отчет по практике в сбербанке информационная безопасность

Отчет по практике в ОАО “Сбербанк России”

Автор: Пользователь скрыл имя, 14 Мая 2015 в 12:16, отчет по практике

Краткое описание

Целями данной работы являются:
Закрепление студентом полученных знаний в университете, получение навыков работы в области защиты информации, ознакомление со спецификой компании, её функционированием, закрепление знаний полученных при выполнении должностных обязанностей.
Задачами данной работы являются задачи поставленные руководителем практики:
Изучить систему межведомственного электронного взаимодействия (СМЭВ).
Написать 4 недельных отчета;
Изучить следующие нормативные документы;
Предоставить полученную информацию в виде отчета.

Файлы: 1 файл

отчет ОАО Сбербанк.doc

Национальный исследовательский университет «МЭИ»

Институт информационной и экономической безопасности

Кафедра «Комплексная безопасность»

по производственной – практике

студента 4 курса ______________________________ ______

(Фамилия и инициалы)

______________________________ ___ Подпись

(выставляется преподавателем по итогам защиты отчета)

______________________________ ___ Подпись

Задание на производственную практику

Продолжительность практики – 4 недели (с 05.06.2014 по 03.07.2014)

Студенту 4 курса ИИЭБ ______________________________ ____________

Данная работа является отчетом о прохождении производственной практики. Актуальность данной работы заключается в формировании рабочих навыков в условиях функционирования компании ОАО “Сбербанк России”.

Целями данной работы являются:

Закрепление студентом полученных знаний в университете, получение навыков работы в области защиты информации, ознакомление со спецификой компании, её функционированием, закрепление знаний полученных при выполнении должностных обязанностей.

Задачами данной работы являются задачи поставленные руководителем практики:

Введение

Участниками межведомственного электронного взаимодействия (участниками СМЭВ) являются федеральные органы исполнительной власти, государственные внебюджетные фонды, исполнительные органы государственной власти субъектов Российской Федерации, органы местного самоуправления, государственные и муниципальные учреждения, многофункциональные центры, иные органы и организации.

Целью создания СМЭВ является повышение качества предоставления государственных и муниципальных услуг и исполнения государственных и муниципальных функций за счет использования общих информационных ресурсов, уменьшения времени на поиск и обработку информации в электронной форме. Примерную схему работы СМЭВ можно увидеть на рисунке1 (рис.1)

Рис.1 “Общая схема оказания государственных услуг в электронной форме “

Глава 1. Общая характеристика компании

1.1 Общая характеристика ОАО «Сбербанк России»

На рисунке 2 представлен действующий логотип Открытого Акционерного Общества “Сбербанк России”.

Рис.2 логотип ОАО “Сбербанк России”

Сбербанк России — российский коммерческий банк, международная финансовая группа, один из крупнейших банков России и Европы, основанный в 1841 году. Полное наименование — Открытое акционерное общество «Сбербанк России». Кроме того, в деловой практике, в том числе во внутренних документах и формах, зачастую используется сокращение — СБ РФ.

Сбербанк России — универсальный банк, предоставляющий широкий спектр банковских услуг. Доля Сбербанка России на рынке частных вкладов на 1 июня 2009 года составляла 50,5 %, а его кредитный портфель соответствовал более 30 % всех выданных в стране займов.

Бренд Сбербанка на начало 2010 года по оценке журнала «The Banker» и компании Brand Finance занимает 15 место в рейтинге самых дорогих банковских брендов и стоит приблизительно 11,7 миллиарда долларов.

Банк имеет генеральную лицензию на осуществление банковских операций № 1481 от 08 августа 2012 года.

Филиальная сеть банка на 1 апреля 2011 года включает 17 территориальных банков и 19292 подразделения по всей России. Дочерние банки Сбербанка России работают в Казахстане, Украине, Беларуси, Германии. В июне 2010 года Сбербанк получил разрешение Китайской банковской регуляторной комиссии на открытие представительства в Пекине, а в сентябре 2010 года Банк России зарегистрировал филиал ОАО «Сбербанк России» в Индии.

У банка имеется дочерняя инвестиционная компания ООО «Сбербанк Капитал», занимающаяся санацией и управлением заложенными в банке активами.

С 1993 по 2010 годы Сбербанк участвовал в развитии российской платёжной системы СБЕРКАРТ. С 2010 года банк участвует в проекте создания универсальной электронной карты, являясь одним из учредителей оператора проекта ОАО «УЭК».

