Крис Скиннер - Цифровой банк [Как создать цифровой банк или стать им] [litres]

Чжэн использовал для прикрытия сделки, чтобы высвободить всю разрушительную силу червя. Сначала делается запрос котировки через Goldman Sachs. Далее происходит исполнение заявки. Затем совершенная сделка пройдет клиринг в DTCC. На этом этапе червь будет высвобожден и начнет проникновение в каждую сделку в клиринговой системе.

Это кажется невероятным, но прежде чем все обнаружится, все сделки на фондовых площадках США – не только на NYSE, но и на NASDAQ и других – будут сорваны и потенциально станут недействительными, поскольку DTCC осуществляет расчеты по всем сделкам с акциями и деривативами в Соединенных Штатах. Червь должен обрушить всю систему торговли. Таков был замысел, и Чжэн полагал, что он его воплотил.

Задача не была слишком сложной, поскольку Чжэн не атаковал напрямую ни биржу, ни клиринговую компанию – только Goldman Sachs. А это стало возможным после того, как Чжэн нашел союзника – Сергея Алиенко, который в 2010 году был обвинен в краже информации о торговой платформе Goldman Sachs. В 2012 году обвинения сняли, а суд так и не узнал о том, что Чжэн и его работодатели заплатили Сергею 10 млн долларов за информацию, которой им не хватало.

На самом деле Сергей не крал секретов у Goldman Sachs. Он оставил лазейку в торговой платформе банка, которая позволила Чжэну внедрить червя в систему. Спасибо тебе, Сергей.

Чжэн нажал Enter и затаил дыхание. Червь был в пути. Достигнет ли он своей цели?

Настоящим вызовом для банковской системы является необходимость, с одной стороны, защитить свои брандмауэры от атак хактивистов, кибершпионажа и киберкриминала, а с другой – предоставить простой доступ к интернет-банкингу своим клиентам. Это настоящая дилемма.

С одной стороны, всем нужен мобильный доступ к своим счетам и платежам, а с другой – никто не желает болезненных потерь из-за недостаточной защиты этих счетов. Очевидно, что информационная безопасность банка имеет две узловые точки:

• защита банковской информации от атак;

• удобный доступ к банковской информации для клиентов, когда им это необходимо.

Что касается первого пункта, то хактивизм не является здесь проблемой. Массированная DDoS-атака со стороны анонимного сообщества может вызывать беспокойство, но вывод из строя сайта не означает вывода из строя системы в целом. MasterCard и Visa продемонстрировали это во время недавних атак Anonymous. Взлом сайта – это скорее неудобство, чем проблема.

Тем не менее намеренный взлом – это реальная угроза, и банки далеко не всегда могут отреагировать на нее должным образом. В 2011 году хакеры получили доступ к клиентским данным Citibank, что привело к потере как минимум 2,7 млн долларов у 3400 клиентов. Это не слишком большая проблема, и с ней можно справиться, но она говорит о том, что уязвимость существует.

Инсайдерская угроза значительно серьезнее; сотрудники в состоянии заработать миллионы, продавая доступ к банковской информации. Подобный случай произошел в 2011 году в The Bank of America, который потерял 10 млн долларов по вине своего сотрудника, передававшего данные аккаунтов группе, специализировавшейся на воровстве персональных данных. Масштаб инцидента не слишком внушительный, но, когда появляется трещина в защите, она очень быстро грозит перерасти в расщелину, каньон или пропасть.

Случай в Sumitomo Bank прекрасно иллюстрирует это. Банк потерял почти 350 млн долларов из-за мошенничества с применением клавиатурного шпиона [93]. Вы, наверное, думаете, что банк принял надлежащие меры после столь серьезного предупреждения? Нет. В мае 2012 года тот же самый банк был оштрафован Управлением по финансовому регулированию и надзору Великобритании [94]на 3,5 млн фунтов стерлингов за серьезные просчеты в управлении своей IT-инфраструктурой.

Тем не менее банки осуществляют хранение, передачу и анализ данных. По крайней мере должны это делать. Это означает, что способы, которыми они защищают свои данные от внешних посягательств, должны включать: брандмауэры, безопасную регистрацию, двойную идентификацию с возможностью определения местоположения, отслеживание бизнес-событий в реальном времени и многое другое. Я имею в виду, что банкам нужно двигаться в направлении отслеживания и анализа своих информационных потоков в реальном времени, что позволит им своевременно получать сигналы о проблемах в системах безопасности. В конце концов большинство банков понимают, что им не избежать прорывов систем защиты. Они знают, что это случится. Вопрос в том, как реагировать и насколько быстро. Это ключевой момент.

Комплексный мониторинг событий в потоке бизнес-данных и оповещение в режиме реального времени о проблемах – важная точка приложения усилий. Способность банка держать руку на пульсе своего глобального потока транзакций является ключевым механизмом противодействия внутренним и внешним угрозам. И если онлайн-мониторинг бизнес-процессов помогает решить первую проблему – внешнего или внутреннего взлома системы безопасности, – то как быть со вторым вопросом? С обеспечением простого доступа для клиентов? Ответ кажется простым, но многие по-прежнему не справляются с этим.

Я был поражен, прочитав, что четверть всех мобильных банковских приложений от ведущих мировых банков: Wells Fargo, PayPal, CHASE и других – не отвечают основным нормам безопасности [95]. Независимо от того, достоверна ли эта информация, очевидно, что сегодня мобильная безопасность имеет изъяны, хотя, казалось бы, мобильный банкинг должен быть более безопасным, чем интернет-банкинг. Ведь мобильный телефон сам по себе с его уникальным номером, способностью получения одноразовых паролей через SMS и даже возможностью геолокации клиента является удобным идентификационным ключом. Клиенты всегда будут держать свой мобильный телефон при себе (или знать, где он находится), в отличие от кошелька или кредитной карты, и достаточно быстро смогут обнаружить, что он потерян или украден.

На самом деле, чем больше я думаю о мобильном телефоне как средстве аутентификации, тем более он кажется привлекательным. Во-первых, можно определить местоположение клиента посредством геолокации. Существуют различные способы сделать это, используя сотовые вышки; таким образом, появляется независимый механизм проверки наличия у клиента при себе телефона. Подобного рода инструменты уже применяются для определения того, что у банкомата находится именно клиент.

Во-вторых, можно удостовериться, что это клиент, отправив ему одноразовый пароль через SMS. Этот интерактивный процесс обмена одноразовыми паролями, используемый многими банками, позволяет организовать дополнительный, второй уровень идентификации.