Засоби захисту інформаційної безпеки

У загальній системі забезпечення безпеки банку захист інформації грає істотну роль, серед яких виділяють наступні засоби захисту:

· фізичний;

· законодавчій;

· організаційний;

· програмно-технічний.

Фізичні засоби захисту засновані на створенні фізичних перешкод для зловмисника, які перегороджують йому шлях до інформації (сувора система пропуску на територію і в приміщення з апаратурою або з носіями інформації). Ці засоби дають захист тільки від "зовнішніх" зловмисників і не захищають інформацію від тих осіб, які володіють правом входу в приміщення. До законодавчих засобів захисту відносяться законодавчі акти, які регламентують правила використання й обробки інформації обмеженого доступу і встановлюють кримінальну відповідальність за порушення цих правил. Під організаційним розуміється захист інформації шляхом регулювання доступу до всіх ресурсів системи (технічним засобам, системам телекомунікацій та зв`язку, програмним елементам тощо). У автоматизованих системах інформаційного забезпечення повинні бути регламентовані порядок роботи користувачів і персоналу, право доступу до інформації, окремим файлам та базам даних. З програмно-технічних засобів особливо в комп'ютерних мережах найбільш ефективні криптографічні засоби захисту інформації. Коли фізичні засоби захисту можуть бути подолані шляхом, наприклад, дистанційного нагляду, підключення до мережі або підкупу персоналу, а організаційні не гарантують від проникнення зловмисників, то програмно-технічні, і насамперед, криптографічні методи, якщо вони задовольняють відповідним вимогам, характеризуються найбільшою мірою "міцності".
Вибір засобів захисту інформації в банківських автоматизованих системах - складна задача, при розв'язанні якої потрібно враховувати різні можливі дії щодо порушення роботи такої системи, вартість реалізації різних засобів захисту і наявність різних зацікавлених сторін. При виборі таких засобів важливо знати, що сучасна наука має в своєму розпорядженні методи, що дозволяють вибрати таку сукупність засобів захисту, яка забезпечить максимізацію міри безпеки інформації при даних витратах або мінімізацію витрат при заданому рівні безпеки інформації. Одним із найважливіших видів інформації в банку є гроші в електронному вигляді, тому у фундаменті захисту інформації в автоматизованих банківських системах находиться захист електронного грошового обігу. Крім цього, інформація в банківських системах зачіпає інтереси великої кількості людей та організацій - клієнтів банку. Ця інформація має обмежений доступ і банк несе відповідальність за забезпечення надійного рівня її захисту перед клієнтами та державою.Банківські служби безпеки сьогодні велику увагу приділяють питанням фізичного захисту (маючи на увазі грати на вікнах, технічні засоби захисту та ін.). Питання комп'ютерної безпеки залишаються у веденні служб супроводу і впровадження програмного забезпечення. Кваліфікованих розробників програмного забезпечення і системних програмістів в таких службах досить багато, але фахівців в області систем комп'ютерної безпеки практично немає.

Вартість забезпечення захисту інформації прямо залежить від її цінності. Є формула, яка допомагає банкірам визначитися, скільки має коштувати їх система IT -захисту. Ризик втрати даних завжди можна виразити в грошах.

Банк визначає суму можливих втрат, потім оцінюється ймовірність настання ризиків, і ці показники перемножуються. У результаті виходить обсяг коштів "під ризиком". Виходячи з цього, керівництво визначає, яку суму слід витратити на IT -безпеку.

"Розрахунки протвережують керівництво. Два роки тому я рекомендував голові правління банку впровадити систему моніторингу. Він відмовився, мовляв, надто дорого. Через два тижні я показав йому суму "під ризиком". Гроші знайшлися", - розповів начальник відділу інформаційної безпеки одного з банків.

Для невеликої установи система IT -безпеки коштує 10-40 тисяч доларів. Крупним банкам необхідні потужніші системи. У таких установах захист має кілька рівнів і складається з низки комплексів. Ціна впровадження одного - 100-500 тисяч євро.

На жаль, дані системи знижують банківську продуктивність, тому для мінімізації цієї проблеми необхідні потужні обчислювальні ресурси.

