Угроза безопасности - потенциальное нарушение безопасности, любое обстоятельство или событие, которое может явиться причиной нанесения ущерба (защищаемому ресурсу) Банку.

Угрозы можно классифицировать по различным основаниям и измерять в количественных параметрах.

Возможны следующие типы угроз:

· экономические

· социальные

· правовые

· организационные

· информационные

· экологические

· технические

· криминальные.

Уязвимость - это присущие предприятию причины обусловленными особенностями хранения, использования, транспортировки, охраны и защиты ресурсов, приводящие к нарушению безопасности конкретного ресурса.

Атака - реализация угрозы.

Ущерб - невыгодные для собственника имущественные последствия, возникшие в результате правонарушения. (Материальный, физический, моральный).

Носителями угроз безопасности информации в банке являются источники угроз. Источники угроз могут использовать уязвимости для нарушения безопасности информации, получения незаконной выгоды (нанесения ущерба собственнику, владельцу, пользователю информации) Кроме того, возможно не злонамеренные действия источников угроз по активизации тех или иных уязвимостей, наносящих вред. В качестве источников угроз могут выступать как субъекты (личность) так и объективные проявления. Причем, источники угроз могут находиться как внутри защищаемой организации - внутренние источники, так и в не ее - внешние источники.

Деление источников на субъективные и объективные оправдано, исходя из того, что субъективные уязвимости зависят от действий сотрудников и, в основном, устраняются организационными и программно-аппаратными методами. А объективные уязвимости зависят от особенностей построения и технических характеристик оборудования, применяемого на защищаемом объекте. Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами парирования угроз безопасности информации банка.

А деление на внутренние и внешние источники оправдано потому, что для одной и той же угрозы методы парирования для внешних и внутренних источников могу быть разными.

защита информация банк

Все источники угроз безопасности информации можно разделить на три основные группы:

· Обусловленные действиями субъекта (антропогенные источники угроз).

· Обусловленные техническими средствами (техногенные источники угрозы).

· Обусловленные стихийными источниками.

2.2.1 Антропогенные источники угроз

Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Только в этом случае можно говорит о причинении ущерба. Эта группа наиболее обширна и представляет наибольший интерес с точки зрения организации защиты информации банка, так как действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия в этом случае управляемы и напрямую зависят от воли организаторов защиты информации банка.

В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Субъекты (источники), действия которых могут привести к нарушению безопасности информации могут быть как внешние, так и внутренние.

Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся:

· криминальные структуры;

· потенциальные преступники и хакеры;

· недобросовестные партнеры;

· технический персонал поставщиков тематических услуг;

· представители надзорных организаций и аварийных служб;

· представители силовых структур.

Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомых со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации в банке Урал ФД, имеют возможность использования штатного оборудования и технических средств сети. К ним относятся:

· основной персонал (пользователи, программисты, разработчики);

· представители службы защиты информации;

· вспомогательный персонал (уборщики, охрана);

· технический персонал (жизнеобеспечение, эксплуатация).

Необходимо учитывать также, что особую группу внутренних антропогенных источников составляют лица с нарушенной психикой и специально внедренные и завербованные агенты, которые могут быть из числа основного, вспомогательного и технического персонала, а также представителей службы защиты информации. Данная группа рассматривается в составе перечисленных выше источников угроз, но методы парирования угрозам для этой группы могут иметь свои отличия.

Квалификация антропогенных источников информации играют важную роль в оценке их влияния, и учитывается при ранжировании источников угроз.

2.2.2 Техногенные источники угроз

Вторая группа содержит источники угроз, определяемые технократической деятельностью человека и развитием цивилизации. Однако, последствия, вызванные такой деятельностью вышли из под контроля человека и существуют сами по себе. Эти источники угроз менее прогнозируемые, напрямую зависят от свойств техники и поэтому требуют особого внимания. Данный класс источников угроз безопасности информации особенно актуален в современных условиях, так как в сложившихся условиях эксперты ожидают резкого роста числа техногенных катастроф, вызванных физическим и моральным устареванием технического парка используемого оборудования, а также отсутствием материальных средств на его обновление.

