Безопасность цифрового рубля и трансформация платежного рынка: круглый стол IT-World
Пилотирование продлится столько, сколько нужно
О переносе массового запуска цифрового рубля, который был намечен на 1 июля текущего года, IT-World уже сообщал своим читателям. О новых датах мегарегулятор пока не информировал, но предполагается, что пилотный проект продлится, как минимум, до конца текущего года.
Что нам известно о бизнес-модели и функционале третьей формы национальной валюты? Пока очень мало - только скромный набор несложных базовых операций с цифровым рублем, которые уже больше полутора лет обкатываются в рамках пилотного проекта. И, исходя из этого, представить в деталях полную экономическую модель, которая сегодня обсуждается между мегарегулятором и банками, пока крайне затруднительно.
Виктор Достов, председатель Совета Ассоциации АЭД Есть одна простая и понятная проблема. Функционал цифрового рубля является закрытым. Нет публичного анонса того, что делается и того, что предстоит сделать. Это доступно только банкам. То, что мы видим - крайне небольшой набор операций, доступный физлицам и мерчантам. Это тривиальные базовые операции, перевод денег и оплата в точках продаж. И довольно сложно из этого маленького набора данных сделать большую экстраполяцию.
Между тем, Центробанк РФ с самых первых шагов создания концепции цифрового рубля рассматривал его исключительно в качестве расчетного инструмента, не предполагая таких его функций, как выгодное накопление, инвестирование и кредитование. Поэтому опасаться сколь-нибудь значимого оттока средств с банковских депозитов с внедрением новой формы рубля не стоит. К тому же на эту тему серьезные исследования вели Международный валютный фонд, Банк международных расчетов (Bank for International Settlements), центробанки ряда стран, внедряющих проекты CBDC, и все они считают этот риск малосущественным.
За пять лет после запуска цифрового рубля банки могут потерять до 250 млрд рублей, а торгово-сервисные точки будут выигрывать по 80 млрд рублей в год. К таким выводам пришли аналитики консалтинговой компании «Яков и Партнеры» (ранее McKinsey в России). Исследование под названием «Будущее платежных систем определено?» было обнародовано в начале 2023 года.
Тем не менее банкам понадобилось дополнительное время для переработки своих финансовых стратегий. С введением цифрового рубля ощутимые трансформации ожидают рынок транзакционных комиссий, составляющих значимую часть доходов банковского бизнеса.
Денис Поляков, руководитель практики «Цифровая экономика» GMT Legal В цифровых рублях нельзя выдавать кредиты, соответственно, цифровой рубль останется только как расчетный инструмент. Исходя из этого, полноценного оттока из депозитов не будет. Однако очень большой объем выручки банков составляют именно транзакционные комиссии, которые банки берут чаще всего с юридических лиц за проведение операций. Система цифрового рубля этот вид дохода у банков фактически забирает, поскольку издержки за переводы цифровых рублей значительно ниже.
И на этом поле конкурировать с цифровым рублем придется Системе быстрых платежей (СБП). Но каждая из этих систем в том или ином сегменте переводов будет выгоднее или удобнее, чем конкурент. Для розничных C2C-переводов разница в комиссиях невелика, и что здесь использовать – зависит, скорее, от привычек потребителя. Большинство C2C-переводов и сегодня не облагается комиссией.
Для рынка B2B, где переводятся крупные суммы, цифровой рубль выглядит более привлекательно. Он более защищен, сделки сопровождаются электронной подписью пользователей – следовательно, являются юридически значимым фактом, по которым возможен, в том числе, и арбитраж.
Вполне вероятно, считают эксперты круглого стола IT-World, что в сфере трансграничных платежей с внедрением цифровых валют центральных банков начнется какая-то новая эра, с новыми портфелями валют, с новой корзиной резервных валют BRICS и так далее. А применение в продуктах на базе CBDC постквантовых криптографических алгоритмов, о которых задумываются эксперты финтех рынка, по уровню надежности оставит далеко позади SWIFT с протоколом ISO 20022 и MasterCard и Visa с протоколом ISO 8583.
