Преподаватель который помогает студентам и школьникам в учёбе.

Система защиты информации в банковских системах (Средства защиты информации в банковских системах)

Содержание:

ВВЕДЕНИЕ

В настоящее время хранение банковской информации имеет большую стоимость и значимость, тем самым это не могло не привлечь рост преступного интереса. Текущий интерес был связан не только с хранением в кредитных организациях денежных средств и сбережений, но и с тем, что в банках сосредотачивалась важная, а зачастую и секретная информация о финансовой и хозяйственной деятельности людей, компаний, организаций и даже целых государств. В современном мире в результате повсеместного распространения электронных платежей, пластиковых карт, компьютерных сетей - объектом информационных атак стали непосредственно денежные средства как банков, так и их клиентов. Тем самым появляется необходимость обеспечивать безопасность хранения данных, регулярная смена и проверка паролей на актуальность надежности, контроль вероятности утечки информации стали неотъемлемой частью работы каждого банка. Чтобы совершить кражу или взломать банковскую систему злоумышленнику вовсе не обязательно врываться в банк. Осуществить взлом пользователь сети может со своего персонального компьютера, ноутбука или другого устройства, подключенного к сети Интернет, либо к корпоративной сети банка, поэтому проблема вопроса информационной безопасности в банках стоит достаточно высоко. На текущий момент именно эта проблема является сейчас наиболее актуальной и наименее исследованной. Методы безопасности автоматизированных систем обработки информации банка требуют постоянного обновления, поиск уязвимостей и устранение их, раньше, чем злоумышленник. Но тем самым, исправления найденных ошибок и «дыр» в системах безопасности хватает ненадолго, так как новая компьютерная система приносит новые проблемы и новые ошибки, заставляет по-новому перестраивать систему безопасности.

ГЛАВА 1. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В БАНКОВСКИХ СИСТЕМАХ

Когда обычный человек слышит слова «безопасность банка», ему представляются тяжелые двери банковских хранилищ, надежные сейфы, многоуровневые посты охраны и контроля. Во многом это верно и сейчас. Но в современном мире значительную — если не основную — часть ценностей представляет собой не что-то материальное, а информация. Она также нуждается в защите. Информационная безопасность в банковских системах, так же, как и физическая, должна строится по многоуровневой схеме с контролем всех "точек входа" и использованием самых надежных технических средств.

В России помимо крупнейших игроков банковского, сектора существует множество небольших банков, которые в силу финансовых ограничений не могут позволить себе вкладывать значительные суммы В информационную безопасность. Тем не менее, безопасность информационных систем банков любого масштаба должна строиться с использованием ряда основных принципов. Рассмотрим задачи и проблемы, с которыми сталкиваются банки (любого масштаба), и средства, с помощью которых эти задачи можно решить.

Банковская сеть, как сеть любого предприятия или организации, содержит в своем составе вполне стандартный набор объектов: рабочие станции сотрудников, инфраструктурные и специализированные серверы, сетевые шлюзы. С развитием мобильности к этому набору все чаще добавляются ноутбуки, смартфоны и планшеты, с которых осуществляется доступ сотрудников к банковской информационной системе. Специфика банков состоит в том, что к этому набору добавляются банкоматы и платежные терминалы (как правило, построенные на стандартных операционных системах и технически представляющие собой стандартный компьютер). Информационная система должна также быть доступна для клиентов банка. Наконец, не стоит забывать о том, что сеть даже сравнительно небольшого банка представляет собой распределенную систему с многочисленными филиалами и отделениями.

Таким образом, задача защиты информации хотя и близка по схеме и используемым средствам к задачам, решаемым для обычной организации, также должна иметь ярко выраженную банковскую специфику. Необходимо:

Обеспечить надежную и безопасную работу АБС (автоматизированной банковской системы).
Обеспечить безопасный доступ сотрудников и клиентов к банковской системе в территориально распределенной сети.
Обеспечить доступ сотрудников к внешним информационным сетям (Интернету).
Обеспечить защиту банкоматов и терминалов.
Иметь возможность контроля всех процессов в системе и своевременного обнаружения любых нарушений.

