Дипломна робота на тему: Розробка системи захисту персональних даних на підприємстві ПАТ «Сітібанк». Положення про захист персональних даних клієнтів Персональні дані у банківській сфері

Джабраїл Матієв, керівник напряму захисту персональних даних по комерційній частині компаніїReignVox

Постійна робота з величезними масивами клієнтських даних вимагає від банку будь-якого формату постійної роботи з захисту цих даних.

Саме тому тема інформаційної безпеки, а разом із нею і тема довіри, є особливо актуальною у фінансовому секторі. Більше того, вимога захистити будь-які персональні дані, що входять до структури інформаційної системи сучасної фінансової компанії, є законодавчо обґрунтованим – федеральний закон №152 «Про персональні дані» абсолютно чітко зобов'язує кожну компанію, що обробляє ці дані, провести їх захист у строго визначені терміни. Як нові, так і вже існуючі інформаційні системи, що обробляють персональні дані, повинні бути приведені у відповідність до вимог законодавства у строк до 1 січня 2011 року. З огляду на такі суворо позначені часові рамки, у організацій, які обробляють таку інформацію, залишається дедалі менше часу, щоб виконати вимоги закону.

З чого слід розпочинати роботу із захисту персональних даних? На які терміни роботи розраховувати? Кому доручити проведення робіт? Яка середня вартість проекту та як мінімізувати витрати? Всі ці питання є актуальними сьогодні для будь-якої компанії, яка веде бізнес у фінансовому секторі. Експертні відповіді на них дозволяє дати великий досвід компанії ReignVox у сфері захисту персональних даних у фінансових структурах.

Життя в режимі зворотного відліку

Федеральний закон № 152 «Про персональні дані» набирає повної сили з 1 січня 2011 року – понад півроку попереду до зазначеного законотворцями терміну. Але не варто піддаватися оманливому враженню про надлишок часу.

По-перше, впровадження проекту, спрямованого на виконання вимог захисту персональних даних, вимагає від чотирьох до шести місяців залежно від його складності. Але і ця цифра не є остаточною. терміни можуть збільшитись до шести-восьми місяцівза рахунок того періоду, який банк витратить на вибір гідного інтегратора для розробки та ведення проекту. Проведення такого типу робіт самотужки загрожує банку втратою об'єктивності на стадії обстеження та аналізу, існуючих у ньому засобів захисту, а також необхідністю знайти для даної роботи окремі трудові ресурси. У цьому випадку слід пам'ятати і про такі фактори, як наявність підготовлених на тематику захисту персональних даних фахівців, необхідного обсягу нормативно-методичного забезпечення, вільних ресурсів під завдання захисту персональних даних. Практика показує, що зазвичай усім цим вимогам комплексно відповідають саме сторонні інтегратори.

По-друге, повертаючись до теми термінів, поставлених законом «Про персональні дані» перед операторами даних (а про те, що банки якраз і є такими операторами, питання вже не стоїть у принципі), що б там не говорили про їхнє «перенесення », Перші перевірки регуляторів вже мають місце. Висновок - цілком логічне: актуальність проблеми не просто збереглася, вона в рази зросла, і її вирішення стає нагальною потребою.

«А скринька просто відкривався…»

Навколо завдання щодо приведення ІСПДн у відповідність до положень закону «Про персональні дані» протягом останнього часу ведуться активні дискусії, результат яких зводиться в основному до одного: розв'язання цього завдання дуже проблематичне в силу сукупності її організаційних та правових особливостей. Такий висновок не є цілком вірним: практика застосування вимог щодо захисту персональних даних, що з'явилася протягом першого кварталу 2010 року (у тому числі й у банківській сфері), підтверджує зрозумілість та інтерпретованість вимог, що висуваються до ІСПДн. Їхнє формулювання, виконання та документальне підтвердження останнього з мінімальним ризиком будь-яких помилок не так складно у своїй реалізації, скільки важливо з точки зору безпеки банківського бізнесу. Ще більше спрощує завдання можливість передоручити її сторонньому інтегратору, чиї фахівці максимально оперативно та професійно виконають проект захисту персональних даних з урахуванням індивідуальних особливостей банківського бізнесу.

Таким чином, першочерговим завданням стає вибір компанії-інтегратора, якій буде вирішено довірити ведення проекту.

"Типовий" = "Ексклюзивний"?

Такий знак рівності між даними взаємовиключними поняттями має право на існування. Це твердження підкріплюється практичним досвідом вже завершених компанією ReignVox успішних проектів захисту персональних даних.

З одного боку, кожен такий проект включає стандартну кількість етапів: етап обстеження інформаційних систем персональних даних, етап проектування системи захисту персональних даних, етап впровадження СЗПДН, етап оцінки відповідності ІСПДн вимогам закону і етап підтримки створеної системи. Причому оцінка відповідності ІСПДн як етап носить необов'язковий характер і проводиться на розсуд компанії-замовника. Так само як і етап підтримки створеної системи.

Типовість зазвичай закінчується на першому етапі (етапі обстеження інформаційних систем), тому що саме він дозволяє виявити та описати ті вимоги, які будуть пред'явлені надалі до систем. І ці параметри вже індивідуальні та орієнтовані на кожного конкретного замовника, оптимізовані відповідно до його потреб.

У ході цього обстеження аналізуються інформаційні ресурси, типові рішення, що застосовуються при побудові IT-інфраструктури, інформаційні потоки персональних даних, наявні системи та засоби захисту інформації.

На цьому етапі розробляється модель загроз і порушника безпеки ПДн, оцінюється необхідність забезпечення безпеки ПДн в ИСПДн з використанням криптосредств.

Класична схема проведення другого етапу включає аудит нормативної бази та оцінку її відповідності вимогам регуляторів. Його результатом стає розробка відсутніх внутрішніх документів, і навіть розробка технічного завдання розробку СЗПДН. На цьому ж етапі інтегратор розпочинає безпосередню розробку комплексу заходів із захисту інформації.

Після закінчення цього етапу банк вже цілком здатний успішно пройти перевірку одного із регуляторів.

Суть третього етапу зводиться до впровадження систем та настроювання існуючих засобів захисту. Після тестування, у разі потреби, проводиться доробка комплексу технічних та програмних засобів.

На кожному з описаних етапів перед компанією ReignVox, як перед інтегратором, постають різні додаткові завдання, зумовлені специфікою бізнесу, який веде компанія-замовник її розмірами, інфраструктурою, активністю бізнес-процесів та багатьма іншими пунктами. І з багатьох таких складових щоразу складається нова, індивідуально адаптована концепція проекту захисту персональних даних.

«…і вівці цілі»

Мінімізація видатків, оптимізація бюджету, економія - яке словосполучення не підбери, суть залишиться однією - раціональний підхід до використання грошових ресурсів - саме він є другим наріжним каменем успішності фінансової структури (після довіри, звичайно ж). А тому прагнення по можливості скоротити витрати не на шкоду інформаційній безпеці є закономірним і цілком досяжним.

Вартість середньостатистичного типового проекту створення системи захисту персональних даних для банківської структури становить близько 1,5 млн. руб. При розрахунку цієї суми враховується і низка принципів, дотримання яких дозволяє скоротити бюджет створення системи захисту персональних даних.

Насамперед ми прагнемо максимально зберегти вже існуючу в організації ІТ-інфраструктуру. Зазвичай говорять про два полярні сценарії захисту ПДН. Перший – докорінна переробка всіх ИСПДн, а другий – формальний, полягає лише у випуску внутрішніх нормативних документів, без внесення будь-яких змін у ИСПДн. Ми вважаємо оптимальним третій варіант, який полягає саме у збереженні ІТ-інфраструктури банку, що діє, що супроводжується видозміною деяких її елементів, додаванням нових, необхідних для забезпечення відповідності законодавству.

В даному випадку йдеться про перший принцип, заснований на максимальному використанні існуючих засобів захисту інформаціїпід час проектування систем захисту інформації. Засоби захисту в будь-якій компанії застосовуються незалежно від необхідності захисту персональних даних, це і системи антивірусного захисту, і вбудовані засоби контролю доступу операційної системи, і міжмережні екрани та багато інших засобів. Тому максимальна кількість вимог закривається засобами захисту. І лише у тому випадку, якщо якісь вимоги не задовольняються поточними засобами захисту, необхідно закупити та впровадити додаткові.

Другий принцип – принцип економічного логічного структурування інформаційних системперсональні дані. Дотримуючись цього принципу, у рамках застосування проекту захисту персональних даних у банку, економічно обгрунтованим стає об'єднання кількох систем, що у одному приміщенні, в одну, разом із зниженням класу некритичних сегментів. Таким чином, створюється ІСПДн "Центр обробки даних", захист в якому забезпечується по периметру. Це дозволяє значною мірою мінімізувати витрати на поділ потоків у межах різних систем.

Принцип третій захищатися лише від актуальних загроз. У цьому актуалізація загроз описується обов'язковому для спеціальних систем документі, що називається «Модель загроз». При актуалізації загроз відкидаються ті їх, чия ймовірність низька, а збитки під час реалізації – невеликий.

За умови використання вже відпрацьованих методик, завдання щодо приведення ІСПДН будь-якого банку у відповідність до вимог законодавства у строк до 1 січня 2011 року повністю реалізується. Для максимальної успішності впровадження подібних технологій у банківській сфері все ж таки необхідно пам'ятати про комплексний підхід до роботи над проектом. В даному випадку мається на увазі організація спільної роботи фахівців найрізноманітніших підрозділів – фахівців з IT-технологій, з інформаційної безпеки та управління проектами, фінансистів, юристів – які гарантують дотримання необхідного збалансованості загального підходу до захисту критичних даних у рамках фінансової структури.

Довідка: ReignVox – російська компанія, що спеціалізується на інноваційних проектах та розробках у галузі інформаційних технологій та забезпечення їх інформаційної безпеки.

Метою створення компанії є надання послуг із забезпечення захисту персональних даних відповідно до вимог закону «Про персональні дані» ФЗ-152 від 27.07.2006 р. та побудови комплексних систем захисту інформації.

ReignVox є членом міжрегіональної громадської організації "Асоціація захисту інформації" (МГО "АЗІ"), асоційованим членом "Інфокомунікаційного союзу" (Infocommunication Union), а також членом Асоціації регіональних банків Росії.

