1. Комплексність:

• забезпечення безпеки персоналу, матеріальних і фінансових ресурсів від можливих погроз всіма доступними законними коштами, методами й заходами;

• забезпечення безпеки інформаційних ресурсів протягом усього їхнього життєвого циклу, на всіх технологічних етапах їхньої обробки (перетворення) і використання, у всіх режимах функціонування;

• здатність системи до розвитку й удосконалювання відповідно до змін умов функціонування банку.

Комплексність досягається:

• забезпеченням відповідного режиму й охорони КБ;

• організацією спеціального діловодства з орієнтацією на захист комерційних секретів і банківської таємниці;

• заходами щодо підбора й розміщення кадрів;

• широким використанням технічних коштів безпеки й захисти інформації;

• розгорнутою інформаційно-аналітичною і детективною діяльністю.

Комплексність реалізується сукупністю правових, організаційних й інженерно-технічних заходів.

2. Своєчасність – упереджуючий характер заходів, які забезпечують безпеку.

Своєчасність припускає постановку завдань по комплексній безпеці на ранніх стадіях розробки системи безпеки на основі аналізу й прогнозування фінансової обстановки, погроз безпеки банку, а також розробку ефективних заходів попередження зазіхань на законні інтереси.

3. Безперервність - вважається, що зловмисники тільки й шукають можливість, як би обійти захисні міри, прибігаючи для цього до легальних і нелегальних методів.

4. Активність. Захищати інтереси банку необхідно з достатнім ступенем наполегливості, широко використовуючи маневр чинностями й коштами забезпечення безпеки й нестандартних мір захисту.

5. Законність. Припускає розробку системи безпеки на основі федерального законодавства в області банківської діяльності, інформатизації й захисти інформації, приватної охоронної діяльності й інших нормативних актів по безпеці, затверджених органами державного керування в межах їхньої компетенції, із застосуванням всіх дозволених методів виявлення й припинення правопорушень.

6. Обґрунтованість. Використовувані можливості й кошти захисту повинні бути реалізовані на сучасному рівні розвитку науки й техніки, обґрунтовані з погляду заданого рівня безпеки й відповідати встановленим вимогам і нормам.

7. Економічна доцільність і порівнянність можливого збитку й витрат на забезпечення безпеки (критерій "ефективність - вартість"). У всіх випадках вартість системи безпеки повинна бути менше розміру можливого збитку від будь-яких видів ризику.

8. Спеціалізація. Передбачається залучення до розробки й впровадження мір і коштів захисту спеціалізованих організацій, найбільш підготовлених до конкретного виду діяльності по забезпеченню безпеки, що мають досвід практичної роботи й державну ліцензію на право надання послуг у цій області. Експлуатація технічних коштів і реалізація мерли безпеки повинні здійснюватися професійно підготовленими фахівцями служби безпеки банку, його функціональних й обслуговуючих підрозділів.

9. Взаємодія й координація. Означає здійснення мір забезпечення безпеки на основі чіткого взаємозв'язку відповідних підрозділів і служб, сторонніх спеціалізованих організацій у цій області, координації їхніх зусиль для досягнення поставлених цілей, а також співробітництва із зацікавленими об'єднаннями й взаємодії з органами державного керування й правоохоронних органів.

10. Удосконалювання. Передбачає вдосконалювання мір і коштів захисту на основі власного досвіду, появи нових технічних коштів з урахуванням змін у методах і коштах розвідки й промислового шпигунства, нормативно-технічних вимог, досягнутого вітчизняного й закордонного досвіду.

11. Централізація керування. Припускає самостійне функціонування системи безпеки по єдиних правових, організаційних, функціональних і методологічних принципах і централізованому керуванні діяльністю системи безпеки.

Питання 4. Об’єкти захисту.

До об'єктів, що підлягають захисту від потенційних погроз і протиправних зазіхань, ставляться:

• персонал банку (керівники, виробничий персонал, що має безпосередній доступ до фінансів, валюті, цінностям, сховищам, обізнані у відомостях, що становлять банківську й комерційну таємницю, працівники зовнішньоекономічних служб й інших;

• фінансові кошти, валюта, коштовності;

• інформаційні ресурси з обмеженим доступом, що становлять службову й комерційну таємницю, а також інша конфіденційна інформація на паперовій, магнітній, оптичній основі, інформаційні масиви й бази даних, програмне забезпечення, інформативні фізичні поля різного характеру;

• кошти й системи інформатизації (автоматизовані системи й обчислювальні мережі різного рівня й призначення, лінії телеграфної, телефонного, факсимільної, радіо- і космічного зв'язку, технічні кошти передачі інформації, кошти розмноження й відображення інформації, допоміжні технічні кошти й системи);

• матеріальні кошти (будинку, спорудження, сховища, технічне встаткування, транспорт й інші кошти);

• технічні кошти й системи охорони й захисту матеріальних й інформаційних ресурсів.

