Тема 7.
ЗАХИСТ І БЕЗПЕКА ІНФОРМАЦІЇ ПРИ ВИКОРИСТАННІ ЕЛЕКТРОННИХ ПОСЛУГ БАНКІВ
У сучасний період важливого значення набуває організації систем захисту банківської інформації.
Під безпекою банківської електронної системи мають на увазі її властивість, що полягає у можливості протидіяти спробам нанесення шкоди власникам і користувачам системи при різних впливах (зумисних і незумисних) на неї. Зазвичай розрізняють зовнішню і внутрішню безпеку.
Політика безпеки — це сукупність норм, правил і методів, на основі яких у подальшому будується діяльність інформаційної системи у сфері обігу, збереження і розподілу інформації.
Політика безпеки формується на основі аналізу поточного стану і перспективи розвитку інформаційної системи, можливих загроз і визначає: цілі, пріоритети та завдання системи безпеки, сфери дії окремих підсистем, гарантований мінімальний рівень захисту, обов’язки персоналу щодо забезпечення захисту, санкції за порушення захисту.
Важливим при розробці політики безпеки є розподіл відповідальності за безпеку комп’ютерної системи. При цьому слід враховувати, що ніхто, окрім керівництва, не може прийняти рішення щодо політики інформаційної безпеки, жодна зовнішня організація не зацікавлена в ефективності заходів безпеки.
Під загрозою безпеці банківських електронних систем мають на увазі потенційно можливі дії на систему, котрі прямо чи опосередковано можуть нанести збитки користувачу.
Основні загрози безпеці банківських систем можна поділити на_
Інформаційні (порушення адресності та термінів інформаційного обміну, несанкціонований доступ, маніпулювання даними, незаконне копіювання даних, порушення технології обробки даних);
програмно-математичні (програми-віруси, знищення чи модифікація даних, установка програмних закладок);
фізичні (знищення чи руйнування засобів обробки та зв’язку, вплив на персонал, викрадення програмних чи апаратних ключів і засобів криптографування, постачання “заражених” компонент інформаційних систем);
радіоелектронні (перехоплення дешифрування та фальсифікація інформації в мережах і лініях зв’язку, вплив на парольно-ключові системи, використання електронних пристроїв - перехоплювачів інформації);
організаційно-правові (невиконання законодавчих та нормативних правил, неправильне розмежування прав доступу).
Загальна класифікація загроз безпеки електронних банківських систем включає в себе:
загрозу конфіденційності даних та програм;
загрозу цілісності даних, програм, обладнання;
загрозу доступності даних;
загрозу відмови від виконання трансакцій.
Оцінка надійності системи та побудова моделі захисту передбачає вивчення усіх варіантів реалізації вказаних загроз.
Враховуючи існуючі загрози системі захисту електронних банківських систем і можливі негативні дії можна виділити такі основні напрями захисту: захист обладнання і носіїв інформації від викрадення, пошкодження чи знищення; захист інформаційних ресурсів від несанкціонованого доступу та використання; захист інформації в каналах зв’язку та вузлах комунікації; захист юридичної значимості електронних документів; захист автоматизованих систем від комп’ютерних вірусів та незаконної модифікації.
До основних засобів захисту інформації можна віднести такі: фізичні засоби захисту; апаратні засоби; програмні засоби захисту; апаратно-програмні; криптографічні методи; адміністративні методи.
Фізичні засоби захисту засновані на створенні фізичних перешкод на можливих шляхах проникнення і доступу потенційних порушників до компонентів інформаційних систем та інформації, що захищаються (сувора система допуску на територію і в приміщення з апаратурою чи носіями інформації). Ці способи захищають лише від зовнішніх порушників і не захищають інформацію від тих осіб, які володіють правом входу у приміщення,
До апаратних засобів захисту відносять механічні, електромеханічні, електронні та інші пристрої, призначені для захисту комп’ютерних та комунікаційних систем. Вони можуть бути у вигляді автономних виробів або вмонтовуються в комп’ютери чи периферійне обладнання. Апаратні засоби дозволяють здійснити ідентифікацію користувачів та ресурсів системи, перевірити повноваження користувача системи, реєструють спроби несанкціонованого доступу.
До програмних засобів захисту відносять програми аутентифікації користувачів та розмежування їх прав на доступ до ресурсів системи, програми криптографічного шифрування, засоби контролю цілісності інформації, програми відновлення і резервного збереження даних, програми сигналізації та спостереження за роботою механізмів захисту. За допомогою програмних засобів здійснюється контроль завантаження та входу в систему за допомогою системи паролів, захист файлів від вірусів, розмежування і контроль прав доступу до системних ресурсів, автоматичний контроль за роботою користувачів шляхом протоколювання їх дій.
Апаратно-програмні засоби захисту поєднують у собі програмні та апаратні засоби. Вони широко використовуються при аутентифікації користувачів автоматизованих банківських систем,
при накладанні електронно-цифрових підписів відповідальних користувачів.
Криптографічні методи захисту основані на криптографічних перетвореннях даних, тобто на їх шифруванні. Основними з них є: шифрування за допомогою датчика псевдовипадкових чисел, шифрування за допомогою криптографічних стандартів шифрування даних, за допомогою пари ключів (з асиметричною системою шифрування) тощо.
Адміністративні засоби захисту є заходами організаційного характеру, що регламентують процеси функціонування автоматизованих банківських систем, використання їх ресурсів, діяльність персоналу тощо. Основними з них є: розробка чіткої технології обробки інформації в автоматизованих банківських системах та контроль за її дотриманням, організація захисту від встановлення прослуховуючої апаратури, ретельний підбір персоналу.
Значна увага захисту інформації приділяється у системі електронних платежів НБУ. Система безпеки СЕП розроблена з врахуванням таких вимог:
система захисту охоплює всі етапи розробки;
система безпеки включає організаційні, технічні, апаратні і програмні засоби захисту;
чітко розподілена відповідальність у системі.
Система безпеки СЕП є багатоступеневою. У ній передбачені технологічні та бухгалтерські засоби контролю.
Захист інформації у СЕП включає комплекс дій, пов’язаних з шифруванням інформації, що циркулює в платіжній системі. Шифруванню підлягають усі файли СЕП: початкові і зворотні платіжні файли, файли квитанцій, файли звітів, файли лімітів, файли стану коррахунку, файли нормативно-довідкової інформації.
В основу роботи засобів захисту інформації в СЕП покладено алгоритм шифрування із закритими ключами відповідно до ДЕСТ 28147-89. Основними засобами захисту є апаратні засоби. Секретність ключів у них забезпечується технологічно.