Файл: Система защиты информации в банковских системах (Особенности информационной безопасности банковской системы).pdf

ВВЕДЕНИЕ

Информационные ресурсы банков подвержены множеству угроз, а необходимый уровень их защиты достаточно велик. Защита кредитно-финансовых систем, в первую очередь, строится на требованиях регуляторов, но банковская сфера вполне подвержена рискам реального мира (от ошибок исполнителей до целенаправленных и технически изощренных атак). Wallix AdminBastion – решение для контроля действий, выполняемых под учетными записями привилегированных пользователей, предоставляет  возможности для проведения расследований  и предупреждения целого ряда рисков.

Банковский сектор всегда вызывал наибольший интерес у злоумышленников, поэтому к защите банковских автоматизированных систем всегда предъявлялись строгие требования как со стороны регуляторов, так и службами информационной безопасности самих банков. Существующий стандарт Банка России по обеспечению информационной безопасности организаций банковской системы регламентирует применение широкого перечня защитных механизмов и организационных мер – распределение ролей пользователей, управление доступом, регистрацию событий, антивирусную защиту, фильтрацию сетевого трафика, криптографическую защиту и многие другие. При этом классические средства защиты обеспечивают высокий уровень безопасности, но, чаще всего, направлены на отражение атак извне. Наряду с этим защите от привилегированных пользователей  внимание уделяется гораздо меньше. Риски же, связанные с активностью технически подготовленных и постоянно работающих с банковскими ИС привилегированными пользователями существуют и их число  заметно.

Таким образом, актуальность проблемы обуславливается тем, что технологии компьютерных систем и сетей развиваются слишком быстро. Появляются новые угрозы безопасности информации. Соответственно, такую информацию нужно защищать.

Цель курсовой - изучение и проблем защиты информации в банковской сфере.

Объект курсовой – информационная безопасность в банковской сфере.

Предмет курсовой – средства защиты информации в банковской сфере.

Задач работы:

Дать характеристику и показать особенности информационной безопасности в банковской сфере

Изучить механизмы обеспечения информационной в безопасности банковской сфере.

В работе были использованы следующие методы исследования: методы познания (описание, анализ, наблюдение, опрос); общенаучные методы.

---

ГЛАВА 1. ТЕОРЕТИЧЕСКИЕ АСПЕКТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В БАНКЕ

1.1. Особенности информационной безопасности банковской системы

Коммерческие банки, являясь важнейшим финансовым институтом современного социума, должны сле­довать определенным правилам информационной безопасности и уметь противостоять дестабилизирующим факторам [6].

В настоящее время стоимость и значимость банковской информации многократно возросли, что привело к росту преступного интереса к ней [8]. Каждый банк обязан обеспечить безопасность хранимых им данных, именно поэтому он должен следить за регулярной сменой и проверкой паролей, а также за контролем вероят­ности утечки информации.

Банковские информационные системы и базы данных содержат конфиденциальную информацию о клиентах банка, состоянии их счетов и проведении различных финансовых операций. Необходимо поддер­живать сохранность этих данных, обеспечивать их информационную безопасность, осуществлять быстрый в Журавлева В. В., Целых А. Н., 2015 и своевременный обмен и обработку информации, чтобы банковская система не дала сбой. Для этого необ­ходима целая структура, которая будет способна обеспечить защиту информации, а также конфиденциаль­ность клиентской базы.

План действий, обеспечивающих информационную безопасность банков, принципиально отличается от плана действий других организаций. Главными причинами этого являются специфический характер угроз, а также публичная деятельность банков, которые обязаны делать доступ к счетам несложным с целью удобства для клиентов.

Факторы, которые следует учитывать для обеспечения информационной безопасности банков [10]:

Информация, которая хранится и обрабатывается в банках, - это реальные деньги. При открытом до­ступе к данной информации через компьютеры могут открываться кредиты, производиться выплаты, а так­же могут переводиться значительные суммы денег без ведома владельца данного счета. Совершенно ясно, что такое незаконное манипулирование информацией приведет к убыткам различной степени. Данная осо­бенность увеличила число мошенников, которые покушаются именно на банки, ведь информация, к примеру, промышленных компаний чаще всего не представляет такого интереса.

