Положение о защите персональных данных клиентов. Дипломная работа на тему: Разработка системы защиты персональных данных в предприятии ПАО Ситибанк Современные продукты защиты персональных данных банка

Джабраил Матиев, руководитель направления защиты персональных данных по коммерческой части компании ReignVox

Постоянная работа с огромными массивами клиентских данных требует от банка любого формата постоянной работы в области защиты этих данных.

Именно поэтому тема информационной безопасности, а вместе с ней и тема доверия, является особенно актуальной в финансовом секторе. Более того, требование защитить любые персональные данные, входящие в структуру информационной системы современной финансовой компании является и законодательно обоснованным – федеральный закон №152 «О персональных данных» совершенно четко обязывает каждую компанию, обрабатывающую эти данные, провести их защиту в строго определенные сроки. Как новые, так и уже существующие информационные системы, обрабатывающие персональные данные, должны быть приведены в соответствие с требованиями законодательства в срок до 1 января 2011 года. Учитывая столь строго обозначенные временные рамки, у организаций, обрабатывающих такую информацию, остаётся все меньше времени, чтобы выполнить требования закона.

С чего следует начинать работу по защите персональных данных? На какие сроки работ рассчитывать? Кому поручить проведение работ? Какова средняя стоимость проекта и как минимизировать затраты? Все эти вопросы являются актуальными сегодня для любой компании, ведущей бизнес в финансовом секторе. Экспертные ответы на них позволяет дать обширный опыт компании ReignVox в области защиты персональных данных в финансовых структурах.

Жизнь в режиме обратного отсчета

Федеральный закон № 152 «О персональных данных» вступает в полную силу с 1 января 2011 года – более полугода впереди до обозначенного законотворцами срока. Но не стоит поддаваться обманчивому впечатлению об избытке времени.

Во-первых, внедрение проекта, направленного на выполнение требований по защите персональных данных, требует от четырех до шести месяцев в зависимости от его сложности. Но и эта цифра не окончательна - сроки могут увеличиться до шести-восьми месяцев за счет того периода, который банк потратит на выбор достойного интегратора для разработки и ведения проекта. Проведение такого типа работ своими силами чревато для банка потерей объективности на стадии обследования и анализа, существующих в нем средств защиты, а также необходимостью изыскать для данной работы отдельные трудовые ресурсы. В этом случае следует помнить и о таких факторах, как наличие подготовленных по тематике защиты персональных данных специалистов, необходимого объема нормативно-методического обеспечения, свободных ресурсов под саму задачу защиты персональных данных. Практика показывает, что обычно всем этим требованиям в комплексе отвечают именно сторонние интеграторы.

Во-вторых, возвращаясь к теме сроков, поставленных законом «О персональных данных» перед операторами данных (а о том, что банки как раз и являются такими операторами, вопрос уже не стоит в принципе), что бы там ни говорили об их «перенесении», первые проверки регуляторов уже имеют место быть. Вывод - вполне логичен: актуальность проблемы не просто сохранилась, она в разы возросла, и её решение становится насущной необходимостью.

«А ларчик просто открывался…»

Вокруг задачи по приведению ИСПДн в соответствие с положениями закона «О персональных данных» на протяжении последнего времени ведутся активные дискуссии, итог которых сводится в основном к одному: решение данной задачи весьма проблематично в силу совокупности её организационных и правовых особенностей. Такой вывод не вполне верен: практика применения требований по защите персональных данных, появившаяся в течение первого квартала 2010 года (в том числе и в банковской сфере), подтверждает понятность и интерпретируемость требований, предъявляемых к ИСПДн. Их формулирование, выполнение и документальное подтверждение последнего с минимальным риском каких-либо ошибок не столько сложно в своей реализации, сколько важно с точки зрения безопасности банковского бизнеса. Ещё более упрощает задачу возможность перепоручить её стороннему интегратору, чьи специалисты максимально оперативно и профессионально выполнят проект по защите персональных данных с учетом индивидуальных особенностей банковского бизнеса.

Таким образом, первоочередной задачей становится выбор компании-интегратора, которой и будет решено доверить ведение проекта.

«Типовой» = «Эксклюзивный»?

Такой знак равенства между данными взаимоисключающими друг друга понятиями имеет право на существование. Данное утверждение подкрепляется практическим опытом уже завершенных компанией ReignVox успешных проектов по защите персональных данных.

С одной стороны, каждый такой проект включает в себя стандартное количество этапов: этап обследования информационных систем персональных данных, этап проектирования системы защиты персональных данных, этап внедрения СЗПДн, этап оценки соответствия ИСПДн требованиям закона и этап поддержки созданной системы. Причем оценка соответствия ИСПДн, как этап, носит необязательный характер и проводится по усмотрению компании-заказчика. Равно как и этап поддержки созданной системы.

Типичность обычно заканчивается на первом этапе (этапе обследования информационных систем), так как именно он позволяет выявить и описать те требования, которые будут предъявлены в дальнейшем к системам . И эти параметры уже индивидуальны и ориентированы на каждого конкретного заказчика, оптимизированы в соответствии с его потребностями .

В ходе данного обследования анализируются информационные ресурсы, типовые решения, применяемые при построении IT-инфраструктуры, информационные потоки персональных данных, имеющиеся системы и средства защиты информации.

На этом же этапе разрабатывается модель угроз и нарушителя безопасности ПДн, оценивается необходимость обеспечения безопасности ПДн в ИСПДн с использованием криптосредств.

Классическая схема проведения второго этапа включает в себя аудит нормативной базы и оценку её соответствия требованиям регуляторов. Его итогом становится разработка недостающих внутренних документов, а также разработка технического задания на разработку СЗПДн. На этом же этапе интегратор приступает к непосредственной разработке комплекса мероприятий по защите информации.

По окончанию этого этапа банк уже вполне способен успешно пройти проверку одного из регуляторов.

Суть третьего этапа сводится к внедрению систем и настройке существующих средств защиты. После тестирования, в случае необходимости, производится доработка комплекса технических и программных средств.

На каждом из описанных этапов перед компанией ReignVox , как перед интегратором, встают различные дополнительные задачи, обусловленные спецификой бизнеса, который ведет компания-заказчик ее размерами, инфраструктурой, активностью бизнес-процессов и многими другими пунктами. И из множества таких составляющих каждый раз складывается новая, индивидуально адаптированная концепция проекта по защите персональных данных.

«…и овцы целы»

Минимизация расходов, оптимизация бюджета, экономия – какое словосочетание ни подбери, суть останется одной – рациональный подход к использованию денежных ресурсов – именно он является вторым краеугольным камнем успешности финансовой структуры (после доверия, конечно же). А посему, стремление по возможности сократить расходы не в ущерб информационной безопасности является закономерным и вполне достижимым.

Стоимость среднестатистического типового проекта по созданию системы защиты персональных данных для банковской структуры составляет порядка 1,5 млн. руб. При расчете данной суммы учитывается и ряд принципов, следование которым позволяет сократить бюджет на создание системы защиты персональных данных.

В первую очередь мы стремимся максимально сохранить уже существующую в организации ИТ-инфраструктуру. Обычно говорят о двух полярных сценариях защиты ПДн. Первый – коренная переделка всех ИСПДн, а второй – формальный, заключающийся лишь в выпуске внутренних нормативных документов, без внесения каких-либо изменений в ИСПДн. Мы считаем оптимальным третий вариант, заключающийся именно в сохранении действующей ИТ-инфраструктуры банка, сопровождающейся видоизменением некоторых её элементов, добавлением новых, необходимых для обеспечения соответствия законодательству.

В данном случае речь идет о первом принципе, основанном на максимальном использовании существующих средств защиты информации при проектировании систем защиты информации. Средства защиты в любой компании применяются независимо от необходимости защиты персональных данных, это и системы антивирусной защиты, и встроенные средства контроля доступа операционной системы, и межсетевые экраны и многие другие средства. Поэтому максимальное количество требований закрывается существующими средствами защиты. И только в том случае, если какие-то требования не удовлетворяются текущими средствами защиты, необходимо закупить и внедрить дополнительные.

Второй принцип - принцип экономичного логического структурирования информационных систем персональных данных. Следуя этому принципу, в рамках внедрения проекта по защите персональных данных в банке, экономически обоснованным становится объединение нескольких систем, находящихся в одном помещении, в одну, в сочетании с понижением класса некритичных сегментов. Таким образом, создается ИСПДн «Центр обработки данных», защита в котором обеспечивается по периметру. Это позволяет в значительной мере минимизировать затраты на разделение потоков в рамках различных систем.

Принцип третий - защищаться только от актуальных угроз . При этом актуализация угроз описывается в обязательном для специальных систем документе, называющемся «Модель угроз». При актуализации угроз отбрасываются те из них, чья вероятность низка, а ущерб при реализации – невелик.

При условии использования уже отработанных методик, задача по приведению ИСПДн любого банка в соответствие с требованиями законодательства в срок до 1 января 2011 года полностью реализуема. Для максимальной успешности внедрения подобных технологий в банковской сфере, все же необходимо помнить о комплексном подходе к работе над проектом. В данном случае имеется ввиду организация совместной работы специалистов самых различных подразделений – специалистов по IT-технологиям, по информационной безопасности и по управлению проектами, финансистов, юристов – гарантирующих соблюдение необходимого сбалансированности общего подхода к защите критичных данных в рамках финансовой структуры.

Справка: ReignVox – российская компания, специализирующаяся на инновационных проектах и разработках в области информационных технологий и обеспечении их информационной безопасности.

Целью создания компании является оказание услуг по обеспечению защиты персональных данных в соответствии с требованиями закона «О персональных данных» ФЗ-152 от 27.07.2006 г. и построению комплексных систем защиты информации.

ReignVox является членом межрегиональной общественной организации «Ассоциация защиты информации» (МОО «АЗИ»), ассоциированным членом «Инфокоммуникационного союза» (Infocommunication Union), а также членом Ассоциации региональных банков России.

Компания ReignVox обладает значительным опытом успешной реализации проектов по защите персональных данных в крупных коммерческих банках. В числе её клиентов НОТА-Банк, Внешэкономбанк, «ЦентроКредит», «Темпбанк», «Альта-Банк» и др.

Оценить:

Особенно востребованной для российских подразделений иностранных компаний она стала в связи с добавление части 5 статьи 18 в 152-ФЗ «О персональных данных»: «…оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации». В законе есть ряд исключений, но согласитесь, на случай проверки регулятором хочется располагать козырями понадежнее, чем «а нас это не касается».

Наказания для нарушителей весьма серьезные. Онлайн-магазины, социальные сети, информационные сайты, другие бизнесы, связанные с интернетом в случае претензий со стороны надзорных органов могут быть фактически закрыты. Возможно, при первой проверке регулятором будет дано время на устранение недочетов, но срок обычно ограниченный. Если проблема не будет решена очень быстро (что без предварительной подготовки сделать затруднительно), убытки никак уже не компенсировать. Блокировка сайтов приводит не только к паузе в продажах, это означает потерю рыночной доли.

Появление в «черном списке» нарушителей закона о ПДн для офлайн-компаний проходит менее драматично. Но это влечет за собой репутационные риски, что для иностранных компаний является существенным фактором. Кроме того, сейчас почти не осталось видов деятельности, которых вообще не касается защита персональных данных. Банки, торговля, даже производство – все ведут клиентские базы, а значит, попадают под действие соответствующих законов.

Здесь важно понимать, что внутри компаний вопрос тоже нельзя рассматривать изолированно. Защиту ПДн не получится ограничить установкой сертифицированных средств защиты на серверах и запиранием бумажных карточек в сейфы. У персональных данных много точек входа в компанию – отделы продаж, HR, службы обслуживания клиентов , иногда также учебные центры, закупочные комиссии и другие подразделения. Управление защитой ПДн – комплексный процесс, который затрагивает IT , документооборот, регламенты, юридическое оформление.

Давайте рассмотрим, что потребуется для запуска и обслуживания такого процесса.

Какие данные считаются персональными

Строго говоря, любая информация, которая относится прямо или косвенно к определенному физическому лицу – это его персональные данные. Заметьте, речь идет о людях, не о юридических лицах. Получается, достаточно указать ФИО и адрес проживания, чтобы инициировать защиту этих (а также связанных с ними) данных. Тем не менее, получение электронного письма с чьими-либо персональными данными в виде подписи и телефонного номера еще не повод их защищать. Ключевой термин: «Понятие сбора персональных данных». Для прояснения контекста несколько статей Закона «О персональных данных» хочу выделить особо.

Статья 5. Принципы обработки персональных данных. Следует иметь четкие цели, из которых ясно следует, зачем эта информация собирается. Иначе даже при полном соблюдении всех остальных норм и правил вероятны санкции.

Статья 10. Специальные категории персональных данных. Например, кадровая служба может фиксировать ограничения для командировок, в том числе беременность сотрудниц. Разумеется, такие дополнительные сведения также подлежат защите. Это сильно расширяет понимание ПДн, а также список отделов и информационных хранилищ компании, в которых нужно уделять внимание защите.

Статья 12. Трансграничная передача персональных данных. Если информационная система с данными о гражданах РФ находится на территории страны, которая не ратифицировала Конвенцию о защите персональных данных (например, в Израиле), следует придерживаться положений российского законодательства.

Статья 22. Уведомление об обработке персональных данных. Обязательное условие для того, чтобы не привлекать излишнее внимание регулятора. Ведете предпринимательскую деятельность, связанную с ПДн – сообщите об этом сами, не дожидаясь проверок.

Где могут находиться персональные данные

Технически ПДн могут находиться где угодно, начиная с печатных носителей (бумажные картотеки) до машинных носителей (жесткие диски, флэшки, компакт-диски и прочее). То есть в фокусе внимания любые хранилища данных , попадающие под определение ИСПДн (информационные системы персональных данных).

География расположения – отдельный большой вопрос. С одной стороны, персональные данные россиян (физических лиц, являющихся гражданами РФ) должны храниться на территории Российской Федерации. С другой стороны, на текущий момент это скорее вектор развития ситуации, чем свершившийся факт. Многие международные и экспортные компании, различные холдинги, совместные предприятия исторически имеют распределенную инфраструктуру – и в одночасье это не изменится. В отличие от методов хранения и защиты ПДн, которые должны быть скорректированы практически сейчас, сразу.

Минимальный список отделов, участвующих в записи, систематизации, накоплении, хранении, уточнении (обновлении, изменении), извлечении ПДн:

Кадровая служба.
Отдел продаж.
Юридический отдел.

Поскольку редко где царит идеальный порядок, в реальности к этому «ожидаемому» списку часто могут добавляться самые непредсказуемые подразделения. Например, на складе могут быть записаны персонифицированные сведения о поставщиках, или служба охраны может вести собственный подробный учет всех входящих на территорию. Таким образом, кстати, состав ПДн для сотрудников может быть дополнен данными по клиентам, партнерам, подрядчикам, а также случайным и даже чужим посетителям – ПДн которых становятся «криминалом» при фотографировании на пропуск, сканировании удостоверения личности и в некоторых других случаях. СКУД (системы контроля и управления доступом) запросто могут послужить источником проблем в контексте защиты ПДн. Поэтому ответ на вопрос «Где?» с точки зрения соблюдения Закона звучит так: повсеместно на подотчетной территории. Точнее можно ответить, только проведя соответствующий аудит. Это первый этап проекта по защите персональных данных. Полный список его ключевых фаз:

1) Аудит текущей ситуации в компании.

2) Проектирование технического решения.

3) Подготовка процесса по защите персональных данных.

4) Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании.

5) Внедрение технического решения.

6) Запуск процесса по защите персональных данных.

1. Аудит текущей ситуации в компании

Прежде всего, уточните в кадровой службе и в других подразделениях, использующих бумажные носители с персональными данными:

Есть ли формы согласия на обработку персональных данных? Они заполнены и подписаны?
Соблюдается ли «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15 сентября 2008 года № 687?

Определите географическое расположение ИСПДн:

В каких странах они находятся?
На каком основании?
Есть ли договоры на их использование?
Какая технологическая защита применяется для предотвращения утечки ПДн ?
Какие организационные меры принимаются для защиты ПДн?

В идеале, информационная система с ПДн россиян должна соответствовать всем требованиям закона 152-ФЗ «О персональных данных», даже если находится за границей.

Наконец, обратите внимание на внушительный список документов, который требуется в случае проверки (это еще не все, только основной перечень):

Уведомление об обработке ПДн.
Документ, определяющий ответственного за организацию обработки ПДн.
Перечень сотрудников, допущенных к обработке ПДн.
Документ, определяющий места хранения ПДн.
Справка об обработке специальных и биометрических категорий ПДн.
Справка об осуществлении трансграничной передачи ПДн.
Типовые формы документов с ПДн.
Типовая форма согласия на обработку ПДн.
Порядок передачи ПДн третьим лицам.
Порядок учета обращений субъектов ПДн.
Перечень информационных систем персональных данных (ИСПДн).
Документы, регламентирующие резервирование данных в ИСПДн.
Перечень используемых средств защиты информации.
Порядок уничтожения ПДн.
Матрица доступа.
Модель угроз.
Журнал учета машинных носителей ПДн.
Документ, определяющий уровни защищенности для каждой ИСПДн в соответствии с ПП-1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработки в информационных системах персональных данных».

2. Проектирование технического решения

Описание организационных и технических мер, которые должны быть приняты для защиты ПДн, приводится в Главе 4. «Обязанности оператора» Закона 152-ФЗ «О персональных данных». Техническое решение должно базироваться на положениях статьи 2 Закона 242-ФЗ от 21 июля 2014 года.

Но как соблюсти закон и обрабатывать ПДн граждан РФ на территории России в случае, когда ИСПДн все же находится за границей? Тут есть несколько вариантов:

Физический перенос информационной системы и БД на территорию РФ . Если технически реализуемо – это будет проще всего.
Оставляем ИСПДн за границей, но в России создаем ее копию и налаживаем одностороннюю репликацию ПДн граждан РФ из российской копии в иностранную. При этом в зарубежной системе нужно исключить возможность модификации ПДн граждан РФ, все правки только через российскую ИСПДн.
ИСПДн несколько и все они за границей. Перенос может быть дорогостоящим, либо вообще технически неосуществим (например, нельзя выделить часть базы с ПДн граждан РФ и вынести ее в Россию). В этом случае, решением может стать создание новой ИСПДн на любой доступной платформе на сервере в России, откуда будет осуществляться односторонняя репликация в каждую зарубежную ИСПДн. Отмечу, что выбор платформы остается за компанией.

