.Система защиты информации в банковских системах

Содержание:

Введение

В современном мире хранение банковской информации, ее стоимость и значимость многократно возросли, что, в свою очередь, не могло не привлечь рост преступного интереса к ней.

Необходимость обеспечивать безопасность хранения данных, регулярная смена и проверка паролей и контроль вероятности утечки информации стали неотъемлемой частью работы каждого банка.

Для совершения кражи и взлома банковской системы злоумышленнику вовсе не обязательно врываться в банк. Осуществить взлом пользователь сети может со своего персонального компьютера, поэтому проблема вопроса информационной безопасности в банках стоит достаточно остро.

Необходимость сохранять информационную безопасность этих данных очевидна, но без быстрого и своевременного обмена и обработки информации банковская система даст сбой. Поэтому необходима целая структура, которая сможет обеспечить защиту банковской информации и конфиденциальность клиентской базы.

Цель данной работы – Изучить системы защиты информации в банковских системах.

Объектом исследования является защита информации в банках.

Предмет исследования – Система защиты информации в банковских системах.

Задачи работы:

• определить и проанализировать риски информационной безопасности;

• рассмотреть защитные меры;

• рассмотреть комплекс организационных мер обеспечения безопасности;

• рассмотреть комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности;

Глава1

1.1 Меры по защите информации

• оценка и разработка конфиденциальной информации;
• оборудование объекта для осуществления защиты;
• контроль эффективности принятых мер.

Банк может полноценно осуществлять свою деятельность лишь в случае налаженного обмена внутренними данными и надежной системой защиты. Оборудование информационной защиты банковских объектов может иметь различные формы.

Специалисты в области обеспечения информационной безопасности банка могут создавать как локальные системы, так и централизованные программы защиты.

Выбирая конкретную форму защиты, необходимо учитывать все возможные способы взлома и утечки данных. Грамотный и профессиональный подход к обеспечению безопасности подразумевает слаженную работу всех отделений банка и беспрерывное функционирование финансовых систем [6].

Разработка комплекса защитных мер по предотвращению нарушения конфиденциальности данных включает в себя ряд определенных действий.

• контроль обмена данных и строгая их регламентация;
• подготовка сотрудников банка и соблюдение ими требований безопасности;
• строгий учет каналов и серверов;
• анализ эффективности.

Каждое направление включает в себя несколько этапов работы. К примеру, контроль обмена данных подразумевает не только обработку скорости передачи информации, но и своевременное уничтожение остаточных сведений. Эта мера также предполагает строгий контроль обработки данных и их криптографическую защиту.

Доступ к данным банка защищается с помощью системы идентификации, то есть паролями или электронными ключам. Работа с персоналом, использующим банковскую систему, включает в себя проведение инструктажей и контроль выполнения необходимых требований.

Строгий учет каналов и серверов, а также меры, обеспечивающие техническую защиту информации и безопасность банка подразумевают защиту резервных копий, обеспечение бесперебойного питания оборудования, содержащего ценную информацию, ограниченный доступ к сейфам и защиту от утечки информации акустическим способом.

Для анализа эффективности принятых мер необходимо вести учет или запись, которые будут отмечать работоспособность и действенность примененных средств защиты информации в банке [8].

1.2 Принципы информационной безопасности банка

Несмотря на множество возможностей взлома и утечки информации, безопасность банковских данных и их конфиденциальность обеспечить вполне возможно.

Современные методы позволили усовершенствовать систему криптографии, а также реализовать такую меру, как электронная цифровая подпись (ЭЦП). Она служит аналогом собственноручной подписи и имеет непосредственную привязку к электронному ключу, который хранится у владельца подписи. Ключ состоит из двух частей: открытой и закрытой, и защищен специальным кодом.

Система безопасности в целом – это непрерывный процесс идентификации, анализа и контроля. Существует ряд основных принципов, согласно которым осуществляется обеспечение информационной безопасности банка:

• своевременное установление и обнаружение проблем;
• возможность прогнозирования развития;
• актуальность и эффективность предпринятых мер.

Также необходимо особо подчеркнуть важность тщательной и регулярной работы с персоналом, поскольку обеспечение безопасности информации во многом зависит от качественного и аккуратного выполнения требований, предъявляемых службой безопасности.

1.3 Угрозы информационной безопасности банка

Человеческий фактор является основной и главной угрозой информационной безопасности, напрямую зависящей от человеческих отношений. Большая часть утечки информации объясняется халатностью персонала банка [1].

По статистике, около 80% правонарушений приходится на сотрудников банка, то есть на тех, кто непосредственно имел или имеет доступ к данным.

Однако, обеспечение внутренней информационной безопасности банка крайне необходимая мера не только для защиты конфиденциальности данных от профессиональной халатности и безалаберности, но и от намеренного взлома баз данных.

Кроме внутреннего фактора, существует также техническая угроза информационной безопасности как банков так и предприятий. К техническим угрозам относятся взломы информационных систем, лицами, не имеющими прямого доступа к системе, криминальными или конкурирующими организациями.

Съем и получение информации в данном случае производится с применением специальной аудио или видео аппаратуры. Одной из современных форм взлома является использование электрических и электромагнитных излучений, обеспечивающих злоумышленникам возможность получения конфиденциальной информации, ЭЦП и представляющих техническую угрозу утечки.

Компьютерные системы – это необходимое средство для осуществления работы банка, однако одновременно это и одно из самых уязвимых мест предполагаемой технической утечки.

Опасность и угрозу для программного обеспечения могут представлять также различные вредоносные для носителя информации компьютерные вирусы, программные закладки, которые способны разрушить введенные коды.

Самым известным способом решения вирусных проблем программного обеспечения являются лицензионные антивирусные программы, успешно справляющиеся с данной проблемой [11].