Компанія ReignVox має значний досвід успішної реалізації проектів захисту персональних даних у великих комерційних банках. Серед її клієнтів НОТА-Банк, Зовнішекономбанк, "ЦентроКредит", "Темпбанк", "Альта-Банк" та ін.

Оцінити:

Подібні документи

Законодавчі засади захисту персональних даних. Класифікація загроз інформаційній безпеці. База індивідуальних даних. Пристрій та загрози ЛОМ підприємства. Основні програмні та апаратні засоби захисту ПЕОМ. Базова безпекова політика.

дипломна робота, доданий 10.06.2011


Причини створення системи безпеки персональних даних. Загрози інформаційної безпеки. Джерела несанкціонованого доступу до ІСПДн. Влаштування інформаційних систем персональних даних. Засоби захисту. Політика безпеки.

курсова робота, доданий 07.10.2016


Аналіз структури розподіленої інформаційної системи та оброблюваних у ній персональних даних. Вибір основних заходів та засобів для забезпечення безпеки персональних даних від актуальних загроз. Визначення витрат за створення та підтримку проекту.

дипломна робота, доданий 01.07.2011


Система контролю та управління доступом на підприємстві. Аналіз оброблюваної інформації та класифікація ІСПДн. Розробка моделі загроз безпеці персональних даних при їх обробці в інформаційній системі персональних даних СКУД ВАТ "ММЗ".

дипломна робота, доданий 11.04.2012


Опис основних технічних рішень щодо оснащення інформаційної системи персональних даних, розташованої у приміщенні комп'ютерного класу. Підсистема антивірусного захисту. Заходи щодо підготовки до введення в дію засобів захисту інформації.

курсова робота, доданий 30.09.2013


Секретність та безпека документованої інформації. Види персональних даних, які у діяльності організації. Розвиток законодавства у сфері забезпечення їх захисту. Методи забезпечення інформаційної безпеки Російської Федерації.

презентація, доданий 15.11.2016


Аналіз ризиків інформаційної безпеки. Оцінка існуючих та планованих засобів захисту. Комплекс організаційних заходів забезпечення інформаційної безпеки та захисту інформації підприємства. Контрольний приклад реалізації проекту та його опис.

дипломна робота, доданий 19.12.2012


Нормативно-правові документи у сфері інформаційної безпеки у Росії. Аналіз погроз інформаційних систем. Характеристика організації системи захисту персональних даних клініки. Впровадження системи автентифікації за допомогою електронних ключів.

дипломна робота, доданий 31.10.2016


Загальні відомості щодо діяльності підприємства. Об'єкти інформаційної безпеки для підприємства. Заходи та засоби захисту інформації. Копіювання даних на змінний носій. Встановлення внутрішнього Backup-сервера. Ефективність удосконалення системи ІБ.

контрольна робота, доданий 29.08.2013


Основні загрози стосовно інформації. Поняття, методи та засоби забезпечення захисту даних. Вимоги до системи захисту. Механізм авторизації в інформаційній базі визначення типу пользователя. Робота адміністратора із системою безпеки.

ВСТУП

Актуальність. У світі інформація стає стратегічним ресурсом, однією з основних багатств економічно розвиненого держави. Швидке вдосконалення інформатизації у Росії, проникнення її у всі сфери життєво важливих інтересів особистості, нашого суспільства та держави викликали крім безсумнівних переваг, і поява низки істотних проблем. Однією з них стала потреба захисту інформації. З огляду на, що у час економічний потенціал дедалі більше визначається рівнем розвитку інформаційної структури, пропорційно зростає потенційна вразливість економіки від інформаційних впливів.

Поширення комп'ютерних систем, об'єднання в комунікаційні мережі посилює можливості електронного проникнення у них. Проблема комп'ютерної злочинності у всіх країнах світу, незалежно від їхнього географічного положення, викликає необхідність залучення дедалі більшої уваги та сил громадськості для організації боротьби з цим видом злочинів. Особливо широкий розмах отримали злочини в автоматизованих банківських системах та в електронній комерції. За закордонними даними, втрати в банках внаслідок комп'ютерних злочинів щороку становлять багато мільярдів доларів. Хоча рівень запровадження нових інформаційних технологій у практику у Росії настільки значний, комп'ютерні злочину з кожним днем ​​дають себе знати дедалі більше, а захист держави й суспільства від них перетворилася на суперзавдання для компетентних органів.

Актуальність питання захисту персональних даних ні в кого не викликає сумніву. Насамперед це зумовлено терміном, визначеним для приведення інформаційних систем персональних даних (ІСПД) у відповідність до Федерального закону від 27.07.2006 № 152-ФЗ «Про персональні дані». Термін цей невблаганно наближається, і водночас очевидна складність виконання вимог керівних документів регуляторів провокує масу суперечок та неоднозначних трактувань. Водночас закритість деяких керівних документів, їх невизначений правовий статус, як і низка інших питань, не сприяють вирішенню проблеми. Все це створює ситуацію, коли нормативну базу не остаточно визначено, а виконувати вимоги законодавства необхідно вже зараз.

травня 2009 р. відбулося перше засідання робочої групи з проблематики персональних даних в АРБ. На заході в ході відкритого обговорення були чітко позначені проблемні галузі, що хвилюють банківську спільноту. В основному вони стосувалися саме технічного захисту персональних даних та майбутньої взаємодії між кредитно-фінансовими установами та ФСТЕК. Представники Банку Росії озвучили у своєму виступі напрацювання щодо організації виконання закону «Про персональні дані». Принципово новими і важливими можна назвати спроби Банку Росії знайти компроміс із регуляторами щодо формулювання технічних вимог для банківського співтовариства. Особливо хочеться відзначити активність ЦБ РФ у роботі з ФСТЕК Росії. Враховуючи всю велику масу складнощів при виконанні вимог керівних документів ФСТЕК, Банк Росії прийняв рішення щодо підготовки власних документів (проектів документів), які на сьогодні узгоджуються з ФСТЕК. Можна припустити, що є високою ймовірність появи нового галузевого стандарту для кредитно-фінансових установ за персональними даними.

Метою курсової є дослідження способів захисту персональних даних у банківських он-лайн системах.

Досягнення мети вирішувалися такі:

вивчення підходів, основних засад забезпечення безпеки;

визначення методів та засобів забезпечення безпеки;

виявлення особливостей забезпечення безпеки персональних даних у банківських онлайн-системах;

розробка заходів щодо забезпечення безпеки персональних даних у банківських онлайн-системах.

Об'єктом дослідження є інформаційні банківські системи.

Предметом дослідження є безпека інформації персонального характеру в он-лайн банківських системах.

Теоретико-методологічною основою дослідження стали теоретичні положення, роботи вчених, дослідження фахівців з питань забезпечення інформації.

Методологічною основою курсової роботи став системний підхід до дослідження проблеми безпеки.

Використані логічний, порівняльно-правовий, системний аналіз. Крім того, використаний метод структурного аналізу дозволяє з необхідною ретельністю вивчити окремі компоненти явища, що вивчається, і провести аналіз співвідношення цих елементів один з одним, а також із загальним цілим.

1. Теоретичні аспекти захисту персональних даних у банківських он-лайн системах

1.1 Підходи, принципи забезпечення безпеки

Під забезпеченням безпеки інформаційних систем розуміють заходи, що оберігають інформаційну систему від випадкового чи навмисного втручання у режими її функціонування.

Існує два важливі підходи до забезпечення комп'ютерної безпеки.

Перший - фрагментарний, у його рамках відбувається орієнтація на протидію суворо певним загрозам за певних умов (наприклад, спеціалізовані антивірусні засоби, автономні засоби шифрування і т.д.). У підходу є як переваги - які передбачають високий рівень вибірковості у частині суворо певної проблеми, і недоліки - які передбачають фрагментарність захисту - тобто. суворо певних елементів.

Процес управління захистом інформації включає компоненти, представлені на рис. 1.

Другий підхід - системний, його особливістю є те, що в його рамках до захисту інформації ставляться більш масштабно - створюється захищене середовище обробки, зберігання та передачі інформації, що поєднує різнорідні методи та засоби протидії загрозам: програмно-технічні, правові, організаційно-економічні. За допомогою захищеного середовища можна гарантувати певний рівень безпеки автоматизованої інформаційної системи.

Системний підхід до захисту базується на таких методологічних принципах:

кінцевої мети – абсолютного пріоритету кінцевої (глобальної) мети;

єдності - спільного розгляду системи як "цілого" і як сукупності елементів (елементів);

зв'язності - розгляду будь-якої частини системи разом із її зв'язками з оточенням;

модульної побудови - виділення модулів у системі та розгляду її як сукупності модулів;

ієрархії - запровадження ієрархії частин (елементів) та його ранжирування;

функціональності - спільного розгляду структури та функції з пріоритетом функції над структурою;

розвитку - обліку змінності системи, її здатність до розвитку, розширення, заміни елементів, накопичення інформації;

децентралізації - поєднання у прийнятих рішеннях та управлінні централізації та децентралізації;

невизначеності - обліку невизначеностей та випадковостей у системі.

Сучасні дослідники виділяють такі методологічні,

організаційні та реалізаційні засади інформаційної (у тому числі комп'ютерної) безпеки.

Принцип законності. Перебуває у дотриманні чинного законодавства у сфері забезпечення інформаційної безпеки.

Принцип невизначеності. Виникає внаслідок неясності поведінки суб'єкта, тобто. хто, коли, де і як може порушити безпеку об'єкта захисту.

Принцип неможливості створення бездоганної системи захисту. Випливає із принципу невизначеності та обмеженості ресурсів зазначених коштів.

Принципи мінімального ризику та мінімальної шкоди. Випливають із неможливості створення ідеальної системи захисту. Відповідно до нього необхідно враховувати конкретні умови існування об'єкта захисту для будь-якого моменту часу.

Принцип безпечного времени.Предполагает облік абсолютного часу, тобто. протягом якого необхідне збереження об'єктів захисту; та відносного часу, тобто. проміжок часу від моменту виявлення зловмисних дій до досягнення мети зловмисником.

Принцип «захисту всіх від усіх». Передбачає організацію захисних заходів проти всіх форм загроз об'єктам захисту, що є наслідком принципу невизначеності.

