Андрей Конусов: «Худшие прогнозы начинают сбываться. Сокращение бюджетов в отрасли информационной безопасности — реальность»

Компания «Аванпост», которая специализируется на разработке систем управления учетными записями (Identity Management, IdM), подвела итоги 2013 года. Объявлено о впечатляющем росте оборота — с 35 млн до 108 млн руб. Впрочем, такой успех — результат реализации проекта с Федеральной налоговой службой, который был завершен к декабрю. Управлять учетными данными сотрудников ФНС продукт «Аванпост» будет во всех регионах России. Всего же компания внедрила свои технологии у 12 клиентов; пилотные проекты были развернуты в 32 организации.

За прошедший год компании удалось сформировать полноценный партнерский канал. Два интегратора, «Элвис Плюс» и «Гелиос Компьютерс», на которых пришлись основные продажи продуктов компании, получили статус платиновых партнеров. Активными продажами занимаются еще три интегратора — Softline, «Лета» и ARinteg. Всего же подписаны партнерские договоры более чем с полусотней компаний. «Аванпост» не занимается прямыми продажами, а проводит предпродажную подготовку клиентов, после чего передает их партнеру для выполнения всех операций по внедрению.

Несмотря на успехи прошедшего года, Андрей Конусов, генеральный директор «Аванпост», не очень радужно оценивает перспективы 2014 года. «Госзаказчикам сильно урезали бюджеты, — пояснил он, — а некоторым их пока просто не подтвердили». Тем не менее на 2014 год в компании запланирован рост в 35-50%, что, по мнению Конусова, весьма оптимистично для рынка информационной безопасности, который в целом вырастет не более чем на 10%.

Наиболее перспективными сегментами данного рынка в России Конусов считает решения IdM, средства обработки событий информационной безопасности (Security Information and Event Management, SIEM) и традиционные решения для сетевой безопасности. «А вот сетевые сервисы и мобильные решения стали двумя основными разочарованиями, — отметил Конусов. — О них много говорили в течение двух последних лет, но результаты до сих пор чрезвычайно низкие».

В соответствии с этим компания планирует дальнейшее развитие своего флагманского продукта — дополнительного модуля, который обеспечит эффективный документооборот по изменению полномочий и ролевой модели в привычном для крупных клиентов стиле. Этот модуль прежде всего предназначен крупным клиентам, желающим перевести в электронную форму уже существующую практику назначения полномочий при помощи запросов в службу информационной безопасности. Минимальный инструмент для этого есть и в «Аванпост» 3.0, тем не менее крупным компаниям нужны более развитые возможности, чтобы модифицировать ролевую модель с помощью выдаваемых дополнительных или временных полномочий.

Компания также подготовила техническое задание по интеграции с SIEM и со средствами контроля доступа в здание (СКУД), однако не разрабатывает такого модуля интеграции до тех пор, пока не появятся первые заказчики. «Нас уже спрашивали о такой интеграции, и мы проработали возможности и цены, но для коммерческого внедрения клиенты пока не готовы», — сказал Конусов.

Компания планирует в течение года выпустить еще два обновления продукта, для чего даже разделила разработчиков на две команды — на поддержку, которая занимается решением проблем уже существующих клиентов, и разработчиков нового функционала, которые не должны участвовать в сопровождении. «Работы по текущим проектам много, — пояснил Конусов, — однако мы решили направить часть своих сил на разработку новой версии, иначе остановимся в развитии».

Наталья Касперская: «В развитии рынка DLP в прошедшем году помог Эдвард Сноуден со своими разоблачениями»

Компания InfoWatch объявила о выпуске пятой версии своего флагманского продукта Traffic Monitor, предназначенного для контроля утечек конфиденциальной информации. В продукте, как отметила Наталья Касперская, генеральный директор InfoWatch, используется новое ядро. Однако для пользователей основные изменения связаны с упрощением графического интерфейса — он стал более удобным для настройки правил, управления мониторингом информационных потоков и расследования инцидентов. Поменялась и логика определения правил, которая не требует составления сложных логических выражений. Теперь, чтобы составить правила для пятой версии продукта, не нужна специальная подготовка — работа может быть выполнена в бизнес-подразделениях. Улучшен также модуль работы с изображениями, который позволяет выявлять передачу изображений паспортов и кредитных карт, документов, заверенных печатью, и других сложных в распознавании изображений.

