Борботько Т.В. Защита информации в банковских технологиях

Подождите немного. Документ загружается.

потребления услуги определенного поставщика. Это значение, выраженное в жетонах, хра-

нится в памяти и может использоваться ограниченным количеством приложений – только в

транзакциях, где поставщики зарегистрированы оператором платежной системы. Однако у

оператора может возникнуть проблема с кредитной организацией. Дело в том, что оператор

стремится привлечь как можно большее число клиентов своей системы, в то время как кре-

дитная организация может работать только в сфере легальных денежных отношений.

4. ПРОБЛЕМЫ БЕЗОПАСНОСТИ В БАНКОВСКОЙ СФЕРЕ

4.1. Факторы, влияющие на безопасность в банковской сфере

Социально-экономические преобразования, происходящие в России, как и всякие

общественные явления, имеют сложную и во многом противоречивую природу. Если попы-

таться кратко сформулировать основные факторы, влияющие на безопасность деятельности

российских предпринимателей, положительные и отрицательные последствия их воздейст-

вия на указанную деятельность, то они заключаются в следующем.

Экономический фактор. В условиях несовершенства законодательства, регули-

рующего коммерческую деятельность, в том числе банковскую, мощного и все более усили-

вающегося прессинга на среду частного бизнеса, финансовую деятельность приходиться

осуществлять на фоне:

— общей нестабильности экономики страны;

— зависимости от курсового соотношения рубль — доллар;

— зависимости от импортных поставок;

— ограниченной деловой практики на внешних рынках;

— организационной слабости механизмов согласования интересов государства и

предпринимателей;

— несовершенства и противоречивости предпринимательского права;

— низкой эффективности института страхования рисков;

— противоправных посягательств со стороны недобросовестных конкурентов и не-

состоятельных партнеров;

— посягательств на коммерческую тайну и интеллектуальную собственность:

— низкого профессионализма, недобросовестности, а в ряде случаев и продажности

собственного персонала.

Фактор организационно-правового обеспечения безопасности предпринима-

тельской деятельности. В различных сегментах рынка (в наибольшей степени это касается

банковской сферы, рынка ценных бумаг, приватизации собственности и др.) сложился свое-

образный правовой вакуум. Отсутствие продуманной долгосрочной стратегии и тактики

проведения экономических реформ, ведомственная раздробленность и разобщенность госу-

дарственного регулирования финансового и фондового рынка способствуют формированию

атмосферы непредсказуемости, неуверенности предпринимателей в завтрашнем дне. Со сто-

роны многих субъектов рынка систематически не выполняются требования действующего

законодательства. Недостаточно эффективны, а порой и просто бездействуют государствен-

ные органы, тогда как обстановка требует конкретных санкций за нарушение законов, про-

тивоправные и преступные действия.

Это, в свою очередь, порождает у части предпринимателей и населения правовой

нигилизм и уверенность в безнаказанности противоправной, авантюрной и мошеннической

деятельности. Это своеобразная питательная среда для криминального бизнеса.

Криминальный фактор. На нем хотелось бы остановиться подробнее. Уже для всех

стало ясно, что проблема преступности переходит в устойчивый недуг, проникающий во все

поры общества, парализующий его жизнедеятельность. Едва ли не обыденным явлением ста-

ли покушения на убийство, смерть банкиров, предпринимателей и их охранников от рук на-

емных убийц.

В сложившихся условиях правовые отношения, регулирующие деятельность част-

ных охранных структур, также переживают острый кризис. Наиболее остро это относится к

основополагающим законам о частной детективно-охранной деятельности и об оружии.

Принятие этих законов преследовало цель создания системы обеспечения безопасности

предпринимательской деятельности. Но жизнь не стоит на месте, и уже сегодня стало со-

вершенно очевидным, что законодательная база частной детективной и охранной деятельно-

сти и подготовки кадров остается несовершенна.

Криминальные структуры на законном основании имеют оружие, надежные средст-

ва защиты, современную спецтехнику слухового и визуального наблюдения. Между группи-

ровками идет ожесточенная борьба за сферы влияния и передел собственности. В последнее

время преступный мир острие своих атак обратил в направлении средних и крупных про-

мышленных предприятий, банков, коммерческих структур. Центр их тяжести смещается в

сторону «интеллектуальных» преступлений, не всегда даже поддающихся учету. Резко обо-

стрились зловещие проблемы бандитизма и терроризма.