Если ИСПДн полностью и монопольно не перенесена в Россию, не забудьте в справке о трансграничной передаче данных указать, кому и какой именно набор ПДн отсылается. В уведомлении об обработке нужно указать цель передачи персональных данных. Повторюсь, эта цель должна быть законной и четко обоснованной.

3. Подготовка процесса по защите персональных данных

Процесс защиты персональных данных должен определять как минимум следующие моменты:

Список ответственных за обработку персональных данных в компании.
Порядок предоставления доступа к ИСПДн. В идеале, это матрица доступа с уровнем доступа для каждой должности или конкретного сотрудника (чтение/чтение-запись/модификация). Либо перечень доступных ПДн для каждой должности. Здесь все зависит от реализации ИС и требований компании.
Аудит доступа к персональным данным и анализ попыток доступа с нарушением уровней доступа.
Анализ причин недоступности персональных данных.
Порядок реагирования на запросы субъектов ПДн относительно своих ПДн.
Пересмотр перечня персональных данных, которые передаются за пределы компании.
Пересмотр получателей персональных данных, в том числе за границей.
Периодический пересмотр модели угроз для ПДн, а также смена уровня защищенности персональных данных в связи с изменением модели угроз.
Поддержка документов компании в актуальном состоянии (список выше, и его можно-нужно дополнять, при необходимости).

Здесь можно детализировать каждый пункт, но особое внимание хочу обратить на уровень защищенности. Он определяется на основе следующих документов (читать последовательно):

1. «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (ФСТЭК РФ 14 февраля 2008 года).

2. Постановление Правительства РФ № 1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

3. Приказ ФСТЭК № 21 от 18 февраля 2013 года «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Также, не забудьте учесть необходимость наличия таких категорий расходов, как:

Организация проектной команды и управление проектом.
Разработчики для каждой из платформ ИСПДн.
Серверные мощности (собственные, или арендуемые в дата-центре).

К завершению второго и третьего этапов проекта вы должны иметь:

Расчет затрат.
Требования к качеству.
Сроки и календарный план проекта.
Технические и организационные риски проекта.

4. Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании

Короткий по формулировке, но важный этап, в рамках которого нужно удостовериться в том, что все запланированные действия не противоречат законодательству РФ и правилам компании (например, политикам безопасности). Если этого не сделать, в фундамент проекта будет заложена бомба, которая может «рвануть» в дальнейшем, уничтожив пользу от достигнутых результатов.

5. Внедрение технического решения

Здесь все более-менее очевидно. Конкретика зависит от исходной ситуации и решений. Но в общем случае должна получиться примерно следующая картина:

Выделены серверные мощности.
Сетевые инженеры предоставили достаточную пропускную способность каналов между приемником и передатчиком ПДн.
Разработчики наладили репликацию между базами данных ИСПДн.
Администраторы предотвратили изменения в ИСПДн, находящихся за границей.

Ответственное лицо за защиту ПДн или «владелец процесса» могут быть одним и тем же лицом или разными. Сам факт, что «владелец процесса» должен подготовить всю документацию и организовать весь процесс защиты ПДн. Для этого должны быть уведомлены все заинтересованные лица, сотрудники проинструктированы, а IT-служба содействовать внедрению технических мер по защите данных.

6. Запуск процесса по защите персональных данных

Это важный этап, и в некотором смысле цель всего проекта – поставить контроль на поток. Помимо технических решений и нормативной документации здесь критично важна роль владельца процесса. Он должен отслеживать изменения не только в законодательстве, но также в IT-инфраструктуре. Значит, необходимы соответствующие навыки и компетенции.

Кроме того, что критично важно в условиях реальной работы, владельцу процесса по защите ПДн нужны все необходимые полномочия и административная поддержка руководства компании. Иначе он будет вечным «просителем», на которого никто не обращает внимания, и через некоторое время проект можно будет перезапускать, снова начиная с аудита.

Нюансы

Несколько моментов, которые легко упустить из виду:

Если вы работаете с дата-центром, нужен договор об оказании услуг предоставления серверных мощностей, согласно которому ваша компания хранит данные на легальных основаниях и контролирует их.
Нужны лицензии на программное обеспечение, которое используется для сбора, хранения и обработки ПДн, либо договоры об его аренде.
В случае расположения ИСПДн за границей нужен договор с компанией, владеющей там системой – для гарантии соблюдения законодательства РФ применительно к персональным данным россиян.
Если персональные данные передаются подрядчику вашей компании (например, партнеру по IT-аутсорсингу), то в случае утечки ПДн от аутсорсера вы будете нести ответственность по претензиям. В свою очередь, ваша компания может предъявить претензии аутсорсеру. Возможно, этот фактор может повлиять на сам факт передачи работ на аутсорс.

И еще раз самое главное – защиту персональных данных нельзя взять и обеспечить. Это процесс. Непрерывный итерационный процесс, который будет сильно зависеть от дальнейших изменений в законодательстве, а также от формата и строгости применения этих норм на практике.

Марина Прохорова, редактор журнала "Персональные данные"

Наталья Самойлова, юрист компании "ИнфоТехноПроект"

Нормативноправовая база, сложившаяся к настоящему времени в сфере обработки персональных данных, документы, которые еще предстоит принять для более эффективной организации работы по защите персональных данных в организациях, технические аспекты подготовки информационных систем операторов персональных данных - именно эти темы в последнее время затрагивались во многих газетных и журнальных публикациях, посвященных проблематике персональных данных. В данной статье хотелось бы остановиться на таком аспекте организации работы банковских и кредитных учреждений, как "нетехническая" защита обрабатываемых в этих организациях персональных данных

Начнем с конкретного примера

Речь идет о судебном рассмотрении дела о защите персональных данных, возбужденном в отношении Сбербанка в июне 2008 г. Суть судебного разбирательства сводилась к следующему. Между гражданином и банком был заключен договор поручительства, в соответствии с которым гражданин принял обязательство отвечать перед банком за исполнение заемщиком обязательств по кредитному договору. Последний не выполнил свои обязательства в установленный кредитным договором срок, сведения о поручителе как о неблагонадежном клиенте были занесены в автоматизированную информационную систему банка "Стоп-лист", что, в свою очередь, явилось основанием для отказа в предоставлении ему кредита. При этом банк даже не уведомил гражданина о ненадлежащем выполнении заемщиком своих обязательств по кредитному договору. Кроме того, в договоре поручительства не было указано, что в случае ненадлежащего выполнения заемщиком своих обязательств банк вправе вносить сведения о поручителе в информационную систему "Стоп-лист". Таким образом, банком осуществлялась обработка персональных данных гражданина путем включения сведений о нем в информационную систему "Стоп-лист" без его согласия, что нарушает требования ч. 1 ст. 9 Федерального закона № 152-ФЗ от 27 июля 2006 г. "О персональных данных", согласно которой субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Помимо этого в порядке, предусмотренном ч. 1 ст. 14 этого же закона, гражданин обращался в банк с требованием предоставить ему возможность ознакомления со сведениями, занесенными о нем в информационную систему "Стоп-лист", а также о блокировании этих сведений и их уничтожении. Банком было отказано в удовлетворении требований гражданина.

По результатам рассмотрения дела Ленинский районный суд г. Владивостока удовлетворил исковые требования Управления Роскомнадзора по Приморскому краю к Сбербанку России о защите нарушенных прав гражданина и обязал банк уничтожить сведения о гражданине из информационной системы "Стоп-лист" .

Чем этот пример показателен? Банки, храня персональные данные значительного числа своих клиентов, не задумываясь, перемещают их из одной базы данных в другую , причем чаще всего не ставя об этом в известность субъекта персональных данных, не говоря уже о том, чтобы получить у него согласие на такие действия с его персональными данными. Конечно, банковская деятельность имеет ряд особенностей, и часто персональные данные клиентов используются не только для выполнения заключаемых банком договоров, но и для осуществления контроля банка за исполнением клиентом его обязательств, но это значит, что на любые манипуляции с персональными данными уже требуется согласие их субъекта.

Затруднения в толковании положений

Почему же не сделать любые операции с персональными данными законными? Безусловно, для этого, скорее всего, потребуется привлечение сторонних специалистов, так как даже юристы правовых управлений крупных банков являются первоклассными профессионалами лишь в определенной области, и со спецификой работы в сфере персональных данных им приходится знакомиться практически с нуля. Так что наилучший выход - привлечение к работам по организации системы защиты персональных данных компаний, специализирующихся в области оказания услуг по организации работы с персональными данными, в том числе способных провести аудит на предмет соответствия предпринимаемых вами мер нетехнической защиты требованиям законодателя.

Результаты аналитических исследований позволяют сделать выводы о том, что толкование каких положений Федерального закона № 152-ФЗ "О персональных данных" вызывает наибольшие затруднения.

В соответствии с частью 1 статьи 22 данного нормативного документа оператор обязан уведомить уполномоченный орган об осуществлении обработки персональных данных. Среди исключений - случай, когда обрабатываемые персональные данные были получены в связи с заключением договора, стороной которого является субъект персональных данных... и используются оператором исключительно для исполнения указанного договора на основании пункта 2 части 2 статьи 22 Федерального закона № 152-ФЗ "О персональных данных". Оперируя именно этим положением, некоторые банки не подают уведомление об обработке персональных данных, а многие и не считают себя операторами, что в корне неверно.

Также еще одна распространенная ошибка банков, как операторов персональных данных, связанная с договором, заключается в следующем. Согласно ст. 6 вышеназванного закона обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных за исключением случаев, среди которых осуществление обработки в целях исполнения договора, одной из сторон которого является субъект персональных данных. Поэтому многие банковские учреждения объясняют отсутствие у них согласия субъекта персональных данных именно фактом заключения такого договора.

Но давайте задумаемся, разве банк, являясь оператором, не использует полученные при заключении договора персональные данные субъекта, например, для рассылки уведомлений о новых услугах, для ведения "Стоп-листов"? Значит, обработка персональных данных осуществляется не только в целях исполнения договора, но и в иных целях, достижение которых представляет для банков коммерческий интерес, следовательно:

банки обязаны подавать уведомление об обработке персональных данных в уполномоченный орган;
банки должны осуществлять обработку персональных данных только с согласия субъекта.

А это значит, что банки должны организовать систему работы с персональными данными своих клиентов, то есть обеспечить нетехническую защиту таких данных.

Письменное согласие на обработку персональных данных

Что касается согласия субъекта персональных данных на обработку персональных данных, то Федеральный закон № 152-ФЗ "О персональных данных" обязывает операторов получать письменное согласие на обработку персональных данных только в определенных законом случаях. В то же время в соответствии с ч. 3 ст. 9 обязанность доказывать получение согласия субъекта на обработку его персональных данных возлагается на оператора. Чтобы при необходимости не тратить время на сбор таких доказательств (например, на поиск свидетелей), на наш взгляд, лучше в любом случае получать согласие от субъектов в письменной форме.

Приведем еще один аргумент за письменную форму обработки персональных данных. Зачастую деятельность банков предусматривает передачу данных (в том числе персональных) на территорию иностранного государства. По этому поводу ч. 1 ст. 12 Федерального закона № 152-ФЗ "О персональных данных" гласит, что до начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. Если такой защиты не обеспечивается, трансграничная передача персональных данных возможна только с письменного согласия субъекта персональных данных. Можно предположить, что сотруднику банка проще получить письменное согласие клиента на обработку персональных данных, чем устанавливать степень адекватности их защиты в иностранном государстве.

Обращаем ваше внимание на то, что сведения, которые должны содержаться в письменном согласии, перечислены в ч. 4 ст. 9 вышеупомянутого Федерального закона, и этот перечень исчерпывающий. А подпись под фразой, например, в кредитном договоре: "Я согласен на использование своих персональных данных", согласно Федеральному закону № 152-ФЗ "О персональных данных", согласием на их обработку не является!

Казалось бы, всего несколько пунктов закона, а сколько осложнений, вплоть до судебных тяжб, может вызвать их неправильное толкование. К тому же сегодня, когда персональные данные субъектов зачастую становятся товаром в конкурентной борьбе различных структур, успешное решение вопросов их защиты, обеспечение безопасности информационных систем банковских и кредитных учреждений становится залогом сохранения репутации, честного имени любой организации.

С каждым днем повышается информированность граждан о возможных негативных последствиях распространения их персональных данных, чему способствует появление профильных изданий. Есть и информационные ресурсы различных компаний. Одни из них в целом освещают весь широкий спектр вопросов, связанных с понятием "информационной безопасности", другие -посвящены обзорам мер и средств технической защиты, кто-то, наоборот, делает упор на проблемах, связанных с нетехнической защитой. Другими словами, информация по вопросам защиты персональных данных становится все более доступной, а значит, граждане, будут более подкованы в области защиты своих прав.

1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Законодательные основы защиты персональных данных в РФ

1.3.1 Общая характеристика источников угроз несанкционированного доступа в информационной системе персональных данных.

1.3.2 Общая характеристика угроз непосредственного доступа в операционную среду информационной системы персональных данных

1.3.3 Общая характеристика угроз безопасности персональных данных, реализуемых с использованием протоколов межсетевого взаимодействия

1.4Характеристика Банка и его деятельности

1.5Базы персональных данных

1.5.1 Информационная система персональных данных сотрудников организации

1.5.2 Информационная система персональных данных системы контроля и управления доступом

1.5.3 Информационная система персональных данных автоматизированной банковской системы

1.6 Устройство и угрозы локальной вычислительной сети Банка

1.7 Средства защиты информации

2.2 Программные и аппаратные средства защиты

2.3 Базовая политика безопасности

2.3.1 Система повышения осведомлённости сотрудников в вопросах информационной безопасности

2.3.4 Порядок работы сотрудников с электронной почтой

2.3.5 Парольная политика Банка

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА

ЗАКЛЮЧЕНИЕ

Приложения.

ВВЕДЕНИЕ

Повсеместная компьютеризация, взявшая начало в конце XX века продолжается и в наши дни. Автоматизация процессов на предприятиях повышает производительность труда работников. Пользователи информационных систем могут быстро получать данные необходимые для выполнения их должностных обязанностей. При этом вместе с облегчением доступа к данным существует проблемах сохранности этих данных. Обладая доступом к различным информационным системам, злоумышленники могут использовать их в корыстных целях: сбор данных для продажи их на чёрном рынке, кража денежных средств у клиентов организации, кража коммерческой тайны организации.

Поэтому проблема защиты критично важной информации для организаций стоит очень остро. Всё чаще становится известно из СМИ о различных техниках или методиках кражи денежных средств посредством взлома информационных систем финансовых организаций. Получив доступ в информационные системы персональных данных, злоумышленник может своровать данные клиентов финансовых организаций, информацию об их финансовых операциях распространить их, нанеся клиенту банка как финансовый, так и репутационный вред. Кроме того, узнав данные о клиенте, мошенники могут напрямую позвонить клиенту, представившись сотрудниками банков и обманным путём, используя технику социального инжиниринга узнать пароли от систем дистанционного банковского обслуживания и вывести деньги со счета клиента.

В нашей стране проблема кражи и незаконного распространения персональных данных стоит очень остро. В сети Интернет существует большое количество ресурсов, на которых содержаться ворованные базы персональных данных, с помощью которых, например, по номеру мобильного телефона, можно найти очень подробную информацию по человеку, включая его паспортные данные, адреса проживания, фотографии и многое другое.

В данном дипломном проекте я исследую процесс создания системы защиты персональных данных в ПАО «Ситибанк».

1. ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Законодательные основы защиты персональных данных

На сегодняшний день в России осуществляется государственное регулирование в области обеспечения безопасности персональных данных. Основными нормативно-правовыми актами, регулирующими систему защиты персональных данных в Российской Федерации являются Конституция Российской Федерации и Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ. Эти два основных правовых акта устанавливают основные тезисы о персональных данных в Российской Федерации:

Каждый гражданин имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени;

Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения;

Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

Обработка персональных данных должна осуществляться на законной и справедливой основе;

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

Обработке подлежат только персональные данные, которые отвечают целям их обработки.

При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Прочими нормативными актами, оказывающие правовое воздействие в области защиты персональных данных в организациях банковской сфере Российской Федерации являются:

Федеральный закон Российской Федерации от 27 июля 2006 г. №149 ФЗ «Об информации, информационных технологиях и о защите информации»;

Трудовой кодекс Российской Федерации (глава 14);

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Рассмотрим основные определения, используемые в законодательстве.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор персональных данных - государственный орган, муници-пальный орган, юридическое или физическое лицо, самостоятельно или со-вместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных - действия, в результате кото-рых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Информационная система персональных данных - совокупность со-держащихся в базах данных персональных данных и обеспечивающих их обработку информационных техно‫логий и технических средств;

Транс‫граничная передача персональных данных - передача персо-нальных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных.

Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных

1.2Классификация угроз информационной безопасности персональных данных.

Под угрозой информационной безопасности понимается угроза нарушения свойств информационной безопасности - доступности, целостности или конфиденциальности информационных активов организации.

Перечень угроз, оценка вероятности их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты автоматизированной системы. Кроме выявления возможных угроз, необходимо провести анализ выявленных угроз на основе их классификации по ряду признаков. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Так как хранимая и обрабатываемая информация в со‫временных АС подвержена воздействию чрезвычайно большого числа факторов, то становится невозможным формализовать задачу описания полного множества угроз. Поэтому для защищаемой системы обычно определяется не перечень угроз, а перечень классов угроз.

Классификация возможных угроз информационной безопасности АС может быть проведена по следующим базовым признакам:

По природе возникновения:

Oестественные угрозы, вызванные воздействиями на АС объективных физических процессов или стихийных природных явлений;

Oискусственные угрозы безопасности АС, вызванные деятельно-стью человека.

По степени преднамеренности проявления:

Oугрозы, вызванные ошибками или халатностью персонала, например неправильное использование средств защиты, халатность при работе с данными;

Oугрозы преднамеренного действия, например взлом автоматизированной системы злоумышленниками, уничтожение данных работниками организации с целью мести работодателю.

По не‫посредственному источнику угроз:

Oестественные угрозы, например стихийные бедствия, техногенные катастрофы;

Oчеловеческие угрозы, например: уничтожение информации, разглашение конфиденциальных данных;

Oразрешенные программно-аппаратные средства, например физическая поломка аппаратуры, ошибки программного обеспечения, конфликты программного обеспечения;

Oнеразрешённые программно-аппаратные средства, например внедрение аппаратных закладок, программных закладок.