Принципи персональної ответственности. Передбачає персональну відповідальність кожного співробітника підприємства, установи та організації за дотримання режиму безпеки у межах своїх повноважень, функціональних обов'язків та чинних інструкцій.

Принцип обмеження повноважень. Передбачає обмеження повноважень суб'єкта на ознайомлення з інформацією, до якої не потрібний доступ для нормального виконання ним своїх функціональних обов'язків, а також запровадження заборони доступу до об'єктів та зон, перебування в яких не потрібне за родом діяльності.

Принцип взаємодії та співпраці. У внутрішньому прояві передбачає культивування довірчих відносин між співробітниками, відповідальними за безпеку (зокрема інформаційну), та персоналом. У зовнішньому прояві – налагодження співпраці з усіма зацікавленими організаціями та особами (наприклад, правоохоронними органами).

Принцип комплексності та індивідуальності. Має на увазі неможливість забезпечення безпеки об'єкта захисту будь-яким одним заходом, а лише сукупністю комплексних, взаємопов'язаних та дублюючих один одного заходів, що реалізуються з індивідуальною прив'язкою до конкретних умов.

Принцип послідовних рубежів безпеки. Передбачає якомога більш раннє сповіщення про зазіхання на безпеку того чи іншого об'єкта захисту або іншу несприятливу подію з метою збільшення ймовірності того, що завчасний сигнал тривоги засобів захисту забезпечить співробітникам, відповідальним за безпеку, можливість. організувати ефективні заходи щодо протидії.

Принципи рівноміцності та рівнопотужності рубежів захисту. Рівноміцність має на увазі відсутність незахищених ділянок у межах захисту. Рівнопотужність передбачає відносно однакову величину захищеності рубежів захисту відповідно до рівня загроз об'єкту захисту.

Методами забезпечення захисту інформації для підприємства є такі:

Перешкода - метод фізичного перегородження шляху зловмиснику до інформації, що захищається (до апаратури, носіїв інформації тощо).

Управління доступом – метод захисту інформації регулюванням використання всіх ресурсів автоматизованої інформаційної системи підприємства. Управління доступом включає такі функції захисту:

ідентифікацію користувачів, персоналу та ресурсів інформаційної системи (присвоєння кожному об'єкту персонального ідентифікатора);

автентифікацію (встановлення справжності) об'єкта або суб'єкта за пред'явленим ним ідентифікатором;

перевірку повноважень (перевірка відповідності дня тижня, часу доби, запитуваних ресурсів та процедур встановленого регламенту);

реєстрацію звернень до ресурсів, що захищаються;

реагування (сигналізація, відключення, затримка робіт, відмова у запиті під час спроб несанкціонованих дій).

Маскування – метод захисту інформації в автоматизованій інформаційній системі підприємства шляхом її криптографічного закриття.

Регламентація - спосіб захисту, що створює такі умови автоматизованої обробки, зберігання та передачі, у яких можливість несанкціонованого доступу до неї зводилася до мінімуму.

Примус - метод захисту інформації, при якому користувачі та персонал системи змушені дотримуватися правил обробки, передачі та використання інформації, що захищається під загрозою матеріальної, адміністративної та кримінальної відповідальності.

Мотивація - спосіб захисту інформації, який спонукає користувачів і персонал системи не порушувати встановлені правила за рахунок дотримання моральних та етичних норм, що склалися.

Зазначені вище методи забезпечення інформаційної безпеки реалізуються за допомогою таких основних засобів: фізичних, апаратних, програмних, апаратно-програмних, криптографічних, організаційних, законодавчих та морально-етичних.

Фізичні засоби захисту призначені для зовнішньої охорони території об'єктів, захисту компонентів автоматизованої інформаційної системи підприємства та реалізуються у вигляді автономних пристроїв та систем.

Апаратні засоби захисту - це електронні, електромеханічні та інші пристрої, які безпосередньо вбудовані в блоки автоматизованої інформаційної системи або оформлені у вигляді самостійних пристроїв і сполучаються з цими блоками. Вони призначені для внутрішнього захисту структурних елементів засобів та систем обчислювальної техніки: терміналів, процесорів, периферійного обладнання, ліній зв'язку тощо.

Програмні засоби захисту призначені для виконання логічних та інтелектуальних функцій захисту та включаються або до складу програмного забезпечення автоматизованої інформаційної системи, або до складу засобів, комплексів та систем апаратури контролю.

Програмні засоби захисту є найбільш поширеним видом захисту, володіючи такими позитивними властивостями: універсальністю, гнучкістю, простотою реалізації, можливістю зміни та розвитку. Ця обставина робить їх одночасно і найуразливішими елементами захисту інформаційної системи підприємства.

Апаратно-програмні засоби захисту - засоби, у яких програмні (мікропрограмні) та апаратні частини повністю взаємопов'язані та нероздільні.

Криптографічні засоби – засоби захисту за допомогою перетворення інформації (шифрування).

Організаційні засоби - організаційно-технічні та організаційно-правові заходи щодо регламентації поведінки персоналу.

Законодавчі засоби - правові акти країни, що регламентують правила використання, обробки та передачі інформації обмеженого доступу та які встановлюють заходи відповідальності за порушення цих правил.

Морально-етичні засоби - норми, традиції у суспільстві, наприклад: Кодекс професійної поведінки членів Асоціації користувачів ЕОМ у США.

1.2 Методи та засоби забезпечення безпеки

Для реалізації заходів безпеки використовуються різні механізми шифрування. Для чого використовуються ці методи? Спочатку, під час відправлення даних (тексту, мовлення чи малюнка) вони незахищені, чи, як називають фахівці - відкриті. Відкриті дані легко можуть перехопити інші користувачі (навмисне або не умшленно). Якщо є мета не допустити влучення певної інформації стороннім особам, такі дані шифрують. Користувач, якому призначається зазначена інформація, потім дишифрує його, використовуючи зворотне перетворення криптограми, отримуючи дані в потрібному йому вигляді.

Шифрування буває симетричне (використовується один секретний ключ для шифрування) і асиметричне (використовується один загальнодоступний ключ для шифрування, а для дешифрування - інший, не взаємопов'язані - тобто при знанні одного з них, не можна визначити інший).

Механізмами безпеки є такі:

) Механізми цифрового електронного підпису засновані на алгоритмах асиметричного шифрування і включають дві процедури: формування підпису відправником та його розпізнавання одержувачем. Формування підпису відправником забезпечує шифрування блоку даних чи його доповнення криптографічної, контрольної сумою, й у обох випадках використовується секретний ключ відправника. Для пізнання використовується загальнодоступний ключ.

) Механізми контролю доступу здійснюють перевірку повноважень програм та користувачів на доступ до ресурсів мережі. При доступі до ресурсу через з'єднання контроль виконується як у точці ініціації, так і в проміжних точках, а також кінцевій точці.

) Механізми забезпечення цілісності даних застосовуються до окремого блоку та до потоку даних. Відправник доповнює переданий блок криптографічної сумою, а одержувач порівнює її з криптографічним значенням, що відповідає прийнятому блоку. Розбіжність свідчить про спотворення інформації у блоці.

) Механізми постановки трафіку. Грунтуються на генерації об'єктами АІС блоків, їх шифруванні та організації передачі каналами мережі. Тим самим нейтралізується можливість отримання інформації за допомогою спостереження за зовнішніми характеристиками потоків, що циркулюють каналами зв'язку.

) Механізми управління маршрутизацією забезпечують вибір маршрутів руху інформації комунікаційної мережі в такий спосіб, щоб унеможливити передачу секретних відомостей небезпечними фізично ненадійним каналам.

) Механізми арбітражу забезпечують підтвердження характеристик даних, які передаються між об'єктами, третьою стороною. Для цього інформація, що надсилається або одержується об'єктами, проходить через арбітра, що дозволяє згодом підтверджувати згадані характеристики.

Основними недоліками системи безпеки економічних об'єктів є:

-вузьке, несистемне розуміння проблеми безпеки об'єкта;

-нехтування профілактикою загроз, робота за принципом «З'явилася загроза – починаємо її усувати»;

-некомпетентність в економіці безпеки, невміння зіставляти витрати та результати;

-«технократизм» керівництва та спеціалістів служби безпеки, інтерпретація всіх завдань мовою знайомої їм області.

Як висновок у першому розділі роботи визначимо таке. Забезпеченням безпеки інформаційних систем називають певні заходи, з яких оберігають інформаційну систему від випадкового чи навмисного втручання у режими її функціонування. Для забезпечення безпеки передбачено два основні підходи: 1) фрагментарний, у межах якого здійснюється протидія певним загрозам за певних умов; і 2) системний, в рамках якого створюється захищене середовище обробки, зберігання та передачі інформації, що поєднує різного роду методи та засоби протидії загрозам. Для захисту інформації застосовуються різні засоби та механізми. До засобів віднесемо: шифрування, цифровий електронний запис, контроль доступу, постановку трафіку та ін.

банківський онлайн система безпека

2. Особливості забезпечення безпеки персональних даних у банківських он-лайн системах

2.1. Загальні умови забезпечення безпеки персональних даних у банківських он-лайн системах

Захист персональної інформації - це стан захищеності інформації та інфраструктури, що підтримує її (комп'ютерів, ліній зв'язку, систем електроживлення тощо) від випадкових або навмисних впливів, що можуть завдати шкоди власникам або користувачам цієї інформації.

Також під інформаційною безпекою облікових даних розуміють: забезпечену надійність роботи комп'ютера; збереження цінних облікових даних; захист персональної інформації від внесення до неї змін неуповноваженими особами;

Об'єктами інформаційної безпеки в обліку є інформаційні ресурси, що містять відомості, віднесені до комерційної таємниці, та конфіденційну інформацію; а також засоби та системи інформатизації.

Власник інформаційних ресурсів, інформаційних систем, технологій та засобів їх забезпечення - це суб'єкт, який здійснює володіння та користування зазначеними об'єктами та реалізує повноваження розпорядження в межах, встановлених законом.

Користувач інформації - це суб'єкт, що звертається до інформаційної системи або посередника за отриманням необхідної інформації і користується нею.

Інформаційні ресурси - це окремі документи та окремі масиви документів, документи та масиви документів в інформаційних системах.

Загроза інформаційної безпеки полягає в потенційно можливій дії, яка за допомогою впливу на компоненти персональної системи може призвести до шкоди власникам інформаційних ресурсів або користувачам системи.

