Контакты
Подписка
МЕНЮ
Контакты
Подписка

2012: борьба с фродом - в центре внимания

В рубрику "Системы" | К списку рубрик  |  К списку авторов  |  К списку публикаций

2012: борьба с фродом - в центре внимания

Прошедший год стал переломным в области фрода1. Развитие технологий и сервисов превратило мобильный телефон частного абонента в самый массовый объект атак мошенников. ОАО "МТС" удалось выработать действенные механизмы противодействия фроду и значительно снизить уровень возможного ущерба для своих клиентов
Сергей Прадедов
Заместитель вице-президента
по безопасности - директор департамента
информационной безопасности ОАО "МТС"

Мир электронных денег насытил рынок огромным количеством сервисов, которые позволяют быстро собирать эти деньги множеством способов и с разных коммуникационных устройств и платформ.

За последние 2-3 года мобильный телефон превратился, по сути, в компьютер, выполняющий множество функций, в том числе и платежных. При этом частный пользователь еще не осознал масштаба произошедших изменений и соответственно новых рисков и угроз. Разбор ситуаций, связанных с фродом, показывает: абонент зачастую вообще не думает о своей безопасности. Даже если он когда-то что-то слышал, читал, то в лучшем случае у него есть антивирус. Но он либо отключает его (мешает работать), либо забывает обновлять. Те элементарные, простейшие вещи, которые внедрены уже практически во всех компаниях (как минимум антивирус, антиспам, файрвол), у абонентов скорее экзотика. Поэтому атаковать корпорации сложно, а вот абонента - очень легко. Что делают сейчас мошенники? Генерят трафик от имени абонента, воруют с компьютеров и мобильных устройств персональные данные, коммерческую тайну, финансовую информацию. Плюс активно используется социальная инженерия. При том, что сообщения о различных формах обмана у всех на слуху, тем не менее попадаются крайне часто. И попадаются в совершенно нелепых ситуациях.

Отсутствие культуры информационной безопасности наряду с бурным развитием технологий платежей и мобильных платформ создают среду для более изощренных схем мошенничества.

Новые функции службы безопасности

Мы столкнулись с тем, что новая ситуация принуждает нас играть более активную внешнюю роль и брать на себя новые функции. Мы должны приложить усилия, чтобы наши абоненты знали о проблемах и заботились о себе и своей безопасности. Мы считаем это одной из основных своих целей.

Создан специальный сайт www.safety.mts.ru, на котором публикуются материалы о правилах поведения; о том, что нужно делать, если вы стали жертвой мошенничества; о том, какие новые виды мошенничества появились. Постарались изложить информацию простым языком, чтобы всем, даже домохозяйкам, было понятно.

Если человеку нравится красивое устройство и он готов тратить время на то, чтобы узнать, как оно работает, и научиться использовать все его разнообразные возможности. Если мы стали свидетелями революции, произведенной iPhone, когда даже домохозяйки стали покупать в iTunes программы за 1 доллар и оплачивать их кредитными картами. Если даже пожилые люди начали осваиваться в Интернете - мы вправе рассчитывать, что разобраться с настройками безопасности и установкой простейших средств защиты могут сейчас практически все. Это вопрос мотивации.

Мы, конечно, не претендуем на роль Стива Джобса. Но тоже считаем, что надо менять менталитет. Чтобы люди понимали: проблемы безопасности - это не проблемы государства или оператора. Это проблемы, которые они вполне могут решать сами. Если не все, то большинство.

Несовершенство российского законодательства

К сожалению, особенности нашего законодательства не способствуют эффективной защите абонента от мошенничества. Когда случаются атаки на крупную корпорацию, то службе безопасности довольно легко вовлечь правоохранительные органы в расследование. Может получиться весьма резонансное дело о хищении в особо крупных размерах. Тем более что в большинстве компаний уже складываются механизмы фиксации атак, сбора доказательной базы. Да и сами мошенники уже с опаской атакуют крупные компании - и системы защиты становятся все более изощренными, и сроки заключения грозят весьма большие.

А вот обворовав абонента на 30-100 руб., мошенник может чувствовать себя практически безнаказанным. Даже если абонент и обратится в правоохранительные органы, ему скорее всего откажут в возбуждении уголовного дела - раскрываемость нулевая, статистика портится. Да и ущерб таков, что уголовное дело не заведешь. В большинстве же случаев пользователи просто не замечают, что с их счета списаны такие мизерные суммы.

Вот и получается, что атаки на абонента сейчас - самый эффективный способ зарабатывания денег. С одной стороны, мало кто обратит внимание на сам факт атаки. С другой - распространение электронных денег позволяет эффективно запутывать следы, практически мгновенно совершая множество транзакций по распределению этих денег по различным счетам, электронным кошелькам, делая огромное количество мелких переводов во многие страны так, что блокировать движение этих средств становится практически невозможно. Но если умножить даже 30 руб. на десятки миллионов абонентов, то станет понятным размер дохода мошенников. Но вот в чем парадокс. Не только абонент, но и оператор не может обратиться в правоохранительные органы. Поскольку ущерба как такового у оператора нет. Есть еще множество нестыковок в законодательстве - в частности, нормы, не позволяющие нам возвращать деньги на счета абонентов до решения суда. Все они только укрепляют у мошенников ощущение безнаказанности при хищении сумм, превышающих объемы краж у корпораций.