По положению источника угроз:

Oвне контролируемой зоны, к примеру перехват данных, передаваемых по каналам связи;

Oв пределах контролируемой зоны, например несанкционированное копирование информации, несанкционированный доступ в защищаемую зону;

Oне‫посредственно в автоматизированной системе, например некорректное использование ресурсов АС.

По степени зависимости от активности АС:

Oнезависимо от активности АС, например физическая кража носителей информации;

Oтолько в процессе обработки данных, например заражение вредоносным ПО.

По степени воздействия на АС:

Oпассивные угрозы, которые при реализации ничего не меняют в структуре и содержании АС, например угроза копирования сек-ретных данных;

Oактивные угрозы, которые при воздействии вносят изменения в структуру и содержание АС, например удаление данных, их модификация.

По этапам доступа пользователей или программ к ресурсам:

Oугрозы, проявляющиеся на этапе доступа к ресурсам АС, например: угрозы несанкционированного доступа в АС;

Oугрозы, проявляющиеся после разрешения доступа к ресурсам АС, например некорректное использование ресурсов АС.

По способу доступа к ресурсам АС:

Oугрозы, осуществляемые с использованием стандартного пути доступа к ресурсам АС

Oугрозы, осуществляемые с использованием скрытого нестандартного пути доступа к ресурсам АС, например: несанкционированный доступ к ресурсам АС путем использования недокументированных возможностей установленного ПО.

По текущему месту расположения информации, хранимой и обрабатываемой в АС:

Oугрозы доступа к информации, находящейся на внешних запоминающих устройствах, например: копирование конфиденциальной информации с носителей информации;

Oугрозы доступа к информации, находящейся в оперативной памяти, например: чтение остаточной информации из оперативной памяти, доступ к системной области оперативной памяти со стороны прикладных программ;

Oугрозы доступа к информации, циркулирующей в линиях связи, например: незаконное подключение к линиям связи с целью сня-тия информации, отправка модифицированных данных;

Опасные воздействия на автоматизированную систему подразделяются на случайные и преднамеренные.

Причинами случайных воздействий при эксплуатации АС могут быть:

Аварийные ситуации из-за стихийных бедствий и отключений электропитания;

Отказы в обслуживании;

Ошибки в программном обеспечении;

Ошибки в работе обслуживающего персонала и пользователей;

Помехи в линиях связи из-за воздействий внешней среды.

Использование ошибок в программном обеспечении является самым распространённым способом нарушения информационной безопасности информационных систем. В зависимости от сложности ПО, количество ошибок возрастает. Злоумышленники могут находить эти уязвимости и через них получать доступ в информационную систему организации. Чтобы минимизировать эти угрозы необходимо постоянно поддерживать актуальность версий программного обеспечения.

Пред‫намеренные угрозы связаны с целенаправленными действиями злоумышленников. Злоумышленники разделяются на два типа: внутренний злоумышленник и внешний злоумышленник. Внутренний злоумышленник совершает противоправные действия находясь в пределах контролируемой зоны автоматизированной системы и может пользоваться должностными полномочиями для санкционированного доступа к автоматизированной системе. Внешний злоумышленник не имеет доступа в пределы контролируемой зоны, но может действовать одновременно с внутренним злоумышленником для достижения своих целей.

Имеет место три основных угрозы безопасности информации, направленных непосредственно на защищаемую информацию:

Нарушение конфиденциальности - конфиденциальная информация не изменяется, но становится доступна третьим лицам, не допущенным к это информации. При реализации этой угрозы существует большая вероятность разглашения злоумышленником украденной информации, что может повлечь за собой финансовый или репутационный вред. Нарушение целостности защищаемой информации - искажение, изменение или уничтожение информации. Целостность информации может быть нарушена не умышленно, а в следствии некомпетентности или халатности сотрудника предприятия. Так же целостность может быть нарушена злоумышленником для достижения собственных целей. Например, изменение реквизитов счетов в автоматизированной банковской системе с целью перевода денежных средств на счёт злоумышленника или подмена персональных данных клиента организации для получения информации о сотрудничестве клиента с организацией.

Нарушение доступности защищаемой информации или отказ в обслуживании - действия, при которых авторизованный пользователь не может получить доступ к защищаемой информации в следствии таких причин как: отказ аппаратуры, программного обеспечения, выхода из строя локальной вычислительной сети.

После рассмотрения угроз автоматизированных систем можно перейти к анализу угроз информационной системы персональных данных.

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Информационные системы персональных данных представляют собой совокупность информационных и программно-аппаратных элементов, а также информационных технологий, применяемых при обработке персональных данных.

Основными элементами ИСПДн являются:

Персональные данные, содержащиеся в базах данных;

Информационные технологии, применяемые при обработке ПДн;

Технические средства, осуществляющие обработку персональ-ных данных (средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных, средства и системы звукозаписи, звукоусиления, звуковоспроизведения, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации);

Программные средства (операционные системы, системы управле-ния базами данных и т.п.);

Средства защиты информации ИСПДн;

Вспомогательные технические средства и системы - технические средства и системы, их коммуникации, не предназначенные для обработки персональных данных, но размещенные в помещениях, в которых расположены ИСПДн.

Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

К характеристикам информационной системы персональных данных, обусловливающим возникновение УБПДн, можно отнести категорию и объем обрабатываемых в информационной системе персональных данных персональных данных, структуру информационной системы персональных данных, наличие подключений ИСПДн к сетям связи общего пользования и (или) сетям международного информационного обмена, характеристики подсистемы безопасности персональных данных, обрабатываемых в ИСПДн, режимы обработки персональных данных, режимы разграничения прав доступа пользователей ИСПДн, местонахождение и условия размещения технических средств ИСПДн.

Свойства среды распространения информативных сигналов, содержащих защищаемую информацию, характеризуются видом физической среды, в которой распространяются ПДн, и определяются при оценке возможности реализации УБПДн. Возможности источников УБПДн обусловлены совокупностью способов несанкционированного и (или) случайного доступа к ПДн, в результате которого возможно нарушение конфиденциальности (копирование, неправомерное распространение), целостности (уничтожение, изменение) и доступности (блокирование) ПДн.

Угроза безопасности персональных данных реализуется в результате образования канала реализации УБПДн между источником угрозы и носителем (источником) ПДн, что создает условия для нарушения безопасности ПДн.

Основными элементами канала реализации УБПДн (рисунок 1) являются:

Источник УБПДн - субъект, материальный объект или физическое явление, создающие УБПДн;

Среда распространения ПДн или воздействий, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства персональных данных;

Носитель персональных данных - физическое лицо или материальный объект, в том числе физическое поле, в котором ПДн находят свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

Рисунок 1. Обобщенная схема канала реализации угроз безопасности персональных данных

Носители ПДн могут содержать информацию, представленную в следующих видах:

Акустическая (речевая) информация, содержащаяся непосредственно в произносимой речи пользователя ИСПДн при осуществлении им функции голосового ввода ПДн в информационной системе персональных данных, либо воспроизводимая акустическими средствами ИСПДн (если такие функции предусмотрены технологией обработки ПДн), а также содержащаяся в электромагнитных полях и электрических сигналах, которые возникают за счет преобразований акустической информации;

Видовая информация (ВИ), представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн;

Информация, обрабатываемая (циркулирующая) в ИСПДн, в виде электрических, электромагнитных, оптических сигналов;

Информация, обрабатываемая в ИСПДн, представленная в виде бит, байт, файлов и других логических структур.

В целях формирования систематизированного перечня УБПДн при их обработке в ИСПДн и разработке на их основе частных моделей применительно к конкретному виду ИСПДн угрозы классифицируются в соответствии со следующими признаками (рисунок 2):

По виду защищаемой от УБПДн информации, содержащей ПДн;

По видам возможных источников УБПДн;

По типу ИСПДн, на которые направлена реализация УБПДн;

По способу реализации УБПДн;

По виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн);

По используемой уязвимости;

По объекту воздействия.

По видам возможных источников УБПДн выделяются следующие

Классы угроз:

Угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИСПДн, включая пользовате-лей информационной системы персональных данных, реализую-щих угрозы непосредственно в ИСПДн (внутренний нарушитель);

Угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующих уг-розы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель).

Кроме того, угрозы могут возникать в результате внедрения аппаратных закладок и вредоносных программ.

По типу ИСПДн, на которые направлена реализация УБПДн, выделяются следующие классы угроз:

УБПДн, обрабатываемых в ИСПДн на базе автономного автоматизированного рабочего места (АРМ);

УБПДн, обрабатываемых в ИСПДн на базе АРМ, подключенного к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе локальных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе локальных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена).

По способам реализации УБПДн выделяются следующие классы угроз:

Угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ);

Угрозы утечки персональных данных по техническим каналам утечки информации;

Угрозы специальных воздействий на ИСПДн.

По виду несанкционированных действий, осуществляемых с ПДн, выделяются следующие классы угроз:

Угрозы, приводящие к нарушению конфиденциальности ПДн (ко-пированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;

Угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение ПДн или их уничтожение;

Угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование ПДн.

По используемой уязвимости выделяются следующие классы угроз:

Угрозы, реализуемые с использованием уязвимости системного ПО;

Угрозы, реализуемые с использованием уязвимости прикладного ПО;

Угрозы, возникающие в результате использования уязвимости, вызванной наличием в АС аппаратной закладки;

Угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

Угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации ТЗИ от НСД;

Угрозы, реализуемые с использованием уязвимостей, обусловли-вающих наличие технических каналов утечки информации;

Угрозы, реализуемые с использованием уязвимостей СЗИ.

По объекту воздействия выделяются следующие классы угроз:

Угрозы безопасности ПДн, обрабатываемых на АРМ;

Угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т.п.);

Угрозы безопасности ПДн, передаваемых по сетям связи;

Угрозы прикладным программам, с помощью которых обрабатываются ПДн;

Угрозы системному ПО, обеспечивающему функционирование ИСПДн.

Реализация одной из УБПДн перечисленных классов или их совокуп-ности может привести к следующим типам последствий для субъектов ПДн:

Значительным негативным последствиям для субъектов ПДн;

Негативным последствиям для субъектов ПДн;

Незначительным негативным последствиям для субъектов ПДн.

Угрозы утечки персональных данных по техническим каналам одно-значно описываются характеристиками источника информации, среды рас-пространения и приемника информативного сигнала, то есть определяются характеристиками технического канала утечки ПДн.

Угрозы, связанные с несанкционированным доступом (НСД), представляются в виде совокупности обобщенных классов возможных источни-ков угроз НСД, уязвимостей программного и аппаратного обеспечения ИСПДн, способов реализации угроз, объектов воздействия (носителей защищаемой информации, директориев, каталогов, файлов с ПДн или самих ПДн) и возможных деструктивных действий. Такое представление описывается следующей формализованной записью (рис. 2).

1.3Общая характеристика источников угроз в информационных системах персональных данных

Угрозы НСД в ИСПДн с применением программных и программно-аппаратных средств реализуются при осуществлении несанкционированного, в том числе случайного, доступа, в результате которого осуществляется нарушение конфиденциальности, целостности и доступности ПДн, и включают в себя:

Угрозы несанкционированного доступа в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения);

Угрозы создания нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных, игнорирования предусмотренных в штатных условиях ограничений на состав и характеристики обрабатываемой информации, искажения (модификации) самих данных и т.п.;

Рисунок 2 Классификация УБПДн, обрабатываемых в информационных системах персональных данных

Угрозы внедрения вредоносных программ (программно-математического воздействия).

Состав элементов описания угроз НСД к информации в ИСПДн приведен на рисунке 3.

Кроме этого, возможны комбинированные угрозы, представляющие собой сочетание указанных угроз. Например, за счет внедрения вредоносных программ могут создаваться условия для НСД в операционную среду компьютера, в том числе путем формирования нетрадиционных информационных каналов доступа.

Угрозы несанкционированного доступа в операционную среду ИСПДн с использованием штатного программного обеспечения разделяются на угрозы непосредственного и удаленного доступа. Угрозы непосредственного доступа осуществляются с использованием программных и программно-аппаратных средств ввода/вывода компьютера. Угрозы удаленного доступа реализуются с использованием протоколов сетевого взаимодействия.

Такие угрозы реализуются относительно ИСПДн как на базе автоматизированного рабочего места, не включенного в сети связи общего пользования, так и применительно ко всем ИСПДн, имеющим подключение к сетям связи общего пользования и сетям международного информационного обмена.

Рисунок 3 Классификация УБПДн, обрабатываемых в информационных системах персональных данных

Источниками угроз в информационной системой персональных данных могут быть:

Нарушитель;

Носитель вредоносной программы;

Аппаратная закладка.

Угрозы безопасности ПДн, связанные с внедрением аппаратных закладок, определяются в соответствии с нормативным документами Федеральной службы безопасности Российской Федерации в установленном ею порядке.

По наличию права постоянного или разового доступа в контролируемую зону ИСПДн нарушители подразделяются на два типа:

Нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, - внешние нарушители;

Нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, - внутренние нарушители.

Внешними нарушителями могут быть:

Конкурирующие организации;

Недобросовестные партнеры;

Внешние субъекты (физические лица).

Внешний нарушитель имеет следующие возможности:

Осуществлять несанкционированный доступ к каналам связи, выходящим за пределы служебных помещений;

Осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена;

Осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;

Осуществлять несанкционированный доступ через элементы информационной инфраструктуры информационной системой персональных данных, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;

Осуществлять несанкционированный доступ через информационные системы взаимодействующих ведомств, организаций и учреждений при их подключении к ИСПДн.

Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.

К первой категории относятся лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИСПДн.

Иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИСПДн;

Располагать фрагментами информации о топологии ИСПДн и об используемых коммуникационных протоколах и их сервисах;

Располагать именами и вести выявление паролей зарегистрированных пользователей;

Изменять конфигурацию технических средств ИСПДн, вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИСПДн.

Обладает всеми возможностями лиц первой категории;

Знает, по меньшей мере, одно легальное имя доступа;

Обладает всеми необходимыми атрибутами, обеспечивающими доступ к некоторому подмножеству ПДн;

Располагает конфиденциальными данными, к которым имеет доступ.

Его доступ, аутентификация и права по доступу к некоторому подмножеству ПДн должны регламентироваться соответствующими правилами разграничения доступа.

Обладает всеми возможностями лиц первой и второй категорий;

Располагает информацией о топологии ИСПДн на базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств ИСПДн;

Имеет возможность прямого (физического) доступа к фрагментам технических средств ИСПДн.

Обладает полной информацией о системном и прикладном программном обеспечении, используемом в сегменте (фрагменте) ИСПДн;

Обладает полной информацией о технических средствах и конфигурации сегмента (фрагмента) ИСПДн;

Имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте (фрагменте) ИСПДн;

Имеет доступ ко всем техническим средствам сегмента (фрагмента) ИСПДн;

Обладает правами конфигурирования и административной настройки некоторого подмножества технических средств сегмента (фрагмента) ИСПДн.

Полномочиями системного администратора ИСПДн.

Обладает всеми возможностями лиц предыдущих категорий;

Обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;

Обладает полной информацией о технических средствах и конфигурации ИСПДн;

Имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;

Обладает правами конфигурирования и административной настройки технических средств ИСПДн.

Системный администратор выполняет конфигурирование и управление программным обеспечением и оборудованием, включая оборудование, отвечающее за безопасность защищаемого объекта: средства криптографической защиты информации, мониторинга, регистрации, архивации, защиты от НСД.

Обладает всеми возможностями лиц предыдущих категорий;

Обладает полной информацией об ИСПДн;

Имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн;

Не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

Обладает информацией об алгоритмах и программах обработки информации на ИСПДн;

Обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;

Может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.

Обладает возможностями внесения закладок в технические средства ИСПДн на стадии их разработки, внедрения и сопровождения;

Может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты информации в ИСПДн.

Носителем вредоносной программы может быть аппаратный элемент компьютера или программный контейнер. Если вредоносная программа не ассоциируется с какой-либо прикладной программой, то в качестве ее носителя рассматриваются:

Отчуждаемый носитель, то есть дискета, оптический диск, флэш-память;

Встроенные носители информации (жесткие диски, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок, - видеоадаптера, сетевой платы, звуковой платы, модема, устройств ввода/вывода магнитных жестких и оптических дисков, блока питания и т.п., микросхемы прямого доступа к памяти, шин передачи данных, портов ввода/вывода);

Микросхемы внешних устройств (монитора, клавиатуры, принтера, модема, сканера и т.п.).

Если вредоносная программа ассоциируется с какой-либо прикладной программой, с файлами, имеющими определенные расширения или иные атрибуты, с сообщениями, передаваемыми по сети, то ее носителями являются:

Пакеты передаваемых по компьютерной сети сообщений;

Файлы (текстовые, графические, исполняемые и т.д.).

Угрозы несанкционированного доступа в операционную среду компьютера и несанкционированного доступа к ПДн связаны с доступом:

К информации и командам, хранящимся в базовой системе ввода/вывода ИСПДн, с возможностью перехвата управления загрузкой операционной системы и получением прав доверенного пользователя;

В операционную среду, то есть в среду функционирования локальной операционной системы отдельного технического средства ИСПДн с возможностью выполнения несанкционированного доступа путем вызова штатных программ операционной системы или запуска специально разработанных программ, реализующих такие действия;

В среду функционирования прикладных программ (например, к локальной системе управления базами данных);

Непосредственно к информации пользователя (к файлам, текстовой, аудио- и графической информации, полям и записям в электронных базах данных) и обусловлены возможностью нарушения ее конфиденциальности, целостности и доступности.

Эти угрозы могут быть реализованы в случае получения физического доступа к ИСПДн или, по крайней мере, к средствам ввода информации в ИСПДн. Их можно объединить по условиям реализации на три группы.

Первая группа включает в себя угрозы, реализуемые в ходе загрузки операционной системы. Эти угрозы безопасности информации направлены на перехват паролей или идентификаторов, модификацию программного обеспечения базовой системы ввода/вывода, перехват управления загрузкой с изменением необходимой технологической информации для получения НСД в операционную среду ИСПДн. Чаще всего такие угрозы реализуются с использованием отчуждаемых носителей информации.

