Антон Казанцев, Дмитрий Круглов, Точка Банк: Приоритет должен быть не в скорости, а в безопасности

Финтех-компании все чаще сталкиваются с усилением требований со стороны регуляторов, усложнением угроз, что заставляет постоянно пересматривать подходы к кибербезопасности. Участникам рынка приходится оперативно усиливать защиту КИИ, справляться с дефицитом кадров и удерживать баланс между безопасностью, скоростью разработки и удобством для клиента. В интервью Cyber Media представители Точка Банк — CISO Антон Казанцев и CTO Дмитрий Круглов — рассказали о новых вызовах в отрасли, внутренней культуре безопасности, принципе приоритета защиты над скоростью, своих подходах к разработке решений, а также принципах подбора кадров.

Cyber Media: Какие ключевые вызовы в области информационной безопасности стоят перед крупными банками сегодня? В частности перед «Точкой»?

Антон Казанцев: Во-первых, это четкое и строгое соблюдение регуляторных требований. За последний год появилось много новых законов, особенно, в части работы с персональными данными; а Минцифры, например, активно способствует импортозамещению. Нам необходимо перейти на отечественное ПО, но на рынке зачастую пока нет полноценных решений, которые могли бы на том же уровне заменить иностранные аналоги. Если иностранные вендоры разрабатывали такие решения 20–30 лет, то наши компании в лучшем случае занимаются этим еще 1–2 года. Банки ждут от них уровня мировых лидеров, но пока до этого далеко.

Еще один важный тренд — это атаки на банки через третьи стороны, когда подрядчику дается ограниченный доступ, но через него злоумышленники проникают в систему. Подрядчики, как правило, защищены хуже, чем банки. И это сейчас одна из главных уязвимостей.

Дмитрий Круглов: Мы смотрим на ситуацию с двух сторон. Антон — со стороны информационной безопасности, я — со стороны разработки и сопровождения решений. Угрозы действительно растут очень быстро, потому что у мошенников развивается инструментарий. Сложно предполагать, что будет дальше с учетом развития искусственного интеллекта. Уже сейчас видео- и голосовые фейки позволяют мошенникам создавать полных цифровых двойников. Более того, каждый метод проверки личности, который создается, часто уже через несколько месяцев обходится новой нейросетью.

Антон Казанцев: Есть еще и классические угрозы — фродовые операции без согласия клиента. Раньше мошенники сами заходили в интернет-банк клиента и переводили деньги, но мы научились это отслеживать. Затем схема поменялась: мошенники прямо заставляют клиентов своими руками переводить средства. Отличить действия клиента, совершенные добровольно, от действий под давлением, гораздо сложнее. Это требует еще более актуализированных подходов. 

«Подрядчики, как правило, защищены хуже, чем банки. И это сейчас одна из главных уязвимостей»

Cyber Media: С какими типами киберугроз вы, как крупный банк, сталкиваетесь чаще всего?

Дмитрий Круглов: Я бы выделил, фишинговые атаки на сотрудников. Сейчас во многих компаниях коммуникация вышла за пределы корпоративных систем. Это облегчает злоумышленникам создание правдоподобных профилей сотрудников. Поэтому, для нас как никогда важно постоянно обучать себя и сотрудников: объяснять, как распознать фейковые аккаунты и подозрительные запросы. Такая проактивная образовательная деятельность очень помогает предотвращать противоправные действия.

Cyber Media: А как у вас выстроена система информационной безопасности на уровне стратегии?

Антон Казанцев: У нас есть определенные подходы к выстраиванию системы информационной безопасности. В первую очередь — это бизнес‑ориентированный подход. Мы не запрещаем бизнесу что-то делать, но стараемся направлять его. То есть, мы даем бизнесу возможность делать то, что он хочет, но реализуем это безопасно, чтобы и сама компания продолжала существовать, чтобы никакие угрозы или небезопасные сценарии не были реализованы. Важно еще, чтобы и клиенты, которые пользуются продуктами «Точки», тоже были защищены. И в принципе, чтобы сама компания и ее сотрудники тоже чувствовали себя в безопасности.

Дмитрий Круглов: Недавно мы пошли по пути известного правила Парето — 80 на 20. Стараемся определять в архитектуре ключевые точки, которые должны быть на порядок более защищенными. И во всех процессах разработки или внесения изменений в эти системы мы предельно аккуратны, потому что эти изменения сопровождаются большим количеством рисков. Мы выявили такие места — это mission critical системы. И там мы стремимся применять все лучшие мировые практики, даже в ущерб скорости разработки. Потому что цена ошибки настолько высока, что приоритет всегда на качестве и безопасности, а не на скорости. Это так называемый платформенный подход.

«Проактивная образовательная деятельность очень помогает предотвращать противоправные действия»

Cyber Media: Разрабатываете ли вы собственные ИБ-решения?