В связи с такой ситуацией мы вынуждены были развернуть собственную систему борьбы с фродом, направленную именно на предотвращение хищений. Но считать, что система действует максимально эффективно, мы сможем только тогда, когда не только ОАО "МТС" будет заботиться о защите своих абонентов, но и сами абоненты предпримут усилия для обеспечения собственной безопасности.

Объединение усилий

Обострившаяся ситуация с распространением мошенничества в инфокоммуникационных сетях требует от участников рынка высокотехнологичных услуг совместных усилий по защите своих клиентов. В этой ситуации МТС считает, что большую пользу в борьбе с киберпреступностью может принести объединение банков и операторов связи для организации оперативного взаимодействия и создания механизмов быстрого реагирования на инциденты. Существующий сейчас уровень взаимодействия участников рынка явно недостаточен, особенно когда нужно быстро предотвратить утечку денег клиента к злоумышленникам.

Другим направлением совместной работы может стать выявление несовершенств действующего законодательства по борьбе с кибермошенничеством и разработка предложений по его изменению.

Самой важной задачей при этом является повышение осведомленности граждан об угрозах их безопасности при использовании особенно финансовых сервисах в инфокоммуникационных сетях и мерах противодействия этим угрозам.

Для реализации такого подхода к безопасности клиентов нужно будет приделать большой объем работы. Мы считаем, что объединение усилий всех заинтересованных сторон в противодействии фроду - ключевая задача. Как только, клиенты увидят активные и согласованные действия крупных компаний и государства в борьбе с мошенничеством, они задумаются и о собственной роли в обеспечении сохранности своих же денег.

Надо ли изобретать велосипед?

Совершенно очевидно, что и в организации механизмов взаимодействия, и при разработке предложений по изменению законодательства нам придется учитывать международный опыт. Более того, даже пытаться применить в России многие зарубежные нормы. Я исхожу из того, что многие наши потенциальные партнеры по ассоциации уже сейчас действуют как крупная международная корпорация, во многом ориентируясь на процедуры и нормы зарубежных коллег. Например, у МТС - большая партнерская программа с Vodafone, в рамках которой мы имеем доступ к их базе знаний. И многие из их наработок мы уже внедрили у себя. С другой стороны, мы, как международная компания, чьи акции торгуются на бирже в Нью-Йорке, должны соответствовать огромному количеству требований, применяемых к компаниям в США и во всем мире. Мы проходим ежегодный финансовый аудит, в рамках которого и информационную безопасность проверяют независимые эксперты. Кроме того, два года назад мы начали исполнять жесткие требования антикоррупционного законодательства США.

Это были сложные проекты, которые серьезно влияют на систему управления, систему принятия решений, но которые в конечном итоге формируют систему управления, схожую с любой крупной компанией в мире. И служба информационной безопасности тоже начинает работать по мировым стандартам. В частности, в области отчетности, процедур, исполнения требований по прозрачности и Compliance. Отстроив процессы управления по мировым правилам, крупные компании, конечно же, заинтересованы в том, чтобы и российское законодательство в области обеспечения безопасности все больше приближалось к международному. Ведь киберпреступность трансгранична. И борьба с ней требует постоянного взаимодействия с зарубежными коллегами.

Инвестиции в безопасность начинают приносить доход

Реализованные нашей службой масштабные проекты последних трех лет, связанные с исполнением международных требований, позволили нам создать сильную команду и хорошую технологическую базу для обеспечения информационной безопасности компании. Безопасности сейчас уделяется внимание на самом высоком уровне. Хотя бы в силу того, что ежеквартально на заседании правления заслушивается отчет о мерах по снижению ТОП-10 рисков, в числе которых и три риска информационной безопасности. Мы постоянно взаимодействуем с менеджментом компании в плане оценки рисков, выявления проблем, формирования долгосрочных стратегий. И пытаемся говорить с ними на одном бизнес-языке. И активно ищем возможность участвовать в бизнесе, чтобы часть технологий, которые мы внедряем, можно было использовать для получения компанией дополнительной прибыли.

Например, у нас уже имеются сервисы "Конфиденциальная связь", VPN для коммерческих структур. Прорабатываются идеи по формированию различных сервисов фильтрации (например, родительского интернет-контроля), распространению в пользовательском пакете антивирусных и антиспам-программ. Это будет выгодно и нам, и абоненту, так как за счет объема мы можем получить дополнительные скидки у производителей и предложить выгодные условия нашим клиентам.

Нас очень интересуют вопросы использования ЭЦП как сервиса для наших корпоративных клиентов.

Мы ищем возможности быть не только эффективными, но и полезными для бизнеса. Я горжусь тем коллективом, который сейчас работает. Мне очень интересно с этими людьми - они постоянно генерят новые идеи. А от этого, в частности, зависят и роль службы безопасности в компании, и ее взаимоотношения с бизнес-подразделениями.

Мы выстроили партнерские отношения с бизнесом компании. Мы не только эффективно тратим, но и создаем возможности для формирования новых доходов.

___________________________________________
1Фрод (от англ. fraud) – вид мошенничества в области информационных технологий, в частности несанкционированные действия и неправомочное пользование ресурсами и услугами в сетях связи.

Опубликовано: Каталог "Системы безопасности"-2013
Посещений: 14020

  Автор

Сергей Прадедов

Сергей Прадедов

Заместитель вице-президента
по безопасности - директор департамента
информационной безопасности ОАО "МТС"

Всего статей:  2

В рубрику "Системы" | К списку рубрик  |  К списку авторов  |  К списку публикаций