Всі об'єкти, у відношенні яких можуть бути здійснені погрози безпеки або протиправні зазіхання, мають різну потенційну уразливість із погляду можливого матеріального або морального збитку. Виходячи із цього вони повинні бути класифіковані по рівнях уразливості (небезпеки), ступеня ризику.

Найбільшу уразливість представляють фінансові й валютні кошти, особливо в процесі транспортування, інформаційні ресурси й деякі категорії персоналу.

Питання 5. Основні види загроз інтересам підприємства (організації).

Погіршення стану криміногенної обстановки в країні, посилення міжрегіональних зв'язків організованих злочинних груп, ріст їхньої фінансової моці й технічної оснащеності дає підставу думати, що тенденція до ускладнення оперативної обстановки навколо комерційних банків у найближче майбутнє збережеться. Звідси визначення й прогнозування можливих погроз й усвідомлення їхньої небезпеки необхідні для обґрунтування, вибору й реалізації захисних заходів, адекватних погрозам інтересам банку.

У процесі виявлення, аналізу й прогнозування потенційних погроз інтересам банку в рамках концепції враховуються об'єктивно існуючі зовнішні й внутрішні умови, що впливають на їхню небезпеку. Такими є:

• нестабільна політична, соціально-економічна обстановка й загострення криміногенної ситуації;

• невиконання законодавчих актів, правовий нігілізм, відсутність ряду законів по життєво важливих питаннях;

• зниження моральної, психологічної й виробничої відповідальності громадян.

На стадії концептуального пророблення питань безпеки комерційного банку представляється можливим розгляд загального складу потенційних погроз. Конкретні переліки, зв'язані зі специфікою й банку, і умов вимагають певної деталізації й характерні для етапу розробки конкретного проекту системи безпеки.

У загальному плані до погроз безпеки особистості ставляться:

• викрадення й погрози викрадення співробітників, членів їхніх родин і близьких родичів;

• убивства, супроводжувані насильством, знущаннями й катуваннями;

• психологічний терор, погрози, залякування, шантаж, вимагання;

• напад з метою заволодіння коштами, цінностями й документами.

Злочинні зазіхання відносно приміщень (у тому числі й житлових), будинків і персоналу проявляються у вигляді:

• вибухів;

• обстрілів з вогнепальної зброї;

• мінування, у тому числі із застосуванням дистанційного керування;

• підпалів;

• нападу, вторгнення, захоплень, пікетування, блокування;

• ушкодження вхідних дверей, ґрат, огороджень, вітрин, меблів, а також транспортних засобів особистих і службових:

• технологічні аварії, пожежі.

Ціль подібних акцій:

• нанесення серйозного морального й матеріального збитку;

• зрив на тривалий час нормального функціонування;

• вимагання значних сум грошей або яких-небудь пільг (кредити, відстрочка або погашення платежів і т.п.) перед особою терористичної погрози.

Погрози фінансовим ресурсам проявляються у вигляді:

• неповернення кредитних позичок;

• шахрайства з рахунками й внесками;

• підроблених платіжних документів і пластикових карт;

• розкрадання фінансових коштів з кас й інкасаторських машин.

Погрози інформаційним ресурсам проявляються у вигляді:

• розголошення конфіденційної інформації;

• витоку конфіденційної інформації через технічні кошти забезпечення виробничої діяльності різного характеру й виконання;

• несанкціонованого доступу до охоронюваних відомостей з боку конкурентних організацій і злочинних формувань.

Здійснення погроз інформаційним ресурсам може бути зроблено:

• шляхом неофіційного доступу й знімання конфіденційної інформації;

• шляхом підкупу осіб, що працюють у банку або структурах, безпосередньо пов'язаних з його діяльністю;

• шляхом перехоплення інформації, що циркулює в коштах і системах зв'язку й обчислювальної техніки за допомогою технічних коштів розвідки й знімання інформації, несанкціонованого доступу до інформації й навмисних програмно-математичних впливів на неї в процесі обробки й зберігання;

• шляхом підслуховування конфіденційних переговорів, що ведуться в службових приміщеннях, службовому й особистому автотранспорті, на квартирах і дачах;

• через переговірні процеси між банком й іноземними або вітчизняними фірмами, використовуючи необережний обіг з інформацією;

• через окремих співробітників банку, що прагнуть роздобути більший, ніж їхня зарплата, доход або наявну іншу корисливу або особисту зацікавленість.

Питання 6. Правові основи системи безпеки.

Правові основи безпеки комерційного банку визначають відповідні положення Конституції України, Закон "Про безпеку", Закон України "Про Центральний банк України", "Про банки й банківську діяльність" й інші нормативні акти.

Правовий захист персоналу банків, матеріальних й економічних інтересів банків й їхніх клієнтів від злочинних зазіхань забезпечується на основі норм Карного й Кримінально-процесуального кодексів, законів України про прокуратуру, про службу безпеки, про міліцію, про оперативно-розшукову діяльність, про приватну детективну й охоронну діяльність, про зброю й ін.

