обеспечения безопасности банковских операций;
управления банковской деятельностью;
защиты охраняемой информации, нематериальных активов, системы кадрового обеспечения;
обеспечения личной охраны руководства и персонала банка.
Особенности банковской системы таковы, что негативные последствия сбоев в работе отдельных организаций могут привести к быстрому развитию системного кризиса платежной системы РФ, нанести ущерб интересам собственников и клиентов. В случаях наступления инцидентов информационной безопасности значительно возрастают результирующий риск и возможность нанесения ущерба организациям банковской системы. Поэтому угрозы информационной безопасности представляют существенную опасность.
Для противостояния таким угрозам и обеспечения эффективности мероприятий по ликвидации неблагоприятных последствий инцидентов (их влияния на операционный, репутационный, стратегический и иные риски) следует обеспечить достаточный уровень безопасности. Необходимо также сохранить этот уровень в течение длительного времени. По этим причинам обеспечение информационной безопасности является одним из основополагающих аспектов деятельности банков.
Апробация методологических положений возможна практическим и теоретическим способами. Теоретический способ апробации может быть представлен, как синтез системного, структурного и функционального подходов, а также, метода научного моделирования.
Практический способ может быть реализован при помощи рассмотрения и оценки комплексных систем информационной безопасности существующих финансовых организаций.
Рассмотрим интегрированную систему безопасности банка, на примере отделений банка Raiffeisen.
Постановка задачи: Проектирование, поставка оборудования, установка и пуско-наладка интегрированной системы безопасности в отделениях банка, находящихся в разных районах г. Москвы. Объединение в единую систему безопасности цифровой системы видеонаблюдения, системы контроля доступа в служебные помещения, системы доступа в по карточкам VISA в комнаты с банкоматами, системы охранно-пожарной сигнализации и системы оповещения о пожаре и эвакуации людей в каждом отделении банка.
История проекта: Первый контракт на создание интегрированной системы безопасности отделения банка «RaiffeisenBank» в бизнес-центре «Царев Сад» (Софийская набережная) был подписан в начале 2002 г. и выполнен в течение одного месяца. Второй контракт на создание системы безопасности банка в отделении на ул. 2-ая Ямская был выполнен за 25 дней.
Выполненные работы по созданию интегрированной системы безопасности отделения банка:
Обследованы помещения отделений банка, разработан и утвержден проект интегрированной системы безопасности каждого отделения банка.
Выполнена поставка компонентов и устройств системы безопасности, а также программного обеспечения для управления системой безопасности и учета рабочего времени персонала.
Осуществлена установка оборудования системы безопасности: цифровой системы видеонаблюдения, системы контроля доступа и охранно-пожарной сигнализации.
Проведена интеграция, инсталляция, наладка и тестирование работоспособности всей интегрированной системы безопасности и ее сдача в эксплуатацию.
Осуществлена сертификация системы безопасности банка в уполномоченном подразделении Центрального Банка РФ.
Организовано и проведено обучение сотрудников службы безопасности банка.
Выполняются регламентные работы по гарантийному техническому обслуживанию систем безопасности каждого отделения банка.
Краткое описание компонентов интегрированной системы безопасности банка: Цифровая система видеонаблюдения отделений банка построена на оборудовании ведущих мировых производителей. В частности, применены цифровые видеорегистраторы-мультиплексоры, позволяющие службе безопасности банка управлять работой телекамер в помещениях банка и уличными камерами, а также записывать всю информацию с телекамер в цифровом формате.
Программная среда сформирована на автоматической системе безопасности, которая основана на базе программно-аппаратных платформ мировых лидеров индустрии - компаний Lenel Systems International, SimplexGrinnell и Hirsch Electronics.
При построении системы пожарной безопасности банка применен аппаратно-программный комплекс Simplex известной американской компании SimplexGrinnell в составе адресной системы автоматической пожарной сигнализации, голосовой системы оповещения о пожаре и эвакуации людей и системы спринклерного пожаротушения. Интеграция пожарной сигнализации и системы оповещения в единую систему безопасности осуществлена на аппаратно-программном уровне.
Для ограничения доступа в служебные помещения отделений банка применены традиционные для банка системы контроля доступа и охранной сигнализации. Круглосуточный доступ клиентов в помещения с банкоматами обеспечивается системой, позволяющей использовать для входа банковские карты VISA. Для учета рабочего времени персонала использован специальный модуль системы Simplex.