Вторая группа - угрозы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем. Эти угрозы, как правило, направлены на выполнение непосредственно несанкционированного доступа к информации. При получении доступа в операционную среду нарушитель может воспользоваться как стандартными функциями операционной системы или какой-либо прикладной программы общего пользования (например, системы управления базами данных), так и специально созданными для выполнения несанкционированного доступа программами, например:

Программами просмотра и модификации реестра;

Программами поиска текстов в текстовых файлах по ключевым словам и копирования;

Специальными программами просмотра и копирования записей в базах данных;

Программами быстрого просмотра графических файлов, их редактирования или копирования;

Программами поддержки возможностей реконфигурации программной среды (настройки ИСПДн в интересах нарушителя).

Наконец, третья группа включает в себя угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ. Большая часть таких угроз - это угрозы внедрения вредоносных программ.

Если ИСПДн реализована на базе локальной или распределенной информационной системы, то в ней могут быть реализованы угрозы безопасности информации путем использования протоколов межсетевого взаимодействия. При этом может обеспечиваться НСД к ПДн или реализовываться угроза отказа в обслуживания. Особенно опасны угрозы, когда ИСПДн представляет собой распределенную информационную систему, подключенную к сетям общего пользования и (или) сетям международного информационного обмена. Классификационная схема угроз, реализуемых по сети, приведена на рисунке 4. В ее основу положено семь следующих первичных признаков классификации.

Рисунок 4 Классификационная схема угроз с использованием протоколов межсетевого взаимодействия

1. Характер угрозы. По этому признаку угрозы могут быть пассивные и активные. Пассивная угроза - это угроза, при реализации которой не оказывается непосредственное влияние на работу ИСПДн, но могут быть нарушены установленные правила разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Анализ сетевого трафика», направленная на прослушивание каналов связи и перехват передаваемой информации. Активная угроза - это угроза, связанная с воздействием на ресурсы ИСПДн, при реализации которой оказывается непосредственное влияние на работу системы (изменение конфигурации, нарушение работоспособности и т.д.), и с нарушением установленных правил разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Отказ в обслуживании», реализуемая как «шторм TCP-запросов».

2. Цель реализации угрозы. По этому признаку угрозы могут быть направлены на нарушение конфиденциальности, целостности и доступности информации (в том числе на нарушение работоспособности ИСПДн или ее элементов).

3. Условие начала осуществления процесса реализации угрозы. По этому признаку может реализовываться угроза:

По запросу от объекта, относительно которого реализуется угроза. В этом случае нарушитель ожидает передачи запроса определенного типа, который и будет условием начала осуществления несанкционированного доступа;

По наступлению ожидаемого события на объекте, относительно которого реализуется угроза. В этом случае нарушитель осуществляет постоянное наблюдение за состоянием операционной системы ИСПДн и при возникновении определенного события в этой системе начинает несанкционированный доступ;

Безусловное воздействие. В этом случае начало осуществления несанкционированного доступа безусловно по отношению к цели доступа, то есть угроза реализуется немедленно и безотносительно к состоянию системы.

4. Наличие обратной связи с ИСПДн. По этому признаку процесс реализации угрозы может быть с обратной связью и без обратной связи. Угроза, осуществляемая при наличии обратной связи с информационной системой персональных данных, характеризуется тем, что на некоторые запросы, переданные на ИСПДн, нарушителю требуется получить ответ. Следовательно, между нарушителем и информационной системой персональных данных существует обратная связь, которая позволяет нарушителю адекватно реагировать на все изменения, происходящие в ИСПДн. В отличие от угроз, реализуемых при наличии обратной связи с информационной системой персональных данных, при реализации угроз без обратной связи не требуется реагировать на какие-либо изменения, происходящие в ИСПДн.

5. Расположение нарушителя относительно ИСПДн. В соответствии с этим признаком угроза реализуется как внутрисегментно, так и межсегментно.

Сегмент сети - физическое объединение хостов (технических средств ИСПДн или коммуникационных элементов, имеющих сетевой адрес). Например, сегмент информационной системой персональных данных образует совокупность хостов, подключенных к серверу по схеме «общая шина». В случае, когда имеет место внутрисегментная угроза, нарушитель имеет физический доступ к аппаратным элементам ИСПДн. Если имеет место межсегментная угроза, то нарушитель располагается вне ИСПДн, реализуя угрозу из другой сети или из другого сегмента информационной системой персональных данных.

6. Уровень эталонной модели взаимодействия открытых систем (ISO/OSI), на котором реализуется угроза. По этому признаку угроза может реализовываться на физическом, канальном, сетевом, транспортном, сеансовом, представительном и прикладном уровне модели ISO/OSI.

7. Соотношение количества нарушителей и элементов ИСПДн, относительно которых реализуется угроза. По этому признаку угроза может быть отнесена к классу угроз, реализуемых одним нарушителем относительно одного технического средства ИСПДн (угроза «один к одному»), сразу относительно нескольких технических средств ИСПДн (угроза «один ко многим») или несколькими нарушителями с разных компьютеров относительно одного или нескольких технических средств ИСПДн (распределенные или комбинированные угрозы).

С учётом проведённой классификации выделим основные типы атак на информационную систему персональных данных:

1.Анализ сетевого трафика.

Эта угроза реализуется с помощью специального программного обеспечения-анализатора пакетов, перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль. В ходе реализации угрозы нарушитель изучает логику работы сети - то есть стремится получить однозначное соответствие событий, происходящих в системе, и команд, пересылаемых при всём этом хостами, в момент появления данных событий. В дальнейшем это позволяет злоумышленнику на основе задания соответствующих команд получить, привилегированные права на действия в системе или расширить свои полномочия в ней, перехватить поток передаваемых данных, которыми обмениваются компоненты сетевой операционной системы, для извлечения конфиденциальной или идентификационной информации, ее подмены и модификации.

2.Сканирование сети.

Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них. Цель - выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.

3.Угроза выявления пароля.

Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети и перехват пакетов. В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя точку входа для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

4.Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа.

Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов и пользователей. Под доверенным объектом понимается объект сети (компьютер, межсетевой экран, маршрутизатор и т.п.), легально подключенный к серверу. Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения. Процесс реализации с установлением виртуального соединения состоит в присвоении прав доверенного субъекта взаимодействия, что позволяет нарушителю вести сеанс работы с объектом сети от имени доверенного субъекта. Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений. Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств (например, от имени маршрутизаторов) об изменении маршрутно-адресных данных.

В результате реализации угрозы нарушитель получает права доступа, установленные пользователем для доверенного абонента, к техническому средству ИСПДн.

5.Навязывание ложного маршрута сети.

Данная угроза реализуется одним из двух способов: путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, из-за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть злоумышленника, где можно войти в операционную среду технического средства в составе ИСПДн. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации и управления сетью для внесения изменений в маршрутно-адресные таблицы. При этом нарушителю необходимо послать от имени сетевого управляющего устройства (например, маршрутизатора) управляющее сообщение.

6.Внедрение ложного объекта сети.

Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае, если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска, заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети

7.Отказ в обслуживании.

Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты. Могут быть выделены несколько разновидностей таких угроз:

Скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПДн на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить: направленный шторм эхо-запросов по протоколу ICMP, шторм запросов на установление TCP-соединений, шторм запросов к FTP-серверу;

Явный отказ в обслуживании, вызванный исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из-за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов, дискового пространства памяти и т.д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов, направленный шторм, шторм сообщений почтовому серверу;

Явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных или идентификационной и аутентификационной информации;

Явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами или имеющих длину, превышающую максимально допустимый размер, что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена. Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПДн в ИСПДн, передача с одного адреса такого количества запросов на подключение к техническому средству в составе ИСПДн, какое максимально может обработать трафик, что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера из-за невозможности системы заниматься ничем другим, кроме обработки запросов.

8.Удалённый запуск приложений.

Угроза заключается в стремлении запустить на хосте ИСПДн различное предварительно внедренное вредоносные программное обеспечение: программы-закладки, вирусы, «сетевые шпионы», основная цель которого - нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста. Кроме того, возможен несанкционированный запуск прикладных программ пользователей для несанкционированного получения необходимых нарушителю данных, для запуска управляемых прикладной программой процессов и др. Выделяют три подкласса данных угроз:

Распространение файлов, содержащих несанкционированный исполняемый код;

Удаленный запуск приложения путем переполнения буфера приложений-серверов;

Удаленный запуск приложения путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами.

Типовые угрозы первого из указанных подклассов основываются на активизации распространяемых файлов при случайном обращении к ним. Примерами таких файлов могут служить: файлы, содержащие исполняемый код в виде макрокоманд (документы Microsoft Word, Excel), html-документы, содержащие исполняемый код в виде элементов ActiveX, Java-апплетов, интерпретируемых скриптов (например, вредоносное ПО на JavaScript); файлы, содержащие исполняемые коды программ.

Для распространения файлов могут ис‫пользоваться службы электронной почты, передачи файлов, сетевой файловой системы.

При угрозах второго подкласса используются недостатки программ, реализующих сетевые сервисы (в частности, отсутствие контроля переполнения буфера). Настройкой системных регистров иногда удается переключить процессор после прерывания, вызванного переполнением буфера, на исполнение кода, содержащегося за границей буфера.

При угрозах третьего под‫класса нарушитель использует возможности удаленного управления системой, предоставляемые скрытыми компонентами либо штатными средствами управления и администрирования компьютерных сетей. В результате их использования удается добиться удаленного контроля над станцией в сети. Схематично основные этапы работы этих программ выглядят следующим образом: инсталляция в памяти; ожидание запроса с удаленного хоста, на котором запущена клиент-программа, и обмен с ней сообщениями о готовности; передача перехваченной информации клиенту или предоставление ему контроля над атакуемым компьютером. Возможные последствия от реализации угроз различных классов приведены в таблице 1

Таблица 1. Возможные последствия реализации угроз различных классов

№ п/п	Тип атаки		Возможные последствия
1	Анализ сетевого трафика		Исследование характеристик сетевого трафика, перехват передаваемых данных, в том числе идентификаторов и паролейпользователей
2	Сканирование сети		Определение протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, активных сетевых сервисов, идентификаторов и паролей пользователей
3	«Парольная» атака		Выполнение любого деструктивного действия, связанного с получением несанкционированного доступа
4	Подмена доверенного объекта сети		Изменение трассы прохождения сообщений, несанкционированное изменение маршрутно-адресных данных. Несанкционированныйдоступ к сетевым ресурсам, навязывание ложной информации
5	Навязывание ложного маршрута		Несанкционированное изменение маршрутно-адресных данных, анализ и модификация передаваемых данных, навязывание ложных сообщений
6	Внедрение ложного объекта сети		Перехват и просмотр трафика. Несанкционированный доступ к сетевым ресурсам, навязывание ложной информации
7	Отказ в обслуживании	Частичное исчерпание ресурсов	Снижение пропускной способности каналов связи, производительности сетевых устройств. Снижение производительности серверных приложений.
		Полное исчерпание ресурсов	Невозможность передачи сообщений из-за отсутствия доступа к среде передачи, отказ в установлении соединения. Отказ в предоставлении сервиса.
		Нарушение логической связанности между атрибутами, данными, объектами	Невозможность передачи сообщений из-за отсутствия корректных маршрутно-адресных данных. Невозможность получения услуг ввиду несанкционированноймодификации идентификаторов, паролей и т.п.
		Использование ошибок в программах	Нарушение работоспособности сетевых устройств.
8	Удалённыйзапуск приложений	Путём рассылки файлов, содержащих деструктивный исполняемы код, вирусное заражение.	Нарушение конфиденциальности, целостности, доступности информации.
		Путём переполнения буфера серверного приложения
		Путём использования возможностей удалённого управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами	Скрытое управление системой.

Процесс реализации угрозы в общем случае состоит из четырех этапов:

Сбора информации;

Вторжения (проникновения в операционную среду);

Осуществления несанкционированного доступа;

Ликвидации следов несанкционированного доступа.

На этапе сбора информации нарушителя могут интересовать различные сведения об ИСПДн, в том числе:

О топологии сети, в которой функционирует система. При этом может исследоваться область вокруг сети (например, нарушителя могут интересовать адреса доверенных, но менее защищенных хостов). Существуют утилиты, осуществляющие параллельное определение доступности хостов, которые способны просканировать большую область адресного пространства на предмет доступности хостов за короткий промежуток времени.;

О типе операционной системы (ОС) в ИСПДн. Можно отметить метод определения типа ОС, как простейший запрос на установление соединения по протоколу удаленного доступа Тelnet, в результате которого по «внешнему виду» ответа можно определить тип ОС хоста. Наличие определенных сервисов также может служить дополнительным признаком для определения типа ОС хоста;

О функционирующих на хостах сервисах. Определение сервисов, исполняемых на хосте, основано на методе выявления «открытых портов», направленном на сбор информации о доступности хоста.

На этапе вторжения исследуется наличие типовых уязвимостей в системных сервисах или ошибок в администрировании системы. Успешным результатом использования уязвимостей обычно является получение процессом нарушителя привилегированного режима выполнения (доступа к привилегированному режиму выполнения процессора), внесение в систему учетной записи незаконного пользователя, получение файла паролей или нарушение работоспособности атакуемого хоста.

Этот этап развития угрозы, как правило, является многофазным. К фазам процесса реализации угрозы могут относиться, например: установление связи с хостом, относительно которого реализуется угроза; выявление уязвимости; внедрение вредоносной программы в интересах расширения прав и др.

Угрозы, реализуемые на этапе вторжения, подразделяются по уровням стека протоколов TCP/IP, поскольку формируются на сетевом, транспортном или прикладном уровне в зависимости от используемого механизма вторжения. К типовым угрозам, реализуемым на сетевом и транспортном уровнях, относятся такие как:

Угроза, направленная на подмену доверенного объекта;

Угроза, направленная на создание в сети ложного маршрута;

Угрозы, направленные на создание ложного объекта с использованием недостатков алгоритмов удаленного поиска;

Угрозы типа «отказ в обслуживании».

К типовым угрозам, реализуемым на прикладном уровне, относятся угрозы, направленные на несанкционированный запуск приложений, угрозы, реализация которых связана с внедрением программных закладок, с выявлением паролей доступа в сеть или к определенному хосту и т.д. Если реализация угрозы не принесла нарушителю наивысших прав доступа в системе, возможны попытки расширения этих прав до максимально возможного уровня. Для этого могут использоваться уязвимости не только сетевых сервисов, но и уязвимости системного программного обеспечения хостов ИСПдн.

На этапе реализации несанкционированного доступа осуществляется достижение цели реализации угрозы:

Нарушение конфиденциальности (копирование, неправомерное распространение);

Нарушение целостности (уничтожение, изменение);

Нарушение доступности (блокирование).

На этом же этапе, после указанных действий, как правило, формируется так называемый «черный вход» в виде одного из сервисов, обслуживающих некоторый порт и выполняющих команды нарушителя. «Черный вход» оставляется в системе в интересах обеспечения: возможности получить доступ к хосту, даже если администратор устранит использованную для успешной реализации угрозы уязвимость; возможности получить доступ к хосту как можно более скрытно; возможности получить доступ к хосту быстро (не повторяя заново процесс реализации угрозы). «Черный вход» позволяет нарушителю внедрить в сеть или на определенный хост вредоносную программу, например, «анализатор паролей» - программу, выделяющую пользовательские идентификаторы и пароли из сетевого трафика при работе протоколов высокого уровня). Объектами внедрения вредоносных программ могут быть программы аутентификации и идентификации, сетевые сервисы, ядро операционной системы, файловая система, библиотеки и т.д.

Наконец, на этапе ликвидации следов реализации угрозы осуществляется попытка уничтожения следов действий нарушителя. При этом удаляются соответствующие записи из всех возможных журналов аудита, в том числе записи о факте сбора информации.

1.4 Характеристика Банка и его деятельности

ПАО «Ситибанк» - финансово-кредитная организация Банковской системы Российской Федерации, осуществляющая финансовые операции с деньгами и ценными бумагами. Банк оказывает финансовые услуги физическим и юридическим лицам.

Основные направления деятельности — кредитование юридических и частных лиц, обслуживание счетов корпоративных клиентов, привлечение средств населения во вклады, операции на валютном и межбанковском рынках, вложения в облигации и векселя.

Банк осуществляет свою финансовую деятельность с 1 августа 1990 года, на основе Генеральной лицензии Банка России на осуществление банковской деятельности № 356.

В Банка имеется три информационные системы персональных данных:

Информационная система персональных данных сотрудников Банка - позволяет идентифицировать 243 субъекта персональных данных;

Информационная система персональных данных системы контроля и управления доступом - позволяет идентифицировать 243 субъекта персональных данных;

Информационная система персональных данных автоматизированной банковской системы - позволяет идентифицировать 9681 субъекта персональных данных.

1.5 Базы персональных данных

В Банке необходимо защищать сразу несколько информационных персональных данных, а именно:

Информационную систему персональных данных сотрудников Банка;

Информационную систему персональных данных системы контроля и управления доступом;

Информационную систему персональных данных автоматизированной банковской системы.

1.5.1 Информационная система персональных данных сотрудников организации

ИСПДн сотрудников Банка используется для начисления сотрудникам Банка заработной платы, автоматизации работы сотрудников отдела по работе с персоналом, автоматизации работы сотрудников бухгалтерии Банка и решения других кадровых и бухгалтерских вопросов. Состоит из базы данных 1С «Зарплата и управление персоналом», расположено на отдельном автоматизированном рабочем месте с возможностью подключения к рабочему месту по сети. АРМ расположен в кабинете отдела по работе с персоналом. На автоматизированном рабочем месте установлена операционная система Microsoft Windows XP. Подключение к сети Интернет на АРМ отсутствует.

Фамилия, имя, отчество;

Дата рождения;

Серия и номер паспорта;

Номер телефона;

Право работать с программным обеспечением 1С «Зарплата и управление персоналом» и базой данных персональных данных имеют:

Главный бухгалтер;

Заместитель главного бухгалтера;

Начальник отдела по работе с персоналом;

Сотрудник, ответственный за начисление заработной платы сотрудникам Банка.