Цели, задачи, технологии - в ходе тестов может измениться все
Цифровой рубль – инструмент инновационный. В ходе пилотной обкатки могут измениться, порой кардинально, цели проекта, технологии, команды, дизайн платформы нового инструмента, как на уровне централизованной платформы, так и на уровне конечных мобильных устройств клиентов, могут изменяться бизнес-процессы. Могут переосмысливаться проблемы, обнаруживаться новые макроэкономические и технологические риски и угрозы. Могут создаваться инновационные финансовые продукты и сервисы, и даже проявляться такие качества нового инструмента – а в мире цифровых финансовых технологий возможно и такое – о которых его создатели не задумывались.
Сергей Добриднюк, замдиректора департамента «Цифровые решения», руководитель продуктового направления «Электронные онлайн платежи», «Диасофт» Мы с коллегами видели, как порой глубоко менялись даже форматы цифрового рубля. Практически 80% протоколов было изменено, что, конечно, вызвало ужас в рядах айтишников, которые не закладывали это в свои продукты. На нашем решении сейчас работают 6 банков из 21, пилотирующих проект. Мы видим, как происходит некое взросление, переосмысление ряда проблем, некоторые еще три года назад казались легкими, а сегодня выясняется, что это угроза и она срабатывает. Риск антифрода, риск социальной инженерии, риск некоторой переоценки технических возможностей…В ходе пилота могут меняться цели, могут меняться технологии, меняться команды. И это нормально. Поэтому режим «песочницы» здесь очень разумен.
Все эти технологические, организационные и бизнес-находки - это новые точки роста для продукта, обнаруженные порой и случайно – очень разумно обкатать именно в формате «песочницы» и оформить в виде проекта с нормативными актами, не вступающими в противоречие с уже действующим законодательством. Так же, как и найти и исправить ошибки и недочеты, которые обязательно обнаруживаются в ходе пилотных испытаний. Написать закон, положение о цифровом рубле, не зная до конца об этом явлении и не понимая, как оно работает и проявляет себя, очень трудно.
Цифровые валюты центробанков как глобальный тренд
Цифровые валюты центральных банков (CBDC) – тренд общемировой. Больше, чем в сотне стран сегодня эти проекты находятся на разных стадиях – от исследования возможности до массового использования цифровых государственных валют. Такой тренд имеет вполне объективные предпосылки, от повсеместного проникновения цифровых платформ до запросов со стороны бизнеса на надежный и устойчивый финансовый инструмент. И все происходящее сегодня на рынках других стран можно анализировать, выявлять общие тренды и риски и учитывать все это в собственных разработках.
Проекты CBDC разных государств, многие из которых, как анонсировано ими, строятся на технологии блокчейн, создают предпосылки для более простой интеграции этих технологий, для перевода и обмена активов, для формирования новой, более оптимальной платформы трансграничных платежей.
Интеграция цифрового рубля потребует значительных усилий
"Блокчейны представляют технологическую возможность для создания так называемых мостов для перевода и обмена активов. Соответственно, при использовании этих технологий создаются предпосылки для более простой их интеграции, - комментирует Денис Поляков, GMT Legal. - Соответственно, при использовании этих технологий создаются предпосылки для более простой их интеграции. Видится, что использование CBDC в первую очередь может быть полезно для создания в будущем платформы, которая позволит обменивать эти цифровые финансовые валюты в рамках разных систем. Видится, что использование CBDC в первую очередь может быть полезно для создания в будущем платформы, которая позволит обменивать эти цифровые финансовые валюты в рамках разных систем".
Нельзя не вспомнить, что тема трансграничных расчетов для нашей реальности очень важна. Но говорить о перспективах трансграничных платежей с применением CBDC в целом и цифрового рубля в частности пока еще рано. У каждого центробанка, внедряющего CBDC, своя технологическая платформа, у каждого проекта – технологические особенности и надстроечные сервисы. Одних только блокчейнов в мире существует уже несколько сотен. И процесс взаиморасчета между центральными банками без серьезных технологий, которые будут учитывать взаимные форматы CBDC, пока представить сложно.