Захист майнових й інших матеріальних інтересів і ділової репутації комерційних банків покликані забезпечувати також цивільне, цивільно- процесуальне, арбітражне й арбитражно-процесуальне законодавство.

Правову основу безпеки кредитних відносин банків із клієнтами становлять законодавчі акти, що регулюють можливість застосування різних способів забезпечення виконання зобов'язань. Цивільний кодекс дозволяє застосовувати втримання, заставу, поручительство й банківську гарантію.

Найбільш надійним способом забезпечення виконання кредитних зобов'язань є застава. Правове регулювання станових відносин здійснюється за допомогою ряду законодавчих актів і норм, якими регулюються ці відносини.

Забезпечення інформаційної безпеки в банківській системі регулюється законами України: "Про банки й банківську діяльність", "Про державну таємницю", "Про інформації, інформатизацію й захист інформації".

При практичному рішенні завдань забезпечення безпеки банківської діяльності необхідно опиратися також і на наступні правові нормативні акти:

"Про перелік відомостей, які не можуть становити комерційну таємницю";

"Положення про сертифікації коштів захисту інформації";

«Положення про державну систему захисту інформації від ІТП і від витоку по технічних каналах»;

"Положення про державне ліцензування діяльності в області захисту інформації".

Існуючі правові умови забезпечення банківської безпеки в основному дозволяють державній й іншій правоохоронній й охоронній структурам організовувати протистояння протиправним зазіханням на банківську безпеку в різних її аспектах.

Успішне й ефективне рішення завдань забезпечення безпеки конкретного банку досягається формуванням системи внутрішніх нормативних актів, інструкцій, положень, правил, регламентів і функціональних обов'язків співробітників лінійних підрозділів і служб, у тому числі й служби безпеки.

Вимоги по правовому забезпеченню безпеки передбачаються у всіх структурно-функціональних правових документах, починаючи з Уставу комерційного банку й кінчаючи функціональними обов'язками кожного співробітника. Необхідною умовою забезпечення безпеки банку є сукупність правил входу (виходу) осіб у приміщення банку, внесення (виносу) документів, коштів і матеріальних цінностей.

Питання 7. Технічне забезпечення безпеки підприємства (організації).

Технічне забезпечення безпеки повинне базуватися:

• на системі стандартизації й уніфікації;

• на системі ліцензування діяльності;

• на системах сертифікації коштів захисту;

• на системі сертифікації ТС і ПС об'єктів інформатизації;

• на системі атестації захищених об'єктів інформатизацією.

Основними складового забезпечення безпеки ресурсів КБ є:

• система фізичного захисту (безпеки) матеріальних об'єктів і фінансових ресурсів;

• система безпеки інформаційних ресурсів.

Система фізичного захисту (безпеки) матеріальних об'єктів і фінансових ресурсів повинна передбачати:

• систему інженерно-технічних й організаційних заходів охорони;

• систему регулювання доступу;

• систему мер (режиму) схоронності й контроль імовірних каналів витоку інформації;

• систему мер повернення матеріальних цінностей (або компенсації).

Система охоронних заходів повинна передбачати:

• багаторубежность побудови охорони (території, будинку, приміщення);

• комплексне застосування сучасних технічних засобів охорони, виявлення, спостереження, збору й обробки інформації, що забезпечують достовірне відображення й об'єктивне документування подій;

• надійний інженерно-технічний захист імовірних шляхів несанкціонованого вторгнення в охоронювані межі;

• стійку (дубльовану) систему зв'язку й керування всіх взаємодіючих в охороні структур;

• високу підготовку й готовність основних і резервних сил охорони до оперативної протидії порушника;

• самоохорону персоналу.

Система регулювання доступу повинна передбачати:

• об'єктивне визначення "надійності" осіб, що допускають до банківської діяльності;

• максимальне обмеження кількості осіб, що допускають на об'єкти КБ;

• установлення для кожного працівника (або відвідувача) диференційованого за часом, місцю й виду діяльності права доступу на об'єкт;

• чітке визначення порядку видачі дозволів й оформлення документів для входу (в'їзду) на об'єкт;

• визначення обсягів контрольно-пропускних функцій на кожному прохідному й проїзному пункті;

• устаткування контрольно-пропускних пунктів (постів) технічними коштами, що забезпечують достовірний контроль минаючих, об'єктивну реєстрацію проходу й запобігання несанкціонованого (у тому числі силового) проникнення сторонніх осіб;

• високу підготовленість і захищеність персоналу контрольно- пропускних пунктів.