То чи варто витрачатися? Однозначної відповіді банкіри не мають. Великих проблем у них ще не було, але оцінити можливі наслідки атак або витоку даних можна.

Відповідно до Закону України "Про інформацію" (2657-12) вся
інформація з обмеженим доступом повинна бути надійно захищена.
Відповідно до законів України "Про захист інформації в
інформаційно-телекомунікаційних системах" (80/94-ВР), "Про банки
і банківську діяльність" (2121-14), "Про захист персональних
даних" (2297-17) у банках можна визначити такі категорії
інформації з обмеженим доступом: - банківська таємниця; - комерційна таємниця; - персональні дані; - інша конфіденційна інформація. Банк має створити максимально докладний та зрозумілий перелік
відомостей, які відносяться до інформації з обмеженим доступом. У
цьому переліку повинні бути описані види інформації, які
відносяться до кожної з категорій інформації з обмеженим доступом,
що надасть можливість полегшити працівнику банку визначення
відношення певної інформації до відповідної категорії. Відповідно до Правил зберігання, захисту, використання та
розкриття банківської таємниці, затверджених постановою Правління
Національного банку України від 14.07.2006 N 267 (z0935-06),
зареєстрованих в Міністерстві юстиції України 03.08.2006 за
N 935/12809, працівники банку під час прийому на роботу повинні
власноруч підписувати зобов'язання щодо збереження банківської
таємниці. Ці зобов'язання банк може поширити на всі категорії
інформації з обмеженим доступом. Банк зобов'язаний у внутрішніх положеннях встановити
спеціальний порядок поводження та ведення діловодства з
документами, що містять інформацію з обмеженим доступом, зокрема
визначити порядок підготовки і реєстрації вихідних документів,
роботи з документами, відправлення та зберігання документів, а
також особливості роботи з електронними документами, які містять
інформацію з обмеженим доступом, зокрема з урахуванням вимог, що
викладені в наведеному вище нормативно-правовому акті
Національного банку України.Банк повинен створити перелік критичних бізнес-процесів/
банківських продуктів, які обробляють інформацію з обмеженим
доступом, розголошення якої може нанести шкоду банку. До цього
переліку повинні бути включеними всі бізнес-процеси/банківські
продукти, що обробляють: - платіжні документи, - внутрішні платіжні документи, - кредитні документи, - документи на грошові перекази, - персональні дані клієнтів та працівників банку, - статистичні звіти, - інші документи, які містять інформацію з обмеженим
доступом.На основі вихідних документів попереднього пункту банк має
визначити всі підрозділи, які відносяться до сфери застосування
СУІБ. Це підрозділи, які є власниками та учасниками критичних
бізнес-процесів, підрозділи, які супроводжують та забезпечують
технічну підтримку програмно-технічних комплексів, користувачі
програмно-технічних комплексів, служба безпеки, яка забезпечує
фізичну безпеку приміщень банку, тощо. Наявність такого переліку
підрозділів дозволить чітко визначити обов'язки та
відповідальності всіх причетних до виконання вимог безпеки сторін
та планувати їх навчання у разі необхідності. Такий перелік може
створюватися на основі структурної схеми підрозділів банку.

Надійна робота системи захисту неможлива без дотримання адміністративних вимог щодо безпечного використання, зберігання та обліку засобів захисту. Значну увагу слід приділяти, насамперед, розподілу повноважень між службовими особами банківської установи, які беруть участь в обробці міжбанківських електронних розрахункових документів.

Банківські установи, які працюють в інформаційній мережі, мають виконувати організаційні заходи захисту Інформації згідно з Правилами організації захисту електронних банківських документів в установах, включених до інформаційно-обчислювальної мережі Національного банку України, затвердженими постановою Правління Національного банку України віл 10.06.99 № 280 та зареєстрованими в Міністерстві юстиції України 30.08.99 за № 583/3876.

Усі засоби захисту інформації Національного банку, що використовуються в інформаційній мережі, надаються банківським установам лише службами захисту інформації територіальних управлінь.

