Файл: Разработка системы защиты персональных данных на.docx

• 
  Крипто-Про CSP;
  
• 
  Крипто-АРМ;
  
• 
  СКЗИ Верба-OW;
  
• 
  СКЗИ Валидата;
  
• 
  Signal-COM CSP.
  

Использование определённого программного обеспечения исполнителем зависит от требований определённого Федерального органа.

На границе локальной сети Банка установлен межсетевой экран Cisco ASA 5512, производства корпорации Cisco. Так же критичные банковские системы (АРМ Клиента Банка России, SWIFT, ИСПДн Банка) дополнительно отделены от локальной сети Банка межсетевыми экранами Cisco. VPN-туннели для связи с дополнительным офисом организованы с помощью межсетевых экранов Cisco.

---

1.8 Организационные меры защиты

Согласно исследованию, проведённому британской аудиторско-консалтинговой компанией Ernst&Yong в 2014 году, 69 процентов компаний, участвовавших в исследовании, считают сотрудников компании основным источником
угроз информационной безопасности.

Сотрудники компании могут по незнанию или своей некомпетентности в сфере информационной безопасности разгласить критическую информацию, необходимую для совершения целенаправленных атак на организацию. Так же злоумышленники рассылают фишинговые сообщения с вложенным вредоносным программным обеспечением, позволяющим злоумышленникам получить контроль над рабочим местом сотрудника и с этого рабочего места провести атаку на информационные системы Банка.

Поэтому в Банке отдел информационной безопасности обязан проводить работу по обучению сотрудников Банка основополагающим принципам информационной безопасности, осуществлять контроль за соблюдением требований безопасности при работе на рабочих местах, информировать сотрудников Банка о новых
угрозах информационной безопасности с которыми они могут столкнуться.

В ПАО «Витабанк» все сотрудники проходят вводный инструктаж при устройстве на работу. Так же новые сотрудники, сотрудники переведённые из других структурных подразделений проходят первичный инструктаж в отделе информационной безопасности, в ходе которого сотрудникам разъясняются основные правила информационной безопасности при работе с информационными системами Банка, правила безопасности при работе в сети Интернет, правила безопасности при работе с электронной почтой Банка, парольная политика Банка.

Сотрудники отдела информационной безопасности Банка участвуют при разработке и внедрении новых информационных систем Банка на всех уровнях разработки систем.

На этапе проектирования системы и составления технического задания на разработки информационной системы отдел информационной безопасности предъявляет требования по безопасности к системе.

На этапе разработки информационной системы сотрудники отдела информационной безопасности изучают текущую документацию, тестируют программное обеспечение на возможные уязвимости в программном коде.

На этапе тестирования и ввода в эксплуатацию информационной системы отдел информационной безопасности активно

---

участвует в тестировании информационной системы, проводит тесты на проникновение в информационную систему и тесты отказа в обслуживании, так же распределяет права доступа к информационной системе.

На этапе функционирования уже введённой в эксплуатацию информационной системы отдел информационной безопасности проводит мониторинг, выявляет подозрительную активность.

На этапе доработки информационной системы отдел информационной безопасности, основываясь на данных, полученных при эксплуатации информационной системы, выстраивает новые требования к информационной системе.

Отдел информационной безопасности в ПАО «Витабанк» согласовывает все заявки на доступ к ресурсам в сети Интернет, а также ко внутренним ресурсам Банка.

1.9 Цикл обработки персональных данных

Персональные данные, хранящиеся в Банке получены только законным путём.

Полученные персональные данные сотрудника Банка обрабатываются только для выполнения Банком своих обязанностей по заключенному с сотрудником договору. Персональные данные сотрудника Банка получены от самого работника. Все сотрудники Банка ознакомлены под роспись с документами Банка, устанавливающими порядок обработки персональных
данных сотрудников Банка, а также об их правах и обязанностях в этой области.

Персональные данные сотрудников банка, хранящиеся в ИСПДн системы контроля и управления доступом, предназначены для допуска сотрудника на рабочее место.

Персональные данные клиентов Банка, хранящиеся в ИСПДн автоматизированной банковской системы, обрабатываются в ней только для исполнения Банком обязанностей по договору, заключенному с клиентом Банка. Так же в ИСПДн автоматизированной банковской системы обрабатываются персональные данные лиц, не заключавших договор с Банком, но полученные законным путём, например персональные данные полученные и обрабатываемые по требованию Федерального закона №115-ФЗ от 7 августа 2001 года «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

---

После достижения целей обработки персональных
данных они уничтожаются или обезличиваются.

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ

В ПАО «Витабанк» система защиты персональных
данных регламентирована как законами государственного уровня, так и локальными нормативными актами (например, «Правилами дистанционного банковского обслуживания юридических лиц и индивидуальных предпринимателей в ПАО «ВИТАБАНК»» в Приложении 1).

