Файл: Система защиты информации в банковских системах (Информационная безопасность банков: меры, принципы, угрозы).pdf

ВВЕДЕНИЕ

В настоящее время хранение банковской информации имеет большую стоимость и значимость, тем самым это не могло не привлечь рост преступного интереса. Текущий интерес был связан не только с хранением в кредитных организациях денежных средств и сбережений, но и с тем, что в банках сосредотачивалась важная, а зачастую и секретная информация о финансовой и хозяйственной деятельности людей, компаний, организаций и даже целых государств. В современном мире в результате повсеместного распространения электронных платежей, пластиковых карт, компьютерных сетей - объектом информационных атак стали непосредственно денежные средства как банков, так и их клиентов. Тем самым появляется необходимость обеспечивать безопасность хранения данных, регулярная смена и проверка паролей на актуальность надежности, контроль вероятности утечки информации стали неотъемлемой частью работы каждого банка. Чтобы совершить кражу или взломать банковскую систему злоумышленнику вовсе не обязательно врываться в банк. Осуществить взлом пользователь сети может со своего персонального компьютера, ноутбука или другого устройства, подключенного к сети Интернет, либо к корпоративной сети банка, поэтому проблема вопроса информационной безопасности в банках стоит достаточно высоко. На текущий момент именно эта проблема является сейчас наиболее актуальной и наименее исследованной. Методы безопасности автоматизированных систем обработки информации банка требуют постоянного обновления, поиск уязвимостей и устранение их, раньше, чем злоумышленник. Но тем самым, исправления найденных ошибок и «дыр» в системах безопасности хватает ненадолго, так как новая компьютерная система приносит новые проблемы и новые ошибки, заставляет по-новому перестраивать систему безопасности.

ГЛАВА 1. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В БАНКОВСКИХ СИСТЕМАХ

Когда обычный человек слышит слова «безопасность банка», ему представляются тяжелые двери банковских хранилищ, надежные сейфы, многоуровневые посты охраны и контроля. Во многом это верно и сейчас. Но в современном мире значительную — если не основную — часть ценностей представляет собой не что-то материальное, а информация. Она также нуждается в защите. Информационная безопасность в банковских системах, так же, как и физическая, должна строится по многоуровневой схеме с контролем всех "точек входа" и использованием самых надежных технических средств.

В России помимо крупнейших игроков банковского, сектора существует множество небольших банков, которые в силу финансовых ограничений не могут позволить себе вкладывать значительные суммы В информационную безопасность. Тем не менее, безопасность информационных систем банков любого масштаба должна строиться с использованием ряда основных принципов. Рассмотрим задачи и проблемы, с которыми сталкиваются банки (любого масштаба), и средства, с помощью которых эти задачи можно решить.

Банковская сеть, как сеть любого предприятия или организации, содержит в своем составе вполне стандартный набор объектов: рабочие станции сотрудников, инфраструктурные и специализированные серверы, сетевые шлюзы. С развитием мобильности к этому набору все чаще добавляются ноутбуки, смартфоны и планшеты, с которых осуществляется доступ сотрудников к банковской информационной системе. Специфика банков состоит в том, что к этому набору добавляются банкоматы и платежные терминалы (как правило, построенные на стандартных операционных системах и технически представляющие собой стандартный компьютер). Информационная система должна также быть доступна для клиентов банка. Наконец, не стоит забывать о том, что сеть даже сравнительно небольшого банка представляет собой распределенную систему с многочисленными филиалами и отделениями.

Таким образом, задача защиты информации хотя и близка по схеме и используемым средствам к задачам, решаемым для обычной организации, также должна иметь ярко выраженную банковскую специфику. Необходимо:

• Обеспечить надежную и безопасную работу АБС (автоматизированной банковской системы).
• Обеспечить безопасный доступ сотрудников и клиентов к банковской системе в территориально распределенной сети.
• Обеспечить доступ сотрудников к внешним информационным сетям (Интернету).
• Обеспечить защиту банкоматов и терминалов.
• Иметь возможность контроля всех процессов в системе и своевременного обнаружения любых нарушений.

