CC BY
394
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ БАНКА
С.С. МЫТЕНКОВ
Как известно, со времени своего появления банки неизменно вызывали преступный интерес. И этот интерес был связан не только с хранением в кредитных организациях денежных средств, но и с тем, что в банках сосредоточивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже государств.
В наши дни в связи со всеобщей информатизацией и компьютеризацией банковской деятельности значение информационной безопасности банков многократно возросло. Еще 30 лет назад объектом информационных атак были данные о клиентах банков или о деятельности самого банка. Тогда такие атаки были редкими, круг их заказчиков был очень узок, а ущерб мог быть значительным лишь в особых случаях. В настоящее время в результате повсеместного распространения электронных платежей, пластиковых карт, компьютерных сетей, стремительно растущей популярности услуг, предоставляемых клиентам посредством Интернет-технологий, объектом информационных атак стали непосредственно денежные средства как банков, так и их клиентов. Совершить попытку хищения может любой — необходимо лишь наличие компьютера, подключенного к сети Интернет. Причем для этого не требуется физически проникать в банк, можно «работать» и за тысячи километров от него.
Например, в августе 1995 г. в Великобритании был арестован 24-летний российский математик Владимир Левин, который при помощи своего домашнего компьютера в Петербурге сумел подобрать ключи к системе банковской защиты одного из крупнейших американских банков Citibank и попытался снять с его счетов крупные суммы. По сведениям московского представительства Citibank, до тех пор подобное никому не удавалось. Служба безопасности Citibank выяснила, что у банка пытались похитить 2,8 млн дол., но контролирующие системы вовремя это обнаружили и заблокировали счета. Украсть же Владимиру Левину удалось лишь
68 -
400 тыс. дол. для получения которых он выехал в Англию, где и был арестован.
Компьютеризация банковской деятельности позволила значительно повысить производительность труда сотрудников банка, внедрить новые финансовые продукты и технологии. Однако прогресс в технике преступлений шел не менее быстрыми темпами, чем развитие банковских технологий.
В настоящее время свыше 90% всех преступлений в этой сфере связана с использованием автоматизированных систем обработки информации банка (АСОИБ). Следовательно, при создании и модернизации АСОИБ банкам необходимо уделять пристальное внимание обеспечению ее безопасности.
Именно эта проблема является сейчас наиболее актуальной и, увы, наименее исследованной. Если в обеспечении физической и классической информационной1 безопасности давно уже выработаны устоявшиеся подходы (хотя развитие происходит и здесь), то в связи с частыми радикальными изменениями в компьютерных технологиях методы безопасности АСОИБ требуют постоянного совершенствования и обновления. Как показывает практика, не существует сложных компьютерных систем, не содержащих ошибок. А поскольку идеология построения крупных АСОИБ регулярно меняется, то исправления найденных ошибок и «дыр» в системах безопасности хватает ненадолго, так как новая компьютерная система приносит новые проблемы и новые ошибки, требуется адекватная перестройка и системы безопасности.
Особенно актуальна данная проблема в России. В западных банках программное обеспечение (ПО) разрабатываются конкретно под каждый банк, и устройство АСОИБ во многом является коммерческой тайной. В России получили рас-
1 Под классической информационной безопасностью понимается система разделения прав доступа к инф ормации, мероприятия по защите от прослушивания, предотвращение утечек со стороны персонала и другие меры, непосредственно не связанные с АСОИБ.
пространение «стандартные» банковские пакеты, информация о которых широко известна, что облегчает несанкционированный доступ в банковские компьютерные системы. Причем, во-первых, надежность «стандартного» ПО ниже из-за того, что разработчик не всегда хорошо представляет конкретные условия, в которых этому ПО придется работать, а во-вторых, некоторые российские банковские пакеты не удовлетворяли условиям безопасности. Например, ранние версии (которые и по сей день эксплуатируются в небольших банках) самого популярного российского банковского пакета требовали наличия дисковода у персонального компьютера и использовали ключевую дискету как инструмент обеспечения безопасности. Такое решение, во-первых, технически ненадежно, а во-вторых, одно из требований безопасности АСОИБ — закрытие дисководов и портов ввода-вывода в компьютерах сотрудников, не работающих с внешними данными.
Для банков (в отличие от других предприятий) информационная безопасность имеет решающее значение. Не следует забывать и о развитии банковских информационных технологий (ИТ), поскольку именно эти технологии во многом определяют систему информационной безопасности банка.
Рассмотрим несколько схем (рис. 1-6), которые иллюстрируют основные тенденции в развитии управления информационными технологиями в коммерческом банке на основе специализированного международного источника Forrester Research. Inc. Эти схемы выбраны в случайном порядке, а ценны тем, что реально существуют. Поэтому рекомендуется учитывать их при выборе и формировании собственной ИТ-стратегии.