Доля Центрального банка Российской Федерации в уставном капитале ОАО «Сбербанк России» составляет 50 % плюс одна голосующая акция, в голосующих акциях — 52,32 %. Остальными акционерами Сбербанка России являются более 273 тысяч юридических и физических лиц. Доля физических лиц в уставном капитале банка составляет около 9 %, а доля иностранных инвесторов — более 24 %.

C 1996 года торги акциями Сбербанка России проводятся на российских биржах ММВБ и РТС. В марте 2007 года Банк разместил дополнительный выпуск обыкновенных акций, в результате чего уставный капитал увеличился на 12 %, и было привлечено 230,2 млрд рублей. Средний дневной объём торгов акциями Сбербанка составляет 40 % объёма торгов на ММВБ.

Органами управления Сбербанка являются: Общее собрание акционеров, Наблюдательный совет, Правление Банка. Возглавляет Правление Президент и председатель Правления Банка. С ноября 2007 года эту должность занимает Герман Греф.

1.2 Отдел безопасности Автоматизированных банковских систем Департамента безопасности

Существует несколько ращений в области автоматизации банковских систем. Приведем некоторые из них:

Если автоматизированные банковские системы (АБС) является тиражным решением, все основные бизнес-процессы уже проработаны и отлажены. Данный факт не означает, что система не требует внедрения или этот процесс отлажен. Многое зависит многих факторов: новый ли это банк или уже проработавший некоторое время. В первом случае для внедрения необходима начальная настройка, проведение обучения нескольких пользователей и, если в этом есть необходимость, адаптация ряда отчетов или соединения с внешними системами. Внедрение может осуществляться силами компании-консультанта – в этом случае банк опирается на опыт сотрудников и гарантии фирмы. Стоит учитывать, что при наличии в штате банка высококвалифицированных программистов, имеющих опыт работы с АБС, кредитное учреждение может провести внедрение самостоятельно.

Второй вариант – банк, который уже выполняет определенный набор операций, работает с АБС (не имеет значения тиражной или собственной разработки), накопил определенный объем данных, а так же имеет проверенную технологию банковских операций, внутренние формы отчетности, обширный штат сотрудников, которые необходимо обучить и адаптировать к работой в новой системе. При этом внедрение проводится в соответствии с налаженной технологией, обеспечивающей максимально эффективную дальнейшую работу АБС.

Если необходимо автоматизировать все операции банка, внедрение предполагает:

Перечень необходимых работ весьма обширен, поэтому выполнить внедрение, опираясь только на собственные силы банка, проблематично (но возможно – все зависит от уровня требований, предъявляемых к системе, и квалификации ИТ-персонала кредитного учреждения). При этом, если банк стремится минимизировать затраты на внедрение, он может поручить сотрудникам компании занимающейся внедрением отдельные наиболее сложные виды работ (например, обучение ИТ-персонала и конвертацию данных из прежней АБС), а остальное проделать самостоятельно.

Исключительно важная роль отводится поэтапному внедрению АБС. Пример: при внедрении R-Style Softlab (российский разработчик автоматизированных банковских систем) процесс может выглядеть так. Вначале запускается ядро системы, обеспечивающее самые необходимые функции:

После того как работа этих участков будут налажена, настраивается выпуск отчетности для Центрального банка России (ЦБР). Следующим может быть запущена, например: RS-Loans – система автоматизации кредитной деятельности банка. Далее происходит внедрение системы класса «клиент–банк». Следующий шаг – автоматизация работы операционистов с вкладами физических лиц, то есть запуск RS-Retail. Таким образом, даже небольшой банк переживает процесс внедрения без особых затрат, но и постепенно автоматизирует различные участки своего бизнеса в соответствии с расширением деятельности в целом.

Основной принцип автоматизации заключается в следующем: если какая-то операция выполняется редко, то не имеет особого смысла ее автоматизировать сразу, а если ее осуществление становится постоянным то стоит рассмотреть вопрос об автоматизации этой области деятельности.