С другой стороны, имеющиеся данные говорят о том, что криминальные группиров-

ки пытаются активно использовать возможности частных детективных и охранных структур

в своих противоправных интересах, играя, главным образом, на экономических отношениях

руководителей. Приходится с сожалением констатировать, что некоторые службы охраны и

обеспечения безопасности банков, акционерных обществ, предприятий в силу недостаточной

квалификации их сотрудников, слабой информированности, полной зависимости от «хозя-

ев», либо по другим причинам зачастую просто не в состоянии противодействовать целена-

правленному и опасному внешнему воздействию. Более того — некоторые из них оказыва-

ются втянутыми в противоправные деяния и сами становятся потенциально опасными для

общества.

И последний фактор — информационно-аналитическое обеспечение предприни-

мательской деятельности. У значительной части предпринимателей отсутствует понимание

специфики этого вида деятельности, зачастую отдельные из них не могут даже сформулиро-

вать саму информационную проблему и, как следствие этого, наблюдается непонимание це-

ны информационных услуг (труда, интеллекта, финансовых затрат). И хотя на рынке появил-

ся и достаточно хорошо зарекомендовал себя ряд информационных фирм, их информацион-

ные базы и усилия пока не объединены в единую систему, каждая фирма развивается сама по

себе.

Таким образом, ситуация в сфере обеспечения безопасности бизнеса, реакция обще-

ственности на убийства известных предпринимателей свидетельствуют о том, что одной из

главных причин низкой эффективности системы обеспечения безопасности бизнеса является

недостаточное взаимодействие, во-первых, в самой предпринимательской среде, во-вторых,

с государственными правоохранительными и специальными органами и, в-третьих, отсутст-

вие достаточной государственной поддержки.

Главными источниками угроз безопасности для предпринимательства являются:

— возможность физического насилия над сотрудниками банков и членами их семей;

— вымогательство со стороны представителей правоохранительных и контроли-

рующих органов, других государственных органов;

— незаконные действия властей.

Среди причин и условий, способствующих неудовлетворительному положению дел

с безопасностью предпринимательства, чаще всего отмечались:

— пробельность, противоречивость и другие изъяны нормативно-правовой базы;

— отсутствие механизма согласования интересов государства и предпринимателей;

— несовершенство механизма разрешения экономических споров.

4.2. Концепция безопасности банка

Концепция выражает систему взглядов на проблему безопасности банка на различ-

ных этапах и уровнях производственной деятельности, а также основные принципы, направ-

ления и этапы реализации мер безопасности. Зарубежный и отечественный опыт обеспече-

ния безопасности свидетельствует, что для борьбы со всей совокупностью преступных и

противоправных действий необходима стройная и целенаправленная организация процесса

противодействия. Причем в организации этого процесса должны участвовать профессио-

нальные специалисты, администрация банка, сотрудники и пользователи, что и определяет

повышенную значимость организационной стороны вопроса.

Накопленный опыт также показывает, что:

— обеспечение безопасности не может быть одноразовым актом. Это непрерывный

процесс, заключающийся в обосновании и реализации наиболее рациональных форм, мето-

дов, способов и путей создания, совершенствования и развития системы безопасности, не-

прерывном управлении ею, контроле, выявлении ее узких мест и потенциальных угроз бан-

ку;

— безопасность может быть обеспечена лишь при комплексном использовании все-

го арсенала средств защиты и противодействия во всех структурных элементах производст-

венной системы и на всех этапах технологического цикла. Наибольший эффект достигается

тогда, когда все используемые средства, методы и мероприятия объединяются в единый це-

лостный механизм – систему безопасности банка (СББ);

— никакая СББ не может обеспечить требуемый уровень безопасности без надле-

жащий подготовки персонала банка и пользователей и соблюдения ими всех установленных

правил, направленных на обеспечение безопасности.

С учетом накопленного опыта СББ можно определить как организованную совокуп-

ность специальных органов, средств, методов и мероприятий, обеспечивающих защиту дея-

тельности банка от внутренних и внешних угроз.