Правовий режим інформаційних ресурсів визначається нормами, що встановлюють:

порядок документування інформації;

право власності на окремі документи та окремі масиви

документів, документи та масиви документів в інформаційних системах; категорію інформації щодо рівня доступу до неї; порядок правового захисту.

Основний принцип, що порушується під час реалізації інформаційної загрози у бухгалтерському обліку, - це принцип документування інформації. Обліковий документ, отриманий з автоматизованої інформаційної системи обліку, набуває юридичної чинності після його підписання посадовцем у порядку, встановленому законодавством РФ.

Все безліч потенційних загроз в обліку за своєю природою виникнення можна розділити на два класи: природні (об'єктивні) і штучні.

Природні загрози викликаються об'єктивними причинами, зазвичай, які залежать від бухгалтера, які ведуть повного чи часткового знищення бухгалтерії разом із її компонентами. До таких стихійних явищ належать: землетруси, удари блискавкою, пожежі тощо.

Штучні загрози пов'язані з діяльністю людей. Їх можна розділити на ненавмисні (ненавмисні), викликані здатністю співробітників робити будь-які помилки через неуважність, або втому, хворобливого стану тощо. Наприклад, бухгалтер під час введення відомостей у комп'ютер може натиснути ту клавішу, зробити ненавмисні помилки у програмі, занести вірус, випадково розголосити паролі.

Умисні (навмисні) небезпеки пов'язані з корисливими устремліннями людей - зловмисників, які навмисно створюють недостовірні документи.

Загрози безпеки з погляду їхньої спрямованості можна поділити на такі групи:

загрози проникнення та зчитування даних з баз облікових даних та комп'ютерних програм їх обробки;

загрози збереження облікових даних, що призводять або їх знищення, або зміни, зокрема фальсифікація платіжних документів (платіжних вимог, доручень тощо.);

загрози доступності даних, що виникають, коли користувач не може отримати доступ до облікових даних;

загроза відмови від виконання операцій, коли один користувач передає повідомлення іншому, а потім не підтверджує надіслані дані.

Інформаційні процеси - процеси збирання, обробки, накопичення, зберігання, пошуку та поширення інформації.

Інформаційна система - організаційно-упорядкована сукупність документів (масивів документів та інформаційних технологій, у тому числі з використанням засобів обчислювальної техніки та зв'язку, що реалізують інформаційні процеси).

Документування інформації здійснюється у порядку, встановленому органами державної влади, відповідальними за організацію діловодства, стандартизацію документів та їх масивів, безпеку Російської Федерації.

Залежно від джерела загроз їх можна поділити на внутрішні та зовнішні.

Джерелом внутрішніх загроз є діяльність персоналу організації. Зовнішні загрози приходять ззовні від співробітників інших організацій, хакерів та інших осіб.

Зовнішні загрози можна поділити на:

локальні, які передбачають проникнення порушника на територію організації та отримання ним доступу до окремого комп'ютера чи локальної мережі;

віддалені загрози притаманні систем, підключених до глобальних мереж (Internet, система міжнародних розрахунків SWIFT та інших.).

Такі небезпеки виникають найчастіше у системі електронних платежів при розрахунках постачальників із покупцями, використання у розрахунках мереж Internet. Джерела таких інформаційних атак можуть бути за тисячі кілометрів. Причому впливають як ЕОМ, а й бухгалтерська інформація.

Умисними та ненавмисними помилками в обліку, що призводять до збільшення облікового ризику, є: помилки у записі облікових даних; неправильні коди; несанкціоновані облікові операції; порушення контрольних лімітів; пропущені облікові записи; помилки при обробці чи виведенні даних; помилки при формуванні чи коригуванні довідників; неповні облікові записи; неправильне віднесення записів за періодами; фальсифікація даних; порушення вимог нормативних актів; порушення засад персональної політики; невідповідність якості послуг потребам користувачів.

Особливу небезпеку становлять відомості, що становлять комерційну таємницю та стосуються персональної та звітної інформації (дані про партнерів, клієнтів, банки, аналітичну інформацію про діяльність на ринку). Щоб ця та аналогічна інформація була захищена, необхідно оформити договори зі співробітниками бухгалтерії, фінансових служб та інших економічних підрозділів із зазначенням переліку відомостей, що не підлягають розголошенню.

Захист інформації в автоматизованих облікових системах будується з наступних основних принципів.

Забезпечення фізичного поділу областей, призначених для обробки секретної та несекретної інформації.

Забезпечення криптографічного захисту інформації. Забезпечення аутентифікації абонентів та абонентських установок. Забезпечення розмежування доступу суб'єктів та їх процесів до інформації. Забезпечення встановлення справжності та цілісності документальних повідомлень під час їх передачі каналами зв'язку.

Забезпечення захисту обладнання та технічних засобів системи, приміщень, де вони розміщуються, від витоку конфіденційної інформації з технічних каналів.

Забезпечення захисту шифротехніки, обладнання, технічних та програмних засобів від витоку інформації за рахунок апаратних та програмних закладок.

Забезпечення контролю за цілісністю програмної та інформаційної частини автоматизованої системи.

Використання як механізми захисту тільки вітчизняних

Державні інформаційні ресурси Російської Федерації є відкритими та загальнодоступними. Винятком є ​​документована інформація, віднесена законом до категорії обмеженого доступу. Документована інформація з обмеженим доступом за умовами її правового режиму поділяється на інформацію, віднесену до державної таємниці та конфіденційну. Перелік відомостей конфіденційного характеру, зокрема відомостей, що з комерційної діяльністю, встановлено Указом президента Російської Федерації від 6 березня 1997 р. № 188 (додаток №) разработок.

Забезпечення організаційно-режимних заходів захисту. Доцільно використання та додаткових заходів щодо забезпечення безпеки зв'язку в системі.

Організація захисту відомостей про інтенсивність, тривалість та трафік обміну інформації.

Використання для передачі та обробки інформації каналів та способів, що ускладнюють перехоплення.

Захист інформації від несанкціонованого доступу спрямовано формування у інформації, що захищається трьох основних властивостей:

конфіденційність (засекречена інформація має бути доступна лише тому, кому вона призначена);

цілісність (інформація, на основі якої приймаються важливі рішення, має бути достовірною, точною та повністю захищеною від можливих ненавмисних та зловмисних спотворень);

готовність (інформація та відповідні інформаційні служби мають бути доступні, готові до обслуговування зацікавлених осіб завжди, коли в них виникає потреба).

p align="justify"> Методами забезпечення захисту персональної інформації є: перешкоди; управління доступом, маскування, регламентація, примус, спонукання.

Перешкодою слід вважати метод фізичного перегородження шляху зловмисника до персональної інформації, що захищається. Цей метод реалізується пропускною системою підприємства, включаючи наявність охорони на вході до нього, запобігання шляху сторонніх осіб у бухгалтерію, касу та ін.

Управлінням доступом є метод захисту персональної та звітної інформації, що реалізується за рахунок:

автентифікації - встановлення справжності об'єкта або суб'єкта за пред'явленим ним ідентифікатором (здійснюється шляхом зіставлення введеного ідентифікатора з комп'ютера, що зберігається в пам'яті);

перевірки повноважень - перевірки відповідності запитуваних ресурсів та виконуваних операцій з виділених ресурсів та дозволених процедур; реєстрації звернень до ресурсів, що захищаються;

інформування та реагування при спробах несанкціонованих дій. (Криптографія – спосіб захисту за допомогою перетворення інформації (шифрування)).

У комплексі БЕСТ-4 розмежування доступу інформації проводиться на рівні окремих підсистем і забезпечується шляхом завдання роздільних паролів доступу. При початковому налаштуванні або в будь-який момент роботи з програмою адміністратор системи може встановити або змінити один або кілька паролів. Пароль запитується під час кожного входу в підсистему.

Крім цього, у деяких модулях передбачена своя система розмежування доступу до інформації. Вона забезпечує можливість захисту спеціальними паролями кожного пункту меню. Паролями можна також захистити доступ до окремих підмножин первинних документів: так, в АРМ «Облік запасів на складі» та «Облік товарів та продукції» є можливість задавати паролі доступу до кожного складу окремо, в АРМ «Облік касових операцій» - паролі доступу до кожній касі, в АРМ «Облік розрахунків із банком» - паролі доступу до кожного банківського рахунку.

Особливо слід зазначити ту обставину, що для ефективного розмежування доступу до інформації необхідно насамперед захистити паролями самі режими визначення паролів доступу до тих чи інших блоків.

В 1С.Підприємство, версія 7.7 існує свій захист інформації - права доступу. З метою інтеграції та поділу доступу користувачів до інформації при роботі з системою 1С. системою. Права можуть бути задані в досить широких межах - від можливості перегляду деяких видів документів до повного набору прав щодо введення, перегляду, коригування та видалення будь-яких видів даних.

Призначення користувачеві прав доступу провадиться у 2 етапи. На першому етапі створюються типові набори прав для роботи з інформацією, що відрізняються, як правило, широтою можливостей доступу. З другого краю етапі користувачеві ставиться у відповідність одне із таких типових наборів прав.

Вся робота зі створення типових наборів прав проводиться на закладці "Права" вікна "Конфігурація". Це вікно викликається на екран вибором пункту "відкрити конфігурацію" з меню "Конфігурація" головного меню програми

2.2 Комплекс заходів забезпечення безпеки персональних даних у банківських он-лайн системах

Обґрунтування комплексу заходів щодо забезпечення безпеки ПДН в ІСПДн проводиться з урахуванням результатів оцінки небезпеки загроз та визначення класу ІСПДн на основі «Основних заходів щодо організації та технічного забезпечення безпеки персональних даних, що обробляються в інформаційних системах персональних даних».

При цьому мають бути визначені заходи щодо:

виявлення та закриття технічних каналів витоку ПДн в ІСПДн;

захист ПДН від несанкціонованого доступу та неправомірних дій;

встановлення, налаштування та застосування засобів захисту.

Заходи з виявлення та закриття технічних каналів витоку ПДН в ІСПДн формулюються на основі аналізу та оцінки загроз безпеки ПДН.

