Защита информации в банковских информационных системах

В настоящее время проблема обеспечения информационной безопасности приобретает важное значение в связи с тем, что информационная и деловая активность все более перемешается в область кибернетического пространства.

Общее понятие комплексной безопасности включает:

  • • физическую безопасность (зашита зданий, помещений, подвижных средств и т. п.);
  • • безопасность аппаратных средств (защита средств вычислительной техники, сетевого оборудования и т.п.);
  • • безопасность программно-математического обеспечения (защита от программных вирусов, «троянских коней», логических бомб, хакеров и т. п.);
  • • безопасность связи (защита каналов связи от внешних воздействий любого вида);
  • • безопасность сети в целом (дополнительные меры защиты, вызванные особенностью сети).

Применительно к специфике инфраструктуры банка безопасность программно-аппаратных средств и сети в целом следует трактовать как защиту от «информационного оружия» (ИО).

При этом должна реализовываться защита:

  • • от комплексного воздействия, направленного на нарушение функционирования непосредственно телекоммуникационной среды;
  • • от несанкционированного доступа к технологической (служебной) и иной информации, связанной с работой сети;
  • • от разрушения программных средств зашиты в целях получения доступа к содержанию информации, передаваемой абонентами.

Нарушение функционирования телекоммуникационной среды может осуществляться за счет воздействия на аппаратно-программные средства путем передачи несанкционированных служебных команд, осуществления вирусных атак на системное и прикладное программное обеспечение (ПО), операционные системы, базы данных, пользовательскую и иную информацию, активизации аппаратно-программных закладок.

Несанкционированный доступ может осуществляться неправомерным использованием ресурсов сети, в том числе с помощью чтения, записи данных, инициирования выполнения несанкционированных команд и программ, а также снятием информации техническими средствами.

Разрушение программных средств защиты может осуществляться активизацией внедренных аппаратно-программных закладок. Закладки могут применяться для разрушения встроенных и внешних средств и систем защиты, нарушения целостности и функционирования распределенных систем управления, передачи и обработки информации, технических средств, системного и прикладного программного обеспечения, пользовательской и иной информации.

Система мер защиты от НО должна обеспечивать защиту:

  • • от нарушения функционирования телекоммуникационной среды за счет исключения воздействия на системное и прикладное программное обеспечение, информационные каналы, каналы сигнализации, управления и удаленной загрузки баз данных коммутационного оборудования;
  • • от несанкционированного доступа к информации путем обнаружения и ликвидации попыток использования ресурсов сети, приводящих к нарушению целостности сети и информации, изменению функционирования подсистем распределения информации, доступности баз данных;
  • • от разрушения программных средств защиты путем шифрования и имитозащиты передаваемой и хранимой информации, возможности доказательства неправомочности действий пользователей и обслуживающего персонала сети.

Защита от воздействия ИО должна обеспечиваться комплексом мероприятий на всех этапах разработки, ввода в действие, модернизации аппаратно-программных средств телекоммуникаций, а также при обработке, хранении и передаче по каналам связи информации с широким применением современных средств криптографической защиты. При этом необходимо учитывать дополнительную сложность и специфику решения задачи защиты при использовании импортного оборудования.

Для обеспечения безопасности необходимы:

  • • защита информации в каналах связи и базах данных криптографическими методами;
  • • подтверждение подлинности объектов данных и пользователей (аутентификация сторон, устанавливающих связь);
  • • обнаружение нарушений целостности объектов данных;
  • • обеспечение защиты технических средств и помещений, в которых ведется обработка конфиденциальной информации, от утечки по побочным каналам и от возможно внедренных в них электронных устройств съема информации;
  • • обеспечение защиты программных продуктов и средств вычислительной техники от внедрения в них программных вирусов и закладок;
  • • защита от несанкционированных действий по каналу связи от лиц, не допущенных к средствам шифрования, но преследующих цели компрометации секретной информации и дезорганизации работы абонентских пунктов;
  • • организационно-технические мероприятия, направленные на обеспечение сохранности конфиденциальных данных.

Один из эффективных методов борьбы с несанкционированным доступом (НСД) к центральным компьютерам в сетях общего пользования предложен фирмой Microcom. Он основан на использовании устройства управления модемами HDMS Plus.

Это устройство используется в составе программно-аппаратных средств сети PI E-Net, а также в корпоративных сетях таких зарубежных банков и компаний, как US Federal Reserve Bank, Bank of America, Citibank, AT&T, IBM и др. Кроме пользовательских паролей система HDMS Plus обеспечивает также защиту с помощью обратного вызова перед установлением связи и проверку паролей на уровне модемов.

Основной проблемой в вопросе обеспечения конфиденциальности передаваемой информации является наличие стойких и эффективно реализуемых криптосхем и организация надежных и удобных ключевых систем.

В коммерческих сетях передачи данных, функционирующих в США, применяется специально разработанный стандарт шифрования DES (Data Encryption Standard), использующий как программные, так и программно-аппаратные реализации этого шифра.

В СНГ действует стандарт шифрования данных в сетях ЭВМ- ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая», который в значительно большей степени, чем стандарт DES, отвечает современным требованиям к средствам обеспечения конфиденциальности по своим криптографическим качествам.

Важным компонентом в системе безопасности сетей передачи данных, особенно для банковских применений, является цифровая подпись, позволяющая обмениваться юридически значимыми документами, проводить платежные операции, подтверждать целостность предаваемой и проверять целостность полученной информации.

Система безопасности банковской телекоммуникационной сети должна обеспечивать ведомственные нормы и права пользователей в отношении доступа к информационным и другим сетевым ресурсам и услугам, целостность данных на всех этапах их обработки, преобразования и хранения, предотвращать потери, искажения и утечку информации, перехват и вмешательство на всех уровнях системы и для всех территориально распределенных объектов.

Кроме того, при хранении информации на объектах всех уровней банковской телекоммуникационной сети должна гарантироваться зашита от несанкционированных изменений информации, в том числе и в режиме удаленного доступа.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ ОРИГИНАЛ   След >