Функциональные возможности интегрированной системы безопасности банка:
Круглосуточное видеонаблюдение в служебных помещениях банка, видеоконтроль за присутственными местами банка и за прилегающими территориями, с записью видео на устройства системы безопасности.
Архивирование видеозаписей по помещениям банка с возможностью покадрового воспроизведения записей тревог, в том числе по дате, времени суток, по камере и т.п.
Отображение видеоинформации с камер на мониторах системы безопасности в реальном времени.
Архивация видеоинформации по тревожным событиям.
Авторизация сотрудников банка в системе контроля доступа при их перемещениях по служебным помещениям.
Учет рабочего времени сотрудников отделений банка.
Предоставление круглосуточного доступа владельцев карточек VISA в помещения банка с банкоматами и обеспечение их безопасности.
Фиксация и оповещение службы безопасности банка о возникновении задымления или пожара на территории банка с указанием адреса тревожного помещения.
Автоматическое включение системы оповещения персонала о пожаре и системы пожаротушения в помещениях возникновения пожара.
Голосовое оповещение персонала банка о пожаре и указание безопасных путей их эвакуации.
Протоколирование и автоматическая запись на устройства системы безопасности всех тревожных событий, произошедших на территории отделения банка.
Для обеспечения информационной безопасности очень часто применяются лишь программно-аппаратные средства, позволяющие выполнять такие задачи, как аутентификация и идентификация пользователей, разграничение прав доступа, анализ трафиков Интернет, локальной сети и тому подобное. Однако практика показывает, что даже самая сложная защита со временем может быть взломана, или ключ к ней будет украден либо перекуплен. Ведь самым слабым и ненадежным звеном любой системы безопасности остается персонал. Поэтому, помимо технических, необходимо учитывать и принимать организационные меры, которые предусматривают детальную проработку бизнес-процессов, прописывание зон ответственности и разработку политики информационной безопасности.
Другим примером эффективного применения систем информационной безопасности в банковской сфере является – Метробанк. Система построена в соответствии с требованиями международных стандартов ISO 17799/BS7799. Необходимо отметить, что весь комплекс работ по построению системы управления информационной безопасностью банка проходил при поддержке высшего руководства,которое непосредственно участвовало и участвует на таких важных стадиях, как, например, оценка информационных рисков или классификация активов.
Банк стал полигоном, где прошло апробирование аналогичных методик, рассматриваемых в диссертационном исследовании.
Важную роль в соблюдении всеми сотрудниками положений политики информационной безопасности, принятой в банке, играет техническое обеспечение.
Одним из этапов внедрения системы информационной безопасности являлось обеспечение выполнения требования политики информационной безопасности в отношении смены паролей. Например, система была запрограммирована таким образом, чтобы исключить саму возможность работать неправильно. Когда не нужно напоминать, что пора сменить пароль — просто в определенный момент система не пустит пользователя по старому паролю, заставит создать новый и отследит, чтобы он содержал определенное количество символов, причем часть из них была цифрами.
Аналогичная ситуация с утечкой информации. Можно проверять у сотрудников на входе и выходе все съемные носители информации (дискеты, USB-устройства и т.д.), но надежнее разрешить использование съемных носителей только для чтения и только тем сотрудникам, которым это необходимо для выполнения служебных обязанностей. Причем использование USB-порта можно настроить так, чтобы к нему можно было подключить только конкретный принтер или сканер. При этом администрирование съемных носителей производится централизовано системным администратором, а все действия пользователей (включая действия системного администратора) протоколируются в электронные журналы событий, которые впоследствии анализируются сотрудниками департамента информационной безопасности.
Порой департамент информационной безопасности упрекают, что он мешает работать — пишет инструкции, заставляет следовать строгим правилам. Внедрение стандарта по информационной безопасности позволило, прежде всего, лучше разобраться в работе банка. Были четко прописаны все бизнес-процессы, разработана политика распределения ролей, которая позволила исключить дублирование обязанностей и полномочий и сделать так, чтобы за каждый процесс отвечал конкретный исполнитель, а не группа. Все это положительно сказалось не только на уровне информационной безопасности, но и на эффективности основного бизнеса.