Система мер (режим) схоронності цінностей і контролю повинна передбачати:

• строго контрольований доступ осіб у режимні зони (зони обігу й зберігання фінансів);

• максимальне обмеження відвідувань режимних зон особами, що не беруть участі у роботі;

• максимальне скорочення кількості осіб, що володіють досмотровим імунітетом;

• організацію й здійснення явочного і дистанційного - по технічних каналах (схованого) контролю за дотриманням режиму безпеки;

• організацію ретельного контролю будь-яких предметів і речовин, переміщуваних за межі режимних зон;

• забезпечення захищеного зберігання документів, фінансових коштів і цінних паперів;

• дотримання персональної й колективної матеріальної й фінансової відповідальності в процесі відкритого обігу фінансових ресурсів і матеріальних цінностей;

• організацію ретельного контролю на каналах можливого витоку інформації;

• оперативне виявлення причин тривожних ситуацій у режимних зонах, припинення їхнього розвитку або ліквідацію у взаємодії із силами охорони.

Система мер повернення втрачених матеріальних і фінансових ресурсів складається зі спільних зусиль об'єктових служб безпеки й державних органів охорони правопорядку й безпеки.

На об'єктову службу безпеки покладає:

• виявлення протиправного вилучення фінансових коштів з обігу або зберігання;

• оперативне інформування правоохоронних органів про події й критичні ситуації;

• можливість установлення суб'єкта й час акції;

• проведення пошуку можливого "схрона" втрачених коштів у районі об'єкта.

Подальший пошук і повернення зниклих ресурсів організується у встановленому порядку через відповідні органи правопорядку й безпеки.

Система забезпечення безпеки інформаційних ресурсів повинна передбачати комплекс організаційних, технічних, програмних і криптографічних коштів і мер по захисту інформації в процесі традиційного документообігу при роботі виконавців з конфіденційними документами й відомостями, при обробці інформації в автоматизованих системах різного рівня й призначення, при передачі по каналах зв'язку, при веденні конфіденційних переговорів.

При цьому основними напрямками реалізації технічної політики забезпечення інформаційної безпеки в цих сферах діяльності є:

• захист інформаційних ресурсів від розкрадання, втрати, знищення, розголошення, витоку, перекручування й підробки за рахунок несанкціонованого доступу (НСД) і спеціальних впливів;

• захист інформації від витоку внаслідок наявності фізичних полів за рахунок акустичних і побічних електромагнітних випромінювань і наведень (ПЭМВІН) на електричні цілі, трубопроводи й конструкції будинків.

У рамках зазначених напрямків технічної політики забезпечення інформаційної безпеки необхідна:

• реалізація дозвільної системи допуску виконавців (користувачів) до робіт, документам й інформації конфіденційного характеру;

• обмеження доступу виконавців і сторонніх осіб у будинки, приміщення, де проводяться роботи конфіденційного характеру, у тому числі на об'єкти інформатики, на яких обробляється (зберігається) інформація конфіденційного характеру;

• розмежування доступу користувачів до даних автоматизованих систем різного рівня й призначення;

• облік документів, інформаційних масивів, реєстрація дій користувачів інформаційних систем, контроль за несанкціонованим доступом і діями користувачів;

• криптографічне перетворення інформації, оброблюваної й переданими коштами обчислювальної техніки й зв'язку;

• зниження рівня й інформативності ПЭМВІН, створюваних різними елементами технічних коштів забезпечення виробничої діяльності й автоматизованих інформаційних систем;

• зниження рівня акустичних випромінювань;

• електрична розв'язка ланцюгів харчування, заземлення й інших ланцюгів технічних коштів, що виходять за межі контрольованої території;

• активне зашумлення в різних діапазонах;

• протидія оптичним і лазерним коштам спостереження;

• перевірка технічних коштів й об'єктів інформатизації на предмет виявлення включених у них заставних устроїв;

• запобігання впровадження в автоматизовані інформаційні системи програм вірусного характеру.

Захист інформаційних ресурсів від несанкціонованого доступу повинна передбачати:

• обґрунтованість доступу, коли виконавець (користувач) повинен мати відповідну форму допуску для ознайомлення з документацією (інформацією) певного рівня конфіденційності і йому необхідне ознайомлення з даною інформацією або необхідні дії з нею для виконання виробничих функцій;

• персональну відповідальність, що укладається в тім, що виконавець (користувач) повинен відповідати за схоронність довірених йому документів (носіїв інформації, інформаційних масивів), за свої дії в інформаційних системах;

• надійність зберігання, коли документи (носії інформації, інформаційні масиви) зберігаються в умовах, що виключають несанкціоноване ознайомлення з ними, їхнє знищення, підробку або перекручування;

• розмежування інформації з рівня конфіденційності, що укладається в попередженні показання відомостей більше високого рівня конфіденційності в документах (носіях інформації, інформаційних масивах) з більше низьким рівнем конфіденційності, а також попередження передачі конфіденційної інформації з незахищених ліній зв'язку;

• контроль за діями виконавців (користувачів) з документацією й відомостями, а також в автоматизованих системах і системах зв'язку;

• очищення (обнуління, виключення інформативності) оперативної пам'яті, буферів при звільненні користувачем до перерозподілу цих ресурсів між іншими користувачами;

• цілісність технічного й програмного середовища, оброблюваної інформації й коштів захисту, що укладається у фізичній цілості коштів інформатизації, незмінності програмного середовища, обумовленими передбаченою технологією обробки інформації, виконанні коштами захисту передбачених функцій, ізольованості коштів захисту від користувачів.