Все эти задачи необходимо решать комплексно, начиная с архитектуры банковской сети. Хорошей и достаточно распространенной практикой является создание нескольких изолированных сетей с минимальным количеством точек взаимодействия (шлюзов) с применением самых современных средств защиты. Как правило, в системе создаются изолированная операционная сеть и сеть с доступом к ресурсам Интернета. Часто В отдельные сети выделяются также банкоматы и терминалы. Такое разделение сетей позволяет избежать многих проблем связанных с утечкой информации и распространением вредоносного кода, но, естественно, для надежного обеспечения безопасности требуется внедрение специализированного ПО. Следует также избегать часто встречающегося заблуждения, что изолированная сеть не нуждается в столь же серьезных средствах защиты, что и сети общего доступа – такой подход не раз приводил к серьезным проблемам. Для обеспечения надежной связи между подразделениями и филиалами должны использоваться выделенные каналы связи с применением шифрования данных. Естественно, что для отдельных подразделений должен использоваться тот же принцип разделения сетей, что и для основной сети банка.

Что касается специализированного ПО, то по-прежнему основой систем информационной безопасности являются антивирусные программы. За несколько последних лет они эволюционировали от «просто антивирусов» до комплексных систем защиты контроля рабочих станций. При помощи современного антивируса можно решить целый комплекс задач, включая защиту от несанкционированного подключения любых внешних устройств и установки программ. Эшелонированная мультивендорная защита интернет-шлюзов и почтовых систем также не теряет своей актуальности.

Развитие мобильности также привносит свои настоятельные требования: сейчас антивирусная защита должна в обязательном порядке распространяться на все типы мобильных устройств, используемых сотрудниками банка вне зависимости от того, применяются такие устройства в работе с АБС или только с сетями общего пользования.

Защита собственно банковской системы должна использовать мощные средства аутентификации и контроля действий как внутренних пользователей, так и клиентов. Общепринято, что наиболее надежную защиту могут обеспечить средства двухфакторной аутентификации, будь то электронные ключи (токены) или генераторы одноразовых паролей.

Безопасность данных при хранении требует использования средств шифрования, которые смогут работать либо на уровне хранилищ данных, либо на уровне отдельных компонентов системы, например, таблиц баз данных.

Безопасность банкоматов и платежных терминалов должна обеспечиваться с использованием традиционных средств — антивирусной защиты. Но в то же время специфика таких устройств требует применения дополнительных средств защиты, включая создание «замкнутой программно-аппаратной среды», полностью исключающей установку любого стороннего ПО и подключение внешних устройств.

Наконец, контроль процессов и событий в системе и своевременное обнаружение нарушений — это, наверное, наиболее сложная часть любой комплексной системы безопасности. Ведь в данном случае недостаточно просто приобрести пусть даже самую мощную и современную систему контроля вторжений или предотвращения утечек (DLP). Внедрение таких систем требует досконального знания всех возможных «слабых точек», а очень часто и практически полного пересмотра, и стандартизации бизнес-процессов. Не каждой организации, особенно небольшой, по силам полноценное внедрение подобных систем. Но в таком случае, на помощь могут прийти менее сложные в использовании информационные сервисы, способные, например, отследить подозрительный исходящий трафик, связанный с активностью вредоносных программ, в том числе используемых и для хищения информации. Это позволит вовремя обнаружить любую подозрительную активность в пределах защищенной сети.

Сегодня многие банки для решения всех перечисленных задач предпочитают обращаться к специализированным компаниям - интеграторам, профессионалам в области: построения и внедрения систем информационной безопасности. Но здесь важно помнить о специфичности банковского сектора и определить, подойдет ли компания-интегратор для построения эффективной защиты, во-первых, при выборе интегратора нужно обратить внимание, обладает ли компания опытом работ именно с банковским сектором и насколько он успешен. Во-вторых, компания должна располагать всеми соответствующими лицензиям ФСТЭК и ФСБ. В-третьих, компания должна иметь большой опыт работы и безупречную репутацию.

Поскольку речь идет о больших бизнес- и репутационных рисках, банки, прежде чем вкладывать деньги в построение систем информационной защиты, как правило, хотят выяснить, можно ли минимизировать расходы, используя уже установленное в банке оборудование. За этим также следует обратиться к компании-интегратору, многие из которых, проводят аудит состояния защиты, информации и независимую, оценку соответствия состояния информационной безопасности требованиям Стандарта Банка России. По результатам банку предоставляется полный отчет о работе существующей системы ИБ и даются рекомендации, позволяющие наиболее эффективно усилить защиту, используя и уже имеющиеся у банка ресурсы.

Подводя итог, можно сделать главный вывод. Информационные системы банков имеют ярко выраженную специфику, но для защиты информации во многом пригодны те же методы и средства, что используются в «обычной» жизни. Главное — подходить к построению системы безопасности максимально ответственно, учитывая все узкие моменты, так как цена ошибки в данном случае очень высока.

