Информационная безопасность в банковской сфере

Содержание

Информационная безопасность банковских безналичных платежей. Часть 3 — Формирование требований к системе защиты

Информационная безопасность в банковской сфере

О чем исследование

В предыдущих частях исследования мы обсудили экономические основы и IT-инфраструктуру банковских безналичных платежей. В этой части речь пойдет о формировании требований к создаваемой системе информационной безопасности (ИБ). Далее мы рассмотрим:

  • роль обеспечения безопасности в жизни коммерческой организации;
  • место службы информационной безопасности в структуре менеджмента организации;
  • практические аспекты обеспечения безопасности;
  • применение теории управления рисками в ИБ;
  • основные угрозы и потенциальный ущерб от их реализации;
  • состав обязательных требований, предъявляемых к системе ИБ банковских безналичных платежей.

Роль обеспечения безопасности в жизни коммерческой организации

В современной российской экономической среде существует множество различных типов организаций. Это могут быть государственные предприятия (ФГУП, МУП), общественные фонды и, наконец, обычные коммерческие организации. Главным отличием последних от всех других является то, что их основная цель – получение максимальной прибыли, и все, что они делают, направлено именно на это. Зарабатывать коммерческая организация может различными способами, но прибыль всегда определяется одинаково – это доходы за вычетом расходов.

При этом, если обеспечение безопасности не является основным видом деятельности компании, то оно не генерирует доход, а раз так, то для того, чтобы эта деятельность имела смысл, она должна снижать расходы. Экономический эффект от обеспечения безопасности бизнеса заключается в минимизации или полном устранении потерь от угроз.

Но при этом также следует учитывать то, что реализация защитных мер тоже стоит денег, и поэтому истинная прибыль от безопасности будет равна размеру сэкономленных от реализации угроз безопасности средств, уменьшенному на стоимость защитных мер. Однажды между собственником коммерческого банка и руководителем службы безопасности его организации состоялся разговор на тему экономического эффекта от обеспечения безопасности.

Суть этого разговора наиболее точно отражает роль и место обеспечения безопасности в жизни организации: — Безопасность не должна мешать бизнесу. — Но за безопасность надо платить, а за ее отсутствие расплачиваться. Идеальная система безопасности – это золотая середина между нейтрализованными угрозами, затраченными на это ресурсами и прибыльностью бизнеса.

Место службы информационной безопасности в структуре менеджмента организации

Структурное подразделение, отвечающее за обеспечение информационной безопасности, может назваться по-разному. Это может быть отдел, управление или даже департамент ИБ. Далее для унификации это структурное подразделение будем называть просто службой информационной безопасности (СИБ). Причины создания СИБ могут быть разными. Выделим две основные:

  1. Cтрах.

    Руководство компании осознает, что компьютерные атаки или утечки информации могут привести к катастрофическим последствия, и предпринимает усилия для их нейтрализации.

  2. Обеспечение соответствия законодательным требованиям. Действующие законодательные требования налагают на компанию обязательства по формированию СИБ, и топ-менеджмент предпринимает усилия по их исполнению.

Применительно к кредитным организациям необходимость существования СИБ зафиксирована в следующих документах:
Требуемый от СИБ функционал прописан в выше указанных документах. Штатная численность жестко не регламентирована, за исключением, пожалуй, лицензионных требований ФСБ России на криптографию (минимум 2 сотрудника, но они могут быть в разных подразделениях) и может выбираться организацией самостоятельно.

Для обоснования размера штата рекомендуется пользоваться документом — Рекомендации в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Ресурсное обеспечение информационной безопасности» РС БР ИББС-2.

7-2015» С точки зрения подчиненности СИБ существует только одно ограничение, прописанное в вышеуказанных положениях ЦБ РФ — «Служба информационной безопасности и служба информатизации (автоматизации) не должны иметь общего куратора», в остальном свобода выбора остается за организацией. Рассмотрим типовые варианты. Таблица 1.

Подчиненность Особенности
СИБ в составе IT 1. Организация защиты возможна только против внешнего злоумышленника. Основным вероятным внутренним злоумышленником является сотрудник IT. Бороться с ним в составе IT невозможно. 2. Нарушение требований Банка России.3. Прямой диалог с IT, простое внедрение систем защиты информации
СИБ в составе службы безопасности 1. Защита от действий как внутренних злоумышленников, так и внешних. 2. СБ — единая точка взаимодействия топ-менеджмента по любым вопросам безопасности. 3. Сложность взаимодействия с IT, поскольку общение происходит на уровне глав IT и СБ, а последний, как правило, обладает минимальными знаниями в IT.
СИБ подчиняется Председателю Правления 1. СИБ обладает максимальными полномочиями и собственным бюджетом. 2. Для Председателя Правления создается дополнительная точка контроля и взаимодействия, требующая к себе определенного внимания. 3. Возможные конфликты СБ и СИБ по зонам ответственности при расследовании инцидентов.4. Отдельный СИБ может «политически» уравновешивать полномочия СБ.

