Централизованный и децентрализованный threat intelligence: конкуренция или новая архитектура рынка?

Финансовое мошенничество давно перестало быть проблемой отдельного банка. Современные схемы — от социальной инженерии до параллельных кредитных заявок — по своей природе распределены. Мошенник действует сразу в нескольких организациях, использует асимметрию информации между участниками рынка и рассчитывает на то, что каждый видит только собственный фрагмент картины информационной безопасности в финансовом секторе.

В этих условиях эффективность антифрода определяется уже не только качеством внутренних моделей, правил и расследований. Всё чаще она зависит от способности организации работать в системе коллективной защиты: получать внешний сигнал, передавать собственные события и встраивать этот обмен в реальные процессы принятия решений.

Именно поэтому в финансовом секторе сегодня одновременно усиливаются два контура. С одной стороны, развивается централизованный обмен через ФинЦЕРТ и ГИС Антифрод. С другой — сохраняется запрос на более гибкие рыночные механизмы threat intelligence для банков, в которых участники обмениваются антифрод-сигналами без избыточной централизации чувствительных данных.

На первый взгляд эти модели выглядят как конкурирующие. На практике всё чаще становится очевидно: рынок движется не к выбору между ними, а к новой гибридной архитектуре. Как ГИС Антифрод и децентрализованные системы обмена данными (формируют новую архитектуру безопасности банков: специально для Кибер Медиа расскажет Дмитрий Камагин, руководитель отдела ИБ КБ «ТехноСкор».

Централизованный и децентрализованный threat intelligence для банков: конкуренция или гибридная модель

Сильная сторона централизованных систем threat intelligence очевидна. Они задают единые правила взаимодействия, формируют общий стандарт для рынка и создают контур, в котором доверие обеспечивается институтом — регулятором, уполномоченной организацией, формализованным порядком обмена.

Для банков это особенно важно там, где требуются унифицированный формат событий, юридически значимый обмен антифрод-сигналами, понятная модель ответственности и возможность выстроить процессы в рамках регуляторных ожиданий.

Именно поэтому развитие ГИС Антифрод — не просто технологическая история про новую интеграцию. Для кредитных организаций это формирование обязательного внешнего слоя, где антифрод становится частью регуляторно значимой архитектуры.

На практике это означает, что банк должен не только выявлять подозрительные события внутри своих систем, но и быть готовым корректно формировать сигналы, передавать их во внешний контур, использовать поступающую информацию в собственных сценариях и фиксировать принятые решения для последующего разбора и контроля.

Централизованная модель решает ключевую задачу координации рынка. Она создаёт базовый уровень коллективной защиты и снижает риск того, что каждая организация будет бороться с мошенничеством в изоляции.

Но именно здесь и проходит важная граница. Централизованный обмен почти всегда развивается через регламент. Это означает, что состав сигналов, сценарии использования и логика включения данных в процессы определяются общей моделью, а не только прикладной потребностью конкретного банка. Для compliance это правильно. Для всей антифрод-задачи — не всегда достаточно.

Децентрализованный контур: полезный сигнал без накопления данных

Параллельно с обязательным централизованным слоем рынок сохраняет интерес к другому типу обмена — децентрализованному.

Его логика принципиально иная. Участники не формируют единое хранилище клиентских массивов, а обмениваются ограниченными антифрод-сигналами, агрегированными признаками или результатами вычислений. При этом контроль над исходными данными остаётся у владельца.

Для финансового сектора это не просто удобная архитектурная идея. Это способ совместить полезность обмена с требованиями по защите персональных данных и банковской тайны.

Именно поэтому в таких системах всё большее значение получают механизмы конфиденциальных вычислений — например, Private Set Intersection (PSI) и другие протоколы, позволяющие получить ответ на прикладной запрос без раскрытия исходных данных.