Не менее существенным, чем внедрение, является обеспечение бесперебойной работы АБС. Для этого необходимо грамотное администрирование АБС со стороны службы автоматизации банка, настройка и развитие системы, а также предоставление услуг ее поставщиком. Когда решается вопрос о технической поддержке АБС, руководитель ИТ-службы банка должен понимать, что банк получит от сопровождения:

Зачастую в нормативно-законодательных документах содержатся нечеткие формулировки, и чтобы реализовать их корректно, необходимо предметный анализ, а в следствии – предметные аналитики. Как правило, в банках они есть, но позволить себе держать аналитика по каждому направлению (по отчетам в Банк России, налогам, кредитам, материальному учету и т.д.) могут только очень крупные кредитные организации. Кроме того, чтобы в системе что-то изменить (уже после анализа), нужно не только написать код, но и протестировать его, документировать изменения, объяснить, как все это функционирует. Одного-двух программистов для осуществления всего этого комплекса задач зачастую недостаточно. К тому же, как правило, в коде, написанном штатными специалистами банка, в случае их увольнения обычно никто другой разобраться не может – а значит, вновь прибывшему специалисту придется все начинать сначала. Иными словами, без профессиональных разработчиков обойтись весьма сложно.

Пример используемых АБС можно увидеть в таблице 1.

Источник

Процесс защиты информации на предприятии ОАО «Сбербанк России»

Системы защиты информации в банковской системе. Принципы формирования автоматизированной системы безопасности. Разработка политики безопасности для ОАО «Сбербанк России». Механизм обеспечения замкнутости программной среды, разграничение доступа к данным.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

Процесс защиты информации на предприятии ОАО «Сбербанк России»

Уже в начале 90-х годов кредитные организации начали понимать, что банковский бизнес малоэффективен и достаточно рискован без решения задач безопасности. Любые банковские процессы находятся в прямой зависимости от того, как работает информационная инфраструктура банка, то есть вычислительные комплексы, программные и аппаратные средства, а также персонал, их использующий. Если все это начинает давать сбои, например за счет заражения компьютеров вирусами или атак хакеров, последствия для банков могут быть очень плачевными. Они могут утратить базы данных клиентов и другую необходимую информацию, собираемую годами, лишиться средств и потерять доверие клиентов.

В последние годы новые системы защиты информации в банковской системе нашей страны переживают бурное развитие. Несмотря на существующие недостатки российского законодательства, регулирующего деятельность банков, ситуация неуклонно меняется к лучшему. Сегодня все больше банков делает ставку на профессионализм своих сотрудников и новые технологии.

Трудно представить себе более благодатную почву для внедрения новых технологий защиты информации, чем банковская деятельность. В принципе почти все задачи, которые возникают в ходе работы банка, достаточно легко поддаются автоматизации. Быстрая и бесперебойная обработка значительных потоков информации является одной из главных задач любой крупной финансовой организации. В соответствии с этим обладание средствами защиты информации, позволяющей защитить все возрастающие информационные потоки. Кроме того, именно банки обладают достаточными финансовыми возможностями для использования самой современной техники. Однако не следует считать, что средний банк готов тратить огромные суммы на системы защиты информации. Банк является прежде всего финансовой организацией, предназначенной для получения прибыли, поэтому затраты на модернизацию должны быть сопоставимы с предполагаемой пользой от ее проведения. В соответствии с общемировой практикой в среднем в банке расходы на СЗИ составляют не менее 17% от общей сметы годовых расходов.

1. Принципы формирования автоматизированной системы безопасности

Информационная безопасность играет в банковском секторе не просто важную, а поистине ключевую роль. С этим параметром напрямую связаны репутационные и финансовые риски, от него в конечном счете зависит судьба любого финансового бизнеса.

Банковская деятельность всегда была связана с обработкой и хранением большого количества конфиденциальных данных. В первую очередь это персональные данные о клиентах, об их вкладах и обо всех осуществляемых операциях.

Вся коммерческая информация, хранящаяся и обрабатываемая в кредитных организациях, подвергается самым разнообразным рискам, связанным с вирусами, выходом из строя аппаратного обеспечения, сбоями операционных систем и т.п. Но эти проблемы не способны нанести сколько-нибудь серьезный ущерб. Ежедневное резервное копирование данных, без которого немыслима работа информационной системы любого предприятия, сводит риск безвозвратной утери информации к минимуму.

Кроме того, хорошо разработаны и широко известны способы защиты от перечисленных угроз. Поэтому на первый план выходят риски, связанные с несанкционированным доступом к конфиденциальной информации.

В общем случае, автоматизированная система безопасности банковской информационной системы должна строиться по иерархическому принципу.