Умовами для надання засобів захисту інформації є:

- укладення договору про використання криптографічних засобів захисту інформації в інформаційній мережі Національного банку України між банком (філією) та територіальним управлінням тієї області, у якій розташований банк (філія), незалежно' від моделі обслуговування консолідованого кореспондентського рахунку;

- забезпечення відповідності режимних вимог до приміщень, у яких обробляються електронні банківські документи, використовуються та зберігаються засоби захисту інформації, вимогам, що визначені Правилами;

- призначення службових осіб, які відповідають за зберігання та використання засобів захисту інформації (копія наказу надасться службі захисту інформації територіального управління);

- лист-доручення про отримання конкретних засобів захисту інформації [7].

Засоби захисту інформації для новоствореного банку (філії) виготовляються службою захисту інформації Національного банку на замовлення служби захисту інформації територіального управління. Замовлення на виготовлення засобів захисту інформації має подаватися не пізніше ніж за 10 днів до фактичного включення банку (філії) в СЕМП.

Банківська установа не має права передавати (навіть тимчасово) засоби захисту інформації іншій установі і несе за це відповідальність.

Банківська установа веде окрему справу з листування щодо питань захисту інформації.

Режимні вимоги, що висуваються до приміщень банківських установ -учасників інформаційної мережі, які використовують засоби захисту інформації Національного банку, у яких обробляються електронні банківські документи, використовуються та зберігаються в неробочий час засоби захисту інформації, описані в Правилах.

Якщо банківська установа працює в інформаційній мережі лише в інформаційних задачах, а для оброблення розрахункових документів використовує власну внугрішньо банківську платіжну систему, то спеціальні режимні вимоги до приміщення з обмеженим доступом, у якому розміщується АРМ-НБУ, не встановлюються. Вимоги щодо організації роботи з криптографічними засобами захисту мають відповідати Правилам.

2.3. Система захисту електронних банкiвських документiв

складається з комплексу апаратно-програмних засобiв

криптографiчного захисту та ключової системи до них, технологiчних

i органiзацiйних заходiв щодо захисту iнформацiї в

iнформацiйно-обчислювальнiй мережi НБУ.

2.4. Система захисту електронних банкiвських документiв

охоплює всi етапи розробки, впровадження та експлуатацiї

програмно-технiчного забезпечення iнформацiйно-обчислювальної

мережi та включає чiткий розподiл вiдповiдальностi на кожному

етапi пiдготовки, обробки та виконання електронних банкiвських

документiв на всiх рiвнях.

2.5. Система захисту електронних банкiвських документiв в

iнформацiйно-обчислювальнiй мережi є єдиною для усiх iнформацiйних

задач НБУ i СЕП. Для пiдвищення ступеня захисту електронних

розрахункових документiв у СЕП використовуються додатковi засоби,

включаючи бухгалтерський контроль. Технологiчнi та криптографiчнi

засоби безпеки використовуються не тiльки в СЕП, а й у всiх

iнформацiйних задачах НБУ.

3. Режимнi вимоги до примiщень

3.1. Банкiвськi установи, якi є учасниками

iнформацiйно-обчислювальної мережi НБУ та якi використовують

засоби захисту iнформацiї НБУ, повиннi видiлити примiщення, де

обробляються електроннi банкiвськi документи, працюють та

зберiгаються в неробочий час засоби захисту iнформацiї, для яких

обов'язковими є такi вимоги:

3.1.1. АРМ-НБУ розмiщується в будiвлi банкiвської установи в

спецiально видiленому для цього примiщеннi з обмеженим доступом,

дверi якого повиннi бути оснащенi кодовим або автоматичним замком

i мiсцем для опечатування.

У разi використання АРМ-НБУ для цiлодобової роботи примiщення

може не опечатуватись, але повинно мати систему обмеження доступу

до нього.

3.1.2. Вiкно (вiкна) в примiщеннi, де розташоване АРМ-НБУ,

повинно бути захищеним надiйними гратами, якщо воно:

є внутрiшнiм i виходить в iнше примiщення або коридор

банкiвської установи;

є зовнiшнiм i розташоване на першому чи останньому поверсi

банкiвської установи або до якого можна легко дiстатися з даху

сусiднього будинку, з розташованих поруч пожежних сходiв, дерев,

що близько ростуть, архiтектурних деталей будинку тощо.

Допускається не встановлювати металевi єрати на вiкнах у разi

застосування спецiального вiкна, мiцнiсть якого пiдтверджена

вiдповiдним сертифiкатом, узгодженим з Державною службою охорони

України.

