Файл: Исследование проблем защиты информации (Цели, задачи и принципы информационной безопасности).pdf

В 2018 году развитие системы противодействия кибермошенничеству продолжилось, чтобы обеспечить абсолютную защиту всех каналов обслуживания клиентов Сбербанка.

Обеспечение защиты персональных данных в Сбербанке осуществляется в рамках единой комплексной системы организационно-технических и правовых мерпо защитеконфиденциальной информации (коммерческая, банковская тайна, персональные данные), с учетом требований федерального законодательства (включая Федеральный закон №152-ФЗ «Оперсональных данных» от 27.07.2006) и лучших мировых практик.

При обработке персональных данных банк принимает необходимые правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

В состав мер по обеспечению безопасности персональных данных входят:

• обеспечение контролируемой зоны, в пределах которой осуществляется функционирование автоматизированных систем Сбербанка;
• защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
• антивирусная защита;
• обнаружение и предотвращение вторжений;
• контроль и анализ защищенности персональных данных;
• обеспечение целостности автоматизированных систем Сбербанка и персональных данных;
• обеспечение доступности персональных данных;
• защита среды виртуализации;
• защита технических средств;
• защита автоматизированных систем, их средств, систем связи и передачи данных;
• выявление инцидентов, которые могут привести к сбоям или нарушению функционирования автоматизированных систем и (или) к возникновению угроз безопасности персональных данных, и реагирование на них.

В целях нейтрализации актуальных угроз безопасности персональных данных обеспечено применение средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации.

Доступ к обрабатываемым персональным данным предоставляется только тем работникам Сбербанка, которым он необходим в связи с исполнением ими своих трудовых обязанностей. Все лица, оформляемые на работу в Сбербанк, подписывают обязательства о неразглашении персональных данных и другой конфиденциальной информации, хранение обязательств осуществляется в личных делах работников.

В целях повышения осведомленности, знаний и навыков по вопросам обеспечения информационной безопасности проводится обучение работников в форме обязательного прохождения электронных дистанционных программ подготовки.

Также в Сбербанке организован внутренний контроль (аудит) соответствия обработки персональных данных 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Сбербанка в отношении обработки персональных данных, локальным актам Сбербанка. Внутренний аудит осуществляется Службой внутреннего аудита Сбербанка в рамках аудиторских проверок.

Контроль обеспечения защиты персональных данных при их обработке в автоматизированных системах осуществляется подразделениями Службы кибербезопасности Сбербанка. В рамках реализации мер контроля защищенности информационной инфраструктуры применяются инструментальный контроль защищенности и тестирование на проникновение.

Политика безопасности Сбербанка осуществляется по нескольким элементам:

1. Нормативно-правового элемент.

В сфере защиты информации ПАО «Сбербанк России» руководствуется следующими нормативно-правовыми актами:

• Федеральный закон РФ «Об информации, информатизации и защите информации» от 20 февраля 1995 г. №24-ФЗ.
• Закон Российской Федерации «О государственной тайне» (с изменениями от 27 марта 1996 года), принят Верховным Советом Российской Федерации 21.07.93, 5485-1.
• Закон Российской Федерации «Об информации, информатизации и защите информации», принят Государственной думой 25.01.95.
• Указ Президента Российской Федерации «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» от 3.04.95, 334.
• Постановление Правительства РСФСР «О перечне сведений, которые не могут составлять коммерческую тайну» от 5.12.91 35.
• Постановление Правительства Российской Федерации «Об Утвержденииправилотнесениясведений,составляющихГосударственную тайну, к различным степеням секретности» 870 от 4.09.95.
• Указ Президента Российской Федерации «О мерах по упорядочению разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» от 9.01.96.
• Закон Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных», принят Верховным Советом РФ 23.09.92, 3523-1.
• Закон Российской Федерации «О правовой охране топологий интегральных микросхем», принят Верховным Советом РФ 23.09.92, 3526-1.
• Указ Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» 188 от 6.03.97.
• Указ Президента Российской Федерации «Об утверждении перечня сведений, отнесенных к государственной тайне» 1203 от 30.11.95.
• Указ Президента Российской Федерации «О Межведомственной комиссии по защите государственной тайны» 1108 от 8.11.95.
• Постановление Правительства Российской Федерации «О сертификации средств защиты информации» (с изменениями от 23 апреля 1996 года) 608 от 26.06.95.
• Федеральный закон «О банках и банковской деятельности» от 25.06.1993 года