В 2014 году ожидается изменение законодательства в сфере защиты от утечки данных (Data Leak Protection, DLP). Планируется пересмотр ФЗ-152 «О персональных данных», в нем могут появиться требования в том числе и по контролю за утечками персональных данных. Как отметил Андрей Прозоров, ведущий эксперт по информационной безопасности компании InfoWatch, вполне возможно, что Роскомнадзору удастся включить в новую версию закона штрафы за разглашение персональных данных, а также требование обязательно сообщать о фактах утечек. Это может сильно поменять подходы к обеспечению безопасности персональных данных — придется их реально защищать, а не только получать сертификаты на соответствие требованиям. Готовится набор руководящих документов ФСТЭК, которые будут посвящены средствам контроля информационных потоков, то есть тем же средствам DLP. Кроме того, в прошедшем году обновились в том числе и международные стандарты по защите данных от утечек, такие как PCI DSS и ISO 27001, в них тоже появились дополнительные требования по защите данных от утечек.

По данным InfoWatch за 2013 год, обнаружилось 1143 утечки данных, причем большая часть в США — почти 870. На втором месте — Россия (134), а на третьем — Великобритания (80). В 2013 году компания впервые собирала информацию о должностях тех лиц, которые допустили утечку информации. В частности, выяснилось, что больше всего утечек допускают сотрудники компаний, обрабатывающих секретную информацию, это происходило в 49,5% случаев. На втором месте в рейтинге оказались контрактники, они допускали утечки в 23,4% случаев. Доля системных администраторов оказалась не очень большой — всего 1,1%. По каналам утечек в 2013 году на первое место вышли бумажные носители (21,9% случаев), на втором месте кража или потеря мобильного оборудования (17,3%), а на третьем — воровство данных через браузер или облачные сервисы (13,8%).

Поскольку в сфере регулирования защиты персональных данных в 2014 году ожидаются изменения, компания планирует выпустить специальную версию продукта InfoWatch Personal Data Protection, которая будет предназначена для защиты конкретных наборов персональных данных, таких как паспортные данные и номера кредитных карт. Ограниченный набор данных упрощает их защиту и делает решение достаточно простым в настройке и эксплуатации, что позволяет использовать его на массовом рынке. Текущий же продукт Traffic Monitor будет поставляться в версии Enterprise для крупных организаций и в версии Standard — для рынка SMB.

Руслан Гаттаров: «Сноуден дал миру шанс изменить диспозицию сил в области регулирования Интернета, и мир изменился»

На конференции Cyber Security Forum 2014, проведенной Российской ассоциацией электронных коммуникаций, Руслан Гаттаров, вице-губернатор Челябинской области, заверил всех собравшихся, что работа над концепцией стратегии кибербезопасности РФ продолжится. Напомним, Гаттаров, в недавнем прошлом сенатор, известный своим пристальным вниманием к практике соблюдения крупнейшими мировыми интернет-компаниями законодательства о персональных данных отечественных пользователей, является одним из инициаторов создания концепции, которая должна определить стратегию защиты киберпространства. Концепция, представленная на всеобщее рассмотрение в середине прошлого года, активно обсуждалась сообществом специалистов по различным аспектам безопасности. После подведения итогов публичного обсуждения концепции планируется выработка новой версии документа, которую уже можно будет согласовать со всеми заинтересованными ведомствами и в конце концов представить Совету Федерации для дальнейшего утверждения президентом.

Всего поступило около 120 онлайн-предложений и еще столько же — в бумажном виде. Гаттаров выделил шесть групп проблемных моментов, которые требуют доработки. В частности, в первоначальной версии концепции не предусмотрена поддержка отечественной фундаментальной науки, что не позволяет надеяться и на создание собственной элементной базы. Как утверждают критики, без собственной электроники о полноценной безопасности говорить не стоит — история с прослушкой АНБ тому подтверждение.