ГЛАВА 2. БЕЗОПАСНОСТЬ ИНТЕРНЕТ-БАНКИНГА: ОСНОВНЫЕ СРЕДСТВА ЗАЩИТЫ ЛИЧНОГО СЧЕТА

С развитием инновационных технологий возможности всемирной сети становятся шире и сегодня затрагивают практически все сферы жизни человека. Так, в последнее время довольно активно многими используется интернет-банкинг, представляющий собой программу определенного банка, посредством которой пользователь может осуществлять финансовые операции с любого компьютера, подключенного к интернету. Однако такие услуги доступны только клиентам банков. Пользуясь подобными программами, многие обеспокоены безопасностью платежей в интернете, ведь встречаются ситуации, когда деньги пропадают с карты либо не поступают на нужный счет. Чтобы избежать действий мошенников и не бояться несанкционированного доступа к своим счетам, необходимо ознакомиться с основными правилами пользования интернет-банкингом.

Какие существуют средства защиты счетов от мошенников?

Главное правило безопасности интернет-банкинга предусматривает использование программ только известных и проверенных банков, которые постоянно совершенствуют средства защиты счетов своих клиентов. Сегодня практически каждый банк применяет SSL-шифрование информации, которой обменивается компьютер пользователя и банковская система. Этот современный метод позволяет избежать перехвата и изменения данных на пути от ПК клиента к банку. Однако следует помнить, что при совершении финансовых операций в онлайн-системе ни в коем случае нельзя реагировать на подозрительные сообщения, якобы пришедшие из банка, и переходить по незнакомым ссылкам на другие страницы.

С целью повышения уровня безопасности, клиентам предлагается получить одноразовые пароли, выдаваемые банкоматом.

В таком случае при входе в систему интернет-банкинга, помимо постоянных логина и пароля, понадобится ввести еще и одноразовый шифр, который подобрать злоумышленникам практически невозможно. Преимуществом такого варианта защиты является то, что получить чек с одноразовыми паролями может только человек, имеющий платежную карту и знающий пин-код. Пользуясь паролями чека для входа в систему, рекомендуется придерживаться следующих простых правил:

Не выбрасывать список шифров и стараться не терять его;
Не хранить чек вместе паролем и логином от учетной записи.

Еще одним распространенным методом для подтверждения личности при входе в онлайн-банк считается запрос одноразовых СМС-паролей. То есть при каждой операции, выполняемой пользователем, на его телефон приходит СМС-сообщение с кодом, который необходимо ввести. Известно, что обязательным условием подобных операций является привязка определенного номера телефона к банковскому счету. Среди достоинств такой системы безопасности можно выделить простоту процедуры и минимальное количество времени на осуществление операции. К тому же, даже если злоумышленник знает логин и пароль учетной записи, выяснить код ему не представляется возможным. Применяя одноразовые СМС-пароли, следует учитывать такие нюансы:

Нельзя пользоваться интернет-банкингом с мобильных устройств;
Не нужно сохранять пароль в браузере;
При потере телефона следует незамедлительно обратиться в банк для блокировки учетной записи, чтобы ею никто не мог воспользоваться.

Что представляет собой электронная цифровая подпись?

Вышеперечисленные способы обеспечения защиты счетов пользователей являются самыми распространенными, однако существуют и другие методы идентификации клиентов. Особое внимание стоит обратить на электронную цифровую подпись, которая применяется чаще всего для компаний, но иногда предлагается и индивидуальным пользователям. ЭЦП предоставляет возможность однозначно идентифицировать личность, но не стоит исключать опасности завладения ключом от цифровой подписи мошенниками, которые могут заразить ПК вирусными файлами специального предназначения.

Известно, что существует целый ряд троянских программ, направленных на обнаружение индивидуальных паролей, ключей ЭЦП и других аутентификационных данных. Поэтому необходимо устанавливать антивирусные программы и регулярно проверять ПК на наличие вирусов. Также стоит выключать программу ЭЦП, если она не используется.

Дополнительные способы обеспечения безопасности пользования интернет-банкингом

Клиентам банка предлагается приобрести (купить или взять в аренду) генератор паролей для одноразового пользования. Прибор подсоединяется посредством USB-порта к компьютеру, и для него не нужно устанавливать специальное ПО. Также возможна вероятность использования электронного ключа, генерирующегося при первом подключении механизма. Среди дополнительных способов защиты электронных счетов следует выделить:

Ограничение применения индивидуального сертификата, то есть воспользоваться электронным ключом для входа в учетную запись можно только с одного компьютера;
Виртуальную клавиатуру. Она предназначена для защиты от вирусов, которые могут считывать информацию при наборе данных на обычной клавиатуре;
Ограничение продолжительности сессии. Если пользователь в течение 10 – 15 минут не производит никаких операций, то система автоматически блокируется, и для входа в нее нужно заново ввести данные;
Историю защиты. С помощью данной функции пользователь может проверить, подключался ли кто-нибудь к его учетной записи, а также проведение несанкционированных операций.

