«Информационное агентство»

    Враг внутри: кто в банках больше всех угрожает безопасности - «Финансы»


    Враг внутри: кто в банках больше всех угрожает безопасности - «Финансы»



    Я больше семи лет работал в банке в должности начальника отдела безопасности. И за это время успел составить свою карту угроз со стороны сотрудников. Итак, кто самый опасный для банка... в банке?


    Руководители: времени мало, а дел по горло


    Они самые опасные. Потому что у них нет времени на безопасность. И так в любой сфере, не только в банках. Менеджеры осознают важность нашего дела в масштабах бизнеса, но на практике игнорируют правила безопасности. Например, не глядя соглашаются на настройки приватности по умолчанию. Или используют слабые пароли. Я знал директора, который всегда использовал один и тот же пароль, а когда его нужно было изменить, менял лишь последнюю цифру. Их можно понять: времени мало, а дел по горло.


    Все усугубляется тем, что руководители имеют доступ самого высокого уровня ко всем ресурсам компании. Даже если шеф не использует специальных корпоративных сервисов и не обращается к базам данных, он получает самую важную выдержку из информации, подвергнутой аналитике. И получить доступ к ней мошенникам зачастую интереснее, чем к самой базе. Взять хотя бы стратегию развития и планы компании: это ценность другого порядка, так что директор — по умолчанию мишень.


    И последний аспект — мобильность. Сейчас менеджеры все реже работают стационарно из офиса. Они постоянно в разъездах и используют гаджеты. На этих устройствах много конфиденциальной информации, а руководители часто пренебрегают паролями и блокировкой. В конце концов, девайс можно забыть в зале ожидания в аэропорту. И до того, как служба безопасности узнает об этом и предпримет хоть что-то, информация успеет утечь в ненужные руки.


    Что остается службе безопасности в работе с руководителем? Стараться наладить с ним контакт и пытаться донести до него важность соблюдения правил. Это сложно, долго и не всегда удается, но необходимо.


    IT-специалисты: файл-бомба с отложенным запуском


    У них в рейтинге опасности второе место. Критичность в том, что под управлением этих людей находится вся корпоративная инфраструктура. Технические специалисты в вопросах безопасности понимают больше других, но и они могут ошибиться или стать жертвой манипуляции. И цена такой ошибки будет больше, чем инцидент по вине линейного сотрудника.


    В моей практике самой частой причиной проблем с IT-специалистами была банальная халатность: забыл обновить систему или заблокировать учетную запись после увольнения сотрудника. Иногда такие ошибки обходятся дорого. Хотя человеческий фактор тоже никто не отменял: бывали случаи, когда системные администраторы злоупотребляли правами намеренно.


    Системный администратор уволился после отказа в повышении. Но ушел не просто так, а решил отомстить: оставил в корпоративной инфраструктуре файл-бомбу — программу с отложенным запуском

    Таким кейсом делился наш клиент. Их системный администратор уволился после отказа в повышении. Но ушел не просто так, а решил отомстить: оставил в корпоративной инфраструктуре файл-бомбу — программу с отложенным запуском. Она активировалась через две недели после увольнения специалиста и стерла конфигурации сетевого оборудования. В результате работа встала: сотрудники не могли отправить и получить письма, зайти в Интернет, а звонки sales-менеджерам переадресовывались директору. На восстановление системы ушел месяц. И пришлось бы потратить еще больше, если бы не файлы для восстановления.


    Еще один нюанс работы с IT-специалистами: их главная задача — чтобы сервисы работали и были доступными. А эти принципы зачастую идут вразрез с мерами безопасности. Так что подразделениям стоит вести диалог — это в интересах бизнеса.


    Как минимизировать риски в работе с IT-специалистами? Оценивайте не только их профессиональные компетенции: берите в расчет надежность и следите за лояльностью. Делайте так при найме сотрудников и в рамках текущей работы. Это принципиально, потому что хороший IT-специалист, если захочет, всегда найдет способ обойти технические средства контроля. Это издержки, так что риски нужно принять и нивелировать другими методами. Использовать специальные инструменты обеспечения безопасности, конечно, нужно. Но параллельно обязательно налаживать взаимоотношения и контролировать человеческий фактор.


