СодержаниеВведение.......................................................................................................................... rnrnГлава 1. Особенности информационной безопасности банков. rnrnГлава 2. Влияние достижений в сфере компьютерной обработки информации на развитие банковских технологий........................ rnrnГлава 3. Человеческий фактор в обеспечении информационной безопасности............................................................................................................. rnrnУгрозы информационной безопасности банка со стороны персонала. rnrnКадровая политика с точки зрения информационной безопасности. rnrnГлава 4. Безопасность автоматизированных систем обработки информации в банках (АСОИБ)....................................................................................................... rnrnУгрозы безопасности автоматизированных систем........................... rnrnАнализ состояния банковских автоматизированных систем с точки зрения безопасности.............................................................................................................. rnrnПостроение защиты банковских автоматизированных систем... rnrnГлава 5. Безопасность компьютерных сетей в банке................... rnrnКлассификация сетей............................................................................................ rnrnОбеспечение безопасности сетей.................................................................... rnrnГлава 6. Безопасность электронных платежей................................. rnrnЭлектронные платежи в банке........................................................................... rnrnВопросы безопасности электронных платежей..................................... rnrnГлава 7. Безопасность персональных платежей физических лиц. rnrnОсновные формы удаленного банковского обслуживания физических лиц............................................................................................................................................. rnrnПроблемы идентификации клиента при удаленном обслуживании. rnrnБезопасность при использовании пластиковых карт...................... rnrnЗаключение.............................................................................................................. rnrnСписок литературы.............................................................................................ВведениеСо времени своего появления банки неизменно вызывали преступный интерес. И этот интерес был связан не только с хранением в кредитных организациях денежных средств, но и с тем, что в банках сосредотачивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже целых государств. Так, еще в XVIII веке недоброжелатели известного Джакомо Казановы опубликовали закрытые данные о движении средств по его счету в одном из парижских банков. Из этой информации следовало, что организованная Казановой государственная лотерея приносила доход не только казне, но и (в не меньших масштабах) ему лично [1, с.4]. rnrnВ настоящее время значение информации, хранимой в банках, значительно увеличилось. Так, недавняя утечка данных о ряде счетов в Bank of England в январе 1999 года заставила банк поменять коды всех корреспондентских счетов, часть оборудования и программного обеспечения и обошлась банку в несколько десятков миллионов долларов. [17, сообщ. за 26.02.99г.]rnrnВ наши дни в связи со всеобщей информатизацией и компьютеризацией банковской деятельности значение информационной безопасности банков многократно возросло. Еще 30 лет назад объектом информационных атак были данные о клиентах банков или о деятельности самого банка. Такие атаки были редкими, круг их заказчиков был очень узок, а ущерб мог быть значительным лишь в особых случаях. В настоящее время в результате повсеместного распространения электронных платежей, пластиковых карт, компьютерных сетей объектом информационных атак стали непосредственно денежные средства как банков, так и их клиентов. Совершить попытку хищения может любой — необходимо лишь наличие компьютера, подключенного к сети Интернет. Причем для этого не требуется физически проникать в банк, можно «работать» и за тысячи километров от него.rnrnНапример, в августе 1995 г. в Великобритании был арестован 24-летний