Первой тенденцией, которую хотелось бы отметить, является повышение значения экономических параметров при принятии решений по выбору проектов (рис. 1). Представленная схема показывает, что в 80% случаев формальным обоснованием начала технологического проекта являются параметры возврата инвестиций или срок окупаемости проекта.
Другие тенденции касаются изменения роли ИТ-подразделения банка (рис. 2). Представленные данные иллюстрируют, что большинство респондентов отмечают возрастание сотрудничества с бизнес-подразделениями. Также отмечаются такие изменения, как усиление централизации и контроля, направленности на результаты бизнеса и внедрение новых технологий и решений. Только около 10% респондентов отмечают отсутствие ка-ких-либо изменений.
68%
12%
Какой формальный процесс обоснования использует Ваш банк, для того чтобы решить стоит ли начинать технологический проект?
20%
ROI
Срок окупаемости
Другое
Рис. 1. Тенденции в подходах к обоснованию проектов
НАЦИОНАЛЬНЫЕ ИНТЕРЕСЫ: приоритеты и безопасность
Рост сотрудничества с бизнесом
Усиление централизованного контроля
Увеличение направленности на результаты бизнеса
Увеличение направленности на новые технологии
Отсутствие изменений
Рис. 2. Изменение роли ИТ-подразделения
Следующий график (рис. 3) иллюстрирует все более активное вовлечение высшего руководства банков в процесс принятия ИТ-решений. Как считают 40% респондентов, требуют обязательного обоснования и согласования с высшим руководством любые проекты в области ИТ. А необходимость такого согласования для проектов стоимостью свыше 100 тыс. дол. признают около 87% опрошенных.
В последнее время наблюдается существенное повышение доли сторонних услуг, организации все чаще используют аутсорсинг. При этом они стремятся передавать сторонним организациям практически все неключевые для бизнеса функции (рис. 4). Сегодня в среднем 28% средств ИТ-бюджета достаются сторонним поставщикам решений и услуг, что не может не сказаться на безопасности в целом. Около 40% опрошенных отмечают, что они передали (полностью или частично) другим поставщикам такие свои технологические функции, как разработка, поддержка и эксплуатация приложений.
Следующая схема (рис. 5) показывает тенденции в изменении структуры ИТ-службы и базовых показателей оценки ее деятельности. Среди основных тенденций отмечаются: увеличение централизации, стремление больше соответствовать интересам бизнеса, увеличение количества используемых
40%
□ Какого рода инфроструктурные технологические проекты требуют обоснования для высшего руководства?
15%
16%
10%
6%
5%
6%
1% I-1
0%
1% I-1
0%
Любые 10 тыс.$ и 25 тыс.$ и 50 тыс.$ и 100 тыс.$ 250 тыс.$ 500 тыс.$ 1 млн.$ и 3 млн.$ и 5 млн.$ и 10 млн.$ и проекты больше больше больше и больше и больше и больше больше больше больше больше
Рис. 3. Вовлечение высшего руководства в процесс принятия ИТ-решений
4%
12%
Какой процент Вашего 1Т-бюджета предназначен на оплату внешних поставщиков технологий?
П В ближайшее 2 года - средн. 34% П Сегодня - средн. 28%
22% 20%
24%
38%
Техническое снабжение
Разрабодка, поддержка и эксплуатация Л¥еЬ-приложе ний
Разрабодка, поддержка и эксплуатация приложений
пользователей / рабочих станций
Инфраструктура / back office
56%
0%
Какие технологические функции Вы предоставляете внешним поставщикам (по крайней меречастично)?
16%
40%
52%
Рис. 4. Использование сторонних услуг (аутсорсинт)
Как изменится организационная структура Вашего 1Т- подразделения в ближайшие два года?
Какие показатели Вы используете, чтобы измеритьуспех 1Т- деятельности и продемонстрировать ее ценность?
Разрабодка общих центров обслуживания
Больше контролирующих стандартов
Никак: мы не можем больше меняться
Большее соответствие бизнесу
Никак: существующая структура полностью удовлетворяет нуждам
Увеличится централизация
10%
10%
12%
20%
24%
28%
Показатели, ориентированные на клиентов банка
Снижение издержек
Эффективность бизнеса
Только тактические показатели
10%
30%
32%
52%
Рис. 5. Тенденции в изменении структуры и оценки ИТ-подразделений
стандартов для целей контроля ИТ. В большинстве банков обработка данных осуществляется централизованно с целью снижения затрат и повышения эффективности процессов. Кроме того, существуют и другие доводы в пользу принятия такого решения: повышение эффективности управления и контроля, включая подготовку управленческой отчетности и исключение дублирования инфор-
мации, а также организация информационной безопасности, уменьшение затрат на обслуживание оборудования; сокращение персонала; стандартизация системных и бухгалтерских процедур.