ПАО «Витабанк» система защиты персональных
данных поставлена в достаточной степени, чтобы избежать простых атак типа фишинга и заражения рабочих станций вирусами-шифровальщиками, но она не способна противостоять таргетированным атакам, направленным на кражу персональных
данных.

Мной была проведена работа по перестроению и модернизации системы защиты персональных
данных.

---

2.1 Мероприятия по защите локальной вычислительной сети банка и информационной системы персональных данных

В сети ПАО «Витабанк» есть ярко выраженные слабые места, используя которые злоумышленники могут получить полный доступ к сети банка и перехватить над ней контроль, после чего смогут беспрепятственно украсть, изменить или удалить персональные данные клиентов или сотрудников Банка.

Так как сеть Банка представляет собой один единственный сегмент, то для минимизации рисков проникновения злоумышленников в сеть Банка, её необходимо разделить на несколько сегментов с использованием технологии виртуальных сетей.

Концепция технологии построения виртуальных сетей (VLAN) заключается в том, что администратор сети может создавать в ней логические группы пользователей независимо от того, к какому участку сети они подключены. Объединять пользователей в логические рабочие группы можно, например, по признакам общности выполняемой работы или совместно решаемой задачи. При этом группы пользователей могут взаимодействовать между собой или быть совершенно невидимыми друг для друга. Членство в группе можно изменять, и пользователь может быть членом нескольких логических групп. Виртуальные сети формируют логические широковещательные домены, ограничивая прохождение широковещательных пакетов по сети, так же, как и маршрутизаторы, изолирующие широковещательный трафик между сегментами сети. Таким образом, виртуальная сеть предотвращает возникновение широковещательных штормов, так как широковещательные сообщения ограничены членами виртуальной сети и не могут быть получены членами других виртуальных сетей. Виртуальные сети могут разрешать доступ членам другой виртуальной сети в случаях, где это необходимо для доступа в общие ресурсы, типа файловых серверов или серверов приложений, или где общая задача, требует взаимодействия различных служб, например кредитных и расчетных подразделений. Виртуальные сети могут создаваться по признакам портов коммутатора, физических адресов устройств, включаемых в сеть и логических адресов протоколов третьего уровня модели OSI. Преимущество виртуальных сетей состоит в высокой скорости работы коммутаторов, так как современные коммутаторы содержат специализированный набор интегральных схем специально разработанных для решения задач коммутации на втором уровне модели OSI. Виртуальные сети третьего уровня наиболее просты в установке, если не требуется переконфигурация клиентов сети, наиболее сложны в администрировании, т.к. любое действие с клиентом сети требует либо переконфигурации самого клиента либо маршрутизатора, и наименее гибки, так как для связи виртуальных сетей требуется маршрутизация, что увеличивает стоимость системы и снижает ее производительность.

Таким образом, создание виртуальных сетей в Банке предотвратит атаки типа ARP-spoofing. Злоумышленники не смогут перехватить информацию, проходящую между сервером и клиентом. При проникновении в сеть злоумышленники смогут просканировать не всю сеть Банка, а только сегмент сети в который они получили доступ.

При проникновении в сеть Банка злоумышленники в первую очередь будут сканировать сеть для поиска критически важных узлов сети. Этими узлами являются:

• 
  Контроллер домена;
  
• 
  Proxy сервер;
  
• 
  Почтовый сервер;
  
• 
  Файловый сервер;
  
• 
  Сервер приложений.
  

Так как в Банке локальная сеть будет организована с использованием технологии виртуальных сетей, злоумышленники не смогут без дополнительных действий обнаружить эти узлы. Для того чтобы усложнить злоумышленникам поиск критически важных узлов локальной сети и запутать их, а в дальнейшем изучить стратегию злоумышленников при проведении атаки в сети нужно использовать ложные объекты, которые будут привлекать злоумышленников. Эти объекты называются Honeypot.

Задача Honeypot – подвергнуться атаке или несанкционированному исследованию, что впоследствии позволит изучить стратегию злоумышленников и определить перечень средств, с помощью которых могут быть нанесены удары по реально существующим объектам безопасности. Реализация Honeypot может представлять собой как специальный выделенный сервер, так и один сетевой сервис, задача которого – привлечь внимание взломщиков.

Honeypot представляет собой ресурс, который без какого-либо воздействия на него ничего не делает. Honeypot собирает небольшое количество информации, после анализа которой строится статистика методов, которыми пользуются взломщики, а также определяется наличие каких-либо новых решений, которые впоследствии будут применяться в борьбе с ними.

