Средства защиты информации в банковских системах

Когда обычный человек слышит слова «безопасность банка», ему представляются тяжелые двери банковских хранилищ, надежные сейфы, многоуровневые посты охраны и контроля. Во многом это верно и сейчас. Но в современном мире значительную — если не основную — часть ценностей представляет собой не что-то материальное, а информация. Она также нуждается в защите. Информационная безопасность в банковских системах, так же, как и физическая, должна строится по многоуровневой схеме с контролем всех "точек входа" и использованием самых надежных технических средств.

В России помимо крупнейших игроков банковского, сектора существует множество небольших банков, которые в силу финансовых ограничений не могут позволить себе вкладывать значительные суммы В информационную безопасность. Тем не менее, безопасность информационных систем банков любого масштаба должна строиться с использованием ряда основных принципов. Рассмотрим задачи и проблемы, с которыми сталкиваются банки (любого масштаба), и средства, с помощью которых эти задачи можно решить.

Банковская сеть, как сеть любого предприятия или организации, содержит в своем составе вполне стандартный набор объектов: рабочие станции сотрудников, инфраструктурные и специализированные серверы, сетевые шлюзы. С развитием мобильности к этому набору все чаще добавляются ноутбуки, смартфоны и планшеты, с которых осуществляется доступ сотрудников к банковской информационной системе. Специфика банков состоит в том, что к этому набору добавляются банкоматы и платежные терминалы (как правило, построенные на стандартных операционных системах и технически представляющие собой стандартный компьютер). Информационная система должна также быть доступна для клиентов банка. Наконец, не стоит забывать о том, что сеть даже сравнительно небольшого банка представляет собой распределенную систему с многочисленными филиалами и отделениями.

Таким образом, задача защиты информации хотя и близка по схеме и используемым средствам к задачам, решаемым для обычной организации, также должна иметь ярко выраженную банковскую специфику. Необходимо:

• — Обеспечить надежную и безопасную работу АБС (автоматизированной банковской системы).
• — Обеспечить безопасный доступ сотрудников и клиентов к банковской системе в территориально распределенной сети.
• — Обеспечить доступ сотрудников к внешним информационным сетям (Интернету).
• — Обеспечить защиту банкоматов и терминалов.
• — Иметь возможность контроля всех процессов в системе и своевременного обнаружения любых нарушений.

Все эти задачи необходимо решать комплексно, начиная с архитектуры банковской сети. Хорошей и достаточно распространенной практикой является создание нескольких изолированных сетей с минимальным количеством точек взаимодействия (шлюзов) с применением самых современных средств защиты. Как правило, в системе создаются изолированная операционная сеть и сеть с доступом к ресурсам Интернета. Часто В отдельные сети выделяются также банкоматы и терминалы. Такое разделение сетей позволяет избежать многих проблем связанных с утечкой информации и распространением вредоносного кода, но, естественно, для надежного обеспечения безопасности требуется внедрение специализированного ПО. Следует также избегать часто встречающегося заблуждения, что изолированная сеть не нуждается в столь же серьезных средствах защиты, что и сети общего доступа – такой подход не раз приводил к серьезным проблемам. Для обеспечения надежной связи между подразделениями и филиалами должны использоваться выделенные каналы связи с применением шифрования данных. Естественно, что для отдельных подразделений должен использоваться тот же принцип разделения сетей, что и для основной сети банка.

Что касается специализированного ПО, то по-прежнему основой систем информационной безопасности являются антивирусные программы. За несколько последних лет они эволюционировали от «просто антивирусов» до комплексных систем защиты контроля рабочих станций. При помощи современного антивируса можно решить целый комплекс задач, включая защиту от несанкционированного подключения любых внешних устройств и установки программ. Эшелонированная мультивендорная защита интернет-шлюзов и почтовых систем также не теряет своей актуальности.

Развитие мобильности также привносит свои настоятельные требования: сейчас антивирусная защита должна в обязательном порядке распространяться на все типы мобильных устройств, используемых сотрудниками банка вне зависимости от того, применяются такие устройства в работе с АБС или только с сетями общего пользования.

Защита собственно банковской системы должна использовать мощные средства аутентификации и контроля действий как внутренних пользователей, так и клиентов. Общепринято, что наиболее надежную защиту могут обеспечить средства двухфакторной аутентификации, будь то электронные ключи (токены) или генераторы одноразовых паролей.

Безопасность данных при хранении требует использования средств шифрования, которые смогут работать либо на уровне храни-лищ данных, либо на уровне отдельных компонентов системы, например, таблиц баз данных.

Безопасность банкоматов и платежных терминалов должна обеспечиваться с использованием традиционных средств — антивирусной защиты. Но в то же время специфика таких устройств требует применения дополнительных средств защиты, включая создание «замкнутой про-граммно-аппаратной среды», полностью исключающей установку любого стороннего ПО и подключение внешних устройств.

Наконец, контроль процессов и событий в системе и своевременное обнаружение нарушений — это, наверное, наиболее сложная часть любой комплексной системы безопасности. Ведь в данном случае не¬достаточно просто приобрести пусть даже самую мощную и современную систему контроля вторжений или предотвращения утечек (DLP). Внедрение таких систем требует досконального знания всех возможных «слабых точек», а очень часто и практически полного пересмотра и стандартизации бизнес-процессов. Не каждой организации, особенно небольшой, по силам полноценное внедрение подобных систем. Но в таком случае, на помощь могут прийти менее сложные в использовании информационные сервисы, способные, например, отследить подозрительный исходящий трафик, связанный с активностью вредоносных программ, в том числе используемых и для хищения информации. Это позволит вовремя обнаружить любую подозрительную активность в пределах защищенной сети.

Сегодня многие банки для решения всех перечисленных задач предпочитают обращаться к специализированным компаниям - интеграторам, профессионалам в области: построения и внедрения систем информационной безопасности. Но здесь важно помнить о специфичности банковского сектора и определить, подойдет ли компания-интегратор для построения эффективной защиты, Во-первых, при выборе интегратора нужно обратить внимание, обладает ли компания опытом работ именно с банковским сектором и насколько он успешен. Во-вторых, компания должна располагать всеми соответствующими лицензиям ФСТЭК и ФСБ. В-третьих, компания должна иметь большой опыт работы и безупречную репутацию.

Поскольку речь идет о больших бизнес- и репутационных рисках, банки, прежде чем вкладывать деньги в построение систем информационной защиты, как правило, хотят выяснить, можно ли минимизировать расходы, используя уже установленное в банке оборудование. За этим также следует обратиться к компании-интегратору, многие из которых, проводят аудит состояния защиты, информации и независимую, оценку соответствия состояния информационной безопасности требованиям Стандарта Банка России. По результатам банку предоставляется полный отчет о работе существующей системы ИБ и даются рекомендации, позволяющие наиболее эффективно усилить защиту, используя и уже имеющиеся у банка ресурсы.

Подводя итог, можно сделать главный вывод. Информационные системы банков имеют ярко выраженую специфику, но для защиты информации во многом пригодны те же методы и средства, что используются в «обычной» жизни. Главное — подходить к построению системы безопасности максимально ответственно, учитывая все узкие моменты, так как цена ошибки в данном случае очень высока.

Дмитрий Слободенюк, директор компании ARinteg