Технические средства, являющиеся источниками потенциальных угроз безопасности информации банка так же могут быть внешними:

1) средства связи;

2) сети коммуникации (водоснабжения, канализации);

3) некачественные технические средства обработки информации;

4) некачественные программные средства обработки информации;

5) вспомогательные средства (охраны, сигнализации, телефонии);

6) другие технические средства, применяемые в учреждении.

2.2.3 Стихийные источники угроз

Третья группа источников угроз объединяет, обстоятельства, составляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. К непреодолимой силе в законодательстве и договорной практике относят стихийные бедствия или иные обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить при современном уровне человеческого знания и возможностей. Такие источники угроз совершенно не поддаются прогнозированию и поэтому меры защиты от них должны применяться всегда.

Стихийные источники потенциальных угроз информационной безопасности, как правило, являются внешними по отношению к защищаемому объекту и под ними понимаются, прежде всего, природные катаклизмы:

1) пожары;

2) землетрясения;

3) наводнения;

4) ураганы;

5) различные непредвиденные обстоятельства;

6) необъяснимые явления;

7) другие форс-мажорные обстоятельства.

Человеческий фактор как антропогенный источник угроз:

Чаще всего к возникновению значительного ущерба приводят злонамеренные или ошибочные действия людей, а техногенные источники, как правило, выступают в качестве предпосылки.

Внешние источники угроз:

Хакеры и криминальные структуры.

Популярность такого источника угроз, как хакеры, к сожалению, активно поддерживается средствами массовой информации.

Важный мотив действий хакера - материальная выгода. Особенно часто совершаются попытки кражи номеров кредитных карт, либо конфиденциальной информации с последующим шантажом с целью вымогательства. Сюда же можно отнести случаи взлома финансовых систем или мошенничества.

Реальная квалификация большинства хакеров ниже, чем у профессиональных программистов. Иногда попытки злоупотреблений совершаются лицами с преступными наклонностями, совсем не обладающими специальными знаниями. Но даже если вас очень впечатлили навыки компьютерного преступника, не рекомендуется принимать его на работу ввиду наличия деструктивных наклонностей. Взлом и построение информационных систем банка - далеко не одно и то же, а "бомба" внутри организации гораздо опаснее, чем снаружи.

Практика показывает, что в большинстве случаев хакеры, представляющие реальную опасность, работают по заказу и под контролем организованных криминальных структур.

Недобросовестные партнёры и конкуренты:

В качестве источника информации недобросовестные партнёры и конкуренты используют Web-сайты, СМИ, материалы публичных выступлений. Для сбора информации в глобальной сети всё чаще привлекаются хакеры.

Но самым опасным для компании источником утечки конфиденциальной информации являются ее собственные сотрудники.

Конкуренты могут получать информацию в ходе беседы после выступлений и на специально организованных переговорах. При соответствующей подготовке недоброжелатели могут эффективно использовать современные психотехнологии, эксплуатировать желание субъекта показать себя влиятельным, осведомлённым, компетентным, использовать вредные привычки и скрытые потребности.

В первую очередь объектом воздействия становятся менеджеры и высококвалифицированные специалисты, так как именно они осведомлены в наибольшей степени.

Особенно полезными для недобросовестных конкурентов могут оказаться уволенные сотрудники, а также сотрудники, получившие приглашение, в том числе мнимое, на работу. Находящиеся в штате работники также не всегда следуют интересам организации.

2.2.4 Внутренние источники угроз

Менеджеры.

Как лица, обладающие большими организационными полномочиями, наибольшую потенциальную угрозу для информационных ресурсов банка представляют менеджеры. Например, к потерям могут привести распоряжения предоставить пользователю неоправданно высокие права, реализовать в информационной системе небезопасный, но удобный функционал. Иногда информационные угрозы возникают вследствие неудовлетворительного выполнения руководителями контролирующих функций. Известны случаи, когда продавалось оборудование, с дисков которого не удалялась конфиденциальная информация компании и партнёров.