Кроме того, в концепции нет требования о создании национальной инфраструктуры киберпространства: в России так и не появилось доверенной операционной системы и сетевого оборудования: работающие решения базируются на разработках иностранных специалистов. В существующей версии концепции не сформирована модель угроз неприятеля, без чего сложно построить и механизмы защиты, поскольку все российские руководящие документы традиционно опираются на модели угроз.

В концепции предусмотрено усиление роли государства в обеспечении кибербезопасности, хотя понятно, что без развития коммерческих компаний и общественного контроля вряд ли получится эффективно защитить киберпространство страны. Отмеченные недостатки документа планируется обсудить с заинтересованными организациями и ведомствами, а по результатам обсуждения — сформировать новую версию концепции.

В то же время, по мнению Арcения Нидяка, заместителя директора департамента Минкомсвязи по государственной политике в области СМИ, 2014-й должен стать переломным годом в области международного управления сетью Интернет. С этим согласился и Гаттаров, традиционно посетовавший, что основные структуры, управляющие Интернетом, располагаются на территории США. «Было бы неплохо перенести ICANN, например, в Швейцарию», — отметил он. В то же время Андрей Колесников, руководитель координационного центра национального домена сети Интернет, считает, что Интернет надо регулировать так же, как формируются технологические стандарты Сети — по принципам IETF, которая публикует стандарты в виде RFC. От того, какой из этих подходов к управлению Интернет победит, зависит и будущее развитие, и безопасность пользования киберпространством.

Жан-Ноэль де Гальзен: «Эдвард Сноуден был внешним человеком для АНБ, но собрал в сети в том числе и секретную информацию. Теперь многие задумались, а сколько сноуденов в их сетях?»

Разработчик инструментария информационной безопасности, компания Wallix представила новую версию своего программного продукта AdminBastion, для чего в Россию прилетел основатель и технический директор Wallix Жан-Ноэль де Гальзен. Компания уже два года присутствует на российском рынке, распространяя свою продукцию через эксклюзивного дистрибьютора «Статус Комплайнс». В частности, AdminBastion контролирует непрерывность работы серверов торговой площадки Fabrikant.ru.

Компания специализируется на решениях для управления доступом привилегированных пользователей (Privileged Access Management, PAM). Этот рыночный сегмент, по оценкам Forrester, в 2013 году по всему миру составлял 277 млн долл., а в текущем году, по прогнозам, вырастет до 332 млн. Основными клиентами для внедрения подобных систем являются банки и финансовые компании, промышленные предприятия и операторы. В различных стандартах по безопасности есть пункт о необходимости контроля привилегированных пользователей — в частности, такое требование есть в законе Сарбейнса-Оксли, обязательном для компаний, торгующихся на американских биржах. Не всегда под привилегированными пользователями понимаются системные администраторы или топ-менеджеры; к примеру, в банках и кредитных организациях это могут быть сотрудники, которые принимают ответственные решения, связанные с большими деньгами. В России этот рынок только формируется — в 2013 году аналитики оценивали его в 6 млн долл., но уже в этом году он может вырасти до 15 млн. Поэтому в Wallix рассчитывают, что новая версия продукта придется как раз кстати. Компания собирается в ближайшем времени сертифицировать свой продукт по требованиям ФСТЭК, чтобы можно было защищать с его помощью государственные системы и персональные данные.

В целом AdminBastion выполняет три функции: управляет паролями пользователей, контролирует доступ к критическим для предприятия системам и протоколирует все действия для оперативного расследования инцидентов в дальнейшем. Четвертая версия продукта существенно отличается от предыдущих тем, что контролирует не инфраструктуру, но соединения информационных систем, то есть протоколы взаимодействия. Это позволяет избежать установки агентов в системы, которые контролируются с помощью AdminBastion. При этом все пароли от целевых систем хранятся внутри устройства или программно-аппаратного комплекса. Внутри хранится и вся информация о действиях привилегированных пользователей. Впрочем, устройство может вмешаться в работу контролируемых пользователей: если их действия могут навредить, то защита просто разорвет соединение. Также контролируются и все SQL-запросы к существующим в организации базам данных; предусмотрена возможность блокировки тех из них, которые потенциально опасны для целостности данных. Сведения о всех событиях надежно сохраняются и шифруются.