российский математик Владимир Левин, который при помощи своего домашнего компьютера в Петербурге сумел проникнуть в банковскую систему одного из крупнейших американских банков Citibank и похитить $2,8 млн. В 1994 году Владимир Левин вместе с приятелем сумел подобрать ключи к системе банковской защиты Citibank и попытался снять с его счетов крупные суммы. По сведениям московского представительства Citibank, до тех пор подобное никому не удавалось. Служба безопасности Citibank выяснила, что у банка пытались похитить $2,8 млн., но контролирующие системы вовремя это обнаружили и заблокировали счета. Украсть же удалось лишь $400 тысяч. Для получения денег Левин выехал в Англию, где и был арестован [17, сообщ. за 01.10.95г.].rnrnКомпьютеризация банковской деятельности позволила значительно повысить производительность труда сотрудников банка, внедрить новые финансовые продукты и технологии. Однако прогресс в технике преступлений шел не менее быстрыми темпами, чем развитие банковских технологий. В настоящее время свыше 90% всех преступлений связана с использованием автоматизированных систем обработки информации банка (АСОИБ) [6, с.17]. Следовательно, при создании и модернизации АСОИБ банкам необходимо уделять пристальное внимание обеспечению ее безопасности. Именно этой проблеме посвящена большая часть дипломной работы.rnrnИменно эта проблема является сейчас наиболее актуальной и наименее исследованной. Если в обеспечении физической и классической информационной[1] безопасности давно уже выработаны устоявшиеся подходы (хотя развитие происходит и здесь), то в связи с частыми радикальными изменениями в компьютерных технологиях методы безопасности АСОИБ требуют постоянного обновления. Как показывает практика, не существует сложных компьютерных систем, не содержащих ошибок. А поскольку идеология построения крупных АСОИБ регулярно меняется, то исправления найденных ошибок и «дыр» в системах безопасности хватает ненадолго, так как новая компьютерная система приносит новые проблемы и новые ошибки, заставляет по-новому перестраивать систему безопасности.rnrnОсобенно актуальна данная проблема в России. В западных банках программное обеспечение (ПО) разрабатываются конкретно под каждый банк и устройство АСОИБ во многом является коммерческой тайной. В России получили распространение «стандартные» банковские пакеты, информация о которых широко известна, что облегчает несанкционированный доступ в банковские компьютерные системы. Причем, во-первых, надежность «стандартного» ПО ниже из-за того разработчик не всегда хорошо представляет конкретные условия, в которых этому ПО придется работать, а во-вторых, некоторые российские банковские пакеты не удовлетворяли условиям безопасности. Например, ранние версии (которые и по сей день эксплуатируются в небольших банках) самого популярного российского банковского пакета требовали наличия дисковода у персонального компьютера и использовали ключевую дискету, как инструмент обеспечения безопасности [16]. Такое решение, во-первых, технически ненадежно, а во-вторых, одно из требований безопасности АСОИБ — закрытие дисководов и портов ввода-вывода в компьютерах сотрудников, не работающих с внешними данными.rnrn rnrnВ связи с вышеизложенным, в настоящей работе основное внимание уделено именно компьютерной безопасности банков, т.е. безопасности автоматизированных систем обработки информации банка (АСОИБ), как наиболее актуальной, сложной и насущной проблеме в сфере банковской информационной безопасности. rnrnВ работе рассматриваются особенности информационной безопасности банков, показывается, что именно для банков (в отличие от других предприятий) информационная безопасность имеет решающее значение (глава 1). В главе 2 говорится о развитии банковских информационных технологий, поскольку именно эти технологии во многом определяют систему информационной безопасности банка. Поскольку, по данным статистики [17, сообщ. за 08.12.98г.], наибольшая часть преступлений против банков совершается с использованием инсайдерской информации, то в работе имеется глава 3, посвященная обеспечению информационной безопасности в сфере работы с персоналом.rnrnОстальная часть работы посвящена безопасности АСОИБ и электронных платежей, как ее составной части. В главе 