Финансовые учреждения, как известно, существуют уже столетия. И хотя способы ведения банковских операций претерпели значительных изменений, основные принципы остаются неизменными. Банки всегда владели большими объемами персональной и финансовой информации о своих клиентах. Сегодня все эти данные стали легкодоступными, что требует надежных мер кибербезопасности для их защиты.
Развитие финансовых технологий в последние десятилетия привело к многочисленным инновациям и изменениям – таким как банковские переводы, кредитные и дебетовые карты, интернет-банкинг и мобильные платежи. Банкам пришлось не только модернизировать свои системы для внедрения этих инноваций, но и трансформировать процессы, чтобы обеспечить надлежащий уровень безопасности при использовании новых технологий. Защита конфиденциальной информации и внедрение механизмов безопасности для предотвращения атак киберпреступников, в частности фишинговых и вредоносных программ, сегодня также критически необходимы.
Банковское регулирование постоянно меняется в соответствии с требованиями современных финансовых систем. Банки несут юридическую ответственность за сохранность данных клиентов и защиту их от кибератак или несанкционированного доступа. В этой статье рассматривается, как современные банки и финансовые компании обеспечивают исполнение этого обязательства.
Лучшие практики защиты данных для банков
Чтобы защитить конфиденциальные данные, банки должны применять комплексный, «360-градусный» подход, исключающий утечку информации как из внешних, так и из внутренних источников. Это подразумевает защиту как клиентской стороны банковских процессов, так и внутренних процессов, связанных с работниками, поставщиками и системами. Ниже приведены пять советов по обеспечению безопасности данных в банковской сфере:
1. Аутентификация
Аутентификация требует, чтобы каждая транзакция в банке происходила только после подтверждения личности того, кто ее инициирует. Это касается клиентов, входящих в системы интернет- или мобильного банкинга, что посещают банк лично или пользуются кредитными/дебетовыми картами в POS-терминалах или банкоматах. Это также касается и работников банка, имеющих доступ к данным клиентов и самого учреждения. Если раньше для аутентификации достаточно было ID и пароля или PIN-кода, то сегодня многие банки ввели двухфакторную или многофакторную аутентификацию, чтобы убедиться, что лицо действительно является тем, за кого себя выдает. Банки также используют биометрические методы проверки, в частности поведенческую биометрию, когда клиенты взаимодействуют с банковскими системами, например с системой интерактивного голосового ответа (IVR). Это ключевой компонент общей стратегии информационной безопасности банка.
2. Журналы аудита
История банковских операций была доступна в виде выписки или сберегательной книги. Кроме того, банковские системы ведут журнал аудита для каждого события, происходящего при взаимодействии клиента с системами. Это имеет решающее значение для быстрого реагирования на инциденты, включая утечку данных или атаку программ-вымогателей. Независимо от того, пользуется ли клиент телефонным банкингом или онлайн-банкингом, фиксируется время взаимодействия вместе с деталями этого взаимодействия. Эти данные ежедневно резервируются и никогда не удаляются до конца, а архивируются через определенные промежутки времени. Часть журналов аудита также поддерживает план реагирования на инциденты безопасности.
3. Защищенная инфраструктура
Защищенная инфраструктура включает базы данных и серверы, где хранится информация, а также защитные границы, созданные для ее безопасности. В любой базовой банковской системе производственные данные, как правило, шифруются. Доступ к производственным системам ограничен, и только авторизованные поставщики имеют право работать с критической инфраструктурой. Эффективное управление доступом является ключом защиты этих баз данных. Если данные необходимы для тестирования, важные сведения, такие как номер банковского счета, имя клиента и адрес, должны маскироваться. Поставщики, отвечающие за инфраструктуру, обычно отличаются от тех, кто занимается приложениями. Работникам банка обычно выдается специальное оборудование, где заблокирован доступ к социальным сетям, личным электронным почтам и USB-портам. Если сотрудники пользуются публичным Wi-Fi, то доступ к сети банка возможен только через VPN.
4. Защищенные процессы
Банки ввели ряд процессов, чтобы гарантировать реализацию и проверку мер безопасности. Например, это обновление данных клиентов в рамках политики Know Your Customer (KYC), подписание соглашений о неразглашении (NDA) для работников и поставщиков, а также создание специальных защищенных зон в пределах офисов и удаленных дата-центров.
С помощью решений Data Loss Prevention (DLP) банки могут минимизировать внутренние угрозы и защищать персональные данные клиентов, такие как имена и номера кредитных карт. Такие решения также помогают соответствовать требованиям международных норм защиты данных, в частности, PCI DSS и GDPR, благодаря чему система безопасности банка отвечает общепринятым стандартам и обеспечивает защиту информации клиентов.
Также реализуются процессы, связанные с выполнением глобальных и локальных нормативных требований, проводятся оценки рисков, чтобы гарантировать соответствие действующим стандартам.
5. Непрерывная коммуникация
Кроме регулярных выписок со счетов, банки постоянно информируют клиентов об обновлении систем, внедрении новых процедур аутентификации и т.д. Клиенты могут самостоятельно устанавливать лимиты и оповещения по разным условиям, чтобы быть в курсе любой неожиданной активности, связанной с их счетами. При этом каналы коммуникации разнообразны и достаточно гибки, чтобы обеспечить удобство для пользователей.
Усиление защиты данных с помощью Netwrix Endpoint Protector
Соблюдение указанных комплексных подходов к безопасности позволяет сохранять персональные и финансовые данные банков в безопасности. Важно также внедрять разные решения для защиты данных клиентов. DLP-решения, в частности Netwrix Endpoint Protector, предлагают комплексный подход, адаптированный к специфическим вызовам банковской отрасли и более широкому финансовому сектору.
Netwrix Endpoint Protector помогает предотвратить операционные сбои, регуляторные проблемы, штрафы и репутационные потери, возникающие вследствие утечек данных на уровне конечных устройств. Защищая чувствительную информацию, такую как персональные данные клиентов (PII) и платежные сведения, Netwrix Endpoint Protector постоянно отслеживает и контролирует использование информации, уменьшая риск внутренних угроз и потери данных из-за злонамеренных действий, халатности или компрометации пользователей.
Одним из ключевых преимуществ Netwrix Endpoint Protector является развитые возможности оптического распознавания символов (OCR). Эта технология позволяет банкам точно сканировать и контролировать широкий спектр файлов в изображениях и отсканированных документах. Она особенно полезна для обнаружения конфиденциальной информации в форматах, которые могут остаться незамеченными серверными решениями OCR, обеспечивая комплексную защиту данных и поддержание соответствия финансовым нормам.
Netwrix Endpoint Protector позволяет соблюдать регуляторные требования, включая GDPR, CCPA, PCI DSS, GLBA и другие стандарты, а также сохранять контроль над конечными устройствами сотрудников, даже если они работают удаленно или офлайн.