Вимога обґрунтованості доступу реалізується в рамках дозвільної системи допуску до робіт, документам і відомостям, у якій установлюється: хто, кому, відповідно до яких повноважень, які документи й відомості (носії інформації, інформаційні масиви) для яких дій або для якого виду доступу може надати й при яких умовах, і яка припускає визначення для всіх користувачів автоматизованих систем інформаційних і програмних ресурсів, доступних їм для конкретних операцій (читання, запис, модифікація, видалення, виконання) за допомогою заданих програмно-технічних коштів доступу.

Положення про персональну відповідальність реалізується за допомогою:

• розпису виконавців у журналах, картках обліку, інших дозвільних документах, а також на самих документах;

• індивідуальної ідентифікації користувачів й ініційованих ними процесів в автоматизованих системах;

• перевірки дійсності виконавців (користувачів) на основі використання паролів, ключів, магнітних карт, цифрового підпису, а також біометричних характеристик особистості як при доступі в автоматизовані системи, так й у виділені приміщення (зони).

Умови надійності зберігання реалізується за допомогою:

• сховищ конфіденційних документів, обладнаних технічними коштами охорони відповідно до встановлених вимог, доступ у які обмежений і здійснюється у встановленому порядку;

• виділення приміщень, у яких дозволяється робота з конфіденційною документацією, обладнаних сейфами й металевими шафами, а також обмеження доступу в ці приміщення;

• використання криптографічного перетворення інформації в автоматизованих системах.

Правило розмежування інформації з рівня конфіденційної реалізується за допомогою:

• попередньо врахованих зошитів для ведення конфіденційних записів або носіїв інформації, призначених для інформації певного рівня таємності.

Система контролю за діями виконавців реалізується за допомогою:

• організаційних мір контролю при роботі виконавців з конфіденційними документами й відомостями;

• реєстрації (протоколювання) дій користувачів з інформаційними й програмними ресурсами автоматизованих систем із вказівкою дати й часу, ідентифікаторів запитуючого й запитуваного ресурсів, виду взаємодії і його результату, включаючи заборонені спроби доступу;

• сигналізації про несанкціоновані дії користувачів.

Очищення пам'яті здійснюється організаційними й програмними мірами, а цілісність автоматизованих систем забезпечується комплексом програмно- технічних засобів й організаційних заходів.

Захист інформації від витоку за рахунок побічних електромагнітних випромінювань і наведень (ПЭМВІН).

Основним напрямком захисту інформації від витоку за рахунок ПЭМВІН є зменшення відносини інформативного сигналу до перешкоди до межі, обумовленого "Нормами ефективності захисту АСУ й ЕОМ від витоку інформації за рахунок ПЭМВІН", при якому відновлення повідомлень стає принципово неможливим. Рішення цього завдання досягається як зниженням рівня випромінювань інформаційних сигналів, так і збільшенням рівня перешкод у відповідних частотних діапазонах.

Перший спосіб реалізується вибором системно-технічних і конструкторських рішень при створенні технічних коштів ЭВТ в "захищеному виконанні", а також раціональним вибором місця розміщення технічних коштів щодо напрямків можливого перехоплення інформативного сигналу.

Другий спосіб реалізується в основному за рахунок застосування активних коштів захисту у вигляді "генераторів шуму" і спеціальної системи антен.

Захист інформації в лініях зв'язку.

До основних видів ліній зв'язку, використовуваних для передачі інформації, можна віднести провідні (телефонні, телеграфні), радіо й радіорелейні, тропосферні й космічні лінії зв'язку.

При необхідності передачі по них конфіденційної інформації основним напрямком захисту інформації, переданої по всіх видах ліній зв'язку, від перехоплення, перекручування й нав'язування помилкової інформації є використання крипто-логічного перетворення інформації, а на невеликих відстанях, крім того, використання захищених волоконно-оптичних ліній зв'язку.

Для захисту інформації повинні використатися кошти криптографічного захисту даних гарантованої стійкості для певного рівня конфіденційності переданої інформації й відповідна ключова система, що забезпечує надійний обмін інформацією й аутентифікації (підтвердження дійсності) повідомлень.

Безпечне використання технічних коштів інформатизації.

Одним з методів технічної розвідки й промислового шпигунства є впровадження в конструкцію технічних коштів інформатизації заставних устроїв перехоплення, трансляції інформації або висновку технічних засобів з ладу.

З метою протидії такому методу впливу на об'єкти інформатики, для технічних засобів інформатизації, призначених для обробки конфіденційної інформації, в обов'язковому порядку проводиться перевірка цих засобів, здійснювані спеціалізованими організаціями за допомогою спеціальних установок й устаткування, як правило, у стаціонарних умовах відповідно до встановлених вимог.

Захист мовної інформації при проведенні конфіденційних переговорів.