Защитить банковскую информацию от внутренних и внешних утечек поможет грамотный специалист в этой области и программное обеспечение, позволяющее отслеживать и блокировать передачу информации на съемные носители (например – флешки).

Можно отметить, что в силу экономической важности банковских систем, обеспечение их информационной безопасности является обязательным условием. Поскольку информация, находящаяся в базе данных банков представляет собой реальную материальную стоимость, то требования к хранению и обработке этой информации всегда будут повышенными.

Специфика и особенности системы обеспечения безопасности, безусловно, индивидуальны для каждого отдельного банка, поэтому комплексное и профессиональное предоставление систем защиты является необходимым условием работы всей банковской системы.

1.4 Правовая защита банковской информации

Информационная безопасность в Банках с учетом СТО БР ИББС-2014

В настоящий момент распоряжением Банка России пакет документов СТО БР ИББС состоит из следующих частей: СТО БР ИББС-1.0-2014. «Общие положения (5 редакция)»; СТО БР ИББС-1.1-2007. «Аудит информационной безопасности»; СТО БР ИББС-1.2-2014. «Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2014 (4 редакция)»; Кроме того, Банком России разработаны и введены следующие рекомендации в области стандартизации ИБ:

• РС БР ИББС-2.0-2007. «Методические рекомендации по документации в области обеспечения информационной безопасности в соответствие с требованиями СТО БР ИББС-1.0»;
• РС БР ИББС-2.1-2007. «Руководство по самооценке соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0»;
• РС БР ИББС-2.2-2009. «Методика оценки рисков нарушения информационной безопасности»;
• РС БР ИББС-2.5-2014. «Менеджмент инцидентов информационной безопасности».

Первые три документа являются обязательными для всех банков, которые приняли указанный стандарт в качестве своей базовой политики. Документ «Общие положения» являются основой для формирования всех мероприятий по защите информации.

В новой редакции Банк России актуализировал методику оценки соответствия информационной безопасности.

Основные изменения коснулись подхода к оценке:

• все требования теперь отнесены к одному из трех классов (документирование, выполнение, документирование и выполнение);
• оценка групповых показателей определяется как среднее арифметическое (отсутствуют весовые коэффициенты частных показателей);
• вводится понятие корректирующих коэффициентов, влияющих на оценки по направлениям и зависящих от количества полностью не реализованных требований Стандарта;
• значение показателя М9 (Общие требования по обработке персональных данных) рассчитывается по общей схеме (а не как минимальное из значений входящих частных показателей в предыдущей версии стандарта).

Стоит отметить тот факт, что стало значительно больше уделяться внимания документированию процедур безопасности во внутренних нормативных документах банков. Таким образом, даже если процедура фактически не выполняется, но предусмотрена и документирована, -- это повышает результат внутреннего аудита.

1.5 Защита персональных данных в банках

До выхода 5 редакции СТО БР ИББС–2014, защита персональных данных в банках базировалась на двух документах: БР ИББС-2.3-2010. «Требования по обеспечению безопасности персональных данных в информационных системах персональных данных организаций банковской системы Российской Федерации» и РС БР ИББС-2.4-2010. «Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации».

На практике это выглядело так: брали в неизменном виде предложенную Центральным Банком частную отраслевую модель угроз, по методическим рекомендациям определяли требований к защите каждой ИСПДн, исходя из и количества и списка обрабатываемых данных, и в дальнейшем выстраивали по ним перечень необходимых мероприятий. Главной головной болью специалистов до сегодняшнего дня было то, что настоящие требований действовали вплоть до очередной редакции СТО БР ИББС – 2014, хотя на тот момент защита ПДн уже выстраивалась в соответствии с ПП-1119 и приказом ФСТЭК №21.

В виду того, что банки должны соответствовать принятому пакету СТО БР ИББС, многие из них пользовались не актуальными методиками и, как следствие, не соответствовали новым реалиям обеспечения безопасности. С выходом этих двух упомянутых нормативных документов ситуация изменилась к лучшему - были отменены некоторые строгие требования по лицензированию, упрощены процедуры классификации ИСПДн, оператору ПДн дано больше прав на выбор защитных мер.

Требования к защите ИСПДн определяясь таблицей соответствия «уровня защищенности» и применяемых к ним процедур безопасности, детализациях которых была представлена приказом ФСТЭК № 21.

Это позволило нивелировать различия в методике защиты ПДн в отраслевом стандарте ЦБ и общего российского законодательства. В обновленном стандарте появился новый термин «Ресурс ПДн», для которого сформированы требования к документированности отдельных процедур, связанных с обработкой персональных данных (раздел 7.10). Отдельно рассмотрены вопросы, связанные с уничтожением персональных данных: организациям предоставлена возможность уничтожать ПДн не сразу, а на периодической основе, но не реже одного раза в полгода. Роскомнадзором отдельно были внесены пояснения в отношении биометрических ПДн, например фотографии сотрудников, если таковые используются в целях осуществления контрольно-пропускного режима или выставлены на сайте компании в качестве общедоступной информации о руководстве, не попадают под режим специальных требованиям к защите [2].

Банкам же, которые ранее уже выполнили требования по защите ПДн по старому стандарту, для соответствия новым требованиям нужно скорректировать свои внутренние нормативные документы, провести заново классификацию и переадресацию ИСПДн и, в соответствии с уровнем защищенности, определить для себя новый перечень защитных мероприятий. Хочется отметить, что сейчас у банков появилось больше свободы в выборе средств и методов защиты, однако применение именно сортированных ФСТЭК средств защиты информации по-прежнему является обязательным. Информационная безопасность национальной платежной системы Национальная платежная система (НПС), в виду последних событий, становится все более приоритетным направлением во внутренней политике государства.