Алексей Голенищев, независимый эксперт в сфере безопасности платежных систем У меня не столь радужные ожидания в плане развития трансграничных платежей. Если говорим о центральных банках других стран, у каждого из них своя платформа, и вряд ли они совместимы друг с другом. Пусть это общая блокчейн-технология, тем не менее, в плане разработки и определенных технических нюансов они различаются. И наладить расчет между центральными банками без каких-либо серьезных технологий, которые будут учитывать взаимные форматы, достаточно сложно. При этом санкции против РФ, в том числе финансового рынка, никто не отменял, неизвестно, когда их отменят, и отменят ли вообще, а «российский след» и в формате CBDC прекрасно отслеживается.
Но, как отметили спикеры круглого стола IT-World, ни о каком публичном блокчейне в платформах цифровых валют и речи не идет. Более того, почти половина проектов CBDC в мире базируется вовсе не на блокчейне. Поэтому часть проблем, которые связаны с этими новыми технологиями, можно решить более каноническими путями. Серьезной проблемой для системы, которая должна обрабатывать сотни тысяч транзакций в секунду, является и быстродействие блокчейна, и, возможно, для проектов подобного рода блокчейн не очень пригоден.
«Разговор про блокчейн довольно бесплоден, потому что мы не знаем, какой именно блокчейн используется, как решается проблема быстродействия, проблема безотзывности. Массовая версия – то, что на самом деле никакого блокчейна цифрового рубля нет», - резюмирует Виктор Достов, АЭД.
Новая форма нацвалюты - новые риски
Новые риски, связанные с цифровым рублем, на рынке, несомненно, появятся. Но речь идет не о дополнительных рисках с точки зрения информационных технологий, не о возможности взлома платформы цифрового рубля, не о перспективе взлома блокчейн-технологии, которая используется в проекте.
Сама платформа, оператором которой является ЦБ РФ, достаточно хорошо защищена технологически, с использованием многомерной (асимметричной) криптографии. К тому же имеется матрица MITRE ATT&CK - база знаний, выработанная в том числе и в рамках рекомендаций Базельского комитета по банковскому надзору, которая позволяет оценить зрелость платформы реализации CBDC с точки зрения противодействия APT-атакам (постоянным серьезным угрозам).
Прикладное ПО для мобильных приложений банков, участвующих в проекте, должно проходить проверку в криптографической лаборатории ФСБ. И со стороны самого мегарегулятора, и со стороны таких ведомств, как ФСБ и ФСТЭК, требования к информационной безопасности системы очень высоки.
Алексей Голенищев, независимый эксперт: "«Я предполагаю, что мы будем иметь на рынке дополнительные риски, связанные с цифровым рублем. Скорее всего, это будут не какие-то дополнительные ИТ-риски. Сама платформа, оператором которой является ЦБ РФ, достаточно хорошо защищена технологически, с использованием многомерной (асимметричной) криптографии.
Но, например, для сравнения: при атаках на криптовалюты хакеры взламывают не блокчейн-сети, а так называемые надстроечные сервисы — криптобиржи, криптообменники, криптомосты. В цифровом рубле также будут задействованы внешние сервисы, в том числе банковские приложения, которые могут быть сломаны посредством социальной инженерии».
Сергей Дурягин, вице-президент ИнфоТеКС У криптографов есть такое понятие, как оценка влияния среды функционирования. Банки по требованиям регулятора в лице 8-го центра ФСБ должны не только встроить средства криптографической защиты информации (СКЗИ) в прикладное ПО, например, автоматизированную банковскую систему (АБС) либо систему дистанционного банковского обслуживания (ДБО), но и провести оценку отсутствия деструктивного влияния на них со стороны использующих их программ. Участвуя в пилоте проекта по цифровому рублю, мы проводим с банками разъяснительную работу, рассказываем, как проводить оценку влияния, и объясняем, что без этого мы будем иметь достаточно большое количество рисков.
И тут нельзя забывать, что социальную инженерию никто не отменял, а человеческий фактор в контексте информационной безопасности остается одним из главных рисков. Справедливость этого утверждения только подтвердило одно из крупнейших криптохищений современности – в прошедшем феврале взлому хакеров подверглась криптобиржа Bybit, потерявшая $1,4 млрд клиентских средств и вынужденная восстанавливать их. Но, комментирует Алексей Голенищев, хакеры взломали не саму технологию блокчейна, а посредством социальной инженерии и более глубокого программного внедрения взломали так называемый «холодный кошелек», где находились средства биржи, и очень грамотно вывели их.