Организация и функционирование системы безопасности должны осуществляться на

основе следующих принципов.

1. Комплексность:

— обеспечение безопасности персонала, материальных и финансовых ресурсов от

возможных угроз всеми доступными законными средствами, методами и мероприятиями;

— обеспечение безопасности информационных ресурсов в течение всего их жизнен-

ного цикла, на всех технологических этапах их обработки (преобразования) и использования,

во всех режимах функционирования;

— способность системы к развитию и совершенствованию в соответствии с измене-

ниями условий функционирования банка.

2. Своевременность - упреждающий характер мер обеспечения безопасности. Свое-

временность предполагает постановку задач по комплексной безопасности на ранних стади-

ях разработки системы безопасности на основе анализа и прогнозирования обстановки, угроз

безопасности, а также разработку эффективных мер предупреждения посягательств на за-

конные интересы.

3. Непрерывность - считается, что злоумышленники только и тут возможность, как

бы обойти защитные меры, прибегая для этого к легальным и нелегальным методам.

4. Активность. Защищать интересы банка необходимо с достаточной степенью на-

стойчивости, широко используя маневр силами и средствами обеспечения безопасности и

нестандартные меры защиты.

5. Законность. Предполагает разработку системы безопасности на основе федераль-

ного законодательства в области предпринимательской деятельности, информатизации и

защиты информации, частной охранной деятельности, а также других нормативных актов по

безопасности, утвержденных органами государственного управления в пределах их компе-

тенции, с применением всех дозволенных методов обнаружения и пресечения правонаруше-

ний.

6. Обоснованность. Предлагаемые меры и средства защиты должны реализоваться на

современном уровне развития науки и техники, быть обоснованными с точки зрения задан-

ного уровня безопасности и соответствовать установленным требованиям и нормам.

7. Экономическая целесообразность и сопоставимость возможного ущерба и затрат

на обеспечение безопасности (критерий "эффективность - стоимость").

8. Специализация. Предполагается привлечение к разработке и внедрению мер и

средств защиты специализированных организаций, наиболее подготовленных к конкретному

виду деятельности по обеспечению безопасности, имеющих опыт практической работы и

государственную лицензию на право оказания услуг в этой области. Эксплуатация техниче-

ских средств и реализация мер безопасности должны осуществляться профессионально под-

готовленными специалистами службы безопасности, ее функциональных и обслуживающих

подразделений.

9. Взаимодействие и координация. Предполагает осуществление мер обеспечения

безопасности на основе четкого взаимодействия всех заинтересованных подразделений и

служб, сторонних специализированных организаций в этой области, координацию их усилий

для достижения поставленных целей, а также интеграцию деятельности с органами государ-

ственного управления и правоохранительными органами.

10. Совершенствование. Предусматривает совершенствование мер и средств защиты

на основе собственного опыта, появления новых технических средств с учетом изменений в

методах и средствах разведки и промышленного шпионажа, нормативно-технических требо-

ваний, накопленного отечественного и зарубежного опыта.

11. Централизация управления. Предполагает самостоятельное Функционирование

системы безопасности по единым организационным, функциональным и методологическим

принципам с централизованным управлением деятельностью системы безопасности. Особое

внимание необходимо уделять принципу комплексности, обеспечения безопасности во всем

многообразии структурных элементов банка, при множестве угроз и способов несанкциони-

рованного доступа должны применяться все виды и формы защиты и противодействия в

полном объеме. Недопустимо применять отдельные формы или технические средства.

Под комплексной безопасностью следует понимать полный охват объектов защиты

всей совокупностью форм противодействия и защиты (охрана, режим, кадры, документы и

т.д.) на основе правовых, организационных и инженерно-технических мероприятий. С уче-

том этого определения комплексную безопасность можно представить в виде трехмерной

модели (рис. 8).

Рис. 8. Трехмерная модель комплексной безопасности

4.3. Цели и задачи системы безопасности

Основной целью системы безопасности банка является предотвращение ущерба ее

деятельности за счет разглашения, утечки и несанкционированного доступа к источникам

конфиденциальной информации; хищения финансовых и материально-технических средств;

уничтожения имущества и ценностей; нарушения работы технических средств обеспечения

производственной деятельности, включая и средства информатизации, а также предотвраще-

ние ущерба персоналу банка.

Целями системы безопасности являются:

— защита прав банка, ее структурных подразделений и сотрудников;

— сохранение и эффективное использование финансовых, материальных и инфор-

мационных ресурсов;

— повышение имиджа и роста прибылей за счет обеспечения качества услуг и безо-

пасности клиентов.

Задачами системы безопасности являются:

— своевременное выявление и устранение угроз персоналу и ресурсам; причин и ус-

ловий, способствующих нанесению финансового, материального и морального ущерба инте-

ресам банка, нарушению ее нормального функционирования и развития;

— отнесение информации к категории ограниченного доступа (служебной и ком-

мерческой тайнам, иной конфиденциальной информации, подлежащей защите от неправо-

мерного использования) и других ресурсов - к различным уровням уязвимости (опасности) и

подлежащих сохранению;

— создание механизма и условий оперативного реагирования на угрозы безопасно-

сти и проявления негативных тенденций в функционировании банка;

— эффективное пресечение посягательств на ресурсы и угроз персоналу на основе

комплексного подхода к безопасности;

— создание условий для максимально возможного возмещения к локализации нано-

симого ущерба неправомерными действиями физических и юридических лиц, для ослабле-

ния негативного влияния последствий нарушения безопасности на достижение стратегиче-

ских целей.

4.4. Объекты защиты

К объектам, подлежащим защите от потенциальных угроз и противоправных посяга-

тельств, относятся:

— персонал (руководящие работники, производственный персонал, владеющий ин-

формацией, составляющей коммерческую тайну, работники внешних служб и другой "уяз-

вимый" персонал);

— финансовые средства (валюта, драгоценности, финансовые документы и др.);

— материальные средства (здания, сооружения, хранилища, оборудование, транс-

порт и т.д.);

— информационные ресурсы с ограниченным доступом, составляющие служебную

и коммерческую тайну, а также иная конфиденциальная информация на бумажной, магнит-

ной, оптической основе, информационные массивы и базы данных, программное обеспече-

ние, информативные физические поля различного характера;

— средства и системы информатизации (автоматизированные системы и вычисли-

тельные сети различного уровня и назначения, линии телеграфной, телефонной, факсимиль-

ной, пейджинговой радио- и космической связи, технические средства передачи информа-

ции, вспомогательные средства и системы);

— технические средства и системы охраны и защиты материальных и информаци-

онных ресурсов.

4.5. Классификация угроз

Понятие "угроза" родственно понятию "опасность". Угроза - это опасность на стадии

перехода из возможности в действительность. Иначе говоря, это потенциально возможное

или реальное действие злоумышленников, способное нанести моральный или материальный

ущерб.

Поскольку угрозы, которым приходится противостоять, весьма многообразны, то

возникает потребность в их классификации. Такая классификация угроз приведена на рис. 9.

Рис. 9. Классификация угроз

В общем, плане к угрозам безопасности личности (персонала) относятся:

— убийства, сопровождаемые насилием, издевательствами и пытками;

— похищения и угрозы похищения сотрудников, членов их семей и близких родст-

венников;

— психологический террор, угрозы, запугивание, шантаж, вымогательство;

— грабежи с целью завладения денежными средствами, ценностями, документами,

имуществом.

Преступные посягательства в отношении материальных ценностей (продукции), по-

мещений (в том числе и жилых), зданий и других ресурсов проявляются в виде:

— ознакомления с конструкцией, дизайном, исполнением;

— подделки продукции;

— краж;

— промышленного шпионажа;

— мошенничества;

— уничтожения различными путями (взрывы, поджоги, обстрелы и др.).

Угрозы в отношении продукции:

— нанесение серьезного морального и материального ущерба;

— срыв на длительное время нормального функционирования;

— вымогательство значительных сумм денег или каких-либо льгот перед лицом тер-

рористической угрозы.

По отношению к информации и информационным ресурсам проявляются следую-

щие угрозы:

— целостности;

— конфиденциальности;

— доступности.

Осуществление угроз информационным ресурсам может быть произведено:

— через имеющиеся агентурные источники в органах государственного управления

и коммерческих структурах, имеющих возможность получения конфиденциальной инфор-

мации (суды, налоговые органы, коммерческие банки и др.);

— путем подкупа лиц, непосредственно работающих в фирме или структурах, непо-

средственно связанных с ее деятельностью;

— путем перехвата информации, циркулирующей в средствах и системах связи и

вычислительной технике с помощью технических средств разведки и съема информации;

— путем подслушивания конфиденциальных переговоров и другими способами не-

санкционированного доступа к источникам конфиденциальной информации.

4.6. Состав и структура системы безопасности банка

Организационная структура системы безопасности может быть самой разнообразной

и зависит от вида конкретного банка, его масштабов, форм собственности и т.п. Создавать ее

необходимо осознанно и рационально, максимально используя опыт специалистов в сфере

безопасности бизнеса.

Структура, численность и состав СББ определяются реальными потребностями бан-

ка и степенью конфиденциальности ее информации. В зависимости от масштабов и мощно-

сти организации ее безопасность и защита информации могут быть обеспечены по-разному:

от абонементного обслуживания силами частных охранных и детективных структур до раз-

вертывания полномасштабной собственной службы и системы безопасности с развитой

структурой и штатной численностью (рис. 10).

Рис. 10. Пример структуры системы безопасности банка

Опорными точками такой структуры являются:

— ответственный руководитель системы;

— совет по безопасности банка;

— служба безопасности банка в составе отделов: охраны, режима, кадров, докумен-

тов с КГ, инженерно-технических средств безопасности и контрразведывательной и инфор-

мационно-аналитической деятельности;

— линейные подразделения банка, активно участвующие в обеспечении экономиче-

ской безопасности (кадровое, финансовое, плановое, юридическое, маркетинга и др.).

Решение о создании системы безопасности принимается руководством банка в соот-

ветствии с ее уставом.

Ответственный руководитель системы безопасности банка - это либо сам директор,

либо один из его заместителей. Он должен хорошо знать, что подлежит защите и охране и

обладать определенными познаниями в области безопасности.

Совет по безопасности банка - это коллегиальный орган при руководителе системы

безопасности. Совет выполняет консультативные функции, а его предложения носят реко-

мендательный характер. Все члены совета назначаются директором из числа ведущих спе-

циалистов, имеющих опыт работы или заинтересованных в обеспечении безопасности.

Основными задачами совета являются:

— оценка и выработка основных направлений деятельности банка по обеспечению

экономической безопасности;

— разработка перспективных программ совершенствования системы безопасности;

— разработка предложений о содержании и характере взаимодействия с правоохра-

нительными органами, органами местного управления, с соседними СББ, а также с партне-

рами, заказчиками, потребителями продукции в целях соблюдения конфиденциальности,

установления и поддержания других мер безопасности;

— рассмотрение совместных планов подразделений банка по обеспечению безопас-

ности;

— рассмотрение проектов решений о составе, состоянии и деятельности системы

безопасности по отчетным периодам.

В поле зрения совета практически находится вся сфера деятельности предприятия в

целом, рынок товаров и услуг, место данного предприятия на рынке, конкуренты и преступ-

ность. В этом плане совет обеспечивает;

— анализ производственно-технической, коммерческой и административной дея-

тельности;

— анализ информации о рынке и конкурентах, а также - партнерах и клиентах (по-

ставщиках и потребителях), определение сведений, подлежащих сбору и накоплению;

— разработку и периодическую корректировку перечня сведений, составляющих

коммерческую тайну;

— анализ правильности выполнения работ по присвоению и снятию грифа конфи-

денциальности (секретности);

— ежегодную оценку обоснованности включения руководителями структурных

подразделений своих сотрудников в списки допущенных к конфиденциальным работам и

документам.

В процессе решения этих задач совет рекомендует для утверждения руководством

предприятия:

— основные направления обеспечения экономической безопасности на предпри-

ятии;

— программы обеспечения безопасности специальных работ и решения по отдель-

ным стратегически важным проблемам деятельности предприятия;

— совместные меры подразделений предприятия по обеспечению экономической

безопасности банка;

— предложения о содержании и характере взаимодействия с правоохранительными

органами, органами местного управления, а также - с заказчиками и потребителями продук-

ции, требующей соблюдения конфиденциальности, установления и поддержания других мер

безопасности;

— проекты решений об образовании, стратегии деятельности и реорганизации служ-

бы безопасности;

— проекты решений по оценке деятельности службы безопасности;

— другие документы, касающиеся деятельности предприятия в сфере экономиче-

ской безопасности, требующие принятия и утверждения руководством.