При взаимодействии с другими структурными подразделениями и топ-менеджментом банка у СИБ любой организации есть одна общая проблема — доказательства необходимости своего существования (финансирования). Проблема заключается в том, что размер сэкономленных средств от нейтрализованных угроз информационной безопасности невозможно точно определить. Если угроза не реализовалась, то и ущерба от нее нет, а раз проблем нет, то и не нужно их решать. Для решения этой проблемы СИБ может действовать двумя способами:

  1. Показать экономическую значимость
    Для этого ей необходимо вести учет инцидентов и оценивать потенциальный ущерб от их реализации. Совокупный размер потенциального ущерба можно считать сэкономленными денежными средствами. Для устранения разногласий по размеру оцениваемого ущерба рекомендуется предварительно разработать и утвердить методику его оценки.
  2. Заниматься внутренним PR-ом
    Рядовые работники организации обычно не знают, чем занимается СИБ, и считают ее сотрудников бездельниками и шарлатанами, мешающими работать, что приводит к ненужным конфликтам. Поэтому СИБ должна периодически доносить до коллег результаты своей деятельности, рассказывать об актуальных угрозах ИБ, проводить обучения и повышать их осведомленность. Любой сотрудник компании должен чувствовать, что, если у него возникнет проблема, связанная с ИБ, то он может обратиться в СИБ, и ему там помогут.

Практические аспекты обеспечения безопасности

Выделим практические аспекты обеспечения безопасности, которые обязательно должны быть донесены до топ-менеджмента и других структурных подразделений, а также учтены при построении системы защиты информации:

  1. Обеспечение безопасности — это непрерывный бесконечный процесс. Степень защищенности, достигаемая с ее помощью, будет колебаться с течением времени в зависимости от воздействующих вредоносных факторов и усилий, направленных на их нейтрализацию.

  2. Безопасность невозможно обеспечить постфактум, то есть в тот момент, когда угроза уже реализовалась. Чтобы нейтрализовать угрозу, процесс обеспечения безопасности должен начаться до попытки ее реализации.
  3. Большая часть угроз имеет антропогенный характер, то есть организации тем или иным образом угрожают люди. Как говорят компьютерные криминалисты: «Воруют не программы, воруют люди».

  4. В нейтрализации угроз должны участвовать люди, чья безопасность обеспечивается,
    будь это собственники бизнеса или клиенты.
  5. Безопасность — это производная от корпоративной культуры. Дисциплина, требуемая для реализации защитных мер, не может быть выше общей дисциплины при работе организации.

Подводя промежуточный итог под вышесказанным, отметим, что создаваемая система ИБ безналичных платежей должна иметь практическую направленность и быть экономически эффективной. Лучшим подспорьем в достижении указанных свойств является применение риск-ориентированного подхода.

Управление рисками (risk management)

Информационная безопасность — это всего лишь одно из направлений обеспечения безопасности (экономическая безопасность, физическая безопасность, пожарная безопасность, …). Помимо угроз информационной безопасности, любая организация подвержена другим, не менее важным угрозам, например, угрозам краж, пожаров, мошенничества со стороны недобросовестных клиентов, угрозам нарушения обязательных требований (compliance) и т. д.

В конечном счете для организации все равно, от какой конкретно угрозы она понесет потери, будь то кража, пожар или компьютерный взлом. Важен размер потерь (ущерб). Кроме размера ущерба, важным фактором оценки угроз является вероятность из реализации, которая зависит от особенностей бизнес-процессов организации, ее инфраструктуры, внешних вредоносных факторов и принимаемых контрмер. Характеристика, учитывающая ущерб и вероятность реализации угрозы, называется риском.

Примечание.

Научное определение риска можно получить в ГОСТ Р 51897-2011

Риск может быть измерен как количественно, например, путем умножения ущерба на вероятность, так и качественно. Качественная оценка проводится, когда ни ущерб, ни вероятность количественно не определены. Риск в этом случае может быть выражен как совокупность значений, например, ущерб — «средний», вероятность — «высокая». Оценка всех угроз как рисков позволяет организации эффективным образом использовать имеющиеся у нее ресурсы на нейтрализацию именно тех угроз, которые для нее наиболее значимы и опасны.

Управление рисками является основным подходом к построению комплексной экономически эффективной системы безопасности организации. Более того, почти все банковские нормативные документы построены на базе рекомендаций по управлению рисками Базельского комитета по банковскому надзору.

Основные угрозы и оценка потенциального ущерба от их реализации

Выделим основные угрозы, присущие деятельности по осуществлению банковских безналичных платежей, и определим максимальный возможный ущерб от их реализации. Таблица 2.

Угроза Максимальный возможный ущерб
1 Прекращение (длительная остановка) деятельности Отзыв лицензии на банковскую деятельность
2 Кража денежных средств В размере остатка денежных средств на счетах
3 Нарушение обязательных требований к деятельности, установленных действующим законодательством и договорами с Банком России Отзыв лицензии на банковскую деятельность

Здесь в состав анализируемой деятельности входит совокупность бизнес-процессов:

  • реализация корреспондентских отношений с банками-партнерами и ЦБ РФ;
  • проведение расчетов с клиентами.