    Сотрудники бэк-офиса: их электронные адреса — точка входа для мошенников


    У них третье место. Речь о тех сотрудниках, кто обрабатывает поступившие заявки на выписки со счетов и другие операции, а также тех, кто обслуживает различные банковские сервисы и ведет переписку с клиентами, контрагентами и другими сторонами. Их электронные адреса могут стать точкой входа для мошенников извне.


    Например, приходит в бухгалтерию письмо из налоговой инспекции — и бухгалтер волнуется, открывает и внимательно читает. Отправитель — мошенник, который создал почту, похожую на действительный адрес инспекции, и вложил в письмо вирус. Программа-шпион сама установится на компьютер бухгалтера и будет собирать закрытую информацию. Это один из возможных вариантов.


    Фишинг, спуфинг и социальная инженерия — самые популярные из внешних атак, с которыми сегодня приходится бороться финансовым организациям. Со стороны атакующих это самый простой и дешевый способ, так что банкам придется противостоять подобным атакам. А для этого надо работать в трех направлениях. Прежде всего — повышать ИБ-грамотность персонала, чтобы сократить число инцидентов по причине халатности или незнания базовых правил информационной безопасности. Далее — принять технические меры: внедрить DLP (системы против утечек информации и действий инсайдера) и SIEM (системы контроля событий в IT-инфраструктуре). С этими инструментами организация сможет отслеживать нарушения политик безопасности в реальном времени и пресекать их.


    И наконец, служба безопасности должна логировать все действия персонала, чтобы иметь возможность расследовать любые нарушения, устанавливать всех причастных и обстоятельства.


    Операционисты: заработать хочется, а зарплата маленькая


    Люди на хороших должностях гораздо реже готовы рисковать местом ради одноразовой выгоды в 50—60 тыс. рублей

    Четвертое место в нашем рейтинге. Не кассиры, но те, кто обслуживает клиентов банка в операционном зале по вопросам вкладов, лизинга, кредитования и проч. Это сотрудники с достаточным уровнем доступа к закрытой информации и сравнительно невысокими зарплатами. Момент важный, поскольку заработать сверх положенного не прочь многие, и предложения есть: например, банковские карты и базы данных пользуются огромным спросом на черном рынке. Но люди на хороших должностях гораздо реже готовы рисковать местом ради одноразовой выгоды в 50—60 тыс. рублей.


    Кстати, видеосъемка в операционных залах не панацея. Камера фиксирует нарушения, но чтобы подробно изучить шесть часов видео, нужно примерно 12 часов работы специалиста. И это делают только в случае, если есть подозрения, собранные другим путем. Например, жалобы или несостыковки в бумагах.


    И наконец — будем реалистами — через операционные залы проходит огромный поток клиентов. Так что нарушение регламента из-за банальной усталости тоже частая практика. Я недавно обращался в банк — пришлось полчаса отвечать на вопросы для идентификации личности. А в следующий раз операционист настолько бегло проверила паспорт, что протягивать его мог почти кто угодно. Или вот еще: работник выгрузил из базы данных движения по счетам десяти предпринимателей, вставил в тело письма и разослал — бизнесмены оценили успехи друг друга. И ведь специалист был хороший, но банковскую тайну нарушил.


    Чтобы минимизировать подобные риски, следует хорошо проработать политики безопасности по основным видам чувствительных данных, с которыми работают операционисты. Это прежде всего клиентские базы, данные банковских карт, информация о трансакциях.


    С помощью систем против утечек данных можно отслеживать все операции с этой информацией. Программы могут «запоминать» документы и сравнивать с ними весь поток информации в банке или распознавать скан-копии паспортов и карт. Возможностей поиска очень много, и чем детальнее программа будет понимать регламент, тем эффективнее будет оповещать о подозрительных действиях сотрудников.









    Другие новости
    загрузка...


Лента Новостей
«17 август»  Госзаказ онлайн

Смотреть все   «Все Новости Банков»

Курс валют ЦБ РФ31.08.2015
USD Курс Доллара00.00000.000
EURКурс Евро00.00000.000
GBPКурс Фунта00.00000.000
BYRКурс белорусского рубля00.00000.000
UAHКурс гривны00.00000.000
BrentНефть00.00000.000
Конвертер валют
Центрального банка РФ
RUBКурс валют
USDКурс валют
EURКурс валют
GBPКурс валют
BYRКурс валют
UAHКурс валют