Во избежание возникновения ущерба целесообразно обязать менеджеров согласовывать решение вопросов, связанных с информационными рисками, с руководителем службы информационной безопасности.

Сотрудники.

Значительной угрозой информационной безопасности компании является низкая квалификация персонала, недостаточная для корректной работы с корпоративной информационной системой банка. Особо опасными являются некомпетентные сотрудники, выдающие себя за грамотных пользователей, или считающие себя таковыми.

Во многих банках отсутствует контроль над установкой на рабочих станциях программного обеспечения. Не понимая возможных последствий, сотрудник может установить на своём рабочем месте заинтересовавшую его программу или "патч", существенно снизив эффективность усилий по обеспечению корпоративной сетевой безопасности. Подобная угроза возникает и в случае подключения находящейся в локальной сети рабочей станции с Интернет через модем или мобильный телефон, оснащённый функцией цифровой связи.

Конечно, не будет лишним ещё раз упомянуть об угрозах, исходящих от приклеенных к мониторам стикеров с паролями и практики обмена паролями между работниками, выполняющими схожие функции.

В ряде случаев проблемы безопасности связаны с тем, что легальные пользователи используют необходимую для работы информацию не по назначению. Причиной может быть злой умысел, халатность, непонимание последствий распространения доступных им сведений. Очевидно, что данная проблема неразрешима только технологическими мерами.

Наибольшую опасность представляют сотрудники, обиженные на организацию и её руководителей. Поэтому случаи возникновения явных и скрытых конфликтов, несоответствия сложившейся ситуации ожиданиям сотрудников, могут рассматриваться как потенциальные предпосылки нарушений информационной безопасности Банка. Особого внимания требуют связанные с такими ситуациями случаи увольнения. Как отмечалось выше, сотрудник, уволившийся из компании с чувством обиды, легко может стать источником информации для недоброжелателей.

IT-специалисты, администраторы и лица, выполняющие критичные операции.

Хочется обратить внимание на отбор кандидатов, которым предполагается доверить выполнение операций, требующих больших прав в информационной системе. Не меньшее значение, чем профессиональные навыки, имеют лояльность кандидата и способность сохранять приверженность интересам компании даже в сложных ситуациях. По этой причине лица, на вершине системы ценностей которых находится материальное вознаграждение, скорее всего, получат отказ. С особой осторожностью следует относиться к кандидатам, слишком часто меняющим работу, предоставившим недостоверные сведения, привлекавшимся к административной и уголовной ответственности, имевшим психические или невротические расстройства.

Традиционной проблемой, связанной с IT-сотрудниками, является контроль и оценка результатов деятельности. Немногие руководители способны воспринимать "птичий" язык и вникать в сущность их работы, в том числе в вопросы защиты данных. И немногие владеющие глубокими знаниями в IT, компетентны в вопросах управления.

Например, в IТ-подразделениях часто отсутствуют должностные инструкции и не проводятся аттестации. Иногда IТ-специалистов рассматривают как обслуживающий персонал, пытаются нагрузить дополнительной работой, не определённой должностной инструкцией. Это ухудшает выполнение прямых обязанностей, вызывает недовольство, отрицательно сказывается на лояльности, приводит к высокой текучке кадров. Наверняка многим известны случаи, когда увольняющийся администратор блокирует пароли сервера.

В настоящее время под патронажем Банка России разрабатывается Стандарт обеспечения информационной безопасности организаций банковской системы РФ. Одной из его ключевых позиций является постулат - наибольшую угрозу для банков несут не сторонние лица, а собственные сотрудники, имеющие доступ к информационным ресурсам. Для служб безопасности банковской системы это актуально вдвойне.