Президент России Владимир Путин подписал закон о создании в России национальной системы платежных карт (НСПК) и обеспечении бесперебойности работы международных платежных систем. Оператор НСПК создается в форме ОАО, 100% активов которого принадлежит Банку России. Целью проекта обозначено инфраструктурно и информационно замкнуть процесс осуществления денежных переводов внутри России, закрепить территориально внутри страны операционные центры и платежные клиринговые центры. Фактически, до выхода закона деньги могли появляться из «ниоткуда» и исчезать в «никуда». С выходом закона ситуация меняется, НПС дает возможность отслеживает все денежные операции, в том числе финансирование сомнительных сделок и мошеннические операции, которые могут угрожать безопасности граждан или страны в целом. Кроме того, уход от наличного оборота, по мнению правительства, является еще одним шагом в борьбе со взяточничеством.

Для обеспечения безопасности НПС был выпущен целый рад подзаконных актов, серди которых основополагающее Положение о защите информации в платежной системе» от 13.06.2012 №584. Но в большей мере отвечает выпущенное ответственным департаментом Банком России Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств…» от 09.06.2012 N 382-П) С обновлением П-382 тенденции обеспечения защиты теперь смещены в сторону:

• применением банкоматов и платежных терминалов; применения пластиковых платежных карт;
• использования сети Интернет (систем дистанционного банковского обслуживания (ДБО) и мобильного банкинга);
• требований к порядку разработки и распространения специализированного ПО, предназначенного для использования клиентом при переводе денежных средств;
• расширение требований по повышению осведомленности клиентов о возможных рисках получения несанкционированного доступа к защищаемой информации и рекомендуемых мерах по их снижению;
• требований о необходимости проведения классификации банкоматов и платежных терминалов, результаты которой должны учитываться при выборе мер защиты;
• процедур приостановления проведения платежа оператором по переводу денежных средств в случае обнаружения признаков мошеннических действий;
• предусмотрены процедуры защиты от современных угроз безопасности, таких как: скимминг (путем использования специализированных средств, препятствующих несанкционированному считыванию треков платежных карт;
• защита сервисов расположенных в сети Интернет от внешних атак (DoS-атак);
• защита от фишинга (от фальсифицированных лождных ресурсов сети Интернет);
• требование по применению платежных карт, оснащенных микропроцессором, с 2015 года и запрет выпуска карт, не оснащенных микропроцессором, после 1-го января 2015 года;
• 29 новых показателей оценки.

Аналогичная ситуация складывается с использованием пластиковых карт. В мировом сообществе признанным стандартом безопасности считается Payment Card Industry Data Security Standard (PCI DSS), который был разработан советом PCI SSC. В него вошли такие карточные брэнды, как Visa, MasterCard, American Express, JCB и Discovery. Стандарт PCI DSS описывает требования к защите данных о держателях карт, сгруппированные в двенадцать тематических разделов.

Основной акцент в стандарте PCI DSS делается на обеспечении безопасности сетевой инфраструктуры и защите хранимых данных о держателях платежных карт, как наиболее уязвимых с точки зрения угроз конфиденциальности местах.

Также следует отметить, что стандарт регламентирует правила безопасной разработки, поддержки и эксплуатации платежных систем, в том числе процедуры их мониторинга. Не менее важную роль стандарт отводит разработке и поддержке базы нормативных документов системы менеджмента информационной безопасности.

Международные платежные системы обязывают организации, на которые распространяются требования стандарта, проходить регулярную проверку соответствия этим требованиям, что рано или поздно может затронуть и НСПК. Однако сертификация российских банков по зарубежному PCI DSS стандарту шла довольно медленно, а отечественного аналога на сегодняшний день нет.

1.6 Блокировка мошеннических сайтов

Банк России и Минкомсвязи работают над изменениями в закон «Об информации, информационных технологиях и о защите информации», которые позволят противодействовать мошенническим ресурсам в сети интернет более эффективно.

Предполагается наделить Банк России правом принимать решение о включении ресурсов в единый реестр запрещенных сайтов. Таким образом, в Рунете появится новый вид запрещенной информации — информация, использующаяся для мошенничеств на финансовом рынке. Например, в ряде случаев финансовые организации, которые лишились лицензии, продолжают через интернет предлагать «заем до зарплаты».

Банк России на основе соглашений с компетентными организациями инициирует блокировку в российском сегменте интернета мошеннических ресурсов, относящихся к сфере финансовых рынков и национальной платежной системе, — подтвердили в пресс-службе ЦБ. — На данный момент снято с делегирования порядка 400 доменов.

Сайты, созданные для мошенничества на финансовом рынке, будут блокироваться. Экспертизу подобных ресурсов будет проводить Центральный банк России. Об этом говорится в Стратегии государственной политики в области защиты прав потребителей.

Банк России разработал проект указания о внесении изменений в Положение «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

Согласно документу, операторы по переводу денежных средств будут обязаны использовать ПО, сертифицированное на соответствие требованиям по безопасности информации. То есть, банки и платежные системы смогут использовать только программы, прошедшие проверку на наличие уязвимостей и недекларированных возможностей в соответствии с требованиями Федеральной службы по техническому и экспортному контролю или требованиями к оценочному уровню доверия не ниже чем ОУД 4 в соответствии с ГОСТ Р ИСО/МЭК 15408-3-2013.

Анализ уязвимостей в ПО должны проводить организации, имеющие лицензию на осуществление деятельности по технической защите конфиденциальной информации. Тестирование на проникновение и анализ уязвимостей должно проводиться ежегодно. Указание вступает в силу с 1 июля 2018 года.

Госстандарт защиты информации для банков ГОСТ Р 57580.1-2017

ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций.

