06.04.2012

Несколько слов про "испарение"

CIO, № 3, 2012<br>
Статья Сергея Котова, эксперта по информационной безопасности компании "Аладдин Р.Д."

Деньги появились как инструмент, позволяющий оптимизировать процесс обмена ценностями. Безналичные расчеты возникли как развитие этих технологий. Еще более ускорился и удешевился процесс обмена, были исключены некоторые риски (как минимум экономились средства на транспортных расходах и физической охране). И вполне закономерно (так всегда бывает при появлении новых технологий), что появились новые риски.

Хищение, как и любая деятельность, может быть сведено к набору технологических операций, то есть к технологическому процессу. Естественно при этом стремиться к его оптимизации. Деньги похищают вовсе не потому, что их где-то (например, в банках) много, а потому, что это технологичнее: исключаются некоторые стадии техпроцесса&— например, оценка и реализация похищенного. Электронные деньги похищать еще технологичнее (не нужно организовывать отслеживания путей перемещения, добывать оружие и транспортные средства, нет номеров на купюрах) и по крайней мере пока менее рискованно. Проблема не так молода, как представляется автору (вспомним фальшивые авизо), и устареет еще не скоро. Будут меняться технологии, но она останется. Что касается ДБО сегодня, спору нет, на практике клиентская часть обычно оказывается защищена хуже банковской, но вызвано это вовсе не технологическими причинами. В принципе, существуют необходимые технологии, и на рынке предлагаются технические и программные средства, позволяющие качественно защитить клиентскую часть даже от таких атак, как подмена документа. Например, не сложно приобрести средства двухфакторной аутентификации (токен или смарт-карту с неизвлекаемым ключом). Одно это уже позволит избежать 70% атак. Вкупе с устройствами визуализации подписываемого документа и другими средствами, такими как терминалы и рабочие станции с доверенной загрузкой, будет отражено еще 29,9% атак. Между тем уже появились вполне серьезные решения и для мобильных устройств (например, MicroSD-карты с полным функционалом токена). Есть, как всегда, несколько «но».

Во-первых, эти технологии должны поддерживаться на стороне банка. Именно банк и должен предлагать клиенту современные средства безопасности, если для него небезразличны имиджевые и прочие риски, возникающие при внедрении технологий ДБО. Причем на выбор клиенту необходимо предоставлять средства разного уровня с адекватными комментариями по поводу каждого из них. В этом случае у банка появляется моральное право ответить на претензии клиента по поводу хищений с его счета через систему ДБО: «Извините, уважаемый клиент, вы не использовали адекватные рискам средства защиты». Во-вторых, от клиента требуется осознание рисков и стоимости комплекса средств защиты: она должна быть для него приемлемой. Клиенту необходимо самостоятельно и осознанно выбирать, чем и в какой ситуации пользоваться, и помнить, что безопасность бесплатной не бывает.