В дальнейшем мы будем рассматривать только вопросы обеспечения безопасности корреспондентских отношений с Банком России. Тем не менее, полученные наработки могут быть использованы для обеспечения безопасности и других видов расчетов.

Обязательные требования к системе ИБ безналичных платежей

При рассмотрении основных угроз мы оценили их ущерб, но не оценили вероятность их реализации. Дело в том, что если максимально возможный ущерб будет одинаковым для любых банков, то вероятность реализации угроз будет отличаться от банка к банку и зависеть от применяемых защитных мер. Одними из основных мер по снижению вероятности реализации угроз информационной безопасности будут:

  • внедрение передовых практик по управлению IT и инфраструктурой;
  • создание комплексной системы защиты информации.

Про IT практики здесь мы говорить не будем, затронем только вопросы обеспечения информационной безопасности. Основным нюансом, который необходимо учитывать в вопросах обеспечения информационной безопасности, является то, что данный вид деятельности довольно жестко регулируется со стороны государства и Центрального Банка. Как бы не оценивались риски, как бы не малы были те ресурсы, которыми располагает банк, его защита должна удовлетворять установленным требованиям. В противном случае он не сможет работать. Рассмотрим требования по организации защиты информации, налагаемые на бизнес-процесс корреспондентских отношений с Банком России. Таблица 3.

Защита персональных данных. Основание – в платежных документах есть персональные данные (Ф.И.О. плательщика / получателя, его адрес, реквизиты документа, удостоверяющего личность)
Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ КоАП РФ Статья 13.11, КоАП РФ Статья 13.12 – до 75 тыс. руб. штраф., УК РФ Статья 137 – до 2 лет лишения свободы

Источник: https://habr.com/post/350852/

Проблемы обеспечения информационной безопасности в банковской сфере российской федерации и пути их решения

Проблемы обеспечения информационной безопасности в банковской сфере российской федерации и пути их решения

Карпунова Анастасия Александровна

студент 4 курса кафедры финансы, инвестиции и кредит, ОГАУ, г. Орел

E-mailkarapuzp@yandex.ru

Долгова Светлана Алексеевна

научный руководитель, канд. экон. наук, доцент ОГАУ, г. Орел

В последнее пятнадцать лет в Российской Федерации были реализованы практические меры по повышению уровня информационной безопасности банковской сферы.

Скоординированными усилиями законодателей, Правительства РФ и Банка России была сформирована система нормативно-правового и организационного обеспечения банковской безопасности, а также осуществлялись практические мероприятия, которые совершенствовали меры безопасности в самих банках.

Уровень банковской безопасности в современной России не соответствует объективным потребностям, и состояние защиты банков от преступных посягательств оставляет желать лучшего [1].

Развитие и укрепление банковской системы РФ, а также обеспечение эффективного и бесперебойного функционирования платежной системы РФ являются целями деятельности Банка России [4]. Уровень информационной безопасности банковских технологических процессов, автоматизированных банковских систем, эксплуатирующихся организациями банковской системы РФ, обеспечивает необходимый и достаточный уровень информационной безопасности банковской системы, и является важнейшим условием для реализации основных целей деятельности Банка России.

Отрицательные последствия из-за сбоев в работе отдельных банковских организаций приводят к стремительному развитию системного кризиса платежной системы России, а также наносят ущерб интересам клиентов и собственников [5]. В случае наступления инцидента информационной безопасности значительно возрастает результирующий риск и возможность нанесения ущерба организациям банковской сферы [2]. Поэтому для организаций банковской системы угрозы информационным активам, то есть угрозы информационной безопасности, представляют реальную опасность (рис. 1).

Рисунок 1. Основные угрозы информбезопасности

Для того, чтобы противостоять угрозам и обеспечить эффективность мероприятий по ликвидации неблагоприятных последствий инцидентов информационной безопасности в организациях банковской системы необходимо обеспечить достаточный уровень информационной безопасности, и сохранять его в течение длительного времени.

За деятельностью по обеспечению информационной безопасности, должен осуществляться постоянный контроль [6]. Работа по оценке информационной безопасности банков, а также выявление факторов и разработка мер по ликвидации негативных явлений возложена на Центральный Банк РФ.

Таблица 1.

Факторы, которые должна учитывать информационная безопасность банка

Факторы
1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньги На основании информации компьютера могут производится выплаты, открываться кредиты, переводиться значительные суммы. незаконное манипулирование с такой информацией может привести к серьезным убыткам.
2. Информация в банковских системах затрагивает интересы большого количества людей и организаций — клиентов банка Конфиденциальна, банк несет ответственность за обеспечение требуемой степени секретности перед своими клиентами.
3. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступом Клиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими деньгами. Но такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.
4. Информационная безопасность банка должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуаций Банк несет ответственность не только за свои средства, но и за деньги клиентов
5. Банк хранит важную информацию о своих клиентах Это расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

Контроль за информационной безопасностью осуществляется на основе Стандарта, который состоит из комплекса стандартов по обеспечению информационной безопасности банков.

