Как антифрод закрывает риски, которые не закрыла информационная безопасность

Антифрод часто ассоциируют с банковскими операциями и платежным мошенничеством, однако в корпоративной среде его задачи значительно шире. Он может использоваться для защиты закупок, финансовых операций, движения товарно-материальных ценностей и других критичных бизнес-процессов, дополняя традиционные средства информационной безопасности. О том, почему антифрод нельзя сводить к внедрению информационной системы, где возникают основные риски корпоративного мошенничества и какую роль в их выявлении могут играть автоматизация и искусственный интеллект, рассказывает Алексей Сизов, руководитель департамента противодействия мошенничеству “Инфосистемы Джет”.

Антифрод начинается там, где осталась уязвимость

Что такое антифрод? Практически у каждого есть свое видение. Если говорить о представителях банков, это социальная инженерия, нелегитимные платежи, требования регулятора по уровню мошеннических операций. У оператора свои проблемы — фантомные абоненты, приземление трафика и прочее. У каждого свой образ.

С моей точки зрения, антифрод — это инструмент, который можно аккуратно сравнить с музыкальным: ему обязательно нужен исполнитель, который будет на нем играть.

При этом антифрод — это некий рубеж защиты в тот момент, когда средство информационной безопасности не справилось со своей задачей. Когда ИТ либо бизнес реализовали процесс таким образом, что в нем существуют уязвимости, которые могут эксплуатировать злоумышленники, а возможно, внутренние сотрудники. Когда в той или иной базовой информационной системе остается место, которое либо нельзя исключить, либо о нем еще не знают и которое действительно может нанести бизнесу ущерб, соизмеримый с оборотом компании.

Самая опасная зона — сотрудник и внешний мошенник

Количество киберугроз возрастает. Но среди различных типов мошенничества мы видим группу, которая относится к ответственности корпоративной безопасности как таковой.

Если посмотреть на внешнего мошенника, внутреннего мошенника и их коллаборацию, внешних мошенничеств больше. Формально, с точки зрения статистики, количество внутренних мошенников снижается. Но при этом растет самая опасная зона атак — коллаборация сотрудника с внешним мошенником.

Это человек, который знает компанию изнутри, знает ее уязвимые места, и человек снаружи, которого тяжелее отследить, поймать и найти концы потенциального преступления.

Для производственных компаний одна из главных зон риска — закупки

Если общаться с компаниями из разных индустрий и спрашивать, что относится к направлениям корпоративного антифрода и контроля служб экономической или внутренней безопасности, они выделяют разные направления. Но все они укладываются в четыре основные группы.

Производственные компании очень много внимания уделяют закупкам. Это понятно: объем закупок достаточно большой, а значит, это большой объем расходования денег. Кроме того, сегодня есть специфические условия закупок из-за рубежа с учетом параллельного импорта. Для крупных холдингов производственного сектора закупки являются направлением номер один.

Компании, связанные с оказанием услуг, и некоторые добывающие компании много внимания уделяют финансовой безопасности. Это оплаты контрагентам, счета, договоры, дополнительные соглашения и все, что существует вокруг этого.

Еще одно направление — выплаты сотрудникам: всевозможные премии, надбавки, переработки. Злоупотреблений здесь много. Они могут быть не очень большими по отдельности, но на фоне крупного предприятия превращаются в действительно большие риски.

Есть и движение товарно-материальных ценностей. Для компаний с собственной логистикой и холдингов, в которых кто-то занимается добычей, кто-то переработкой, а кто-то реализацией готовой продукции, логистические цепочки становятся большой и сложно контролируемой зоной, где многое завязано на физических процессах.

Мошенничество может скрываться в одной строке спецификации

Представим себя специалистом по закупкам строительной компании, который получает результат конкурсной процедуры. В спецификации три позиции.

Первая — российский ГОСТ на проволоку. Если мы занимаемся стройкой, абсолютно нормальная закупка.

Вторая — ГОСТ уже не наш, но это металл более твердых характеристик: это может быть арматура или более тяжелые конструкции. Тоже норма.

На бумаге, в ИТ-системе и в реальности процессы выглядят по-разному

Причин, по которым мошенничество продолжает существовать, много, но одна из первых — недостаточная прозрачность процессов и контроля.