Что делать в случае взлома учетной записи интернет-банкинга?

Если все-таки мошенники смогли добраться до учетной записи онлайн-банкинга, то рекомендуется предпринять следующие меры:

В первую очередь следует отключить ПК от интернета;
Заблокировать личную учетную запись, обратившись в банк либо контактный центр;
Сменить пароль и логин для входа в интернет-банкинг;
Работу возобновлять следует, убедившись, что угроза устранена.

По мнению экспертов, жертвой мошенников становятся клиенты, не соблюдающие осторожность при пользовании интернет-банкингом. Клиентам банка рекомендуется с периодичностью раз в месяц менять постоянный пароль доступа в систему, а также не входить в онлайн-банкинг с чужих компьютеров, особенно из интернет-кафе. Известно, что мошенники могут воспользоваться доверчивостью пользователей и заразить вирусами компьютер посредством электронной почты и через различные социальные сети. В случае кражи денег со счета, нужно отправить заявку в банк и правоохранительные органы для разбирательства.

ГЛАВА 3. ИНФОРМАЦИОННЯ БЕЗОПАСНОСТ БАНКОВ

Информационная безопасность банка – это состояние защищенности всех его информационных активов.

От информационной безопасности банка зависят его репутация и конкурентоспособность. Высокий уровень обеспечения информационной безопасности кредитной организации позволяет минимизировать следующие риски:

риск утечки информации, составляющей служебную / коммерческую / банковскую тайну
риск разрушения и потери ценных данных
риск использования в деятельности банка, в том числе при принятии управленческих решений, неполной или искаженной информации
риск распространения во внешней среде информации, угрожающей репутации банка.

Особенности банковских информационных систем заключаются в том, что они:

хранят и обрабатывают большое количество данных о финансовом состоянии и деятельности физических и юридических лиц
имеют инструменты совершения транзакций, ведущих к финансовым последствиям
не могут быть полностью закрытыми, поскольку должны отвечать современным требованиям к уровню обслуживания (иметь систему онлайн-банкинга, сеть банкоматов, подключенных к публичным каналам связи и т.д.).

Указанные особенности приводят к тому, что информационные активы кредитных организаций являются желанной целью злоумышленников и нуждаются в серьезной защите.

Источниками угроз информационной безопасности банков являются:

внешние злонамеренные и незлонамеренные нарушители ИБ
внутренние злонамеренные и незлонамеренные нарушители информационной безопасности
сбои и отказы программных и аппаратных компонентов информационных систем
природные и техногенные катастрофы, нарушающие нормальный режим работы информационных систем.

Главная задача злоумышленников (внешних нарушителей и инсайдеров), атакующих информационные системы банков, – получение контроля над информационными активами кредитной организации для последующего совершения неправомерных транзакций или компрометации банка по заказу недобросовестных конкурентов.

Система обеспечения информационной безопасности банка должна:

быть адекватной внутренним и внешним угрозам
реализовывать комплексный подход к защите – включать все необходимые организационные меры и технические решения и защищать все компоненты ИС (системы электронных платежей, электронного документооборота и обслуживания платежных карт, банковские программные и программно-технические комплексы, системы удаленного обслуживания, сети связи и т.д.).
обеспечивать высокую производительность – обрабатывать значительные объемы информации без снижения быстродействия
быть надежной и отказоустойчивой благодаря применению технологий кластеризации, виртуализации, балансировки нагрузки и проч.
иметь инструменты сбора, анализа данных об инцидентах и реагирования на события безопасности.

Постройте современную и эффективную систему защиты банковской информации вместе с ARinteg! Компания ARinteg имеет все необходимые компетенции и огромный опыт реализации проектов в ведущих российских кредитных организациях. Наши специалисты учтут все Ваши пожелания, специфику бизнеса, а также требования отраслевых и государственных стандартов информационной безопасности.

Заказчики ARinteg имеют возможность выполнить в рамках одного проекта требования сразу нескольких стандартов информационной безопасности, актуальных для российских кредитных организаций:

Стандарта Банка России СТО БР ИББС;
Федерального закона «О персональных данных» №152-ФЗ;
Стандарта защиты информации в индустрии платёжных карт PCI DSS.

Выполнение требований сразу нескольких стандартов ИБ в рамках одного проекта позволяет заказчику:

создать целостную и легко управляемую систему информационной безопасности
не дублировать технические средства и организационные меры, направленные на выполнение требований стандартов
сократить затраты на проектные работы.