Все эти задачи необходимо решать комплексно, начиная с архитектуры банковской сети. Хорошей и достаточно распространенной практикой является создание нескольких изолированных сетей с минимальным количеством точек взаимодействия (шлюзов) с применением самых современных средств защиты. Как правило, в системе создаются изолированная операционная сеть и сеть с доступом к ресурсам Интернета. Часто В отдельные сети выделяются также банкоматы и терминалы. Такое разделение сетей позволяет избежать многих проблем связанных с утечкой информации и распространением вредоносного кода, но, естественно, для надежного обеспечения безопасности требуется внедрение специализированного ПО. Следует также избегать часто встречающегося заблуждения, что изолированная сеть не нуждается в столь же серьезных средствах защиты, что и сети общего доступа – такой подход не раз приводил к серьезным проблемам. Для обеспечения надежной связи между подразделениями и филиалами должны использоваться выделенные каналы связи с применением шифрования данных. Естественно, что для отдельных подразделений должен использоваться тот же принцип разделения сетей, что и для основной сети банка.

Что касается специализированного ПО, то по-прежнему основой систем информационной безопасности являются антивирусные программы. За несколько последних лет они эволюционировали от «просто антивирусов» до комплексных систем защиты контроля рабочих станций. При помощи современного антивируса можно решить целый комплекс задач, включая защиту от несанкционированного подключения любых внешних устройств и установки программ. Эшелонированная мультивендорная защита интернет-шлюзов и почтовых систем также не теряет своей актуальности.

Развитие мобильности также привносит свои настоятельные требования: сейчас антивирусная защита должна в обязательном порядке распространяться на все типы мобильных устройств, используемых сотрудниками банка вне зависимости от того, применяются такие устройства в работе с АБС или только с сетями общего пользования.

Защита собственно банковской системы должна использовать мощные средства аутентификации и контроля действий как внутренних пользователей, так и клиентов. Общепринято, что наиболее надежную защиту могут обеспечить средства двухфакторной аутентификации, будь то электронные ключи (токены) или генераторы одноразовых паролей.

Безопасность данных при хранении требует использования средств шифрования, которые смогут работать либо на уровне хранилищ данных, либо на уровне отдельных компонентов системы, например, таблиц баз данных.

Безопасность банкоматов и платежных терминалов должна обеспечиваться с использованием традиционных средств — антивирусной защиты. Но в то же время специфика таких устройств требует применения дополнительных средств защиты, включая создание «замкнутой программно-аппаратной среды», полностью исключающей установку любого стороннего ПО и подключение внешних устройств.

Наконец, контроль процессов и событий в системе и своевременное обнаружение нарушений — это, наверное, наиболее сложная часть любой комплексной системы безопасности. Ведь в данном случае недостаточно просто приобрести пусть даже самую мощную и современную систему контроля вторжений или предотвращения утечек (DLP). Внедрение таких систем требует досконального знания всех возможных «слабых точек», а очень часто и практически полного пересмотра, и стандартизации бизнес-процессов. Не каждой организации, особенно небольшой, по силам полноценное внедрение подобных систем. Но в таком случае, на помощь могут прийти менее сложные в использовании информационные сервисы, способные, например, отследить подозрительный исходящий трафик, связанный с активностью вредоносных программ, в том числе используемых и для хищения информации. Это позволит вовремя обнаружить любую подозрительную активность в пределах защищенной сети.

Сегодня многие банки для решения всех перечисленных задач предпочитают обращаться к специализированным компаниям - интеграторам, профессионалам в области: построения и внедрения систем информационной безопасности. Но здесь важно помнить о специфичности банковского сектора и определить, подойдет ли компания-интегратор для построения эффективной защиты, во-первых, при выборе интегратора нужно обратить внимание, обладает ли компания опытом работ именно с банковским сектором и насколько он успешен. Во-вторых, компания должна располагать всеми соответствующими лицензиям ФСТЭК и ФСБ. В-третьих, компания должна иметь большой опыт работы и безупречную репутацию.