Автоматизированная система безопасности должна обеспечивать формирование интегрированной вычислительной среды, удовлетворяющей следующим общим принципам:

2. Исследование процессов защиты информации в ОАО «Сбербанк России»

2.1 Разработка политики безопасности банка

Стратегия информационной безопасности банков весьма сильно отличается от аналогичных стратегий других компаний и организаций. Это обусловлено прежде всего специфическим характером угроз, а также публичной деятельностью банков, которые вынуждены делать доступ к счетам достаточно легким с целью удобства для клиентов.

Информационная безопасность банка должна учитывать следующие специфические факторы:

1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньги. На основании информации компьютера могут производиться выплаты, открываться кредиты, переводиться значительные суммы. Вполне понятно, что незаконное манипулирование с такой информацией может привести к серьезным убыткам. Эта особенность резко расширяет круг преступников, покушающихся именно на банки (в отличие от, например, промышленных компаний, внутренняя информация которых мало кому интересна).

3. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступом. Поэтому клиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими деньгами. Но такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.

4. Информационная безопасность банка (в отличие от большинства компаний) должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуаций, поскольку банк несет ответственность не только за свои средства, но и за деньги клиентов.

5. Банк хранит важную информацию о своих клиентах, что расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

2.1.1 Нормативно-правовой элемент защиты информации ОАО «Сбербанк России»

«Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу».

Режим защиты информации устанавливается:

· в отношении сведений, отнесенных к государственной тайне, уполномоченными органами на основании Закона Российской Федерации «О государственной тайне»;

· в отношении конфиденциальной документированной информации собственник информационных ресурсов или уполномоченным лицом на основании настоящего Федерального закона;

В сфере защиты информации ОАО «Сбербанк России» руководствуется следующими нормативно-правовыми актами:

· Федеральный закон РФ «Об информации, информатизации и защите информации» от 20 февраля 1995 г. №24-ФЗ.

· Закон Российской Федерации «О государственной тайне» (с изменениями от 27 марта 1996 года), принят Верховным Советом Российской Федерации 21.07.93, 5485-1.

· Закон Российской Федерации «Об информации, информатизации и защите информации», принят Государственной думой 25.01.95.

· Указ Президента Российской Федерации «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» от 3.04.95, 334.

· Постановление Правительства РСФСР «О перечне сведений, которые не могут составлять коммерческую тайну» от 5.12.91 35.

· Постановление Правительства Российской Федерации «Об утверждении правил отнесения сведений, составляющих Государственную тайну, к различным степеням секретности» 870 от 4.09.95.

· Указ Президента Российской Федерации «О мерах по упорядочению разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» от 9.01.96.

· Закон Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных», принят Верховным Советом РФ 23.09.92, 3523-1.

· Закон Российской Федерации «О правовой охране топологий интегральных микросхем», принят Верховным Советом РФ 23.09.92, 3526-1.

· Указ Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» 188 от 6.03.97.

· Указ Президента Российской Федерации «Об утверждении перечня сведений, отнесенных к государственной тайне» 1203 от 30.11.95.

· Указ Президента Российской Федерации «О Межведомственной комиссии по защите государственной тайны» 1108 от 8.11.95.

· Постановление Правительства Российской Федерации «О сертификации средств защиты информации» (с изменениями от 23 апреля 1996 года) 608 от 26.06.95.

· Федеральный закон «О банках и банковской деятельности» от 25.06.1993 года

На основе перечисленных документов строится правовая защита информации, призванная обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации в ОАО «Сбербанк России».

2.1.2 Организационный элемент защиты информации в ОАО «Сбербанк России»

«Это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз».

Организационный элемент системы защиты информации содержит меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Организационная защита выполняет функции по:

· организации охраны, режима, работу с кадрами, с документами;

· использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз.

Организационный элемент СЗИ включает:

· организацию режима и охраны для исключения возможности тайного проникновения на территорию и в помещения посторонних лиц; организация и поддержание надежного пропускного режима и контроля сотрудников и посетителей;

· организацию работы с сотрудниками по обучению правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации;

· организацию работы с документами, включая разработки и использование документов и носителей КИ, их учет, исполнение, возврат, хранение и уничтожение;

· организацию использования технических средств сбора, обработки, накопления и хранения КИ;

· регламентация разрешительной системы разграничения доступа персонала к защищаемой информации;

· организация ведения всех видов аналитической работы;

· регламентация действий персонала в экстремальных ситуациях;

· регламентация организационных вопросов защиты персональных компьютеров, информационных систем, локальных сетей;

Естественно организационные мероприятия должны четко планироваться, направляться и осуществляться службой информационной безопасности, в состав которой входят специалисты по безопасности.