Технологически программный продукт построен на базе Linux Debian, причем костяк команды образуют разработчики дистрибутива Mandriva. Поставляется он в трех возможных вариантах: в виде программно-аппаратного комплекса; в виде виртуальной машины; в виде облачного сервиса. 10% продаж составляют аппаратные устройства, а основная доля приходится на виртуальные машины.

В некоторых случаях система AdminBastion позволяет обеспечить не только конфиденциальность и целостность данных, но и непрерывность работы системы. В частности, именно для контроля непрерывности работы серверов торговой площадки в основном используется продукт в Fabrikant.ru. Для электронной торговой площадки, которая проводит конкурсы в том числе и для госструктур, важно, чтобы ИТ-администратор не смог самостоятельно нарушить работу системы.

Планшет Venue 11 Pro вполне может заменить полноценное рабочее место, предоставив сотруднику дополнительную мобильность

В конце февраля представительство Dell призвало пользователей операционной системы Windows XP переходить на Windows 8.1. Для этого Dell предлагает программное обеспечение по миграции, которое разработала компания Quest Software, входящая в состав Dell Software. Инструмент по миграции на очередную версию операционной системы упрощает перенос на новую платформу не только настроек и данных пользователя, но и приложений, которые напрямую в новой ОС могут и не запуститься.

Разумеется, Dell призывает сменить не только операционную систему, но и оборудование. В частности, компания предлагает перейти с персональных компьютеров и рабочих станций на профессиональные планшеты, которые при использовании док-станции вполне могут выступать и в роли стационарного рабочего места. При этом все корпоративные приложения будут исполняться и в Windows 8.1 хотя бы в режиме виртуализации, поскольку технология Hyper-V является неотъемлемым элементом новой ОС. В Dell уверяют, что планшет — это полноценный компьютер, который вполне может заменить привычное рабочее место на Windows XP, но в то же время при пользовании планшетом появляются дополнительные возможности, в частности по мобильности, поскольку с помощью планшета можно выполнять работу в том числе и в дороге, оставаясь при этом на связи.

Для корпоративных пользователей, которым важна мобильность, Dell предлагает планшетный компьютер Venue 8 Pro с экраном диагональю 8 дюймов на базе процессора Intel Atom Z3740D с максимальной тактовой частотой 1,8 ГГц (подробнее см. «Dell осваивает рынок планшетов», Computerworld Россия, № 03, 2014). Более адекватной заменой персональному компьютеру скорее может служить планшет Venue 11 Pro, который имеет диагональ 10,8 дюйма. Он может быть построен как на процессоре Atom, так и на более производительных Core i3 или i5. Оперативной памяти у такого планшета больше — до 8 Гбайт, а емкость твердотельного накопителя может достигать 256 Гбайт. При этом пользователь может «сконструировать» планшет по вкусу, установив либо дополнительный накопитель, либо второй аккумулятор. Кроме того, к планшету есть дополнительная клавиатура, в которую также встроен аккумулятор. В результате время автономной работы планшета может быть продлено до 19 часов. На российском рынке это устройство предположительно будет стоить от 27 тыс. до 45 тыс. руб.

Для тех пользователей, которым недостаточно вычислительной мощности планшетных компьютеров, Dell предлагает ультрабук Dell Precision M3800, представляющий собой мобильную графическую станцию весом 2 кг. Эта модель базируется на процессоре Intel Core i7 и может быть снабжена оперативной памятью до 16 Гбайт. В качестве накопителя используется SSD объемом до 512 Гбайт. Стоимость такого компьютера — от 105 тыс. руб.

Диалоговый интерфейс «ПриватБанка» позволяет пользователю формулировать свои запросы на естественном языке

Украинский «ПриватБанк» продемонстрировал на конференции FinNext 2014 новую технологию мобильного общения с клиентами. Разработчики банка предлагают диалоговую операционную систему с возможностью проведения финансовых транзакций, которая позволяет обрабатывать запросы пользователей не формализованные, а в свободной форме. Александр Витязь, руководитель Центра электронного бизнеса «ПриватБанка», пояснил: «Мы хотим, чтобы клиенты общались с нами так же, как они обмениваются SMS-сообщениями друг с другом». Пользователю не нужно запоминать команды — он может обратиться к системе на естественном языке. Пока все приложения разработаны сотрудниками банка, но в марте планируется открыть API для других разработчиков, что позволит сторонним компаниям интегрировать в платформу свои дополнительные приложения.