Фото новости

Новости Банков Сегодня
«Московский Индустриальный Банк»  «Мособлбанк»  «Банк Санкт-Петербург»  «Промсвязьбанк»  «Новикомбанк»  «СМП Банк»  «Внешпромбанк»  «Банк Югра»  «Банк ГЛОБЭКС»  «Совкомбанк»  «ТРАСТ»  «Газпромбанк»  «Московский кредитный банк»  «Абсолют Банк»  «Банк Возрождение»  АО «Кредит Европа Банк»  «Татфондбанк»  «Российский Капитал»  «Национальный Клиринговый Центр»  «ФК Открытие»  «Запсибкомбанк»  «РосЕвроБанк»  «Пресс-служба ВТБ24»  «Автоградбанк»  «Промрегионбанк» 





ДОБАВИТЬ БАННЕР

Враг внутри: кто в банках больше всех угрожает безопасности - «Финансы»


Враг внутри: кто в банках больше всех угрожает безопасности - «Финансы»



Я больше семи лет работал в банке в должности начальника отдела безопасности. И за это время успел составить свою карту угроз со стороны сотрудников. Итак, кто самый опасный для банка... в банке?


Руководители: времени мало, а дел по горло


Они самые опасные. Потому что у них нет времени на безопасность. И так в любой сфере, не только в банках. Менеджеры осознают важность нашего дела в масштабах бизнеса, но на практике игнорируют правила безопасности. Например, не глядя соглашаются на настройки приватности по умолчанию. Или используют слабые пароли. Я знал директора, который всегда использовал один и тот же пароль, а когда его нужно было изменить, менял лишь последнюю цифру. Их можно понять: времени мало, а дел по горло.


Все усугубляется тем, что руководители имеют доступ самого высокого уровня ко всем ресурсам компании. Даже если шеф не использует специальных корпоративных сервисов и не обращается к базам данных, он получает самую важную выдержку из информации, подвергнутой аналитике. И получить доступ к ней мошенникам зачастую интереснее, чем к самой базе. Взять хотя бы стратегию развития и планы компании: это ценность другого порядка, так что директор — по умолчанию мишень.


И последний аспект — мобильность. Сейчас менеджеры все реже работают стационарно из офиса. Они постоянно в разъездах и используют гаджеты. На этих устройствах много конфиденциальной информации, а руководители часто пренебрегают паролями и блокировкой. В конце концов, девайс можно забыть в зале ожидания в аэропорту. И до того, как служба безопасности узнает об этом и предпримет хоть что-то, информация успеет утечь в ненужные руки.


Что остается службе безопасности в работе с руководителем? Стараться наладить с ним контакт и пытаться донести до него важность соблюдения правил. Это сложно, долго и не всегда удается, но необходимо.


IT-специалисты: файл-бомба с отложенным запуском


У них в рейтинге опасности второе место. Критичность в том, что под управлением этих людей находится вся корпоративная инфраструктура. Технические специалисты в вопросах безопасности понимают больше других, но и они могут ошибиться или стать жертвой манипуляции. И цена такой ошибки будет больше, чем инцидент по вине линейного сотрудника.


В моей практике самой частой причиной проблем с IT-специалистами была банальная халатность: забыл обновить систему или заблокировать учетную запись после увольнения сотрудника. Иногда такие ошибки обходятся дорого. Хотя человеческий фактор тоже никто не отменял: бывали случаи, когда системные администраторы злоупотребляли правами намеренно.


Системный администратор уволился после отказа в повышении. Но ушел не просто так, а решил отомстить: оставил в корпоративной инфраструктуре файл-бомбу — программу с отложенным запуском

Таким кейсом делился наш клиент. Их системный администратор уволился после отказа в повышении. Но ушел не просто так, а решил отомстить: оставил в корпоративной инфраструктуре файл-бомбу — программу с отложенным запуском. Она активировалась через две недели после увольнения специалиста и стерла конфигурации сетевого оборудования. В результате работа встала: сотрудники не могли отправить и получить письма, зайти в Интернет, а звонки sales-менеджерам переадресовывались директору. На восстановление системы ушел месяц. И пришлось бы потратить еще больше, если бы не файлы для восстановления.


Еще один нюанс работы с IT-специалистами: их главная задача — чтобы сервисы работали и были доступными. А эти принципы зачастую идут вразрез с мерами безопасности. Так что подразделениям стоит вести диалог — это в интересах бизнеса.