Стратегическая цель обеспечения информационной безопасности российских банков, определенная Стандартом, заключается в эксплуатации, развертывании и совершенствовании системы менеджмента информационной безопасности банка, она включает в себя процессы менеджмента информационной безопасности, которые стимулируются и управляются процессами осознания информационной безопасности [2].

Стандарт к банкам выдвигает ряд требований как организационного, так и технического характера. Однако, учитывая риск-ориентированный подход, используемый в Стандарте, вопрос выбора конкретных мер, методов, а также аппаратных или программных средств обеспечения информационной безопасности остается за конкретной кредитной организацией [3].

В настоящее время Стандарт состоит из следующего перечня документов, приведенного на рисунке 2.

Рисунок 2. Перечень документов, составляющих Стандарт

Реализация основных положений Стандарта предполагает комплексный подход к его внедрению, которое должно начинаться с проведения работ по анализу рисков, включающих в себя построение моделей угроз и нарушителей информационной безопасности, идентификации активов, подлежащих защите, и оценку рисков информационной безопасности с учетом особенностей бизнеса и технологий конкретной кредитной организации. Далее, на основе точного прогноза, базирующегося на анализе и оценке рисков информационной безопасности, необходимо разработать политику информационной безопасности банка и пакет нормативных документов по вопросам информационной безопасности, в соответствии с которым банк в дальнейшем станет реализовать, эксплуатировать и совершенствовать свою систему менеджмента информационной безопасности [3].

Стандарт рекомендует разработку следующей структуры документов по обеспечению информационной безопасности (рис. 3).

Рисунок 3. Структура документов по обеспечению информационной безопасности, разработка которых рекомендована Стандартом

Важно, чтобы положения документов по обеспечению ИБ отвечали следующим требованиям [7]:

1.  Носили обязательный характер;

2.  Не противоречили друг другу;

3.  Были выполнимыми контролируемыми;

4.  Соответствовали требованиям и условиям ведения деятельности, в том числе в условиях их постоянного изменения;

Однако, в настоящее время Стандарт носит рекомендательный характер и может применяться только на добровольной основе. И все же, несмотря на это, практика показывает, что эффективное решение вопроса обеспечения информационной безопасности в российских банках без его использования практически невозможно. Так как российский банковский сектор достиг такого уровня своего развития, когда их клиентов и партнеров волнуют не только количественные, но и качественные показатели банка, например, способность банка обеспечить безопасность и сохранить конфиденциальность обрабатываемой и доверяемой ему информации.

Список литературы:

1.Гамза В.А. Банковская безопасность: современная ситуация // Information Security/Информационная безопасность. 2005. № 5.

3.Ткачук И.Б. Концепция и система безопасности банка: учеб. Пособие. М.: Издатель Шумилова И.И., 2003

4.О Центральном банке Российской Федерации (Банке России) [Электронный ресурс]: федер. Закон Рос.Федерации от 10 июля 2002 г. № 86-ФЗ. Доступ из справ.- правовой системы «Консультант плюс».

Источник: https://sibac.info/studconf/econom/iv/29429

Информационная банковская безопасность и ее необходимость — Финэксперт 24

В нынешнем мире банковская информация, ее цена и значение намного возросли. Именно по этой причине к ней и возникает преступный интерес.

Неотъемлемая часть работы любого банковского учреждения – это обеспечение безопасности хранения данных, наличие регулярной смены и проверки паролей. Также контролируется вероятность утечки информации.

Чтобы совершить кражу и взлом банковской системы, злоумышленник совсем не обязательно должен ворваться в банковское учреждение. Осуществление взлома пользователем сети может производиться с помощью своего персонального компьютера. Таким образом, вопрос информационной банковской безопасности стал достаточно острым.

Меры, помогающие обеспечить защиту банковской информации

В банковских информационных системах и базах данных содержится конфиденциальная информация о банковских клиентах, о состоянии их счетов и о том, какие ими проводятся финансовые операции.

То, что информационная безопасность таких данных должна быть превыше всего – факт очевидный. При этом, если быстрый и своевременный обмен и обработка информации отсутствуют – произойдет сбой банковской системы. Поэтому необходимо наличие целой структуры, благодаря которой возможно обеспечение защиты банковской информации и конфиденциальности клиентской базы.

Меры по защите данных такого типа должны осуществляться последовательно:

  • Сперва оценивается и разрабатывается конфиденциальная информация;
  • Оборудуется объект для осуществления защиты.
  • Контролируется эффективность принятых мер.
  • Банком может полностью осуществляться его деятельность лишь тогда, когда есть налаженный обмен внутренними данными и присутствует надежная защитная система. Оборудование такой защиты банковских объектов обладает различными формами.

    Специалистами в сфере обеспечения информационной банковской безопасности могут создаваться как разновидности локальных систем, так и централизованных защитных программ.