Заходи захисту ПДН при їх обробці в ІСПДн від несанкціонованого доступу та неправомірних дій включають:

керування доступом;

реєстрацію та облік;

забезпечення цілісності;

контроль за відсутністю недекларованих можливостей;

антивірусний захист;

забезпечення безпечної міжмережевої взаємодії ІСПДН;

аналіз захищеності;

виявлення вторгнень.

Підсистему управління доступом, реєстрації та обліку рекомендується реалізовувати на основі програмних засобів блокування несанкціонованих дій, сигналізації та реєстрації. Це спеціальні, що не входять до ядра будь-якої операційної системи програмні та програмно-апаратні засоби захисту самих операційних систем, електронних баз ПДН та прикладних програм. Вони виконують функції захисту самостійно або в комплексі з іншими засобами захисту та спрямовані на виключення або утруднення виконання небезпечних для ІСПД дій користувача або порушника. До них відносяться спеціальні утиліти та програмні комплекси захисту, у яких реалізуються функції діагностики, реєстрації, знищення, сигналізації та імітації.

Засоби діагностики здійснюють тестування файлової системи та баз ПДН, постійний збір інформації про функціонування елементів підсистеми забезпечення безпеки інформації.

Засоби знищення призначені для знищення залишкових даних та можуть передбачати аварійне знищення даних у разі загрози НДД, яка не може бути блокована системою.

Засоби сигналізації призначені для попередження операторів при їх зверненні до ПДН, що захищаються, і для попередження адміністратора при виявленні факту НСД до ПДн та інших фактів порушення штатного режиму функціонування ІСПДн.

Засоби імітації моделюють роботу з порушниками при виявленні спроби НСД до ПДн або програмних засобів, що захищаються. Імітація дозволяє збільшити час на визначення місця і характеру НСД, що особливо важливо в територіально розподілених мережах, і дезінформувати порушника про місцезнаходження ПДН, що захищаються.

Підсистема забезпечення цілісності реалізується переважно операційними системами та системами управління базами даних. Засоби підвищення достовірності та забезпечення цілісності переданих даних та надійності транзакцій, що вбудовуються в операційні системи та системи управління базами даних, засновані на розрахунку контрольних сум, повідомленні про збій у передачі пакета повідомлення, повторі передачі не прийнятого пакета.

Підсистема контролю відсутності недекларованих можливостей реалізується здебільшого з урахуванням систем управління базами даних, засобів захисту, антивірусних засобів захисту.

Для забезпечення безпеки ПДН та програмно-апаратного середовища ІСПДн, що здійснює обробку цієї інформації, рекомендується застосовувати спеціальні засоби антивірусного захисту, що виконують:

виявлення та (або) блокування деструктивних вірусних впливів на загальносистемне та прикладне програмне забезпечення, що реалізує обробку ПДН, а також на ПДН;

виявлення та видалення невідомих вірусів;

забезпечення самоконтролю (запобігання інфікуванню) даного антивірусного засобу при його запуску.

При виборі засобів антивірусного захисту доцільно враховувати такі фактори:

сумісність зазначених коштів зі штатним програмним забезпеченням ІСПДН;

ступінь зниження продуктивності функціонування ІСПДН за основним призначенням;

наявність засобів централізованого управління функціонуванням засобів антивірусного захисту з робочого місця адміністратора безпеки інформації в ІСПДН;

можливість оперативного оповіщення адміністратора безпеки інформації в ІСПДн про всі події та факти прояву програмно-математичних впливів (ПМВ);

наявність детальної документації з експлуатації засобу антивірусного захисту;

можливість здійснення періодичного тестування або самотестування засобу антивірусного захисту;

можливість нарощування складу засобів захисту від ПМВ новими додатковими засобами без істотних обмежень працездатності ІСПДН та «конфлікту» з іншими типами засобів захисту.

Опис порядку встановлення, налаштування, конфігурування та адміністрування засобів антивірусного захисту, а також порядку дій у разі виявлення факту вірусної атаки або інших порушень вимог щодо захисту від програмно-математичних впливів мають бути включені до керівництва адміністратора безпеки інформації в ІСПДН.

Для здійснення розмежування доступу до ресурсів ІСПДн при міжмережевій взаємодії застосовується міжмережеве екранування, яке реалізується програмними та програмно-апаратними міжмережевими екранами (МЕ). Міжмережевий екран встановлюється між мережею, що називається внутрішньою, і зовнішньою мережею. Міжмережевий екран входить до складу мережі, що захищається. Для нього шляхом налаштувань окремо задаються правила, що обмежують доступ із внутрішньої мережі у зовнішню і навпаки.

Для забезпечення безпечної міжмережевої взаємодії в ІСПДн 3 та 4 класів рекомендується використовувати МЕ не нижче за п'ятий рівень захищеності.

Для забезпечення безпечної міжмережевої взаємодії в ІСПДн 2 класу рекомендується використовувати МЕ не нижче за четвертий рівень захищеності.

Для забезпечення безпечної міжмережевої взаємодії в ІСПДн 1 класу рекомендується використовувати МЕ не нижче за третій рівень захищеності.

Підсистема аналізу захищеності реалізується на основі використання засобів тестування (аналізу захищеності) та контролю (аудиту) безпеки інформації.

Засоби аналізу захищеності застосовуються з метою контролю налаштувань захисту операційних систем на робочих станціях та серверах та дозволяють оцінити можливість проведення порушниками атак на мережеве обладнання, контролюють безпеку програмного забезпечення. Для цього вони досліджують топологію мережі, шукають незахищені або несанкціоновані підключення до мережі, перевіряють налаштування міжмережевих екранів. Подібний аналіз проводиться на підставі детальних описів уразливостей настройок засобів захисту (наприклад, комутаторів, маршрутизаторів, міжмережевих екранів) або вразливостей операційних систем або прикладного програмного забезпечення. Результатом роботи засобу аналізу захищеності є звіт, у якому узагальнюються відомості про виявлені вразливості.

Засоби виявлення вразливостей можуть функціонувати на мережному рівні (у цьому випадку вони називаються network-based), рівні операційної системи (host-based) і рівні програми (application-based). Застосовуючи скануюче програмне забезпечення, можна швидко скласти карту всіх доступних вузлів ІСПДн, виявити сервіси та протоколи, що використовуються на кожному з них, визначити їх основні налаштування і зробити припущення щодо ймовірності реалізації НСД.

За результатами сканування системи виробляють рекомендації та заходи, що дозволяють усунути виявлені недоліки.

В інтересах виявлення загроз СПР за рахунок міжмережевої взаємодії застосовуються системи виявлення вторгнень. Такі системи будуються з урахуванням особливостей реалізації атак, етапів їх розвитку та засновані на цілій низці методів виявлення атак.

Виділяють три групи методів виявлення атак:

сигнатурні методи;

методи виявлення аномалій;

комбіновані методи (що використовують спільно алгоритми, визначені в сигнатурних методах та методах виявлення аномалій).

Для виявлення вторгнень ІСПДн 3 і 4 класів рекомендується використовувати системи виявлення мережевих атак, що використовують сигнатурні методи аналізу.

Для виявлення вторгнень в ІСПДн 1 і 2 класів рекомендується використовувати системи виявлення мережевих атак, що використовують поряд із сигнатурними методами аналізу методи виявлення аномалій.

Для захисту ПДН від витоку технічних каналів застосовуються організаційні та технічні заходи, спрямовані на виключення витоку акустичної (мовленнєвої), видової інформації, а також витоку інформації за рахунок побічних електромагнітних випромінювань та наведень.

Як висновок з другого розділу роботи робимо такі висновки. Захистом персональної інформації є стан захищеності інформації та інфраструктури, що її підтримує, від випадкових або навмисних впливів природного або штучного характеру, що можуть завдати шкоди власникам або користувачам цієї інформації. Об'єктами інформаційної безпеки в обліку визначені: інформаційні ресурси, що містять відомості та системи інформатизації. Основні методи, що використовуються в рамках захисту є: що виявляють і безпосередньо захищають.

ВИСНОВОК

Проблема інформаційної безпеки економічних об'єктів багатоаспектна і потребує подальшого опрацювання.

У світі інформатизація стає стратегічним національним ресурсом, однією з основних багатств економічно розвиненого держави. Швидке вдосконалення інформатизації в Росії, проникнення її у всі сфери життєво важливих інтересів особистості, суспільства і держави спричинили безперечні переваги і появу низки істотних проблем. Однією з них стала необхідність захисту інформації. З огляду на, що у час економічний потенціал дедалі більше визначається рівнем розвитку інформаційної інфраструктури, пропорційно зростає потенційна вразливість економіки стосовно інформаційним впливам.

Реалізація загроз інформаційної безпеки полягає у порушенні конфіденційності, цілісності та доступності інформації. З позицій системного підходу до захисту інформації необхідно використовувати весь арсенал наявних засобів захисту у всіх структурних елементах економічного об'єкта та на всіх етапах технологічного циклу обробки інформації. Методи та засоби захисту повинні надійно перекривати можливі шляхи неправомірного доступу до секретів, що охороняються. Ефективність інформаційної безпеки означає, що витрати на її здійснення не повинні бути більшими за можливі втрати від реалізації інформаційних загроз. Планування безпеки інформації здійснюється шляхом розробки кожної служби детальних планів захисту інформації. Необхідна чіткість у здійсненні повноважень і прав користувачів на доступ до певних видів інформації, забезпечення контролю засобів захисту і негайного реагування на їх вихід з ладу.

СПИСОК ЛІТЕРАТУРИ

1.Автоматизовані інформаційні технології у банківській діяльності / за ред. проф. Г.А. Титоренко. - М: Фінстатінформ, 2007

2.Автоматизовані інформаційні технології економіки/ Під ред. проф. Г.А. Титоренко. - М: ЮНІТІ, 2010

.Агєєв А. С. Організація та сучасні методи захисту інформації. - М: Концерн "Банк. Діловий Центр", 2009

.Аджиєв, В. Міфи про безпеку програмного забезпечення: уроки знаменитих катастроф. - Відкриті системи, 199. №6

.Алексєєв, В.І. Інформаційна безпека муніципальних утворень. – Воронеж: Вид-во ВДТУ, 2008.