На основе перечисленных документов строится правовая защита информации, призванная обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации в ПАО «Сбербанк России».

1. Инженерно-технического элемент.

Организационные меры инженерно-технической защиты информации Сбербанка включают в себя, прежде всего, мероприятия по эффективному использованию технических средств регламентации и управления доступом к защищаемой информации, а также по порядку и режимам работы технических средств защиты информации.

Регламентация предусматривает:

• установку контролируемых границ и охранных зон;
• определение уровней защиты информации в зонах;
• регламентация деятельности сотрудников и посетителей (разработка распорядка дня, правил поведения сотрудников в организации и вне ее и т.д.);
• определение режимов работы технических устройств, в том числе сбора, обработки и хранения информации, которая требует защиты, на персональных электронно-вычислительных машинах, передачи документов.

Управление доступом к информации в Сбербанке включает следующие мероприятия:

• идентификацию лиц и обращений;
• проверку полномочий лип и обращений;
• регистрацию обращений к информации, требующей защиты;
• реагирование на обращения к информации.

Идентификация пользователей, сотрудников, посетителей,обращений к каналам телекоммуникаций проводится с целью их надежного опознавания.

ПАО «Сбербанк России» использует следующие способы идентификации:

• карточки или ключи;
• пароли и коды;
• в некоторых помещениях установлены биометрические идентификаторы (используются техники цифрового изображения лица в 3D или 2D, отпечатки пальцев и идентификация личности по радужной оболочке глаза).

С помощью биометрических систем безопасности Банк ограничивает или разрешает доступ:

• для сотрудников - в служебные помещения банка (касса, серверная, бухгалтерия, кабинеты руководства); в депозитарий для клиентов;
• для клиента - к своей ячейке;
• для особо важных клиентов - в ряд специальных помещений.

При этом биометрия существенно понижает вероятность

проникновения нежелательной личности в зону с ограниченным доступом, создает психологический барьер для потенциального злоумышленника, а также документально подтверждает факт прохода в охраняемые помещения каждой личности.

Проверка полномочий заключается в определении прав лиц и обращений по каналам связи на доступ к защищаемой информации. Для доступа к информации уровень полномочий обращения не может быть ниже разрешенного. С целью обеспечения контроля над прохождением носителей с закрытой информацией производится регистрация (протоколирование) обращений к ним путем записи в карточках, журналах, на магнитных носителях.

Реагирование на любое обращение к информации заключается либо в разрешении доступа к информации, либо в отказе. Отказ может сопровождаться включением сигнализации, оповещением службы безопасности или правоохранительных органов, задержанием злоумышленника при его попытке несанкционированного доступа к защищаемой информации.

В системе безопасности Сбербанка применяются специальные средства видеоконтроля. Сетевой программно-аппаратный комплекс видеоконтроля и автоматизированного управления интегрированными системами безопасности «Инспектор+» сочетает в себе высокое качество компьютерных цифровых технологий с возможностью объединения автономных компонентов системы безопасности банка в профессиональную интегрированную систему безопасности. «Инспектор+» позволяет распределить приоритеты между видеоканалами таким образом, что в момент тревоги тревожной камере выделяется максимальный ресурс по скорости записи, который даже в режиме мультиплексирования составляет до 10-12,5 FPS. Помимо качественного видеоконтроля «Инспектор+» осуществляет синхронно с видеоконтролем аудиоконтроль.