---

Информация, которая относится к банковской сфере, касается большого количества людей и органи­заций, то есть клиентов банков. Банк должен обеспечить достаточный уровень конфиденциальности инфор­мации, что является приоритетной задачей, поскольку каждый клиент вправе рассчитывать, что банк будет заботиться о его интересах, ведь от этого напрямую зависят репутация и успешность самого банка.

От того, как клиенту удобно работать с банком, а также от широкого спектра предоставляемых им услуг напрямую зависит конкурентоспособность банка. Именно поэтому банк должен предоставлять возможность быстрого и неутомительного распоряжения денежными средствами. Но именно такая легкость доступа к де­нежным активам и увеличивает число преступников, которые проявляют интерес к банковским системам.

Банк обязан обеспечить высокую надежность работы компьютерных систем даже в случае нештатных ситуаций, ведь банк, в отличие от большинства компаний, отвечает не только за свои денежные средства, но и за деньги клиентов.

Банк хранит важную информацию о своих клиентах, что расширяет круг потенциальных злоумыш­ленников, заинтересованных в краже или порче такой информации.

Чтобы защищать интересы и цели всей банковской системы Российской Федерации в условиях угроз, были созданы отечественные стандарты по информационной безопасности (Стандарт Банка России по обес­печению информационной безопасности организаций банковской системы РФ) [5]. Но, к сожалению, даже эти стандарты не могут ответить на все вопросы, поэтому они постоянно меняются и усовершенствуются за счет ранее накопленного всеми поколениями опыта по защите информации.

В условиях современной геополитической ситуации явно прослеживается тенденция к переходу на нацио­нальную систему платежных карт. Это, в свою очередь, требует повышение надежности и безопасности банковских информационных систем.

Все эти факторы привели к очередному переизданию стандартов СТО БР ИББС. Июнь 2014 года ознаме­новался вступлением в силу пятой обновленной версии СТО БР ИББС - 2014. В отдельных блоках этого стандарта подробно описаны требования к обеспечению безопасности, а также даются конкретные перечни мер защиты по тому или иному блоку (Таблица 1).

Таблица 1. - Требования к обеспечению информационной безопасности
в обновленной версии СТО БР ИББС - 2014 [6]

№	Требования к обеспечению информационной безопасности
1	При назначении и распределении ролей и обеспечении доверия к персоналу
2	В автоматизированных банковских системах (АБС) на стадиях жизненного цикла
3	При управлении доступом и регистрацией пользователей
4	К средствам антивирусной защиты
5	При использовании ресурсов сети Интернет
6	При использовании средств криптографической защиты информации
7	В банковских платежных технологических процессах
8	По обработке персональных данных
9	Отдельным заголовком вынесены требования к системе менеджмента информационной безопасности

---

5 мая 2014 года Президент Российской Федерации Владимир Владимирович Путин подписал закон о со­здании в России национальной системы платежных карт, а также об обеспечении бесперебойной работы международных платежных систем [9].

Национальная система платежных карт создается в форме ОАО, 100% активов которого принадлежит Банку России. Цель проекта - информационно замкнуть процесс осуществления денежных переводов внутри России. Если ранее деньги могли появляться из «ниоткуда» и исчезать в «никуда», то после выхода закона ситуация изменилась, то есть национальная платежная система позволяет отслеживать все денежные опера­ции. Например, финансирование сомнительных сделок и мошеннические операции. И, что немаловажно, уход от наличного оборота, как считает правительство, поможет государству в борьбе с коррупцией.

Чтобы обеспечить безопасность национальной платежной системы, был выпущен целый ряд подзакон­ных актов, среди которых основополагающее «Положение о защите информации в платежной системе» от 13.06.2012 г. № 584 [4]. Большую роль сыграло выпущенное ответственным департаментом Банка России «Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств...» от 09.06.2012 г. № 382-П.