    При выборе конкретной защитной формы стоит уточнить следующее: нужно продумать вопрос о всевозможных способах взлома и утечки данных. В случае грамотного и профессионального подхода к обеспечению безопасности работа всех банковских отделений будет слаженной – а, значит, финансовые системы будут функционировать беспрерывно.

    Комплекс защитных мер, направленный на предотвращение нарушения конфиденциальности данных обладает следующими конкретными действиями:

  • Контролируется обмен данных, они строго регламентированы.
  • Банковские сотрудники проходят подготовку и соблюдают все требования безопасности
  • Каналы и сервера подвергаются строгому учету
  • Анализируется эффективность.
  • В каждом направлении есть различные рабочие этапы. Например, при контроле обмена данных, проводится не только обработка скорости передачи информации, — также своевременно уничтожаются остаточные сведения.

    Чтобы открыть ООО – необходимо наличие учредителей. Учредитель – любое юридическое лицо, то есть какая-либо фирма, либо же физическое лицо, то есть гражданин.

    Решившись на открытие своей фирмы, и составляя бизнес-план, большинство граждан не знают, что именно им необходимо проделать для получения государственной регистрации.

    Доступ к банковским данным защищен с помощью идентификационной системы, то есть ее охраняют пароли или электронные ключи. Работа с сотрудниками, пользующимися банковскими данными, включает в себя различные инструктажи и слежку за выполнением нужных регламентов.

    Каналы и сервера подлежат строгому учету, также есть меры, направленные на обеспечение технической защиты информации и банковской безопасности – то есть защищаются резервные копии, обеспечивается бесперебойное питание оборудования, обладающего ценной информацией, ограничивается доступ к сейфам.

    Чтобы анализировать, насколько эффективны принятые меры, необходимо ведение учета или записи, благодаря которым будет отмечаться работоспособность и действенность используемых средств защиты информации в банковском учреждении.

    Принципы информационной безопасности банка

    Несмотря на то, что возможностей взломать и забрать информацию всегда много, обеспечение безопасности банковских данных – процедура вполне реальная.

    Благодаря наличию современных методов теперь усовершенствована система криптографии, а также реализована такая мера, как электронная цифровая подпись (ЭЦП). Она так называемый аналог и заменяет собственноручную подпись. Также она обладает непосредственной привязкой к электронному ключу, хранящемуся у владельца подписи. У этого ключа две части: открытая и закрытая, а также есть защита – наличие специального кода.

    Система безопасности, в общем,  является непрерывным процессом идентификации, анализа и контроля.

    Существуют основные принципы, согласно которым обеспечивается информационная безопасность банка:

  • Проблемы своевременно устанавливаются и обнаруживаются
  • Можно спрогнозировать развитие
  • Предпринятые меры должны быть актуальными и эффективными.
  • Также стоит отдельно выделить, насколько важна тщательная и регулярная работа с персоналом, так как обеспечение безопасности информации зависит и от того, насколько качественно и аккуратно выполняются требования службы безопасности.

    Человеческий фактор – основная и главная угроза информационной безопасности, напрямую зависящий от человеческих отношений. Утечка информации чаще всего происходит во вине банковского персонала.

    Как показывает статистика, примерно 80% правонарушений происходит из-за банковских сотрудников – из-за тех, кто обладает доступом к данным.

    При этом обеспечение внутренней информационной безопасности банка, является крайне необходимой мерой как для того, чтобы защитить конфиденциальность данных от обычной халатности, так и для того, чтобы исключить намеренный взлом баз данных.

             Есть не только внутренний фактор – но и наличие технической угрозы информационной безопасности, как банковских организаций, так и компаний. Технические угрозы – это взломы информационных систем, лицами, не имеющими прямого доступа к системе. Это могут быть криминальные или конкурирующие организации.

    Снимают и получают информацию в этом случае с помощью особенной аудио или видео аппаратуры. Современная популярная форма взлома – когда применяются электрические и электромагнитные излучения. Злоумышленники за это время получают конфиденциальную информацию, ЭЦП.

    Опасность и угроза для программного обеспечения исходит и от различных вредоносных для носителя информации компьютерных вирусов, программных закладок, способных привести к  разрушению введенных кодов.

    Самый известный способ решения подобных компьютерных проблем – установка лицензионных антивирусных программ, успешно справляющихся с данной проблемой.

    В защите банковской информации от внутренних и внешних утечек может помочь поможет грамотный специалист в этой области и программное обеспечение, которое будет заниматься отслеживанием и блокировкой передачи информации на съемные носители (например — флешки).

    Что необходимо, чтобы успешно автоматизировать склад: четко представлять складские процессы, наличие достаточных исходных данных о продукции, наличие интегрируемой информационной корпоративной системы и подготовленного персонала.

    Если на складе не будут работать такие высококвалифицированные специалисты, как: заведующий складом, кладовщики, грузчики и уборщицы, то и эффекта ожидать будет довольно сложно.