Собственно, технология текстовых роботов разрабатывалась «ПриватБанком» с 2002 года и предназначалась в первую очередь для автоматической обработки чата, который был у банка одним из каналов взаимодействия с клиентами. По словам Витязя, в то время подходящие технологии создания диалоговых роботов отсутствовали. Поэтому была разработана целая платформа для проектирования роботов, которые могли отвечать на часто задаваемые вопросы и только в случае необходимости обращались к оператору за помощью. «У нас есть робот-дворецкий, он умеет обращаться с троллями», — заявил Витязь. На сегодняшний день разработчиками «ПриватБанка» уже создано около тысячи роботов, или диалоговых приложений, если говорить терминами диалоговой операционной системы. Теперь они обретают новую жизнь, становясь дополнительным функционалом мобильного клиента банка.

Однако разработчики банка поняли, что инструмент диалоговых приложений универсален — с его помощью можно не только взаимодействовать с клиентами, но и продавать любые услуги. В составе платформы есть не только сама технология диалоговых приложений, но и решение для проведения платежей. Поэтому банк открыл интерфейс для разработчиков сторонних веб-сервисов, чтобы была возможность интегрировать их с разработанной банком платформой. Для интеграции любого уже работающего веб-сервиса по торговле его разработчикам достаточно реализовать предложенные банком функции API, спроектировать робота в специальном визуальном редакторе и получить доступ к клиентам банка, а следовательно, возможность продавать им свои услуги.

Одним из наиболее интересных применений подобной системы могут стать геоинформационные сервисы, поскольку клиент задает вопросы со смартфона, а приложение банка знает его местоположение. С помощью диалогового робота можно, например, искать ближайшее кафе или магазин. Также хорошо будут продаваться различные билеты, фильмы, музыка и любые другие продукты, которые можно будет потреблять прямо на том же мобильном устройстве. «Мы будем следить за запросами пользователей и оперативно реализовывать наиболее востребованные», — пояснил Витязь. Для банка этот проект является одним из способов выделить свою систему электронного обслуживания клиентов из великого множества других, появившихся сейчас практически у всех банков. Таким образом, технология ведения диалога может стать тем конкурентным преимуществом, которое позволит привлечь в банк наиболее инновационных клиентов.

Станислав Миллер: «Разработчикам системы «Безопасный город» нужно не увеличивать число камер на экране оператора, а делать систему более интеллектуальной и автоматизированной»

Форум «Технологии безопасности», проводимый компанией «Гротек», традиционно собирает специалистов в области физической безопасности. Однако сейчас службы физической безопасности уже не могут работать без использования высоких технологий. При этом каждый производитель считает, что именно его компонент в «безопасном городе» — самый важный. Производители систем видеонаблюдения рассказывают о перспективах видеоанализа, разработчики ситуационных центров — о технологиях моделирования, разработчики центров обработки вызовов — о решениях для служб быстрого реагирования и службы 112. Интеграторы же готовы использовать любые решения, чтобы построить оптимальную систему управления городской безопасностью.

Для систем видеонаблюдения большое количество камер — сотни и тысячи — это реальный вызов. Понятно, что просто посадить десятки операторов, которые будут просматривать изображения с 20 камер за раз, не значит решить проблему. Нужны именно интеллектуальные системы распознавания потенциально опасных ситуаций — возгорания, задымления, затопления, заторов, образования агрессивных толп и других угроз. В частности, российская компания «Элвис-Неотек» предлагает именно такие решения, которые позволяют автоматически определять подобные критические ситуации и тем самым привлекать внимание операторов, чтобы реагировать и решать проблемы. Представленная Станиславом Миллером, директором по разработке ПО компании «Элвис-Неотек», технология позволяет с помощью автоматизированной системы с обработкой большого числа видеопотоков сократить число операторов до приемлемого уровня.