Как минимизировать риски в работе с IT-специалистами? Оценивайте не только их профессиональные компетенции: берите в расчет надежность и следите за лояльностью. Делайте так при найме сотрудников и в рамках текущей работы. Это принципиально, потому что хороший IT-специалист, если захочет, всегда найдет способ обойти технические средства контроля. Это издержки, так что риски нужно принять и нивелировать другими методами. Использовать специальные инструменты обеспечения безопасности, конечно, нужно. Но параллельно обязательно налаживать взаимоотношения и контролировать человеческий фактор.


Сотрудники бэк-офиса: их электронные адреса — точка входа для мошенников


У них третье место. Речь о тех сотрудниках, кто обрабатывает поступившие заявки на выписки со счетов и другие операции, а также тех, кто обслуживает различные банковские сервисы и ведет переписку с клиентами, контрагентами и другими сторонами. Их электронные адреса могут стать точкой входа для мошенников извне.


Например, приходит в бухгалтерию письмо из налоговой инспекции — и бухгалтер волнуется, открывает и внимательно читает. Отправитель — мошенник, который создал почту, похожую на действительный адрес инспекции, и вложил в письмо вирус. Программа-шпион сама установится на компьютер бухгалтера и будет собирать закрытую информацию. Это один из возможных вариантов.


Фишинг, спуфинг и социальная инженерия — самые популярные из внешних атак, с которыми сегодня приходится бороться финансовым организациям. Со стороны атакующих это самый простой и дешевый способ, так что банкам придется противостоять подобным атакам. А для этого надо работать в трех направлениях. Прежде всего — повышать ИБ-грамотность персонала, чтобы сократить число инцидентов по причине халатности или незнания базовых правил информационной безопасности. Далее — принять технические меры: внедрить DLP (системы против утечек информации и действий инсайдера) и SIEM (системы контроля событий в IT-инфраструктуре). С этими инструментами организация сможет отслеживать нарушения политик безопасности в реальном времени и пресекать их.


И наконец, служба безопасности должна логировать все действия персонала, чтобы иметь возможность расследовать любые нарушения, устанавливать всех причастных и обстоятельства.


Операционисты: заработать хочется, а зарплата маленькая


Люди на хороших должностях гораздо реже готовы рисковать местом ради одноразовой выгоды в 50—60 тыс. рублей

Четвертое место в нашем рейтинге. Не кассиры, но те, кто обслуживает клиентов банка в операционном зале по вопросам вкладов, лизинга, кредитования и проч. Это сотрудники с достаточным уровнем доступа к закрытой информации и сравнительно невысокими зарплатами. Момент важный, поскольку заработать сверх положенного не прочь многие, и предложения есть: например, банковские карты и базы данных пользуются огромным спросом на черном рынке. Но люди на хороших должностях гораздо реже готовы рисковать местом ради одноразовой выгоды в 50—60 тыс. рублей.


Кстати, видеосъемка в операционных залах не панацея. Камера фиксирует нарушения, но чтобы подробно изучить шесть часов видео, нужно примерно 12 часов работы специалиста. И это делают только в случае, если есть подозрения, собранные другим путем. Например, жалобы или несостыковки в бумагах.


И наконец — будем реалистами — через операционные залы проходит огромный поток клиентов. Так что нарушение регламента из-за банальной усталости тоже частая практика. Я недавно обращался в банк — пришлось полчаса отвечать на вопросы для идентификации личности. А в следующий раз операционист настолько бегло проверила паспорт, что протягивать его мог почти кто угодно. Или вот еще: работник выгрузил из базы данных движения по счетам десяти предпринимателей, вставил в тело письма и разослал — бизнесмены оценили успехи друг друга. И ведь специалист был хороший, но банковскую тайну нарушил.


Чтобы минимизировать подобные риски, следует хорошо проработать политики безопасности по основным видам чувствительных данных, с которыми работают операционисты. Это прежде всего клиентские базы, данные банковских карт, информация о трансакциях.


С помощью систем против утечек данных можно отслеживать все операции с этой информацией. Программы могут «запоминать» документы и сравнивать с ними весь поток информации в банке или распознавать скан-копии паспортов и карт. Возможностей поиска очень много, и чем детальнее программа будет понимать регламент, тем эффективнее будет оповещать о подозрительных действиях сотрудников.









Другие новости
загрузка...