Файл: Система защиты информации в банковских системах (Сущность системы защиты информации в банковских системах).pdf

ВВЕДЕНИЕ

Самые громкие случаи утечки данных связаны с такими брендами, как TalkTalk (крупный британский телеком оператор), Ashley Madison (популярнейшая социальная сеть знакомств), Moonpig (торговая сеть, популярная в США, Британии, Австралии).

Злоумышленники спокойно путешествуют по просторам сети, выслеживая добычу и совершая нападения. Ну а службы информационной безопасности в совокупности с государственными правоохранительными органами в большинстве случаев пытаются отреагировать на уже совершившиеся преступления. Естественно безрезультатно, ведь выследить злоумышленников крайне тяжело. Пока компании не озаботятся установкой серьезных систем информационной защиты, ситуация будет оставаться на том же печальном уровне.

Одним из наиболее опасных открытий для киберпреступников в ушедшем году стало осознание факта, что информация не скоропортящийся продукт. И чем дольше она хранится в надежном месте, тем выше ее ценность. Теперь сразу публиковать, использовать или продавать полученные нелегальным путем данные — моветон. Лучше придержать их на время, дождавшись соответствующей конъюнктура рынка.

Согласно ст.19 Федерального Закона «Об информации, информационных технологиях и о защите информации», защита информации представляет собой принятие правовых, организационных и технических мер, направленных на обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации, соблюдение конфиденциальности информации ограниченного доступа, а также реализацию права на доступ к информации^[1].

Защита данных банковской деятельности содержит в себе осуществление единого комплекса мероприятий — от аудита информационной защищенности и вплоть до формирования концепций защиты различных банковских служб. Эксперты данной сферы готовы сформировать ровно как самостоятельный модуль защищенности, так и полную концентрированную концепцию систему защиты данных

Актуальность исследования систем защиты информации в банковской сфере заключается в том, что деятельность любого банка непосредственно находится в зависимости от того, с какой скоростью осуществляется обмен информации внутри него и в какой мере построена система защищенности информации. Результаты неразвитой банковской инфраструктуры катастрофичны: банк способен лишиться не только базы клиентов, но и их доверие. Столкновение с данной задачей приводит к формированию новейших концепций защиты информации, которые разрабатываются согласно условиям кредитных институтов.

Целью курсовой работы является изучение системы защиты информации в банковских системах.

Задачей является:

Рассмотрение сущности и методов защиты информации в банковских системах

Анализ системы защиты информации в банковских системах

Организационная защита информации в ОАО «АРМЭКОНОМБАНК»

Исследование проблем и перспективы развития методов защиты информации.

Курсовая работа состоит из введения, 2 глав, заключения, списка использованных источников и приложений.

В работе использованы нормативные акты, труды современных отечественных и зарубежных авторов, имеются рисунки и таблицы.

Глава 1. Система защиты информации в банковских системах
1.1 Сущность системы защиты информации в банковских системах

В процессе реализации основных функций службы защиты информации возникают задачи, решение которых слабо поддается формализации. В данном случае возможно применение методов теории систем и системного анализа, направленных на активизацию интуиции и опыта специалистов^[2].

Одним из методов защиты информации банка является контролирование прохождения и регистрации секретной информации. Наиболее значимым в данной проблеме является установление предельно безопасных альтернатив обмена файлами внутри банка

Защита информации банка будет надежно работать только при своевременном определении системой внешних угроз. Во внешней среде системы разделяют следующие виды угроз информации (таблица 1).

Таблица 1. Виды угроз информации во внешней среде

Для защиты информации банка применяют концепции идентификации, характеризующие наличие прав доступа к данным. С этой целью применяют систему паролей для входа в локальную сеть банка. Они могут быть выбраны пользователем, сгенерированы системой либо присваиваться ему менеджером  по безопасности. Кроме того, существуют пластиковые карты доступа с чипом. С помощью особого алгоритма система кодирует и вносит индивидуальные данные определенного пользователя. Электронные ключи действуют при контакте с механизмом на дверях, установленных в секретных помещениях, в серверных и пользовательских ПК.

Планирование систем защиты данных для компании должно содействовать уменьшению вероятных неблагоприятных результатов, связанных с применением информационных технологий, и гарантировать возможность осуществления ключевых целей и задач кредитной организации. Построение моделей при проектировании либо модернизации системы защиты данных в банках является естественным средством решения задач анализа и проектирования с наименьшими расходами и значительной отдачей. В банках используется модель нарушителя информационной безопасности, которая включает в себя:

Описание нарушителей информационной безопасности

Классификация нарушителей информационной безопасности

Описание опыта и знаний нарушителей;

Описание доступных ресурсов, необходимых для реализации угрозы

Описание возможной мотивации действий нарушителя

Способы реализации угроз информационной безопасности со стороны указанных нарушителей

Для построения модели нарушителя используется информация от службы безопасности, риск-подразделений и службы внутреннего контроля банка о существующих средствах доступа к информации и ее обработки, о возможных способах перехвата данных на стадии передачи, обработки и хранения, об обстановке в коллективе и на объекте защиты, сведения о конкурентах и ситуации на рынке, об имевших место случаях хищения информации и т.п.^[3]

Помимо этого, оцениваются реальные оперативные технические возможности правонарушителя с целью влияния на концепцию защиты либо на защищаемый объект. Под техническими возможностями понимается перечень разнообразных технических средств, которыми может располагать правонарушитель в ходе совершения операций, нацеленнеых против системы защиты информации.