Собственно, для оперативного управления силами экстренного реагирования в масштабе города необходим ситуационный центр, куда собирается вся информация с камер наблюдения, ГЛОНАСС-датчиков, установленных на государственных машинах, и другая информация, необходимая как для оперативного принятия решений, так и для расследования произошедших инцидентов. Именно такую систему под названием «Интегра-Планета-4D» представила на выставке компания «Интегра-С». Продукт позволяет не только анализировать исторические данные и восстанавливать ситуацию в конкретном месте, но и прогнозировать различные события, такие как наводнения, пожары, дорожные инциденты, и многое другое. Решение имеет удобный и наглядный интерфейс трехмерной геоинформационной системы.

Однако немаловажной частью является центр обработки вызовов, куда поступают тревожные сигналы от граждан. На этот же центр возлагается обязанность по координации деятельности различных государственных и коммерческих структур, которые принимают участие в устранении аварийной ситуации или реагируют на инциденты. Это так называемая служба 112, для ее автоматизации компания «Сфера» предложила продукт собственной разработки «Система 112», он обрабатывает вызовы граждан, управляет парком транспортных средств и интегрируется с любой системой видеоаналитики.

Один из примеров системы «Безопасный город» представила компания «МегаФон», которая отчиталась о построении подобной системы в Сочи. Для обеспечения безопасности на олимпийских объектах потребовалось 309 камер видеонаблюдения и 40 операторов ситуационного центра, то есть по 8 камер на каждого оператора. Чтобы система могла работать, компании пришлось проложить 400 км оптических линий связи на территории Сочи и Адлера. Проект обошелся заказчику в 1,2 млрд руб.

Лев Фисенко: «Если вы владелец успешно работающего бизнеса, то есть вероятность, что вы подвергнетесь целенаправленной атаке»

«Информзащита» провела в начале февраля семинар для банков и телекоммуникационных компаний, на котором ее представители рассказали о современных угрозах для финансовых, телекоммуникационных и торговых компаний. По словам Льва Фисенко, директора департамента «Информзащиты» по работе с финансовыми организациями, наиболее опасными для компаний в 2013 году были целенаправленные атаки. Защититься от них непросто, а угрозу они представляют немалую.

В частности, именно из-за таких атак в прошлом году произошло несколько крупных утечек данных платежных карт из терминалов ряда американских торговых сетей — Target, Neiman Marcus и некоторых других. Как показало расследование, атака на Target была целенаправленной и проводилась через портал для партнеров и сервер работы c POS-терминалами. Троянец был загружен на POS-терминалы, работающие под управлением Windows, и собирал данные платежных карт из памяти программы, обрабатывающей платежи, а затем отправлял их злоумышленникам. Атаки были выполнены практически одновременно против нескольких торговых сетей, но при этом нет никаких доказательств, что все они проведены одной группой. Очевидно одно — хакеры научились устанавливать троянские программы на POS-терминалы, что чревато увеличением числа подобных инцидентов в будущем.

После проведения атак платежные системы очень озаботились безопасностью уже и торговых сетей, которая оставляет желать лучшего. По словам Алексея Бабенко, руководителя направления компании «Информзащита», стандарт PCI DSS был создан именно для того, чтобы обеспечить безопасность покупок в магазинах с помощью пластиковых карт. Изначально предполагалось, что защитой торговых предприятий должны заниматься банки, которые их обслуживают. На деле же банки с трудом привели в соответствие со стандартом собственные сети и транслировать требования PCI DSS обслуживаемым ими магазинам уже не решаются — лишние расходы могут отпугнуть клиентов.

В то же время крупные торговые сети все чаще подключаются напрямую к платежным системам, создавая собственные процессинговые центры. В этом случае торговая сеть не зависит от действий банка и не платит тому комиссию при обслуживании платежных карт, но ей приходится соблюдать все требования платежной системы, в том числе выполнять и требования по PCI DSS. Примером может служить такой крупный ретейлер, как «Ашан»: он уже прошел проверку на соответствие требованиям PCI DSS. Вполне возможно, что другие крупные сетевые торговые предприятия также будут стремиться к обеспечению защиты своих информационных систем.