4 анализируются угрозы безопасности АСОИБ и рассматриваются общие принципы построения систем безопасности АСОИБ. В главе 5 описываются специализированные проблемы безопасности банковских компьютерных сетей. Главы 6 и 7 посвящены безопасности электронных платежей.rnrnПо мере развития и расширения сферы применения средств вычислительной техники острота проблемы обеспечения безопасности вычислительных систем и защиты хранящейся и обрабатываемой в них информации от различных угроз все более возрастает. Для этого есть целый ряд объективных причин.rnrnОсновная из них — возросший уровень доверия к автоматизированным системам обработки информации. Им доверяют самую ответственную работу, от качества которой зависит жизнь и благосостояние многих людей. ЭВМ управляют технологическими процессами на предприятиях и атомных электростанциях, движениями самолетов и поездов, выполняют финансовые операции, обрабатывают секретную информацию.rnrnСегодня проблема защиты вычислительных систем становится еще более значительной в связи с развитием и распространением сетей ЭВМ. Распределенные системы и системы с удаленным доступом выдвинули на первый план вопрос защиты обрабатываемой и передаваемой информации.rnrnДоступность средств вычислительной техники, и прежде всего персональных ЭВМ, привела к распространению компьютерной грамотности в широких слоях населения. Это, в свою очередь, вызвало многочисленные попытки вмешательства в работу государственных и коммерческих, в частности банковских, систем, как со злым умыслом, так и из чисто «спортивного интереса». Многие из этих попыток имели успех и нанесли значительный урон владельцам информации и вычислительных систем.rnrnВ немалой степени это касается разных коммерческих структур и организаций, особенно тех, кто по роду своей деятельности хранит и обрабатывает ценную (в денежном выражении) информацию, затрагивающую к тому же интересы большого количества людей. В банках, когда дело касается электронных платежей и автоматизированного ведения счетов, такая информация в некотором роде и представляет из себя деньги.rnrnЦелостную картину всех возможностей защиты создать довольно сложно, поскольку пока еще нет единой теории защиты компьютерных систем. Существует много подходов и точек зрения на методологию ее построения. Тем не менее, в этом направлении прилагаются серьезные усилия, как в практическом, так и в теоретическом плане, используются самые последние достижения науки, привлекаются передовые технологии. Причем занимаются этой проблемой ведущие фирмы по производству компьютеров и программного обеспечения, университеты и институты, а также крупные банки и международные корпорации.rnrnИзвестны различные варианты защиты информации — от охранника на входе до математически выверенных способов сокрытия данных от ознакомления. Кроме того, можно говорить о глобальной защите и ее отдельных аспектах: защите персональных компьютерах, сетей, баз данных и др.rnrnНеобходимо отметить, что абсолютно защищенных систем нет. Можно говорить о надежности системы, во-первых, лишь с определенной вероятностью, а во-вторых, о защите от определенной категории нарушителей. Тем не менее проникновения в компьютерную систему можно предусмотреть. Защита — это своего рода соревнование обороны и нападения: кто больше знает и предусматривает действенные меры — тот и выиграл.rnrnОрганизация защиты АСОИБ — это единый комплекс мер, которые должны учитывать все особенности процесса обработки информации. Несмотря на неудобства, причиняемые пользователю во время работы, во многих случаях средства защиты могут оказаться совершенно необходимыми для нормального функционирования системы. К основным из упомянутых неудобств следует отнести:rnrn1. Дополнительные трудности работы с большинством защищенных систем.rnrn2. Увеличение стоимости защищенной системы.rnrn3. Дополнительная нагрузка на системные ресурсы, что потребует увеличения рабочего времени для выполнения одного и того же задания в связи с замедлением доступа к данным и выполнения операций в целом.rnrn4. Необходимость привлечения дополнительного персонала, отвечающего за поддержание работоспособности системы защиты.rnrnЧто же касается необходимости применения защиты, то здесь принцип «пока гром не грянет, мужик не