Файл: Система защиты информации в банковских системах (Безопасность персональных платежей физических лиц).pdf

Следовательно, при организации надежной защиты, необходимо четко осознавать, от каких нарушений важнее всего избавиться. Для защиты от взлома, который происходит из — за халатности нужна небольшая защита, чтобы защитить вашу систему от зондирования более жесткой и строгой с непрерывным мониторингом-проникновением. Целью этих мероприятий должно быть обеспечение здоровья АСОБИ в целом и его системы защиты, в частности.^[12]

Пути предотвращения нарушений в связи с характером мотивов - это правильное обучение пользователей, а также поддержание здоровой рабочей атмосферы в коллективе, подбор персонала, своевременное обнаружение потенциальных захватчиков и принять соответствующие меры. Первая из них-это управление задачами системы, вторая — психолог и вся команда в целом. Только если эти меры сочетать, можно не фиксировать нарушения и расследовать преступления, а предотвращать их причину.

При создании модели вредителя и оценке риска потери персонала, операций необходимо различать всех сотрудников по их способности использовать систему и, соответственно, потенциальному ущербу каждой категории пользователей. Например, оператор или программист автоматизированной банковской системы может нанести значительно больший ущерб, чем обычный пользователь, тем более непрофессионал.

2.2 Кадровая политика с точки зрения информационной безопасности

Недавняя практика показала, что различные виды преступлений и преступлений, их значимость, ценность и значимость, так или иначе связаны с конкретными действиями сотрудников коммерческих структур. В связи с этим целесообразно и необходимо повысить экономическую безопасность этих объектов, уделяя им больше внимания отбору и исследованию персонала, пересмотру всех данных, связанных с их сомнительным поведением и компрометирующими ссылками.^[13] Соглашения должны четко демонстрировать личную функциональную ответственность всех категорий сотрудников торговых предприятий и на основе действующего российского законодательства, определять их ответственность за возможные нарушения, связанные с раскрытием или разглашением информации, представляющей коммерческую тайну, внутренние заказы и заказы.

Кроме того, в связи с этим необходимо отметить, что руководители московских коммерческих банков все чаще вводят "конфиденциальную" отметку на своих официальных документах и делятся различными вознаграждениями со своими сотрудниками группами.

Если объективно оценить текущую процедуру подбора персонала, то получается, что многие приоритеты банка, к сожалению, в первую очередь это только профессиональные кандидаты на получение образования на работу, которая определяется количеством традиционных формальных признаков: образовательные, рельефные, опыт работы по специальности. Такие банки, с очень ограниченным числом работников, все чаще представляют собой сочетание обычных исполнителей в различных областях работы-и быстро растущих знаний и управленческих команд, каждый сотрудник по-прежнему является носителем конфиденциальной информации, которая может представлять интерес, как для конкурентов, так и для криминальных сообществ.

Обобщая основные рекомендации, кажется, что программа с сотрудниками коммерческой структуры может быть сформулирована следующим образом:

- Получить в рамках действующего российского законодательства как можно больше информации о кандидате на работу, провести тщательную проверку представленных документов, как официальных, так и оперативных навыков, включая Службу безопасности банка, или частное детективное агентство, Анализ согласованности собранных данных, соответствующих кандидатов;^[14]

- проведение ряда контрольных мероприятий по повышению уровня занятости кандидатов, их родственников, бывших коллег, непосредственной близости в тех случаях, когда вопрос о допуске на руководящие должности или доступ к информации, которая будет представлять коммерческую тайну;

- Использование современных методов, в частности, интервью и тестов, создание психологического портрета кандидата, который даст возможность уверенно оценить основные характерные черты и предсказать их вероятные действия в различных экстремальных ситуациях; оплата персонала

- Оценка, с помощью современных психологических методов меняется и плохое состояние факторов, которые препятствуют утверждению кандидатов на работу-или их использование в определенных позициях;

- Установление испытательного срока для кандидатов на работу в коммерческих структурах для дальнейшей проверки и идентификации деловых и личных качеств, других факторов, которые могут мешать утверждению должности;

- Введение регулярных и неожиданных комплексных проверок персонала, в том числе за счет возможностей спецслужб;

- разделить первое среди руководителей коммерческих структур кураторов сотрудников, управлять деятельностью сотрудников, отделов и служб безопасности, работающих с персоналом.

Можно сделать вывод, что российские предприниматели все чаще меняют свое отношение к "человеческому фактору", внедряя персонал, отделы и Службы безопасности современные методы работы с персоналом. Понятно, что дальнейшее развитие в этой области связано с активным использованием значительного потенциала методов психоанализа, психологии и этики менеджмента, конфликтологии и ряда других наук и полной интеграцией специализированных торговых предприятий.

Глава 3 Организация информационной безопасности

3.1 Безопасность автоматизированных систем обработки информации в банках

Известно, что в 1992 году ущерб от компьютерных преступлений составил $555 млн., 930 лет рабочего времени и 15.3 года машинного времени. По другим данным ущерб финансовых организаций составляет от $173 млн. до $41 млрд. в год^[15].

Из этого примера можно сделать вывод, что системы обработки и защиты данных отражают традиционный подход к вычислению потенциально ненадежной среды передачи данных. Существует несколько основных способов обеспечения безопасности программно-технической среды, которая реализуется различными методами:

1. Идентификация (аутентификация) и пароли авторизации.

1.1. Создайте профиль пользователя. Каждый узел создает базу данных пользователей, пароли и профили, используя локальные ресурсы компьютера.