Базовый набор организационных и технических мер» утв. 08.08.2017

Распространяется на Банки, некредитные финансовые организации, других субъектов НПС

Что принципиально нового:

Уровни защиты информации:

Уровень 3 – минимальный (соответствует четвертому УЗ ПДн)

Уровень 2 – стандартный (соответствует второму и третьему УЗ ПДн)

Уровень 1 – усиленный (соответствует первому УЗ ПДн)

Уровень защиты информации устанавливается для конкретного контура безопасности (информационная система, реализующая бизнес-процессы единой степени критичности, для которых применяется единый режим защиты информации)

Пример: Платежные и информационные технологические процессы могут составлять разные контуры безопасности

Формируется один или несколько контуров безопасности

Уровень защиты для контура безопасности устанавливается нормативными актами Банка России на основе:

1. Вида деятельности, состава предоставляемых услуг, бизнес-процессов в рамках контура безопасности
2. Объема финансовых операций
3. Размера организации
4. Значимости для финансового рынка и НПС

В числе мер, способствующих снижению рисков утечки информации, Банк России предлагает финансовым организациям установить и документировать классификацию обрабатываемой информации.

Рекомендуется выделить как минимум два класса – «информация конфиденциального характера» и «открытая информация». Классификацию рекомендуется проводить на основе оценивания степени тяжести последствий для организации от возможных утечек информации конфиденциального характера, говорится в документе.

Организациям также рекомендуется документировать и обеспечить выполнение идентификации и учета всех информационных активов информации конфиденциального характера и объектов среды информационных активов.

В этом пункте подробно рассматривается состав правил идентификации и учета информационных активов и объектов среды информационных активов, типы информационных активов и объектов, подлежащих идентификации и учету, набор учетных данных, которые необходимо хранить и др.

Для учета и идентификации информационных активов и средств вычислительной техники рекомендуется использовать средства автоматизации.

Банк России рекомендует определить категории возможных внутренних нарушителей и потенциальных каналов утечки информации, состав процессов их мониторинга и контроля, обеспечить реализацию процессов системы менеджмента информационной безопасности и др.

Один из подпунктов рекомендаций, достаточно обширный, охватывает автоматизацию процессов мониторинга и контроля потенциальных каналов утечки информации организации.

Советов по выбору конкретных технических решений здесь не содержится, за исключением пункта о централизованном управлении и мониторинге использования мобильных устройств сотрудниками организации.

Глава 2 Реализация средств защиты информации в автоматизированных банковских системах

2.1 Физические средства защиты информации

Физические средства защиты направлены на создание физических препятствий на пути хищения и порчи информации. К ним относятся:

физическая изоляция территории (заборы, решетки);

установка кодовых замков и переговорных устройств;

установка систем по опознанию личности, автоматически управляющих доступом на территорию;

установка систем теленаблюдения;

охрана объектов и проверка документов;

установка специальных устройств, препятствующих выносу техники;

установка сейфов.

Рис.1. Расположение камер охранного видеонаблюдения.

2.2 Технические средства защиты информации

Технические средства реализуются в виде электрических, электромеханических и электронных устройств, реализующих механизмы защиты (идентификацию пользователей, разграничение доступа к ресурсам, криптографическое закрытие информации и т.д.).

Все технические средства делятся на аппаратные и физические [4].

Под аппаратными техническими средствами принято понимать устройства, встраиваемые в компьютеры или периферийные устройства. Физические реализуются в виде автономных устройств. Самая распространенная функция технических средств защиты — шифрование информации. Сообщение зашифровывается с помощью алгоритма шифрования — ключа, который является частью аппаратуры или программой. Защиту обеспечивает секретность ключа, восстановив ключ, можно восстановить информацию. Более надежными являются аппаратные и программно-аппаратные средства защиты, так как защищен ключ

Программные средства защиты представляют собой программное обеспечение, специально предназначенное для выполнения функций защиты информации, и подразделяются на несколько видов:

• программы идентификации пользователя, например, идентификация пользователя с помощью пароля;
• программы контроля и разграничения доступа производят проверку полномочий пользователей на доступ к ресурсам сети, контроль в точках входа — промежуточных и конечной;
• программы криптографического закрытия предназначены для шифрования (дешифрования) информации;
• механизмы электронной подписи используются для подписи электронных документов: приказов, платежных поручений, контрактов и других распорядительных и финансовых документов;
• заменяют традиционные печать и подпись на бумажном документе;
• дают возможность доказательства факта того, что автор действительно фиксировал акт своего волеизъявления в отчуждаемом электронном документе;
• электронная подпись представляет собой файл, который хранится на дискете;
• программы резервного копирования и восстановления;
• механизмы управления маршрутизацией, арбитража осуществляют выбор маршрутов движения информации по компьютерной сети таким образом, чтобы исключить передачу секретных сведений по скомпрометированным физически ненадежным каналам; вся информация, передаваемая между объектами,
• проходит через арбитра, который подтверждает характеристики потока;
• программы контроля целостности программного обеспечения и программы защиты от вирусов — применение «иммуностойких» программ, программ-анализаторов, осуществляющих контроль возникновения отклонений в деятельности прикладных программ, входной контроль новых программ перед их использованием;
• программы, тестирующие механизмы защиты;
• вспомогательные программы, например, ведение регистрационных журналов, которые фиксируют все действия всех пользователей при работе в автоматизированной системе (осуществляют регистрацию входа в систему: успешный — неуспешный, регистрацию выхода, учет выдачи печатных документов, отправляемых документов, вызываемых функций, составляемых форм отчетности и т.д.).

Организационные средства защиты — это средства, регламентирующие процессы функционирования автоматизированной банковской системы, использования ее ресурсов, деятельности персонала, а также порядок взаимодействия пользователей с автоматизированной системой таким образом, чтобы максимально затруднить или исключить возможность реализации угроз безопасности информации. Организационные средства защиты связаны с административным управлением и относятся к решениям и действиям, принимаемым руководством по защите системы [5].

Регламентация технологических процессов и процедур внесения изменений:

• назначение лиц, ответственных за эксплуатацию и безопасность, с указанием обязанностей и полномочий:
• разработка инструкций для персонала и пользователей;
• назначение лиц, имеющих право вносить изменения в систему, и контроль за всеми видами изменений в системе.