перекрестится» себя не оправдывает. Информация может иметь слишком большую ценность, чтобы рисковать ею, а непреложная истина: «кто владеет информацией — тот владеет миром», большей частью вполне себя оправдывает.rnrnСовременный банк трудно представить себе без автоматизированной информационной системы. Компьютер на столе банковского служащего уже давно превратился в привычный и необходимый инструмент. Связь компьютеров между собой и с более мощными компьютерами, а также с ЭВМ других банков — также необходимое условие успешной деятельности банка — слишком велико количество операций, которые необходимо выполнить в течении короткого периода времени.rnrnВ то же время информационные системы становятся одной из наиболее уязвимых сторон современного банка, притягивая к себе злоумышленников как из числа персонала банка, так и со стороны. Оценки потерь от преступлений, связанных с вмешательством в деятельность информационной системы банков, очень сильно разнятся. Сказывается разнообразие методик для их подсчета. Средняя банковская кража с применением электронных средств составляет около $9.000, а один из самых громких скандалов связан с попыткой украсть $700 млн. (Первый национальный банк, Чикаго). [3, с.56]rnrnПричем необходимо учитывать не только суммы прямого ущерба, но и весьма дорогостоящие мероприятия, которые проводятся после успешных попыток взлома компьютерных систем. Так, недавняя пропажа данных о работе с секретными счетами Bank of England в январе 1999 года заставила банк поменять коды всех корреспондентских счетов. В этой связи в Великобритании были подняты по тревоге все имеющиеся силы разведки и контрразведки для того, чтобы не допустить невероятной утечки информации, способной нанести огромный ущерб. Правительством предпринимались крайние меры с тем, чтобы посторонним не стали известны счета и адреса, по которым Bank of England направляет ежедневно сотни миллиардов долларов. Причем в Великобритании больше опасались ситуации, при которой данные могли оказаться в распоряжении иностранных спецслужб. В таком случае была бы вскрыта вся финансовая корреспондентская сеть Bank of England. Возможность ущерба была ликвидирована в течение нескольких недель. [17, сообщ. за 26.02.99г.]rnrnУслуги, предоставляемые банками сегодня, в немалой степени основаны на использовании средств электронного взаимодействия банков между собой, банков и их клиентов и торговых партнеров. В настоящее время доступ к услугам банков стал возможен из различных удаленных точек, включая домашние терминалы и служебные компьютеры. Этот факт заставляет отойти от концепции «запертых дверей», которая была характерна для банков 60-х годов, когда компьютеры использовались в большинстве случаев в пакетном режиме как вспомогательное средство и не имели связи с внешним миром.rnrnКомпьютерные системы, без которых не может обойтись ни один современный банк, — источник совершенно новых, ранее неизвестных угроз. Большинство из них обусловлено использованием в банковском деле новых информационных технологий и характерны не только для банков. При этом следует помнить, что во многих странах, несмотря на все увеличивающуюся роль электронных систем обработки, объем операций с бумажными документами в 3-4 раза выше, чем с их электронными аналогами.rnrnУровень оснащенности средствами автоматизации играет немаловажную роль в деятельности банка и, следовательно, напрямую отражается на его положении и доходах. Усиление конкуренции между банками приводит к необходимости сокращения времени на производство расчетов, увеличения номенклатуры и повышения качества предоставляемых услуг.rnrnЧем меньше времени будут занимать расчеты между банком и клиентами, тем выше станет оборот банка и, следовательно, прибыль. Кроме того, банк более оперативно сможет реагировать на изменение финансовой ситуации. Разнообразие услуг банка (в первую очередь это относится к возможности безналичных расчетов между банком и его клиентами с использованием пластиковых карт) может существенно увеличить число его клиентов и, как следствие, повысить прибыль.rnrnВ то же время, АСОИБ банка становится одним из наиболее уязвимых мест во всей организации, притягивающей злоумышленников, как извне, так и из числа сотрудников самого банка. Для подтверждения