Ручное изменение данных;

1.5.2 Информационная система персональных данных системы контроля и управления доступом

Информационная система персональных данных системы контроля и управления доступом используется для хранения персональных данных сотрудников и посетителей Банка, имеющих доступ в различные помещения Банка. ИСПДН системы контроля и управления доступом используется отделом безопасности Банка. База данных ИСПДн установлена на АРМ, находящимся в комнате охраны отдела безопасности. На АРМ ИСПДн установлена операционная система Microsoft Windows 7, в качестве системы управления базой данных используется СУБД Microsoft SQL Server 2012. АРМ ИСПДн не имеет доступ в локальную сеть, а также не имеет доступ в сеть Интернет.

В ИСПДн хранятся следующие персональные данные:

Фамилия, имя, отчество;

Фотография сотрудника.

Право работать с ИСПДн системы контроля и управления доступом имеют:

Начальник отдела безопасности Банка;

Заместитель начальника отдела безопасности Банка;

Сотрудники отдела безопасности Банка.

Доступ к автоматизированному рабочему месту системы контроля и управления доступом имеют:

Системные администраторы, для администрирования автоматизированного рабочего места и программного обеспечения 1С «Зарплата и управление персоналом» и базы данных персональных данных;

Сотрудники подразделения, ответственного за информационную безопасность Банка, для администрирования системы защиты информации АРМ.

В ИСПДн сотрудников банка могут выполняться следующие функции:

Автоматизированное удаление персональных данных;

Ручное удаление персональных данных;

Ручное изменение данных;

Ручное добавление персональных данных;

Автоматизированный поиск персональных данных.

В информационной системе персональных данных хранятся данные, позволяющие идентифицировать 243 сотрудника Банка.

После достижения целей обработки персональных данных сотрудника, его персональные данные удаляются из ИСПДн.

1.5.3 Информационная система персональных данных автоматизированной банковской системы

Информационная система персональных данных автоматизированной банковской системы предназначена для автоматизации работы большинства работников банка. Она позволяет повысить производительность труда сотрудников. В качестве автоматизированной банковской системы используется комплекс программных продуктов «ЦФТ-Банк», произведённых группой компаний «Центр финансовых технологий». В качестве системы управления базой данных используется программное обеспечение компании Oracle. ИСПДн развёрнута на сервере Банка, операционная система установленная на сервере - Microsoft Windows Server 2008 R2. ИСПДн автоматизированной банковской системы подключена к локальной вычислительной сети банка, но не имеет доступ в сеть Интернет. Подключение пользователей к базе ИСПДн производится с помощью программных продуктов «ЦФТ-Банк» с выделенных виртуальных терминалов. Каждый пользователь имеет в ИСПДн свой логин и пароль.

Персональные данные, обрабатываемые в ИСПДн:

Фамилия, имя, отчество;

Дата рождения;

Серия и номер паспорта;

Номер телефона;

Право работать с программным обеспечением «ЦФТ-Банк» и базой данных персональных данных имеют:

Сотрудники бухгалтерии;

Сотрудники кредитного отдела;

Сотрудники отдела риск-менеджмента;

Сотрудники отдела залогов;

Персональные менеджеры;

Клиентские менеджеры;

Сотрудники отдела безопасности.

Доступ к автоматизированному рабочему месту имеют:

Системные администраторы, для администрирования сервера, базы данных персональных данных и программного обеспечения «ЦФТ-Банк»;

Сотрудники подразделения, ответственного за информационную безопасность Банка, для администрирования сервера, базы данных персональных данных и программного обеспечения «ЦФТ-Банк».

В ИСПДн сотрудников банка могут выполняться следующие функции:

Автоматизированное удаление персональных данных;

Ручное удаление персональных данных;

Ручное добавление персональных данных;

Ручное изменение данных;

Автоматизированный поиск персональных данных.

В информационной системе персональных данных хранятся данные, позволяющие идентифицировать 243 сотрудника Банка и 9438 клиентов Банка.

1.6 Устройство и угрозы локальной вычислительной сети Банка

В банке развёрнута сеть типа клиент-сервер. Имя домена, в котором состоят рабочие станции пользователей - vitabank.ru. Всего в банке 243 автоматизированных рабочих мест пользователей, а также 10 виртуальных серверов и 15 виртуальных рабочих станций. За работоспособностью сети следит отдел системного администрирования. Сеть построена преимущественно на сетевом оборудовании корпорации Cisco. Связь с дополнительными офисами поддерживается с помощью VPN-каналов с использованием сети Интернет через действующий и резервный каналы интернет-провайдера. Обмен информацией с Центральным Банком происходит через выделенный канал, а также через обычные каналы связи.

Доступ в интернет имеют все пользователи на локальных рабочих станциях, но работа с документами и информационными системами Банка ведётся только с использованием виртуальных рабочих станций, на которых доступ в сеть Интернет ограничен и загружаются только локальные ресурсы Банка.

Доступ в сеть Интернет с локальных рабочих станций разграничен группами доступа:

Минимальный доступ - доступ только на ресурсы федеральных служб, на сайт Банка России;

Обычный доступ - разрешены все ресурсы кроме развлекательных, социальных сетей, запрещён просмотр видео и загрузка файлов.

Полный доступ - разрешены все ресурсы и загрузка файлов;

Фильтрация ресурсов по группам доступа реализуется proxy-сервером.

Ниже представлена схема сети ПАО «Ситибанк» (рис. 5).

1.7 Средства защиты информации

Средства защиты информации - это совокупность инженерно-технических, электрических, электронных, оптических и других устройств и приспособлений, приборов и технических систем, а также иных элементов, используемых для решения различных задач по защите информации, в том числе предупреждения утечки и обеспечения безопасности защищаемой информации.

Средства защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

Технические (аппаратные) средства. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они препятствуют доступу к информации, в том числе с помощью её маскировки. К аппаратным средствам относятся: генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны - недостаточная гибкость, относительно большие объём и масса, высокая стоимость.

Рисунок 5 Схема сети ПАО «Ситибанк»

Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств - универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки - ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.

Все служебные помещения Банка контролируются службой охраны с помощью системы управления и контроля доступом, а так же системы видеонаблюдения. Вход в служебные помещения банка осуществляется при наличии соответствующих разрешений в системе контроля и управления доступом. Сотруднику, при устройстве на работу, или посетителю Банка, при необходимости доступа в служебные помещения Банка, выдаются бесконтактные Proximity-карты, на которых записывается идентификатор пользователя и при попытке доступа в служебное помещение этот идентификатор передаётся на систему контроля и управления доступом. Система сопоставляет список помещений в которые разрешен вход пользователю карты с помещением в которое он хочет попасть и разрешает или ограничивает проход в помещение.

На рабочих станциях Банка установлено антивирусное программное обеспечение Kaspersky Endpoint Security 10, имеющее сертификат соответствия ФСТЭК России № 3025, действительный до 25 ноября 2019 года, обновление баз сигнатур вирусов производится централизованно серверной частью антивируса, установленной на сервере, находящимся в Банке.

Для организации электронного документооборота с Центральным Банком органами в Банке проведена выделенная линия связи.

Для организации электронного документооборота с федеральными службами (Федеральная налоговая служба, Пенсионный фонд России, Служба финансового мониторинга и т.д.) используется электронная подпись. Для работы с электронной подписью на локальных рабочих станциях исполнителей, ответственных за документооборот с федеральными службами, установлено специализированное программное обеспечение:

Крипто-Про CSP;

Крипто-АРМ;

СКЗИ Верба-OW;

СКЗИ Валидата;

Signal-COM CSP.

Использование определённого программного обеспечения исполнителем зависит от требований определённого Федерального органа.

На границе локальной сети Банка установлен межсетевой экран Cisco ASA 5512, производства корпорации Cisco. Так же критичные банковские системы (АРМ Клиента Банка России, SWIFT, ИСПДн Банка) дополнительно отделены от локальной сети Банка межсетевыми экранами Cisco. VPN-туннели для связи с дополнительным офисом организованы с помощью межсетевых экранов Cisco.

1.8 Организационные меры защиты

Согласно исследованию, проведённому британской аудиторско-консалтинговой компанией Ernst&Yong в 2014 году, 69 процентов компаний, участвовавших в исследовании, считают сотрудников компании основным источником угроз информационной безопасности.

Сотрудники компании могут по незнанию или своей некомпетентности в сфере информационной безопасности разгласить критическую информацию, необходимую для совершения целенаправленных атак на организацию. Так же злоумышленники рассылают фишинговые сообщения с вложенным вредоносным программным обеспечением, позволяющим злоумышленникам получить контроль над рабочим местом сотрудника и с этого рабочего места провести атаку на информационные системы Банка.

Поэтому в Банке отдел информационной безопасности обязан проводить работу по обучению сотрудников Банка основополагающим принципам информационной безопасности, осуществлять контроль за соблюдением требований безопасности при работе на рабочих местах, информировать сотрудников Банка о новых угрозах информационной безопасности с которыми они могут столкнуться.

В ПАО «Ситибанк» все сотрудники проходят вводный инструктаж при устройстве на работу. Так же новые сотрудники, сотрудники переведённые из других структурных подразделений проходят первичный инструктаж в отделе информационной безопасности, в ходе которого сотрудникам разъясняются основные правила информационной безопасности при работе с информационными системами Банка, правила безопасности при работе в сети Интернет, правила безопасности при работе с электронной почтой Банка, парольная политика Банка.

Сотрудники отдела информационной безопасности Банка участвуют при разработке и внедрении новых информационных систем Банка на всех уровнях разработки систем.

На этапе проектирования системы и составления технического задания на разработки информационной системы отдел информационной безопасности предъявляет требования по безопасности к системе.

На этапе разработки информационной системы сотрудники отдела информационной безопасности изучают текущую документацию, тестируют программное обеспечение на возможные уязвимости в программном коде.

На этапе тестирования и ввода в эксплуатацию информационной системы отдел информационной безопасности активно участвует в тестировании информационной системы, проводит тесты на проникновение в информационную систему и тесты отказа в обслуживании, так же распределяет права доступа к информационной системе.

На этапе функционирования уже введённой в эксплуатацию информационной системы отдел информационной безопасности проводит мониторинг, выявляет подозрительную активность.

На этапе доработки информационной системы отдел информационной безопасности, основываясь на данных, полученных при эксплуатации информационной системы, выстраивает новые требования к информационной системе.

Отдел информационной безопасности в ПАО «Ситибанк» согласовывает все заявки на доступ к ресурсам в сети Интернет, а также ко внутренним ресурсам Банка.

1.9 Цикл обработки персональных данных

Персональные данные, хранящиеся в Банке получены только законным путём.

Полученные персональные данные сотрудника Банка обрабатываются только для выполнения Банком своих обязанностей по заключенному с сотрудником договору. Персональные данные сотрудника Банка получены от самого работника. Все сотрудники Банка ознакомлены под роспись с документами Банка, устанавливающими порядок обработки персональных данных сотрудников Банка, а также об их правах и обязанностях в этой области.

Персональные данные сотрудников банка, хранящиеся в ИСПДн системы контроля и управления доступом, предназначены для допуска сотрудника на рабочее место.

Персональные данные клиентов Банка, хранящиеся в ИСПДн автоматизированной банковской системы, обрабатываются в ней только для исполнения Банком обязанностей по договору, заключенному с клиентом Банка. Так же в ИСПДн автоматизированной банковской системы обрабатываются персональные данные лиц, не заключавших договор с Банком, но полученные законным путём, например персональные данные полученные и обрабатываемые по требованию Федерального закона №115-ФЗ от 7 августа 2001 года «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

После достижения целей обработки персональных данных они уничтожаются или обезличиваются.

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ

В ПАО «Ситибанк» система защиты персональных данных регламентирована как законами государственного уровня, так и локальными нормативными актами (например, «Правилами дистанционного банковского обслуживания юридических лиц и индивидуальных предпринимателей в ПАО «СИТИБАНК»» в Приложении 1).

ПАО «Ситибанк» система защиты персональных данных поставлена в достаточной степени, чтобы избежать простых атак типа фишинга и заражения рабочих станций вирусами-шифровальщиками, но она не способна противостоять таргетированным атакам, направленным на кражу персональных данных.

Мной была проведена работа по перестроению и модернизации системы защиты персональных данных.

2.1 Мероприятия по защите локальной вычислительной сети банка и информационной системы персональных данных

В сети ПАО «Ситибанк» есть ярко выраженные слабые места, используя которые злоумышленники могут получить полный доступ к сети банка и перехватить над ней контроль, после чего смогут беспрепятственно украсть, изменить или удалить персональные данные клиентов или сотрудников Банка.

Так как сеть Банка представляет собой один единственный сегмент, то для минимизации рисков проникновения злоумышленников в сеть Банка, её необходимо разделить на несколько сегментов с использованием технологии виртуальных сетей.

Концепция технологии построения виртуальных сетей (VLAN) заключается в том, что администратор сети может создавать в ней логические группы пользователей независимо от того, к какому участку сети они подключены. Объединять пользователей в логические рабочие группы можно, например, по признакам общности выполняемой работы или совместно решаемой задачи. При этом группы пользователей могут взаимодействовать между собой или быть совершенно невидимыми друг для друга. Членство в группе можно изменять, и пользователь может быть членом нескольких логических групп. Виртуальные сети формируют логические широковещательные домены, ограничивая прохождение широковещательных пакетов по сети, так же, как и маршрутизаторы, изолирующие широковещательный трафик между сегментами сети. Таким образом, виртуальная сеть предотвращает возникновение широковещательных штормов, так как широковещательные сообщения ограничены членами виртуальной сети и не могут быть получены членами других виртуальных сетей. Виртуальные сети могут разрешать доступ членам другой виртуальной сети в случаях, где это необходимо для доступа в общие ресурсы, типа файловых серверов или серверов приложений, или где общая задача, требует взаимодействия различных служб, например кредитных и расчетных подразделений. Виртуальные сети могут создаваться по признакам портов коммутатора, физических адресов устройств, включаемых в сеть и логических адресов протоколов третьего уровня модели OSI. Преимущество виртуальных сетей состоит в высокой скорости работы коммутаторов, так как современные коммутаторы содержат специализированный набор интегральных схем специально разработанных для решения задач коммутации на втором уровне модели OSI. Виртуальные сети третьего уровня в наибольшей мерепросты в установке, если не требуется переконфигурация клиентов сети, в наибольшей мересложны в администрировании, т.к. любое действие с клиентом сети требует либо переконфигурации самого клиента либо маршрутизатора, и наименее гибки, так как для связи виртуальных сетей требуется маршрутизация, что увеличивает стоимость системы и снижает ее производительность.

Таким образом, создание виртуальных сетей в Банке предотвратит атаки типа ARP-spoofing. Злоумышленники не смогут перехватить информацию, проходящую между сервером и клиентом. При проникновении в сеть злоумышленники смогут просканировать не всю сеть Банка, а только сегмент сети в который они получили доступ.

При проникновении в сеть Банка злоумышленники в первую очередь будут сканировать сеть для поиска критически важных узлов сети. Этими узлами являются:

Контроллер домена;

Proxy сервер;

Почтовый сервер;

Файловый сервер;

Сервер приложений.

Так как в Банке локальная сеть будет организована с использованием технологии виртуальных сетей, злоумышленники не смогут без дополнительных действий обнаружить эти узлы. Для того чтобы усложнить злоумышленникам поиск критически важных узлов локальной сети и запутать их, а в дальнейшем изучить стратегию злоумышленников при проведении атаки в сети нужно использовать ложные объекты, которые будут привлекать злоумышленников. Эти объекты называются Honeypot.

Задача Honeypot - подвергнуться атаке или несанкционированному исследованию, что впоследствии позволит изучить стратегию злоумышленников и определить перечень средств, с помощью которых могут быть нанесены удары по реально существующим объектам безопасности. Реализация Honeypot может представлять собой как специальный выделенный сервер, так и один сетевой сервис, задача которого - привлечь внимание взломщиков.

Honeypot представляет собой ресурс, который без какого-либо воздействия на него ничего не делает. Honeypot собирает небольшое количество информации, после анализа которой строится статистика методов, которыми пользуются взломщики, а также определяется наличие каких-либо новых решений, которые впоследствии будут применяться в борьбе с ними.

Например, веб-сервер, который не имеет имени и фактически никому не известен, не должен, соответственно, иметь и гостей, заходящих на него, поэтому все лица, которые пытаются на него проникнуть, являются потенциальными взломщиками. Honeypot собирает информацию о характере поведения этих взломщиков и об их способах воздействия на сервер. После чего специалисты отдела информационной безопасности собирают информацию об атаке злоумышленников на ресурс и разрабатывают стратегии отражения атак в будущем.

Для контроля входящей из сети Интернет информации и обнаружения угроз информационной безопасности на этапе их передачи по сети, а также обнаружения активности злоумышленников, проникнувших в локальную сеть Банка необходимо на границе сети установить систему предотвращения вторжений.

Система предотвращения вторжений - программная или аппаратная система сетевой и компьютерной безопасности, обнаруживающая вторжения или нарушения безопасности и автоматически защищающая от них.

Системы предотвращения вторжений можно рассматривать как продолжение Систем обнаружения вторжений, так как задача отслеживания атак остается одинаковой. При этом, они отличаются в том, что система предотвращения вторжений отслеживает активность в реальном времени и быстро реализует действия по предотвращению атак.

Системы обнаружения и предотвращения вторжений подразделяются на:

Сетевые системы предотвращения вторжений - анализируют трафик, направленный в сеть организации, проходящий в самой сети или направленный к конкретному компьютеру. Системы обнаружения и предотвращения вторжений могут быть реализованы программными или программно-аппаратными методами, устанавливаются на периметре корпоративной сети и иногда внутри нее.

Персональные системы предотвращения вторжений - это программное обеспечение, которое устанавливается на рабочие станции или серверы и позволяет контролировать деятельность приложений, а также отслеживать сетевую активность на наличие возможных атак.

Для развёртывания в сети Банка была выбрана сетевая система предотвращения вторжений.

Рассматривались сетевые системы вторжений компаний IBM, Check Point, Fortinet, Palo Alto, так как заявленный функционал производителей этих систем подходил под требования отдела информационной безопасности Банка.

После развёртывания тестовых стендов и проведения тестирования систем предотвращения вторжений была выбрана система производства компании Check Point, так как она показала наилучшее быстродействие, лучшую подсистему обнаружения вирусного программного обеспечения, передаваемого по локальной сети, лучший инструментарий по протоколированию и журналированию важных событий и цене приобретения.

Система предотвращения вторжений компании IBM была отвержена из-за стоимости устройств, превышающей бюджет отдела информационной безопасности на покупку системы предотвращения вторжений.