При разработке средств обеспечения информационной безопасности определяется модель потенциального нарушителя, введение которой используется для определения возможных каналов несанкционированного доступа к информации, обрабатываемой с помощью системы. В рамках выбора модели нарушителя определяются:

· категории лиц, в числе которых может оказаться нарушитель;

· возможные цели нарушителя и их градации по степени важности;

· предположения о квалификации нарушителя;

· оценка его технической вооруженности;

· ограничения и предположения о характере возможных действий нарушителя.

Уровень нарушителя определяется организационно-функциональной структурой системы в конкретном банке. Необходимо помнить, что программные и организационные меры защиты нельзя рассматривать по отдельности, они всегда дополняют друг друга.

Портрет потенциального НАРУШИТЕЛЯ безопасности информационного ресурса может быть представлен следующим образом: Нарушитель - это лицо, по ошибке, незнанию или осознанно предпринявшее попытку выполнения запрещенных операций и использующее для этого различные возможности, методы и средства.

Уровни технической оснащенности нарушителя и его знаний о физических принципах работы систем охраны, установленных на объекте, определяют возможность и время, необходимое ему на преодоление средств инженерной защиты и обход сигнализационной техники.

Наиболее вероятными путями физического проникновения "нарушителя" в здание являются:

· через двери и окна первого этажа;

· по коммуникационным и техническим проемам подвала или цокольного этажа;

· с крыши через окна или другие проемы верхних этажей;

· путем разрушения ограждений (разбивание стекол, пролом дверей, решеток, стен, крыши, внутренних перегородок, пола и т.п.).

Рассматривают две группы способов реализации угроз (враждебных действий) - контактные, бесконтактные.

Способы проникновения на объект, в его здания и помещения могут быть самые различные, например:

· разбитие окна, витрины, остекленной двери или других остекленных проемов;

· взлом (отжатие) двери, перепиливание (перекус) дужек замка и другие способы проникновения через дверь;

· пролом потолка, подлежащего блокировке;

· пролом капитального потолка, не подлежащего блокировке;

· пролом стены, подлежащей блокировке;

· пролом капитальной стены, не подлежащей блокировке;

· пролом (подкоп) капитального пола, не подлежащего блокировке;

· пролом (подкоп) пола, подлежащего блокировке;

· проникновение через разгрузочный люк;

· проникновение через вентиляционное отверстие, дымоход или другие строительные коммуникации;

· проникновение подбором ключей;

· оставление нарушителя на объекте до его закрытия;

· свободный доступ нарушителя на объект в связи с временным нарушением целостности здания из-за влияния природно-техногенных факторов или в период проведения ремонта;

· проникновение через ограждение (забор, сетку, решетку), используя подкоп, перелаз, разрушение, прыжок с шестом и т.д.

Каждый тип нарушителей (неподготовленный, подготовленный, квалифицированный) будет осуществлять проникновение на объект по разному - менее или более грамотно используя различные условия, способствующие проникновению, как то:

· взрыв;

· пожар (поджог);

· разбойное нападение;

· наводнение;

· химическое заражение;

· общественные беспорядки;

· отключение электроэнергии на объекте, в районе, городе;

· постановка нарушителем помех ТСО на объекте;

· постановка нарушителем помех в канале связи объекта с охраной;

· предварительный вывод из строя ТСО на объекте;

· предварительный вывод из строя канала связи объекта с охраной;

· предварительный сговор нарушителя с персоналом объекта;

· предварительный сговор нарушителя с персоналом службы охраны объекта;

· создание и использование многих и многих других условий для проникновения на охраняемый объект, например: использование дрессированных животных и птиц, специальных технических средств обхода ТСО, специальных технических средств для предварительного изучения объекта и т.д.

Модель нарушителя информационной безопасности может быть дополнена некоторыми показателями, определяемыми особенностями человеческого характера. Сотрудники банка, участвующие в процессах движения информации, могут быть возможными нарушителями. Типы угроз компьютерной информации и возможные нарушители представлены в таблице.