Поскольку речь идет о больших бизнес- и репутационных рисках, банки, прежде чем вкладывать деньги в построение систем информационной защиты, как правило, хотят выяснить, можно ли минимизировать расходы, используя уже установленное в банке оборудование. За этим также следует обратиться к компании-интегратору, многие из которых, проводят аудит состояния защиты, информации и независимую, оценку соответствия состояния информационной безопасности требованиям Стандарта Банка России. По результатам банку предоставляется полный отчет о работе существующей системы ИБ и даются рекомендации, позволяющие наиболее эффективно усилить защиту, используя и уже имеющиеся у банка ресурсы.

Подводя итог, можно сделать главный вывод. Информационные системы банков имеют ярко выраженную специфику, но для защиты информации во многом пригодны те же методы и средства, что используются в «обычной» жизни. Главное — подходить к построению системы безопасности максимально ответственно, учитывая все узкие моменты, так как цена ошибки в данном случае очень высока.

ГЛАВА 2. БЕЗОПАСНОСТЬ ИНТЕРНЕТ-БАНКИНГА: ОСНОВНЫЕ СРЕДСТВА ЗАЩИТЫ ЛИЧНОГО СЧЕТА

С развитием инновационных технологий возможности всемирной сети становятся шире и сегодня затрагивают практически все сферы жизни человека. Так, в последнее время довольно активно многими используется интернет-банкинг, представляющий собой программу определенного банка, посредством которой пользователь может осуществлять финансовые операции с любого компьютера, подключенного к интернету. Однако такие услуги доступны только клиентам банков. Пользуясь подобными программами, многие обеспокоены безопасностью платежей в интернете, ведь встречаются ситуации, когда деньги пропадают с карты либо не поступают на нужный счет. Чтобы избежать действий мошенников и не бояться несанкционированного доступа к своим счетам, необходимо ознакомиться с основными правилами пользования интернет-банкингом.

Какие существуют средства защиты счетов от мошенников?

Главное правило безопасности интернет-банкинга предусматривает использование программ только известных и проверенных банков, которые постоянно совершенствуют средства защиты счетов своих клиентов. Сегодня практически каждый банк применяет SSL-шифрование информации, которой обменивается компьютер пользователя и банковская система. Этот современный метод позволяет избежать перехвата и изменения данных на пути от ПК клиента к банку. Однако следует помнить, что при совершении финансовых операций в онлайн-системе ни в коем случае нельзя реагировать на подозрительные сообщения, якобы пришедшие из банка, и переходить по незнакомым ссылкам на другие страницы.

С целью повышения уровня безопасности, клиентам предлагается получить одноразовые пароли, выдаваемые банкоматом.

В таком случае при входе в систему интернет-банкинга, помимо постоянных логина и пароля, понадобится ввести еще и одноразовый шифр, который подобрать злоумышленникам практически невозможно. Преимуществом такого варианта защиты является то, что получить чек с одноразовыми паролями может только человек, имеющий платежную карту и знающий пин-код. Пользуясь паролями чека для входа в систему, рекомендуется придерживаться следующих простых правил:

• Не выбрасывать список шифров и стараться не терять его;
• Не хранить чек вместе паролем и логином от учетной записи.

Еще одним распространенным методом для подтверждения личности при входе в онлайн-банк считается запрос одноразовых СМС-паролей. То есть при каждой операции, выполняемой пользователем, на его телефон приходит СМС-сообщение с кодом, который необходимо ввести. Известно, что обязательным условием подобных операций является привязка определенного номера телефона к банковскому счету. Среди достоинств такой системы безопасности можно выделить простоту процедуры и минимальное количество времени на осуществление операции. К тому же, даже если злоумышленник знает логин и пароль учетной записи, выяснить код ему не представляется возможным. Применяя одноразовые СМС-пароли, следует учитывать такие нюансы:

• Нельзя пользоваться интернет-банкингом с мобильных устройств;
• Не нужно сохранять пароль в браузере;
• При потере телефона следует незамедлительно обратиться в банк для блокировки учетной записи, чтобы ею никто не мог воспользоваться.