Регламентация работы персонала и пользователей:

• формирование списков сотрудников, их идентификационных номеров и паролей с указанием доступных им ресурсов системы;
• организация контроля доступа с проверкой полномочий, проверкой по времени;
• применение административных мер наказания.

Подбор и подготовка кадров.

Организация контроля:

• проверка работоспособности всех средств и механизмов защиты;
• сбор статистической информации о функционировании механизмов защиты;
• ведение регистрационных журналов, информирование персонала о выходе из строя средств защиты.

Регламентация работы с конфиденциальной информацией со стоит в классификации информации по степени важности, организации обработки секретной информации только в безопасных зонах, обмена секретной информацией только в зашифрованном виде.

Регламентация процедур резервирования заключается в разработке правил резервирования, организации регулярного копировании, хранении резервных копий в охраняемых местах, назначении ответственных за резервное копирование [7].

Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

Морально-этические средства защиты основаны на традиционно сложившихся нормах повеления и правилах обращения с информацией; предусматривают принуждение и побуждение к соблюдению требований защиты; не являются обязательными для выполнения, но их несоблюдение ведет к потере авторитета и престижа сотрудника банка. К морально-этическим средствам защиты относятся, например, применение административных мер наказания, формирование у персонала понимания важности мер безопасности, применение различных форм материального вознаграждения за надежную работу.

Все рассмотренные средства защиты делятся на формальные, выполняющие защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека, и неформальные, которые определяются целенаправленной деятельностью человека либо регламентируют эту деятельность.

2.3 Защита информации от компьютерных вирусов

Компьютерный вирус — это специальная программа, предназначенная для выполнения разрушительных действий в автоматизированной информационной системе или сети.

Первые сообщения о несущих вред программах, преднамеренно и скрытно внедряемых в программное обеспечение различных вычислительных систем, появились в начале 80-х гг. прошлого столетия. Название «компьютерные вирусы» произошло, вероятно, по причине сходства с биологическим прототипом с точки зрения возможности самостоятельного размножения. В компьютерную область были перенесены и некоторые другие медико-биологические термины, например, вирусные эпидемии, заражение, вакцина, доктор и др.

Сообщение о программах, которые при наступлении определенных условий начинают производить вредные действия, но при этом не копируются, появились значительно раньше. По аналогии с персонажем известного древнегреческого мифа такие программы получили название «троянские кони». Их распространение носит более локальный характер [9].

Первые сообщения о возможности создания компьютерных вирусов относятся к 1984 г., и уже в 1985 г. стали появляться сообщения о реальных фактах проявления компьютерных вирусов. В 1987 г. были зафиксированы факты появления компьютерных вирусов и в нашей стране. Масштабы реальных проявлений «вирусных эпидемий» в настоящее время оцениваются сотнями тысяч случаев «заражения» персональных компьютеров. Хотя некоторые из вирусных программ оказываются вполне безвредными, многие из них имеют разрушительный характер. Особенно опасны вирусы для персональных компьютеров, входящих в состав вычислительных сетей.

Наибольшее распространение получили следующие виды вредоносных программ:

• вирусы — программы, способные заражать другие программы, модифицируя их так, чтобы они включали в себя копию вируса;
• «троянский конь» — программы, приводящие к неожиданным, нежелательным результатам; встраиваются в операционные системы, системы электронной почты, сети; способны изменить, уничтожить информацию, раскрыть пароль; антивирусными средствами не обнаруживаются, но системы управления доступом обладают механизмами идентификации и ограничения их действий;
• «червяки» — программы, распространяемые по каналам связи; подобны вирусам, так как заражают другие программы, однако не способны копироваться;
• «жадная программа» — программа, захватывающая, монополизирующая ресурсы системы и не дающая другим программам их использовать;
• «захватчики паролей» — программы, предназначенные для распознавания паролей (пользователь вводит пароль, а про грамма его захватывает);
• «бактерии» — программы, которые делают копии себя в памяти, перегружая память компьютера, и не дают работать другим программам;
• «логические бомбы» — программы, встраиваемые при разработке программ и срабатывающие при определенном условии (время, дата); искажают или полностью удаляют информацию
• «лазейки» — программы, которые ищут точку входа в программу и открывают доступ к некоторым системным функциям (относится к операционной системе).

Имеющиеся в настоящее время средства противодействии компьютерным вирусам достаточны для того, чтобы предотвратить серьезный ущерб от их воздействия. Однако это возможно только при внимательном отношении к данной проблеме. За последнее время большинство вирусных эпидемий возникало в среде малоквалифицированных пользователей.

Для противодействия компьютерным вирусам и другим типам вредоносных программ в банках применяется комплекс мер и среда и защиты.

Программно-аппаратные меры защиты основаны на использовании программных антивирусных средств и специальных аппаратных средств, с помощью которых осуществляется контроль зараженности автоматизированной системы, контроль доступа, шифрования данных и регистрации попыток обращения к данным.

В банках используется два метода защиты от вирусов:

• применение «иммуностойких» программных средств, защищенных от возможности несанкционированной модификации (разграничение доступа, методы самоконтроля и самовосстановления);
• применение специальных антивирусных программных средств, которые можно разделить на четыре категории:
• вирус-фильтр (сторож) — программа, обнаруживающая свойственные для вирусов действия и требующая от пользователя подтверждения на их выполнение (например, при обновлении программных файлов),
• — детектор (сканер) — программы, предназначенные для просмотра всех возможных мест нахождения вирусов (файлы, операционная система, внутренняя память) и сигнализирующие об их наличии, дезинфектор (доктор) — программа, осуществляющая удаление вируса из программного файла или памяти персонального компьютера. Ряд вирусов искажают систему так, что ее исходное состояние доктор восстановить не может,
• полидетектор-дезинфектор — пакет прикладных программ, позволяющий выявить вирусы в памяти персонального компьютера, обезвредить их и по возможности восстановить пораженные файлы и программы.

