Қаржы нарығындағы киберқауіпсіздікке шолу
Хакерлік белсенділік киберқауіпсіздік мамандары үшін ғана емес, барлық азамат үшін де өмірінің бір бөлігіне айналды. Қаржы ұйымдарының клиенттері үнемі DDoS-шабуыл, фишингтік таратылымдар және кирберқылмыскерлер қызметінің басқа да элементтері жағдайында өмір сүруге үйреніп қалды. Бүгінгі таңда қоғам деректердің жария болуы эфемерлік ұғым емес, нақты мекенжайлар, телефон нөмірлері, банк карталары және нақты адамдар туралы басқа да маңызды ақпарат болып табылатындығымен бетпе-бет келді.
«Қауіптер дамып, үнемі жетілдіріліп отыратын қауіпсіздік бақылауына бейімделеді, сондықтан біз статистиканы негізге ала отырып және жаңа зиянды бағдарламалар мен хакерлік топтардың әдістерінің дамуын бақылай отырып, кейбір қорытындылар жасай аламыз», - деп айтты ҚНРДА Ақпараттық және киберқауіпсіздік департаментінің директоры Роман Перминов.
Мәселен, қаржы нарығында іс жүзінде барлық жерде ашық бастапқы кодымен (Open Source) жиынтықтар қолданылады– бұл бастапқы коды еркін таратылатын және өзгертуге болатын бағдарламалық қамтылым. Бұған әзірлеушілер өз жобаларын жасау үшін пайдаланатын әртүрлі пайдаланушы бағдарламалары, компоненттер, жиынтықтар кіреді.
Аппараттық және бағдарламалық кодты базалардағы кодтың 78%-ына дейін ашық бастапқы коды бар жиынтықтан тұрады және өз күшімен жасалмайды, олар жиынтық-репозиторийлерде сақталады. Көптеген қосымшалар мен қызметтер ашық бастапқы коды бар жиынтықтар арқылы жасалады.
Сондықтан ашық бастапқы коды бар бағдарламалық қамтылым жиынтықтары негізгі нысанаға айналды. Ашық жиынтықтар әзірлеушілердің есептік жазбаларға қолжетімділігіне байланысты көп жағдайда ұйымдар мен пайдаланушыларға тәуекелі көп болады.. ондай қолжетімділік әдетте, көп факторлы аутентификаттаудың болмауына байланысты мүмкін болады, бұл зиянды кодты кеңінен пайдаланылатын жиынтықтарға енгізуге әкеледі.
Жеткізу тізбегіндегі мұндай шабуылдарға қарсы негізгі контршаралар бастапқы кодтарды сапалы тексеру болып табылады, оларды арнайы бағдарламалық өнімдер – бастапқы код сканерлерін қолданбай тексеру мүмкін емес. Қаржы ұйымдары осы бағытқа ерекше назар аударғандары дұрыс.
Жойқын әрі басқа зиянды кодты да хактивизмнің немесе саяси наразылықтың бір түрі ретінде жиынтықтың шынайы авторы әдейі енгізуі мүмкін. 2023 жылдың маңызды үрдістерінің бірі – саяси немесе әлеуметтік уәжді хакерлік шабуылдар, сондай-ақ шет мемлекеттердің демеушілігімен қарсыластарға қарсы кибершабуылдар. Саяси уәжді шабуылдар қаржы нарығына ғана емес, сондай-ақ тұтастай экономикаға тез уақытта зиян келтіруі немесе тіпті тәртіпсіздіктер тудыруы да мүмкін.
Қаржы ұйымдарының ақпараттық қауіпсіздігін қамтамасыз ету жүйелерінің орнықтылығын арттыруға ақпараттық қауіпсіздікке мерзімді аудит өткізу, жүйеге кіруге тестілеу және ақпараттық қауіпсіздікті басқару жүйесінің жай-күйін тексерудің өзге де нысандарын өткізу ықпал етеді. Бұл ретте ішкі көзқарастың әрдайым тәуелсіз және объективті бола бермейтінін ескерген жөн, сондықтан сырттан мамандар тартқан орынды болады.
Барлық жердегі карантин тәжірибесін ескере отырып, қаржы ұйымдары қызметкерлерінің немесе олар пайдаланатын құрылғылардың орналасқан жерінің бұрынғыдай маңызды емес екенін біртіндеп түсініп келеміз. Оның орнына компаниялар деректердің негізінде шешімдер қабылдайды, ал жұмыс орнының мәдениеті сіздің ҚАЙДА жұмыс істеп жатқаныңызға емес, НЕ істеп жатқаныңызға байланысты. 2023 жылы цифрлық және нақты өмір арасындағы кедергілер жойылып бара жатқан аралас әлем әрі қарай дамып жатыр.
Икемділік басымдыққа айналып келе жатқандықтан қаржы нарығы өз деректерінің қауіпсіздігі мен конфиденциалдылығын қорғау мәселесіне тап болып отыр, өйткені олар бірнеше құрылғы мен желіден оңай көшіріледі, сондай-ақ коммуникация үшін түрлі платформаларды пайдаланады.