1.2. Создайте профиль проекта. Задача аутентификации выполняется независимым (сторонним) сервером, который включает в себя пароли, а также Пользователей и целевые серверы (если пароль группы серверов, база данных содержит только один (master) сервер аутентификации, остальные только периодически обновляемые копии). Поэтому для использования сетевых сервисов необходимо два пароля (хотя пользователю нужно знать только один-другой предоставляется "прозрачным" способом сервера). Видимо, сервер становится узким местом всей системы, и взлом может нанести ущерб безопасности всей компьютерной сети.

2. Что ты имеешь в виду? Инкапсуляция данных осуществляется по специальному протоколу передачи данных. Такие способы связи основаны на алгоритмах шифрования, открытого ключа. На этапе инициализации создается пара ключей, которая открывается и закрывается только тем, кто опубликует открытый ключ. Суть алгоритмов шифрования с открытым ключом заключается в том, что функции шифрования и дешифрования генерируются разными ключами (открытыми и закрытыми).^[16]

3. Ограничение информационных потоков. Это хорошо известные инженерные методы, которые позволяют делить локальную сеть на подключенные подсети и контролировать и ограничивать передачу информации между этими подсетями.

3.1. Брандмауэр (Firewall). В методе создания специальных прокси-серверов между локальной сетью банка и другими сетями можно просматривать, анализировать и фильтровать весь трафик (сетевой /транспортный). Это позволяет значительно снизить риск несанкционированного доступа извне корпоративной сети, но не полностью исключает этот риск. Более безопасный тип метода маскируется под метод, когда весь исходящий трафик отправляется от имени сервера брандмауэра, в результате чего закрытая локальная сеть практически невидима.

3.2. прокси сервера. Этот метод вводит строгие ограничения, правила передачи данных в сеть: весь сетевой / транспортный трафик между локальными и глобальными сетями не идеален-просто не маршрутизируется как таковой, а доступ из локальной сети в глобальную происходит через выделенные серверы-посредники. Понятно, что такой метод лечения в локальной глобальной сети в принципе невозможен. Очевидно также, что этот метод не дает достаточной защиты против атак на более высоких уровнях, таких как уровень программу.

4. Создавая виртуальные частные сети (VPN), можно эффективно защищать, прослушивать или прерывать передачу данных. Они помогут вам конфиденциально, безопасно общаться в открытой сети, как правило, в Интернете, а также расширить границы корпоративных сетей до удаленных офисов, мобильных пользователей, домашних пользователей и деловых партнеров. Технология шифрования, исключает возможность перехвата и чтения сообщений, отправленных в виртуальную частную сеть, кроме авторизованных получателей, путем применения передовых математических алгоритмов для шифрования сообщений и приложений. Cisco VPN 3000 Poles многими признана лучшим решением для удаленного доступа по виртуальным частным сетям в своей категории. Cisco VPN 3000 Hubs с самыми передовыми функциями с высокой надежностью и уникальной целевой архитектурой. Организации инфраструктуры позволяют создавать высокопроизводительные, строительные и высокопроизводительные виртуальные частные сети для поддержки ответственных приложений ras. Идеальными устройствами для создания виртуальных частных сетей от одного сетевого объекта к другому являются маршрутизаторы Cisco, оптимизированные для построения виртуальных частных сетей, таких как Cisco 800, 1700, 2600, 3600, 7100, и 7200 маршрутизаторов.^[17]

5.Что ты имеешь в виду? Системы обнаружения вторжений и сканеры уязвимостей для создания дополнительного уровня сетевой безопасности. Несмотря на то, что межсетевые экраны для обхода или задержки трафика в зависимости от источника, назначения, порта или других требований, они фактически не анализируют трафик для атак и не ищут уязвимые области системы. Кроме того, брандмауэры обычно не борются с внутренними угрозами, исходящими от "своих". Система обнаружения вторжений Cisco (IDS) может защитить периметр сети, сетевых партнеров и все более уязвимую внутреннюю сеть в режиме реального времени. Система использует вещества, высокопроизводительные сетевые устройства, для анализа отдельных пакетов с целью выявления подозрительной активности. Когда в сетевом потоке происходят несанкционированные действия или сетевая атака, агенты могут обнаруживать нарушения в режиме реального времени, отправлять оповещения администратору и предотвращать доступ злоумышленника к сети. В добавлении, инструменты обнаружения вторжения сети, Cisco также предлагают систему обнаружения вторжения сервера, которые обеспечивают эффективное предохранение против некоторых серверов на сети потребителя, в частности серверах паутины и электронной коммерции. Cisco Secure Scanner является промышленным программным сканером, который позволяет системному администратору обнаруживать и устранять дыры в сетевой безопасности, прежде чем хакеры найдут их.

Когда сеть становится больше и сложнее, требование централизованной политики безопасности, которая может управлять элементами безопасности, имеет первостепенное значение. Интеллектуальные средства настройки, управления и отслеживания состояния политики безопасности для добавления функциональности, и эффективности решений сетевой безопасности. Решения Cisco в этой области предложить стратегический подход к управлению безопасностью. Cisco Secure Policy Manager (cspm) поддерживает корпоративные сети Cisco security и обеспечивает всестороннюю и последовательную реализацию политики безопасности. С CSPM клиенты могут настроить соответствующую политику безопасности, принужден и принципы безопасности для сотен межсетевых экранов Cisco Secure PIX и набора функций межсетевого экрана Cisco IOS и веществ проверки IDS. CSPM также поддерживает стандарт IPSec для виртуальных частных сетей VPN. Кроме того, CSPM является частью обширной системы управления бизнесом CiscoWorks2000/VMS.^[18]

Таким образом, можно сделать вывод о том, что разработка систем требует параллельной разработки, передачи и защиты технологий. Эти приемы призваны обеспечить защиту передаваемой информации, что делает сеть "надежной", хотя надежность понятна, на сегодняшний день является этапом, поскольку надежность находится не на физическом уровне, а на логическом (data) уровне.