Файл: Исследование проблем защиты информации (Цели, задачи и принципы информационной безопасности).pdf

1. Ликвидация сведений.

Вредоносное ПО уничтожает системные данные без возможности их восстановления. Нейтрализовать последствия такой угрозы помогут регулярные резервные копирования на различных носителях (например, дискетах или флэшках).

1. Денежное воровство.

Существуют типы вредоносного программного обеспечения, которые в состоянии похитить денежные средства со счета через специальные системы дистанционного банковского обслуживания.

1. Причинение финансового вреда компании.

Для организации, осуществляющей продажи с помощью интернета, выход сайта из строя означает существенные финансовые потери. Для того чтобы «положить» сайт, применяются DDoS-атаки. Это хакерская атака на вычислительную систему с целью довести её до отказа, то есть создание таких условий, при которых добросовестные пользователи системы не могут получить доступ к предоставляемым системным ресурсам (серверам), либо этот доступ затруднён. [6]

1. Причинение вреда репутации фирмы.

Для нанесения вреда репутации компании, первым делом необходимо взломать сайт. Действия хакеров в этом случае будут зависеть от способа причинения ущерба репутации. Это могут быть, например, вредоносные ссылки, размещенные на сайте компании, при переходе по которым пользователи получают вирус, добавление вредоносного баннера или публикация политически ориентированного сообщения.

1. Хищение цифровых сертификатов IT-компаний.

Подобное хищение существенно подрывает доверие

пользователей к IT-организациям, имеющим свои публичные центры сертификации, что может впоследствии привести к сворачиванию бизнеса.

Следует отметить, что на восстановление после успешных кибератак компании тратят большие денежные средства. (см. Приложение Б)

Для защиты от каждой из перечисленных кибератак применяются различные способы. В России самую высокую эффективность показывают:

• антивирусное программное обеспечение (его используют около 60 % компаний). Тем не менее, порядка 26 % предприятий игнорируют даже такие элементарные средства защиты информации в интернете;
• контроль регулярности обновления программного обеспечения;
• управление приложениями;
• облачные сервисы.

1.3 Пути решения проблем защиты информации

К сожалению, даже самым квалифицированным в области информационных технологий специалистам, в руках у которых новейшие системы безопасности, не всегда удается успешно предотвратить кибератаку. Лишь четверть подобных угроз могут быть остановлены службой виртуальной защиты. Причина заключается в том, что огромная доля потерь данных происходит по вине некомпетентных сотрудников компании. Бороться с этим можно при помощи постоянного повышения компьютерной грамотности персонала и установки пакетов антивирусного программного обеспечения с защитой от сетевых угроз.

Ниже представлен минимальный перечень элементов, необходимых для защиты компаний малого и среднего бизнеса:

• межсетевой экран (файервол), в задачи которого входит защита от взлома компьютера и от несанкционированной передачи данных;
• антивирусная защита;
• антиспам для электронной почты;
• система предотвращения вторжений (IPS) - программное или аппаратное средство, защищающее от несанкционированного доступа к сетевой инфраструктуре или конкретным сервисам;
• URL-фильтрация - средство, ограничивающее доступ к определенным веб-ресурсам;
• защита удаленного доступа (в том числе беспроводного) при помощи создания защищенного канала подключения;
• система централизованного управления - комплекс программ, которые позволяют из одной консоли управлять всеми сервисами, обеспечивающими информационную безопасность.

Даже этих стандартных инструментов и способов защиты информации в сети Интернет достаточно для поддержания необходимого уровня безопасности в головном офисе и в филиалах компании, затраты при этом минимизируются. Экономии можно достичь и при использовании услуг внешних провайдеров, которые предлагают систему сетевой защиты за абонентскую плату (иными словами, покупать ПО не нужно, им можно пользоваться удаленно).

Однако это не поможет избежать утечки информации по вине сотрудников. Они могут действовать умышленно, продавая вашу клиентскую базу конкурентам, или непреднамеренно, ненароком выдав коммерческую тайну во время телефонного разговора с друзьями. Чтобы минимизировать эту угрозу, необходимо постоянно проводить работу с персоналов в двух направлениях:

• разъяснение (объяснительная беседа на следующие темы: специфика коммерческой тайны, деятельность информационных потоков компании, меры предосторожности при работе за компьютером и т. д.);
• повышение лояльности (различные мотивирующие мероприятия).

Даже если сотрудники компании знают о рисках утечки информации, но при этом недостаточно лояльны, вероятность подобной угрозы возрастает. Однако и высокая лояльность, сопряженная с плохой осведомленностью, может привести к негативным последствиям, поскольку снижается эффективность работы. Поэтому так важно учитывать все эти риски при налаживании бизнес-процессов фирмы.

Таким образом, для реализации основных функциональных элементов системы безопасности бизнеса применяются различные методы и средства защиты информации:

• защищенные коммуникационные протоколы;
• средства криптографии;
• механизмы аутентификации и авторизации;
• средства контроля доступа к рабочим местам сети и из сетей общего пользования;
• антивирусные комплексы;
• программы обнаружения атак и аудита;
• средства централизованного управления контролем доступа пользователей, а также безопасного обмена пакетами данных и сообщениями любых приложений по открытым 1Р-сетям.

Применение комплекса средств защиты на всех уровнях корпоративной системы позволяет построить эффективную и надежную систему обеспечения информационной безопасности.