После внесения изменений в Положение Банка России от 09.06.2012 г. № 382-П тенденции обеспечения защиты смещены в сторону [3]:

применения банкоматов и платежных терминалов;

применения пластиковых платежных карт;

использования сети Интернет (систем дистанционного банковского обслуживания (ДБО) и мобильного банкинга);

требований к порядку разработки и распространения специализированного программного обеспече­ния, предназначенного для использования клиентом при переводе денежных средств;

расширения требований по повышению осведомленности клиентов о возможных рисках получения несанкционированного доступа к защищаемой информации и рекомендуемых мерах по их снижению;

требований о необходимости проведения классификации банкоматов и платежных терминалов, ре­зультаты которой должны учитываться при выборе мер защиты;

процедур приостановления проведения платежа оператором по переводу денежных средств в случае обнаружения признаков мошеннических действий;

процедур защиты от современных угроз безопасности, таких как скимминг (путем использования спе­циализированных средств, препятствующих несанкционированному считыванию треков платежных карт);

защиты сервисов, расположенных в сети Интернет, от внешних атак (DoS-атак);

---

защиты от фишинга (фальсифицированных ложных ресурсов сети Интернет);

требования по применению платежных карт, оснащенных микропроцессором, с 2015 года и запрета выпуска карт, не оснащенных микропроцессором, после 1 января 2015 года.

На наш взгляд, банковские структуры должны взять курс на эти тенденции, а именно, на скорейший пе­реход от пластиковых карт с магнитной полосой к картам с чипами, технологически более защищённым от несанкционированного воздействия. Также банкам следует непрестанно совершенствовать механизмы защиты банкоматов от установки скиммингового оборудования. В том числе периодически изменять настройки, увеличивать количество штатных видеокамер, устанавливать банкоматы исключительно в люд­ных общественных местах и крупных учреждениях.

Если банки смогут обеспечить высокий уровень информационной безопасности, то это позволит свести к минимуму следующие риски [1]:

риск потери, а также разрушения ценных данных;

риск утечки информации, которая составляет служебную/коммерческую/банковскую тайну;

риск распространения во внешней среде информации, которая будет угрожать репутации банка;

риск использования неполной или искаженной информации в деятельности банка.

И, конечно же, нельзя забывать о работе по широкому освещению проблематики информационной без­опасности. В том числе, о разработке рекомендаций для клиентов, выработке у них навыков безопасного ис­пользования банкоматов и других дистанционных сервисов, ведь безопасность банков, как известно, имеет две составляющие: безопасность со стороны банка и безопасность со стороны клиента [2].

Вторая составляющая предполагает обеспечение безопасности процедуры подтверждения клиентом платежа.

Данная задача решается посредством использования устройств защищенного хранения ключей элек­тронной подписи (ЭП) и защищенной выработки электронной подписи, доверенных устройств отображения ключевых реквизитов и подписи платежного поручения, доверенных каналов подтверждения платежа, дове­ренной среды для работы с приложением «клиент - банк», а также посредством мониторинга платежей на предмет выявления подозрительных и потенциально мошеннических сделок.

Если говорить о безопасности платежных систем, признанным стандартом безопасности считается Payment Card Industry Data Security Standard (PCI DSS). В него вошли такие карточные брэнды как Visa, MasterCard, American Express, JCB и Discovery.

Основной акцент в стандарте PCI DSS делается на обеспечении безопасности сетевой инфраструктуры и защите хранимых данных о держателях платежных карт как наиболее уязвимых с точки зрения угроз кон­фиденциальности местах [11]. Также следует отметить, что стандарт регламентирует правила безопасной разработки, поддержки и эксплуатации платежных систем, в том числе процедуры их мониторинга. Не ме­нее важную роль стандарт отводит разработке и поддержке базы нормативных документов системы ме­неджмента информационной безопасности.

---