3.1.3. Примiщення АРМ-НБУ повинно бути обладнане системою

сигналiзацiї з трьома рубежами захисту:

1-й рубiж - захист за периметром (дверi, вiкна);

2-й рубiж - захист вiд перемiщення примiщенням;

3-й рубiж - захист сейфа адмiнiстратора АРМ-НБУ.

У разi виникнення надзвичайних ситуацiй (пожежа, стихiйне

лихо та iншi) банкiвська установа зобов'язана вжити всiх

необхiдних заходiв щодо запобiгання втратам та компрометацiї

засобiв захисту НБУ.

3.1.12. Примiщення має бути розташоване та обладнане так, щоб

уникнути безконтрольного поширення iнформацiї електронних

банкiвських документiв та засобiв захисту iнформацiї (акустично,

вiзуально, через електроннi прилади або електромагнiтнi

випромiнювання) за межi примiщення або банкiвської установи

(контрольованої територiї).

3.1.13. Спiвробiтники банкiвської установи, якi мають право

допуску в примiщення АРМ-НБУ, призначаються наказом по банкiвськiй

установi) i реєструються у роздiлi 4 журналу облiку

адмiнiстратора захисту iнформацiї (додаток 23).

3.1.14. Право допуску в примiщення АРМ-НБУ мають:

керiвник банкiвської установи (особа, яка виконує його

обов'язки);

заступник керiвника банкiвської установи, який призначений

вiдповiдальним за органiзацiю захисту електронної банкiвської

iнформацiї;

адмiнiстратори АРМ-НБУ;

адмiнiстратори захисту iнформацiї;

iншi спiвробiтники банкiвської установи, якi постiйно

вирiшують питання обслуговування примiщення i АРМ-НБУ (програмiст,

прибиральниця тощо).

3.1.15. Спiвробiтники внутрiшньобанкiвської служби захисту

iнформацiї (якщо вони не призначенi наказом по банкiвськiй

установi як вiдповiдальнi за засоби криптозахисту) мають право

обмеженого доступу до примiщення АРМ-НБУ i лише для вирiшення

питань, що належать до їх компетенцiї. При цьому права допуску до

роботи iз засобами криптозахисту вони не мають.

3.1.16. Усi спiвробiтники банкiвської установи, якi мають

право допуску до примiщення АРМ-НБУ, зобов'язанi перебувати в

примiщеннi АРМ-НБУ тiльки на час виконання своїх обов'язкiв, що

пов'язанi з роботою АРМ-НБУ, i тiльки в присутностi адмiнiстратора

АРМ-НБУ, який заступив на змiну.

3.1.19. Для обмеження доступу до електронної iнформацiї банку

рекомендується розмiщати сервер локальної мережi банку, вузол

електронної пошти, АРМ бухгалтера САБ, АРМ-НБУ в окремих

iзольованих примiщеннях.

Не допускається розмiщати в одному примiщеннi АРМ НБУ та АРМ бухгалтера САБ.

3.3. Усi банкiвськi установи з питань захисту iнформацiї

обслуговуються службою захисту регiонального управлiння НБУ за

мiсцем розташування банкiвської установи, незалежно вiд моделi

обслуговування кореспондентського рахунку.

4.7. Криптографiчний захист електронних банкiвських

документiв в установах, що є учасниками

iнформацiйно-обчислювальної мережi НБУ, виконується за допомогою

таких засобiв криптозахисту:

а) засоби апаратного шифрування:

криптоблок (АЗЕГО);

електронна картка (ЕК);

програмне забезпечення керування апаратурою захисту, яке

вбудоване в АРМ-НБУ та не може бути вилучене;

б) засоби програмного шифрування:

програма шифрування, вбудована в АРМ-НБУ;

в) засоби електронного цифрового пiдпису.