.Алексєєв, В.М. Міжнародні критерії оцінки безпеки інформаційних технологій та їх практичне застосування: Навчальний посібник. - Пенза: Вид-во Пенз. держ. ун-ту, 2002

.Алексєєв, В.М. Нормативне забезпечення захисту від несанкціонованого доступу. - Пенза: Вид-во Пенз. держ. ун-ту, 2007

.Алексєєв, В.М. Забезпечення інформаційної безпеки розробки програмних засобів. - Пенза: Вид-во Пенз. держ. ун-ту, 2008

.Альошин, Л.І. Захист інформації та інформаційна безпека: Курс лекцій Л. І. Альошин; Моск. держ. ун-т культури. - М: Моск. держ. ун-т культури, 2010

.Ахраменка, Н.Ф. та ін Злочин і покарання у платіжній системі з електронними документами// Управління захистом інформації, 1998

.Банки та банківські операції. Підручник/За ред. Є.Ф. Жукова. - М.: Банки та біржі, ЮНІТІ, 2008

.Барсуков, В.С. Безпека: технології, засоби, послуги. - М: Кудіц - Образ, 2007

.Батурін, Ю.М. Проблеми комп'ютерного права. - М: Юрид. літ., 1991

.Батурін, Ю.М. Комп'ютерна злочинність та комп'ютерна безпека. М: Юр.літ., 2009

.Безруков, Н.М. Введення у комп'ютерну вірусологію. Загальні принципи функціонування, класифікація та каталог найпоширеніших вірусів у М5-005. К., 2005

.Биков, В.А. Електронний бізнес та безпека / В. А. Биков. - М: Радіо і зв'язок, 2000

.Варфоломєєв, А.А. Інформаційна безпека. Математичні засади криптології. Ч. 1. - М: МІФІ, 1995

.Вєхов, В.Б. Комп'ютерні злочини: Способи вчинення та розкриття. - М: Право і Закон, 1996

.Волобуєв, С.В. Введення у інформаційну безпеку. - Обнінськ: Обн. ін-т атом.енергетики, 2001

.Волобуєв, С.В. Інформаційна безпека автоматизованих систем. - Обнінськ: Обн. ін-т атом.енергетики, 2001

.Всеросійська науково-практична конференція "Інформаційна безпека у системі вищої школи", 28-29 лист. 2000 р., НДТУ, Новосибірськ, Росія: ІБВШ 2000. - Новосибірськ, 2001

23.Галатенко, В.А. Інформаційна безпека: практичний підхід В. А. Галатенка; За ред. В. Б. Бетеліна; Ріс. акад. наук, Наук.-дослід. ін-т систем. дослідж. - М: Наука, 1998

.Галатенко, В.А. Основи інформаційної безпеки: Курс лекцій. - М: Інтернет-Ун-т інформ. технологій, 2003

.Геннадієва, Є.Г. Теоретичні основи інформатики та інформаційна безпека. - М: Радіо і зв'язок, 2000

.Гіка, СебастіанНарчіс. Приховування інформації у графічних файлах формату ВМР Дис. ... канд. техн. наук: 05.13.19 – СПб., 2001

.Гіка, С.М. Приховування інформації у графічних файлах формату ВМР: Автореф. дис. ... канд. техн. наук: 05.13.19 С.-Петерб. держ. ін-т точ. механіки та оптики. – СПб., 2001

.Голубєв, В.В. Управління безпекою. - С-Петербург: Пітер, 2004

.Горбатов, В.С. Інформаційна безпека. Основи правового захисту. - М: МІФІ(ТУ), 1995

.Горлова, І.І., ред. Інформаційна свобода та інформаційна безпека: Матеріали міжнар. наук. конф., Краснодар, 30-31 жовт. 2001 р. - Краснодар, 2001

.Грінсберг, А.С. та ін Захист інформаційних ресурсів державного управління. - М: ЮНІТІ, 2003

.Інформаційна безпека Росії за умов глобального інформаційного суспільства "ІНФОФОРУМ-5": Зб. матеріалів 5-й Всерос. конф., Москва, 4-5 лют. 2003 - М.: ТОВ Ред. журн. Бізнес та Безпека Росії, 2003

.Інформаційна безпека: Зб. метод. матеріалів М-во освіти Ріс. Федерації [та ін]. - М: ЦНІІАТОМІНФОРМ, 2003

34.Інформаційні технології // Економіка життя й. №25, 2001

35.Інформаційні технології у маркетингу: Підручник для вузів.- М.: 2003

.Інформаційні технології в економіці та управлінні: Підручник / Козирєв А.А. - М.: Вид-во Михайлова В.А., 2005

.Лопатін, В.М. Інформаційна безпека Росії Дис. ... д-ра юрид. наук: 12.00.01

.Лукашин, В.І. Інформаційна безпека. - М: Моск. держ. ун-т економіки, статистики та інформатики

.Лучин, І.М., Желдаков А.А., Кузнєцов Н.А. Зламування парольного захисту // Інформатизація правоохоронних систем. М., 1996

.МакКлар, Стюарт. Хакінг у Web. Атаки та захист Стюарт Мак-Клар, Сауміл Шах, Шрірай Шах. - М: Вільямс, 2003

.Малюк, А.А. Теоретичні основи формалізації прогнозної оцінки рівня безпеки інформації у системах обробки даних. - М: МІФІ, 1998СПб., 2000

.Економічна ефективність систем інформаційної безпеки. Чоботар П.П. – Молдовська економічна академія, 2003

.Яковлєв, В.В. Інформаційна безпека та захист інформації у корпоративних мережах залізничного транспорту. - М., 2002

.Ярочкін, В.І. Інформаційна безпека. - М: Мир, 2003

.Ярочкін, В.І. Інформаційна безпека. - М: Фонд "Світ", 2003: Акад. Проект

.Ясенів, В.М. Автоматизовані інформаційні системи в економіці та забезпечення їхньої безпеки: Навчальний посібник. – Н.Новгород, 2002

Схожі роботи на - Захист персональних даних у банківських он-лайн системах

Марина Прохорова,редактор журналу "Персональні дані"

Наталія Самойлова,юрист компанії "ІнфоТехноПроект"

Нормативно-правова база, що склалася до теперішнього часу у сфері обробки персональних даних, документи, які ще належить прийняти для більш ефективної організації роботи із захисту персональних даних в організаціях, технічні аспекти підготовки інформаційних систем операторів персональних даних - саме ці теми останнім часом торкалися багатьох газетних та журнальних публікаціях, присвячених проблематиці персональних даних У цій статті хотілося б зупинитися на такому аспекті організації роботи банківських та кредитних установ, як "нетехнічний" захист персональних даних, що обробляються в цих організаціях.

Почнемо з конкретного прикладу

Йдеться про судовий розгляд справи про захист персональних даних, порушений щодо Ощадбанку у червні 2008 р. Суть судового розгляду зводилася до наступного. Між громадянином та банком було укладено договір поруки, відповідно до якого громадянин прийняв зобов'язання відповідати перед банком за виконання позичальником зобов'язань за кредитним договором. Останній не виконав своїх зобов'язань у встановлений кредитним договором строк, відомості про поручителя як про неблагонадійного клієнта були занесені до автоматизованої інформаційної системи банку "Стоп-лист", що, своєю чергою, стало підставою для відмови у наданні йому кредиту. При цьому банк навіть не повідомив громадянина про неналежне виконання позичальником своїх зобов'язань за кредитним договором. Крім того, у договорі поруки не було зазначено, що у разі неналежного виконання позичальником своїх зобов'язань банк має право вносити відомості про поручителя до інформаційної системи "Стоп-лист". Таким чином, банком здійснювалося опрацювання персональних даних громадянина шляхом включення відомостей про нього до інформаційної системи "Стоп-лист" без його згоди, що порушує вимоги ч. 1 ст. 9 Федерального закону № 152-ФЗ від 27 липня 2006 р. "Про персональні дані", згідно з якою суб'єкт персональних даних приймає рішення про надання своїх персональних даних і дає згоду на їх обробку своєю волею та у своєму інтересі. Крім цього, у порядку, передбаченому ч. 1 ст. 14 цього ж закону, громадянин звертався до банку з вимогою надати йому можливість ознайомлення з відомостями, занесеними про нього до інформаційної системи "Стоп-лист", а також щодо блокування цих відомостей та їх знищення. Банком було відмовлено у задоволенні вимог громадянина.

За результатами розгляду справи Ленінський районний суд м. Владивостока задовольнив позовні вимоги Управління Роскомнагляду по Приморському краю до Ощадбанку Росії про захист порушених прав громадянина та зобов'язав банк знищити відомості про громадянина з інформаційної системи "Стоп-лист".

Чим цей приклад є показовим? Банки, зберігаючи персональні дані значної кількості своїх клієнтів, не замислюючись, переміщують їх з однієї бази даних в іншу , причому найчастіше не повідомляючи про це суб'єкта персональних даних, не кажучи вже про те, щоб отримати у нього згоду на такі дії з його персональними даними. Звичайно, банківська діяльність має ряд особливостей, і часто персональні дані клієнтів використовуються не тільки для виконання укладених банком договорів, але і для здійснення контролю банку за виконанням клієнтом його зобов'язань, але це означає, що на будь-які маніпуляції з персональними даними вже потрібна згода їх суб'єкта .

Труднощі у тлумаченні положень

Чому ж не зробити будь-які операції із персональними даними законними? Безумовно, для цього, швидше за все, знадобиться залучення сторонніх фахівців, тому що навіть юристи правових управлінь великих банків є першокласними професіоналами лише у певній галузі, і зі специфікою роботи у сфері персональних даних їм доводиться знайомитись практично з нуля. Так що найкращий вихід - залучення до робіт з організації системи захисту персональних даних компаній, що спеціалізуються в галузі надання послуг з організації роботи з персональними даними, у тому числі здатних провести аудит щодо відповідності заходів нетехнічного захисту вимогам законодавця, які ви вживаєте.

Результати аналітичних досліджень дозволяють зробити висновки про те, що тлумачення яких положень Федерального закону № 152-ФЗ "Про персональні дані" викликає найбільші труднощі.

Відповідно до частини 1 статті 22 цього нормативного документа оператор зобов'язаний повідомити уповноважений орган про здійснення обробки персональних даних. Серед винятків - випадок, коли оброблювані персональні дані були отримані у зв'язку із укладанням договору, стороною якого є суб'єкт персональних даних... і використовуються оператором виключно для виконання зазначеного договору на підставі пункту 2 частини 2 статті 22 Федерального закону № 152-ФЗ "Про персональних даних. Оперуючи саме цим становищем, деякі банки не подають повідомлення про обробку персональних даних, а багато хто і не вважає себе операторами, що докорінно неправильно.