«Сондықтан Агенттік қаржы ұйымдарының ақпараттық қауіпсіздігі мен ақпараттық-коммуникациялық инфрақұрылымының қауіпсіздігін қамтамасыз етудің ішкі процестерін ұйымдастыруға ғана емес, сондай-ақ олардың сыртқы әлеммен, ең алдымен байланыс операторларымен өзара іс-қимылына да назар аударады. Шарттардағы ақпараттық қауіпсіздікті қамтамасыз ету үшін жауапкершілік мәселелеріне қатысты ережелерге ерекше назар аудару керек», - деп атап өтті Роман Перминов.
Қауіп-қатер аясының кеңеюіне орай, Қаржы нарығын реттеу агенттігі қаржы нарығында киберқауіпсіздіктің тиісті деңгейін құру үшін талаптарды жетілдіруді жалғастырады. 2023 жылы қаржы ұйымдарын реттеуге ғана емес, сондай-ақ олардың өз жүйелері мен деректерін қорғауға көмектесетін киберқауіпсіздік талаптарына сәйкестігіне де баса назар аударылады.
Агенттіктің салалық ақпараттық қауіпсіздік орталығын және оның «Qainar» қаржы нарығындағы ақпараттық қауіпсіздік оқиғалары мен оқыс оқиғалары туралы ақпаратты жинау және өңдеу жөніндегі автоматтандырылған ақпараттық жүйесін дамыту, оны қаржы нарығының киберқауіпсіздігінің жай-күйін бағалауға және банктер мен басқа да қаржы ұйымдарына төнген өзекті қауіптер туралы ескертулерді жинақтауға мүмкіндік беретін талдау функционалымен толықтыру маңызды болып табылады.
Ағымдағы жылы SMS сияқты ескірген екі факторлы аутентификаттауға шабуылдар, сондай-ақ push-хабарламалар негізінде көп факторлы аутентификаттау шешімдеріне шабуылдар жалғасуда. Фишинг және аутентификаттау токендерін басып алуға арналған басқа шабуылдар да белсенділік танытуда.
Мұндай қиын жағдайда, Нөлдік сенім (Zero Trust) деген қауіпсіздік моделінің танымалдылығы артуда, ол модельге сәйкес кез келген транзакция, пайдаланушы немесе құрылғы өз функциясын толық дәлелдегенге дейін оларға рұқсат етілмейді.. Бұл орайда транзакцияның, пайдаланушының немесе құрылғының дәйектілігі қайта-қайта расталуы тиіс.
Қаржы ұйымдары аутентификаттаудың пайдаланылатын әдістерін жетілдіруді де жалғастыруда. Құпия сөздердің баламалары күшейіп келеді, бірақ әзірге аутентификаттаудың дәстүрлі әдісін жойған жоқ. Аутентификаттаудың балама тетіктері көптеген веб-сайттар мен қосымшаларды ұсынуда, бірақ олардың көбі биометрияны қосады. Пайдаланушылар мен ұйымдардың көбі біртіндеп құпия сөздердің менеджерлеріне, құпия сөзсіз және аппараттық идентификаттау токендеріне көшуде.
Цифрлық кемелдену деңгейі жоғары қаржы ұйымдары өз өнімдерін әзірлеу тәсілін өзгертуде. Жаңа жағдайларда түрлі бөлімшелердегі қызметкерлердің кроссфункциялық өзара іс-қимылының тиімді құрылған стратегиясы өнімнің өмірлік циклінің барлық деңгейінде қауіпсіздікті қамтамасыз етуді ықпалдастыруға және сол арқылы ұйымның ішіндегі процестерді бақылау және оның ашықтығы есебінен тәуекелдерді азайтуға мүмкіндік береді. DevSecOps әдіснамасы қаржы сегментінің жақын арада дамуына әсер ете отырып, оған ықпалдасуын жалғастыруда.
«Осыған байланысты, Агенттік қаржы ұйымдарының, әсіресе банктердің ақпараттық және киберқауіпсіздігін қамтамасыз ететін қызметкерлерінің біліктілігін тұрақты арттыру қажеттілігіне баса назар аударады», - деп атап өтті қаржы реттеушісінің өкілі.
Сондай-ақ аутсорсингке деген сұраныс өсуде. Сервистік үлгінің танымалдылығы артуда, себебі нарықта тапшы болып табылатын сараптамаға қол жетімділікті ұсынады, сондай-ақ жауапкершіліктің және сапа өлшемшарттарының ашықтығын қамтамасыз етеді. Қаржы ұйымдарының өз АҚ-инфрақұрылымын және киберқауіпсіздіктің тысқары сервистерін біріктіретін аралас үлгілерді пайдаланудың өсіп жатқаны байқалуда.
«Жалпы алғанда, түрлі елдердегі киберқауіпсіздік жай-күйінің аса айырмашылығы жоқ. Осы тұрғыдан Қазақстанда да әлемдік нарықтағы үрдістер басым. Бұл ретте өткен жылы Қазақстанның қаржы нарығында киберқауіпсіздіктің резонансты оқыс оқиғалары орын алған жоқ», - деп қорытындылады Роман Перминов.
Агенттіктің Сыртқы коммуникациялар басқармасы
+7 (727) 237 1089, press@finreg.kz