Информационная безопасность: как снизить банковские риски в РФ

Размещено на http://www.allbest.ru/

Информационная безопасность: как снизить банковские риски в РФ

Сегодня банки вынуждены сами защищаться от всевозможных рисков как криминального, так и не криминального характера. С распространением услуги интернет-банкинга ситуация только усугубилась. Сложность защиты информации в банковском секторе определяется не только огромными массивами обрабатываемых данных и изощренностью средств, применяемых злоумышленниками для доступа к ним. Она характеризуется еще и тем, что банки, являясь частью единой финансовой системы государства, должны соответствовать жестким требованиям безопасности, но реализацию этих требований государство полностью возложило на сами кредитные организации. ИТ-инфраструктура крупного универсального банка включает до нескольких сотен информационных систем, каждая из которых может стать слабым звеном с точки зрения безопасности. Поэтому в ряде банков создаются целые управления, единственная задача которых - обеспечение информационной безопасности.

Банковские риски минимизируются защитой информационных систем банка от несанкционированного доступа. Когда был сделан первый шаг в интернет, появились программы «клиент-банк» для юридических лиц, доступ к которым был крайне ограничен. И, наконец, в один прекрасный момент финансовые организации оказались перед лицом новых значительных рисков, когда в интернет вышли фронт-офисные системы, обслуживающие физических лиц. Ситуация, когда злоумышленник может получить доступ к чужому счету с любого компьютера без взлома специализированного клиентской защиты, говорит о доступности атакующих технологий и снижении их стоимости. При этом стоимость информационных систем возрастает.

На стоимость ИС влияют и системы защиты от неправомерных действий собственных сотрудников, которые могут нанести ущерб множеством способов от компрометации клиентской базы до присвоения активов банка. Инсайдеры - настоящая головная боль для акционеров и служб безопасности, поскольку все средства разграничения доступа к электронным данным и к бумажным документам, защиты от копирования на диски и флэшки не работают на сто процентов. Защита от инсайдеров в основном ложится на плечи сотрудников служб безопасности и информационной безопасности банка.

Также банки обязаны выполнять требования регуляторов, например, в части своевременного предоставления обязательной отчетности, защиты персональных данных, противодействия отмыванию средств и финансированию терроризма. Соответственно, необходимо поставить дорогостоящие специализированные системы, которые смогут на лету проводить мониторинг большого числа событий, реагировать на них и быстро формировать отчетность. Рынок предлагает большое число систем комплексной защиты информации, но возникает проблема их сертификации. Перед банками часто стоит выбор: использовать не новую, но сертифицированную систему, или приобрести систему без сертификата, но более эффективную и полностью отвечающую требованиям конкретного банка. В этом случае банк вынужден начать долгую и дорогую процедуру сертификации. Еще один аспект безопасности не связан с защитой от криминала и относится к обеспечению целостности и непротиворечивости данных. Для защиты банка от финансовых потерь данные должны правильно вводиться, доставляться без искажений, быть согласованными с другими данными и надежно храниться. В большинстве случаев это реализуется созданием единого хранилища данных с дополнительными системами, отвечающими за контроль качества информации, а также внедрением автоматических процедур ее мониторинга, архивации и восстановления после сбоев. Обеспечение информационной безопасности, как правило, зависит от потребностей бизнеса, требований регулятора и существующей ИТ-инфраструктуры банка. Защита данных начинается с аудита существующей ситуации и разработки общей концепции, политик и корпоративных стандартов управления информационной безопасностью. Цель этих мероприятий - создание системы обеспечения информационной безопасности. Стандарт Банка России определяет ее как совокупность системы информационной безопасности и системы управления информационной безопасностью. К созданию системы обеспечения информационной безопасности должны быть причастны не только служба ИБ, ИТ-служба, но и топ-менеджмент, юридическая служба и другие структуры. Связано это с многогранностью задач, требующих решения. Поскольку обеспечение безопасности - это непрерывный процесс, то для него требуется непрерывный цикл мероприятий: планирование, реализация, проверка, действие (ПРПД), описанный в стандарте. Результатом должна стать система информационной безопасности, покрывающая все основные классы угроз и соответствующая требованиям бизнеса, регулятора и ИТ.

защита банковский информация ущерб

Размещено на Allbest.ru