Виходячи з можливості перехоплення мовної інформації при проведенні розмов конфіденційного характеру за допомогою впровадження заставних устроїв, акустичних, віброакустичних і лазерних технічних засобів розвідки, протидія цим погрозам повинне здійснюватися всіма доступними й з методами.

У зв'язку з інтенсивним впровадженням у діяльність КБ автоматизованих систем організаційно-фінансового управління, технічного й іншого призначення, використовуваних для обробки конфіденційної інформації, для обліку фінансових коштів, локальних, регіональних і глобальних обчислювальних мереж й інтеграції в них значних по обсязі й важливих по змісту інформаційних ресурсів, проблемі безпеки інформації, оброблюваної й переданими засобами й системами обчислювальної техніки й зв'язку, варто приділити особлива увага.

Забезпечення якості в системі безпеки.

Необхідної складової системи безпеки повинно бути забезпечення якості робіт і використовуваних засобів і мер захисту, нормативною базою якого є система стандартів й інших керівних нормативно - технічних і методичних документів по безпеці, затверджених органами державного управління відповідно до їх компетенції й визначальні норми захищеності інформації й вимоги в різних напрямках захисту інформації.

Відповідно до вимог захисту інформації повинні проводитися попередньопроектні обстеження й проектування інформаційних систем, замовлення засобів захисту інформації й контролю, передбачуваних до використання в цих системах, атестація об'єктів інформатики, а також контроль захищеності інформаційних ресурсів.

У сукупності із системою стандартизації єдину систему забезпечення якості продукції й послуг по вимогах безпеки інформації становлять:

• сертифікація засобів і систем обчислювальної техніки й зв'язку по вимогах безпеки інформації;

• ліцензування діяльності по наданню послуг в області захисту інформації;

• атестація об'єктів інформатики по вимогах безпеки інформації.

Відповідно до вимог цих систем право робити послуги стороннім організаціям в області захисту інформації надано тільки організаціям, що мають на цей вид діяльності дозвіл (ліцензію). Засоби й системи обчислювальної техніки й зв'язку, призначені для обробки (передачі) секретної інформації, засоби захисту й контролю ефективності захисту такої інформації підлягають обов'язковій сертифікації по вимогах безпеки інформації, а об'єкти інформатики, призначені для обробки секретної й іншої конфіденційної інформації, що є власністю держави, а також для ведення секретних переговорів підлягають обов'язковій атестації по вимогах безпеки інформації.

При розробці системи комплексного захисту інформації об'єкта автоматизації необхідно максимально використати наявні сертифіковані по вимогах безпеки інформації засоби обчислювальної техніки й зв'язку, засоби захисту й контролю захищеності, розробляючи або замовляючи оригінальні технічні або програмні засоби захисту тільки у випадках, коли наявними засобами не можна досягти необхідних результатів. Виходячи із цього при розробці автоматизованих систем різного рівня й призначення серйозну увагу варто приділити вибору технічних засобів і загальносистемного матзабезпечення. Цими ж обставинами варто керуватися при виборі стратегії розвитку систем інформатизації.

Питання 8. Управління системою безпеки підприємства.

Діючі в цей час і розроблювальні законодавчі й інші нормативні акти передбачають право КБ на вироблення власної концепції системи безпеки й створення відповідної служби як системи виконавчих органів, що реалізує цю концепцію.

Виходячи із представлених у концепції завдань, принципів організації й функціонування системи безпеки, основних погроз безпеки КБ, доцільно виділити наступні основні напрямки діяльності КБ по забезпеченню його безпеки:

• інформаційно-аналітичних досліджень і прогнозних оцінок безпеки, у тому числі економічної;

• безпеки персоналу;

• схоронності й фізичного захисту фінансових коштів й об'єктів;

• безпеки інформаційних ресурсів.

Основними завданнями напрямку інформаційно-аналітичних досліджень і прогнозних оцінок безпеки є:

• добування й аналіз інформації про світовий і національний ринки й прогнозування їхній розвиток;

• організація робіт з виявлення конфіденційної інформації, обґрунтуванню рівня її конфіденційності й документальному оформленню у вигляді переліків відомостей, що підлягають захисту;

• збір економічної й науково-технічної інформації для забезпечення ефективності ділових зносин із закордонними й вітчизняними партнерами, виявлення в їхньому числі неспроможних, ненадійних підприємців, а також осіб, пов'язаних із кримінальними структурами;

• облік офіційних претензій правоохоронних і контролюючих органів до можливих партнерів на фінансовому ринку, фірмам, банкам і т.п.;

• вивчення, аналіз й оцінка кримінальної обстановки, у тому числі стану економічної злочинності в грошово-кредитній сфері по країні й у регіоні;

• виявлення й прогнозування уразливих місць у грошово-кредитній діяльності, реальних і потенційних погроз безпеки КБ, розробка й здійснення комплексу оперативних і довгострокових заходів для їхнього попередження й нейтралізації;

• аналіз і прогнозування негативних тенденцій соціально-економічного розвитку КБ із погляду впливу на її безпеку;

• інформаційне забезпечення керівництва КБ в області безпеки;

• координація діяльності підрозділів служби безпеки й забезпечення взаємодії з усіма структурними підрозділами КБ у рішенні проблеми безпеки.