Антон Казанцев: Если мы говорим про классические наложенные средства защиты информации, то мы их не разрабатываем, потому что это не наш профиль. Единственное решение по защите информации, которое мы разработали сами, это — система противодействия мошенничеству (антифрод-система), однако это не средство защиты в классическом понимании.

Мы разрабатываем продукты и сервисы для клиентов, которые в своем составе имеют встроенные механизмы защиты. Это неотъемлемые компоненты системы, без которых продукт не может выйти на рынок. Например, такой системой является «Точка ID» — сервис идентификации и аутентификации пользователей, встроенный в экосистему сервисов Точка Банк. Также у нас есть несколько сервисов обеспечения информационной безопасности, которые мы используем исключительно внутри компании. Например, IAM-система для инвентаризации и контроля доступов. Мы написали ее самостоятельно, потому что тяжело найти и внедрить внешнюю систему, основанную на протоколах и подходах, которые в нашей инфраструктуре просто не используются.

Cyber Media: Ощущаете ли вы проблему дефицита квалифицированных кадров в кибербезопасности? И если да, то, как вы привлекаете специалистов?

Дмитрий Круглов: У нас высокие требования и к хардам, и к софтам, и мы понимаем, что это сильно усложняет поиск идеального кандидата. Поэтому мы всегда определяем важные для нас критерии и ищем специалистов, которые четко соответствуют им. Однако, мы можем замечать, что по другим навыкам, которые не критичны здесь и сейчас, кандидат может обладать потенциалом развития. И мы даем ему такую возможность: нанимаем, и дальше уже этот специалист развивается благодаря испытательному сроку и плану развития на следующие шесть месяцев. Поэтому, если мы видим в человеке потенциал, но он не досконально соответствует нашим ожиданиям — это не всегда будет проблема.

Еще один момент: мы остаемся приверженцами концепции Work from Anywhere. Сейчас это особенно ценно, потому что многие крупные компании стремятся вернуть сотрудников обратно в офис. Мы же считаем, что наши процессы достаточно зрелые, чтобы сохранять возможность удаленной работы. Для тех, кому комфортнее работать из офиса — пожалуйста, в крупных городах у нас есть офисы. Но если кому-то нравится работать из дома или менять локации — это тоже нормально. И на фоне обратного тренда на рынке (возврата в офисы) это, на мой взгляд, большой плюс для кандидатов. Тут мы точно в топе банков по привлекательности для инженеров.

«Сейчас кандидаты в основном спрашивают про другое»

Антон Казанцев: Если в отрасли рынок кандидатов и так всегда был небольшим, то в последние два года он стал еще меньше. Наша компания развивается, банк расширяется, и мы, соответственно, ищем новых специалистов, которые могли бы нас усилить в тех или иных направлениях. Практически все современные компании предлагают кандидату одинаковые «плюшки»: ДМС, льготную ипотеку, кофе, печеньки, удаленку, наставничество. Это не то, чем можно завлечь, а база. Сейчас кандидаты в основном спрашивают про другое: «А как у вас устроено взаимодействие? Как построена культура?» Мы рассказываем, как у нас выстроена корпоративная культура и процессы: про горизонтальную архитектуру, как у нас делаются проекты, как решаются задачи, как мы ведем внутреннюю коммуникацию. Это их реально интригует. У меня есть главный аргумент, который я всегда привожу: если нужно получить какую-то информацию от смежного подразделения или нужно, чтобы смежное подразделение что-то сделало, не нужно писать начальнику, чтобы он написал другому начальнику, чтобы тот через вертикаль спустил задачу вниз. Человек просто идет напрямую к исполнителю – договорились и сделали.

Cyber Media: Как думаете, удастся ли сохранить такую горизонтальную систему в будущем?

Антон Казанцев: Думаю, да. У нас уже достаточно много сотрудников в компании. Конечно, мы понимаем, что с ростом, замедление и усложнение коммуникаций все-таки происходит. Понимая, что такая проблема есть, мы работаем над тем, чтобы она не усиливалась. Есть отдельные проекты, которые призваны не допустить скатывания в бюрократию.

Cyber Media: Как вы оцениваете текущий уровень защищенности финансового сектора в России?

Антон Казанцев: Достойному уровню информационной безопасности в нашей стране во многом способствует регулятор, который не только формулирует стандарты и требования, но и сам проверяет их исполнение. Реализация этих требований — база, на которой должна быть построена продвинутая финансовая организация. Такое внимание к деталям со стороны регулятора повышает общий уровень информационной безопасности в стране. В других странах также есть множество стандартов и фреймворков (nist, sans, семейство iso 27ххх, PCI SSC и др.), однако там их исполнение в большинстве случаев — носит рекомендательный характер.