этого тезиса можно привести несколько фактов:rnrn* Потери банков и других финансовых организаций от воздействий на их системы обработки информации составляют около $3 млрд. в год.rnrn* Объем потерь, связанных с использованием пластиковых карточек оценивается в $2 млрд. в год, что составляет 0.03-2% от общего объема платежей в зависимости от используемой системы. rnrn* Средняя величина ущерба от банковской кражи с применением электронных средств составляет около $9.000. [3, с.60]rnrn* Один из самых громких скандалов связан с попыткой семерых человек украсть $700 млн. в Первом национальном банке, Чикаго. Она была предотвращена ФБР.rnrn* 27 млн. фунтов стерлингов были украдены из Лондонского отделения Union Bank of Switzerland;rnrn* DM 5 млн. украдены из Chase Bank (Франкфурт); служащий перевел деньги в банк Гонконга; они были взяты с большого количества счетов (атака «салями»), кража оказалась успешной;rnrn* $3 млн. — банк Стокгольма, кража была совершена с использованием привилегированного положения нескольких служащих в информационной системе банка и также оказалась успешной. [10]rnrnЧтобы обезопасить себя и своих клиентов, большинство банков предпринимают необходимые меры защиты, в числе которых защита АСОИБ занимает не последнее место. При этом необходимо учитывать, что защита АСОИБ банка — дорогостоящее и сложное мероприятие. Так, например, Barclays Bank тратит на защиту своей автоматизированной системы около $20 млн. ежегодно. [13]rnrnВ первой половине 1994 г. Datapro Information Services Group провела почтовый опрос среди случайно выбранных менеджеров информационных систем. Целью опроса явилось выяснение состояния дел в области защиты. Было получено 1.153 анкеты, на основе которых получены приводимые ниже результаты [2, с.101]:rnrn* около 25% всех нарушений составляют стихийные бедствия;rnrn* около половины систем испытывали внезапные перерывы электропитания или связи, причины которых носили искусственный характер;rnrn* около 3% систем испытывали внешние нарушения (проникновение в систему организации);rnrn* 70-75% - внутренние нарушения, из них:rnrn- 10% совершены обиженными и недовольными служащими-пользователями АСОИБ банка;rnrn- 10% - совершены из корыстных побуждений персоналом системы;rnrn- 50-55% - результат неумышленных ошибок персонала и/или пользователей системы в результате небрежности, халатности или некомпетентности.rnrnЭти данные свидетельствуют о том, что чаще всего происходят не такие нарушения, как нападения хакеров или кража компьютеров с ценной информацией, а самые обыкновенные, проистекающие из повседневной деятельности. В то же время именно умышленные атаки на компьютерные системы приносят наибольший единовременный ущерб, а меры защиты от них наиболее сложны и дорогостоящи. В этой связи проблема оптимизации защиты АСОИБ является наиболее актуальной в сфере информационной безопасности банков.ЗаключениеБанки играют огромную роль в экономической жизни общества, их часто называют кровеносной системой экономики. Благодаря своей специфической роли, со времени своего появления они всегда притягивали преступников. К 90-м годам XX века банки перешли к компьютерной обработке информации, что значительно повысило производительность труда, ускорило расчеты и привело к появлению новых услуг. Однако компьютерные системы, без которых в настоящее время не может обойтись ни один банк, являются также источником совершенно новых угроз, неизвестных ранее. Большинство из них обусловлены новыми информационными технологиями и не являются специфическими исключительно для банков.rnrnСуществуют однако два аспекта, выделяющих банки из круга остальных коммерческих систем:rnrn1. Информация в банковских системах представляет собой «живые деньги», которые можно получить, передать, истратить, вложить и т.