Таким образом, организационной защиты является основным элементом комплексной СЗИ и во многом от того, каким образом реализован организационный элемент, зависит безопасности организации.

2.1.3 Инженерно-технический элемент защиты информации в ОАО «Сбербанк России»

Предназначен для пассивного и активного противодействия средствам технической разведки и формирования рубежей охраны территории, здания, помещений и оборудования с помощью комплексов технических средств. По функциональному назначению средства инженерно-технической защиты можно условно разделить:

· физические средства, включающие различные средства и сооружения, препятствующие физическому проникновению (доступу) злоумышленников на объекты защиты (территорию, в здание и помещения) и материальными носителями. Например, заборы, стальные двери, кодовые замки, сейфы и т.д.;

· средства защиты технических каналов утечки информации, возникающих при работе ЭВМ, средств связи, копировальных аппаратов, принтеров, факсов и др. технических средств управления;

· средства обеспечения охраны территории, здания и помещений (средства наблюдения, оповещения, сигнализации, информирования и идентификации);

· средства обнаружения приборов и устройств технической разведки (подслушивающих и передающих устройств, тайно установленной миниатюрной звукозаписывающей и телевизионной аппаратуры и т.п.);

· технические средства контроля, предотвращающие вынос персоналом из помещения специально маркированных предметов, документов, дискет, книг и т.п.

· средства противопожарной охраны;

· средства защиты помещений от визуальных способов технической разведки.

2.1.4 Программно-аппаратный элемент защиты информации в ОАО «Сбербанк России»

Предназначен для защиты конфиденциальной информации, обрабатываемой и хранящейся в компьютерах, серверах и рабочих станциях ЛВС и различных информационных системах. «Аппаратные средства защиты информации представлены техническими устройствами, предназначенными для защиты информации от разглашения, утечки или несанкционированного доступа». Аппаратные средства могут быть:

· средствами защиты от несанкционированного доступа.

· Программные средства защиты имеют следующие разновидности специальных программ:

· идентификации технических средств, файлов и аутентификации пользователей;

· регистрации и контроля работы технических средств и пользователей;

· обслуживания режимов обработки информации ограниченного пользования;

· защиты операционных средств ЭВМ и программ пользователей;

· уничтожения информации в защитные устройства после использования;

· сигнализирующих нарушения использования ресурсов;

· вспомогательных программ защиты различного назначения.

2.2 Реализация политики безопасности в ОАО «Сбербанк России»

2.2.1 Реализация нормативно-правового элемента защиты информации в ОАО «Сбербанк России»

На основе перечисленных в пункте 2.1.1 документов строится правовая защита информации, призванная обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации в ОАО «Сбербанк России». Кроме законов и других государственных нормативных документов, правовое обеспечение системы защиты конфиденциальной информации включает в себя комплекс внутренней нормативно-организационной документации, в которую входят такие документы организации, как:

· коллективный трудовой договор;

· трудовые договоры с сотрудниками Банка;

· правила внутреннего распорядка служащих Банка;

· должностные обязанности руководителей, специалистов и служащих Банка.

· инструкции пользователей информационно-вычислительных сетей и баз данных;

· инструкции администраторов ИВС и БД;

· положение о подразделении по защите информации;

· концепция системы защиты информации в ОАО «Сбербанк России»;

· инструкции сотрудников, допущенных к защищаемым сведениям;

· инструкции сотрудников, ответственных за защиту информации;

· памятка сотрудника о сохранении коммерческой или иной тайны;

2.2.2 Реализация инженерно-технического элемента защиты информации в ОАО «Сбербанк России»

К инженерно-техническим мерам относятся меры, реализуемые путем установки новых или модернизации используемых инженерных и технических средств защиты информации. Основу организационных мер инженерно-технической зашиты информации составляют меры, определяющие порядок использования этих средств.

Организационные меры инженерно-технической защиты информации ОАО «Сбербанк России» включают в себя, прежде всего, мероприятия по эффективному использованию технических средств регламентации и управления доступом к защищаемой информации, а также по порядку и режимам работы технических средств защиты информации. Организационные меры инженерно-технической защиты информации являются частью ее организационной защиты, основу которой составляют регламентация и управление доступом.