Информационная безопасность банков: меры, принципы, угрозы

В современном мире хранение банковской информации, ее стоимость и значимость многократно возросли, что, в свою очередь, не могло не привлечь рост преступного интереса к ней.

Необходимость обеспечивать безопасность хранения данных, регулярная смена и проверка паролей и контроль вероятности утечки информации стали неотъемлемой частью работы каждого банка.

Для совершения кражи и взлома банковской системы злоумышленнику вовсе не обязательно врываться в банк. Осуществить взлом пользователь сети может со своего персонального компьютера, поэтому проблема вопроса информационной безопасности в банках стоит достаточно остро.

Меры по обеспечению защиты информации в банке

Банковские информационные системы и базы данных содержат конфиденциальную информацию о клиентах банка, состоянии их счетов и проведении различных финансовых операций.

Необходимость сохранять информационную безопасность этих данных очевидна, но без быстрого и своевременного обмена и обработки информации банковская система даст сбой. Поэтому необходима целая структура, которая сможет обеспечить защиту банковской информации и конфиденциальность клиентской базы.

Последовательность мер по защите этих данных можно представить таким образом:

оценка и разработка конфиденциальной информации;
оборудование объекта для осуществления защиты;
контроль эффективности принятых мер.

Банк может полноценно осуществлять свою деятельность лишь в случае налаженного обмена внутренними данными и надежной системой защиты. Оборудование информационной защиты банковских объектов может иметь различные формы.

Специалисты в области обеспечения информационной безопасности банка могут создавать как локальные системы, так и централизованные программы защиты.

Выбирая конкретную форму защиты, необходимо учитывать все возможные способы взлома и утечки данных. Грамотный и профессиональный подход к обеспечению безопасности подразумевает слаженную работу всех отделений банка и беспрерывное функционирование финансовых систем.

Разработка комплекса защитных мер по предотвращению нарушения конфиденциальности данных включает в себя ряд определенных действий.
контроль обмена данных и строгая их регламентация;
подготовка сотрудников банка и соблюдение ими требований безопасности;
строгий учет каналов и серверов;
анализ эффективности.

Каждое направление включает в себя несколько этапов работы. К примеру, контроль обмена данных подразумевает не только обработку скорости передачи информации, но и своевременное уничтожение остаточных сведений. Эта мера также предполагает строгий контроль обработки данных и их криптографическую защиту.

Доступ к данным банка защищается с помощью системы идентификации, то есть паролями или электронными ключам. Работа с персоналом, использующим банковскую систему, включает в себя проведение инструктажей и контроль выполнения необходимых требований.

Строгий учет каналов и серверов, а также меры, обеспечивающие техническую защиту информации и безопасность банка подразумевают защиту резервных копий, обеспечение бесперебойного питания оборудования, содержащего ценную информацию, ограниченный доступ к сейфам и защиту от утечки информации акустическим способом.

Для анализа эффективности принятых мер необходимо вести учет или запись, которые будут отмечать работоспособность и действенность примененных средств защиты информации в банке.

Принципы информационной безопасности банка

Несмотря на множество возможностей взлома и утечки информации, безопасность банковских данных и их конфиденциальность обеспечить вполне возможно.

Современные методы позволили усовершенствовать систему криптографии, а также реализовать такую меру, как электронная цифровая подпись (ЭЦП). Она служит аналогом собственноручной подписи и имеет непосредственную привязку к электронному ключу, который хранится у владельца подписи. Ключ состоит из двух частей: открытой и закрытой, и защищен специальным кодом.

Система безопасности в целом – это непрерывный процесс идентификации, анализа и контроля. Существует ряд основных принципов, согласно которым осуществляется обеспечение информационной безопасности банка:

своевременное установление и обнаружение проблем;
возможность прогнозирования развития;
актуальность и эффективность предпринятых мер.

Также необходимо особо подчеркнуть важность тщательной и регулярной работы с персоналом, поскольку обеспечение безопасности информации во многом зависит от качественного и аккуратного выполнения требований, предъявляемых службой безопасности.

Угрозы информационной безопасности банка

Человеческий фактор является основной и главной угрозой информационной безопасности, напрямую зависящей от человеческих отношений. Большая часть утечки информации объясняется халатностью персонала банка.

По статистике, около 80% правонарушений приходится на сотрудников банка, то есть на тех, кто непосредственно имел или имеет доступ к данным.

Однако, обеспечение внутренней информационной безопасности банка крайне необходимая мера не только для защиты конфиденциальности данных от профессиональной халатности и безалаберности, но и от намеренного взлома баз данных.

