Задача на триллионы рублей: как устроена ИБ Мосбиржи
5 мин
46
2
ИБ и операционные риски едины
На Московской бирже информационная безопасность рассматривается в связке с операционными рисками. Причина в высокой технологичности бизнеса — более половины сотрудников биржи работают в ИТ, а устойчивость ключевых процессов напрямую зависит от надёжности цифровой инфраструктуры.
Совмещение операционных рисков и ИБ в одном блоке позволяет создать полноценную вторую линию защиты. Такая структура охватывает весь спектр технологических угроз. Для Московской биржи это принципиально, ведь мы должны учитывать не только киберриски, но и любые события, способные повлиять на непрерывность работы. Масштаб операций дополнительно повышает требования к надёжности, так как общий объём торгов достигает нескольких триллионов рублей в день.
Сама структура ИБ-подразделения во многом типична для крупной компании. В нём есть направления, начиная от мониторинга и реагированию на инциденты, до управления ИБ (governance). Плюс мы активно привлекаем внешнюю экспертизу в лице крупных интеграторов и ИБ-компаний.
При этом задачи ИБ не ограничиваются только Московской биржей как отдельной компанией. В группу входит множество «дочек». Чтобы централизованно их поддерживать, создан интегратор информационной безопасности.
Shift Left в действии
Мы — единомышленники с ИТ, и давно придерживаемся принципа Shift Left: анализ кода, зависимостей и другие ИБ-проверки проводятся ещё в процессе разработки. Как это выглядит на практике? К нам приходит сотрудник с идеей нового продукта. Мы на старте оцениваем будущие риски с точки зрения информационной безопасности, ИТ, технологий и определяем необходимые меры: здесь нужно будет сформулировать функциональные требования к runtime-среде, тут — провести пентест до запуска в прод, а здесь, если не использовать эти данные, а взять агрегаты, дополнительные проверки вообще не потребуются.
Это адаптивный подход, который сокращает time-to-market для продукта. Особенно хорошо он работает с ИИ-инициативами. В зависимости от оценки рисков проект идёт либо по короткому сценарию, либо проходит полноценный процесс с пентестом и код-ревью.
Если в проекте используется ИИ, важно учитывать, для каких задач и каким образом он применяется. Например, ИИ может частично заменять BI-инструменты и помогать строить отчёты. В таких проектах ключевое значение имеют качество и структура данных, поэтому мы уделяем много внимания их подготовке и тому, как с ними работают. Многие наши ИИ-решения используются именно для анализа информации и подготовки отчётов, причём часть из них работает только с открытыми данными.
Недавно мы презентовали агрегатор рейтинга ПИФов «Фин Маяк», который собирает информацию из открытых источников, включая наши публичные API, ЦБ и другие финансовые источники. При его разработке тоже применялась модель раннего вовлечения. Поскольку продукт не требовал авторизации и не хранил ключи, мы провели минимальную проверку: убедились, что инфраструктура развёртывания не содержит известных уязвимостей, нет хранения секретов. Никаких дополнительных страшных вещей с точки зрения ИБ не нашли. И продукт появился всего за пару недель. Так выглядит правильный Shift Left: не тормозить, а оценить риски на старте и, если их нет, — дать зелёный свет без лишних бюрократических барьеров.
Использование ИИ сотрудниками
Есть несколько уровней контроля. Во-первых, на Московской бирже создана внутренняя инфраструктура для применения ИИ в рабочих процессах. Это копилоты и ИИ-помощники, которые помогают сотрудникам выполнять повседневные задачи.
Во-вторых, для сотрудников создан внутренний AI-хаб, где собрана вся необходимая информация: правила работы с ИИ, требования к проектам и порядок их запуска. Через него сотрудник может узнать, как оформить и куда направить предложение по использованию ИИ в рабочем процессе. Такие инициативы проходят скоринговую оценку, которую проводит офис развития ИИ Московской биржи. В зависимости от уровня риска проект идёт либо по короткому пути, либо проходит полный цикл проверок и согласований.
Мы поощряем более активное использование ИИ-инструментов и видим в этом серьёзный экономический потенциал. Но для инфраструктуры финансового рынка надёжность остаётся критически важной. Поэтому наша задача — найти баланс между ускорением процессов с помощью ИИ и контролем возникающих рисков.
Культура безопасности: счёт на минуты
Московская биржа относится к ключевой инфраструктуре финансового рынка, а в структуру группы входят системно значимые организации и сервисы, включая Национальный клиринговый центр (НКЦ), Национальный расчётный депозитарий (НРД) и финансовый маркетплейс «Финуслуги». Поэтому мы сталкиваемся с широким спектром угроз.
Как защищаемся? Магического решения нет. Мы постоянно испытываем себя, смотрим на эффективность средств защиты, тестируем и тренируемся.