Например, веб-сервер, который не имеет имени и фактически никому не известен, не должен, соответственно, иметь и гостей, заходящих на него, поэтому все лица, которые пытаются на него проникнуть, являются потенциальными взломщиками. Honeypot собирает информацию о характере поведения этих взломщиков и об их способах воздействия на сервер. После чего специалисты отдела информационной безопасности собирают информацию об атаке злоумышленников на ресурс и разрабатывают стратегии отражения атак в будущем.

Для контроля входящей из сети Интернет информации и обнаружения
угроз информационной безопасности на этапе их передачи по сети, а также обнаружения активности злоумышленников, проникнувших в локальную сеть Банка необходимо на границе сети установить систему предотвращения вторжений.

Система предотвращения вторжений – программная или аппаратная система сетевой и компьютерной безопасности, обнаруживающая вторжения или нарушения безопасности и автоматически защищающая от них.

Системы предотвращения вторжений можно рассматривать как продолжение Систем обнаружения вторжений, так как задача отслеживания атак остается одинаковой. Однако, они отличаются в том, что система предотвращения вторжений отслеживает активность в реальном времени и быстро реализует действия по предотвращению атак.

Системы обнаружения и предотвращения вторжений подразделяются на:

• 
  Сетевые системы предотвращения вторжений – анализируют трафик, направленный в сеть организации, проходящий в самой сети или направленный к конкретному компьютеру. Системы обнаружения и предотвращения вторжений могут быть реализованы программными или программно-аппаратными методами, устанавливаются на периметре корпоративной сети и иногда внутри нее.
  
• 
  Персональные системы предотвращения вторжений – это программное обеспечение, которое устанавливается на рабочие станции или серверы и позволяет контролировать деятельность приложений, а также отслеживать сетевую активность на наличие возможных атак.
  

Для развёртывания в сети Банка была выбрана сетевая система предотвращения вторжений.

Рассматривались сетевые системы вторжений компаний IBM, Check Point, Fortinet, Palo Alto, так как заявленный функционал производителей этих систем подходил под требования отдела информационной безопасности Банка.

После развёртывания тестовых стендов и проведения тестирования систем предотвращения вторжений была выбрана система производства компании Check Point, так как она показала наилучшее быстродействие, лучшую подсистему обнаружения вирусного программного обеспечения, передаваемого по локальной сети, лучший инструментарий по протоколированию и журналированию важных событий и цене приобретения.

Система предотвращения вторжений компании IBM была отвержена из-за стоимости устройств, превышающей бюджет отдела информационной безопасности на покупку системы предотвращения вторжений.

Система предотвращения вторжений компании Fortinet была отвержена из-за неполного срабатывания при выполнении сотрудниками отдела информационной безопасности тестов по передаче заражённых файлов и недостаточно информативного инструментария журналирования важных событий.

Система предотвращения вторжений компании Palo Alto была отвержена из-за недостаточно информативного инструментария журналирования важных событий, чрезмерной сложности работы с системой и работе в большей степени как маршрутизатор.

Для внедрения в локальную сеть была выбрана система предотвращения вторжений компании Check Point. Эта система показала высокий уровень обнаружения
угроз информационной безопасности, гибкие настройки, возможность расширения функционала за счёт приобретения дополнительных программных модулей, имеет мощную систему журналирования важных событий и мощный инструментарий по предоставлению отчётов о происшествиях, с помощью которого можно гораздо проще расследовать произошедшие инциденты информационной безопасности.

Для внедрения в локальную сеть Банка выбрана модель Check Point 4600.

Характеристики модели системы предотвращения вторжений Check Point 4600 представлены в таблице 2.

Таблица 2. Характеристики модели

системы предотвращения вторжений Check Point 4600.

Устройство	Check Point 4600
Производительность
SecurityPower	405
Пропускная способность файрволла (Гб/с)
Тестовая	9
Производительная	3.4
Пропускная способность VPN AES-128 (Гб/с)	1.5
Пропускная способность IPS (Гб/с)
Рекомендованная	1
Производительная	0.63
Число одновременных соединений	1.2 млн
Соединений в секунду	50,000
Виртуальные системы
Поддержка виртуальных систем	Да
Максимальное/поддерживаемое число	10 / 10
Аппаратные спецификации
10/100/1000Base-T портов	8-12
1000Base-F SFP портов	0-4
10GBase-F SFP+ портов	--
Память	4 Гб
Хранилище	250 Гб на жестком диске
Слоты расширения I/O	1
Плата LOM	--
Физические характеристики
Корпус	1U
Размеры	438×410×44 мм
Вес	4 кг
Электропитание
Входное питание	100240VAC, 5060Hz
Максимальная мощность одного источника питания	250 Вт
Максимальная потребляемая мощность	90 Вт

---