Головною турботою про безпеку персоналу є охорона особистості від будь-яких протиправних зазіхань на його життя, матеріальні цінності й особисту інформацію.

Основними завданнями напрямку схоронності й фізичного захисту продукції й об'єктів є:

• установлення режиму охорони виробничих об'єктів й об'єктів життєдіяльності;

• здійснення допускного й пропускного режимів;

• забезпечення захищеного зберігання цінностей і документів (носіїв інформації), оснащення сучасними інженерно-технічними коштами охорони;

• організація фізичного захисту продукції в процесі її внутріоб'єктового транспортування;

• здійснення контролю за схоронністю продукції на всіх стадіях технологічного процесу;

• організація особистої безпеки певної категорії керівного складу й провідних спеціалістів з так називаної групи підвищеного ризику;

• забезпечення взаємодії всіх структур, що беруть участь у забезпеченні фізичного захисту.

Основними завданнями напрямку безпеки інформаційних ресурсів є:

• організація й здійснення дозвільної системи допуску виконавців до роботи з документами й відомостями обмеженого доступу;

• організація зберігання й обігу з конфіденційними документами (носіями інформації);

• здійснення закритої переписки й шифрованого зв'язку;

• організація й координація робіт із захисту інформації, оброблюваної й переданими засобами й системами обчислювальної техніки й зв'язку;

• забезпечення безпеки в процесі проведення конфіденційних нарад, переговорів;

• здійснення контролю за збереженням конфіденційних документів (носіїв інформації), за забезпеченням захисту інформації, оброблюваної й переданими засобами й системами обчислювальної техніки й зв'язку.

Основними завданнями в роботі з персоналом банку є:

• Набір персоналу: створення резерву потенційних кандидатів по всіх посадах. Набір персоналу, як правило, проводиться із внутрішніх (переміщення й просування по службі своїх співробітників) і зовнішніх (найм по оголошеннях і по особистих рекомендаціях) джерел. Основною вимогою при цьому повинні стати об'єктивна оцінка не тільки вступника на роботу співробітника, але й пропонованої йому роботи.

• Відбір кандидатів. До основних груп якостей для порівняння кандидатів ставляться: професійні, освітні, організаційні й особисті. Основною вимогою при відборі є ретельне вивчення ділових, моральних й етичних даних кожного кандидата шляхом глибокого вивчення трудового минулого кандидата. У процесі аналізу відомостей про кандидата варто користуватися послугами органів внутрішніх справ.

• Підписання контракту й одержання в співробітника добровільної згоди на дотримання вимог, що регламентують режим безпеки й збереження комерційної й банківської таємниць.

• Навчання кандидатів перед допуском до роботи передбачає призначення на посаду, навчання встановленим правилом виконання дорученої справи, забезпечення безпеки й захисту інформації.

• Поточний контроль (моніторинг) за діяльністю співробітника по підвищенню його пильності відносно погроз безпеки банку.

• Своєчасне виявлення й усунення конфліктних ситуацій у роботі з персоналом.

З огляду на територіальну розкиданість і різний характер діяльності структурних підрозділів КБ, необхідність наявності в значній їхній частині підрозділів служби безпеки, а також наявність республіканських нормативних актів, що визначають порядок забезпечення охорони об'єктів, продукції й транспортування продукції, представляється неможливим у цей час організувати єдину службу безпеки КБ із централізованим адміністративним підпорядкуванням.

У цих умовах доцільно створити територіальну розподілену службу безпеки із централізованим організовано-методическим управлінням і координацією діяльності по єдиних принципах і правилам.

Служба безпеки повинна підкорятися безпосередньо керівникові комерційного банку. Доцільно, якщо дозволяють можливості, щоб начальник служби безпеки знаходився в ранзі заступника керівника КБ, що адміністративно управляв би службою інформаційно-аналітичних досліджень і прогнозних оцінок безпеки й методично керував підрозділами служб схоронності й фізичного захисту цінностей й об'єктів і безпеки інформаційних ресурсів, створюваних для виконання конкретних завдань відповідно до дійсної концепції в структурних підрозділах КБ і координував би їхню діяльність.

Питання технічної безпеки по напрямках діяльності служби безпеки повинні вирішуватися разом з керівництвом і підрозділами, як відповідають за відповідний напрямок науково-технічного розвитку.

При розробці й реалізації системи безпеки й організації її служби безпеки певна частина співробітників служби безпеки може бути притягнута для виконання конкретних робіт (консультацій) на договірній основі (за контрактом) із числа відповідного профілю висококваліфікованих фахівців.