· установление границ контролируемых и охраняемых зон;

· определение уровней защиты информации в зонах;

· регламентация деятельности сотрудников и посетителей (разработка распорядка дня, правил поведения сотрудников в организации и вне ее и т.д.);

· определение режимов работы технических средств, в том числе сбора, обработки и хранения защищаемой информации на ПЭВМ, передачи документов.

Управление доступом к информации в ОАО «Сбербанк России» включает следующие мероприятия:

· идентификацию лиц и обращений;

· проверку полномочий лип и обращений;

· регистрацию обращений к защищаемой информации;

· реагирование на обращения к информации.

Идентификация пользователей, сотрудников, посетителей, обращений к каналам телекоммуникаций проводится с целью их надежного опознавания.

ОАО «Сбербанк России» использует следующие способы идентификации:

· носимые (карточки, ключи).

· знания (пароль, коды, способ использования).

· в некоторых помещениях биометрические идентификаторы (цифровое изображение лица (3D и 2D), отпечаток пальца и изображение радужной оболочки глаза).

С помощью биометрических систем безопасности Банк ограничивает или разрешает доступ:

При этом биометрия решает следующие задачи:

· существенно понижает вероятность проникновения нежелательной личности в зону с ограниченным доступом;

· создает психологический барьер для потенциального злоумышленника;

· документально подтверждает факт прохода в охраняемые помещения каждой личности.

Проверка полномочий заключается в определении прав лиц и обращений по каналам связи на доступ к защищаемой информации. Для доступа к информации уровень полномочий обращения не может быть ниже разрешенного. С целью обеспечения контроля над прохождением носителей с закрытой информацией производится регистрация (протоколирование) обращений к ним путем записи в карточках, журналах, на магнитных носителях.

Реагирование на любое обращение к информации заключается либо в разрешении доступа к информации, либо в отказе. Отказ может сопровождаться включением сигнализации, оповещением службы безопасности или правоохранительных органов, задержанием злоумышленника при его попытке несанкционированного доступа к защищаемой информации.

Меры контроля, также как и защиты, представляют совокупность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по защите информации.

· напряженности полей с информацией на границах контролируемой зоны;

· уровней опасных сигналов и помех в проводах и экранах кабелей, выходящих за пределы контролируемой зоны;

· степени зашумления генераторами помех структурных звуков в ограждениях;

В системе безопасности ОАО «Сбербанк России» применяются специальные средства видеоконтроля. Сетевой программно-аппаратный комплекс видеоконтроля и автоматизированного управления интегрированными системами безопасности «Инспектор+» сочетает в себе высокое качество компьютерных цифровых технологий с возможностью объединения автономных компонентов системы безопасности банка в профессиональную интегрированную систему безопасности.

Систем безопасности филиальной сети банка объединена в единый комплекс не только по оптоволоконным сетям, но даже по низкоскоростным сетям связи, таким как X25, коммутируемым телефонным линиям. При этом система безопасности функционирует как автономная система.

Объединение сети банка в единое пространство безопасности в технологии «Инспектор+» происходит через видеошлюз, который призван сопрягать высокоскоростные характеристики локальных сетей с медленной работой межсетевых соединений.

Помимо видеошлюза в арсенале технологии «Инспектор+» содержатся и другие полезные модули.

Модуль телеметрического управления используется для дистанционного управления камерами, установленными на двухкоординатных поворотных устройствах и снабженными вариообъективами с сервоприводом. Использоваться различные приемники телеметрического управления. Управление всеми камерами может осуществляться как с любой клавиатуры, так и посредством управляющих окон на экране компьютера.

Для защиты банкоматов ОАО «Сбербанк России» от возможных угроз в технологии «Инспектор+» существует подсистема «Банкомат Инспектор». «Банкомат Инспектор» позволяет создать интегрированную систему защиты требуемой конфигурации как для одного банкомата, так и для территориально-распределенной сети банкоматов, что является наиболее сложной задачей, которую невозможно решить обычными средствами обеспечения безопасности.

В системе Банкомат Инспектор полностью интегрированы устройства видеонаблюдения, сенсоры и оборудование передачи сигналов с возможностью гибкой настройки логики системных реакций на входные события.

Система позволяет передавать видеоряд о тревожных событиях на пост охраны сети банкоматов в трех различных режимах:

· удаленный видеоконтроль в режиме on-line;

· немедленной реакции (сразу после происшествия или сразу после окончания обслуживания клиента);

· по расписанию (как правило, передача видеоархива за прошедший день в ночное время).