Наш опыт работы с компаниями показывает: когда мы оцениваем определенную группу бизнес-процессов, практически всегда существуют три варианта — как процесс написан на бумаге, как он реализован в ИТ-системах и как специалисты выполняют его в своей повседневной деятельности.

К сожалению, пересечение между этими тремя группами очень небольшое. Такая непрозрачность, непонимание и отсутствие четких признаков контроля становятся серьезным фактором, который мешает вообще понимать, что происходит.

Уровень автоматизации предприятий в целом растет. Но уровень автоматизации контролирующих механизмов — систем, которые должны помогать подразделениям корпоративной безопасности, — существенно отстает от того, куда движется современное предприятие с точки зрения своих процессов.

Антифрод — это процесс

С точки зрения антифрода есть одна принципиальная вещь. Опыт большинства подразделений, которые эксплуатируют подобные системы, показывает: антифрод — это процесс.

Как только вы решите, что антифрод — это программное обеспечение, коробка, набор регламентов или какая-то другая статическая вещь, уровень защиты бизнес-направления и бизнеса в целом будет катастрофически падать. Причем не через годы, а через месяцы.

Бизнес меняется, инфраструктура меняется, внешние факторы меняются. Если система не достраивается и не видоизменяется вместе с ними, рано или поздно она начнет потихоньку умирать.

Сегодня наши заказчики выделяют три основных направления развития автоматизации внутренней и экономической безопасности.

Первое — скорость. Бизнес требует принимать решения максимально быстро: будь то экстренная или аварийная закупка или другие ситуации. Поэтому скорость проверочных мероприятий и принятия решения становится важным фактором и мотиватором для автоматизации.

Второе — доля покрытия бизнеса контрольными мероприятиями. В крупных компаниях существует градация закупок: большие суммы проходят полный контроль, для средней зоны достаточно стандартной проверки, а на закупки ниже определенной границы зачастую смотрят сквозь пальцы.

Но если построить график распределения закупок, можно увидеть, что перед пределом перехода на более высокий уровень контроля их количество может увеличиваться на 20, 30, 50 и даже 100%. Все стараются провести закупку таким образом, чтобы попасть на меньшее количество проверок.

Третье направление — повышение точности итоговых заключений.

Автоматизация требует определенного уровня зрелости

У систем автоматизации есть базовое ограничение. Можно построить прекрасный комплекс, который будет обещать 150 индикаторов подозрительных действий сотрудников, контролировать эффективность бизнес-процессов, уведомлять и даже подсказывать рекомендации.

Но, чтобы все это заработало, уровень автоматизации конкретного предприятия должен быть определенным. Иначе система превращается в коробочку, которой просто недостаточно внешних сведений для работы.

Один наш заказчик хотел построить очень эффективное средство контроля на нефтебазе: видеоаналитика, автоматические детекторы движения и так далее. Когда его спросили, чем он располагает с точки зрения измерительных приборов, оказалось: метршток — палка, которая опускается в резервуар, а результаты записываются в бумажную тетрадь.

При этом от внедряемой системы ожидали, что она сможет сделать все замечательно. Но здесь просто чуть-чуть рано.

То же самое происходит с другими процессами. Если ваша ERP-система или система взаимодействия с потенциальными подрядчиками — это до сих пор Outlook, куда приходят коммерческие предложения в PDF, значит, путь от текущего состояния до идеальной картины мира будет просто чуть-чуть дольше.

Никто не знает компанию лучше нее самой

Второй важный вопрос — конфигурация моделей рисков.

Каким бы опытным ни был подрядчик или компания, которая помогает реализовывать подобную стратегию, никто, кроме самой компании, не знает ее лучше на текущий момент и не узнает этого даже из очень длительного аудита.

Поэтому конфигурация и настройка того, что является важным и критичным, что является элементом бизнес-процесса, должны если не исходить от самой компании, то как минимум ею управляться. И информационная система антифрода должна иметь соответствующий механизм.

Иначе все, что было настроено вчера, сегодня уже будет падать в эффективности.

Пользователю сверхумной системы нужен понятный чек-лист

Еще одна проблема больших компаний, особенно тех, подразделения которых находятся в разных регионах России, в том числе отдаленных, — кадры.