Також ще одна поширена помилка банків як операторів персональних даних, пов'язана з договором, полягає в наступному. Відповідно до ст. 6 вищезгаданого закону обробка персональних даних може здійснюватися оператором за згодою суб'єктів персональних даних за винятком випадків, серед яких здійснення обробки з метою виконання договору, однією із сторін якого є суб'єкт персональних даних. Тому багато банківських установ пояснюють відсутність у них згоди суб'єкта персональних даних саме фактом укладання такого договору.

Але давайте замислимося, хіба банк, будучи оператором, не використовує отримані під час укладання договору персональні дані суб'єкта, наприклад, для розсилки повідомлень про нові послуги, для ведення "Стоп-листів"? Отже, обробка персональних даних здійснюється у цілях виконання договору, а й інших цілях, досягнення яких представляє для банків комерційний інтерес, отже:

• банки зобов'язані подавати повідомлення про обробку персональних даних до уповноваженого органу;
• банки повинні здійснювати обробку персональних даних лише за згодою суб'єкта.

А це означає, що банки мають організувати систему роботи з персональними даними своїх клієнтів, тобто забезпечити нетехнічний захист таких даних.

Письмова згода на обробку персональних даних

Щодо згоди суб'єкта персональних даних на обробку персональних даних, то Федеральний закон № 152-ФЗ "Про персональні дані" зобов'язує операторів отримувати письмову згоду на обробку персональних даних лише у визначених законом випадках. Водночас, відповідно до ч. 3 ст. 9 обов'язок доводити отримання згоди суб'єкта на опрацювання його персональних даних покладається на оператора. Щоб при необхідності не витрачати час на збирання таких доказів (наприклад, на пошук свідків), на наш погляд, краще у будь-якому разі отримувати згоду від суб'єктів у письмовій формі.

Наведемо ще один аргумент за письмову форму обробки персональних даних. Найчастіше діяльність банків передбачає передачу даних (зокрема персональних) на територію іноземної держави. З цього приводу ч. 1 ст. 12 Федерального закону № 152-ФЗ "Про персональні дані" говорить, що до початку здійснення транскордонної передачі персональних даних оператор зобов'язаний переконатися в тому, що іноземною державою, на територію якої здійснюється передача персональних даних, забезпечується адекватний захист прав суб'єктів персональних даних. Якщо такого захисту не забезпечується, транскордонна передача персональних даних можлива лише за письмовою згодою суб'єкта персональних даних. Можна припустити, що співробітникові банку простіше отримати письмову згоду клієнта на обробку персональних даних, ніж встановлювати рівень адекватності їх захисту в іноземній державі.

Звертаємо вашу увагу на те, що відомості, які мають у письмовій згоді, перераховані в ч. 4 ст. 9 вищезгаданого Федерального закону, і цей перелік є вичерпним. А підпис під фразою, наприклад, у кредитному договорі: "Я згоден на використання своїх персональних даних", згідно з Федеральним законом № 152-ФЗ "Про персональні дані", згодою на їх обробку не є!

Здавалося б, лише кілька пунктів закону, а скільки ускладнень, аж до судових позовів, може викликати їхнє неправильне тлумачення. До того ж сьогодні, коли персональні дані суб'єктів найчастіше стають товаром у конкурентній боротьбі різних структур, успішне вирішення питань їхнього захисту, забезпечення безпеки інформаційних систем банківських та кредитних установ стає запорукою збереження репутації, чесного імені будь-якої організації.

З кожним днем ​​підвищується поінформованість громадян про можливі негативні наслідки розповсюдження їх персональних даних, що сприяє появі профільних видань. Існують і інформаційні ресурси різних компаній. Одні з них у цілому висвітлюють весь широкий спектр питань, пов'язаних з поняттям "інформаційної безпеки", інші - присвячені оглядам заходів та засобів технічного захисту, хтось, навпаки, наголошує на проблемах, пов'язаних з нетехнічним захистом. Іншими словами, інформація з питань захисту персональних даних стає дедалі доступнішою, а значить, громадяни будуть більш підковані в галузі захисту своїх прав.

Безпека персональних даних у банку

Що таке особисті дані?

Відповідно до визначення з федерального закону, персональні дані - будь-яка інформація, що відноситься до певної або визначається на підставі такої інформації фізичній особі (суб'єкту персональних даних), у тому числі його прізвище, ім'я, по батькові, рік, місяць, дата та місце народження, адреса, сімейний, соціальний, майновий стан, освіта, професія, доходи, інша інформація.

Де є персональні дані?

Персональні дані (ПДн) у банку перебувають у наступних системах:

Автоматизована банківська система (АБС);

Системи Клієнт-Банк;

Системи миттєвого переказу грошей;

Бухгалтерські системи обліку;

Кадрові системи обліку;

Корпоративна інформаційна система;

Внутрішній веб-портал.

ПДН можуть бути присутніми на паперових документах (договори, форми, накази, інструкції, анкети, угоди тощо).

Які документи встановлюють вимоги щодо захисту персональних даних?

Федеральні закони

Федеральний закон № 149-ФЗ від 27 липня 2006 року «Про інформацію, інформаційні технології та захист інформації»;

Постанови Уряду

Постанова Уряду Російської Федерації № 781 від 17 листопада 2007 року "Про затвердження положення про забезпечення безпеки персональних даних при їх обробці в інформаційних системах персональних даних";

Постанова Уряду Російської Федерації № 957 від 29 грудня 2007 року "Про затвердження положень про ліцензування окремих видів діяльності, пов'язаних із шифрувальними (криптографічними) засобами";

Постанова Уряду Російської Федерації № 687 від 15 вересня 2008 «Про затвердження положення про особливості обробки персональних даних, що здійснюється без використання засобів автоматизації».

ФСТЕК Росії

Спільний наказ ФСТЕК Росії, ФСБ Росії та Мінінформзв'язку Росії від 13 лютого 2008 р. № 55/86/20 "Про затвердження порядку проведення класифікації інформаційних систем персональних даних";

Керівний документ ФСТЭК Росії «Базова модель загроз безпеки персональних даних під час їх обробки у інформаційних системах персональних даних»;

Керівний документ ФСТЕК Росії «Методика визначення актуальних загроз безпеці персональних даних під час їх обробки в інформаційних системах персональних даних»;

Наказ ФСТЭК Росії від 5 лютого 2010 р. № 58 «Про затвердження положення про методи та засоби захисту інформації в інформаційних персональних даних».

ФСБ Росії

Наказ ФАПСІ від 13 червня 2001 р. № 152 «Про затвердження інструкції про організацію та забезпечення безпеки зберігання, обробки та передачі каналами зв'язку з використанням засобів криптографічного захисту інформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю»;

Наказ ФСБ РФ від 9 лютого 2005 р. № 66 «Про затвердження положення про розробку, виробництво, реалізацію та експлуатацію шифрувальних (криптографічних) засобів захисту інформації (становище ПКЗ-2005)»;

Керівний документ ФСБ Росії від 21 лютого 2008 р. №149/54-144 «Методичні рекомендації щодо забезпечення за допомогою криптозасобів безпеки персональних даних при їх обробці в інформаційних системах персональних даних із використанням засобів автоматизації»;

Керівний документ ФСБ Росії від 21 лютого 2008 р. №149/6/6-622 «Типові вимоги щодо організації та забезпечення функціонування шифрувальних (криптографічних) засобів, призначених для захисту інформації, що не містить відомостей, що становлять державну таємницю, у разі їх використання для забезпечення безпеки персональних даних під час їх обробки в інформаційних системах персональних даних»;

Стандарт Банку Росії

СТО БР ІББС-1.0-2010 Забезпечення інформаційної безпеки організацій банківської системи РФ. Загальні положення";

СТО БР ІББС-1.1-2007 Забезпечення інформаційної безпеки організацій банківської системи РФ. Аудит інформаційної безпеки»;

СТО БР ІББС-1.2-2010 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Методика оцінки відповідності інформаційної безпеки організацій банківської системи Російської Федерації вимогам СТО БР ІББС-1.0-20хх»;

РС БР ІББС-2.0-2007 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Методичні рекомендації щодо документації у сфері забезпечення інформаційної безпеки відповідно до вимог СТО БР ІББС-1.0»;

РС БР ІББС-2.1-2007 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Посібник із самооцінки відповідності інформаційної безпеки організацій банківської системи РФ вимогами СТО БР ІББС-1.0»;

РС БР ІББС-2.3-2010 «Забезпечення ІБ організацій банківської системи РФ. Вимоги щодо забезпечення безпеки персональних даних в інформаційних системах персональних даних організацій банківської системи РФ»;

РС БР ІББС-2.4-2010 «Забезпечення ІБ організацій банківської системи РФ. Галузева приватна модель загроз безпеки персональних даних під час їх обробки в інформаційних системах ПД організацій банків банківської системи РФ»;

Методичні рекомендації щодо виконання законодавчих вимог при обробці персональних даних в організаціях БС РФ, розроблені спільно Банком Росії, АРБ ​​та Асоціацією регіональних банків Росії (Асоціацією «Росія»).

Як слід захищати персональні дані?

Відповідно до вимог методичних документів для захисту ПДН, загальним для всіх видів ІСПДН, є такі підсистеми:

Підсистема контролю доступу;

Підсистема реєстрації та обліку;

Підсистема забезпечення цілісності;

Підсистема міжмережевої безпеки.

Якщо ІСПДн підключена до мережі Інтернет, необхідно додатково використовувати наступні підсистеми:

Підсистема антивірусної безпеки;

Підсистема виявлення вторгнень;

Підсистема аналізу безпеки.

Також необхідно використовувати електронні замки та/або електронні ключі для надійної ідентифікації та автентифікації користувачів.

Якщо ІСПДн є розподіленою додатково для запобігання несанкціонованого доступу, шляхом відділення інформації, що захищається від загальнодоступної, необхідно використовувати криптографію при передачі ПДн по незахищених каналах зв'язку, а також, ЕЦП, для підтвердження справжності даних.