Практический смысл такого подхода прост: данные не концентрируются в одной точке, участник не раскрывает клиентскую базу, но получает дополнительный рыночный сигнал, который может использоваться в сценариях, близких к реальному времени.

Это не альтернатива государственному контуру в нормативном смысле. Это другой тип полезности: не единый обязательный обмен, а прикладной механизм повышения качества конкретного решения.

Почему compliance не закрывает всю задачу

Один из наиболее практичных выводов для банков сегодня состоит в том, что подключение к обязательному государственному контуру само по себе не решает всю антифрод-задачу.

Организация может быть полностью корректна с точки зрения взаимодействия с ГИС Антифрод и при этом по-прежнему сталкиваться с потерями там, где для принятия решения нужен более ранний, более гибкий или более прикладной внешний сигнал.

Хороший пример — параллельные заявки на кредит, рассрочку или BNPL-продукт. Мошенник подаёт заявки почти одновременно в несколько организаций. Каждая из них видит только свою заявку и оценивает риск на основе собственного набора данных.

В централизованном контуре хорошо работают формализованные сценарии, единые правила обмена и нормативно значимые процессы. Но вопрос «что происходит прямо сейчас по этому идентификатору у других участников рынка?» может требовать другого типа взаимодействия — более прикладного и более оперативного.

Именно здесь децентрализованный обмен способен дать банку дополнительный слой полезности: сигнал о параллельной активности, агрегированные признаки по нескольким участникам и дополнительный индикатор риска до момента выдачи средств.

Новая норма для рынка — гибридная архитектура

По мере усложнения мошеннических сценариев рынок постепенно уходит от идеи, что существует один универсальный источник истины. На практике всё больше подтверждается более зрелая модель: централизованный и децентрализованный обмен не противоречат друг другу, а решают разные задачи.

Именно поэтому для банков всё более логичной становится двухуровневая архитектура:

• централизованный слой — для обязательного обмена, единых правил и базового контура коллективной защиты;
• децентрализованный слой — для дополнительной глубины сигналов, гибкости и повышения качества конкретных решений;
• внутренняя антифрод-платформа — как точка оркестрации этих контуров.

Вопрос уже не в том, нужен ли ГИС Антифрод. Вопрос в том, как встроить его в антифрод-архитектуру так, чтобы одновременно сохранить нормативную корректность и получить реальный прикладной эффект.

Где здесь место КРАБ

КБ ТехноСкор уже несколько лет последовательно развивает проект КРАБ (криптографическая распределенная база) как рыночный децентрализованный контур обмена антифрод-сигналами между участниками финансового рынка. Его логика строится на том, что полезный обмен данными должен происходить без избыточной централизации клиентских массивов, с контролируемой моделью взаимодействия и с возможностью использовать конфиденциальные вычисления там, где это необходимо.

При этом речь не идёт о противопоставлении государственным инициативам. Напротив, по мере развития регуляторной повестки становится всё более очевидно, что зрелая антифрод-архитектура должна сочетать оба уровня.

Именно поэтому в антифрод-платформе ТехноСкор уже реализована поддержка сценариев работы с ГИС Антифрод как обязательным элементом целевой архитектуры, а проект КРАБ развивается как дополнительный рыночный слой для прикладного обмена сигналами и повышения качества решений.

Вместо вывода

Развитие threat intelligence в финансовой отрасли — это уже не спор между централизацией и децентрализацией. Это переход к новой модели рынка, в которой регулятор задаёт рамки и обязательный слой взаимодействия, рынок развивает дополнительные механизмы обмена данными, а антифрод-платформа становится не просто точкой фильтрации, а центром координации нескольких контуров.

Для банков главный вывод предельно практичен: быть compliant — обязательно, но этого уже недостаточно. Если задача состоит не только в выполнении требований, но и в реальном снижении потерь, антифрод должен строиться как гибридная система.

erid: 2SDnjbxcbvS

* Реклама, Рекламодатель ООО «КБ ТехноСкор», ИНН 7720903680