Файл: Система защиты информации в банковских системах (Сущность системы защиты информации в банковских системах).pdf

2.1 Развитие технических и программных средств защиты информации в банках

К техническим средствам защиты информации относятся все устройства, которые предназначены для защиты данных. В свою очередь, технические средства защиты делятся на физические и аппаратные.

Физическими называются средства защиты, которые создают физические препятствия на пути к защищаемым данным и не входят в состав аппаратуры ИВС, а аппаратными - средства защиты данных, непосредственно входящие в состав аппаратуры ИВС.

Программными называются средства защиты данных, функционирующие в составе программного обеспечения ИВС.

Отдельную группу средств защиты информации составляют криптографические средства, реализуемые в виде программных, аппаратных и программно-аппаратных средств защиты.

Физические средства защиты выполняют функции:

1) охрана территории и зданий;

2) охрана внутренних помещений;

3) охрана оборудования и наблюдение за ним;

4) контроль доступа в защищаемые зоны;

5) нейтрализация излучений и наводок;

6) создание препятствий визуальному наблюдению и подслушиванию;

7) противопожарная защита;

8) блокировка действий нарушителя и т.п.

Для предотвращения проникновения нарушителей на охраняемые объекты применяются следующие технические устройства:

• охранные системы, тревожные кнопки, приёмно-контрольные приборы, выносные звуковые и световые оповещатели, системы передачи извещений);
• системы видеонаблюдения;
• системы контроля и управления доступом;
• инженерно-технические средства защиты.

Принципы организации технической защиты

• принцип комплексности защиты;
• принцип непрерывности защиты;
• эргономичность защиты;
• принцип минимизации полномочий;
• принцип разделения полномочий или «two persons»;
• принцип легитимности полномочий;
• принцип гарантированного восстановления данных и событий;
• принцип отделения разработки от эксплуатации;
• принцип персональной ответственности;
• принцип пассивности контроля;
• принцип адекватности защиты.

Программная защита информации  является системой специальных программ, реализующих функции защиты информации. Выделяют следующие направления использования программ для обеспечения безопасности конфиденциальной информации

• защита информации от несанкционированного доступа;
• защита информации от копирования;
• защита информации от вирусов;
• программная защита каналов связи.

Для защиты от чужого вторжения обязательно предусматриваются определенные меры безопасности.  Основные функции, которые должны осуществляться программными средствами, это:

• идентификация субъектов и объектов;
• разграничение доступа  к вычислительным ресурсам и информации;
• контроль и регистрация действий с информацией и программами.

Процедура идентификации и подтверждения подлинности предполагает проверку, является ли субъект, осуществляющий доступ, тем, за кого себя выдает.

Наиболее распространенным методом идентификации является парольная идентификация.  Практика показала, что парольная защита данных является слабым звеном, так как пароль можно подслушать или подсмотреть, пароль можно перехватить, а то и просто разгадать.

После выполнения процедур идентификации и установления подлинности пользователь получает доступ к вычислительной системе, и защита информации осуществляется на трех уровнях: аппаратуры, программного обеспечения и данных.

Средства защиты от копирования предотвращают использование нелегальных копий програмного обеспечения и являются в настоящее время единственно надежным средством — защищающим авторское право разработчиков. Под средствами защиты от копирования понимаются средства, обеспечивающие выполнение программой своих функций только при опознании некоторого уникального некопруемого элемента. Таким элементом (называемым ключевым) может быть определенная часть компьютера или специальное устройство.

Одной из задач обеспечения безопасности для всех случаев пользования компьютером является защита информации от  разрушения. Так как причины разрушения информации весьма разнообразны (несанкционированные действия, ошибки программ и оборудования, компьютерные вирусы и пр.), то проведение защитных мероприятий обязательно для всех, кто пользуется компьютером.

Необходимо специально отметить опасность компьютерных вирусов. Вирус компьютерный — небольшая, достаточно сложнаяя и опасная программа, которая может самостоятельно размножаться, прикрепляться к чужим программам и передаваться по информационным сетям. Вирус обычно создается для нарушения работы компьютера различными способами: выдачи какого-либо сообщения  до стирания, разрушения файлов.

Антивирус  —  программа, обнаруживающая и  удаляющая  вирусы.

Проблемы информационной безопасности банков

Интерес к проблемам информационной безопасности связан не только с хранением в кредитных организациях денежных средств, а также с тем, что в банках сосредотачивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже целых государств. Из года в год значение информации, хранимой в банках, значительно увеличивается. Например, утечка данных о ряде счетов в Bank of England заставила банк поменять коды всех корреспондентских счетов, часть оборудования и программного обеспечения и обошлась банку в несколько десятков миллионов долларов. В наши дни в связи со всеобщей информатизацией и компьютеризацией банковской деятельности значение информационной безопасности банков многократно возросло^[4].

2.2 Средства защиты для идентификации пользователей в банке

Перед организациями, в том числе и перед банками стоит нелегкая задача организации защиты информации в своих системах. Это и соблюдение коммерческой тайны, банковской тайны, Закона о персональных данных со всеми подзаконными документами, стандарта Банка России, стандартов, регулирующих деятельность платежных систем. Наиболее оптимальным является не «подгонка» систем под каждый нормативный акт, а организация единой, стройной системы защиты информации, которая бы удовлетворяла требованиям безопасности информации и различных Регуляторов. Вместе с тем не стоит забывать, что защита информации – это всегда комплекс организационных, технических юридических и иных мероприятий.

Комплексная безопасность предполагает обязательную непрерывность процесса обеспечения безопасности как во времени, так и в пространстве с обязательным учетом всех возможных видов угроз.