4.16. У банкiвськiй установi в разi вiдсутностi особливих

вказiвок управлiння захисту iнформацiї НБУ та/або служби захисту

iнформацiї регiонального управлiння НБУ для захисту електронних

платежiв використовуються:

------------------------------------T----------------------------

¦ Назва ¦ Кiлькiсть ¦

+-----------------------------------+----------------------------+

¦Криптоблок ¦ 1 ¦

+-----------------------------------+----------------------------+

¦Електронна картка ¦ 1 ¦

+-----------------------------------+----------------------------+

¦Програмний модуль генерацiї ¦ 1 ¦

¦ключiв ¦ ¦

+-----------------------------------+----------------------------+

¦Копiя програмного модуля генерацiї ¦ 1 ¦

¦ключiв ¦ ¦

+-----------------------------------+----------------------------+

¦Таємний ключ АРМ-НБУ ¦ 1 ¦

+-----------------------------------+----------------------------+

¦Копiя таємного ключа АРМ-НБУ(за ¦ 1 ¦

¦наявностi наказу по установi) ¦ ¦

+-----------------------------------+----------------------------+

¦Таємний ключ АРМ бухгалтера ¦ За кiлькiстю ¦

¦ ¦ вiдповiдальних ¦

¦ ¦ осiб, але не бiльше 5 ¦

+-----------------------------------+----------------------------+

¦Копiя таємного ключа АРМ ¦ За кiлькiстю ¦

¦бухгалтера (за наявностi наказу по ¦ вiдповiдальних ¦

¦установi) ¦ осiб, але не бiльше 5 ¦

+-----------------------------------+----------------------------+

¦Таємнi ключi операцiонiстiв ¦ За кiлькiстю ¦

¦ ¦ вiдповiдальних ¦

¦ ¦ осiб ¦

+-----------------------------------+----------------------------+

¦Таємнi ключi iнших робочих мiсць ¦ За вказiвками Управлiння ¦

¦для iнформацiйних задач ¦ захисту iнформацiї НБУ ¦

L-----------------------------------+-----------------------------

9.1. Для роботи iз засобами криптозахисту призначаються такi

вiдповiдальнi особи:

адмiнiстратор захисту iнформацiї;

адмiнiстратор АРМ-НБУ;

оператор АРМ бухгалтера;

операцiонiст;

особи, вiдповiдальнi за роботу iз засобами криптозахисту на

робочих мiсцях iнформацiйних задач НБУ.

9.2. Призначення вiдповiдальних за роботу iз засобами

криптозахисту i звiльнення їх вiд цих обов'язкiв належить до

компетенцiї керiвництва банкiвської установи.

9.3. З урахуванням виконання вимог нормативних документiв НБУ

особи, вiдповiдальнi за роботу iз засобами криптозахисту, можуть

призначатися вiдповiдно до штатного розпису або за сумiсництвом.

9.5. Вiдповiдальнi особи за роботу iз засобами криптозахисту

призначаються наказом по банкiвськiй установi.

9.10. Особи, вiдповiдальнi за роботу iз засобами

криптозахисту, повиннi мати особистi печатки (можливе використання

штампiв, пломбiраторiв та iнш.) для опечатування засобiв

криптозахисту, сейфiв i примiщення АРМ-НБУ.

Печатки (штампи, пломбiратори) мають бути зареєстрованi в

роздiлi 6 журналу облiку адмiнiстратора захисту iнформацiї

(додаток 25).

Передача печаток (штампiв, пломбiраторiв) мiж вiдповiдальними

особами для тимчасового користування не допускається.

Адмiнiстратор захисту iнформацiї повинен:

знати нормативнi документи i вказiвки служби захисту

iнформацiї НБУ та регiонального управлiння НБУ з питань

органiзацiї захисту електронної банкiвської iнформацiї та

керуватися ними в повсякденнiй дiяльностi;

виконувати вимоги iнформацiйної безпеки в банкiвськiй

установi та пiдписати "Зобов'язання адмiнiстратора захисту

iнформацiї";

пiдтримувати конфiденцiйнiсть системи захисту банкiвської

установи;

здiйснювати отримання засобiв криптозахисту i виконувати їх

замiну в службi захисту iнформацiї регiонального управлiння НБУ;

здiйснювати тестування криптоблока, електронної картки,

програмного модуля генерацiї ключiв;

вести листування зi службою захисту iнформацiї регiонального

управлiння НБУ з питань iнформацiйної безпеки;

ознайомлювати вiдповiдальних осiб банкiвської установи з

нормативними документами НБУ з питань захисту iнформацiї та

перевiряти знання правил використання та зберiгання таємних ключiв

та iнших засобiв криптозахисту;