Компании, работающие с большими объемами информации и автоматизированными системами, больше других подвержены опасности быть атакованными хакерами или вредоносными программами. Такие компании должны уделять вопросам информационной безопасности особенное внимание и следить за новинками в области IT-технологий, которые лучше помогут комании справиться с киберугрозой.

Глава 2. АНАЛИЗ ЗАЩИТЫ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ ПАО «СБЕРБАНК»

2.1.Характеристика компании ПАО «Сбербанк»

Реализация Стратегии 2014-2018, утвержденной Наблюдательным советом в 2013 году, успешно завершилась в 2017 году выполнением поставленных целей. За годы реализации Стратегии Сбербанк сохранил звание стабильного и надежного банка для населения страны, значительно развил инфраструктуру для обслуживания клиентов, а также сформировал современную, высокопрофессиональную команду специалистов, обладающих навыками управления бизнесом в непростых экономических условиях.

В 2017 году Сбербанк утвердил новую стратегию на период 2018-2020 годов. Главная цель новой Стратегии 2020 - выход на новый уровень конкурентоспособности, дающий возможность конкурировать с глобальными технологическими компаниями, оставаясь при этом лучшим банком для населения и бизнеса. Ключевая задача банка - нарастить масштабы бизнеса, повысить прибыльность и эффективность и вместе с тем увеличить гибкость, скорость и клиентоориентированность через внедрение новых технологий и развитие новых навыков сотрудников.

Ключевые направления, цели и ожидаемые результаты Стратегии 2020:

1. Лучший клиентский опыт и экосистема

• клиентский опыт в финансовой сфере
• строительство экосистемы нефинансовых бизнесов

1. Технологическое лидерство

• надежность и эффективность
• новая платформа
• безопасность
• работа с данными
• инновации

1. Люди нового качества в эффективных командах

• новые компетенции
• команды вместо иерархии
• корпоративная культура
• трансформация HR-функции

Финансовые цели:

• Прибыльность:

значительный рост значительный рост прибыли, поддержание устойчивого значения ROE20%, увеличение доли прибыли, направляемой на дивиденды

• Доходы и расходы:

устойчивый рост комиссионного дохода, снижение расходов на операционную деятельность за счет оптимизации расходов на персонал, недвижимость, устройства самообслуживания, рост расходов на внедрение новых ИТ-решений и цифровой бизнес.

• Расходы на риск:

рост достаточности капитала, реализация консервативной политики управления риском и снижение расходов на риск, управление новыми рисками.

Сбербанк сегодня - это кровеносная система российской экономики, треть ее банковской системы. Банк дает работу и источник дохода каждой 150-ой российской семье. На долю лидера российского банковского сектора по общему объему активов приходится около 30% совокупных банковских активов. Банк является основным кредитором российской экономики и занимает крупнейшую долю на рынке вкладов.

2.2. Организация защиты информации в ПАО «Сбербанк»

Стратегии информационной защиты для сектора банков довольно сильно отличаются от стратегий компаний и организаций других секторов бизнеса. Это обусловлено прежде всего специфическим характером угроз, а также публичной деятельностью банков, которые вынуждены делать доступ к счетам достаточно легким с целью удобства для клиентов.

Информационная безопасность банка должна учитывать следующие специфические факторы:

1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньги.

На основе информации, содержащейся в банковских компьютерах, производятся выплаты, открываются счета, выдаются кредиты, а также переводятся большие суммы денег. Поэтому ясно, что несанкционированное манипулирование с подобной информацией может повлечь серьезные убытки для клиентов банка. Данная особенность резко расширяет число преступников, совершающих покушения именно на банки.

1. Информация в банковских системах затрагивает интересы большого количества людей и организаций - клиентов банка.

Как правило, клиенты предоставляют банку конфиденциальную информацию и потому ожидают, что банк несет ответственность за то, что данная информация находится в строгой секретности. Если банк не выполняет это условие, он рискует своей репутацией со всеми вытекающими отсюда последствиями.

1. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступом.

Клиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими денежными средствами. Однако такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.

1. Информационная безопасность банка (в отличие от большинства компаний) должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуаций, поскольку банк несет ответственность не только за свои средства, но и за деньги клиентов.

Сбербанк использует современные системы информационной безопасности для обеспечения безопасного и полнофункционального обслуживания клиентов. В 2017 году применение искусственного интеллекта и аналитических измерений для определения мошеннических операций, при которых клиент добровольно передает информацию мошенникам, позволило хеджировать около 97% такого риска со стороны клиента. За 2017 год было пресечено более 300 тыс. попыток хищения средств физических и юридических лиц, предотвращен ущерб на сумму более 40 млрд руб.

Сбербанк уделяет особое внимание кибербезопасности. Банк научился успешно противодействовать киберпреступности с помощью интеллектуальной системы защиты клиентов. Проект Сбербанка «Фрод-мониторинг для удаленных каналов обслуживания физических лиц» стал бронзовым призером международного конкурса IPMAInternationalProjectExcellenceAward 2017. В рамках масштабного проекта, который длился 15 месяцев, в Сбербанке была внедрена уникальная система фрод-мониторинга, созданная на основе искусственного интеллекта. Система в автоматическом режиме защищает клиентов от некорректных действий, вызванных недостаточным знанием правил кибербезопасности.