Кроме внутреннего фактора, существует также техническая угроза информационной безопасности как банков, так и предприятий. К техническим угрозам относятся взломы информационных систем, лицами, не имеющими прямого доступа к системе, криминальными или конкурирующими организациями.

Съем и получение информации в данном случае производится с применением специальной аудио или видео аппаратуры. Одной из современных форм взлома является использование электрических и электромагнитных излучений, обеспечивающих злоумышленникам возможность получения конфиденциальной информации, ЭЦП и представляющих техническую угрозу утечки.

Компьютерные системы — это необходимое средство для осуществления работы банка, однако одновременно это и одно из самых уязвимых мест предполагаемой технической утечки.

Опасность и угрозу для программного обеспечения могут представлять также различные вредоносные для носителя информации компьютерные вирусы, программные закладки, которые способны разрушить введенные коды.

Самым известным способом решения вирусных проблем программного обеспечения являются лицензионные антивирусные программы, успешно справляющиеся с данной проблемой.

Защитить банковскую информацию от внутренних и внешних утечек поможет грамотный специалист в этой области и программное обеспечение, позволяющее отслеживать и блокировать передачу информации на съемные носители (например — флешки).

Факторы, необходимые для успешной автоматизации склада: чёткое представление складских процессов, достаточные исходные данные о товаре, интегрируемая информационная корпоративная система, подготовленный персонал.

Важным направлением защиты также является своевременное распознавание и ограничение утечек различного вида.

В заключение можно отметить, что в силу экономической важности банковских систем, обеспечение их информационной безопасности является обязательным условием. Поскольку информация, находящаяся в базе данных банков, представляет собой реальную материальную стоимость, то требования к хранению и обработке этой информации всегда будут повышенными.

Специфика и особенности системы обеспечения безопасности, безусловно, индивидуальны для каждого отдельного банка, поэтому комплексное и профессиональное предоставление систем защиты является необходимым условием работы всей банковской системы.

ГЛАВА 4. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКАХ

До выхода 5 редакции СТО БР ИББС–2014, защита персональных данных в банках базировалась на двух документах: БР ИББС-2.3-2010. «Требования по обеспечению безопасности персональных данных в информационных системах персональных данных организаций банковской системы Российской Федерации» и РС БР ИББС-2.4-2010. «Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации».

На практике это выглядело так: брали в неизменном виде предложенную Центральным Банком частную отраслевую модель угроз, по методическим рекомендациям определяли требований к защите каждой ИСПДн, исходя из и количества и списка обрабатываемых данных, и в дальнейшем выстраивали по ним перечень необходимых мероприятий.

Главной головной болью специалистов до сегодняшнего дня было то, что настоящие требований действовали вплоть до очередной редакции СТО БР ИББС – 2014, хотя на тот момент защита ПДн уже выстраивалась в соответствии с ПП-1119 и приказом ФСТЭК №21. В виду того, что банки должны соответствовать принятому пакету СТО БР ИББС, многие из них пользовались не актуальными методиками и, как следствие, не соответствовали новым реалиям обеспечения безопасности.

С выходом этих двух упомянутых нормативных документов ситуация изменилась к лучшему - были отменены некоторые строгие требования по лицензированию, упрощены процедуры классификации ИСПДн, оператору ПДн дано больше прав на выбор защитных мер. Требования к защите ИСПДн определяясь таблицей соответствия «уровня защищенности» и применяемых к ним процедур безопасности, детализациях которых была представлена приказом ФСТЭК № 21. Это позволило нивелировать различия в методике защиты ПДн в отраслевом стандарте ЦБ и общего российского законодательства.

В обновленном стандарте появился новый термин «Ресурс ПДн», для которого сформированы требования к документированности отдельных процедур, связанных с обработкой персональных данных (раздел 7.10). Отдельно рассмотрены вопросы, связанные с уничтожением персональных данных: организациям предоставлена возможность уничтожать ПДн не сразу, а на периодической основе, но не реже одного раза в полгода.

Роскомнадзором отдельно были внесены пояснения в отношении биометрических ПДн, например фотографии сотрудников, если таковые используются в целях осуществления контрольно-пропускного режима или выставлены на сайте компании в качестве общедоступной информации о руководстве, не попадают под режим специальных требованиям к защите.

Банкам же, которые ранее уже выполнили требования по защите ПДн по старому стандарту, для соответствия новым требованиям нужно скорректировать свои внутренние нормативные документы, провести заново классификацию и переадресацию ИСПДн и, в соответствии с уровнем защищенности, определить для себя новый перечень защитных мероприятий. Хочется отметить, что сейчас у банков появилось больше свободы в выборе средств и методов защиты, однако применение именно сортированных ФСТЭК средств защиты информации по-прежнему является обязательным.