Антивирус Касперского (Kaspersky Anti-Virus) использует проактивные и облачные антивирусные технологии для защиты от новых и неизвестных угроз. Включает веб-антивирус, мониторинг активности и дополнительные инструменты безопасности [7].

Антивирус Касперского (Kaspersky Anti-Virus) обеспечивает базовую защиту в режиме реального времени от всех типов вредоносных программ.

Как основа обороны ПК, антивирус защищает вас от вирусов, шпионских программ, троянов, интернет-червей и многих других угроз. Это решение легко в использовании, а технологии безопасности, отмеченные многочисленными наградами в тестированиях независимых лабораторий AV-Comparatives, AV-TEST, MRG Effitas и т.д., защищают от самых последних угроз, не замедляя работу компьютера.

Kaspersky Anti-Virus предлагает следующие возможности:

Защита в режиме реального времени от вирусов, программ-шпионов, троянов, руткитов и других угроз.

Быстрая работа и эффективная производительность ПК.

Быстрое реагирование на новые и возникающие угрозы.

Мгновенная антивирусная проверка файлов, приложений и веб-сайтов.

Откат изменений, сделанных вредоносными программами

Новое в Kaspersky Anti-Virus 2018

В Kaspersky Anti-Virus 2018 появились следующие возможности:

Добавлено уведомление от Веб-Антивируса о страницах с рекламными программами и другими легальными программами, которые могут быть использованы злоумышленниками для нанесения вреда компьютеру или вашим данным.

Добавлена защита от заражения во время перезагрузки операционной системы.

Добавлена возможность перейти из окна Лицензирование на портал My Kaspersky, чтобы просмотреть информацию о коде активации.

Добавлена возможность ввести новый код активации, если срок действия подписки истек.

Улучшена диагностика проблем установки программы. Теперь при сбое установки программы сохраняются логи установки, которые раньше удалялись.

Улучшена самозащита программы во время обновления до новой версии. Теперь защищена не только текущая версия, но и новая устанавливаемая программа до момента первого запуска.

Улучшена скорость некоторых сценариев установки, первого запуска программы и первого обновления баз и программных модулей.

Улучшена логика показа уведомлений.

Улучшено уведомление, появляющееся, если вы отключаете компонент Мониторинг активности. Теперь уведомление содержит более детальное описание последствий отключения компонента, в частности, отсутствие защиты от программ-шифровальщиков.

Увеличено время до отображения уведомления об устаревших базах и программных модулях при выходе компьютера из режима сна.

Юридические средства защиты сводятся к административной ответственности за умышленное создание и распространение вирусов; трудность их применения состоит в доказательстве авторства и умышленного создания таких программ, следовательно, необходимо совершенствовать отечественное законодательство в этой области [8].

Административные и организационные меры защиты на современном этапе являются более действенными и заключаются в составлении четких планов профилактических мероприятий и планов действий на случай возникновения заражения.

2.4 Наиболее известные в России разработчики систем информационной безопасности

Наиболее известными в России разработчиками систем информационной безопасности являются компании "Аладдин Р.Д.", "ЛИССИ", "Информзащита".

Среди систем информационной защиты, используемых банками, системы аутентификации и защиты конфиденциальной информации, разработанные российской компанией "Аладдин Р.Д.".

Эта компания предлагает защиту корпоративных ресурсов на основе USВ-ключей и смарт-карт eToken. В лаборатории испытаний средств и систем информации (компания "ЛИССИ") создан программно-аппаратный комплекс Shield Channel-FW (ПАК-FW) для обработки конфиденциальной информации в банках.

Комплексную безопасность корпоративных сетей обеспечивают программные продукты VPN ЗАСТАВА 3.3, созданные компанией "ЭЛВИС-ПЛЮС".

Проекты по защите информационных систем региональных управлений Банка России выполняет Научно-инженерное предприятие "Информзащита". Оно устанавливает межсетевые экраны, системы обнаружения атак, средства криптографической защиты.

Криптографическая защита "Крипто Про CSP", разработанная компанией "Крипто Про", помогает эффективно проверять электронную цифровую подпись. Зашифрованная с ее помощью конфиденциальная информация - лучший способ защиты информационных систем, в том числе тех, которые используют в электронной торговле.

Финансовую безопасность кредиторов обеспечивает система A2 AGRUS APPLICATION, созданная компанией "Агрус MGS".

К средствам информационной защиты, доказавшим свою эффективность, относится система "Аккорд". Она позволяет регистрировать все выполняемые с помощью информационных технологий операции, а также с высокой точностью идентифицировать всех участников, пользующихся теми или иными документами, предоставляемыми в электронном виде, например договорами купли-продажи товаров, или ведущих переговоры по каналам Интернета [9].

Для тех, кто занимается банковским бизнесом, будет полезен и межсетевой экран, действующий на основе сетевого процессора ССПТ-1. Это средство от несанкционированного доступа к информации, хранящейся в электронном виде. С его помощью можно также контролировать все входящие и выходящие по Интернету документы.

Комплекс "Банк-Доступ" обеспечивает централизованное управление, распределяя доступ к информационным ресурсам. Кроме того, он хорошо зарекомендовал себя в обеспечении безопасности критических информационных узлов корпоративной банковской сети.

Комплекс "Банк - Активная Защита", разработанный фирмой "Андек", используют для ликвидации последствий атак хакеров, если им все же удалось прорвать информационную защиту. Он позволяет проводить постоянный мониторинг всех критических информационных узлов с периодическим уведомлением об этом пользователей компьютерной сети.