С точки зрения оценки деятельности управления информационных технологий использование тактических показателей отмечается большинством как наиболее часто встречающийся подход,
- 71
около коммерческих банков отмечают показатели эффективности бизнеса и снижения издержек.
Еще одной показательной тенденцией в управлении информационными технологиями является увеличение скорости принятия решений при покупке ИТ-решений: подавляющее большинство всех решений в этой области принимаются менее чем за три месяца (рис. 6).
Как видно из сказанного выше, ИТ-стратегия не может быть составлена без понимания бизнес-стратегии и должна на ней базироваться. Стратегический план целесообразно составлять в виде двух документов — долгосрочной стратегии и краткосрочной. Долгосрочная стратегия составляется на 3-5 лет и включает соответствующие задачи и цели, краткосрочная — на срок от 1 до 3 лет.
Оба документа должны регулярно обновляться. Для долгосрочного документа это может происходить на полугодовой основе, для краткосрочного — на ежеквартальной. Все обновления производятся в тесном взаимодействии с бизнес-менеджерами и согласовываются с высшим руководством организации.
Стратегия в области ИТ утверждается высшим руководством банка по результатам совместной предварительной проработки руководителей ИТ-и бизнес-подразделений. Такая работа возможна в
рамках заседаний информационно-технологического (или технического) комитета банка.
Также важнейшим элементом стратегического планирования является контроль за исполнением. Стратегия не должна быть декларативным документом, и основным способом достижения этого является контроль за ее исполнением, в том числе со стороны высшего руководства банка, информационно-технологического комитета.
По данным статистики, наибольшая часть преступлений против банков совершается с использованием инсайдерской информации. В этой связи необходимо уделять постоянное внимание обеспечению информационной безопасности в сфере работы с персоналом.
По мере развития и расширения сферы применения средств вычислительной техники острота проблемы обеспечения безопасности вычислительных систем и защиты хранящейся и обрабатываемой в них информации от различных угроз все более возрастает. Для этого есть целый ряд объективных причин.
Основная из них — возросший уровень доверия к автоматизированным системам обработки информации. Им доверяют самую ответственную работу, от качества которой зависит жизнь и благосостояние многих людей. ЭВМ управляют
ПО
Сервер
I 25%
Сетевое оборудование
Накопители информации
12
8%
■ меньше 1 года П меньше 6 месяцев 30% □ меньше 3 месяцев ] 31% □ меньше месяца Р меньше недели
33%
ПК
ЙНШ.
7%
|21%
] 34%
Рис. 6. Скорость принятия ИТ-решений НАЦИОНАЛЬНЫЕ ИНТЕРЕСЫ: приоритеты и безопасность
технологическими процессами на предприятиях и атомных электростанциях, движениями самолетов и поездов, выполняют финансовые операции, обрабатывают секретную информацию.
Сегодня проблема защиты вычислительных систем становится еще более значительной в связи с развитием и распространением сетей ЭВМ. Распределенные системы и системы с удаленным доступом выдвинули на первый план вопрос защиты обрабатываемой и передаваемой информации.
Доступность средств вычислительной техники, и прежде всего персональных ЭВМ, привела к распространению компьютерной грамотности в широких слоях населения. Это, в свою очередь, вызвало многочисленные попытки вмешательства в работу государственных и коммерческих, в частности банковских, систем, как со злым умыслом, так и из чисто «спортивного интереса». Многие из этих попыток имели успех и нанесли значительный урон владельцам информации и вычислительных систем.
В немалой степени это касается разных коммерческих структур и организаций, особенно тех, кто по роду своей деятельности хранит и обрабатывает ценную (в денежном выражении) информацию, затрагивающую к тому же интересы большого количества людей. В банках, когда дело касается электронных платежей и автоматизированного ведения счетов, такая информация в некотором роде и представляет собой деньги.
Целостную картину всех возможностей защиты создать довольно сложно, поскольку пока еще нет единой теории защиты компьютерных систем. Существует много подходов и точек зрения на методологию ее построения. Тем не менее в этом направлении прилагаются серьезные усилия, как в практическом, так и в теоретическом плане, используются самые последние достижения науки, привлекаются передовые технологии. Причем занимаются этой проблемой ведущие фирмы по производству компьютеров и программного обеспечения, университеты и институты, а также крупные банки и международные корпорации.
