Сегодня практически каждый знает, что такое виртуальные банковские услуги. Они существует наряду со стандартными услугами в банках, к которым все так привыкли. Виртуальные услуги, а вернее, интернет-банкинг, не отстает от стандартных в плане функционала. Но несмотря на интенсивный рост интернет-банкинга в Таджикистане и кажущуюся стабильность, есть вопросы к уровню безопасности виртуальных банковских услуг. Есть вероятность, что клиенты банка могут столкнуться с определёнными проблемами, считает выпускник школы аналитики CABAR.asia Ширин Атласова. Нормативных актов по ИБ попросту нет В законодательстве Республики Таджикистан нет таких нормативных актов, которые каким-либо образом контролировали процесс безопасности хранения и передачи на электронных активах данных банков и его клиентов. Это подтверждается отсутствием требований по данным направлениям на официальном сайте Нацбанка. Лидирующие банки страны также фактически не применяют пользовательскую политику конфиденциальности и безопасности, которую приняли многие страны как обязательный стандарт, подтверждающий прозрачность действий организаций, в рамках закона о персональных данных. Вместо публичной политики конфиденциальности и безопасности предоставляется оферта (договор между юридическим лицом и клиентом), в котором отсутствуют положения о ключевых факторах сетевой безопасности пользователей электронного банкинга. Только некоторые банки говорят о гарантиях информационной безопасности клиентов. Между тем, в исследовании «Лаборатории Касперского» (требуется авторизация 2021), заявляется, что в Центральной Азии банки являются основной мишенью хакерских атак в финансовом секторе. Об этом эксперты лаборатории заявляли как в исследовании за 2021 год так и за 2022 год. Например, по их данным, банки региона находятся в первой десятке рейтинга самых уязвимых по атакам Malware (программа для несанкционированного доступа к ресурсам или к хранящимся данным). Comparitech, цитируя лабораторию, приводит более детальные данные по уязвимости Таджикистана в секторе кибербезопасности. Таджикистан лидирует в рейтинге самых подверженных атакам вредоносным ПО и фишингами среди 75 стран. DoS, DDoS или по другому атака ботнетами являются типами атак, которые вызывают «отказ в обслуживании». По сути, это попытка причинить вред, сделав недоступной целевую систему посредством перегрузки работы системы для обычных конечных пользователей. Например, мишенями могут быть веб-сайт или приложение. Как правило такие атаки совершаются с целью вымогательства, или могут быть ширмой для более крупной атаки важных серверов. Причинами также могут быть нездоровая конкуренция или баловство начинающих хакеров. Атаку используют также и в политических вопросах. Прецедентами могут служить хакерские атаки во время конфликта России и Украины. Инструментами DoS и DDoS атаки являются компьютеры заражённые вирусами, например, посредством пиратского ПО Windows Причиной уязвимостей на (D)DoS атаки со стороны банков может быть слабая конструкция самих реквизитов, уязвимый firewall и/ или фильтрация трафика электронных площадок. При этом, Национальный банк Таджикистана старается контролировать данные процессы опираясь на международные протоколы безопасности, такие как ISO/IEC 27001 и COBIT. Еще одним инструментом контролирующим систему безопасности электронного банкинга, являются и стандарты AppStore и Playmarket для приложений, которые выдвигают свои требования и которые включают в себя протоколы обработки данных пользователей и их безопасность. Согласно их стандартам, политика безопасности и конфиденциальности должна быть обязательной для всех приложений размещающихся на этих площадках и доступны пользователям для ознакомления. Но зачастую они замещаются на входной странице пользовательской офертой. Казалось бы данные требования должны обеспечивать безопасность, в случае возникновения инцидентов, и если все-таки утечка произойдет, сложно сказать, что банк с юридической точки зрения обеспечит безопасность своим пользователям. Специалисты по ИБ утверждают, что в Таджикистане организации экономят на ресурсах для отделов ИБ, которым необходимы финансы для приобретения лицензий разных видов ПО. В этой связи, по их мнению, сейчас полноценная система управления ИБ отсутствует во многих банках страны. Например, автору известен один популярный банк в Таджикистане, который вообще не имеет никаких средств защиты информации, кроме антивируса. Дополнительной проблемой является и неосведомленность сотрудников по вопросам ИБ - по данным исследования Касперского, большинство (80%) успешных фишинговых и хакерских атак происходит в результате утечки данных внутри компании. Информационная неграмотность потребителей банков На низком уровне находится информационная грамотность потребителей банковских услуг. Подтверждением могут служить инциденты с держателями электронных реквизитов Dushanbe City. За последнее время в социальных сетях пользователи не раз жаловались на попытки фишинга. Были случаи подделки кассы электронной оплаты "Спитаментбанка" и российской логистической системы СДЭК. Жертвами данных махинаций были владельцы домов, машин и других вещей на продажу, которые выставлялись на площадке somon.tj. Об объемах потерянных средств и жертвах хакеров не известно. Ситуацию с клиентами DC, которые "теряли" деньги на своих картах и кошельках, сотрудники банка прокомментировали как: «Деньги крадут с карты/кошелька по невнимательности самого клиента. Клиент сообщает мошенникам либо CVV код, либо отправляет код для входа в приложение. Очень часто родные и близкие самих клиентов пользуются невнимательностью держателя карты и также крадут деньги с карты». Как можно урегулировать данную ситуацию? Для того чтобы защитить сайты и приложения от атак, которые пытаются использовать уязвимость или подделать трафик межсайтовых запросов, можно улучшить качество фильтрации файрволла, настроив вход в систему под зону обслуживания конкретного банка. Это как минимум сократит зараженный трафик, исходящий от неожиданных IP-адресов, то есть из регионов и стран откуда совершается вход. Но для этого необходимо получить поддержку непосредственных специалистов для изучения характеристик трафика и создания индивидуальной защиты. Необходим протоколизированный контроль процессов банковских учреждений со стороны правительства и Нацбанка. На данный момент есть позитивные примеры контроля со стороны упомянутых учреждений в странах Центральной Азии. В Узбекистане ввели такую систему еще в 2006 году. Аналогичные документ были изданы правительствами Казахстана и Кыргызстана. Заметим, что в частных беседах сотрудники Министерства промышленности Таджикистана рассказали автору, что работают над разработкой документа, который мог бы контролировать процесс обеспечения безопасности информации, как органов власти и учреждений, так и физических лиц. Разработать положение Нацбанка для обеспечения информационной безопасности, в котором будут установлены минимальные требования для операторов платежных систем и поставщиков платежных услуг в платежных системах. Этот документ должен преследовать следующие цели: - определение необходимых задач по обеспечению информационной безопасности информационных систем; - разъяснение требований к операторам, необходимых для обеспечения информационной безопасности при вводе, обмене, обработке и хранении платежной информации в платежных системах; - предотвращение несанкционированных изменений, утечек информации и других отрицательных воздействий на операторов платежных систем и поставщиков платежных услуг; Данный документ может служить для разработки внутренних правил по обеспечению информационной безопасности. В банках есть определенные структуры, которые являются наиболее критичными в плане обеспечения информационной безопасности. Можно сделать сегментации сети и применять наиболее жесткие меры ИБ именно для таких структур. Также нужно работать над повышением уровня компетентности сотрудников банков. Одновременно нужно запускать долгосрочные компании по повышению информационной грамотности потребителей банковских услуг.