    Важное защитное направление – своевременное распознавание и ограничение утечек различного вида

    Подводя итоги можно сказать, что поскольку банковские системы очень важны в экономическом смысле – их информационная безопасность обязательно будет обеспечена. Так как информация, находящаяся в базе данных банков – это реальная материальная стоимость, то требования к хранению и обработке этой информации всегда будут повышенными.

    Специфика и особенности системы обеспечения безопасности, само собой, индивидуальны для любой банковской организации в отдельности, поэтому комплексное и профессиональное предоставление систем защиты – необходимое условие работы всей банковской системы.

    Источник: https://finexpert24.com/poleznye-materialy/articles/bankovskaya-deyatelnost/informatsionnaya-bankovskaya-bezopasnost-i-ee-neobhodimost/

    Виды защиты банковской информации

    В банковской сфере изначально существовала проблема, связанная с конфиденциальностью информации, ее хранением и защитой. Безопасность данных банковских учреждений играет важную роль в бизнесе, поскольку конкуренты и преступные лица всегда интересуются такой информацией и прилагают все усилия для ее достижения.

    Во избежание возникновения такого рода проблем, необходимо научиться защищать банковские данные. Для того чтобы защита банковской информации была эффективной нужно, прежде всего учесть все возможные способы утечки информации.

    А именно: тщательно проверять данные людей при подборе кадров, проверять их биографические данные и предыдущие места работы.

    Информационная безопасность банковских учреждений

    Все информационные данные, находящиеся в обработке банковских и кредитных организаций, подвергаются риску. Это как данные клиентов, так и данные о непосредственной работе банков, их базы данных и так далее. Дело в том, что такая информация может быть полезна как конкурентам, так и физическим лицам, занимающимся преступной деятельностью. Их действия, по сравнению с проблемами, возникающими из-за вирусного поражения аппаратуры или сбоев операционных систем, приносят действительно колоссальный ущерб для организаций подобного рода.

    Защита банковских серверов и локальных сетей от злоумышленников и несанкционированного доступа к материалам компании просто необходима в условиях жесткой конкуренции современного общества.

    Информационная безопасность систем банковских учреждений имеет важное значение поскольку это гарантирует соблюдение конфиденциальности данных о клиентах банков. Проведение ежедневного резервного копирования, которое осуществляется организациями, снижает риск полной утери важной информации.

    Помимо этого, разработаны способы защиты данных от угроз, касающихся несанкционированного доступа. Утечка такого рода информации может возникать вследствие работы как шпионских служб, специально засланных в организацию, так и сотрудников, давно работающих и решившихся заработать на хищении информационного имущества банка.

    Безопасность обеспечивается благодаря работе профессионалов и специалистов, знающих свое дело.

    Защита клиентов – это один из важнейших показателей, влияющих на репутацию банка в целом, в том числе и на доход организации. Поскольку только хорошие отзывы помогут банку выйти на высокий уровень обслуживания и обойти конкурентов.

    Рекомендуем также это видео по банковской сфере:

    Несанкционированный доступ к информации банковских систем

    Одним из самых частых способов кражи банковской информации является использование резервного копирования, вынос данных на носителе или имитация взлома, но не с целью кражи материальных средств, а чтобы получить доступ к информации на сервере.

    Поскольку резервные копии обычно хранятся на стримерах в отдельных местах, то во время их транспортировки в место назначения можно сделать копии. Вот почему сотрудники, которых берут на подобную работу, тщательно проверяются через различные государственные органы на наличие судимости, проблем с законом в прошлом, в том числе и достоверность предоставленной о себе информации.

    Поэтому не стоит недооценивать такую возможность хищения банковской информации, ведь мировая практика пестрит такими случаями.

    К примеру, так в 2005 году были выставлены на продажу базы данных проводок Центрального Банка Российской Федерации. Не исключено, что эта информация просочилась за пределы банковской организации именно из-за недостаточной безопасности банковских систем. Похожая ситуация не раз происходила во всемирно известных компаниях Соединенных штатов Америки, информационная безопасность которых очень сильно страдала от этого.

    Интервью с начальником службы безопасности банка:

    Более того, еще один способ, вследствие которого может возникнуть утечка информации из систем, это банковские сотрудники, жаждущие заработать на этом. Несмотря на то, что в большинстве случаев несанкционированный доступ к информации банковских систем делается только лишь с целью получить возможность поработать дома, именно они становятся причиной распространения информации, которая носит конфиденциальный характер. К тому же это прямое нарушение политики безопасности систем банковских организаций.

    Следует также учесть, что в любом банке работают люди, имеющие значительные привилегии по доступу к таким данным. Это, как правило, системные администраторы. С одной стороны, это производственная необходимость, которая дает возможность выполнять служебные обязанности, а с другой – они могут использовать ее в собственных целях и при этом умеют профессионально “заметать за собой следы”.

    Способы снижения рисков утечки информации

    Защита банковской информации от несанкционированного доступа обычно включает в себя не менее 3 составляющих. Каждая из этих составляющих помогает обеспечить безопасность банков именно в той сфере, где она используется. Сюда можно отнести защиту от физического доступа, резервных копий и защиту от инсайдеров.