В финансово-кредитных организациях широко используется программа NetInvestor 5.0 Client (создана московским МФД "ИнфоЦентр"), которая обладает широкими возможностями по анализу, графическому отображению и передаче необходимых данных в удобных для пользователей режимах, помогает предотвратить взлом сервера, несанкционированный доступ злоумышленников, перехват ими ценной конфиденциальной информации.

Это эффективное средство от несанкционированного доступа к важной коммерческой информации, хранящейся в электронном виде. NetInvestor обеспечивает контроль за всеми входящими и выходящими через Интернет документами, шифрование и надежную электронно-цифровую подпись всех сообщений. Есть несколько вариантов криптографической защиты ("Крипто Про", "Венба" и др.), что делает такую защиту более гибкой.

Пакеты данных снабжены сквозной нумерацией, что способствует защите их от перехвата. Предусмотрено создание протоколов всех действий, которые проводят пользователи с помощью этой информационной системы. Они самостоятельно формируют криптографический ключ, что повышает безопасность работы при использовании информационных технологий. Кроме того, реализованы смена паролей самим пользователем, хранение и передача паролей в шифрованном виде, проверка "качества" пароля при его смене.

Для эффективного использования подобных средств защиты необходимо, чтобы банки создали специальную службу информационной безопасности или хотя бы воспользовались услугами специалиста по компьютерной безопасности. Расходы на его содержание, как показывает зарубежный опыт, будут оправданы.

За рубежом специалисты по компьютерной безопасности есть почти в каждом банке, а новые технологии защиты информационных сетей активно берутся на вооружение. Среди них высокоскоростные беспроводные сети для личного и корпоративного пользования. Помимо этого внедряются так называемые электронные ловушки, которые завлекают хакеров в свои сети, нейтрализуя их разрушительное действие.

Перспективна разработка сертификатов, гарантирующих безопасность на основе криптографических алгоритмов, которые обеспечивают секретность коммерческой информации.

Заключение

Следует отметить, что прямого влияния на рост доходов банков информационная безопасность не имеет, точнее, имеет, но подсчитать в денежном выражении ее пользу весьма сложно. Поэтому, как правило, не следует ожидать мгновенного увеличения прибыли после установки, например, криптографии. Однако грамотно построенная система защиты информации, несомненно, в недалеком будущем отразится на престиже банка, а значит, и на росте его доходов.

В процессе написания курсовой работы были изучены различные средства защиты информации в банковских системах и на основе полученной информации можно сделать вывод, что наилучшие результаты по защите автоматизированных банковских систем достигаются при системном подходе к вопросам безопасности и комплексном использовании различных средств защиты на всех этапах жизненного цикла автоматизированной банковской системы.

Список литературы

1. Букин, С. О. Безопасность банковской деятельности / С.О. Букин. - М.: Питер, 2016. - 288 c.
2. Гамза, В. А. Безопасность банковской деятельности / В.А. Гамза, И.Б. Ткачук. - М.: Маркет ДС, 2014. - 408 c.
3. Гафнер, В. В. Информационная безопасность / В.В. Гафнер. - М.: Феникс, 2017. - 336 c.
4. Информационная безопасность открытых систем. В 2 томах. Том 1. Угрозы, уязвимости, атаки и подходы к защите / С.В. Запечников и др. - Москва: Гостехиздат, 2016. - 536 c.
5. Мельников, В. П. Информационная безопасность и защита информации / В.П. Мельников, С.А. Клейменов, А.М. Петраков. - Москва: Наука, 2017. - 336 c.
6. Партыка, Т.Л. Информационная безопасность / Т.Л. Партыка, И.И. Попов. - М.: ИНФРА-М, 2015. - 368 c.
7. Степанов, Е.А. Информационная безопасность и защита информации. Учебное пособие / Е.А. Степанов, И.К. Корнеев. - М.: ИНФРА-М, 2012. - 304 c.
8. Федоров, А. В. Информационная безопасность в мировом политическом процессе / А.В. Федоров. - М.: МГИМО-Университет, 2017. - 220 c.
9. Чипига, А. Ф. Информационная безопасность автоматизированных систем / А.Ф. Чипига. - М.: Гелиос АРВ, 2017. - 336 c.
10. Шаньгин, В. Ф. Информационная безопасность компьютерных систем и сетей / В.Ф. Шаньгин. - М.: Форум, Инфра-М, 2016. - 416 c.
11. Ярочкин, В.И. Безопасность банковских систем / В.И. Ярочкин. - М.: Ось-89, 2012. - 430 c.

Приложение А

Приказ ФСТЭК России от 18 февраля 2013 г. N 21

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ПРИКАЗ

от 18 февраля 2013 г. N 21

ОБ УТВЕРЖДЕНИИ СОСТАВА И СОДЕРЖАНИЯ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

В соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716; N 52, ст. 6439; 2010, N 27, ст. 3407; N 31, ст. 4173, ст. 4196; N 49, ст. 6409; 2011, N 23, ст. 3263; N 31, ст. 4701) и Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818), приказываю:

1. Утвердить прилагаемые Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

2. Признать утратившим силу приказ ФСТЭК России от 5 февраля 2010 г. N 58 "Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных" (зарегистрирован Минюстом России 19 февраля 2010 г., регистрационный N 16456).

Директор

Федеральной службы по техническому

и экспортному контролю

В.СЕЛИН

УТВЕРЖДЕНЫ

 приказом ФСТЭК России

 от 18 февраля 2013 г. N 21

СОСТАВ И СОДЕРЖАНИЕ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

I. Общие положения

1. Настоящий документ разработан в соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716; N 52, ст. 6439; 2010, N 27, ст. 3407; N 31, ст. 4173, ст. 4196; N 49, ст. 6409; 2011, N 23, ст. 3263; N 31, ст. 4701) и устанавливает состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (далее - меры по обеспечению безопасности персональных данных) для каждого из уровней защищенности персональных данных, установленных в Требованиях к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).

Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

В настоящем документе не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также меры, связанные с применением шифровальных (криптографических) средств защиты информации.