забезпечувати засобами криптозахисту виконавцiв;

вести облiк засобiв криптозахисту i контролювати їх рух;

вести журнали облiку i справи листування адмiнiстратора

захисту iнформацiї i забезпечувати їх збереження;

забезпечувати генерацiю ключiв;

здiйснювати зберiгання ПМГК i його копiї;

забезпечувати зберiгання засобiв криптозахисту на час, поки

вони зберiгаються в адмiнiстратора захисту iнформацiї;

забезпечувати вiдправлення на сертифiкацiю вiдкритих ключiв,

що потребують сертифiкацiї;

вести архiв вiдкритих ключiв операцiонiстiв, згенерованих у

банкiвськiй установi;

здiйснювати знищення за встановленим порядком копiї ПМГК;

здiйснювати контроль за дотриманням виконавцями правил

iнформацiйної безпеки при роботi iз засобами криптозахисту та їх

зберiганнi;

здiйснювати контроль за строком дiї ключiв;

здiйснювати контроль за необхiдними змiнами таблиць вiдкритих

ключiв;

здiйснювати контроль за правильним i своєчасним знищенням

виконавцями таємних ключiв та їх копiй;

здiйснювати перевiрки вiдповiдностi примiщення АРМ-НБУ i

сейфiв, у яких зберiгаються засоби криптозахисту, вимогам

iнформацiйної безпеки;

здiйснювати контроль за веденням журналiв облiку

адмiнiстратора АРМ-НБУ;

здiйснювати контрольнi перевiрки вiдповiдно до п. 16.3

Правил;

iнформувати керiвництво банкiвської установи i службу захисту

iнформацiї регiонального управлiння НБУ про виявленi недолiки, що

впливають на безпеку електронної банкiвської iнформацiї;

брати участь (за рiшенням керiвника банкiвської установи) у

розглядi фактiв порушення правил iнформацiйної безпеки.

15. Перелiк питань, що вимагають iнформування служби

захисту iнформацiї регiонального управлiння НБУ

15.1. Банкiвська установа зобов'язана негайно (по телефону)

iнформувати службу захисту iнформацiї регiонального управлiння НБУ

у таких випадках:

виконання (спроби виконання) фiктивного платiжного документа;

компрометацiї засобiв криптозахисту;

пошкодження засобiв криптозахисту;

несанкцiонованого проникнення в примiщення АРМ-НБУ

(пошкодження вхiдних дверей, єрат на вiкнах, спрацювання

сигналiзацiї при нез'ясованих обставинах тощо);

проведення правоохоронними органами та iншими державними

установами перевiрки комерцiйної дiяльностi банкiвської установи,

якщо при цьому виникають умови для компрометацiї дiючих засобiв

криптозахисту;

виникнення iнших аварiйних або надзвичайних ситуацiй, що

створюють реальнi передумови до розкрадання, втрати, пошкодження

тощо засобiв криптозахисту.

Література:

1. Методичні рекомендації щодо впровадження системи управління інформаційною безпекою та методики оцінки ризиків відповідно до стандартів Національного банку України. Лист НБУ від 03.03.2011 № 24-112/365 // http://zakon2.rada.gov.ua/laws/main/nreg,v0365500-11

2. Правила органiзацiї захисту електронних банкiвських документiв в установах, включених до iнформацiйно-обчислювальної мережi Нацiонального банку України. Затверджено Постановою Правлiння Нацiонального банку України вiд 10 червня 1999 року № 280.

3. Правила органiзацiї захисту електронних банкiвських документiв в установах Нацiонального банку України. Затверджено Постановою Правлiння Нацiонального банку України вiд 10 червня 1999 року № 280.

4. Савченко А. Інформаційна безпека банків: шляхи розв’язання проблеми / А.Савченко, І.Івченко // Вісник НБУ. – 2010. – №5. – С. 3-5.

5. Жуматій А. Українські банки під прицілом хакера? / А.Жуматій // Економічна правда. – 19.07.2010 //[Електронний ресурс]. – Режим доступу: http://www.epravda.com.ua/publications/2010/07/19/242043/.

Дата добавления: 2014-12-10