Система предотвращения вторжений компании Fortinet была отвержена из-за неполного срабатывания при выполнении сотрудниками отдела информационной безопасности тестов по передаче заражённых файлов и недостаточно информативного инструментария журналирования важных событий.

Система предотвращения вторжений компании Palo Alto была отвержена из-за недостаточно информативного инструментария журналирования важных событий, чрезмерной сложности работы с системой и работе в большей степени как маршрутизатор.

Для внедрения в локальную сеть была выбрана система предотвращения вторжений компании Check Point. Эта система показала высокий уровень обнаружения угроз информационной безопасности, гибкие настройки, возможность расширения функционала за счёт приобретения дополнительных программных модулей, имеет мощную систему журналирования важных событий и мощный инструментарий по предоставлению отчётов о происшествиях, с помощью которого можно гораздо проще расследовать произошедшие инциденты информационной безопасности.

Схема сети ПАО «Ситибанк» с изменённой архитектурой представлена на рисунке 6.

2.2 Программные и аппаратные средства защиты

Так как безопасность персональных данных не может быть обеспечена только защитой сети, потому что злоумышленники, не смотря на все предпринятые меры для защиты сети, могут получить доступ в сеть Банка.

Рисунок 6 Схема сети ПАО «Ситибанк» с дополнительными системами защиты

Для более устойчивой к атакам защите необходимо добавить к устройствам, предназначенным для защиты сети, программные и аппаратные устройства защиты локальных рабочих станций, виртуальных рабочих станций, виртуальных и обычных серверов.

Как известно антивирусные программы не дают полной защиты от вредоносного программного обеспечения, так как работают по принципу сигнатурного анализа. Компания-разработчик антивирусного программного обеспечения имеет в своём штате экспертов, которые отслеживают вирусную активность в сети Интернет, изучают поведение вирусного программного обеспечения на тестовых станциях и создают сигнатуры, которые в последствии рассылаются на компьютеры пользователей посредством обновления баз данных сигнатур антивирусного программного обеспечения. Антивирус, получив обновлённую базу данных сигнатур антивирусного программного обеспечения проверяет файлы на рабочей станции пользователя и ищет признаки вредоносного программного обеспечения, если в процессе проверки такие признаки обнаруживаются, то антивирус сигнализирует об этом и действует в соответствии с настройками, которые установлены пользователем или администратором антивируса. Таким образом, если вредоносное программное обеспечение не обнаружено и не проанализировано экспертами компании-разработчика антивирусного программного обеспечения, то антивирус будет не в состоянии выявить вредоносное программное обеспечение и не предпримет никаких действий, считая проверенный файл безопасным. Поэтому в Банке, для снижения вероятности пропуска в сеть и запуска вредоносного программного обеспечения, был установлен второй контур антивирусной защиты. Так как компании-разработчики антивирусного программного обеспечения в большинстве своём работают отдельно друг от друга, то вредоносное программное обеспечение, пока не обнаруженное одной компанией-разработчиком антивирусного обеспечения, может быть обнаружено другой компанией-разработчиком и на обнаруженную угрозу уже могут быть созданы сигнатуры.

Для реализации такой схемы была создана виртуальная рабочая станция, на которой был установлен антивирус Doctor WEB Enterprise security suit, имеющий сертификат соответствия ФСТЭК России № 2446, действительный до 20 сентября 2017 года. Все файлы, которые сотрудники банка загружали во время своей работы, попадают на эту станцию и проверяются антивирусом. В случае обнаружения вредоносного программного обеспечения антивирус отправляет сотрудникам отдела информационной безопасности письмо с названием угрозы и путём, где хранится зараженный файл. Сотрудники отдела информационной безопасности предпринимают меры по удалению вредоносного программного обеспечения. Если загруженные пользователями файлы проходят проверку антивирусного программного обеспечения, пользователь, загрузивший файл делает заявку в отдел информационной безопасности и сотрудники отдела переносят загруженный файл пользователю.

Также большое количество вредоносного программного обеспечения приходит сотрудникам Банка по электронной почте. Это могут быть и обычные вирусы-шифровальщики, так и вредоносное программное обеспечения, позволяющее злоумышленникам проникнуть на заражённый компьютер сотрудника Банка с помощью удалённого подключения.

Для минимизации рисков таких угроз на почтовый сервер Банка было установлено антивирусное программное обеспечения ClamAW, предназначенное для защиты почтовых серверов.

Для защиты от несанкционированного доступа внутренних злоумышленников, каким-либо образом узнавших пароль пользователя локальной станции, имеющей доступ к информационным системам персональных данных, необходимо установить на локальные рабочие станции пользователей, работающих с информационными системами персональных данных систему защиты информации от несанкционированного доступа.

Обучение сотрудников Банка проводится специалистом отдела информационной безопасности.

Сотрудник отдела информационной безопасности проводит обучение в определённом планом подразделении Банка. После проведённого обучения, сотрудники подразделения проходят тесты, в которых подтверждают полученные на обучении знания.

Базовой политикой безопасности регламентируется проведение обучения в каждом подразделении не реже четырёх раз в год.

Так же параллельно с обучением сотрудников, сотрудники отдела информационной безопасности обязаны не реже раза в месяц рассылать всем сотрудникам Банка информационные письма, в которых описываются основные правила безопасности, новые угрозы информационной безопасности Банка, если такие обнаружены.

2.3.2 Порядок доступа сотрудников к ресурсам сети Интернет

В Банке созданы 3 группы доступа в сеть Интернет, но такое разделение доступа неэффективно, поскольку у сотрудника, для выполнения его должностных обязанностей, может возникнуть потребность получить информацию с сетевого ресурса, входящего в группу полного доступа, тогда ему придётся давать полный доступ к сети Интернет, что небезопасно.

Группа 6: скачивание архивов - группа не предоставляет какой-либо доступ к ресурсам сети Интернет;

Группа 7: скачивание исполняемых файлов - группа не предоставляет какой-либо доступ к ресурсам сети Интернет;

Группа 8: полный доступ в сеть Интернет - полный доступ к ресурсам сети Интернет, загрузка любых файлов.

Для получения доступа к ресурсам сети Интернет сотрудник создаёт заявку через систему ServiceDesk и после одобрения руководителем отдела или управления и сотрудником отдела информационной безопасности сотруднику предоставляется доступ к ресурсам сети Интернет согласно запрошенной группы.

2.3.3 Порядок доступа сотрудников к внутрибанковским ресурсам

Основные документы по работе сотрудника находятся на локальном рабочем месте или в автоматизированной системе, в которой он работает. Так же у каждого подразделения Банка на файловом сервере Банка существует раздел, в котором хранится информация, необходимая нескольким сотрудникам подразделения и которая велика по размеру для передачи по электронной почте Банка.

Когда новый сотрудник устраивается на работу в Банк, его прямой руководитель направляет заявку через систему ServiceDesk в отдел системного администрирования о предоставлении доступа к внутрибанковскому ресурсу и после одобрения заявки сотрудником отдела информационной безопасности сотрудник отдела системного администрирования открывает новому сотруднику доступ к запрошенному ресурсу.

Нередко возникают ситуации, в которых работа нескольких подразделений Банка пересекается и для обмена информацией этим подразделениям нужен отдельный на файловом сервере Банка.

Для создания этого раздела руководитель проекта, начальник одного из отделов, задействованных в процессе работы над проектом создаёт заявку через систему ServiceDesk на создание общего ресурса и доступа к этому ресурсу определённых сотрудников своего подразделения, работающих над совместным проектом и начальника подразделения с которым сотрудничает в рамках проекта. После одобрения сотрудником отдела информации сотрудник отдела системного администрирования создаёт запрошенный ресурс и предоставляет к нему доступ заявленных сотрудников. Каждый начальник подразделения, участвующего в проекте запрашивает доступ только для тех сотрудников, которые находятся у него в подчинении.

2.3.4 Порядок работы сотрудников с электронной почтой

Ранее, до создания базовой политики безопасности, каждый сотрудник сам определял степень опасности писем и файлов, пришедших по электронной почте с внешних почтовых серверов.

После создания базовой политики безопасности, каждому пользователю вменяется в обязанности каждый файл, полученный по электронной почте от внешних почтовых серверов пересылать в отдел информационной безопасности для проверки его на наличие вредоносного программного обеспечения, степень опасности писем сотрудник определяет самостоятельно. Если сотрудник Банка подозревает, что во входящем сообщении содержится спам или фишинг, он обязан отправить письмо полностью, то есть содержащее в себе всю служебную информацию об отправителе, его почтовый ящик и IP-адрес, в отдел информационной безопасности. После анализа подозрительного письма и при подтверждении угрозы этого письма отдели информационной безопасности направляет адрес отправителя письма в отдел системного администрирования, и сотрудник отдела системного администрирования заносит адрес отправителя письма в чёрный список.

Всегда блокировать рабочее место, при отлучении от него.

2.3.6 Правила доступа сотрудников к персональным данным

Согласно статьи 89 главы 14 Трудового Кодекса Российской Федерации, сотрудник Банка имеет право на доступ к своим персональным данным, но допускается к обработке персональных данных других сотрудников Банка или клиентов Банка только для исполнения своих должностных обязанностей.

Для обеспечения контроля за доступом в информационным системам персональных данных, в банке установлены следующие правила доступа к информационным системам персональных данных:

Только сотрудники, в чьи должностные обязанности входит обработка персональных данных имеют доступ к ИСПДн;

Доступ к ИСПДн разрешён только с локального рабочего места сотрудника, работающего с персональными данными;

В Банке создан документ, определяющий пофамильно сотрудников, которым разрешен доступ к персональным данным сотрудников и клиентов Банка с указанием Информационной системы персональных данных и перечнем персональных данных, разрешённых для обработки сотрудником.

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА

Для реализации системы защиты персональных данных необходимо произвести закупку:

Оборудования для защиты сети Банка;

Аппаратные средства защиты информации;

Программные средства защиты информации.

Для перестроения сети организации необходимо закупить коммутаторы Cisco Catalyst 2960 в количестве 3-х экземпляров. Один коммутатор необходим для работы на уровне ядра сети Банка, 2 других для работы на уровне распределения. Сетевое оборудование, работавшее в банке до перестройки сети тоже будет задействовано.

Общая стоимость (руб.) 9389159 613

Doctor WEB Enterprise security suit155005500

Общая стоимость1 371 615

ЗАКЛЮЧЕНИЕ

В своём дипломном проекте я рассмотрел нормативно-правовую базу по защите персональных данных. Мной были рассмотрены основные источники угроз безопасности персональных данных.

Опираясь на рассмотренные угрозы персональных я проанализировал существующую систему защиты персональных данных в ПАО «Ситибанк» и пришёл к выводу, что она нуждается в серьёзной доработке.

В процессе дипломного проекта были обнаружены слабые места в локальной сети Банка. С учетом обнаруженных слабых мест в локальной сети Банка определены меры по минимизации рисков информационной безопасности сети Банка.

Также рассмотрены и подобраны устройства и программное обеспечение для защиты локальных рабочих мест сотрудников, обрабатывающих персональные данные сотрудников и клиентов Банка.

При моём участии была создана система повышения осведомлённости сотрудников в вопросах информационной безопасности.

Глубоко переработан порядок доступа сотрудников Банка к сети Интернет, переработаны группы доступа в сеть Интернет. Новые группы доступа в сеть Интернет позволяют существенно минимизировать риски информационной безопасности за счёт ограниченных возможностей пользователей скачивать файлы, заходить на недоверенные ресурсы.

Приведены расчёты стоимости перестроения сети и создания жизнеспособной системы защиты персональных данных, способной отражать большинство угроз информационной безопасности.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1.«Конституция Российской Федерации» (принята всенародным голосованием 12.12.1993) (с учетом поправок, внесенных Законами РФ о поправках к Конституции РФ от 30.12.2008 N 6-ФКЗ, от 30.12.2008 N 7-ФКЗ, от 05.02.2014 N 2-ФКЗ, от 21.07.2014 N 11-ФКЗ) // Официальный текст Конституции РФ с внесенными поправками от 21.07.2014 опубликован на Официальном интернет-портале правовой информации http://www.pravo.gov.ru, 01.08.2014

2.«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (Выписка) (утв. ФСТЭК РФ 15.02.2008)

3.Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 06.07.2016) «Об информации, информационных технологиях и о защите информации» // В данном виде документ опубликован не был. gервоначальный текст документа опубликован в «Российская газета», N 165, 29.07.2006

4.«Трудовой кодекс Российской Федерации» от 30.12.2001 N 197-ФЗ (ред. от 03.07.2016) (с изм. и доп., вступ. в силу с 03.10.2016) // В данном виде документ опубликован не был, первоначальный текст документа опубликован в «Российская газета», N 256, 31.12.2001

5.Постановление Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // «Российская газета», N 256, 07.11.2012

6.Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (Зарегистрировано в Минюсте России 14.05.2013 N 28375) // «Российская газета», N 107, 22.05.2013

7.«Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2014» (принят и введен в действие Распоряжением Банка России от 17.05.2014 N Р-399) // «Вестник Банка России», N 48-49, 30.05.2014

8.«Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» (утв. Банком России 09.06.2012 N 382-П) (ред. от 14.08.2014) (Зарегистрировано в Минюсте России 14.06.2012 N 24575) // В данном виде документ опубликован не был, первоначальный текст документа опубликован в «Вестник Банка России», N 32, 22.06.2012

9.«Положение о порядке представления кредитными организациями в уполномоченный орган сведений, предусмотренных Федеральным законом «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (утв. Банком России 29.08.2008 N 321-П) (ред. от 15.10.2015) (вместе с «Порядком обеспечения информационной безопасности при передаче-приеме ОЭС», «Правилами формирования ОЭС и заполнения отдельных полей записей ОЭС») (Зарегистрировано в Минюсте России 16.09.2008 N 12296) // В данном виде документ опубликован не был, Первоначальный текст документа опубликован в «Вестник Банка России», N 54, 26.09.2008

10.Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (Зарегистрировано в Минюсте России 14.05.2013 N 28375) // «Российская газета», N 107, 22.05.2013

11.Аверченков В.И., Рытов М.Ю., Гайнулин Т.Р. Защита персональных данных в организациях. М.: Флинта, 2018

12.Агапов А. Б. Основы государственного управления в сфере информатизации в Российской Федерации. М.: Юристъ, 2012

13.Костин А. А., Костина А. А., Латышев Д. М., Молдовян А. А. Программные комплексы серии „АУРА“ для защиты информационных систем персональных данных // Изв. вузов. приборостроение. 2012. Т. 55, № 11

14.Молдовян А. А. Криптография для защиты компьютерной информации (часть 1) // Интеграл. 2014. № 4 (18)

15.Романов О.А., Бабин С.А., Жданов С.Г. Организационное обеспечение информационной безопасности. - М.: Академия, 2016

16.Шульц В.Л., Рудченко А.Д., Юрченко А.В. Безопасность предпринимательской деятельности. М.: Издательство «Юрайт», 2017

Приложения (есть в архиве с работой).

ВВЕДЕНИЕ

Актуальность. В современном мире информация становится стратегическим ресурсом, одним из основных богатств экономически развитого государства. Быстрое совершенствование информатизации в России, проникновение ее во все сферы жизненно важных интересов личности, общества и государства вызвали помимо несомненных преимуществ и появление ряда существенных проблем. Одной из них стала необходимость защиты информации. Учитывая, что в настоящее время экономический потенциал все в большей степени определяется уровнем развития информационной структуры, пропорционально растет потенциальная уязвимость экономики от информационных воздействий.

Распространение компьютерных систем, объединение их в коммуникационные сети усиливает возможности электронного проникновения в них. Проблема компьютерной преступности во всех странах мира, независимо от их географического положения, вызывает необходимость привлечения все большего внимания и сил общественности для организации борьбы с данным видом преступлений. Особенно широкий размах получили преступления в автоматизированных банковских системах и в электронной коммерции. По зарубежным данным, потери в банках в результате компьютерных преступлений ежегодно составляют многие миллиарды долларов. Хотя уровень внедрения новейших информационных технологий в практику в России не столь значителен, компьютерные преступления с каждым днем дают о себе знать все более и более, а защита государства и общества от них превратилась в суперзадачу для компетентных органов.

Актуальность вопроса защиты персональных данных ни у кого не вызывает сомнений. В первую очередь это обусловлено сроком, определенным для приведения информационных систем персональных данных (ИСПД) в соответствие с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Срок этот неумолимо приближается, и одновременно очевидная сложность выполнения требований руководящих документов регуляторов провоцирует массу споров и неоднозначных трактовок. В то же время закрытость некоторых руководящих документов, их неопределенный правовой статус, как и целый ряд других вопросов, не способствуют решению проблемы. Все это создает ситуацию, когда нормативная база не окончательно определена, а выполнять требования законодательства необходимо уже сейчас.

мая 2009 г. прошло первое заседание рабочей группы по проблематике персональных данных в АРБ. На мероприятии в ходе открытого обсуждения были вполне четко обозначены проблемные области, волнующие банковское сообщество. В основном они касались именно технической защиты персональных данных и будущего взаимодействия между кредитно-финансовыми учреждениями и ФСТЭК. Представители Банка России озвучили в своем выступлении наработки в части организации исполнения закона «О персональных данных». Принципиально новыми и важными можно назвать попытки Банка России найти компромисс с регуляторами по части формулирования технических требований для банковского сообщества. Особо хочется отметить активность ЦБ РФ в работе с ФСТЭК России. Учитывая всю огромную массу сложностей при выполнении требований руководящих документов ФСТЭК, Банк России принял решение по подготовке собственных документов (проектов документов), которые на сегодняшний день согласуются с ФСТЭК. Можно предположить, что высока вероятность появления нового отраслевого стандарта для кредитно-финансовых учреждений по персональным данным.

Целью курсовой работы является исследование способов защиты персональных данных в банковских он-лайн системах.

Для достижения цели решались следующие задачи:

изучение подходов, основных принципов обеспечения безопасности;

определение методов и средств обеспечения безопасности;

выявление особенностей обеспечения безопасности персональных данных в банковских онлайн-системах;

разработка мероприятий по обеспечению безопасности персональных данных в банковских онлайн-системах.

Объектом исследования работы является информационные банковские системы.

Предметом исследования является безопасность информации персонального характера в он-лайн банковских системах.

Теоретико-методологической основой исследования послужили теоретические положения, работы ученых, исследования специалистов по вопросам обеспечения информации.

