1. Подходы к оценке риска

8.3.2. Участники оценки риска

8.3.3. Результаты оценки риска

8.4. Оценка риска ОД/ФТ в условиях интернет-платежей

8.4.1. Этапы оценки риска

8.4.1.1. Первый этап: выявление факторов риска ОД/ФТ

8.4.1.2. Второй этап: анализ риска ОД/ФТ

8.4.1.З. Третий этап: оценка риска ОД/ФТ

8.4.2. Представление результатов оценки рисков

9. Интернет-трейдинг как инструмент отмывания денежных средств на фондовой бирже

Введение

9.1. Механизм эмиссии и размещения ценных бумаг

9.1.1. Как устроен механизм эмиссии и размещения ценных бумаг?

9.1.2. Кто является участником биржевых торгов?

9.1.3. Как устроена система учета прав на ценные бумаги?

9.1.4. Каков механизм расчетов по сделкам с ценными бумагами, заключенным на организованных биржевых торгах и на внебиржевом рынке?

9.1.5. Каков механизм совершения биржевых сделок?

9.2. Схемы отмывания денежных средств с использованием систем интернет-трейдинга

9.2.2. Схема 2 (complex)

9.2.3. Схема 3 (difficult)

10. Проблемы доверия и их решения

Введение

10.1. Доверенные системы

10.1.1. Устройства с правильной архитектурой

10.1.1.1. Новая гарвардская архитектура

10.1.1.2. Борьба с вирусами или «вирусный иммунитет»

10.1.1.3. Компьютеры

10.1.1.4. Служебные носители (флешки, ключевые носители, средства хранения журналов)

10.1.2. Средства защиты, изменяющие архитектуру устройств (наложенные средства защиты информации)

10.1.2.1. Средства доверенной загрузки

10.1.2.2. Средства защиты для виртуальных структур

10.2. Идентификация для защищенности и безопасности

10.2.1. Идентификация в открытых системах

10.2.2. Новая биометрия. Замысел защиты

10.3. Краткий обзор нормативной базы по критическим информационным инфраструктурам

10.3.1. Основные документы

10.3.2. Другие документы

10.3.3. Преступления и наказания

Вместо заключения

11. Точка бифуркации для финансового регулирования в эпоху четвертой промышленной революции

11.1. Четвертая промышленная революция

11.2. Переход на арендную модель жизни

11.3. Становление Homo Connected, окруженного loE и цифровыми помощниками

11.4. Ликвидация частной жизни в силу экспоненциального роста регистрирующих устройств

11.5. Угроза кражи цифровой личности или создания достаточно убедительной фейковой

11.6. Утрата понимания, «как это работает», и контроля за нейросетями и AI

11.7. Цифровой феодализм

11.8. Точка бифуркации: RegTech vs SupTech

Заключение

Список использованных источников и литературы

Нормативные правовые акты

Примечания