Кибербезопасность в финансах: тенденции, проблемы и прогнозы

19-21 февраля прошел Уральский форум «Кибербезопасность в финансах». Генеральный директор NGENIX Константин Чумаченко поделился впечатлениями о мероприятии.

В этом материале:

➡️ новые способы борьбы с кибермошенничеством;
➡️ импортозамещении в финтехе;
➡️ важность диалога между ИБ, ИТ и руководством в организации;
➡️ перспективы облачных решений в финансовой отрасли.

🙎‍♂️ Главный вектор атаки направлен на людей

Объем кибермошенничества в отношении физлиц растет, ЦБ сообщил о ₽27 млрд похищенных средств в 2024 г. Нужны ли новые технологии, если граждане не будут им доверять? Пленарная сессия, которую вела глава ЦБ Эльвира Набиуллина, показала, что ситуация воспринимается серьезно и регулятором, и банками, и правоохранительными органами. Основные контрмеры направлены на замедление и контроль движения денег по сомнительным траекториям. С 1 марта на Госуслугах заработает самозапрет на кредиты, а клиенты банков скоро получат возможность заявить о мошенничестве по кнопке в приложении. Для этого банкам и ведомствам потребуется ускорить обмен данными. Серьезная проблема — миграция мошенников в мессенджеры. Если владельцы мессенжеров не обеспечат API для фильтрации звонков, это может стать аргументом для сторонников тотальных блокировок.

🔄 Замещение в режиме active-active

О трансформации банковского ИТ рассказывали Вадим Кулик (ВТБ) и Кирилл Меньшов (Сбер). Долгое время наш финтех полагался на тяжелые вендорские изделия типа Oracle RAC. С началом геополитического кризиса их пришлось менять. Санкции и угрозы только ускорили закономерный процесс — монолитная архитектура перестала успевать за потребностями продуктового развития. Сегодня импортозамещение в финтехе движется одновременно с разделением внутреннего ИТ на отдельные «бизнес-способности» и микросервисы. Эксперты считают, что в конце туннеля отрасль ждет качественный скачок. Отдельным вызовом стали миграции десятков миллионов клиентов — на таких масштабах даже обработка исключений обязана быть промышленным процессом. Счет ИТ-систем в ландшафте современного банка идет на сотни, как и число страниц в нормативных документах Банка России, ФСБ и ФСТЭК. Масштаб изменений впечатляет, а проделанная работа сравнима с полной пересборкой самолета, летящего с пассажирами на борту.

🛡️ ИБ в организации: коммуникация или манипуляция?

Говоря про необходимость ИБ в организации, часто вспоминают громкие инциденты и причиненный ущерб. Про затраты говорят меньше, хотя все знают: кибербезопасность может легко стать бездонной бочкой. Как соблюсти баланс? Участники обсуждения сошлись на том, что несмотря на всеобщее ужесточение ответственности «торговля страхом» в организации малоэффективна. Вместо этого нужен диалог между ИБ, ИТ и руководством. По словам Игоря Ляпунова (Солар): «ИБ в компании — это не технологическая дисциплина. Это про менеджмент». Манипуляциям тут не место — только здравый смысл и сопоставление целей и рисков бизнеса помогут принимать взвешенные решения.

🏦 Банки – новые вендоры?

Избавление от зависимостей потребовало от банков колоссальных инвестиций в разработку. Сегодня некоторые из них самостоятельно закрывают 95% своих потребностей в коде, многие выводят на рынок свои внутренние продукты. Означает ли это что у вендоров и сервис-провайдеров нет перспектив? Обсуждая ситуацию с Рустэмом Хайретдиновым (Гарда), мы пришли к выводу, что минимум две причины мешают ин-хаусу стать нормой для 300+ российских банков — экономика и кадровый голод. Однако, вендорам стоит держаться в тонусе — как заметил Павел Прасс (СД ИНФИНИТУМ), если заказчик посчитает экспертизу вендора ключевой, целью контракта с ним может стать подготовка собственных специалистов.

🌤️ У облаков есть право на успех, но предстоит работа

Уровень ответственности кредитных организаций пока не создает предпосылок к переносу в облака критичных систем уровня ДБО. Тем не менее, веб остается ключевым интерфейсом для широкого ряда продуктов финансовой отрасли, и отрасль заинтересована в том, чтобы веб-транзакции через сайт были быстрыми и безопасными. И значит мы в NGENIX c нашим идеями эластичной эшелонированной защиты веб-ресурсов движемся в правильном направлении.

🧑‍💻 Больше полезных материалов:

«NGENIX для финансов и страхования» — рассказываем о том, с какими проблемами сталкиваются представители индустрии финансов и страхования, и что мы предлагаем для решения этих проблем.

«Комплексный подход: рассказываем, что такое эшелонированная защита» — рассказываем, с какими проблемами может столкнуться веб-ресурс без должной защиты; что такое эшелонированная защита; из чего состоит эшелонированная защита NGENIX.

«Статистика DDoS: что было в 2024 и какой прогноз на 2025» — анализируем DDoS-атаки, зафиксированные на платформе NGENIX с июня по ноябрь 2024 года, делимся графиками, цифрами и строим прогнозы на 2025 год.

«Запрет шифрования EHC в Cloudflare и блокировка Cloudflare в России: мигрируем на российский аналог» — разбираемся, как мигрировать с Cloudflare после решения Роскомнадзора, и даём ссылку на удобный гайд по сервисам Cloudflare, которые можно легко заменить, подключившись к платформе NGENIX.