Впрочем, Target, из которого была совершена утечка данных, также имел сертификат PCI DSS; правда, выяснилось, что некоторые требования стандарта были нарушены, и это позволило злоумышленникам подключиться извне к системе управления POS-терминалами. А стандарт, если точно исполнить его предписания, позволит построить достаточно надежную систему безопасности. В этом году вступила в силу очередная версия стандарта PCI DSS 3.0 — все новые системы должны сертифицироваться уже по ней. При этом вполне возможно, что платежные системы будут более жестко настаивать на выполнении требований PCI DSS именно от торговых организаций.

Мобильные клиенты систем ДБО были одной из ключевых тем iFin-2014

В начале февраля прошла ежегодная выставка-конференция iFin 2014, которая была посвящена системам дистанционного банковского обслуживания и особенно их защите, для которой участники выставки предлагали и аппаратные устройства, и программные решения, и целые комплексы. Второй по популярности темой обсуждения стали системы мобильного банкинга, которые тем не менее часто оказываются связанными с первой — мобильные устройства выступают в качестве определенного гаранта безопасности при совершении удаленных транзакций. Мобильные устройства используют и для пересылки одноразовых паролей, и для визуализации реквизитов платежа, и для подтверждения с помощью голосовой связи параметров транзакций.

Внедрение в банках устройств для защиты банковских транзакций было начато еще в прошлом году. На прошлой выставке как раз появились инструменты для заверения платежных поручений посредством iPad с присоединенным к нему дополнительным считывателем смарт-карты, который предложила рынку компания «Аладдин Р.Д.» (см. «Заверено на планшете», Computerworld Россия, № 04, 2013). Сейчас этот инструмент интегрировали в свои ДБО-решения для планшетов практически все производители банковского ПО. Однако стало понятно, что подписать документ электронной подписью уже недостаточно, поскольку троянские программы просто видоизменяют платежное поручение перед его подписанием и отправляют его в банк на исполнение.

Для защиты транзакций производители предлагают средства визуализации, позволяющие проверить реквизиты перед генерацией электронной подписи

Для борьбы с троянцами производители предложили банкам более сложную систему верификации — с помощью специального устройства с небольшим экраном, на котором показываются подробности транзакции. В прошлом году был продемонстрирован считыватель SafeTouch одноименной компании, а в этом свою разработку TrustScreen показали представители компании «Бифит». Предложенное ею устройство совмещает в себе визуализатор транзакций и процессор для изготовления электронной подписи.

Компания «Аладдин Р.Д.» ведет совместный проект с «МегаФоном» и Gemalto по разработке SIM-карты со встроенной российской электронной подписью. В этом случае транзакция формируется на сервере любым способом — с помощью мобильного клиента, планшета или компьютера. По ней генерируется выписка с основными параметрами транзакции и хэшем документа, который передается на мобильный телефон в виде SMS. Работающий в SIM-карте апплет собирает сообщение в единое целое, блокирует операционную систему общего пользования (Android или iOS) и показывает пользователю сообщение от банка на экране самостоятельно. Если пользователь подтверждает транзакцию с помощью специального кода, то сообщение подписывается в SIM-карте и отправляется на сервер банка для исполнения, и только после этого операционная система разблокируется.

Впрочем, клиенты все равно с недоверием относятся к мобильным банковским клиентам. Некоторые из-за того, что защита кажется им слишком слабой, а некоторые — из-за неудобства постоянного ввода паролей и PIN-кодов. Для решения этой психологической проблемы специалисты по эргономике из компании UsabilityLab рекомендуют дать пользователям выбор из нескольких средства защиты — пользователь должен сам определить, какие из них ему стоит использовать для текущей транзакции. Эксперты по безопасности рекомендуют также и банку ввести лимиты на разные суммы транзакций: минимальные подтверждать паролем или PIN-кодом, более крупные — при помощи дополнительных устройств, а наиболее объемные — не только с помощью устройств, но и дополнительным звонком клиенту для подтверждения реквизитов.