Объединение сети банка в единое пространство безопасности в технологии «Инспектор+» происходит через видеошлюз, который призван сопрягать высокоскоростные характеристики локальных сетей с медленной работой межсетевых соединений.

Помимо видеошлюза, в арсенале технологии «Инспектор+» содержатся и другие полезные модули.

Модуль резервного копирования, или видеоархивации, - это объект, управляющий процессами архивации видеоданных. Модуль видеоархивации позволяет создавать централизованный архив видеоданных. Как правило, данная функция используется при решении задач долговременного хранения большого объема информации или информации, имеющей стратегическое значение.

Модуль телеметрического управления используется для дистанционного управления камерами, установленными на двухкоординатных поворотных устройствах. Управление всеми камерами может осуществляться как с любой клавиатуры, так и посредством управляющих окон на экране компьютера.

Для защиты банкоматов в технологии «Инспектор+» существует подсистема «Банкомат Инспектор». Данная подсистема позволяет создать интегрированную систему защиты требуемой конфигурации как для одного банкомата, так и для территориально- распределенной сети банкоматов, что является наиболее сложной задачей, которую невозможно решить обычными средствами обеспечения безопасности. В системе «Банкомат Инспектор» полностью интегрированы устройства видеонаблюдения, сенсоры и оборудование передачи сигналов с возможностью гибкой настройки логики системных реакций на входные события.

1. Программный элемент.

Для реализации программного элемента защиты информации в ПАО «Сбербанк России» используется комплексная система защиты информации «Панцирь-К».

Это программный комплекс защиты конфиденциальной информации и персональных данных, предназначенная для защиты как автономных компьютеров, так и компьютеров в составе сети предприятия.

К комплексной системе защиты КСЗИ может быть отнесена, ввиду того, что она служит для эффективного противодействия, как известным, так и потенциально возможным атакам на защищаемые ресурсы, что обеспечивается устранением архитектурных недостатков защиты современных ОСWindows, т.е. позволяет решать задачи защиты информации в общем виде. КСЗИ может применяться для защиты, как от внешних, так и от внутренних угроз для информационных технологий, обеспечивая эффективное противодействие атакам и со стороны хакеров, и со стороны инсайдеров (санкционированных пользователей, допущенных к обработке информации на защищаемом вычислительном устройстве). КСЗИ также может использоваться для эффективного противодействия вирусным атакам, эксплойтам, вредоносным и шпионским и любым иным деструктивным программам, атакам на ошибки программирования в системном и прикладном ПО; содержит в своем составе, как механизмы защиты от несанкционированного доступа, так и механизмы криптографической защиты данных.

В части криптографической защиты конфиденциальности информации в КСЗИ реализована возможность шифрования данных, при этом обеспечивается прозрачное для пользователя шифрование любого заданного администратором любого файлового объекта. Ключевая политика, реализующаяся данной комплексной системой, позволяет защитить данные от раскрытия даже при краже компьютера и при наличии ключа шифрования, позволяет осуществлять коллективный доступ к локальным и разделенным в сети зашифрованным объектам.

Для шифрования данных в КСЗИ интегрированы возможности использования сертифицированных криптопровайдеров «Signal-СОМ СSP» и «КриптоПро С8Р 3.0».

КСЗИ «Панцирь-К» предоставляет возможности использования аппаратных решений для авторизации пользователей при входе в систему и при доступе к критичным файловым объектам; разграничения и аудита работы пользователей с локальными и сетевыми ресурсами; разграничения и аудита работы программ с локальными и сетевыми ресурсами; разграничения и аудита работы пользователей с устройствами с использованием их серийных номеров; разграничения и аудита работы пользователей и приложений с локальными и глобальными сетями (ЛВС, Intemet/Intranet) - персональный Firewall; шифрования данных «на лету», включая сетевые ресурсы, скрытие, разграничение доступа, а также гарантированное удаление остаточной информации, реализации коллективного доступа к зашифрованным данным; контроля времени, проведенного сотрудников за работой, в то числе с помощью использования систем видеонаблюдения.