д.rnrn2. Она затрагивает интересы большого количества организаций и отдельных лиц.rnrnПоэтому информационная безопасность банка — критически важное условие его существования.rnrnВ силу этих обстоятельств, к банковским системам предъявляются повышенные требования относительно безопасности хранения и обработки информации. Отечественные банки также не смогут избежать участи тотальной автоматизации по следующим причинам:rnrn- усиления конкуренции между банками;rnrn- необходимости сокращения времени на производство расчетов;rnrn- необходимости улучшать сервис.rnrnВ США, странах Западной Европы и многих других, столкнувшихся с этой проблемой довольно давно, в настоящее время создана целая индустрия защиты экономической информации, включающая разработку и производство безопасного аппаратного и программного обеспечения, периферийных устройств, научные изыскания и др. rnrnСфера информационной безопасности — наиболее динамичная область развития индустрии безопасности в целом. Если обеспечение физической безопасности имеет давнюю традицию и устоявшиеся подходы, то информационная безопасность постоянно требует новых решений, т.к. компьютерные и телекоммуникационные технологии постоянно обновляются, на компьютерные системы возлагается все большая ответственность.rnrnСтатистика показывает, что подавляющее большинство крупных организаций имеют план с правилами доступа к информации, а также план восстановления после аварий.rnrnБезопасность электронных банковских систем зависит от большого количества факторов, которые необходимо учитывать еще на этапе проектирования этой системы.rnrnПри этом для каждого отдельного вида банковских операций и электронных платежей или других способов обмена конфиденциальной информацией существуют свои специфические особенности защиты. Таким образом, организация защиты банковских систем есть целый комплекс мер, которые должны учитывать как общие концепции, но и специфические особенности.rnrnОсновной вывод, который можно сделать из анализа развития банковской отрасли, заключается в том, что автоматизация и компьютеризация банковской деятельности (и денежного обращения в целом) продолжает возрастать. Основные изменения в банковской индустрии за последние десятилетия связаны именно с развитием информационных технологий. Можно прогнозировать дальнейшее снижение оборота наличных денег и постепенный переход на безналичные расчеты с использованием пластиковых карт, сети Интернет и удаленных терминалов управления счетом юридических лиц.rnrnВ связи с этим следует ожидать дальнейшее динамичное развитие средств информационной безопасности банков, поскольку их значение постоянно возрастает.Литература1. Абрамов А.В. Новое в финансовой индустрии: информатизация банковских технологий. — СПБ: Питер, 1997 г.rnrn2. Гайкович Ю.В, Першин А.С. Безопасность электронных банковских систем. — М: Единая Европа, 1994 г.rnrn3. Демин В.С. и др. Автоматизированные банковские системы. — М: Менатеп-Информ, 1997 г.rnrn4. Крысин В.А. Безопасность предпринимательской деятельности. — М:Финансы и статистика, 1996 г.rnrn5. Линьков И.И. и др. Информационные подразделения в коммерческих структурах: как выжить и преуспеть. — М: НИТ, 1998 г.rnrn6. Титоренко Г.А. и др. Компьютеризация банковской деятельности. — М: Финстатинформ, 1997 г.rnrn7. Тушнолобов И.Б., Урусов Д.П., Ярцев В.И. Распределенные сети. — СПБ: Питер, 1998 г.rnrn8. Novell NetWare. Руководство пользователя, 1998 г.rnrn9. Аглицкий И. Состояние и перспективы информационного обеспечения российских банков. — Банковские технологии, 1997 г. №1.rnrn10. Аджиев В. Мифы о безопасности программного обеспечения: уроки знаменитых катастроф. — Открытые системы, 1998 г., №6.rnrn11. Джонсон Джордж, Распределенные системы в многофилиальной структуре. — PC Magazine/Russian Edition, 1998 г., №10.rnrn12. Заратуйченко О.В. Концепции построения и реализации информационных систем в банках. — СУБД, 1996 г., №4.rnrn13. Кузнецов В.Е. Измерение финансовых рисков. — Банковские технологии, 1997, №9.rnrn14. Мур Г. Глобальный информационный рынок. — Материалы агентства VDM-News, мониторинг иностранной прессы, 14.01.99 г.rnrn15. Семеновых В.А. Некоторые вопросы информационно-аналитической работы в банке. — Материалы Семинара «Практические вопросы информационно-аналитической работы в коммерческом банке», 24-26.03.98 г.rnrn16. Тарасов П.И. Диасофт предлагает комплексные решения для банков. — Мир ПК, 1998 г., №5.rnrn17. Материалы агентства «Интерфакс». 1995-99 гг.rnrn rnrn rnrnrn[1] Под классической информационной безопасностью понимается система разделения прав доступа к информации, мероприятия по защите от прослушивания, предотвращение утечек со стороны персонала и другие меры, непосредственно не связанные с АСОИБ.
|
|