Известны различные варианты защиты информации — от охранника на входе до математически выверенных способов сокрытия данных от ознакомления. Кроме того, можно говорить о глобальной защите и ее отдельных аспектах: защите персональных компьютеров, сетей, баз данных и др.
Необходимо отметить, что абсолютно защищенных систем нет. Можно говорить о надежности системы, во-первых, лишь с определенной вероятностью, а во-вторых, о защите от определенной ка-
тегории нарушителей. Тем не менее проникновение в компьютерную систему можно предусмотреть. Защита — это своего рода соревнование обороны и нападения: кто больше знает и предусматривает действенные меры, тот и выиграл.
Организация защиты АСОИБ — это единый комплекс мер, которые должны учитывать все особенности процесса обработки информации. Несмотря на неудобства, причиняемые пользователю во время работы, во многих случаях средства защиты могут оказаться совершенно необходимыми для нормального функционирования системы. К основным из упомянутых неудобств следует отнести:
1) дополнительные трудности работы с большинством защищенных систем;.
2) увеличение стоимости защищенной системы;
3) дополнительная нагрузка на системные ресурсы, что потребует увеличения рабочего времени для выполнения одного и того же задания в связи с замедлением доступа к данным и выполнения операций в целом;
4) необходимость привлечения дополнительного персонала, отвечающего за поддержание работоспособности системы защиты.
Современный банк трудно представить себе без автоматизированной информационной системы. Компьютер на столе банковского служащего уже давно превратился в привычный и необходимый инструмент. Связь компьютеров между собой и с более мощными компьютерами, а также с ЭВМ других банков — также необходимое условие успешной деятельности банка: слишком велико количество операций, которые необходимо выполнить в течение короткого периода времени.
В настоящее время в информационной сфере Российской Федерации отмечается сложная криминогенная обстановка. Уязвимость действующих информационных систем и сетей от разнообразных форм неправомерного воздействия определила широкий спектр направлений преступной активности. В период с 2000 по 2004 г. количество зарегистрированных в России преступлений, совершенных с использованием информационных технологий, увеличилось более чем в 9 раз и в прошедшем году превысило 13 тыс. Причем необходимо учитывать не только суммы прямого ущерба, но и весьма дорогостоящие мероприятия, которые проводятся после успешных попыток взлома компьютерных систем.
Услуги, предоставляемые банками сегодня, в немалой степени основаны на использовании
- 73
средств электронного взаимодействия банков между собой, банков и их клиентов и торговых партнеров. В настоящее время доступ к услугам банков стал возможен из различных удаленных точек, включая домашние терминалы и служебные компьютеры. Этот факт заставляет отойти от концепции «запертых дверей», которая была характерна для банков 1960-х гг., когда компьютеры использовались в большинстве случаев в пакетном режиме как вспомогательное средство и не имели связи с внешним миром.
Компьютерные системы, без которых не может обойтись ни один современный банк, — источник совершенно новых, ранее неизвестных угроз. Большинство из них обусловлено использованием в банковском деле новых информационных технологий и характерны не только для банков. При этом следует помнить, что во многих странах, несмотря на все увеличивающуюся роль электронных систем обработки, объем операций с бумажными документами в 3-4 раза выше, чем с их электронными аналогами.
Уровень оснащенности средствами автоматизации играет немаловажную роль в деятельности банка и, следовательно, напрямую отражается на его положении и доходах. Усиление конкуренции между банками приводит к необходимости сокращения времени на производство расчетов, увеличения номенклатуры и повышения качества предоставляемых услуг.
Чем меньше времени будут занимать расчеты между банком и клиентами, тем выше станет оборот банка и, следовательно, прибыль. Кроме того, банк более оперативно сможет реагировать на изменение финансовой ситуации. Разнообразие услуг банка (в первую очередь это относится к возможности безналичных расчетов между банком и его клиентами с использованием пластиковых карт) может существенно увеличить число его клиентов и, как следствие, повысить прибыль.
Для подтверждения этого тезиса можно привести несколько фактов:
• потери банков и других финансовых организаций от воздействий на их системы обработки информации составляют около 3 млрд дол. в год;.
• объем потерь, связанных с использованием пластиковых карточек, оценивается в 2 млрд дол. в год, что составляет 0,03-2% от общего объема платежей в зависимости от используемой системы;
• 27 млн дол. фунтов стерлингов были украдены из Лондонского отделения Union Bank of Switzerland;
74 -
• 5 млн марок украдены из Chase Bank (Франкфурт) ; служащий перевел деньги в банк Гонконга; они были взяты с большого количества счетов (атака «салями»), кража оказалась успешной;
• 3 млн дол. — банк Стокгольма, кража была совершена с использованием привилегированного положения нескольких служащих в информационной системе банка и также оказалась успешной.