    Поскольку банки с особым вниманием относятся к физическому доступу и стараются еще в корне исключить возможность несанкционированного доступа, то им приходится использовать специальные средства и способы шифрования и кодирования важной информации.

    Поскольку банки имеют похожие системы и средства для защиты данных, то лучше использовать криптографические защитные средства. Они помогают сохранить коммерческую информацию, а также сократить риски возникновения таких ситуаций.

    Лучше всего хранить информацию в закодированном виде, используя принцип прозрачного шифрования, который помогает снизить затраты на защиту информации, а также освобождает от необходимости постоянно расшифровывать и зашифровывать данные.

    Учитывая тот факт, что все данные банковских систем фактически являются деньгами клиентов, следует уделять должное внимание их сохранности. Одним из способов является определение наличия вышедших из строя секторов на жестком диске. Функция отмены или приостановки процесса играет далеко не последнюю роль при первоначальном шифровании, зашифровывании, расшифровывании и перешифровании диска. Такая процедура имеет высокую продолжительность, и поэтому любой сбой может привести к полной утере информации. Наиболее надежный способ хранения ключей шифрования и систем – это смарт карты или USB-ключи.

    Защита систем информации осуществляется более эффективно благодаря применению не только стримеров, но и съемных жестких дисков, DVD-носителей и прочего. Комплексное использование средств защиты от физического проникновения к источникам информации увеличивает шансы ее сохранности и неприкосновенности со стороны конкурентов и злоумышленников.

    Из этого видео вы узнаете о мерах, которые стоит предпринять:

    Методы защиты информационных систем от инсайдеров

    В основном хищение информации происходит с помощью мобильных носителей, различного рода USB-устройств, дисковых накопителей, карт памяти и прочих мобильных устройств. Поэтому одним из правильных решений, является запрет использования подобных устройств на рабочих местах.

    Все, что необходимо содержится на серверах и тщательно отслеживается, куда и откуда передается информация в среде банков. Кроме того, в крайних случаях разрешается использовать только те носители, которые приобретаются компанией.

    Можно установить специальные ограничения, благодаря которым компьютер не будет распознавать посторонние носители и карты памяти.

    Защита информации – одна из важнейших задач банковских организаций, необходимая для эффективного функционирования. Современный рынок располагает большими возможностями для осуществления этих планов. Блокировка компьютеров и портов – важнейшее условие, которое следует соблюдать, чтобы защита систем была более надежной.

    Не следует забывать и о том, что лица занимающиеся кражей данных тоже знакомы с набором систем, благодаря которым осуществляется защита коммерческой информации,и могут их обойти с помощью специалистов. Чтобы предотвратить возникновение таких рисков нужно постоянно работать над улучшением безопасности и стараться использовать усовершенствованные системы защиты.

    Оценка статьи:

    Загрузка…

    Источник: https://camafon.ru/informatsionnaya-bezopasnost/zashhita-banka

    Информационная безопасность банков: распространённые угрозы и методы их устранения

    Банковская деятельность связана с обработкой больших объемов информации, основную часть которых составляют конфиденциальные данные клиентов.

    К ним относится личные данные пользователей, копии их документов, номера счетов, данные о проведенных операциях, транзакциях и пр.

    В процессе работы с этой информацией важно, чтобы она не попала в руки злоумышленников, не была изменена или утеряна.

    Защита банковской информации

    Учитывая важность архивов, хранимых в информационной среде банка, существенно возросла их ценность и требования к защите банковской информации.

    Сложность поддержки безопасности данных заключается в том, что банки должны обеспечить доступность к этим данным их пользователям и блокировать любые попытки получить информацию чужими людьми и злоумышленниками.

    Чтобы успешно реализовать эту задачу потребуется комплекс мер, предназначенный для поддержки конфиденциальности данных, сохранности и безопасности обрабатываемой информации, а также безотказный доступ к данным во время проведения финансовых операций.

    Также Вы можете прочесть статью: Классификация методов защиты информации в современных реалиях

    Чем важна информационная безопасность в банковских учреждениях

    Чтобы понять какую роль играет информационная безопасность в банковской деятельности, следует разобраться в том, какая данные банка требуют защиты и почему.

    Важность банковской информационной безопасности

    К банковским данным относится совокупность информации, которая обеспечивает возможность представления финансового учреждения в информационной среде, а также данные, обеспечивающие возможность проведения финансовых операций между клиентом и банком, а также между несколькими клиентами, использующих банковское учреждение в качестве финансового посредника.

    Существует два вида банковской информации – это те данные, которые используются в информационной среде с целью представления деятельности финансового учреждения для его клиентов, а также совокупность данных клиентов финучреждения как юридических, так и физических.

    Несмотря на то, что одна информация является открытой, а вторая закрытой, обе они требуют надежной защиты.

