Защита данных по картам «Мир» должна обеспечиваться «с помощью российских аппаратных устройств». А именно — банки должны устанавливать отечественные криптомодули в процессинговые центры и банкоматы, а также использовать в устройствах российские алгоритмы шифрования. Такое требование к российским банкам в рамках проекта внедрения национального «пластика» выдвигает Федеральная служба безопасности (ФСБ). Об этом «Известиям» сообщил близкий к Центробанку источник. Новация ставит под вопрос целесообразность массового выпуска карт «Мир».

По словам источника, свою позицию ФСБ высказала в ходе недавних встреч с представителями регулятора и банков. Чтобы выполнить требование ФСБ, кредитным организациям придется переоборудовать процессинговые центры и банкоматы, что грозит существенными затратами. По оценкам участников рынка, затраты одного банка на выполнение требований ФСБ могут достигать €30–60 тыс. Причем, по требованию ЦБ, банки должны переоборудовать АТМ и POS-терминалы под прием национальных карт до 1 июня 2016 года. Источник указал, что ФСБ считает нужным усилить защиту по картам «Мир», в связи с тем что Национальная система платежных карт разрешила при эмиссии карт «Мир» использовать чипы не только отечественного производства, но и микросхемы, произведенные за рубежом.

Еще в феврале 2015 года замначальника отдела Центра защиты информации Федеральной службы безопасности Владимир Простов раскритиковал идею НСПК использовать на своем оборудовании криптографические модули британско-французской компании Thales. Кроме того, в декабре 2014 года сообщалось, что софт для НСПК разработает «дочка» бельгийской компании Openway. В НСПК тогда заверили, что компания применяет российские системы безопасности, свое программное обеспечение, созданное командой разработчиков внутри компании. В НСПК сочли комментарии по теме преждевременными. ФСБ не предоставила оперативный комментарий.

— В перспективе — к 2018 году — карта «Мир» должна работать как в России, так и за рубежом, а это логичнее обеспечить с помощью алгоритмов шифрования, которые должны быть совместимы со всей международной инфраструктурой, — указывает источник, близкий к НСПК. По словам руководителя разработки карточных продуктов группы Бинбанка Никиты Игнатенко, рынок привык работать с иностранными чипами, на них получены сертификации, созданы специальные алгоритмы отказоустойчивости и есть статистика и понятный план действий в нештатных ситуациях (например, при сбоях оборудования, частичном или полном отказе чипа и т.п.).

— При переходе на отечественное оборудование, как и в целом при любой смене оборудования, весь путь сертификаций, доработок ПО и тестирования нужно будет пройти заново, а поскольку для российских чипов еще слишком мало экспертизы и опыта в этих вопросах, этот путь может быть весьма сложным, — отмечает представитель Бинбанка. — С другой стороны, не поддержать российского производителя при построении Национальной платежной системы было бы нелогично, даже учитывая все возможные сложности внедрения. По словам зампреда Локо-банка Андрея Люшина, западные решения в области шифрования более продуманны, доступны и обкатаны в деле, чем российские, и банки, покупая системы шифрования и оборудование для него на Западе, проявляют заботу о клиенте.

— Спецслужбы же проявляют заботу о безопасности страны в целом, и их тоже можно понять, но для того чтобы внедрять отечественные системы шифрования, нужно срочно вкладывать туда большие средства, чтобы сократить время на доработку этих систем, — поясняет Андрей Люшин. — Для конечного пользователя все равно, какую систему шифрования использовать: его интересует дешевизна выпуска карты, ее обслуживания, защищенность операций. Пока по этим параметрам зарубежные решения оптимальны, и я далек от мысли о том, что британские или французские производители могут закладывать в свои системы шифрования какие-то так называемые бэкдор-приложения для скрытного копирования данных клиентов: их репутация на международном рынке стоит гораздо дороже, чем даже десяток контрактов с российскими банками.

По оценкам Андрея Люшина, адекватные вложения в разработку отечественных криптомодулей (которые дадут результат, сопоставимый с западными аналогами) — от $500 млн. Замдиректора департамента аудита защищенности Digital Security Глеб Чербов указывает, что причины требований ФСБ понятны, но не исключено, что главной причиной нововведения является вовсе не необходимость увеличить уровень защищенности национальной платежной системы, а следование государственной политике импортозамещения.

— Такая замена гипотетически способна повысить устойчивость платежной системы скорее перед глобальными политическими угрозами, нежели перед каждодневными рисками, связанными с мошенничеством и атаками на банки, — отметил Глеб Чербов. — Этот резкий шаги может обернуться сложностями. Например, необходимостью интеграции новых технических решений, вынужденной модернизацией оборудования. Но так или иначе, отказ от использования зарубежных аппаратных средств должен послужить хорошим стимулом для отечественных производителей. Первый вице-президент Российского союза инженеров Иван Андриевский считает, что основания для усиления защиты НСПК существуют.

— Через иностранные криптографические модули теоретически можно будет осуществить блокировку российских карт, — говорит Иван Андриевский. — Однако насколько необходимо усиление защиты именно на аппаратном уровне — большой вопрос. Это грозит банкам серьезными издержками. К тому же в ФСБ признают, что пока надежность российских аналогов под вопросом, да и отечественных производителей аппаратных модулей на рынке практически нет. Иван Андриевский предполагает, что сейчас такие радикальные меры и не нужны — не исключено, что замены на уровне программного обеспечения будет вполне достаточно.