Вот несколько уроков о защите банковских ИТ-систем и сетей.
Современные банки сталкиваются с двойной проблемой безопасности, поскольку они должны защищать как физические денежные активы, хранящиеся в их хранилищах, так и конфиденциальные финансовые данные, хранящиеся в цифровых реестрах. Для необанков правильное хранение данных - высшее условие их существования. Компрометация данных клиентов означает потерю денег, запятнанную репутацию, потенциальные судебные иски, штрафы и потерю общественного доверия. Поэтому поддержание строгой политики кибербезопасности имеет решающее значение в банковской сфере.
1. Многофакторная и биометрическая аутентификация предотвращает кражу личных данных.
Согласно отчету Javelin о мошенничестве с идентификационной информацией за 2020 год , 13 миллионов потребителей в США пострадали от мошенничества с идентификационными данными в 2019 году, а общие потери от мошенничества составили почти 17 миллиардов долларов. В 2020 году цифры значительно увеличились. В 2020 году FTC было получено 4,8 миллиона сообщений о краже личных данных и мошенничестве , что на 45% больше, чем в 2019 году, в основном из-за увеличения числа жалоб на кражу личных данных на 113%. Технический прогресс облегчил злоумышленникам возможность манипулирования и социальной инженерии информации, в то же время усложнив финансовым учреждениям обнаружение захватов учетных записей без дополнительной инфраструктуры безопасности. Обнаружение захвата аккаунтов может быть сложной задачей, поскольку мошенники могут спрятаться за положительной историей клиента и имитировать нормальное поведение при входе в систему.
Более того, благодаря природе электронной информации, теперь можно обманным путем получать и использовать идентифицирующую информацию в больших и рентабельных масштабах. Таким образом, проще предотвратить это в первую очередь. Первым решающим фактором предотвращения является использование многофакторной аутентификации (MFA). Это должно включать биометрические данные, которые трудно выдать за другое лицо. У МИДа тоже есть подводные камни. Например, люди могут потерять свои телефоны или SIM-карты и не смогут сгенерировать код аутентификации. Более того, если на украденном телефоне установлено банковское приложение без биометрической аутентификации, технически возможно обойти MFA. Однако техническая сторона - это только часть головоломки.
2. Повысьте уровень киберграмотности ваших клиентов.
Информирование пользователей о секретности паролей и фишинговых атаках - еще один ключевой элемент успешного предотвращения кражи личных данных. Независимо от того, насколько сильно вы улучшите свою техническую защиту данных, незнание пользователей заставит их раскрыть секретные пароли и коды мошенникам. Центр ресурсов по краже личных данных (ITRC) сообщил, что киберпреступники по-прежнему менее заинтересованы в массовых атаках, направленных на поиск информации о потребителях, но вместо этого они используют плохое поведение потребителей для совершения преступлений, связанных с использованием личных данных, против бизнеса. Таким образом, преступники могут атаковать предприятия, используя украденные учетные данные, такие как логины и пароли.
Банки - не исключение. Поэтому банкам необходимо постоянно повышать осведомленность своих клиентов о потенциальных схемах и раскрытых киберпреступлениях. Банки должны использовать свои профили в социальных сетях, чтобы научить клиентов, как не поддаться обману, рассылать информационные бюллетени по вопросам безопасности, создавать короткие обучающие видеоролики, сотрудничать с влиятельными лицами СМИ, писать легко читаемые информативные сообщения в блогах, отправлять уведомления в приложениях и т. Д. что контент должен быть персонализированным, т.е. относящимся к разным уровням понимания и опыта различных демографических категорий. Не забывайте ориентироваться на подростков и детей, если вы предлагаете детские банковские продукты. Молодые люди могут быть более легковерными, а их родители не всегда могут сами объяснить киберугрозы.
3. Остерегайтесь фишинга.
По данным ФБР , фишинг был наиболее распространенным видом киберпреступлений в 2020 году. Общее количество фишинговых инцидентов почти удвоилось в прошлом году - со 114 702 инцидентов в 2019 году до 241 324 инцидента в 2020 году. В 2019 году доля финансового фишинга среди всех фишинговых операций типы увеличились с 44,7% до 51,4%. Практически каждая третья попытка зайти на фишинговую страницу, заблокированную продуктами «Лаборатории Касперского», была связана с банковским фишингом (27%). Хотя в 2020 году общий процент финансового фишинга значительно снизился до 37,2%, банкам не стоит ослаблять бдительность. Если проанализировать схему распространения, то можно увидеть, что злоумышленники в основном нацелены на интернет-магазины.