Любой нарушитель для реализации своих замыслов руководствуется определенной мотивацией и намерениями, владеет совокупностью знаний, умений и навыков (способов) совершения противоправных действий с применением технических средств, имеет в своем распоряжении соответствующие технические средства. Он знает систему защиты информации на объекте или имеет возможность доступа к конкретным информационным ресурсам, сам выбирает время и место предполагаемого нарушения.

Угрозы персоналу.

Правовое положение работника на предприятии определяется положениями Конституции РФ, а также условиями контракта (трудового соглашения) и организационно-распорядительными документами, действующими Урал ФД, в т. ч. и в части обеспечения безопасности на своем участке работы. Работодатель обязан предпринять меры для защиты работника от возможных угроз его здоровью, жизни, интересам, а работник, в свою очередь - добросовестно выполнить обязательства, взятые на себя при оформлении контракта во время приема на работу.

Угрозы Персоналу (человеку) могут быть выражены явлениями и действиями такими как:

1) Стихийные бедствия;

2) Вредные условия труда; попытки внесения изменений в технологические процессы производства, с целью подготовки и совершения технологических аварий; техногенные аварии;

3) Психологический террор, угрозы, компромат, распространение ложной информации (то ли он украл, то ли у него украли), запугивание, шантаж, вымогательство;

4) Нападение, с целью завладения денежными средствами, ценностями, сведениями конфиденциального характера и документами;

5) Внесение опасных для здоровья изменений в окружающую среду (радиоактивное, химическое, бактериологическое заражение и т.п.);

8) Убийства, сопровождаемые насилием, издевательствами и пытками и другие.

Способы осуществления угроз персоналу разнообразны и зависят от исполнителя угрозы, его подготовки и оснащенности.

Угрозы материальным ресурсам.

Ценным ресурсам предприятия с физической формой существования могут угрожать:

· Стихийные бедствия;

· Пожар;

· Хищения - совершенное с корыстной целью противоправное безвозмездное изъятие и (или) обращение чужого имущества в пользу виновного или других лиц, причинившее ущерб собственнику или владельцу имущества;

· Повреждение - изменение свойств имущества, при котором существенно ухудшается его состояние, утрачивается значительная часть его полезных свойств и оно становиться полностью или частично непригодным для целевого использования. Повреждение осуществляется с помощью поджогов, взрывов, обстрелов из огнестрельного оружия и другими способами ограждений, входных дверей, ворот, решеток, витрин, и т.п.; транспортных средств, технологического транспорта и оборудования; средств и систем связи и сигнализации; систем жизнеобеспечения банка.

· Уничтожение - внешнее воздействие на имущество, в результате которого оно прекращает свое физическое существование либо приводится в полную непригодность для использования по целевому назначению. Уничтоженное имущество не может быть восстановлено путем ремонта или реставрации и полностью выводится из хозяйственного оборота.

· Заражение радиоактивными, химическими, бактериологическими веществами;

· Пикетирование, блокирование входов, вторжение, захват и другие.

Способы осуществления угроз ценным ресурсам, существующим в физической форме, также разнообразны и зависят от исполнителя угрозы, его подготовки и оснащенности.

3. Исследование процессов защиты информации в Урал ФД

3.1 Разработка политики безопасности Банка

· Федеральный закон " О банках и банковской деятельности" от 25.06.1993года

На основе перечисленных документов строится правовая защита информации, призванная обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации в Урал ФД.

3.1.2 Организационный элемент защиты информации в Урал ФД

"Это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз". Организационный элемент системы защиты информации содержит меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Организационная защита выполняет функции по:

· организации охраны, режима, работу с кадрами, с документами;

· использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз.

Организационный элемент СЗИ включает:

· организацию режима и охраны для исключения возможности тайного проникновения на территорию и в помещения посторонних лиц; организация и поддержание надежного пропускного режима и контроля сотрудников и посетителей;