ГЛАВА 5. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ НАЦИОНАЛЬНОЙ ПЛАТЕЖНОЙ СИСТЕМЫ

Национальная платежная система (НПС), в виду последних событий, становится все более приоритетным направлением во внутренней политике государства. Президент России Владимир Путин подписал закон о создании в России национальной системы платежных карт (НСПК) и обеспечении бесперебойности работы международных платежных систем. Оператор НСПК создается в форме ОАО, 100% активов которого принадлежит Банку России. Целью проекта обозначено инфраструктурно и информационно замкнуть процесс осуществления денежных переводов внутри России, закрепить территориально внутри страны операционные центры и платежные клиринговые центры.

Фактически, до выхода закона деньги могли появляться из «ниоткуда» и исчезать в «никуда». С выходом закона ситуация меняется, НПС дает возможность отслеживает все денежные операции, в том числе финансирование сомнительных сделок и мошеннические операции, которые могут угрожать безопасности граждан или страны в целом. Кроме того, уход от наличного оборота, по мнению правительства, является еще одним шагом в борьбе со взяточничеством.

Для обеспечения безопасности НПС был выпущен целый рад подзаконных актов, серди которых основополагающее Положение о защите информации в платежной системе» от 13.06.2012 №584. Но в большей мере отвечает выпущенное ответственным департаментом Банком России Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств…» от 09.06.2012 N 382-П).

С обновлением П-382 тенденции обеспечения защиты теперь смещены в сторону:

применением банкоматов и платежных терминалов;
применения пластиковых платежных карт;
использования сети Интернет (систем дистанционного банковского обслуживания (ДБО) и мобильного банкинга);
требований к порядку разработки и распространения специализированного ПО, предназначенного для использования клиентом при переводе денежных средств;
что очень порадовало, расширение требований по повышению осведомленности клиентов о возможных рисках получения несанкционированного доступа к защищаемой информации и рекомендуемых мерах по их снижению;
требований о необходимости проведения классификации банкоматов и платежных терминалов, результаты которой должны учитываться при выборе мер защиты;
процедур приостановления проведения платежа оператором по переводу денежных средств в случае обнаружения признаков мошеннических действий;
предусмотрены процедуры защиты от современных угроз безопасности, таких как: скимминг (путем использования специализированных средств, препятствующих несанкционированному считыванию треков платежных карт; защита сервисов расположенных в сети Интернет от внешних атак (DoS-атак); защита от фишинга (от фальсифицированных лождных ресурсов сети Интернет).
требование по применению платежных карт, оснащенных микропроцессором, с 2015 года и запрет выпуска карт, не оснащенных микропроцессором, после 1-го января 2015 года;
29 новых показателей оценки.

ГЛАВА 6. ИНФОРМАЦИОННАЯ БЕЗОПАНОСТЬ ПЛАТЕЖНЫХ СИСТЕМ

Аналогичная ситуация складывается с использованием пластиковых карт. В мировом сообществе признанным стандартом безопасности считается Payment Card Industry Data Security Standard (PCI DSS), который был разработан советом PCI SSC. В него вошли такие карточные брэнды, как Visa, MasterCard, American Express, JCB и Discovery.

Стандарт PCI DSS описывает требования к защите данных о держателях карт, сгруппированные в двенадцать тематических разделов. Основной акцент в стандарте PCI DSS делается на обеспечении безопасности сетевой инфраструктуры и защите хранимых данных о держателях платежных карт, как наиболее уязвимых с точки зрения угроз конфиденциальности местах. Также следует отметить, что стандарт регламентирует правила безопасной разработки, поддержки и эксплуатации платежных систем, в том числе процедуры их мониторинга. Не менее важную роль стандарт отводит разработке и поддержке базы нормативных документов системы менеджмента информационной безопасности.

Международные платежные системы обязывают организации, на которые распространяются требования стандарта, проходить регулярную проверку соответствия этим требованиям, что рано или поздно может затронуть и НСПК. Однако сертификация российских банков по зарубежному PCI DSS стандарту шла довольно медленно, а отечественного аналога на сегодняшний день нет.

Однако, выполняя требования П-382 и последней редакции СТО БР ИББС-2014, можно во многом подготовиться к прохождению сертификации по PCI DSS, ведь многие его положения пересекаются с требованиями из отечественного документа: антивирусная безопасность, шифрование, фильтрация с помощью межсетевых экранов, разграничение доступа, отслеживании сеансов связи, а также мониторинг, аудит и менеджмент системы ИБ (см. рисунок 5).