Есть человек, который в конечном итоге должен принять решение и провести административное расследование на основании инцидентов, созданных системой. Этот человек мыслит чуть-чуть иначе. Ему нужна очень простая инструкция, очень понятный интерфейс, а желательно — чек-лист, что необходимо сделать с результатами этой сверхумной системы, чтобы прийти к итоговому заключению и понимать дальнейшие действия.

Поэтому простота, то, что называется user-friendly, становится очередным этапом развития таких систем.

Искусственный интеллект не поймает всех мошенников

Технологии искусственного интеллекта и машинного обучения сейчас появляются практически в каждом техническом задании.

До сих пор это часто формулируется примерно так: нам нужна математическая модель, которая поймает всех мошенников, поможет написать служебную записку, сделает за нас всю ту работу, которую мы умеем делать, но не успеваем, а еще сделает ее чуть-чуть лучше.

Красивая история, но она плохо работает по той простой причине, что чудес не существует.

Чудеса существуют в конкретно взятых точных направлениях. Сегодня корпоративная безопасность прекрасно начинает адаптировать искусственный интеллект в рутинные задачи: распознавание документов, поиск каких-либо специфических вещей в действиях сотрудников, но уже точно понятных — когда известно, что именно необходимо искать.

То есть задача сформулирована, проработана и просто взята на автоматизацию с применением этих технологий. Абсолютной идеальной картины мира искусственный интеллект вам не даст.

При этом необходимо понимать, на каких данных и с помощью каких инструментов обучаются модели. Даже честно собранная статистика иногда бывает очень противоречивой. Если просто сказать математической модели: «Найди мне мошенников» — и дать ей набор формальных критериев, можно в итоге получить среди подозреваемых тех, кто мошенником вообще не является.

Поэтому необходимо смотреть, с помощью каких данных эти модели должны учиться, и постоянно подсказывать им те или иные вещи.

Ранее RUБЕЖ разбирал, почему антифрод-сигнал требует проверки и какие риски возникают при автоматической блокировке без учета контекста.

Хороший антифрод должен видеть нарушение до принятия решения

Что такое хороший антифрод?

Возьмем закупочные процедуры со стороны тех, кто в них участвует. Если участник закупочной процедуры договорился с какой-то группой контрагентов, подал коммерческое предложение, а через три дня узнал, что конкурс уже разыгран и их почему-то не пригласили, — это хороший антифрод.

Если контрагент выставляет коммерческое предложение со спецификацией, а в итоге на торгах ему предлагают продать только определенную группу товаров, потому что остальная часть предложения может быть завышена или просто некачественно сформирована, — это тоже хороший антифрод.

В большинстве случаев хорошая система позволяет принимать решение не тогда, когда уже собирается комиссия, которая определяет победителя, сравнивает таблицы, баллы и ценовые характеристики, а еще на этапе подачи предложений.

Например, система может увидеть, что три из четырех участников делают это с одного устройства. Или что в разных коммерческих предложениях 70% почему-то одинаковые.

Современные информационные системы способны видеть такие вещи. А людей и штата сотрудников, которые есть в большинстве подразделений корпоративной безопасности, на весь объем бизнеса действительно не хватает.

Антифрод и ИБ могут дополнять друг друга

Большинство запросов к информационной безопасности с просьбой помочь решить бизнес-функцию, связанную с антифродом того или иного направления, скорее всего, упирается в обоснованное нежелание в это погружаться. Потому что у ИБ много своей работы, это все-таки отдельная экспертиза. Настоящие специалисты информационной безопасности понимают, что необходимо пройти определенный этап обучения и вовлечения, чтобы решать эту задачу.

При этом коллаборация подобных систем с информационной безопасностью уже существует. Больше 70% последних технических заданий на построение бизнес-антифрода — это интеграция с DLP, интеграция с IDM, биометрия и многие другие вещи, которые находятся в классическом ИБ.

Здесь очень хорошо приходит понимание, что одни системы могут дополнять другие. ИБ своим многообразием продуктов, услуг и сервисов заточена на закрытие конкретных рисков и уязвимостей.

Антифрод работает по принципу: все, что осталось непокрытым и что до сих пор не автоматизировано, сгружайте туда — он справится.