Белый список банков

Долго нам всем говорили, что в ЦБ нет никакого черного списка банков, как неожиданно оказалось, что есть… белый список. Список неплохо корелирует с ТОП-50 банков. Таким образом, с благим видом под прикрытием госзакупок обществу мягко подсказывают, где хранить свои деньги. Помимо этого официального списка существует и неофициальный список системообразующих банков. Скорее всего, подобный список будет составлен на основе белого списка и будет утвержден ЦБ.

Понятно, что в перспективе количество банков в России будет уменьшено, и вот самые очевидные пути для этого:

- присоединение их к «старшим» путем покупки

- отъем лицензии за любые грехи

- собственное разорение по самым разным причинам.

Банки разные нужны, банки разные важны. Вот публикую самый простой из общеизвестных в узких кругах алгоритмов, кому недостаточно сбербанковских шести процентов годовых.

Берем один банк А, берем другой банк Б и сто тысяч деревом. Внимание, банк Б. по последним веяниям уже не является доверенным. Банк А используется для вкладов, банк Б используется только для переводов.

1 января 2014

Открыть вклад 1 в банке А на 3 мес. и перечислить на него 70 000 из банка Б

Открыть вклад 2 в А на 12 мес. и перечислить на него 30 000 из Б

1 апреля 2014

Закрыть вклад 1 и вывести деньги в Б

Открыть вклад 3 в А на 3 мес. и перечислить на него 41 763 из Б

Открыть вклад 4 в А на 6 мес. и перечислить на него 30 000 из Б

1 июля 2014

Закрыть вклад 3 в А и вывести все деньги в Б

Добавить на вклад 4 в А сумму 42 815 из Б

1 октября 2014

Закрыть вклад 4 в А и вывести деньги в Б

Добавить на вклад 2 в А сумму 75 620 из Б

1 января 2015

Закрыть вклад 2 в А и вывести 112 064 в Б

Банк Б на всех переводах «съест» только 60 руб. (6*10), т.е. ваша чистая прибыть составит 12 004 руб. или 12.0%. Попробуйте ничего не делая заработать в год лошади больше. С новым годом!!!

Согласие для АСВ

 

В продолжение темы про зачистку финансовой системы хочу обратить внимание на вопрос, должен или не должен каждый банк при заключении договоров с клиентами брать согласие на потенциальную передачу ПДн:

- Агентству по страхованию вкладов

- Банку России

- всем остальным банкам, включая тех, которых еще нет в природе.

При наступлении страхового случая, ПДн будут передаваться по данному списку, даже без существования согласия субъекта ПДн. Разумеется, потом при выплате денег согласие может быть легко получено, но что делать, если клиент давать такое согласие не намерен, а его данные уже давно растеклись по банкам-агентам.

Привожу последний пример с сайта АСВ по Инвестбанку: «Сбербанк России осуществляет прием заявлений и выплату страхового возмещения вкладчикам, чьи фамилии начинаются с букв А–К (A–Z), Промсвязьбанк — с букв Л–П, Номос-Банк — с букв Р–Ц, Россельхозбанк — с букв Ч–Я».

А вот форма для поиска банка-агента по этому же банку. Страница, конечно же, без шифрования канала. Куда проще написать предупреждение, что клиент принимает на себя ответственность за слив в интернет своих паспортных данных, чем купить сертификат, например, Thawte.

Даём согласие на обработку ПДн сразу всем банкам?!

Все защищают свой web?

Как мы все видим, ситуации вокруг многих банков складываются печально – ЦБ стал активно отзывать лицензии. Открываем книгу памяти и считаем банки с отозванными лицензиями за текущий год – их уже ТРИДЦАТЬ. Хочется верить, что деятельность ЦБ полностью оправдана, а значит останутся только лучшие из лучших.

Тем не менее, я вижу довольно актуальный риск – deface web-сайта. Достаточно изменить index.html на уже стандартный текст про возмещение застрахованных 700 тыс, как снежинка ненависти конкретного Васи Пупкина превратится в снежный ком, сметающий очередной банк.

Я очень сомневаюсь, что защите web-сайтов банки уделяют достаточно внимания:
- физическая безопасность хостинга
- отказоустойчивость оборудования
- права доступа к ОС, к прикладу, к web-серверу
- уязвимости и обновления версий всего
- безопасность программного кода
- лояльность и уровень знаний персонала
- всё прочее

Давайте подумаем и на этот счет!

 

Круги конфиденциальности

Понятием «Круг конфиденциальности» можно оперировать при определении степени необходимой защиты для конкретной информации. Свою идею я постараюсь пояснить на основе защиты личной информации, находящейся в личных HDD личных ПК. Каким образом происходило хранение информации раньше? Вначале на обычных IDE- и компакт-дисках, позже на внешних USB-драйвах и флешках. Теперь настало облачное мировоззрение. Считается, что доверять облаку можно лишь хранение неконфиденциальных данных. Это не совсем так, более того «вываливать» в облака можно и конфиденциальные данные при соблюдении следующих принципов:

- принимаем, что спецслужбы легко могут получить доступ к зашифрованной криптостойкими алгоритмами AES-256 или ГОСТ 28147 информации (вспомните, как контролируется Skype в DLP, вам даже не нужно обращаться в Microsoft).

- определяем, для кого ваша конфиденциальная информация не является таковой (например, уровень моей зарплаты не является секретом для папуаса Новой Гвинеи, любого еврогражданина, президента США).

- помним, что потеря зашифрованной конфиденциальной информации не является утечкой.

- не забываем про сроки, в течение которых защищаемая информация остается конфиденциальной.

Исходя из этих принципов, строим план защиты (оставляем для параноиков вариант зашифрованной пару раз TrueCrypt’ом флешки):

1. Самые ценные данные отправляем в американское или еврооблако, предварительно зашифровав чем-нибудь ГОСТ’овым.

2.Менее ценные данные отправляем туда же, но без предварительного шифрования.

3. Данные не представляющие особой ценности, а таких всегда будет большинство, оставляем на хранении на территории РФ (типа Яндекс.Диск).

При такой схеме более важным, чем сами данные являются ключи шифрования таковых и доверенность среды, с которой осуществляется доступ. Разумеется, данный подход не является универсальным, а очень зависит от модели угроз. Представьте, что будет, если наши чиновники продолжат для служебной переписки использовать «безопасный» Gmail, или коммерческие фирмы продолжат использовать социальные сети в качестве базовой площадки для обсуждения Roadmap, Knowhow и прочего внутреннего документооборота.

Блокировка субъекта ПДн

В очередной раз перечитываю святое писание на тему 152-ФЗ и обратил внимание на п.1 ст.14. Цитирую:

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Следовательно, в любой момент времени можно получить заявление от клиента со словами «А заблокируйте мои персональные данные тчк». Выношу на обсуждение вопрос о том, что же такое заблокировать ПДн? Возможные варианты:

·         удалить
·         заархивировать
·         перевести все продукты клиента в неактивный статус
·         заблокировать банковскую карту, вход в Интернет банк и др.

Понятие блокирование входит в термин «обработка», т.к. является временным прекращением таковой. Если клиент предоставил неверные или неполные ПДн, оператор должен заблокировать клиентские учетные записи в своих системах. По этой логике сразу напрашивается следующий трюк. Клиентом берется кредит и вдогонку пишется заявление на блокирование ПДн. Банк теоретически переводит в неактивный статус клиента в своей кредитной системе и клиента перестают донимать вышибалы-коллекторы.

Вопрос к аудитории: что вы будете делать, и как будете отвечать клиенту, если к вам завтра придет подобное заявление?