ПРОПОЗИЦІЇ ЩОДО ПРОГРАМИ СТВОРЕННЯ СИСТЕМИ БЕЗПЕКИ

У цілому створення й забезпечення функціонування системи комплексної безпеки з урахуванням положень дійсної концепції повинні бути розроблені наступні документи:

• Устав (положення) служби безпеки.

• Перелік відомостей, що становлять комерційну таємницю.

• Організаційно-розпорядницькі документи, що регламентують порядок і правила:

  • забезпечення збереження комерційної таємниці;

  • режиму й охорони об'єктів захисту, включаючи вимоги по пропускному й внутріоб'єктному режимі;

  • по обліку й контролю фінансів, забезпечення їхньої схоронності в процесі операцій, зберігання й транспортування;

  • забезпечення захисту інформації, оброблюваної й переданої в автоматизованних системах і засобах зв'язку.

Для здійснення технічної політики в області забезпечення фізичного й інформаційного захисту необхідно розробити й реалізувати комплекс заходів:

• по оснащенню найважливіших об'єктів і приміщень засобами й системами фізичного захисту й контролю;

• по забезпеченню технічної, програмної і криптографічним захистом інформації в системах інформатизації й зв'язку;

• по забезпеченню захисту мовної інформації в приміщеннях, виділених для ведення конфіденційних переговорів.

Програма створення системи безпеки повинна передбачати пріоритети реалізації найбільш важливих й актуальних напрямків забезпечення безпеки, з обліком виділюваних фінансових ресурсів, а також передбачати залучення до її виконання спеціалізованих організацій, що мають практичний досвід роботи з розглянутої проблеми й ліцензії на відповідний вид діяльності.

З метою забезпечення нормальної роботи служби безпеки в повсякденних умовах рекомендується розробка "Оперативного плану служби безпеки по забезпеченню захисту банку". Даним планом передбачаються конкретні й чіткі дії співробітників банку й служби безпеки при виникненні критичних ситуацій типу:

• напад грабіжників;

• зникнення наявних коштів;

• напад на співробітника банку;

• пожежа, вибух й інше ушкодження будинку або майна як у денний, так й у нічний час.

Передбачаються дії як у момент початку ситуації, у ході її розвитку й по завершенню. Головна мета - попередити початок, зменшити збиток, зберегти сліди (доказу) для наступної роботи з ліквідації збитку.

Питання 9. Взаємодія підприємства із правоохоронними органами з

питань безпеки.

Якою би удосконалою не була би самоорганізація безпеки комерційного банку, вона не забезпечить запобігання злочинних зазіхань без взаємодії кредитної установи з відповідними правоохоронними органами й насамперед міліцією.

Організаційно-правовою основою такої взаємодії є:

• конституційні принципи рівності захисту всіх форм власності;

• закони України про міліції, про оперативно-розшукову діяльність, про прокуратуру й інші нормативно-правові акти;

• Угода між Міністерством внутрішніх справ України й Асоціацією українських банків про взаємодію в області забезпечення банківської безпеки.

Цілями співробітництва є: попередження й розкриття злочинних зазіхань на персонал комерційних банків, кошти й цінності.

Пріоритетними напрямками взаємодії банку й територіального органа внутрішніх справ повинні бути:

• Обмін інформацією:

  • про факти (способах) здійснення розкрадань коштів у комерційних банках з використанням підроблених банківських документів, кредитних карток, підробки інших документів;

  • про фізичні особи, що працюють у комерційних банках, вкладниках й інших клієнтах, підозрюваних у здійсненні правопорушень;

  • про юридичні особи, що є клієнтами банку, що роблять банківські операції, що мають підозрілий характер, у цілому про банківські операції, що викликають обґрунтовані сумніви в доцільності їхнього проведення.

• Розробка спільних заходів:

  • протидії передбачуваним (реальним) фактам загальнокарних проявів у банківській системі, загрозам убивства, або нанесення тяжких тілесних ушкоджень, знищення майна комерційних банків, їхніх керівників, співробітників і членів їхніх родин;

  • по технічному усиленню й устаткуванню засобами сигналізації об'єктів банку;

  • по створенню так називаної "гарячої лінії" між банківським і територіальним органом внутрішніх справ (міліцією);

  • участі у формуванні централізованого, регіонального банку даних про підприємства різних форм власності, несумлінних учасниках кредитно-грошових відносин;

• Робота з підбора, розміщенню й професійній підготовці кадрів служб банківської безпеки:

  • здійснення спільної перевірки кандидатур на роботу в службу банківської безпеки з використанням інформаційних можливостей органів внутрішніх справ, відомостей про судимості й т.д.;

  • проведення спільної розробки й введення правил про відповідальність персоналу комерційних банків за протиправне використання, або розголошення комерційної (банківської) таємниці;

  • використання допомоги міліції в навчанні й підвищенні кваліфікації кадрів служби безпеки банку.

Таким чином, дана концепція дозволяє керівникові комерційного банку визначити основи організації безпеки кредитної установи з урахуванням місцевих умов і своїх можливостей по витратах і ресурсам її забезпечення.