Методологической основой курсовой работы послужил системный подход к исследованию проблемы безопасности.

Использованы логический, сравнительно-правовой, системный анализ. Кроме того, использованный метод структурного анализа позволяет с необходимой тщательностью изучить отдельные компоненты изучаемого явления и провести анализ соотношения этих элементов друг с другом, а также с общим целым.

1. Теоретические аспектызащитыперсональных данных в банковских он-лайн системах

1.1 Подходы, принципы обеспечениябезопасности

Под обеспечением безопасности информационных систем понимают меры, предохраняющие информационную систему от случайного или преднамеренного вмешательства в режимы ее функционирования.

Существует два принципиальных подхода к обеспечению компьютерной безопасности.

Первый из них - фрагментарный, в его рамках происходит ориентация на противодействие строго определенным угрозам при определенных условиях (например, специализированные антивирусные средства, автономные средства шифрования и т.д.). У подхода есть как достоинства - предполагающие высокий уровень избирательности в части строго определенной проблемы, так и недостатки - предполагающие фрагментарность защиты - т.е. строго определенных элементов.

Процесс управления защитой информации включает в себя компоненты, представленные на рис. 1.

Второй подход - системный, его особенностью является то, что в его рамках к защите информации относятся более масштабно - создается защищенная среда обработки, хранения и передачи информации, объединяющей разнородные методы и средства противодействия угрозам: программно-технические, правовые, организационно-экономические. Посредством указанной защищенной среды можно гарантировать определенный уровень безопасности автоматизированной информационной системы.

Системный подход к защите информации базируется на следующих методологических принципах:

конечной цели - абсолютного приоритета конечной (глобальной) цели;

единства - совместного рассмотрения системы как целого" и как совокупности частей (элементов);

связности - рассмотрения любой части системы совместно с ее связями с окружением;

модульного построения - выделения модулей в системе и рассмотрения ее как совокупности модулей;

иерархии - введения иерархии частей (элементов) и их ранжирования;

функциональности - совместного рассмотрения структуры и функции с приоритетом функции над структурой;

развития - учета изменяемости системы, ее способности к развитию, расширению, замене частей, накапливанию информации;

децентрализации - сочетания в принимаемых решениях и управлении централизации и децентрализации;

неопределенности - учета неопределенностей и случайностей в системе.

Современные исследователи выделяют следующие методологические,

организационные и реализационные принципы информационной (в том числе компьютерной) безопасности.

Принцип законности. Состоит в следовании действующему законодательству в области обеспечения информационной безопасности.

Принцип неопределенности.Возникает вследствие неясности поведения субъекта, т.е. кто, когда, где и каким образом может нарушить безопасность объекта защиты.

Принцип невозможности создания идеальной системы защиты. Следует из принципа неопределенности и ограниченности ресурсов указанных средств.

Принципы минимального риска и минимального ущерба.Вытекают из невозможности создания идеальной системы защиты. В соответствии с ним необходимо учитывать конкретные условия существования объекта защиты для любого момента времени.

Принцип безопасного времени.Предполагает учет абсолютного времени, т.е. в течение которого необходимо сохранение объектов защиты; и относительного времени, т.е. промежутка времени от момента выявления злоумышленных действий до достижения цели злоумышленником.

Принцип «защиты всех ото всех». Предполагает организацию защитных мероприятий против всех форм угроз объектам защиты, что является следствием принципа неопределенности.

Принципы персональной ответственности. Предполагает персональную ответственность каждого сотрудника предприятия, учреждения и организации за соблюдение режима безопасности в рамках своих полномочий, функциональных обязанностей и действующих инструкций.

Принцип ограничения полномочий.Предполагает ограничение полномочий субъекта на ознакомление с информацией, к которой не требуется доступа для нормального выполнения им своих функциональных обязанностей, а также введение запрета доступа к объектам и зонам, пребывание в которых не требуется по роду деятельности.

Принцип взаимодействия и сотрудничества. Во внутреннем проявлении предполагает культивирование доверительных отношений между сотрудниками, отвечающими за безопасность (в том числе информационную), и персоналом. Во внешнем проявлении - налаживание сотрудничества со всеми заинтересованными организациями и лицами (например, правоохранительными органами).

Принцип комплексности и индивидуальности.Подразумевает невозможность обеспечения безопасности объекта защиты каким-либо одним мероприятием, а лишь совокупностью комплексных, взаимосвязанных и дублирующих друг друга мероприятий, реализуемых с индивидуальной привязкой к конкретным условиям.

Принцип последовательных рубежей безопасности.Предполагает как можно более раннее оповещение о состоявшемся посягательстве на безопасность того или иного объекта защиты или ином неблагоприятном происшествии с целью увеличения вероятности того, что заблаговременный сигнал тревоги средств защиты обеспечит сотрудникам, ответственным за безопасность, возможность вовремя определить причину тревоги и организовать эффективные мероприятия по противодействию.

Принципы равнопрочности и равномощности рубежей защиты. Равнопрочность подразумевает отсутствие незащищенных участков в рубежах защиты. Равномощность предполагает относительно одинаковую величину защищенности рубежей защиты в соответствии со степенью угроз объекту защиты.

Методами обеспечения защиты информации на предприятии являются следующие:

Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.).

Управление доступом - метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты:

идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора);

аутентификацию (установления подлинности) объекта или субъекта по предъявленному им идентификатору;

проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

регистрацию обращений к защищаемым ресурсам;

реагирование (сигнализация, отключение, задержка работ, отказ в запросе при попытках несанкционированных действий).

Маскировка - метод защиты информации в автоматизированной информационной системе предприятия путем ее криптографического закрытия.

Регламентация - метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму.

Принуждение - метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной и уголовной ответственности.

Побуждение - метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм.

Указанные выше методы обеспечения информационной безопасности реализуются с помощью следующих основных средств: физических, аппаратных, программных, аппаратно-программных, криптографических, организационных, законодательных и морально-этических.

Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем.

Аппаратные средства защиты - это электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных устройств и сопрягающиеся с этими блоками. Они предназначены для внутренней защиты структурных элементов средств и систем вычислительной техники: терминалов, процессоров, периферийного оборудования, линий связи и т.д.

Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля.

Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия.

Аппаратно-программные средства защиты - средства, в которых программные (микропрограммные) и аппаратные части полностью взаимосвязаны и неразделимы.

Криптографические средства - средства защиты с помощью преобразования информации (шифрование).

Организационные средства - организационно-технические и организационно- правовые мероприятия по регламентации поведения персонала.

Законодательные средства - правовые акты страны, которые регламентируют правила использования, обработки и передачи информации ограниченного доступа и которые устанавливают меры ответственности за нарушение этих правил.

Морально-этические средства - нормы, традиции в обществе, например: Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ в США.

1.2 Методы и средства обеспечения безопасности

Для реализации мер безопасности используются различные механизмы шифрования.Для чего используются эти методы? Изначально, при отправлении данных (текста, речи или рисунка) они незащищены, или, как называют специалисты - открыты. Открытые данные легко могут перехватить другие пользователи (умышленно или не умшленно). Если есть цель не допустить попадания определенной информации сторонним лицам, такие данные шифруют. Пользователь, которому предназначается указанная информация потом дишифрует его, используя обратное преобразование криптограммы, получая данные в нужном ему виде.

Шифрованиебывает симметричное(используется один секретный ключ для шифрования) и асимметричное (используется один общедоступный ключ для шифрования, а для дешифрования - другой, не взаимосвязанные - т.е. при знании одного из них, нельзя определить другой).

Механизмами безопасности являются и такие как:

) Механизмы цифровой электронной подписи основаны на алгоритмах ассиметричного шифрования и включают две процедуры: формирование подписи отправителем и ее опознавание получателем. Формирование подписи отправителем обеспечивает шифрование блока данных или его дополнение криптографической, контрольной суммой, и в обоих случаях используется секретный ключ отправителя. Для опознания используется общедоступный ключ.

) Механизмы контроля доступа осуществляют проверку полномочий программ и пользователей на доступ к ресурсам сети. При доступе к ресурсу через соединение контроль выполняется как в точке инициации, так и в промежуточных точках, а также в конечной точке.

) Механизмы обеспечения целостности данных применяются к отдельному блоку и к потоку данных. Отправитель дополняет передаваемый блок криптографической суммой, а получатель сравнивает ее с криптографическим значением, соответствующим принятому блоку. Несовпадение свидетельствует об искажении информации в блоке.

) Механизмы постановки трафика. Основываются на генерации объектами АИС блоков, их шифровании и организации передачи по каналам сети. Тем самым нейтрализуется возможность получения информации посредством наблюдения за внешними характеристиками потоков, циркулирующих по каналам связи.

) Механизмы управления маршрутизацией обеспечивают выбор маршрутов движения информации по коммуникационной сети таким образом, чтобы исключить передачу секретных сведений по небезопасным физически ненадежным каналам.

) Механизмы арбитража обеспечивают подтверждение характеристик данных, передаваемых между объектами, третьей стороной. Для этого информация, отправляемая или получаемая объектами, проходит через арбитра, что позволяет ему впоследствии подтверждать упомянутые характеристики.

Основными недостатками системы безопасности экономических объектов являются:

-узкое, несистемное понимание проблемы безопасности объекта;

-пренебрежение профилактикой угроз, работа по принципу «Появилась угроза - начинаем ее устранять»;

-некомпетентность в экономике безопасности, неумение сопоставлять затраты и результаты;

-«технократизм» руководства и специалистов службы безопасности, интерпретация всех задач на языке знакомой им области.

В качестве вывода по первой главе работы определим следующее. Обеспечением безопасности информационных систем называют определенные меры, посредством которых предохраняют информационную систему от случайного или преднамеренного вмешательства в режимы ее функционирования. Для обеспечения безопасности предусмотрено два основных подхода: 1) фрагментарный, в рамках которого осуществляется противодействие определенным угрозам при определенных условиях; и 2) системный, в рамках которого создается защищенная среда обработки, хранения и передачи информации, объединяющей разного рода методы и средства противодействия угрозам.Для защиты информации применяются различные средства и механизмы. К средствам отнесем: шифрование, цифровую электронную запись, контроль доступа, постановку трафика и др.

банковский онлайн система безопасность

2. Особенности обеспечения безопасности персональных данных в банковских он-лайн системах

2.1. Общие условия обеспечения безопасности персональных данных в банковских он-лайн системах

Защитаперсональной информации - это состояние защищенности информации и поддерживающей ее инфраструктуры (компьютеров, линий связи, систем электропитания и т.п.) от случайных или преднамеренных воздействий, чреватых нанесением ущерба владельцам или пользователям этой информации.

Также под информационной безопасностью учетных данных понимают: обеспеченную надежность работы компьютера;сохранность ценных учетных данных;защиту персональной информации от внесения в нее изменений неуполномоченными лицами;сохранение документированных учетных сведений в электронной связи.

Объектами информационной безопасности в учете являются информационные ресурсы, содержащие сведения, отнесенные к коммерческойтайне, и конфиденциальную информацию; а также средства и системы информатизации.

Владелец информационных ресурсов, информационных систем, технологий и средств их обеспечения -это субъект, осуществляющий владение и пользование указанными объектами и реализующий полномочия распоряжения в пределах, установленных законом.

Пользователь информации -это субъект, обращающийся к информационной системе или посреднику за получением необходимой ему информации и пользующийся ею.

Информационные ресурсы -это отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах.

Угроза информационной безопасности заключается в потенциально возможном действии, которое посредством воздействия на компоненты персональной системы может привести к нанесению ущерба владельцам информационных ресурсов или пользователям системы.

Правовой режим информационных ресурсов определяется нормами, устанавливающими:

порядок документирования информации;

право собственности на отдельные документы и отдельные массивы

документов, документы и массивы документов в информационных системах; категорию информации по уровню доступа к ней; порядок правовой защиты информации.

Основный принцип, нарушаемый при реализации информационной угрозы в бухгалтерском учете, - это принцип документирования информации. Учетный документ, полученный из автоматизированной информационной системы учета, приобретает юридическую силу после его подписания должностным лицом в порядке, установленном законодательством РФ.

Все множество потенциальных угроз в учете по природе их возникновения можно разделить на два класса: естественные (объективные) и искусственные.

Естественные угрозы вызываются объективными причинами, как правило, не зависящими от бухгалтера, ведущими к полному или частичному уничтожению бухгалтерии вместе с ее компонентами. К таким стихийным явлениям относятся: землетрясения, удары молнией, пожары и т.п.

Искусственные угрозы связаны с деятельностью людей. Их можно разделить на непреднамеренные (неумышленные), вызванные способностью сотрудников делать какие-либо ошибки в силу невнимательности, либо усталости, болезненного состояния и т.п. Например, бухгалтер при вводе сведений в компьютер может нажать не ту клавишу, сделать неумышленные ошибки в программе, занести вирус, случайно разгласить пароли.

Преднамеренные (умышленные) угрозы связаны с корыстными устремлениями людей - злоумышленников, намеренно создающих недостоверные документы.

Угрозы безопасности с точки зрения их направленности можно подразделить на следующие группы:

угрозы проникновения и считывания данных из баз учетных данных и компьютерных программ их обработки;

угрозы сохранности учетных данных, приводящие либо к их уничтожению, либо к изменению, в том числе фальсификация платежных документов (платежных требований, поручений и т.п.);

угрозы доступности данных, возникающие, когда пользователь не может получить доступа к учетным данным;

угроза отказа от выполнения операций, когда один пользователь передает сообщение другому, а затем не подтверждает переданные данные.

Информационные процессы - процессы сбора, обработки, накопления, хранения, поиска и распространения информации.

Информационная система - организационно-упорядоченная совокупность документов (массивов документов и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы).

Документирование информации осуществляется в порядке, установленном органами государствнной власти, ответственными за организацию делопроизводства стандартизацию документов и их массивов, безопасность Российской Федерации.

В зависимости от источника угроз их можно подразделить на внутренние и внешние.

Источником внутренних угроз является деятельность персонала организации. Внешние угрозы приходят извне от сотрудников других организаций, от хакеров и прочих лиц.

Внешние угрозы можно подразделить на:

локальные, которые предполагают проникновение нарушителя на территорию организации и получение им доступа к отдельному компьютеру или локальной сети;

удаленные угрозы характерны для систем, подключенных к глобальным сетям (Internet, система международных банковских расчетов SWIFT и др.).

Такие опасности возникают чаще всего в системе электронных платежей при расчетах поставщиков с покупателями, использовании в расчетах сетей Internet. Источники таких информационных атак могут находиться за тысячи километров. Причем воздействию подвергаются не только ЭВМ, но и бухгалтерская информация.

Умышленными и неумышленными ошибками в учете, приводящими к увеличению учетного риска, являются следующи: ошибки в записи учетных данных; неверные коды;несанкционированные учетные операции; нарушение контрольных лимитов; пропущенные учетные записи; ошибки при обработке или выводе данных; ошибки при формировании или корректировке справочников; неполные учетные записи; неверное отнесение записей по периодам; фальсификация данных; нарушение требований нормативных актов; нарушение принципов персональной политики; несоответствие качества услуг потребностям пользователей.

Особую опасность представляют сведения, составляющие коммерческую тайну и относящиеся к персональной и отчетной информации (данные о партнерах, клиентах, банках, аналитическая информация о деятельности на рынке). Чтобы эта и аналогичная информация была защищена, необходимо оформить договора с сотрудниками бухгалтерии, финансовых служб и других экономических подразделений с указанием перечня сведений, не подлежащих огласке.

Защита информации в автоматизированных учетных системах строится исходя из следующих основных принципов.

Обеспечение физического разделения областей, предназначенных для обработки секретной и несекретной информации.

Обеспечение криптографической защиты информации. Обеспечение аутентификации абонентов и абонентских установок. Обеспечение разграничения доступа субъектов и их процессов к информации. Обеспечение установления подлинности и целостности документальных сообщений при их передаче по каналам связи.

Обеспечение защиты оборудования и технических средств системы, помещений, где они размещаются, от утечки конфиденциальной информации по техническим каналам.

Обеспечение защиты шифротехники, оборудования, технических и программных средств от утечки информации за счет аппаратных и программных закладок.

Обеспечение контроля целостности программной и информационной части автоматизированной системы.

Использование в качестве механизмов защиты только отечественных

Государственные информационные ресурсы Российской Федерации являются открытыми и общедоступными. Исключение составляет документированная информация, отнесенная законом к категории ограниченного доступа. Документированная информация с ограниченным доступом по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне и конфиденциальную. Перечень сведений конфиденциального характера, в частности сведений, связанных с коммерческой деятельностью, установлен Указом президента Российской Федерации от 6 марта 1997 г. № 188 (приложение №)разработок.

Обеспечение организационно-режимных мер защиты. Целесообразно использование и дополнительных мер по обеспечению безопасности связи в системе.

Организация защиты сведений об интенсивности, продолжительности и трафиках обмена информации.

Использование для передачи и обработки информации каналов и способов, затрудняющих перехват.

Защита информации от несанкционированного доступа направлена на формирование у защищаемой информации трех основных свойств:

конфиденциальность (засекреченная информация должна быть доступна только тому, кому она предназначена);

целостность (информация, на основе которой принимаются важные решения, должна быть достоверной, точной и полностью защищенной от возможных непреднамеренных и злоумышленных искажений);

готовность (информация и соответствующие информационные службы должны быть доступны, готовы к обслуживанию заинтересованных лиц всегда, когда в них возникает необходимость).

Методами обеспечения защиты персональной информации являются: препятствия; управление доступом, маскировка, регламентация, принуждение, побуждение.

Препятствием нужно считать метод физического преграждения пути злоумышленника к защищаемой персональной информации. Этот метод реализуется пропускной системой предприятия, включая наличие охраны на входе в него, преграждение пути посторонних лиц в бухгалтерию, кассу и пр.

Управлением доступом является метод защиты персональной и отчетной информации, реализуемой за счет:

аутентификации - установления подлинности объекта или субъекта по предъявленному им идентификатору (осуществляется путем сопоставления введенного идентификатора с хранящимся в памяти компьютера);

проверки полномочий - проверки соответствия запрашиваемых ресурсов и выполняемых операций по выделенным ресурсам и разрешенным процедурам; регистрации обращений к защищаемым ресурсам;

информирования и реагирования при попытках несанкционированных действий. (Криптография - способ защиты с помощью преобразования информации (шифрования)).