Важная часть нашей защиты — культура безопасности. Это не просто набор тренингов или плакатов в офисе. Наши сотрудники ощущают себя частью системы ИБ. Многие интересные кейсы мы выявляем не только благодаря средствам защиты, но и потому что сотрудники видят аномалии и сообщают нам о них. Даже если сигнал в итоге не подтверждается как инцидент, для нас важно, что коллеги замечают что-то подозрительное и считают своим долгом обратить на это внимание службы ИБ.
Показательный пример — тесты по фишингу. Мы проводим их практически безостановочно. И замеряем время отклика: через сколько после начала рассылки нам приходит первое сообщение от сотрудника о подозрительном письме. Сейчас это время — меньше минуты.
Мы приучаем людей не к абстрактной бдительности, а к точной реакции. Наши фишинговые рассылки маскируются под реальные внутренние темы. Если, например, в компании идёт обсуждение страховки на следующий год, то сотрудник может получить фишинговое письмо как раз по этой теме. В таких условиях и вырабатывается правильный паттерн поведения коллег в вопросах ИБ.
Также у нас ежегодно проходит киберучение с участием топ-менеджмента. Иногда мы привлекаем внешних фасилитаторов, чтобы они помогли прописать сценарий. Он, кстати, всегда прикладной, бизнес-ориентированный. Мы не пытаемся рассказать председателю правления про реализацию какой-то конкретной CVE, а показываем, какой эффект это может оказать на бизнес. Вся игра построена вокруг последствий.
Мы последовательно разбираем сценарий атаки по этапам Kill Chain и на каждом шаге оцениваем возможное влияние на бизнес и необходимые действия. Цель таких учений — не найти «правильный ответ», а выявить слабые места в процессах реагирования. Каждый год мы добавляем новые сценарии: шифровальщики, массовые DDoS-атаки, отключение зарубежного интернета. Все обнаруженные по итогам учений проблемы затем берём в проработку.
Zero Trust в Мосбирже
Zero Trust у нас реализован через несколько механизмов: контроль доступа, аутентификацию рабочих станций и мобильных устройств, а также сегментацию инфраструктуры. Один из важных элементов — физическое разделение офисного и продуктового периметров. Это снижает не только киберриски, но и те, что связаны со сбоями и отказами ИТ-систем.
Например, даже при сбоях во внешних сетях торги продолжаются. Это возможно благодаря разделению контуров: продуктовые системы работают во внутреннем периметре и не зависят напрямую от офисной инфраструктуры и внешнего интернета.
Подход Zero Trust используется на каждом уровне: сеть, операционные системы, прикладные решения, аутентификация устройств. И, конечно, мониторинг. Мы много инвестируем в обнаружение атак внутри инфраструктуры, поскольку отрабатываем все этапы Kill Chain.
ИИ и уязвимости
Экспериментировать с ИИ для поиска уязвимостей мы начали ещё в 2018 году, то есть задолго до того, как LLM стали мейнстримом. Сейчас используем современные open-source модели, которые на основе базы известных уязвимостей анализируют инфраструктуру и код. Это ускоряет процессы, которые раньше занимали много времени и требовали отвлечения персонала. Например, есть ИИ-система, которая будет искать уязвимости в коде продуктов Мосбиржи.
Подчеркну, что мы не верим моделям на слово. В работе с ИИ используется принцип «human in the loop». Человек всегда проверяет, перепроверяет и выносит финальное суждение. При этом за последние полгода произошёл заметный прорыв в качестве моделей. Например, раньше автоматизированные агенты находили 10 уязвимостей, после проверки экспертом подтверждённой оставалась либо одна, либо ноль. Сейчас подтверждёнными могут быть все 10. Модели постепенно превосходят команды специалистов по качеству анализа защищённости.
ИИ научился находить десятки и сотни уязвимостей в готовых продуктах, которые раньше были неизвестны. И эти модели становятся доступными широкому кругу лиц, включая злоумышленников. Я вижу несколько ключевых рисков, связанных с ИИ и вайбкодингом.
С каждым месяцем навайбкодить можно всё более сложные продукты. Настанет момент, когда будет экономически нецелесообразно выполнять эту работу «руками», как прежде. Но кто гарантирует, что модели написали код безопасно? И кто проверит колоссальные объёмы сгенерированного кода? Здесь возникает парадокс. ИИ увеличивает скорость производства, снижает time-to-market. Но объёмы кода уже превышают человеческие возможности проверки в разы. Десятки бизнес-пользователей нагенерят столько контента, что сотни ИБ-специалистов не проверят за год. Поэтому мы инвестируем очень много ресурсов в автоматическую проверку.
Но конечная ответственность остаётся за человеком. Не получится свалить вину на автоматизированные системы, которые допустили или не обнаружили уязвимость. Поэтому нужен сбалансированный процесс: чтобы не тормозить развитие бизнеса и одновременно обеспечивать достаточную безопасность решений.