Системы охраны по периметру, берут под охрану не только помещение, но и прилегающую территорию.

Подключение пультов-концентраторов к компьютеру, позволяет наблюдать за контролируемым объектом в целом на схематическом изображении. Дополнительно появляется возможность управлять всей сигнализацией с клавиатуры, а также управлять интегрированной системой контроля доступа и видеонаблюдения.

2.2.3 Реализация программного элемента защиты информации в ОАО «Сбербанк России»

Для реализации программного элемента защиты информации в ОАО «Сбербанк России» используется комплексная система защиты информации «Панцирь-К».

КСЗИ реализована программно. Одна и та же клиентская часть установлена на различные ОС семейства Windows (XP/2003/2008).

КСЗИ «Панцирь-К» собственными средствами реализует все требования, предъявляемые к защите конфиденциальной информации от несанкционированного доступа. КСЗИ сертифицирована ФСТЭК по 5 классу СВТ (сертификат №1144, ограничения по использованию в сертификате отсутствуют) и выполняет все требования к классу защищенности 1Г для АС.

К комплексной системе защиты КСЗИ может быть отнесена, ввиду того, что она служит для эффективного противодействия, как известным, так и потенциально возможным атакам на защищаемые ресурсы, что обеспечивается устранением архитектурных недостатков защиты современных ОСWindows, т.е. позволяет решать задачи защиты информации в общем виде (что невозможно при использовании всевозможных средств контроля); КСЗИ может применяться для защиты, как от внешних, так и от внутренних ИТ-угроз, обеспечивая эффективное противодействие атакам и со стороны хакеров, и со стороны инсайдеров (санкционированных пользователей, допущенных к обработке информации на защищаемом вычислительном средстве). КСЗИ также может использоваться для эффективного противодействия вирусным атакам, эксплойтам, вредоносным и шпионским и любым иным деструктивным программам, атакам на ошибки программирования в системном и прикладном ПО; содержит в своем составе, как механизмы защиты от несанкционированного доступа, так и механизмы криптографической защиты данных.

В части криптографической защиты конфиденциальности информации в КСЗИ реализована возможность шифрования данных (на жестком диске и на отчуждаемых накопителях, локальных и разделенных в сети), при этом обеспечивается шифрование «на лету» (прозрачно для пользователя) любого заданного администратором файлового объекта (диска, папки, файла). Реализованная ключевая политика позволяет защитить данные от раскрытия даже при хищении компьютера и при наличии ключа шифрования, позволяет осуществлять коллективный доступ к локальным и разделенным в сети зашифрованным объектам.

КСЗИ «Панцирь—К» предоставляет следующие возможности:

· Использование аппаратных решений для авторизации пользователей при входе в систему и при доступе к критичным файловым объектам (смарт-карта, Aladdin eToken, ruToken, iButton);

· Разграничения и аудит работы программ (приложений) с локальными и сетевыми ресурсами;

· Разграничения и аудит работы пользователей с устройствами с использованием их серийных номеров (Flash-диски, CD/DVD, USB, WiFi, Bluetooth, IrDA, IEEE1394/ FireWire, PCMCIA, COM/LPT и т.д.);

· Шифрование данных «на лету» (3DES, AES, DES, ГОСТ 28147-89), включая сетевые ресурсы, скрытие, разграничение доступа, а также гарантированное удаление остаточной информации, реализации коллективного доступа к зашифрованным данным;

· Контроль рабочего времени пользователя, в том числе, средствами компьютерного видео наблюдения;

Механизмы формирования объекта защиты.

К механизмам формирования объекта защиты в КСЗИ относятся:

Решение механизмами защиты КСЗИ:

· Для каждого пользователя создается число учетных записей по числу ролей;

· Для каждой учетной записи определяются файловые объекты (папки), в которых будет храниться информация, обрабатываемая в рамках реализации роли (Приложение Д);

· Механизмами разграничения доступа к ресурсам, монтирование которых разрешено к системе (файловые объекты, локальные и разделенные в сети, на жестком диске и на внешних накопителях; сетевые ресурсы, принтеры и т.д.), разграничиваются права доступа между учетными записями, применительно к реализации ролевой модели;

защита информация банковский безопасность

Банки играют огромную роль в экономической жизни общества, их часто называют кровеносной системой экономики. Благодаря своей специфической роли, со времени своего появления они всегда притягивали преступников. К 90-м годам XX века банки перешли к компьютерной обработке информации, что значительно повысило производительность труда, ускорило расчеты и привело к появлению новых услуг. Однако компьютерные системы, без которых в настоящее время не может обойтись ни один банк, являются также источником совершенно новых угроз, неизвестных ранее. Большинство из них обусловлены новыми информационными технологиями и не являются специфическими исключительно для банков.