Така розбивка на підсистеми та формування на їх основі переліку продуктів для захисту ПДН є загальноприйнятою та використовується у більшості випадків.

Від чого потрібно захищати особисті дані?

Якщо завданням є забезпечення лише конфіденційності ПДН, необхідно здійснювати заходи та/або використовувати технічні засоби, спрямовані на запобігання несанкціонованому доступу, то така ІСПД стає типовою.

Якщо додатково пред'являються вимоги щодо забезпечення інших властивостей інформаційної безпеки, таких як забезпечення цілісності, доступності, а також їх похідних (невідмовність, підзвітність, адекватність, надійність та ін), то така ІСПД стає спеціальною. У більшості випадків будь-яка ІСПДн буде спеціальною, тобто крім класів ПДН для визначення механізмів захисту потрібно керуватися створюваною для цього моделлю загроз.

Як зменшити клас ПДН?

Для того, щоб зменшити та спростити заходи щодо захисту ПДН, Банки йдуть на різні хитрощі. Нижче я наводжу типові способи, що дозволяють зменшити вартість засобів захисту. Проте, саме по собі таке «перекроювання» інформаційних систем Банку є досить складним та трудомістким завданням.

Зменшення кількості майданчиків

Як було показано вище, якщо ІСПДн є розподіленою, то до її захисту пред'являються підвищені вимоги, щоб їх зменшити потрібно спробувати уникнути розподілених ІСПДн.

При розподіленій ІСПДн ПДН знаходяться на різних майданчиках, ПДН передаються по неконтрольованих Банком каналах зв'язку, а в загальному випадку це означає, що ПДН виходять або залишають контрольовану зону. Тоді, перш за все, необхідно локалізувати ПДН, зменшивши кількість майданчиків, на яких вони будуть. У деяких випадках це реально, але якщо розглядати АБС, то такої можливості, швидше за все, не буде.

Зменшення кількості серверів

Якщо ІСПД є локальною, тобто функціонує в межах локальної мережі Банку, то найбільш простим способом зменшення вартості витрат на захист буде зменшення кількості серверного обладнання, на яких присутні та/або обробляються ПДН.

Зменшення кількості АРМ та персоналу

За будь-якого типу ІСПДн (у вигляді АРМ, локальної, розподіленої) кінцевою обробкою ПДН, як правило, займається персонал Банку. Якщо не використовувати термінальний доступ, про який буде сказано нижче, має сенс зменшити кількість персоналу Банку, який займається обробкою ПДН або має доступ до них.

Поділ ІС за допомогою МСЕ

Для того щоб зменшити кількість ПДН, а значить і зменшити вартість засобів захисту, добрим способом є поділ інформаційних мереж на сегменти, в яких ведеться обробка ПДН. Для цього необхідно встановити та використовувати міжмережеві екрани, до портів яких слід приєднати сегменти з ПДН. Часто все серверне обладнання розташоване у демілітаризованій зоні, тобто в сегментах відокремлених від загальнодоступних та банківських мереж міжмережевими екранами. Цей спосіб також вимагає суттєвого «перекроювання» інформаційних мереж. Існує метод, заснований на так званому «лінійному шифруванні», тобто шифруванні каналу клієнт-клієнт, клієнт-сервер, сервер-сервер. Таке шифрування мережного трафіку може бути реалізоване як при використанні спеціальних засобів захисту, так і при використанні стандартної технології IPSec, однак вона не є сертифікованою ФСБ Росії, що є істотним її мінусом.

Іншим способом поділу ІСПДн у масштабах всієї мережі могла б стати технологія віртуальних мереж – VLAN, проте фактично VLAN це лише ідентифікатор в одному з полів мережного пакета, що дозволяє говорити про цю технологію як «айтішну». Тому розподіл мереж за допомогою VLAN не звільняє від використання технологій захисту інформації.

Розподіл баз даних на частини

Припустимо, що є база даних, що складається з тисячі записів: П.І.Б. та сума вкладу.

Створимо дві інші бази даних. Введемо додатковий унікальний ідентифікатор. Розділимо таблицю на дві частини, в першу помістимо поля П.І.Б та ідентифікатор, в іншу ідентифікатор та суму вкладу.

Таким чином, якщо кожен співробітник може обробляти тільки одну з цих нових баз даних, то захист ПДН істотно спрощується, якщо не зводиться нанівець. Очевидно, що цінність такої бази даних суттєво нижча, ніж вихідна. Обидві бази даних будуть перебувати на найбільш захищеному сервері. Насправді, полів у базі даних набагато більше, проте цей принцип може працювати практично у кожному випадку, т.к. кількість значущих з погляду безпеки ПДн полів не така вже й велика, а скоріше дуже обмежена. У граничному випадку можна зберігати ключові відповідності на ПК, що не входить до локальної мережі або навіть не використовувати автоматизовану обробку.

Знеособлення ПДН

Відповідно до визначення з 152-ФЗ, знеособлення ПДН – дії, у яких неможливо визначити належність ПДн конкретному суб'єкту ПДн. З цього визначення випливає серія способів, за допомогою яких можна отримати ПДН, якими неможливо визначити приналежність ПДн. Наприклад, якщо для цілей обробки не важливі точні дані певних полів, їх можна або не відображати або відображати лише діапазони, в які вони потрапляють. Наприклад, вік 20-30, 30-40 і т.д. Адресу можна «округлити» до району, округу або міста: Царицино, Південний, Москва. Залежно від необхідності, процес знеособлення ПДН може бути оборотним або необоротним. До незворотного відносяться перераховані вище способи «округлення», а до оборотного, наприклад, шифрування. На мій погляд шифрування (кодування) може бути способом знеособлення даних і має застосовуватися для цих цілей.

«Тонкі клієнти» та термінальний доступ

Використання технологій «тонкого клієнта» і відповідної технології термінального доступу на серверах дозволяє істотно знизити вимоги до захисту ПДн. Справа в тому, що при використанні «тонких» клієнтів та термінального доступу на ПК співробітників Банку не потрібно встановлювати спеціалізоване ПЗ, таке як клієнтські частини баз даних, клієнтські частини АБС, і т.д. Більше того, на ПК працівників Банку не потрібно встановлювати жодних спеціальних засобів захисту. Дані технології дозволяють відображати на своєму робочому місці інформацію з баз даних, що зберігаються на серверах і здійснювати управління обробкою ПДН. Ці технології апріорі безпечні, т.к. термінальними політиками легко обмежити можливості кінцевих клієнтів (персоналу Банку) з копіювання, а отже, і поширення ПДН. Канал зв'язку між серверами і ПК з «тонким клієнтом» легко піддається шифруванню, тобто простими способами можна забезпечити конфіденційність даних, що передаються.

Швидкість потенційних витоків даних обмежуватиметься лише візуальним каналом, що визначається швидкістю фотоапарата або відеокамери, проте при введенні спеціальних організаційних заходів таке копіювання стає дуже важким.

Чим можна захистити особисті дані?

У сенсі під забезпеченням захисту від несанкціонованого доступу розуміється комплекс організаційних і технічних заходів. Ці заходи ґрунтуються на розумінні механізмів запобігання несанкціонованому доступу на різних рівнях:

Ідентифікація та аутентифікація (також двофакторна або строга). Це може бути (операційна система, інфраструктурне ПЗ, прикладне ПЗ, апаратні засоби, наприклад електронні ключі);

Реєстрація та облік. Це може бути журналування (логування, протоколювання) подій у всіх перерахованих вище системах, ПЗ та засобах);

Забезпечення цілісності. Це може бути розрахунок за контрольними сумами контрольованих файлів, забезпечення цілісності програмних компонентів, використання замкнутого програмного середовища, а також забезпечення довіреного завантаження ОС);

Міжмережевий екран, як шлюзовий, і локальний;

Антивірусна безпека (застосовується до трьох рівнів оборони, так званий ешелонований або мультивендорний підхід);

Криптографія (функціонально застосовується на різних рівнях моделі OSI (мережевий, транспортний та вище), та забезпечує різний захисний функціонал).

Існує кілька комплексних продуктів, що мають розвинений НСД функціонал. Всі вони відрізняються типами застосування, підтримкою обладнання, ПЗ та топологією реалізації.

При розподіленій або має підключення до мережі загального користування (Інтернет, Ростелеком та ін.) ІСПДн застосовуються продукти аналізу захищеності (MaxPatrol від ПозитивТехнолоджис, яка не має прямих конкуретнів в РФ), а також виявлення та запобігання вторгненням (IDS/IPS) – як на рівні шлюзу, і на рівні кінцевого вузла.

Як можна передавати особисті дані?

Якщо ІСПДн є розподіленою, це означає необхідність передавати ПДН незахищеними каналами зв'язку. До речі, до незахищеного каналу відноситься і «повітряний». Для захисту ПДн у каналах зв'язку можуть використовуватись різні способи:

Шифрування каналу зв'язку. Може забезпечуватись будь-яким способом, таким як VPN між шлюзами, VPN між серверами, VPN між робочими станціями (InfoTecs ViPNet Custom, Інформзахист АПКШ Континент та ін.);

Пакетна комутація MPLS. Передача пакетів відбувається за різними шляхами відповідно до міток, які присвоюються мережевим обладнанням. Наприклад, MPLS-мережа Ростелеком має сертифікат відповідності мережі пакетної комутації вимогам інформаційної безпеки ФСТЭК Росії, що гарантією високої захищеності послуг, що надаються її основі;

Шифрування документів. Може застосовуватися різне програмне забезпечення для шифрування файлів із даними, а також файли-контейнери (ViPNet SafeDisk, InfoWatch CryptoStorage, True Crypt та ін.);

Шифрування архівів. Можуть застосовуватися різні архіватори, які дозволяють архівувати та шифрувати файли, використовуючи криптостійкі алгоритми, такі як AES. (WinRAR, WinZIP, 7-ZIP та ін.).

Чи потрібно використати сертифіковані засоби захисту?

На сьогоднішній день є єдина вимога ФСТЕК Росії щодо сертифікації засобів захисту ПДн. Вимога стосується забезпечення 4 рівня недекларованих можливостей, тому з останнього питання наведу лише три тези:

Система сертифікації засобів захисту;

Достатньо виконати вимоги законодавства;

Сертифікувати інформаційну систему персональних даних загалом не потрібно.

Шауро Євген