В какой бы форме ни применялся комплексный подход, он связан с решением ряда сложных разноплановых частных задач в их тесной взаимосвязи. Наиболее очевидными из них являются задачи ограничения доступа к информации, технического и криптографического закрытия информации, ограничения уровней паразитных излученй технических средств, технической укреплености объектов, охраны и оснащения их тревожной сигнализацией.

Необходимо решение эффективных систем обеспечения информационной безопасности. Более существенным является эффективность системы обеспечения ИБ объекта, выбранные банком. Эту эффективность для ПЭВМ можно оценить набором программно-аппаратных средств, применяемых в ВС. Оценка такой эффективности может быть проведена по кривой роста относительного уровня обеспечения безопасности от наращивания средств контроля доступа.

Рисунок 1. Кривая роста относительно уровня обеспечения безопасности

Для гарантии того, чтобы только зарегистрированные в АС пользователи могли включить компьютер и получить доступ к его ресурсам, каждый доступ к данным в защищенной АС осуществляется в три этапа: идентификация – аутентификация – авторизация.

Идентификация – присвоение субъектам и объектам доступа зарегистрированного имени, персонального идентификационного номера, сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Основываясь на идентификаторах, система защиты «понимает», кто из пользователей в данный момент работает или пытается осуществить вход в систему. Аутентификация определяется как проверка принадлежности субъекту доступа предъявленного им идентификатора, либо как подтверждение подлинности субъекта. Во время выполнения этой процедуры АС убеждается, что пользователь, представившийся каким-либо легальным сотрудником, таковым и является.

Авторизация – предоставление пользователю полномочий в соответствии с политикой безопасности, установленной в компьютерной системе. Процедуры идентификации и аутентификации в защищенной системе осуществляются посредством специальных программных средств. Процедура идентификации производится при включении компьютера и заключается в том, что сотрудник «представляется» компьютерной системе. При этом АС может предложить сотруднику выбрать свое имя из списка зарегистрированных пользователей или правильно ввести свой идентификатор. Далее пользователь должен убедить АС в том, что он действительно тот, кем представился.

Современные программно-аппаратные средства идентификации и аутентификации по виду идентификационных признаков можно разделить на электронные, биометрические и комбинированные. В отдельную подгруппу в связи с их специфическим применением можно выделить системы одноразовых паролей, входящие в состав электронных (Приложение 1).

2.3 Тренды и прогнозы защиты информации

Банковские информационные системы и базы данных содержат конфиденциальную информацию о клиентах банка, состоянии их счетов и проведении различных финансовых операций.

Необходимость сохранять информационную безопасность этих данных очевидна, но без быстрого и своевременного обмена и обработки информации банковская система даст сбой. Поэтому необходима целая структура, которая сможет обеспечить защиту банковской информации и конфиденциальность клиентской базы.

Последовательность мер по защите этих данных можно представить следующим образом:

• оценка и разработка конфиденциальной информации;
• оборудование объекта для осуществления защиты;
• контроль эффективности принятых мер.

Банк может полноценно осуществлять свою деятельность лишь в случае налаженного обмена внутренними данными и надежной системой защиты. Оборудование информационной защиты банковских объектов может иметь различные формы.

Специалисты в области обеспечения информационной безопасности банка могут создавать как локальные системы, так и централизованные программы защиты.

Разработка комплекса защитных мер по предотвращению нарушения конфиденциальности данных включает в себя ряд определенных действий.

• контроль обмена данных и строгая их регламентация;
• подготовка сотрудников банка и соблюдение ими требований безопасности;
• строгий учет каналов и серверов;
• анализ эффективности.

Каждое направление включает в себя несколько этапов работы. К примеру, контроль обмена данных подразумевает не только обработку скорости передачи информации, но и своевременное уничтожение остаточных сведений. Эта мера также предполагает строгий контроль обработки данных и их криптографическую защиту.

Количество атак на ценную коммерческую информацию увеличится из года в год. Под прицел попадают все: и небольшие фирмы, благодаря слабой защите, и крупные известные компании, которые являются лакомыми кусочками для злоумышленников.

Основная причина, благодаря которой статистика настолько печальна – несовершенные системы безопасности. Многие компании все еще концентрируются на антивирусах и файерволлах, полагая, что угроза исходит только от хакеров, забывая об инсайдерах, социальной инженерии и других приемах кражи данных.

Искажение целостной структуры информации – новая золотая жила для хакеров. Объединенный информационной паутиной мир генерирует целые пласты данных, которые специалисты используют для принятия решений, разработки стратегий, составления прогнозов. Опытные киберпреступники уже научились незаметно искажать информационную картину. Со временем такие искажения непосредственно влияют, например, на цену акций, благодаря чему злоумышленники получают отличные дивиденды. Подобный подход позволяет манипулировать инвесторами или навязывать топ-менеджменту компаний неверные стратегические решения. Что, в конечном счете, может стать причиной банкротства или потери огромной доли рынка.

Крупные компании и дальше продолжат бороться с утечками информации, внедряя новые системы безопасности. При этом большинство специалистов сходятся во мнении, что малый бизнес все еще будет находиться под нависшей угрозой незащищенным, пребывая в поиске ответов на риторические вопросы: Что защищать? Где находится эта информация? Как защищать? А надо ли защищать?

Контроль доступа к данным усилится. Уже сейчас большинство компании пришло к выводу, что стандартные системы аутентификации не дают нормальной защиты. Простые пароли легко подбираются, ведь словари и различные системы взлома разрабатывались хакерами не один год.

Рядовой сотрудник вряд ли запомнит двадцатизначную комбинацию из цифр и букв верхнего и нижнего регистра. Вот и кочуют по офису пароли, записанные на бумажках, попадая не в те руки. Как известно, распечатанная или записанная информация – лакомый кусочек для злоумышленников.