Существуют однако два аспекта, выделяющих банки из круга остальных коммерческих систем:

1. Информация в банковских системах представляет собой «живые деньги», которые можно получить, передать, истратить, вложить и т.д.

2. Она затрагивает интересы большого количества организаций и отдельных лиц.

В силу этих обстоятельств, к банковским системам предъявляются повышенные требования относительно безопасности хранения и обработки информации. Отечественные банки также не смогут избежать участи тотальной автоматизации по следующим причинам:

— усиления конкуренции между банками;

— необходимости сокращения времени на производство расчетов;

— необходимости улучшать сервис.

В США, странах Западной Европы и многих других, столкнувшихся с этой проблемой довольно давно, в настоящее время создана целая индустрия защиты экономической информации, включающая разработку и производство безопасного аппаратного и программного обеспечения, периферийных устройств, научные изыскания и др.

Статистика показывает, что подавляющее большинство крупных организаций имеют план с правилами доступа к информации, а также план восстановления после аварий.

Безопасность электронных банковских систем зависит от большого количества факторов, которые необходимо учитывать еще на этапе проектирования этой системы. При этом для каждого отдельного вида банковских операций и электронных платежей или других способов обмена конфиденциальной информацией существуют свои специфические особенности защиты. Таким образом, организация защиты банковских систем есть целый комплекс мер, которые должны учитывать как общие концепции, но и специфические особенности.

Основной вывод, который можно сделать из анализа развития банковской отрасли, заключается в том, что автоматизация и компьютеризация банковской деятельности (и денежного обращения в целом) продолжает возрастать. Основные изменения в банковской индустрии за последние десятилетия связаны именно с развитием информационных технологий. В связи с этим следует ожидать дальнейшее динамичное развитие средств информационной безопасности банков, поскольку их значение постоянно возрастает.

3. Федеральный закон РФ «О персональных данных»

4. Вихорев С.В. Информационная Безопасность Предприятий. Москва, 2006.

5. В.А. Семененко Информационная безопасность. Москва, 2004

Размещено на Allbest.ru

Подобные документы

Перечень защищаемых ресурсов на объекте информатизации. Выбор механизмов и средств защиты информации. Набор требований по безопасности. Описание реализации информационных сервисов. Разграничение доступа автоматизированной системы предприятия к ресурсам.

реферат [24,7 K], добавлен 24.01.2014

Понятие и основные задачи информационной безопасности. Разработка и реализация политики ИБ в компании Microsoft. Виды угроз безопасности. Современные средства физической, аппаратной, программной защиты информации в локальном домашнем и офисном компьютере.

курсовая работа [107,6 K], добавлен 09.04.2014

Политика защиты информации. Возможные угрозы, каналы утечки информации. Разграничение прав доступа и установление подлинности пользователей. Обзор принципов проектирования системы обеспечения безопасности информации. Межсетевой экран. Антивирусная защита.

дипломная работа [1,9 M], добавлен 05.11.2016

Организация компьютерной безопасности и защиты информации от несанкционированного доступа на предприятиях. Особенности защиты информации в локальных вычислительных сетях. Разработка мер и выбор средств обеспечения информационной безопасности сети.

дипломная работа [1,6 M], добавлен 26.05.2014

Необходимость и потребность в защите информации. Виды угроз безопасности информационных технологий и информации. Каналы утечки и несанкционированного доступа к информации. Принципы проектирования системы защиты. Внутренние и внешние нарушители АИТУ.

контрольная работа [107,3 K], добавлен 09.04.2011

Системная концепция комплексного обеспечения системы защиты информации. Описание автоматизированной системы охраны «Орион» и ее внедрение на объекте защиты. Технические каналы утечки информации. Разработка системы видеонаблюдения объекта защиты.

дипломная работа [1,2 M], добавлен 30.08.2010

Характеристика основных способов защиты от несанкционированного доступа. Разработка политики безопасности системы. Проектирование программного обеспечения применения некоторых средств защиты информации в ОС. Содержание основных разделов реестра.

лабораторная работа [1,9 M], добавлен 17.03.2017

Источник