ЦБ опубликовал "статистику" по 203-й и 258-й формам отчетности

Мы ждали, ждали и наконец дождались... Банк России опубликовал обзор по несанкционированным переводам денежных средств в 2014-м году или, иными словами, статистику по 203-й и 258-й формам отчетности. Я не буду пересказывать или копипастить этот отчет - он небольшой, всего 17 страниц. Обращу внимание только на следующие моменты:

• Отчет красивый :-)
• Статистики по второму полугодию 2013-го года у нас нет и, видимо, уже не будет. Предыдущая статистика была только за первое полугодие 2013-го года и вот статистика за 2014-й. Не смертельно, но все-таки.
• Статистика по 4 видам хищений - по платежным картам, по ДБО, по электронным денежных средствам и при взаимодействии банка с платежной системой.
• Отчетность по инцидентам ДБО не совпадает с предварительной статистикой, озвученной ДНПС на Магнитогорском форуме. Причем если по платежным картам статистика совпадает полностью, то по ДБО расхождения сильные и я не могу понять почему.

Предварительная (слева) и итоговая (справа) отчетность

• Объем хищений через ДБО и через карты составляет около 3 с половиной миллиардов рублей, что не стыкуется с оценками Group-IB. Последние объем рынка Интернет-преступлений в финансовой сфере оценивают в 615 миллионов долларов, т.е. 30 миллиардов рублей. Шеститикратное расхождение. На самом деле оно больше, т.к. объем преступлений через ДБО, по оценкам Банка России, меньше в два раза, а значит расхождение будет уже на порядок.
• Не указано, делался ли перерасчет цифр и их нормализация в связи с тем, что в прошлом году был серьезный скачок курса валют и поскольку отчетность за 4-й квартал присылали в ЦБ еще в январе, то не совсем понятно, какой курс учитывался. Особенно актуально это для расчетов по картам, поскольку около 350 миллионов рублей - это оценка потерь по картам, эмитированным за пределами РФ (т.е. они привязаны к иностранной валюте), а около 670 миллионов рублей - это оценка потерь по картам за пределами РФ. Иными словами, по двум третям суммы карточных потерь есть вопрос - насколько она точна и учитывает двухкратный скачок курса рубля к валюте?
• В Северо-Кавказском федеральном округе, наконец-то, зафиксированы инциденты :-) В прежних отчетах в этом регионе было нулевое значение киберпреступности :-) При этом основой канал мошенничеств по картам на Кавказе - это Интернет и мобильная связь - очень сильно выпадает это значение на фоне других регионов. Но все равно Кавказ, после Крыма, - самый безопасный регион по версии Банка России. Еще бы привязать эти абсолютные цифры к числу финансовых организаций и клиентов, чтобы понять реальное состояние дел.
• Объем преступлений по картам и по ДБО примерно равны - по полтора миллиарда рублей.

Вот такие краткие результаты. Если честно, то я не в восторге от отчета. Он красиво выглядит, он отлично воспринимается журналистами (они любят цифры потерь), но вот для службы или специалиста ИБ участника национальной платежной системы данных для принятия решений в отчете почти нет. По сути хоть какая-то аналитика (например, по месту совершения преступления) есть только по платежным картам. Но ведь это не 203-я форма отчетности, а 258-я. Если вспомнить, что отдается в ДНПС по 203-й форме, то мы увидим:

203-я форма отчетности - текущий период

203-я форма отчетности - предыдущий период

И где в представленном отчете Банка России информация по типам инцидентов, по их причинам, по их описаниям, по нарушенным требованиям 382-П, по последствиям, по факту обращения в правоохранительные органы? Увы, ничего этого нет. То есть понять, что служит причиной кражи тех миллиардов, о которых говорит ЦБ, невозможно. А значит невозможно и улучшить систему защиты Национальной платежной системы :-( И возникает вопрос, а зачем тогда эта отчетность нужна, если никто не делает по ней никаких выводов? Или в ДНПС не осталось никого, кто это мог бы делать? Тогда может быть отдать отчетности в ГУБЗИ? Там есть кому понять, что значат все поля 203-й формы, а не только сумма похищенных или готовящихся к хищению средств.