    1. Безопасность открытых данных заключается в том, что эта информация всегда должна быть достоверной и подаваться клиентам в том ракурсе, который выбрал для себя банк. Если по каким-то причинам эти данные будут видоизменены или подменены, то банк может потерпеть не только существенные финансовые потери, а также и удар по своему имиджу и репутации.
    2. Опасность завладения закрытыми данными заключается в том, что если она попадет в руки злоумышленников, то они могут использовать ее с целью получения для себя неправомерной финансовой прибыли. Это может осуществляться путем проведения неправомерных финансовых операций или посредством вымогательства с угрозой распространить какую-либо скрытую информацию о клиентах банка.

    Как видим, защита информации в банковских системах – это очень важный аспект деятельности финансового учреждения, который всегда должен быть ключевым среди большого перечня задач, с которыми сталкиваются банки.

    Попытки доступа к тайной банковской информации

    Среди способов несанкционированного доступа к данным банков на сегодня наиболее часто встречаются следующие.

    • Физический доступ и последующая кража нужной информации. Вариантов реализовать этот способ очень много, начиная с кражи конфиденциальной информации одним из сотрудников банка, который имеет доступ к ней и заканчивая вероятностью вооруженного налета с целью получения важных архивов, баз данных и пр.
    • Второй метод воровства заключается в том, что архивы можно неправомерно получить во время создания резервных копий. Всем известно, что любое учреждение делает резервирование и архивирование важных данных, чтобы не потерять их во время сбоя информационной системы или какой-нибудь более глобальной катастрофы. Большинство банковских учреждений архивируют свою информацию с помощью стримеров, записывая данные на ленту, которая хранится в отдельных помещениях. Во время процесса транспортирования лент и их хранения возможно копирование данных и распространение их вне информационной среды банка.
    • К одним из наиболее распространенных и вероятных способов утечки информации относится несанкционированный доступ к данным через права администратора информационной системы или посредством специальных программ, которые позволяют обойти защиту и получить доступ к нужной информации. Иногда сотрудники могут делать это даже непреднамеренно, например, беря работу домой. Как бы и ничего опасного, но вероятность того, что данные попадут в руки недоброжелателю, в таком случае, существенно возрастает.
    • Еще одним способом получить засекреченную информацию является распространение разного рода программ-шпионов, вирусов, плагинов, специализированного софта.

    Методы защиты банковской информации

    Учитывая перечисленные выше угрозы потери важных данных, должны выбираться методы и средства защиты банковской информации.

    Защита от физического доступа

    Большинство банков уделяют достаточно большое внимание уровню физической безопасности своей информации.

    Пример архива коммерческого банка

    Начинается этот процесс с того, что места, где хранятся информационные архивы и устанавливаются банковские сервера, имеют более высокий уровень защищенности от проникновения и возможности пребывания там сторонних физических лиц.

    Кроме этого, активная работа ведется и по подбору персонала, который будет иметь доступ к конфиденциальным данным банка и его клиентов. Реализация перечисленных факторов существенно снижает вероятность кражи архивов, но не исключает ее полностью.

    Создание резервных копий

    Резервирование информации и запись ее в архивы – это важный шаг чтобы сохранить нужные для себя данные.

    Но чтобы исключить вероятность их попадания в руки злоумышленников, этот процесс должен происходить с применением систем шифрования.

    Использование современной криптографической защиты сведет к нулю вероятность того, что даже украденная информация будет кем-то использована.

    На сегодня есть много различных программных продуктов, которые обеспечивают шифрование данных в момент переноса их в архив.

    Криптографическая защита документов

    Весь процесс полностью автоматизирован и не несет для банка существенных затрат в финансовом плане и в плане потребности дополнительных сотрудников.

    Также важно, чтобы в процессе создания зашифрованного архива использовались хранилища, построенные на физических накопителях, а не на виртуальных.

    Это гарантирует еще один уровень защищенности информации, ведь виртуальное хранилище легче взломать, нежели реальное.

    Предотвращение инсайдерской информации

    Предотвратить утечку инсайдерской информации порой бывает труднее всего. Защитить ее с помощью различных аппаратных и программных средств – это только половина решения поставленной задачи. В этом случае ключевую роль играет человеческий фактор.

    Именно через сотрудников очень часто происходит потеря важных данных, что впоследствии влияет на будущее и текущую деятельность банка.

    Система контроля доступа в организации

    Поэтому подбор кадров, эффективная работа внутренней службы безопасности, а также использование системы ограничения доступа позволит минимизировать риски потери инсайдерской информации.

    Заключение

    Выше были рассмотрены основные способы защиты банковской информации.

    Чтобы гарантировать 100-процентую ее защиту важно использовать все существующие на сегодня способы в комплексе.

    Учитывая, что киберпреступность в последнее время развивается очень сильно и защитить информацию становится все труднее, важно, чтобы этим процессом занимались профессионалы своего дела.

    Они помогут подобрать правильные аппаратные и программные средства, а также создадут верную стратегию защиты данных в конкретной информационной среде банка.

    : Правила защиты банковской карты от мошенничества

    Источник: https://bezopasnostin.ru/informatsionnaya-bezopasnost/osobennosti-zashhity-informatsii-v-bankovskih-sistemah.html

    Понравилась статья? Поделить с друзьями: