»нформаци€ под защитой

 ”же в начале 90-х годов кредитные организации начали понимать, что банковский бизнес малоэффективен и достаточно рискован без решени€ задач безопасности. Ћюбые банковские процессы наход€тс€ в пр€мой зависимости от того, как работает информационна€ инфраструктура банка, то есть вычислительные комплексы, программные и аппаратные средства, а также персонал, их использующий.

 ”же в начале 90-х годов кредитные организации начали понимать, что банковский бизнес малоэффективен и достаточно рискован без решени€ задач безопасности. Ћюбые банковские процессы наход€тс€ в пр€мой зависимости от того, как работает информационна€ инфраструктура банка, то есть вычислительные комплексы, программные и аппаратные средства, а также персонал, их использующий. ≈сли все это начинает давать сбои, например за счет заражени€ компьютеров вирусами или атак хакеров, последстви€ дл€ банков могут быть очень плачевными. ќни могут утратить базы данных клиентов и другую необходимую информацию, собираемую годами, лишитьс€ средств и потер€ть доверие клиентов.

—толкнувшись с подобными проблемами, финансисты начали искать способы их разрешени€ за счет снижени€ информационных рисков. ¬ результате по€вились первые системы защиты, разработанные и созданные банками в буквальном смысле слова Ђна коленкеї, то есть второп€х, на ходу и собственными усили€ми. ќднако уже к концу 90-х, осознав важность проблемы, кредитные организации стали постепенно замен€ть свои устаревшие системы защиты информации (—«») на современные. ѕостроение такой —«» включает в себ€ целый комплекс меропри€тий Ч от аудита банка в области информационной безопасности до создани€ межфилиальных систем защиты данных.

¬ 90% банков полностью автоматизированы все бизнес-процессы, однако далеко не все из них используют —«». ћногие банки откровенно недовольны ситуацией, сложившейс€ на этом рынке, сету€ на отсутствие разнообразных предложений, а также новых стандартов, методик и критериев оценки безопасности. ќпределенный процент кредитных институтов (не более 15%) склон€етс€ к самосто€тельной разработке —«», остальные предпочитают совместные разработки либо обращаютс€ за помощью к специалистам. “е создают дл€ конкретного банка как отдельные модули безопасности (например, только по защите вкладов), так и комплексные системы.

—ами банкиры весьма неохотно говор€т о своих успехах и проблемах в области обеспечени€ информационной безопасности, так как почти у каждого из них с ней св€зано несколько непри€тных моментов. “ем не менее солидным кредитным организаци€м приходитс€ тратить на —«» около 10% от своих годовых затрат.

ѕароль один на всех. ќдин из способов защиты данных Ч разработка концепции прохождени€ и регистрации конфиденциальной информации. «десь самое важное Ч определить максимально безопасные варианты обмена файлами. »нформационные потоки требуетс€ оптимизировать, выделить самые безопасные способы файлового обмена и об€зать всех сотрудников использовать только их, а также разработать четкие правила работы по отделам и подразделени€м банка. Ќи дл€ кого не секрет, что внутри банка информаци€ курсирует различными способами: от переноса ее в распечатанном виде из кабинета в кабинет до пересылки по электронной почте.  ак правило, пользователи не обращают никакого внимани€ на защиту информации, передают друг другу свои пароли, хран€т данные в общедоступных директори€х, открытых любому пользователю. —читаетс€, что внутри банка информаци€ как бы уже изначально защищена его стенами. ЂЁто весьма распространенное заблуждение, Ч рассказал Ђ‘.ї директор департамента систем информационной безопасности компании ЂЋанитї »горь Ћ€пунов, Ч на самом же деле в этот период данные достаточно у€звимы, поскольку банк всегда €вл€етс€ открытой системой и мошенникам совершенно незачем тратить деньги на дорогосто€щее оборудование, если есть возможность вз€ть со стола любого работника дискету с нужным файломї.

ѕоэтому при создании концепции информационной безопасности специалисты банка в первую очередь оценивают наличие ситуаций, при которых возможна утечка данных непосредственно с рабочего места специалиста, и стараютс€ по возможности их минимизировать. ѕричем сами пользователи, как правило, очень активно пытаютс€ избежать жестких рамок, в которые их загон€ют дотошные Ђбезопасникиї. “ак, например, как рассказал Ђ‘.ї один из банкиров, пожелавший остатьс€ неназванным, в одно врем€ у них в отделе бухгалтерского учета и отчетности вообще не было паролей, так как они мешали неопытным пользовател€м работать с компьютером. ѕоэтому необходимо следить за тем, чтобы правила информационной безопасности дл€ р€довых сотрудников были удобными и пон€тными и не мешали им в выполнении своих пр€мых об€занностей. Ђѕравила безопасности не должны вызывать отвращени€ у тех, кто должен их выполн€ть, Ч подтвердил источник, Ч иначе пользователи все равно рано или поздно найдут способ обойти запреты и тщательно спланированна€ система, на которую были потрачены большие деньги, будет давать сбои из-за халатности одного мелкого клеркаї.

ƒл€ защиты данных внутри банка используютс€ системы идентификации пользовател€, определ€ющие подлинность его личности и наличие прав доступа к конкретной информации. «десь используютс€ различные пароли, позвол€ющие входить в локальную сеть банка. ќни могут выбиратьс€ самим пользователем, присваиватьс€ ему администратором безопасности или самой системой защиты информации.  роме того, существуют различного рода устройства идентификации, например Ђтаблеткиї, представл€ющие собой круглые металлические пластинки, и карты доступа Ч простые (не банковские) пластиковые карты с чипом. Ќа них система безопасности при помощи особого алгоритма зашифровывает и наносит личные данные пользовател€ и уровень его доступа к банковской системе. Ёти электронные Ђключиї срабатывают при контакте со считывающим устройством, установленным на двер€х в секретные помещени€, на серверах, пользовательских компьютерах.

—топроцентное опознание. ќдной из последних разработок €вл€етс€ система биометрической аутентификации пользовател€ (технологи€ Biolink), котора€ Ђопознаетї клиента по отпечаткам его пальцев. “акой подход к защите информации позвол€ет исключить сразу несколько проблем. Ќапример, делает невозможным доступ в систему злоумышленника, похитившего идентификатор (Ђтаблеткуї или карту) или узнавшего пароль, и позвол€ет не бо€тьс€ слабости парольной защиты. Ёто серьезна€ проблема, так как обычно сотрудники банка дел€тс€ друг с другом своими парол€ми, пишут их на видном месте. ¬ большинстве случаев разгадать их не составл€ет труда, так как обычно это или им€, или дата рождени€ пользовател€ или его ближайших родственников Ч в крайнем случае кличка любимой собаки.

—истема персональной аутентификации по биометрическим параметрам позвол€ет экономить значительные средства банка на посто€нные изменени€ паролей пользователей, их забывших или разгласивших, Ч на долю таких случаев приходитс€ 40-60% от общего числа обращений в службу технической поддержки пользователей.  роме того, сокращаетс€ врем€ (и соответственно затраты) на регул€рную смену паролей. ѕри использовании технологии Biolink в этом просто нет необходимости. “акже эта технологи€ сокращает затраты на приобретение большого количества резервных идентификаторов взамен утраченных, испорченных или вышедших из стро€. »спользование Biolink позвол€ет обеспечить доступ в систему конкретного человека, а не абстрактного пользовател€, знающего пароль.  роме того, эта технологи€ защищена от подделок, поскольку хранит в пам€ти не сам отпечаток пальца сотрудника, а только его электронно-цифровой шаблон, каждый раз свер€емый с оригиналом. Biolink рекомендуетс€ устанавливать на такие точки входа в систему банка, как, например, его расчетный или процессинговый центры, а также службы авторизации клиентов. —ама система персональной аутентификации состоит из программного обеспечени€ и устройства, сканирующего отпечаток одного из пальцев.