В комплексе БЭСТ-4 разграничение доступа к информации производится на уровне отдельных подсистем и обеспечивается путем задания раздельных паролей доступа. При начальной настройке или в любой момент работы с программой администратор системы может задать или сменить один или несколько паролей. Пароль запрашивается при каждом входе в подсистему.

Помимо этого в некоторых модулях предусмотрена своя система разграничения доступа к информации. Она обеспечивает возможность защиты специальными паролями каждого пункта меню. Паролями можно также защитить доступ к отдельным подмножествам первичных документов: так, в АРМ «Учет запасов на складе» и «Учет товаров и продукции» присутствует возможность задавать пароли доступа к каждому складу в отдельности, в АРМ «Учет кассовых операций» - пароли доступа к каждой кассе, в АРМ «Учет расчетов с банком» - пароли доступа к каждому банковскому счету.

Особо следует отметить то обстоятельство, что для эффективного разграничения доступа к информации необходимо в первую очередь защитить паролями сами режимы определения паролей по доступу к тем или иным блокам.

В 1С.Предприятие, версия 7.7 существует своя защита информации - права доступа.С целью интеграции и разделения доступа пользователей к информации при работе с системой 1С.Предприятие в сети персональных компьютеров, конфигуратор системы позволяет установить для каждого пользователя права на работу с информацией, обрабатываемой системой. Права могут быть заданы в достаточно широких пределах - от возможности только просмотра некоторых видов документов до полного набора прав по вводу, просмотру, корректировке и удалению любых видов данных.

Назначение пользователю прав доступа производится в 2 этапа. На первом этапе создаются типовые наборы прав по работе с информацией, отличающиеся, как правило, широтой предоставляемых возможностей доступа. На втором этапе пользователю ставится в соответствие один из таких типовых наборов прав.

Вся работа по созданию типовых наборов прав производится на закладке «Права» окна «Конфигурация». Это окно вызывается на экран выбором пункта «открыть конфигурацию» из меню «Конфигурация» главного меню программы

2.2 Комплекс мероприятий обеспечения безопасности персональных данных в банковских он-лайн системах

Обоснование комплекса мероприятий по обеспечению безопасности ПДн в ИСПДн производится с учетом результатов оценки опасности угроз и определения класса ИСПДн на основе «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных».

При этом должны быть определены мероприятия по:

выявлению и закрытию технических каналов утечки ПДн в ИСПДн;

защите ПДн от несанкционированного доступа и неправомерных действий;

установке, настройке и применению средств защиты.

Мероприятия по выявлению и закрытию технических каналов утечки ПДн в ИСПДн формулируются на основе анализа и оценки угроз безопасности ПДн.

Мероприятия по защите ПДн при их обработке в ИСПДн от несанкционированного доступа и неправомерных действий включают:

управление доступом;

регистрацию и учет;

обеспечение целостности;

контроль отсутствия недекларированных возможностей;

антивирусную защиту;

обеспечение безопасного межсетевого взаимодействия ИСПДн;

анализ защищенности;

обнаружение вторжений.

Подсистему управления доступом, регистрации и учета рекомендуется реализовывать на базе программных средств блокирования несанкционированных действий, сигнализации и регистрации. Это специальные, не входящие в ядро какой-либо операционной системы программные и программно-аппаратные средства защиты самих операционных систем, электронных баз ПДн и прикладных программ. Они выполняют функции защиты самостоятельно или в комплексе с другими средствами защиты и направлены на исключение или затруднение выполнения опасных для ИСПДн действий пользователя или нарушителя. К ним относятся специальные утилиты и программные комплексы защиты, в которых реализуются функции диагностики, регистрации, уничтожения, сигнализации и имитации.

Средства диагностики осуществляют тестирование файловой системы и баз ПДн, постоянный сбор информации о функционировании элементов подсистемы обеспечения безопасности информации.

Средства уничтожения предназначены для уничтожения остаточных данных и могут предусматривать аварийное уничтожение данных в случае угрозы НСД, которая не может быть блокирована системой.

Средства сигнализации предназначены для предупреждения операторов при их обращении к защищаемымПДн и для предупреждения администратора при обнаружении факта НСД к ПДн и других фактов нарушения штатного режима функционирования ИСПДн.

Средства имитации моделируют работу с нарушителями при обнаружении попытки НСД к защищаемым ПДн или программным средствам. Имитация позволяет увеличить время на определение места и характера НСД, что особенно важно в территориально распределенных сетях, и дезинформировать нарушителя о месте нахождения защищаемых ПДн.

Подсистема обеспечения целостности реализуется преимущественно операционными системами и системами управления базами данных. Средства повышения достоверности и обеспечения целостности передаваемых данных и надежности транзакций, встраиваемые в операционные системы и системы управления базами данных, основаны на расчете контрольных сумм, уведомлении о сбое в передаче пакета сообщения, повторе передачи не принятого пакета.

Подсистема контроля отсутствия недекларированных возможностей реализуется в большинстве случае на базе систем управления базами данных, средств защиты информации, антивирусных средств защиты информации.

Для обеспечения безопасности ПДн и программно-аппаратной среды ИСПДн, осуществляющей обработку этой информации, рекомендуется применять специальные средства антивирусной защиты, выполняющие:

обнаружение и (или) блокирование деструктивных вирусных воздействий на общесистемное и прикладное программное обеспечение, реализующее обработку ПДн, а также на ПДн;

обнаружение и удаление неизвестных вирусов;

обеспечение самоконтроля (предотвращение инфицирования) данного антивирусного средства при его запуске.

При выборе средств антивирусной защиты целесообразно учитывать следующие факторы:

совместимость указанных средств со штатным программным обеспечением ИСПДн;

степень снижения производительности функционирования ИСПДн по основному назначению;

наличие средств централизованного управления функционированием средств антивирусной защиты с рабочего места администратора безопасности информации в ИСПДн;

возможность оперативного оповещения администратора безопасности информации в ИСПДн обо всех событиях и фактах проявления программно-математических воздействий (ПМВ);

наличие подробной документации по эксплуатации средства антивирусной защиты;

возможность осуществления периодического тестирования или самотестирования средства антивирусной защиты;

возможность наращивания состава средств защиты от ПМВ новыми дополнительными средствами без существенных ограничений работоспособности ИСПДн и «конфликта» с другими типами средств защиты.

Описание порядка установки, настройки, конфигурирования и администрирования средств антивирусной защиты, а также порядка действий в случае выявления факта вирусной атаки или иных нарушений требований по защите от программно-математических воздействий должны быть включены в руководство администратора безопасности информации в ИСПДн.

Для осуществления разграничения доступа к ресурсам ИСПДн при межсетевом взаимодействии применяется межсетевое экранирование, которое реализуется программными и программно-аппаратными межсетевыми экранами (МЭ). Межсетевой экран устанавливается между защищаемой сетью, называемой внутренней, и внешней сетью. Межсетевой экран входит в состав защищаемой сети. Для него путем настроек отдельно задаются правила, ограничивающие доступ из внутренней сети во внешнююи наоборот.

Для обеспечения безопасного межсетевого взаимодействия в ИСПДн 3 и 4 классов рекомендуется использовать МЭ не ниже пятого уровня защищенности.

Для обеспечения безопасного межсетевого взаимодействия в ИСПДн 2 класса рекомендуется использовать МЭ не ниже четвертого уровня защищенности.

Для обеспечения безопасного межсетевого взаимодействия в ИСПДн 1 класса рекомендуется использовать МЭ не ниже третьего уровня защищенности.

Подсистема анализа защищенности реализуется на основе использования средств тестирования (анализа защищенности) и контроля (аудита) безопасности информации.

Средства анализа защищенности применяются с целью контроля настроек защиты операционных систем на рабочих станциях и серверах и позволяют оценить возможность проведения нарушителями атак на сетевое оборудование, контролируют безопасность программного обеспечения. Для этого они исследуют топологию сети, ищут незащищенные или несанкционированные сетевые подключения, проверяют настройки межсетевых экранов. Подобный анализ производится на основании детальных описаний уязвимостей настроек средств защиты (например, коммутаторов, маршрутизаторов, межсетевых экранов) или уязвимостей операционных систем или прикладного программного обеспечения. Результатом работы средства анализа защищенности является отчет, в котором обобщаются сведения об обнаруженных уязвимостях.

Средства обнаружения уязвимостей могут функционировать на сетевом уровне (в этом случае они называются «network-based»), уровне операционной системы («host-based») и уровне приложения («application-based»). Применяя сканирующее программное обеспечение, можно быстро составить карту всех доступных узлов ИСПДн, выявить используемые на каждом из них сервисы и протоколы, определить их основные настройки и сделать предположения относительно вероятности реализации НСД.

По результатам сканирования системы вырабатывают рекомендации и меры, позволяющие устранить выявленные недостатки.

В интересах выявления угроз НСД за счет межсетевого взаимодействия применяются системы обнаружения вторжений. Такие системы строятся с учетом особенностей реализации атак, этапов их развития и основаны на целом ряде методов обнаружения атак.

Выделяют три группы методов обнаружения атак:

сигнатурные методы;

методы выявления аномалий;

комбинированные методы (использующие совместно алгоритмы, определенные в сигнатурных методах и методах выявления аномалий).

Для обнаружения вторжений в ИСПДн 3 и 4 классов рекомендуется использовать системы обнаружения сетевых атак, использующие сигнатурные методы анализа.

Для обнаружения вторжений в ИСПДн 1 и 2 классов рекомендуется использовать системы обнаружения сетевых атак, использующие наряду с сигнатурными методами анализа методы выявления аномалий.

Для защиты ПДн от утечки по техническим каналам применяются организационные и технические мероприятия, направленные на исключение утечки акустической (речевой), видовой информации, а также утечки информации за счет побочных электромагнитных излучений и наводок.

В качестве заключения по второй главе работы делаем следующие выводы. Защитой персональной информации является состояние защищенности информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям этой информации.Объектами информационной безопасности в учете определены: информационные ресурсы, содержащие сведения, отнесенные к коммерческойтайне и средства и системы информатизации. Основные методы, используемые в рамках защиты информации являются: обнаруживающие и непосредственно защищающие.

ЗАКЛЮЧЕНИЕ

Проблема информационной безопасности экономических объектов многоаспектна и нуждается в дальнейшей проработке.

В современном мире информатизация становится стратегическим национальным ресурсом, одним из основных богатств экономически развитого государства. Быстрое совершенствование информатизации в России, проникновение ее во все сферы жизненно важных интересов личности, общества и государства повлекли помимо несомненных преимуществ и появление ряда существенных проблем. Одной из них стала необходимостьзащиты информации. Учитывая, что в настоящее время экономический потенциал все в большей степени определяется уровнем развития информационной инфраструктуры, пропорционально растет потенциальная уязвимость экономики по отношению к информационным воздействиям.

Реализация угроз информационной безопасности заключается в нарушении конфиденциальности, целостности и доступности информации. С позиций системного подхода к защите информации необходимо использовать весь арсенал имеющихся средств защиты во всех структурных элементах экономического объекта и на всех этапах технологического цикла обработки информации. Методы и средства защиты должны надежно перекрывать возможные пути неправомерного доступа к охраняемым секретам. Эффективность информационной безопасности означает, что затраты на ее осуществление не должны быть больше возможных потерь от реализации информационных угроз. Планирование безопасности информации осуществляется путем разработки каждой службой детальных планов защиты информации. Необходима четкость в осуществлении полномочий и прав пользователей на доступ к определенным видам информации, в обеспечении контроля средств защиты и немедленного реагирования на их выход из строя.

СПИСОК ЛИТЕРАТУРЫ

1.Автоматизированные информационные технологии в банковской деятельности / под ред. проф. Г.А. Титоренко. - М.: Финстатинформ, 2007

2.Автоматизированные информационные технологии в экономике/ Под ред. проф. Г.А. Титоренко. - М.: ЮНИТИ, 2010

.Агеев А. С. Организация и современные методы защиты информации. - М.: Концерн"Банк. Деловой Центр", 2009

.Аджиев, В. Мифы о безопасности программного обеспечения: уроки знаменитых катастроф. - Открытые системы, 199. №6

.Алексеев, В.И. Информационная безопасность муниципальных образований. - Воронеж: Изд-во ВГТУ, 2008.

.Алексеев, В.М. Международные критерии оценки безопасности информационных технологий и их практическое применение: Учеб.пособие. - Пенза: Изд-во Пенз. гос. ун-та, 2002

.Алексеев, В.М. Нормативное обеспечение защиты информации от несанкционированного доступа. - Пенза: Изд-во Пенз. гос. ун-та, 2007

.Алексеев, В.М. Обеспечение информационной безопасности при разработке программных средств. - Пенза: Изд-во Пенз. гос. ун-та, 2008

.Алешин, Л.И. Защита информации и информационная безопасность: Курс лекций Л. И. Алешин; Моск. гос. ун-т культуры. - М.: Моск. гос. ун-т культуры, 2010

.Ахраменка, Н.Ф. и др. Преступление и наказание в платежной системе с электронными документами// Управление защитой информации, 1998

.Банки и банковские операции. Учебник / Под ред. Е.Ф. Жукова. - М.: Банки и биржи, ЮНИТИ, 2008

.Барсуков, В.С. Безопасность: технологии, средства, услуги. - М.: Кудиц - Образ, 2007

.Батурин, Ю.М. Проблемы компьютерного права. - М.: Юрид. лит., 1991

.Батурин, Ю.М. Компьютерная преступность и компьютерная безопасность. М.: Юр.лит., 2009

.Безруков, Н.Н. Введение в компьютерную вирусологию. Общие принципы функционирования, классификация и каталог наиболее распространенных вирусов в М5-005. К., 2005

.Быков, В.А. Электронный бизнес и безопасность / В. А. Быков. - М.: Радио и связь, 2000

.Варфоломеев, А.А. Информационная безопасность. Математические основы криптологии. Ч. 1. - М.: МИФИ, 1995

.Вехов, В.Б. Компьютерные преступления: Способы совершения и раскрытия. - М.: Право и Закон, 1996

.Волобуев, С.В. Введение в информационную безопасность. - Обнинск: Обн. ин-т атом.энергетики, 2001

.Волобуев, С.В. Информационная безопасность автоматизированных систем. - Обнинск: Обн. ин-т атом.энергетики, 2001

.Всероссийская научно-практическая конференция "Информационная безопасность в системе высшей школы", 28-29 нояб. 2000 г., НГТУ, Новосибирск, Россия: ИБВШ 2000. - Новосибирск, 2001

23.Галатенко, В.А. Информационная безопасность: практический подход В. А. Галатенко; Под ред. В. Б. Бетелина; Рос. акад. наук, Науч.-исслед. ин-т систем. исслед. - М.: Наука, 1998

.Галатенко, В.А.. Основы информационной безопасности: Курс лекций. - М.: Интернет-Ун-т информ. технологий, 2003

.Геннадиева, Е.Г. Теоретические основы информатики и информационная безопасность. - М.: Радио и связь, 2000

.Гика, СебастианНарчис. Сокрытие информации в графических файлах формата ВМР Дис. ... канд. техн. наук: 05.13.19 - СПб., 2001

.Гика, С.Н. Сокрытие информации в графических файлах формата ВМР: Автореф. дис. ... канд. техн. наук: 05.13.19 С.-Петерб. гос. ин-т точ. механики и оптики. - СПб., 2001

.Голубев, В.В. Управление безопасностью. - С-Петербург: Питер, 2004

.Горбатов, В.С. Информационная безопасность. Основы правовой защиты. - М.: МИФИ(ТУ), 1995

.Горлова, И.И., ред. Информационная свобода и информационная безопасность: Материалы междунар. науч. конф., Краснодар, 30-31 окт. 2001 г. - Краснодар, 2001

.Гринсберг, А.С. и др. Защита информационных ресурсов государственного управления. - М.: ЮНИТИ, 2003

.Информационная безопасность России в условиях глобального информационного общества "ИНФОФОРУМ-5": Сб. материалов 5-й Всерос. конф., Москва, 4-5 февр. 2003 г. - М.: ООО Ред. журн. Бизнес и Безопасность России, 2003

.Информационная безопасность: Сб. метод. материалов М-во образования Рос. Федерации [и др.]. - М.: ЦНИИАТОМИНФОРМ, 2003

34.Информационные технологии // Экономика и жизнь. №25, 2001

35.Информационные технологии в маркетинге: Учебник для вузов.- М.: 2003

.Информационные технологии в экономике и управлении: Учебник / Козырев А.А.- М.: Изд-во Михайлова В.А., 2005

.Лопатин, В.Н. Информационная безопасность России Дис. ... д-ра юрид. наук: 12.00.01

.Лукашин, В.И. Информационная безопасность. - М.: Моск. гос. ун-т экономики, статистики и информатики

.Лучин, И.Н., Желдаков А.А., Кузнецов Н.А. Взламывание парольной защиты // Информатизация правоохранительных систем. М., 1996

.Мак-Клар, Стюарт. Хакинг в Web. Атаки и защита Стюарт Мак-Клар, Саумил Шах, Шрирай Шах. - М.: Вильямс, 2003

.Малюк, А.А. Теоретические основы формализации прогнозной оценки уровня безопасности информации в системах обработки данных. - М.: МИФИ, 1998СПб., 2000

.Экономическая эффективность систем информационной безопасности. Чеботарь П.П. - Молдовская экономическая академия, 2003

.Яковлев, В.В. Информационная безопасность и защита информации в корпоративных сетях железнодорожного транспорта. - М., 2002

.Ярочкин, В.И. Информационная безопасность. - М.: Мир, 2003

.Ярочкин, В.И. Информационная безопасность. - М.: Фонд "Мир", 2003: Акад. Проект

.Ясенев, В.Н. Автоматизированные информационные системы в экономике и обеспечение их безопасности: Учебное пособие. - Н.Новгород, 2002

Какие данные считаются персональными

Где могут находиться персональные данные

1. Аудит текущей ситуации в компании

2. Проектирование технического решения

3. Подготовка процесса по защите персональных данных

4. Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании

5. Внедрение технического решения

6. Запуск процесса по защите персональных данных

Нюансы

Начнем с конкретного примера

Затруднения в толковании положений

Письменное согласие на обработку персональных данных

1. ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.2Классификация угроз информационной безопасности персональных данных.

1.3Общая характеристика источников угроз в информационных системах персональных данных

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ

Похожие работы на - Защита персональных данных в банковских он-лайн системах