В современном мире хранение банковской информации, ее стоимость и значимость многократно возросли, что, в свою очередь, не могло не привлечь рост преступного интереса к ней.

Необходимость обеспечивать безопасность хранения данных, регулярная смена и проверка паролей и контроль вероятности утечки информации стали неотъемлемой частью работы каждого банка.

Для совершения кражи и взлома банковской системы злоумышленнику вовсе не обязательно врываться в банк. Осуществить взлом пользователь сети может со своего персонального компьютера, поэтому проблема вопроса информационной безопасности в банках стоит достаточно остро.

Несмотря на множество возможностей взлома и утечки информации, безопасность банковских данных и их конфиденциальность обеспечить вполне возможно.

Современные методы позволили усовершенствовать систему криптографии, а также реализовать такую меру, как электронная цифровая подпись (ЭЦП). Она служит аналогом собственноручной подписи и имеет непосредственную привязку к электронному ключу, который хранится у владельца подписи. Ключ состоит из двух частей: открытой и закрытой, и защищен специальным кодом.

Система безопасности в целом – это непрерывный процесс идентификации, анализа и контроля. Существует ряд основных принципов, согласно которым осуществляется обеспечение информационной безопасности банка:

• своевременное установление и обнаружение проблем;
• возможность прогнозирования развития;
• актуальность и эффективность предпринятых мер.

Также необходимо особо подчеркнуть важность тщательной и регулярной работы с персоналом, поскольку обеспечение безопасности информации во многом зависит от качественного и аккуратного выполнения требований, предъявляемых службой безопасности.

1.2 Методы защиты информации

Последствиями попадания секретной информации предприятия в руки злоумышленников могут быть довольно серьезные убытки, если вообще не примут масштабы катастрофы. Исходя из этого, первое, о чем должны позаботиться руководители любой компании – это подбор метода защиты информации от умышленного или непреднамеренного вмешательства в процесс ее функционирования, будь то хищение данных, внесение корректировок или уничтожение ресурса системы.

Перечислим главные методы охраны данных:

1. Препятствование – метод физической защиты информационных систем (ИС), благодаря которому злоумышленники не имеют шанса попасть на охраняемую территорию или к защищаемой информации (к оборудованию, дискам и так далее);

2. Управление доступом – при этом методе защиты информации регулируется и контролируется эксплуатирование ресурсов компьютерной ИС (компонентов БД, программного обеспечения и аппаратуры). Управление доступом несет множество защитных функций: распознавание пользователей, работников и ресурсов системы (всем объектам присваивается персональный идентификационный код); аутентификация (установление подлинности) объекта или субъекта согласно представляемого им идентификационному коду; инспекция уровня доступа, то есть проверяется согласованность идентификационного кода, даты и времени суток, уровень и вид запрашиваемых ресурсов и операций принятым правилам; предоставление доступа и создание условий работы в пределах существующего регламента; фиксация (внесение в протокол) запросов к защищаемым ресурсам; фиксация случаев и попыток (включение сигнализации, отключение системы, задержка в работе, отказ в запросе) каких-либо несанкционированных действий;

3. Маскировка – технология охраны данных, ограждающая доступ к ней c помощью криптографии (информация видоизменяется так, что третьи лица без понимания принципа шифровки не имеют возможности ее воспринимать). Этот способ является единственной надежной гарантией защиты данных при передаче их по каналам связи большой протяженности.

4. Регламентирование – самый важный метод защиты информационных систем, при котором вводятся особые правила, в соответствии c которыми проходят все манипуляции c защищаемой информацией. Такой метод сводит шансы неправомерного доступа к минимуму.

5. Принуждение – метод защиты информации, тесно скоординированный c регламентированием. На предприятии внедряется система мер, при которой пользователям и работникам приходится следовать регламенту поведения c защищаемыми данными, дабы не понести материальную, административную либо уголовную ответственности.

6. Побуждение – метод защиты информации, поощряющий пользователя и работников не нарушать установленный регламент за счет следования сложившимся моральным и этическим нормам (как установленных, так и негласных).

Мероприятия, необходимые для внедрения системы защиты информации:

- Организационные (кадровые) – определение сотрудников, ответственных за внедрение и дальнейшее сопровождение Системы информационной безопасности Банка.

- Юридические – определение полномочий и меры ответственности сотрудников Банка за соблюдение Системы ИБ

- Документационные – определение и написание необходимых документов различных уровней.