Чтобы обезопасить себя и своих клиентов, большинство банков предпринимают необходимые меры защиты, в числе которых защита АСОИБ занимает не последнее место. При этом необходимо учитывать, что защита АСОИБ банка — дорогостоящее и сложное мероприятие. Так, например, Barclays Bank тратит на защиту своей автоматизированной системы около 20 млн дол. ежегодно.
В первой половине 1994 г. Datapro Information Services Group провела почтовый опрос среди случайно выбранных менеджеров информационных систем. Целью опроса явилось выяснение состояния дел в области защиты. Было получено 1,153 анкеты, на основе которых получены приводимые ниже результаты:
1) около 25% всех нарушений составляют стихийные бедствия;
2) около половины систем испытывали внезапные перерывы электропитания или связи, причины которых носили искусственный характер;
3) около 3% систем испытывали внешние нарушения (проникновение в систему организации);
4) 70-75% — внутренние нарушения, из них:
— 10% совершены обиженными и недовольными служащими-пользователями АСОИБ банка; - 10%
— совершены из корыстных побуждений персоналом системы; - 50-55% — результат неумышленных ошибок персонала и/или пользователей системы в результате небрежности, халатности или некомпетентности.
Эти данные свидетельствуют о том, что чаще всего происходят не такие нарушения, как нападения хакеров или кража компьютеров с ценной информацией, а самые обыкновенные, проистекающие из повседневной деятельности. В то же время именно умышленные атаки на компьютерные системы приносят наибольший единовременный ущерб, а меры защиты от них наиболее сложны и дорогостоящи. В этой связи проблема оптимизации защиты АСОИБ является наиболее актуальной в сфере информационной безопасности банков.
Существуют два аспекта, выделяющие банки из круга остальных коммерческих систем:
1. Информация в банковских системах представляет собой «живые деньги», которые можно получить, передать, истратить, вложить и т.д.
2. Она затрагивает интересы большого количества организаций и отдельных лиц.
Поэтому информационная безопасность банка — критически важное условие его существования. В силу этого к банковским системам предъявляются повышенные требования относительно безопасности хранения и обработки информации. Отечественные банки также не смогут избежать участи тотальной автоматизации по следующим причинам:
• усиление конкуренции между банками;
• необходимость сокращения времени на производство расчетов;
• необходимость улучшать сервис.
В США, странах Западной Европы и многих других, столкнувшихся с этой проблемой довольно давно, в настоящее время создана целая индустрия защиты экономической информации, включающая разработку и производство безопасного аппаратного и программного обеспечения, периферийных устройств, научные изыскания и др.
Сфера информационной безопасности — наиболее динамичная область развития индустрии безопасности в целом. Если обеспечение физической безопасности имеет давнюю традицию и устоявшиеся подходы, то информационная безопасность постоянно требует новых решений, т.к. компьютерные и телекоммуникационные технологии постоянно обновляются, на компьютерные системы возлагается все большая ответственность.
Статистика показывает, что подавляющее большинство крупных организаций имеют план с правилами доступа к информации, а также план
восстановления после аварий. Безопасность электронных банковских систем зависит от большого количества факторов, которые необходимо учитывать еще на этапе проектирования этой системы. При этом для каждого отдельного вида банковских операций и электронных платежей или других способов обмена конфиденциальной информацией существуют свои специфические особенности защиты. Таким образом, организация защиты банковских систем есть целый комплекс мер, которые должны учитывать как общие концепции, но и специфические особенности.
Очевидно, что автоматизация и компьютеризация банковской деятельности (и денежного обращения в целом) продолжают возрастать. Основные изменения в банковской индустрии за последние десятилетия связаны именно с развитием информационных технологий. Можно прогнозировать дальнейшее снижение оборота наличных денег и постепенный переход на безналичные расчеты с использованием пластиковых карт, сети Интернет и удаленных терминалов управления счетом юридических лиц.
Исходя из того, что факторы, определяющие тенденции развития преступности в сфере информационных технологий, в ближайшей перспективе могут не претерпеть существенных изменений, очевидно, не следует ожидать и кординальных изменений криминогенной обстановки в информационной сфере. При сохранении ежегодных темпов роста количества регистрируемых преступлений на уровне, не превышающем 30%, к 2015 г. их число может превысить отметку в 200 тыс. преступлений в год. Впрочем, прогноз может и не оправдаться, если будут приняты адекватные меры с использованием зарубежного опыта?