2. Безопасность персональных данных при их обработке в информационной системе персональных данных (далее - информационная система) обеспечивает оператор или лицо, осуществляющее обработку персональных данных по поручению оператора в соответствии с законодательством Российской Федерации.

Для выполнения работ по обеспечению безопасности персональных данных при их обработке в информационной системе в соответствии с законодательством Российской Федерации могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации.

3. Меры по обеспечению безопасности персональных данных реализуются в рамках системы защиты персональных данных, создаваемой в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, и должны быть направлены на нейтрализацию актуальных угроз безопасности персональных данных.

4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

6. Оценка эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению безопасности персональных данных проводится оператором самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанная оценка проводится не реже одного раза в 3 года.

7. Меры по обеспечению безопасности персональных данных при их обработке в государственных информационных системах принимаются в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, устанавливаемыми ФСТЭК России в пределах своих полномочий в соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328).

II. Состав и содержание мер по обеспечению безопасности персональных данных

8. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

идентификация и аутентификация субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители персональных данных);

регистрация событий безопасности;

антивирусная защита;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности персональных данных;

обеспечение целостности информационной системы и персональных данных;

обеспечение доступности персональных данных;

защита среды виртуализации;

защита технических средств;

защита информационной системы, ее средств, систем связи и передачи данных;

выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;

управление конфигурацией информационной системы и системы защиты персональных данных.

Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных, приведены в приложении к настоящему документу.

8.1. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

8.2. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль за соблюдением этих правил.

8.3. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.

8.4. Меры по защите машинных носителей персональных данных (средств обработки (хранения) персональных данных, съемных машинных носителей персональных данных) должны исключать возможность несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированное использование съемных машинных носителей персональных данных.

8.5. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.

8.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

8.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирование на эти действия.

8.8. Меры по контролю (анализу) защищенности персональных данных должны обеспечивать контроль уровня защищенности персональных данных, обрабатываемых в информационной системе, путем проведения систематических мероприятий по анализу защищенности информационной системы и тестированию работоспособности системы защиты персональных данных.

8.9. Меры по обеспечению целостности информационной системы и персональных данных должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащихся в ней персональных данных, а также возможность восстановления информационной системы и содержащихся в ней персональных данных.

8.10. Меры по обеспечению доступности персональных данных должны обеспечивать авторизованный доступ пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационной системе, в штатном режиме функционирования информационной системы.

8.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры и (или) воздействие на них, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

8.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим персональные данные, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту персональных данных, представленных в виде информативных электрических сигналов и физических полей.

8.13. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту персональных данных при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы и проектных решений, направленных на обеспечение безопасности персональных данных.

8.14. Меры по выявлению инцидентов и реагированию на них должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов.

8.15. Меры по управлению конфигурацией информационной системы и системы защиты персональных данных должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений.

9. Выбор мер по обеспечению безопасности персональных данных, подлежащих реализации в информационной системе в рамках системы защиты персональных данных, включает:

определение базового набора мер по обеспечению безопасности персональных данных для установленного уровня защищенности персональных данных в соответствии с базовыми наборами мер по обеспечению безопасности персональных данных, приведенными в приложении к настоящему документу;

адаптацию базового набора мер по обеспечению безопасности персональных данных с учетом структурно-функциональных характеристик информационной системы, информационных технологий, особенностей функционирования информационной системы (в том числе исключение из базового набора мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);

уточнение адаптированного базового набора мер по обеспечению безопасности персональных данных с учетом не выбранных ранее мер, приведенных в приложении к настоящему документу, в результате чего определяются меры по обеспечению безопасности персональных данных, направленные на нейтрализацию всех актуальных угроз безопасности персональных данных для конкретной информационной системы;

дополнение уточненного адаптированного базового набора мер по обеспечению безопасности персональных данных мерами, обеспечивающими выполнение требований к защите персональных данных, установленными иными нормативными правовыми актами в области обеспечения безопасности персональных данных и защиты информации.

10. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учетом экономической целесообразности на этапах адаптации базового набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности персональных данных.

В этом случае в ходе разработки системы защиты персональных данных должно быть проведено обоснование применения компенсирующих мер для обеспечения безопасности персональных данных.

11. В случае определения в соответствии с Требованиями к защите персональных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, в качестве актуальных угроз безопасности персональных данных 1-го и 2-го типов дополнительно к мерам по обеспечению безопасности персональных данных, указанным в пункте 8 настоящего документа, могут применяться следующие меры:

проверка системного и (или) прикладного программного обеспечения, включая программный код, на отсутствие недекларированных возможностей с использованием автоматизированных средств и (или) без использования таковых;

тестирование информационной системы на проникновения;

использование в информационной системе системного и (или) прикладного программного обеспечения, разработанного с использованием методов защищенного программирования.

12. Технические меры защиты персональных данных реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности.

При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации:

в информационных системах 1 уровня защищенности персональных данных применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 2 уровня защищенности персональных данных применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 3 уровня защищенности персональных данных применяются средства защиты информации не ниже 6 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 4 уровня защищенности персональных данных применяются средства защиты информации не ниже 6 класса, а также средства вычислительной техники не ниже 6 класса.

Классы защиты определяются в соответствии с нормативными правовыми актами, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

При использовании в информационных системах средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности).

Функции безопасности средств защиты информации должны обеспечивать выполнение мер по обеспечению безопасности персональных данных, содержащихся в настоящем документе.

Для обеспечения 1 и 2 уровней защищенности персональных данных, а также для обеспечения 3 уровня защищенности персональных данных в информационных системах, для которых к актуальным отнесены угрозы 2-го типа, применяются сертифицированные средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

(п. 12 в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

13. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности персональных данных, для которых не определены меры обеспечения их безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 10 настоящего документа.