Файл: Система защиты информации в банковских системах (Угрозы информационной безопасности со стороны персонала банка).pdf

ВВЕДЕНИЕ

Банковская система является одним из основных организаторов экономической жизни страны. Поэтому негативные тенденции в деятельности этой системы, многократно умножаясь, оказывают огромное влияние
на состояние всего процесса функционирования экономики.
От эффективности функционирования банковского бизнеса в значительной степени зависят успех в преодолении экономического кризиса, снижение инфляции и финансовая стабилизация. Таким образом, возникла острая необходимость обобщения, анализа и систематизации накопленного отечественного и зарубежного опыта в банковском деле, особенно с позиций формирования условий устойчивого развития коммерческих банков России. Изучение этих вопросов приобретает в настоящее время исключительно высокую научную и практическую значимость.

Банки – огромное достижение цивилизации. Они представляют собой экономические органы, предназначенные для обслуживания всех рыночных отношений. Банки следует рассматривать как важную составную часть бизнеса, делового мира. Они аккумулируют денежные средства, предоставляют кредиты, проводят денежные расчеты, эмитируют в обращение денежные знаки, обслуживают рынки ценных бумаг, оказывают многообразные экономические услуги. В настоящее время большое внимание уделяется вопросам защиты информации в банковских системах. Комплексное сочетание криптографических, полиграфических и голографических технологий защиты информации позволяет создать многоуровневую систему контроля подлинности документов, удостоверяющих личность гражданина
и обеспечить защиту документа от подделки.

Данные о клиентах банка, их счетах и операциях интересны не только конкурентам, но и преступникам, которые для несанкционированного доступа к ним используют все возможные средства. Поэтому к банковским системам защиты конфиденциальной информации предъявляются особые требования.

Вся коммерческая информация, хранящаяся и обрабатываемая
в кредитных организациях, подвергается самым разным рискам, связанным
с вирусами, выходом из строя аппаратного обеспечения, сбоями операционных систем и т.п. Но эти проблемы не способны нанести сколько-нибудь серьезный ущерб. Ежедневное резервное копирование данных, без которого немыслима работа информационной системы любого предприятия, сводит риск безвозвратной утери информации к минимуму. Кроме того, хорошо разработаны и широко известны способы защиты от перечисленных угроз. Поэтому на первый план выходят риски, связанные
с несанкционированным доступом к конфиденциальной информации.

Актуальность проблемы: Банковская деятельность связана
с обработкой и хранением большого количества конфиденциальных данных. Информация, используемая банками, представляет большой интерес для преступников. Поэтому безопасность банковских систем является важной задачей системы безопасности.

Цель: Изучить систему безопасности банковских систем.

Задачи:

1. Изучить данные нормативных документов и литературных источников о системе защиты информации в банковских системах;
2. Выявить особенности защиты информации в банковских системах;
3. Определить роль человеческого фактора в обеспечении информационной безопасности;
4. Изучить безопасность информации в банковских системах.

Объект исследования: информационная система банков.

Предмет исследования: безопасность информационных систем банков.

Методы исследования: теоретические методы: анализ, синтез.

Практическая значимость исследования состоит в том, что информационная безопасность банков выходит на первый план среди других проблем, решаемых банками.

Работа состоит из введения, трех глав, раскрывающих основное содержание работы, заключения и списка использованной литературы.

Во введении раскрыта актуальность работы, представлены цель, задачи, объект и предмет курсовой работы, методы исследования. Раскрыта практическая значимость курсовой работы.

В первой главе представлены особенности системы безопасности банковской системы и особенности преступлений в сфере банковского дела.

Во второй главе раскрыта роль человеческого фактора в системе безопасности банковской информации. Представлены рекомендации
по приему и увольнению персонала, сбору тщательной информации
о сотрудниках.

В третьей главе представлены безопасность АСОИБ, безопасность электронных платежей, платежей физических лиц.

В заключении представлены основные результаты, полученные в рамках данного исследования.

1. ОСОБЕННОСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БАНКОВ

Стратегия информационной безопасности банков весьма сильно отличается от аналогичных стратегий других компаний и организаций. Это обусловлено прежде всего специфическим характером угроз, а также публичной деятельностью банков, которые вынуждены делать доступ к счетам достаточно легким с целью удобства для клиентов.

Обычная компания строит свою информационную безопасность, исходя лишь из узкого круга потенциальных угроз — главным образом защита информации от конкурентов (в российских реалиях основной задачей является защита информации от налоговых органов и преступного сообщества с целью уменьшения вероятности неконтролируемого роста налоговых выплат
и рэкета). Такая информация интересна лишь узкому кругу заинтересованных лиц и организаций и редко бывает ликвидна, т.е. обращаема в денежную форму.

Информационная безопасность банка должна учитывать следующие специфические факторы:

1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньги. На основании информации компьютера могут производится выплаты, открываться кредиты, переводиться значительные суммы. Вполне понятно, что незаконное манипулирование
с такой информацией может привести к серьезным убыткам. Эта особенность резко расширяет круг преступников, покушающихся именно на банки
(в отличие от, например, промышленных компаний, внутренняя информация которых мало кому интересна).

2. Информация в банковских системах затрагивает интересы большого количества людей и организаций — клиентов банка. Как правило, она конфиденциальна, и банк несет ответственность за обеспечение требуемой степени секретности перед своими клиентами. Естественно, клиенты вправе ожидать, что банк должен заботиться об их интересах, в противном случае он рискует своей репутацией со всеми вытекающими отсюда последствиями.

3. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступом. Поэтому клиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими деньгами. Но такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.

4. Информационная безопасность банка (в отличие от большинства компаний) должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуаций, поскольку банк несет ответственность не только за свои средства, но и за деньги клиентов.

5. Банк хранит важную информацию о своих клиентах, что расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

Преступления в банковской сфере также имеют свои особенности [2, с.16]: многие преступления, совершенные в финансовой сфере, остаются неизвестными для широкой публики в связи с тем, что руководители банков не хотят тревожить своих акционеров, боятся подвергнуть свою организацию новым атакам, опасаются подпортить свою репутацию надежного хранилища средств и, как следствие, потерять клиентов.

Специфика защиты автоматизированных систем обработки информации банков (АСОИБ) обусловлена особенностями решаемых ими задач:

Как правило АСОИБ обрабатывают большой поток постоянно поступающих запросов в реальном масштабе времени, каждый из которых не требует для обработки многочисленных ресурсов, но все вместе они могут быть обработаны только высокопроизводительной системой;

В АСОИБ хранится и обрабатывается конфиденциальная информация, не предназначенная для широкой публики. Ее подделка или утечка могут привести к серьезным (для банка или его клиентов) последствиям. Поэтому АСОИБ обречены оставаться относительно закрытыми, работать под управлением специфического программного обеспечения и уделять большое внимание обеспечению своей безопасности;

Другой особенностью АСОИБ является повышенные требования
к надежности аппаратного и программного обеспечения. В силу этого многие современные АСОИБ тяготеют к так называемой отказоустойчивой архитектуре компьютеров, позволяющей осуществлять непрерывную обработку информации даже в условиях различных сбоев и отказов.

Можно выделить два типа задач, решаемых АСОИБ:

1. Аналитические. К этому типу относятся задачи планирования, анализа счетов и т.д. Они не являются оперативными и могут требовать для решения длительного времени, а их результаты могут оказать влияние на политику банка в отношении конкретного клиента или проекта. Поэтому подсистема,
с помощью которой решаются аналитические задачи, должна быть надежно изолирована от основной системы обработки информации. Для решения такого рода задач обычно не требуется мощных вычислительных ресурсов, обычно достаточно 10-20% мощности всей системы. Однако ввиду возможной ценности результатов их защита должна быть постоянной.

2. Повседневные. К этому типу относятся задачи, решаемые
в повседневной деятельности, в первую очередь выполнение платежей
и корректировка счетов. Именно они и определяют размер и мощность основной системы банка; для их решения обычно требуется гораздо больше ресурсов, чем для аналитических задач. В то же время ценность информации, обрабатываемой при решении таких задач, имеет временный характер. Постепенно ценность информации, например, о выполнении какого-либо платежа, становиться не актуальной. Естественно, это зависит от многих факторов, как-то: суммы и времени платежа, номера счета, дополнительных характеристик и т.д. Поэтому, обычно бывает достаточным обеспечить защиту платежа именно в момент его осуществления. При этом защита самого процесса обработки и конечных результатов должна быть постоянной.

Каким же мерам защиты систем обработки информации отдают предпочтение зарубежные специалисты? На этот вопрос можно ответить, используя результаты опроса, проведенного Datapro Information Group в 2015 году среди банков и финансовых организаций [2]: Сформулированную политику информационной безопасности имеют 82% опрошенных. Еще 12% опрошенных планируют разработать политику безопасности. Четко выражена следующая тенденция: организации с большим числом персонала предпочитают иметь разработанную политику безопасности в большей степени, чем организации с небольшим количеством персонала. Например,
по данным этого опроса, всего лишь 66% организаций, с числом сотрудников менее 100 человек имеют политику безопасности, тогда как для организаций
с числом сотрудников более 5000 человек доля таких организаций составляет 99%.

В 88% организаций, имеющих политику информационной безопасности, существует специальное подразделение, которое отвечает за ее реализацию.
В тех организациях, которые не содержат такое подразделение, эти функции, в основном, возложены на администратора системы (29%), на менеджера информационной системы (27%) или на службу физической безопасности (25%). Это означает, что существует тенденция выделения сотрудников, отвечающих за компьютерную безопасность, в специальное подразделение.

В плане защиты особое внимание уделяется защите компьютерных сетей (90%), больших ЭВМ (82%), восстановлению информации после аварий
и катастроф (73%), защите от компьютерных вирусов (72%), защите персональных ЭВМ (69%).

Можно сделать следующие выводы об особенностях защиты информации в зарубежных финансовых системах [2, с.21]:

Главное в защите финансовых организаций — оперативное
и по возможности полное восстановление информации после аварий и сбоев. Около 60% опрошенных финансовых организаций имеют план такого восстановления, который ежегодно пересматривается в более чем 80% из них. В основном, защита информации от разрушения достигается созданием резервных копий и их внешним хранением, использованием средств бесперебойного электропитания и организацией «горячего» резерва аппаратных средств.

Следующая по важности для финансовых организаций проблема — это управление доступом пользователей к хранимой и обрабатываемой информации. Здесь широко используются различные программные системы управления доступом, которые иногда могут заменять и антивирусные программные средства. В основном используются приобретенные программные средства управления доступом. Причем в финансовых организациях особое внимание уделяют такому управлению пользователей именно в сети. Однако сертифицированные средства управления доступом встречаются крайне редко (3%). Это можно объяснить тем, что
с сертифицированными программными средствами трудно работать и они крайне дороги в эксплуатации. Это объясняется тем, что параметры сертификации разрабатывались с учетом требований, предъявляемым
к военным системам.