В отличие от всех зарубежных стандартов, российский 382-П призван стимулировать отечественных разработчиков и производителей средств защиты информации (СЗИ), так, например, обязывая субъекты НПС обеспечить применение некриптографических СЗИ от несанкционированного доступа, в том числе прошедших в установленном порядке процедуру оценки соответствия. При этом, применение решений иностранного производства явно разрешено.

Более того, Банк России усиливает свой контроль за соблюдением установленных правил. В своем документе Указание № 2831-У от 09.06.2012 «Об отчетности по обеспечению защиты информации в платежных системах…» явно указывает, в какой форме, и с какой периодичностью субъекты платежных систем должны отчитываться о состоянии информационной безопасности в платежных системах.

Несмотря на популярность и широкое распространение PCI DSS существуют и другие международных стандарты безопасности падежных систем, о которых тоже хотелось бы немного сказать. Один из них стандарт PCI PA-DSS (Payment Card Industry Payment Application Data Security Standard) определяющий требования к приложениям, обрабатывающим данные о держателях карт и процессу их разработки. И, второй - стандарт Payment Card Industry PIN Transaction Security (PCI PTS), ранее PCI PED, касаются производителей, которые задают и реализуют технические параметры и систему управления для устройств, поддерживающих набор ПИН-кода и использующихся для проведения платежных операций по картам.

ЗАКЛЮЧЕНИЕ

В заключение можно отметить, что в силу экономической важности банковских систем, обеспечение их информационной безопасности является обязательным условием и играет значимую роль. Поскольку информация, находящаяся в базах данных банков, представляет собой реальную материальную стоимость, то требования к хранению и обработке этой информации всегда будут повышенными.

В заключение нужно отметить, что банки играют огромную роль в экономической жизни общества и имеют силу в экономической важности банковских систем, обеспечение их информационной безопасности является обязательным условием. Их часто называют кровеносной системой экономики. Так как информация, находящаяся в базах данных банков, представляет собой реальную материальную стоимость, то требования к хранению и обработке этой информации всегда будут повышенными.

К 90-м годам XX века банки перешли к компьютерной обработке информации, что значительно повысило производительность труда, ускорило расчеты и привело к появлению новых видов услуг. Однако компьютерные системы, без которых в настоящее время не может обойтись ни один банк, являются также источником совершенно новых угроз, неизвестных ранее, которые постоянно приходится искать и устранять. Большинство из них обусловлены новыми информационными технологиями и не являются специфическими исключительно для банков.

Основные изменения в банковской индустрии за последние десятилетия связаны именно с развитием информационных технологий. Можно прогнозировать дальнейшее снижение оборота наличных денег и постепенный переход на безналичные расчеты с использованием пластиковых карт, сети Интернет и удаленных терминалов управления счетом юридических лиц. В связи с этим следует ожидать дальнейшее динамичное развитие средств информационной безопасности банков, поскольку их значение постоянно возрастает.

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ

Информационная безопасность банков [Электронный ресурс]. URL: http://www.arinteg.ru/
Информзащита собственными силами [Электронный ресурс]. URL: http://nbj.ru/publs/upgrade-modernizatsija-i-razvitie/2014/02/05/informzaschita-sobstvennymi-silami/index.html (дата обращения: 06.07.2015).
О внесении изменений в Положение Банка России от 9 июня 2012 года № 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств" [Электронный ресурс]: Указание Банка России от 05.06.2013 г. № 3007-У. URL: http://www.consultant.ru/document/cons_doc_LAW_148817/ (дата обращения: 06.07.2015).
Об утверждении Положения о защите информации в платежной системе [Электронный ресурс]: Постановление Правительства РФ от 13.06.2012 г. № 584. URL: http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW; n=131173 (дата обращения: 06.07.2015).
Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения: Стандарт Банка России СТО БР ИББС-1.0-2014 [Электронный ресурс]: Распоряжение Банка России от 17.05.2014 г. № Р-399. URL: http://www.consultant.ru/document/cons_doc_LAW_163762/ (дата обращения: 06.07.2015).
Особенности обеспечения информационной безопасности в банковской системе [Электронный ресурс]. URL: http://www.antimalware.ru/analytics/technology_analysis/features_information_security_in_the_banking_system (дата обращения: 06.07.2015).
Проблемы информационной безопасности банков [Электронный ресурс]. URL: http://uchit.net/catalog/Bankovskoe_ delo/81596/ (дата обращения: 06.07.2015).