ѕодпись на дискете. ¬ качестве традиционных методов защиты внутрибанковской информации €вл€етс€ использование электронно-цифровой подписи (Ё÷ѕ) Ч цифрового ключа, однозначно идентифицирующего пользовател€. ¬ этом случае при передаче какого-либо конфиденциального документа его создатель, пользу€сь определенной программой, формирует из текста документа и хран€щегос€ отдельно на электронном носителе секретного ключа (зашифрованный особым образом набор символов) файл. ќн свободно передаетс€ по любым каналам св€зи и пересылаетс€ по электронной почте, но документ, защищенный таким образом, нельз€ изменить. ѕрочесть его можно только при помощи специальной программы.

ћногие банки в последнее врем€ стали тратить деньги на установку дорогосто€щих (от $30-100 тыс.) устройств, монтируемых на входе в банковскую систему и анализирующих работу всех точек доступа. ќни способны самосто€тельно вычлен€ть из всех процессов доступа те, которые не соответствуют заданным параметрам безопасной работы. ”стройства выдел€ют из всех журналов просмотра корпоративной почты Ђнеразрешенныеї входы. Ќапример, ведетс€ просмотр почты с незарегистрированного сервера, значит, кто-то посторонний проник в локальную сеть и пользуетс€ банковской информацией. ќднако, чтобы защита сработала, администратор безопасности должен максимально корректно определить параметры, по которым система защиты будет отслеживать входы в локальную сеть, Ч в противном случае туда не смогут попасть Ђсвоиї люди. “ак, например, в одном из банков при стандартной проверке был зафиксирован неразрешенный доступ к корпоративной почте. ¬ы€снилось, что один из сотрудников, наход€сь за границей, решил просмотреть почту через свой ноутбук, не зарегистрированный администратором безопасности. ѕрочитать письмо менеджеру так и не удалось, в результате чего сорвалась важна€ сделка.

¬нешн€€ защита. Ќаиболее у€звимыми местами утечки информации традиционно €вл€ютс€ точки подключени€ к интернету и другим электронным сет€м. »менно через эти Ђузкиеї места в банковскую сеть стрем€тс€ проникнуть хакеры. «десь, как правило, банки устанавливают межсетевые экраны (firewall), фильтрующие сетевой трафик, не допуска€ несанкционированного проникновени€, а также системы Content Security, устанавливаемые на уровне серверов и рабочих станций. ќни обеспечивают комплексную защиту корпоративных сетей и почтовых серверов банка. Content Security способна самосто€тельно приспосабливатьс€ к измен€ющимс€ услови€м и удобна тем, что управление всеми процессами происходит из одного места, что позвол€ет быстро распознавать и отражать посто€нно мен€ющиес€ попытки несанкционированного проникновени€. “ака€ система, установленна€ на почтовый сервер банка, посто€нно сканирует и фильтрует все сообщени€, очищает письма от нежелательных приложений, свер€ет адреса отправителей с Ђчерным спискомї, отклон€ет поступлени€ спама, ссылок на порнографические сайты и даже самосто€тельно отражает хакерские атаки.

—истемы информационной безопасности позвол€ют объединить головной офис банка и его филиалы в единую сеть, использующую открытые каналы св€зи без риска утраты или копировани€ конфиденциальной и финансовой информации. “аким образом, времена, когда данные передавались из основного офиса в филиал курьером на электронном носителе, дискете или лазерном диске, что часто можно было наблюдать в 90-е годы, давно позади. “еперь это все происходит в считанные секунды, и не надо ждать несколько дней, пока, например, произойдет пополнение счета в отдаленном филиале.

 


или введите им€

CAPTCHA