Однако это изменение активности, по-видимому, было связано с ограничениями блокировки, которые вынуждали людей обращаться к ранее неиспользованным функциям онлайн-покупок (например, покупкам продуктов). Очевидно, киберпреступники не могли упустить этот шанс. Тем не менее, с введением вакцины люди более или менее возвращаются к своим привычным покупательским привычкам. В четвертом квартале 2020 года 22,5% фишинговых атак во всем мире были направлены на финансовые учреждения. На Saas-сервисы и веб-почту также пришлось 22,2% атак. Второй факт важен, поскольку только в декабре прошлого года директор ФБР Кристофер Рэй предупредил банки, чтобы они опасались «киберпреступников, нацеленных на уязвимости в сторонних сервисах», чтобы получить доступ к данным финансовых учреждений.
Более того, мошенники стали использовать больше схем целевого фишинга (целевых атак на отдельные организации). Убытки от компрометации деловой электронной почты (BEC) резко выросли за последний год и достигли 1,8 миллиарда долларов . Таким образом, банкам не следует ослаблять свои антифишинговые системы, а также проводить для своих сотрудников обширное обучение комплаенс. Данные для таких тренингов должны постоянно обновляться, поскольку методы фишинга развиваются, и многие сотрудники вынуждены работать из дома.
В условиях домашней работы ИТ-инфраструктура может быть защищена не так хорошо, как в офисе. Говоря о шифровании, использование HTTPS резко возросло на всех фишинговых сайтах: впечатляющие 72% используют цифровые сертификаты и шифрование TLS. Office 365 также продолжает оставаться привлекательной мишенью для злоумышленников с мошенниками, использующими новую тактику, такую как «фишинг согласия». Более того, все большее количество фишинговых сайтов используют методы уклонения, чтобы избежать обнаружения и проверки со стороны целевых предприятий и исследователей безопасности.
4. Используйте сложное шифрование.
Все данные, хранящиеся на компьютерах вашего финансового учреждения и в Интернете, должны быть зашифрованы. Компании, предоставляющие финансовые услуги, относятся к числу тех, у кого самый высокий процент уязвимых конфиденциальных файлов ( в среднем 352 КБ ). Хакеры никогда не спят и не могут пропустить такой случай. Таким образом, банковский сектор больше всего страдает от киберпреступности. В частности, стоимость кибератак является самой высокой в банковской сфере - более 18 миллионов долларов в год на компанию. Когда только началась паника, связанная с коронавирусом, рост составил 238%.в нападениях на банки не было зарегистрировано. Ежедневно выпускаются тысячи новых типов вредоносных программ. Таким образом, даже если ваши данные будут украдены хакерами, шифрование предотвратит их немедленное использование. Преступникам потребуется много времени и вычислительных ресурсов для расшифровки информации, а время - деньги.
256-битное шифрование AES - это самый надежный и надежный стандарт шифрования, который коммерчески доступен сегодня. Однако сложнее всего взломать шифрование, состоящее из двух-трех методов шифрования, используемых вместе. Если это сопровождается сложным хешем и хорошо защищенным ключом, расшифровка может занять много времени. Помимо MFA, некоторые банки предлагают зашифрованные токены безопасности. Эти небольшие портативные устройства генерируют одноразовые коды доступа, которые вы используете для входа в свою учетную запись. Поскольку это физические устройства, принадлежащие банку и хранимые клиентами, шансы хакера получить доступ к вашей учетной записи минимальны. Если телефоны часто крадут, то маленькие устройства - нет.
5. Защитите облако
Банки все чаще используют облачные среды в своей деятельности. Некоторые из крупнейших мировых банков используют облачные стратегии для своих цифровых преобразований, в том числе BNP Paribas, Lloyds, Westpac и PecunPay. В Японии облачная общая банковская система TSUBASA была разработана и поддерживается IBM. Эта основная банковская система разделяет функции бизнес-обработки, такие как депозиты, валюты и ссуды, различные каналы, такие как банкоматы, интернет-банкинг, и функции соединения данных с подсистемами.
По данным Accenture , сегодня средний банк также выполняет 58% своих рабочих нагрузок в облаке, в основном в частных облачных центрах. Система облачных вычислений обеспечивает очень высокий уровень защиты данных, особенно для конфиденциальных данных, которые включают информацию о клиентах. Однако в нем тоже много угроз. Многие банки и финансовые учреждения используют сторонние услуги от других поставщиков, чтобы лучше обслуживать своих клиентов. Они подключены к общей банковской системе через облако. Однако, если у этих сторонних поставщиков не будет эффективных мер кибербезопасности, банки все равно будут страдать от кибератак.
Более того, иногда хакеры не просто воруют данные - они их изменяют. Это может быть сложно идентифицировать, поскольку в облачной среде часто отсутствует адекватная видимость. Поэтому сторонние сервисы, используемые банками, должны предоставляться надежными партнерами и иметь ограниченные разрешения. Каждый пользователь, имеющий функции администратора в облаке, должен быть тщательно проинструктирован и не должен делиться своими учетными данными с коллегами. Не забывайте, что кража данных часто совершается инсайдерами, а не внешними злоумышленниками.
Источник payspacemagazine.com