«Социальные инженеры» всегда на шаг впереди.
Учитывая, что третья форма нацвалюты уже пропагандируется мегарегулятором как надежное средство хранения, число возможных мошеннических сценариев будет только возрастать. Потенциальных жертв будут склонять к переводам средств на «безопасный счет», «сейфовый счет», чтобы якобы «сохранить и обезопасить цифровые рубли». Уже сейчас мошенники предлагают купить цифровой рубль, в том числе и «записанный на физическом носителе».
Николай Афонычев, ведущий менеджер по продажам «Диасофт» Платформа цифрового рубля - одна из самых защищенных систем. Со стороны регуляторов – ЦБ РФ, ФСБ, 8-го центра ФСТЭК - требования к информационной безопасности очень высоки. Но от социальной инженерии никуда не деться, ее надо принять как риск. Цифровой рубль еще не успели запустить, а мошенники уже эксплуатируют эту тему. И чем чаще люди и организации будут пользоваться цифровым рублем, тем больше будет таких попыток.
Сама идеология новой формы нацвалюты предусматривает, что кошелек с цифровыми рублями клиента будет храниться на платформе ЦБ РФ, а доступ к нему клиент сможет получить из приложения любого банка. И если при атаке мошенников на цифровой кошелек клиента система мониторинга одного банка сможет обнаружить подозрительную активность, то, что происходит в мобильном приложении другого банка, как и то, что происходит в самом цифровом кошельке, для нее может остаться невидимым.
Избыточное госрегулирование vs тайна частной жизни
Отправитель сможет маркировать цифровые рубли, проследить за движением каждой цифровой купюры и узнать, на что получатель их потратил. А государство в лице Центробанка получит возможность следить за тратами каждого россиянина, и отключать от цифрового кошелька буквально каждого. И это – один из главных страхов социума, давший пищу километрам слухов, сплетен и фейков. «Цифровой концлагерь», «тотальная слежка», «сверхрегулирование», «поголовное чипирование» и «вмешательство в частную жизнь» - именно такими эпитетами награждают проект цифрового рубля.
Впрочем, такие страхи - не новость. Если вспомнить, точно также в социуме боялись паспортов с чипами, банковских карт, штрих-кодов, биометрической идентификации, цифровых медицинских карт и многих других цифровых новинок. И точно также вокруг них создавалось и эксплуатировалось огромное количество мифов и фейков. Но подобное цифровое неравенство в компетенции, в знаниях может быть даже хуже, чем имущественное неравенство. Ведь жить в современном технологическом мире и не владеть технологиями – значит резко снижать качество жизни, считают спикеры, лишать себя благ цивилизации.
Но при этом и сегодня, если вдруг у государства возникнут опасения в отношении участия физического лица или организации в незаконной деятельности, вывести его из финансовой системы и заблокировать все банковские счета не составляет никаких проблем – все механизмы для контроля у государства есть уже и сейчас. Так что в этом отношении к страхам опасающихся сверхрегулирования со стороны государства не прибавилось ничего нового. К тому же не стоит забывать, что остаются и наличные расчеты.
С точки зрения госзакупок, ужесточения контроля именно за бюджетными платежами, борьбы с коррупцией, с теневой экономикой и прочими злоупотреблениями с платежами от государства и в адрес государства применение цифровых рублей в операциях такого рода видится только со знаком плюс. Именно в бюджетных платежах планируется наиболее активное применение цифрового рубля, и цифровые кошельки будут открываться и бюджетным организациям.
Национальный – значит импортонезависимый
Цифровой рубль – это проект, который должен быть максимально независимым от импортных технологий. И рынок готов к тому, чтобы все эти потребности реализовать, считают спикеры круглого стола IT-World.
Помимо этого, участники отечественного кредитно-финансового рынка (банки), как владельцы объектов КИИ, также попадают под указы Президента. С 1 января 2025 года им предписано отказаться от использования «недружественного» ПО для защиты информации, а с 2030 года - полностью перейти на отечественные ПАКи. Контролирует и мониторит процесс перехода финансовых организаций на отечественные продукты мегарегулятор.