Таким образом, совет по экономической безопасности является аналитическим цен-

тром при руководстве предприятия, нацеленным на выработку стратегии в этой области дея-

тельности. На основе выявления потенциально уязвимых мест в производственном процессе

и определенных для защиты сведений, являющихся коммерческой тайной, а также определе-

ния тех участников рыночных отношений, которые способны представить или уже представ-

ляющих угрозу благополучию предприятия, совет вырабатывает рекомендации исполни-

тельному органу системы безопасности - службе безопасности предприятия.

Служба безопасности банка - самостоятельное структурное подразделение. Она ре-

шает задачи по непосредственному обеспечению защиты жизненно важных интересов банка

в условиях коммерческого и производственного риска, конкурентной борьбы.

В состав службы безопасности банка входят:

— отдел охраны;

— отдел режима;

— отдел кадров;

— отдел специального документооборота (отдел документов с грифом "коммерче-

ская тайна");

— отдел инженерно-технической безопасности;

— отдел контрразведки и информационно-аналитической деятельности.

4.7. Анализ риска и составление кризисных планов

Риск есть стоимостное выражение вероятностного события, ведущего к потерям.

Покупка лотерейного билета - одна из форм риска, хотя большинство людей думают об этом

как о небольшой потере против (также маловероятного) шанса на крупный выигрыш. Хож-

дение по улицам, вождение автомобиля, даже еда - все имеет некоторую степень риска. Каж-

дый человек просчитывает (часто подсознательно) степень риска в каждом конкретном слу-

чае и решает, как ему поступить.

Для оценки степени риска при том или ином варианте действий применяются раз-

личные методики. В зарубежной литературе они получили название "анализ риска" (risk

analysis). Анализ риска применяется к самым различным операциям. Например, при выдаче

кредита специалисты банка оценивают риск его невозврата заемщиком. Оценив величину

степени риска можно принять меры, направленные на ее уменьшение (например, опечатав на

складе заемщика высоколиквидный товар).

Мы будем использовать анализ риска для выбора наиболее реальных угроз автома-

тизированным банковским системам (АБС) и целесообразных способов защиты от них.

Необходимость анализа риска вызвана:

1. Повышением осведомленности персонала. Обсуждение вопросов защиты АБС

может поднять уровень интереса к этой проблеме среди сотрудников, что приведет к более

точному выполнению требований инструкций.

2. Определением сильных и слабых сторон существующих и предлагаемых мер за-

щиты. Многие организации не имеют полной информации о своей АБС и ее слабых сторо-

нах. Систематический анализ дает всестороннюю информацию о состоянии аппаратного и

программного обеспечения АБС и степени риска потери (искажения, утечки) информации

при ее обработке и хранении в электронном виде.

3. Подготовкой и принятием решения по выбору мер и средств защиты. Защита сни-

жает производительность АБС, внося при этом известные неудобства в работу пользовате-

лей. Некоторые меры защиты слишком сложны и дороги и их применение не может быть

оправдано теми функциями, которые они выполняют. В то же время существуют настолько

серьезные виды угроз, что поиск и разработка новых, более эффективных методов и средств

защиты от них является просто необходимыми. В обоих случаях степень риска определяет

уровень и масштаб применяемых средств защиты.

4. Необходимостью определения затрат на защиту. Некоторые механизмы защиты

требуют довольно больших ресурсов, и их работа скрыта от пользователей. Анализ риска

может помочь определить самые главные требования к системе защиты АБС. При этом все-

гда необходимо помнить, что чем меньше затраты на защиту, тем выше возможность потери

информации и нарушения работоспособности АБС.

Основные этапы анализа риска

Анализ риска - это процесс получения количественной или качественной оценки

ущерба, который может произойти в случае реализации угрозы безопасности АБС.

Ниже рассматриваются основные этапы, проводимые при анализе риска безопасно-

сти АБС. Они могут в отдельных случаях корректироваться в зависимости от конкретных

условий анализа: