Systém ochrany osobních údajů v bankách. Ochrana osobních údajů v bankách. Přestanou banky žádat zaměstnavatele o informace o zaměstnancích? Ukládání a používání osobních údajů

Marina Prokhorová, redaktor časopisu "Osobní údaje"

Natalia Samoilova, Právník ve společnosti InfoTechnoProject

Regulační rámec, který se doposud vyvinul v oblasti zpracování osobních údajů, dokumenty, které je třeba ještě přijmout pro efektivnější organizaci práce na ochraně osobních údajů v organizacích, technické aspekty přípravy informačních systémů pro provozovatele osobních údajů - to jsou témata, která se v poslední době zmiňují v mnoha novinách a časopisech na téma osobních údajů. V tomto článku bych se rád pozastavil nad takovým aspektem organizace práce bankovních a úvěrových institucí, jako je „netechnická“ ochrana osobních údajů zpracovávaných v těchto organizacích.

Začněme konkrétním příkladem

Hovoříme o soudním přezkumu případu na ochranu osobních údajů, který byl proti Sberbank zahájen v červnu 2008. Podstata procesu byla následující. Mezi občanem a bankou byla uzavřena smlouva o ručení, podle které občan převzal závazek odpovídat bance za splnění závazků ze smlouvy o úvěru dlužníkem. Ta nesplnila své povinnosti ve lhůtě stanovené smlouvou o úvěru, informace o ručiteli jako nespolehlivém klientovi byly zadány do automatizovaného informačního systému Stop-List banky, což bylo následně důvodem pro odmítnutí poskytnutí mu půjčku. Banka přitom občana ani neupozornila na nesprávné plnění povinností dlužníka ze smlouvy o úvěru. Ze smlouvy o ručení navíc nevyplývá, že v případě nesprávného plnění závazků ze strany dlužníka má banka právo zadat údaje o ručiteli do informačního systému Stoplist. Banka tak zpracovávala osobní údaje občana tak, že informace o něm zařadila do informačního systému Stoplist bez jeho souhlasu, čímž došlo k porušení požadavků 1. části čl. 9 spolkového zákona č. 152-FZ ze dne 27. července 2006 „O osobních údajích“, podle kterého se subjekt osobních údajů rozhodne poskytnout své osobní údaje a souhlasí s jejich zpracováním z vlastní vůle a ve vlastním zájmu. Navíc způsobem stanoveným v části 1 čl. Podle § 14 téhož zákona se občan obrátil na banku s požadavkem, aby mu byla poskytnuta možnost seznámit se s údaji zadávanými o něm v informačním systému Stop list, jakož i tyto údaje zablokovat a zničit. Banka odmítla vyhovět požadavkům občana.

Na základě výsledků posouzení případu Leninský okresní soud ve Vladivostoku vyhověl nárokům Úřadu Roskomnadzor pro Primorské území vůči Sberbank Ruska na ochranu porušených práv občana a nařídil bance zničit informace o občana z informačního systému Stop List.

Proč je tento příklad významný? Banky, uchovávající osobní údaje značného počtu svých zákazníků, je neváhají přesouvat z jedné databáze do druhé, a to nejčastěji aniž by o tom subjekt osobních údajů informovaly, nemluvě o získání jeho souhlasu s takovým jednáním s jeho osobní data. Bankovní činnost má samozřejmě řadu rysů a často jsou osobní údaje klientů využívány nejen k plnění smluv uzavřených bankou, ale také k výkonu kontroly banky nad plněním svých závazků klientem, to znamená, že jakékoli manipulace s osobními údaji již vyžadují souhlas jejich subjektu.

Potíže s výkladem ustanovení

Proč neudělat jakékoli operace s osobními údaji legální? S největší pravděpodobností to bude vyžadovat zapojení specialistů třetích stran, protože i právníci z právních oddělení velkých bank jsou prvotřídní profesionálové jen v určité oblasti a musí se seznámit se specifiky práce v oblasti osobních údajů prakticky od nuly. Nejlepším východiskem je tedy zapojit do práce na organizaci práce s osobními údaji společnosti specializující se na poskytování služeb pro organizaci práce s osobními údaji, včetně těch, které jsou schopny kontrolovat soulad vašich netechnických ochranných opatření s požadavky zákonodárce. ochranný systém.

Výsledky analytických studií nám umožňují dospět k závěru, že výklad toho, která ustanovení federálního zákona č. 152-FZ „O osobních údajích“ způsobuje největší potíže.

V souladu s částí 1 čl. 22 tohoto regulačního dokumentu je provozovatel povinen oznámit zpracování osobních údajů pověřenému orgánu. Mezi výjimky patří případ, kdy byly zpracovávané osobní údaje získány v souvislosti s uzavřením smlouvy, jejímž smluvní stranou je subjekt osobních údajů ... a jsou provozovatelem použity výhradně k plnění uvedené smlouvy na základě odstavec 2 části 2 článku 22 federálního zákona č. 152-FZ "O osobních údajích". Na základě tohoto konkrétního ustanovení některé banky nepodávají oznámení o zpracování osobních údajů a mnohé se nepovažují za provozovatele, což je zásadně špatně.

Také další častá chyba bank jako provozovatelů osobních údajů související se smlouvou je následující. Podle Čl. 6 výše uvedeného zákona může být zpracování osobních údajů prováděno provozovatelem se souhlasem subjektů osobních údajů, s výjimkou případů, kdy je zpracování prováděno za účelem plnění smlouvy, jednoho ze strany, které jsou předmětem osobních údajů. Mnoho bankovních institucí si proto nedostatek souhlasu subjektu osobních údajů vysvětluje právě uzavřením takové smlouvy.

Ale zamysleme se, nevyužívá banka jakožto provozovatel osobní údaje subjektu získané při uzavření smlouvy např. k zasílání upozornění na nové služby, k vedení „Stop-listů“? To znamená, že zpracování osobních údajů je prováděno nejen za účelem plnění smlouvy, ale i pro jiné účely, na jejichž dosažení jsou banky v obchodním zájmu, tedy:

• banky jsou povinny podat pověřenému orgánu oznámení o zpracování osobních údajů;
• banky by měly zpracovávat osobní údaje pouze se souhlasem subjektu.

A to znamená, že banky musí organizovat systém pro práci s osobními údaji svých zákazníků, tedy zajistit netechnickou ochranu těchto dat.

Písemný souhlas se zpracováním osobních údajů

Pokud jde o souhlas subjektu osobních údajů se zpracováním osobních údajů, federální zákon č. 152-FZ „O osobních údajích“ ukládá provozovatelům povinnost získat písemný souhlas se zpracováním osobních údajů pouze v zákonem stanovených případech. Zároveň v souladu s částí 3 čl. 9, povinnost prokázat souhlas subjektu se zpracováním jeho osobních údajů má provozovatel. Abychom neztráceli čas v případě potřeby shromažďováním takových důkazů (například hledáním svědků), je podle našeho názoru v každém případě lepší získat souhlas subjektů písemně.

Zde je další argument pro písemnou formu zpracování osobních údajů. Činnost bank často zahrnuje předávání údajů (včetně osobních údajů) na území cizího státu. Při této příležitosti část 1 Čl. 12 spolkového zákona č. 152-FZ „O osobních údajích“ uvádí, že před zahájením přeshraničního předávání osobních údajů je provozovatel povinen zajistit, aby cizí stát, do kterého je předávání osobních údajů prováděn, poskytuje dostatečnou ochranu práv subjektů osobních údajů. Není-li taková ochrana poskytována, je přeshraniční přenos osobních údajů možný pouze s písemným souhlasem subjektu osobních údajů. Lze předpokládat, že pro pracovníka banky je jednodušší získat písemný souhlas klienta se zpracováním osobních údajů než zjišťovat míru přiměřenosti jejich ochrany v cizí zemi.

Upozorňujeme, že informace, které musí písemný souhlas obsahovat, jsou uvedeny v části 4 čl. 9 výše uvedeného federálního zákona a tento seznam je vyčerpávající. A podpis pod větou např. ve smlouvě o půjčce: „Souhlasím s použitím mých osobních údajů“, podle federálního zákona č. 152-FZ „O osobních údajích“, není souhlasem s jejich zpracováním!

Zdálo by se, že bodů zákona je jen pár, ale kolik komplikací, až soudních sporů, může způsobit jejich nesprávný výklad. Navíc v dnešní době, kdy se osobní údaje subjektů často stávají komoditou v konkurenčním boji různých struktur, se úspěšné řešení otázek jejich ochrany, zajištění bezpečnosti informačních systémů bankovních a úvěrových institucí stává klíčem k udržení pověst, dobré jméno jakékoli organizace.

Občané si každým dnem více uvědomují možné negativní důsledky šíření jejich osobních údajů, čemuž napomáhá vznik specializovaných publikací. Nechybí ani informační zdroje různých společností. Některé z nich obecně pokrývají celou širokou problematiku související s pojmem „bezpečnost informací“, jiné se věnují přezkumům opatření a prostředků technické ochrany, někdo se naopak zaměřuje na problémy spojené s netechnickou ochranou. . Jinými slovy, informace o ochraně osobních údajů jsou stále dostupnější, což znamená, že občané budou důvtipnější v oblasti ochrany svých práv.

kontrola nad prováděním nezbytných pravidel. Seznam použité literatury:

1. Federální zákon "o bankách a bankovních činnostech"

2. www.Grandars.ru [Elektronický zdroj] Režim přístupu: http://www.grandars.ru/student/finansy/vozniknovenie-bankov.html (Datum přístupu: 05.05.2016)

3. In-bank.ru [Elektronický zdroj] Režim přístupu: http://journal.ib-bank.ru/post/411 (Datum přístupu: 5. 5. 2016)

Khlestova Daria Robertovna

E-mailem: [e-mail chráněný]

VLASTNOSTI OCHRANY OSOBNÍCH ÚDAJŮ V BANKOVNÍM SEKTORU

anotace

Tento článek pojednává o vlastnostech ochrany osobních údajů klienta v bankovním sektoru. Je uvedena řada právních aktů, na základě kterých by měl být vybudován systém zpracování a ochrany osobních údajů v bance. Byl zvýrazněn seznam opatření pro organizaci zabezpečení dat v bankovních institucích.

Klíčová slova

Osobní údaje, bezpečnost v bankách, bezpečnost informací,

ochranu osobních údajů

Ochrana osobních údajů v době informačních technologií se stala obzvláště aktuální. Přibývá případů, kdy se útočníci dostanou k jakýmkoli důvěrným informacím útokem na informační systémy organizací. Útoky nepochybně neobcházejí bankovní sektor. Vzhledem k tomu, že bankovní systémy obsahují velké množství osobních údajů zákazníků, měla by být jejich bezpečnost pod bedlivým dohledem státu i samotných vlastníků finančních institucí.

Pro začátek stojí za to zjistit, jaké osobní údaje osoby mohou mít banka k dispozici, pokud se stane jejím klientem. Je tedy povinné: příjmení, jméno a patronymie; Datum a místo narození; občanství; místo registrace a skutečné bydliště; všechny údaje o pasu (série, číslo, kdy a kým byl doklad vydán); mobilní a domácí telefonní číslo; místo výkonu práce, pozice. Ve většině případů instituce žádají člověka o doplňující informace, ale i bez nich je seznam údajů, kterým člověk bance důvěřuje, působivý. Klient samozřejmě doufá, že jeho osobní údaje budou při zpracování a uchovávání spolehlivě chráněny.

Aby finanční instituce mohly kvalitativně zorganizovat systém zpracování a ochrany osobních údajů, je nutné určit seznam právních aktů, o které by se banka měla opírat při práci s osobními údaji klientů: Ústava Ruské federace je nejdůležitějším dokumentem země; zákoník práce Ruské federace; Občanský zákoník a trestní zákoník Ruské federace; federální zákon č. 152 „o osobních údajích“; spolkový zákon č. 149 „Na

informace, informační technologie a ochrana informací“; federální zákon č. 395-1 "O bankách a bankovních činnostech". Také v bankách při vytváření systému pro zpracování a uchovávání osobních údajů vzniká řada lokálních dokumentů, které poskytují další kontrolu nad prací s daty.

Při obdržení osobních údajů od klienta přebírá bankovní organizace povinnost provést veškerá organizační a technická opatření k ochraně jí svěřených informací před neoprávněným přístupem (náhodným nebo úmyslným), blokováním, pozměňováním, zničením a jiným protiprávním jednáním. Za zmínku stojí řada opatření pro kvalitativní organizaci zpracování a ochrany osobních údajů v bankách: určení osob odpovědných za zpracování a zajištění bezpečnosti údajů v informačním systému banky; provádění kontrolních opatření a seznámení zaměstnanců s příslušným regulačním rámcem a interními dokumenty, na kterých je založen systém zabezpečení dat banky; identifikace hrozeb při zpracování osobních údajů v bance a opatření k jejich odvrácení; hodnocení účinnosti uplatňovaných organizačních a technických opatření k zajištění ochrany údajů, před zavedením systému ochrany do provozu; účetnictví všech strojových nosičů osobních údajů; stanovení pravidel pro přístup zaměstnanců do systému zpracování a ochrany; v případě zjištění neoprávněného přístupu k chráněným datům přijetí opatření k odstranění hrozby a obnovení ztracených dat. A povinným opatřením pro banky s fungujícím systémem uchovávání a ochrany osobních údajů klientů je neustálé sledování a zlepšování bezpečnostního systému.

Stojí tedy za zmínku, že zpracování, uchovávání a ochrana osobních údajů v bankách by měly být prováděny na základě podmínek stanovených regulačním rámcem Ruské federace. Každá finanční instituce musí: dodržovat zásadu zákonnosti při organizování ochrany osobních údajů svých klientů; provádět celou řadu opatření pro organizační a technickou ochranu údajů; při tvorbě lokálních dokumentů souvisejících s informační bezpečností se opírejte o nejlepší ruské a mezinárodní postupy v této oblasti; dodržovat všechny požadavky regulačních orgánů (FSTEC, Roskomnadzor, FSB) k zajištění ochrany osobních údajů klienta.

Seznam použité literatury:

1. Khlestova D.R., Popov K.G. „K problematice právních aspektů ochrany osobních údajů“

2. Federální zákon "o bankách a bankovních činnostech"

3. Bank of Russia [Elektronický zdroj] Režim přístupu: http://www.cbr.ru/ (Datum přístupu: 05.06.2016)

© Khlestova D.R., Popov K.G., 2016

Khlestova Daria Robertovna

Student 2. ročníku Institutu ekonomiky a chování BashGU, Ufa, RF E-mail: [e-mail chráněný] Popov Kirill Gennadievich kandidát ekonomie, docent katedry informační bezpečnosti, Bashkir State University, Ufa, RF

E-mailem: [e-mail chráněný]

OBCHODNÍ INTELIGENCE JAKO NEJLEGÁLNĚJŠÍ ZPŮSOB ZÍSKÁNÍ INFORMACÍ

anotace

Článek se zabývá metodami business intelligence. Je také zdůvodněno, proč je business intelligence legální činností v podnikání. Zdůraznil základní principy, které je třeba dodržovat,

Poptávka se stala zejména pro ruské divize zahraničních společností v souvislosti s doplněním části 5 článku 18 do 152-FZ „O osobních údajích“: „... provozovatel je povinen zajistit evidenci, systematizaci, shromažďování, uchovávání , upřesnění (aktualizace, změna), osobní data občané Ruské federace využívající databáze umístěné na území Ruské federace“ . V zákoně je řada výjimek, ale musíte uznat, že v případě kontroly regulátorem chcete mít spolehlivější trumfy než „nás se to ale netýká“.

Postihy pro porušovatele jsou velmi přísné. Internetové obchody, sociální sítě, informační stránky, další související podniky Internet v případě pohledávek ze strany dozorových orgánů mohou být skutečně uzavřeny. Možná, že při první kontrole dá regulátor čas na odstranění nedostatků, ale lhůta je obvykle omezená. Pokud se problém nevyřeší velmi rychle (což je obtížné provést bez předběžné přípravy), nelze již ztráty kompenzovat. Blokování webových stránek vede nejen k pozastavení prodeje, ale také ke ztrátě podílu na trhu.

Méně dramatický je výskyt na „černé listině“ porušovatelů zákona o osobních údajích pro offline společnosti. To však s sebou nese reputační rizika, což je pro zahraniční společnosti významný faktor. Nyní navíc téměř neexistují činnosti, které by s ochranou osobních údajů vůbec nesouvisely. Banky, obchod, dokonce i výroba – to vše si udržuje zákaznickou základnu, což znamená, že podléhají příslušným zákonům.

Zde je důležité pochopit, že ani v rámci společností nelze tuto problematiku posuzovat izolovaně. Ochranu osobních údajů nelze omezit instalací certifikovaných bezpečnostních nástrojů na servery a zamykáním papírových karet v trezorech. Osobní údaje mají mnoho vstupních bodů do společnosti – obchodní oddělení, HR, zákaznický servis, někdy také školicí střediska, nákupní provize a další oddělení. Řízení ochrany osobních údajů je složitý proces, který ovlivňuje TO, tok dokumentů, předpisy, právní registrace.

Pojďme se podívat na to, co je potřeba ke spuštění a údržbě takového procesu.

Jaké údaje jsou považovány za osobní

Přísně vzato, jakákoli informace, která se přímo či nepřímo vztahuje ke konkrétní osobě, je jejím osobním údajem. Všimněte si, že mluvíme o osobách, nikoli o právnických osobách. Ukazuje se, že k zahájení ochrany těchto (i souvisejících) údajů stačí uvést celé jméno a adresu bydliště. Dostat e-mail s něčími osobními údaji v podobě podpisu a telefonního čísla však není důvodem k jejich ochraně. Klíčový pojem: "Koncept shromažďování osobních údajů." Pro objasnění kontextu chci upozornit zejména na několik článků zákona „o osobních údajích“.

Článek 5. Zásady zpracování osobních údajů. Měly by existovat jasné cíle, z nichž bude jasné, proč jsou tyto informace shromažďovány. V opačném případě, i při plném dodržování všech ostatních norem a pravidel, jsou sankce pravděpodobné.

Článek 10. Zvláštní kategorie osobních údajů. Personální oddělení může například stanovit omezení pracovních cest, včetně těhotenství zaměstnankyň. I takové dodatečné informace samozřejmě podléhají ochraně. To značně rozšiřuje chápání PD a také seznam oddělení a informačních úložišť společnosti, ve kterých je třeba ochraně věnovat pozornost.

Článek 12. Přeshraniční přenos osobních údajů. Pokud se informační systém s údaji o občanech Ruské federace nachází na území země, která neratifikovala Úmluvu o ochraně osobních údajů (například v Izraeli), je třeba postupovat podle ustanovení ruské legislativy.

Článek 22. Oznámení o zpracování osobních údajů. Nezbytná podmínka k tomu, aby nepřitahovala nepřiměřenou pozornost regulátora. Pokud provozujete obchodní činnost související s osobními údaji - nahlaste to sami, aniž byste čekali na kontroly.

Kde se mohou nacházet osobní údaje

Technicky může být PD umístěno kdekoli, od tištěných médií (papírové kartotéky) až po strojová média (pevné disky, flash disky, CD atd.). To znamená, že se zaměřujeme na jakékoli úložiště dat, které spadá pod definici ISPD (informační systémy osobních údajů).

Geografie místa je samostatnou velkou otázkou. Na jedné straně musí být osobní údaje Rusů (jednotlivců, kteří jsou občany Ruské federace) uloženy na území Ruské federace. Na druhou stranu jde v tuto chvíli spíše o vektor vývoje situace než o hotovou věc. Mnoho mezinárodních a exportních společností, různých holdingů, společných podniků mělo historicky distribuovanou infrastrukturu – a to se přes noc nezmění. Na rozdíl od způsobů uchovávání a ochrany osobních údajů, které by měly být upraveny téměř nyní, hned.

Minimální seznam oddělení, která se podílejí na zaznamenávání, organizaci, shromažďování, ukládání, vyjasňování (aktualizaci, změně), extrahování PD:

• Personální servis.
• Obchodní oddělení.
• Právní oddělení.

Vzhledem k tomu, že dokonalý pořádek vládne jen zřídka, ve skutečnosti mohou být na tento „očekávaný“ seznam často přidány ty nejnepředvídatelnější jednotky. Například sklad může mít personalizované informace o dodavatelích nebo bezpečnostní služba může vést vlastní podrobné záznamy o každém vstupu na území. Tak mimochodem složení PD pro zaměstnance lze doplnit o údaje o klientech, partnerech, zhotovitelích, ale i náhodných a dokonce i cizích návštěvnících - jejichž PD se při focení na propustku, skenování občanského průkazu stává "zločinem". kartu a v některých dalších případech. ACS (access control and management systems) se může snadno stát zdrojem problémů v rámci ochrany osobních údajů. Proto odpověď na otázku "Kde?" z hlediska dodržování Zákona to zní takto: všude na odpovědném území. Přesnější odpověď může poskytnout pouze provedení příslušného auditu. Toto je první fáze projekt pro ochranu osobních údajů. Úplný seznam jeho klíčových fází:

1) Audit aktuální situace ve společnosti.

2) Návrh technického řešení.

3) Příprava procesu ochrany osobních údajů.

4) Ověření technického řešení a procesu ochrany osobních údajů pro soulad s legislativou Ruské federace a firemními předpisy.

5) Realizace technického řešení.

6) Zahájení procesu ochrany osobních údajů.

1. Audit současné situace ve společnosti

Nejprve se informujte u personální služby a dalších oddělení, která používají papírová média s osobními údaji:

• Existují formy souhlasu se zpracováním osobních údajů? Jsou vyplněné a podepsané?
• Je dodržováno „Nařízení o specifikách zpracování osobních údajů prováděného bez použití nástrojů automatizace“ ze dne 15. září 2008 č. 687?

Určete zeměpisnou polohu ISPD:

• V jakých zemích jsou?
• Na jakém základě?
• Existují smlouvy na jejich použití?
• Jaká technologická ochrana se používá k zamezení úniku PD?
• Jaká organizační opatření jsou přijata k ochraně PD?

V ideálním případě musí informační systém s PD Rusů splňovat všechny požadavky zákona 152-FZ „O osobních údajích“, i když se nachází v zahraničí.

Nakonec věnujte pozornost působivému seznamu dokumentů, které jsou vyžadovány v případě ověření (to není vše, pouze hlavní seznam):

• Oznámení o zpracování PD.
• Dokument identifikující osobu odpovědnou za organizaci zpracování PD.
• Seznam zaměstnanců pověřených zpracováním PD.
• Dokument, který určuje umístění úložiště PD.
• Informace o zpracování zvláštních a biometrických kategorií osobních údajů.
• Osvědčení o přeshraničním převodu PD.
• Standardní formy dokumentů s PD.
• Standardní forma souhlasu se zpracováním osobních údajů.
• Postup při převodu PD na třetí strany.
• Postup při účtování požadavků od subjektů PD.
• Seznam informačních systémů osobních údajů (ISPD).
• Dokumenty upravující zálohování dat v ISPD.
• Seznam používaných nástrojů informační bezpečnosti.
• Postup při likvidaci PD.
• Přístupová matice.
• model ohrožení.
• Kniha jízd strojových médií PD.
• Dokument definující úrovně zabezpečení pro každý ISPD v souladu s PP-1119 ze dne 1. listopadu 2012 „O schválení požadavků na ochranu osobních údajů při jejich zpracování v informačních systémech osobních údajů“.

2. Návrh technického řešení

Popis organizačních a technických opatření, která je nutné přijmout k ochraně PD, je uveden v kapitole 4. „Povinnosti provozovatele“ zákona 152-FZ „O osobních údajích“. Technické řešení musí vycházet z ustanovení článku 2 zákona 242-FZ ze dne 21. července 2014.

Jak ale dodržet zákon a zpracovat PD občanů Ruské federace na území Ruska v případě, kdy se ISPD stále nachází v zahraničí? Zde je několik možností:

• Fyzický přenos informačního systému a databáze na území Ruské federace. Pokud je to technicky proveditelné, bude to nejjednodušší.
• Necháme ISPD v zahraničí, ale v Rusku vytvoříme jeho kopii a zavedeme jednosměrnou replikaci PD občanů Ruské federace z ruské kopie na zahraniční. Zároveň je v cizím systému nutné vyloučit možnost úpravy osobních údajů občanů Ruské federace, veškeré úpravy pouze přes ruský ISPD.
• Existuje několik ISPD a všechny jsou v zahraničí. Převod může být drahý, nebo dokonce technicky neproveditelný (např. nelze oddělit část databáze s osobními údaji občanů Ruské federace a přesunout ji do Ruska). V tomto případě může být řešením vytvoření nového ISPD na jakékoli dostupné platformě na serveru v Rusku, odkud bude prováděna jednosměrná replikace do každého zahraničního ISPD. Podotýkám, že výběr platformy je na firmě.

Pokud PDIS nebyl zcela a výhradně předán do Ruska, nezapomeňte v osvědčení o přeshraničním přenosu dat uvést, komu a jaký konkrétní soubor PD je zasílán. V oznámení o zpracování musí být uveden účel předání osobních údajů. Tento cíl musí být opět legitimní a jasně odůvodněný.

3. Příprava procesu ochrany osobních údajů

Proces ochrany osobních údajů by měl definovat alespoň tyto body:

• Seznam osob odpovědných za zpracování osobních údajů ve společnosti.
• Postup pro udělení přístupu k ISPD. V ideálním případě se jedná o přístupovou matici s úrovní přístupu pro každou pozici nebo konkrétního zaměstnance (čtení/čtení-zápis/úprava). Nebo seznam dostupných PD pro každou pozici. Vše závisí na implementaci IP a požadavcích společnosti.
• Audit přístupu k osobním údajům a analýza pokusů o přístup s porušením úrovní přístupu.
• Analýza důvodů nedostupnosti osobních údajů.
• Postup při odpovídání na žádosti subjektů PD ohledně jejich PD.
• Revize seznamu osobních údajů, které jsou předávány mimo společnost.
• Kontrola příjemců osobních údajů včetně zahraničí.
• Periodická revize modelu hrozeb pro PD a také změna úrovně ochrany osobních údajů v důsledku změny modelu hrozeb.
• Udržování aktuálních firemních dokumentů (výše uvedený seznam a v případě potřeby jej lze doplnit).

Zde můžete popsat každou položku, ale chci věnovat zvláštní pozornost úrovni zabezpečení. Stanovuje se na základě následujících dokumentů (čteno v pořadí):

1. „Metodika určování aktuálních hrozeb bezpečnostní osobních údajů při jejich zpracování v informačních systémech osobních údajů“ (FSTEC RF 14. února 2008).

2. Nařízení vlády Ruské federace č. 1119 ze dne 1. listopadu 2012 „O schválení požadavků na ochranu osobních údajů při jejich zpracování v informačních systémech osobních údajů“.

3. Příkaz FSTEC č. 21 ze dne 18. února 2013 „O schválení skladby a obsahu organizačních a technických opatření k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“.

Nezapomeňte také vzít v úvahu potřebu takových kategorií výdajů, jako jsou:

• Organizace projektový tým a projektové řízení.
• Vývojáři pro každou z platforem ISPD.
• Kapacita serverů (vlastních nebo pronajatých v datovém centru).

Na konci druhé a třetí fáze projektu byste měli mít:

• Kalkulace nákladů.
• požadavky na kvalitu.
• Načasování a harmonogram projektu.
• Technická a organizační rizika projektu.

4. Ověření technického řešení a procesu ochrany osobních údajů pro soulad s legislativou Ruské federace a firemními předpisy

Textově krátký, ale důležitý krok, v rámci kterého je třeba zajistit, aby všechny plánované akce nebyly v rozporu s legislativou Ruské federace a firemními pravidly (například bezpečnostní politikou). Pokud se tak nestane, bude do základů projektu položena bomba, která může v budoucnu „explodovat“ a zničit přínosy dosažených výsledků.

5. Realizace technického řešení

Zde je vše víceméně zřejmé. Specifika závisí na výchozí situaci a rozhodnutích. Ale obecně by obrázek měl vypadat nějak takto:

• Přidělené kapacity serveru.
• Síťoví inženýři zajistili dostatečnou šířku pásma mezi přijímačem a vysílačem PD.
• Vývojáři zavedli replikaci mezi databázemi ISPD.
• Správci zabránili změnám v ISPD umístěných v zahraničí.

Osoba odpovědná za ochranu PD nebo „vlastník procesu“ může být stejná nebo odlišná osoba. Již samotný fakt, že „vlastník procesu“ musí připravit veškerou dokumentaci a organizovat celý proces ochrany PD. K tomu musí být informovány všechny zainteresované strany, zaměstnanci musí být poučeni a IT služba musí usnadnit implementaci technických opatření na ochranu dat.

6. Zahájení procesu ochrany osobních údajů

Jde o důležitý krok a v jistém smyslu je cílem celého projektu zajistit kontrolu nad tokem. Kromě technických řešení a regulační dokumentace je zde rozhodující role vlastníka procesu. Musí sledovat změny nejen v legislativě, ale i v IT infrastruktuře. To znamená, že jsou vyžadovány odpovídající dovednosti a kompetence.

Navíc, což je v reálných pracovních podmínkách kritické, potřebuje vlastník procesu ochrany PD všechny potřebné pravomoci a administrativní podporu od vedení společnosti. V opačném případě to bude věčný „žebrák“, kterému nikdo nevěnuje pozornost a po chvíli může být projekt restartován, počínaje auditem.

Nuance

Několik bodů, které lze snadno přehlédnout:

• Pokud pracujete s datovým centrem, potřebujete smlouvu o poskytování služeb kapacity serveru, podle které vaše společnost legálně uchovává data a řídí je.
• Potřebujete licence na software, který se používá ke shromažďování, ukládání a zpracování PD, nebo k němu smlouvy o pronájmu.
• Pokud se ISPD nachází v zahraničí, je potřeba dohoda se společností, která tam vlastní systém - pro zaručení souladu s legislativou Ruské federace ve vztahu k osobním údajům Rusů.
• Pokud jsou osobní údaje předány dodavateli vaší společnosti (například partnerovi pro outsourcing IT), pak v případě úniku PD od outsourcingu budete odpovědní za reklamace. Na oplátku může vaše společnost vznášet nároky u outsourcingu. Možná tento faktor může ovlivnit samotný fakt převedení práce na outsourcing.

A ještě jednou, nejdůležitější je, že nelze vzít a zajistit ochranu osobních údajů. Toto je proces. Nepřetržitý iterativní proces, který bude do značné míry záviset na dalších změnách v legislativě a také na formátu a důslednosti uplatňování těchto pravidel v praxi.

Zabezpečení osobních údajů v bance

Co jsou osobní údaje?

Podle definice z federálního zákona jsou osobními údaji jakékoli informace týkající se fyzické osoby identifikované nebo určené na základě takových informací (předmět osobních údajů), včetně jejího příjmení, jména, příjmení, roku, měsíce, data a místo narození, adresa, rodina, sociální, majetkové poměry, vzdělání, profese, příjem, další údaje.

Kde se nacházejí osobní údaje?

Osobní údaje (PD) v bance jsou umístěny v následujících systémech:

Automatizovaný bankovní systém (ABS);

Systémy klient-banka;

Systémy pro okamžitý převod peněz;

účetní systémy;

Personální účetní systémy;

Podnikový informační systém;

Interní webový portál.

PD může být na listinných dokumentech (smlouvy, formuláře, objednávky, pokyny, dotazníky, dohody atd.).

Jaké dokumenty stanoví požadavky na ochranu osobních údajů?

federální zákony

federální zákon č. 149-FZ ze dne 27. července 2006 „o informacích, informačních technologiích a ochraně informací“;

Nařízení vlády

Nařízení vlády Ruské federace č. 781 ze dne 17. listopadu 2007 „O schválení nařízení o zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“;

Nařízení vlády Ruské federace č. 957 ze dne 29. prosince 2007 „O schvalování předpisů o udělování licencí na některé druhy činností souvisejících s šifrovacími (kryptografickými) prostředky“;

Nařízení vlády Ruské federace č. 687 ze dne 15. září 2008 „O schválení předpisů o specifikách zpracování osobních údajů bez použití nástrojů automatizace“.

FSTEC Ruska

Společné nařízení FSTEC Ruska, FSB Ruska a Ministerstva informací a komunikací Ruska ze dne 13. února 2008 č. 55/86/20 „O schválení postupu klasifikace informačních systémů osobních údajů“;

Řídící dokument FSTEC Ruska „Základní model ohrožení bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“;

Řídící dokument FSTEC Ruska „Metodika pro stanovení skutečných hrozeb pro bezpečnost osobních údajů při jejich zpracování v informačních systémech osobních údajů“;

Vyhláška FSTEC Ruska ze dne 5. února 2010 č. 58 „O schválení nařízení o metodách a metodách ochrany informací v informačních osobních údajích“.

FSB Ruska

Příkaz FAPSI ze dne 13. června 2001 č. 152 „O schválení pokynů k organizaci a zajištění bezpečnosti ukládání, zpracování a přenosu prostřednictvím komunikačních kanálů využívajících kryptografickou ochranu informací s omezeným přístupem, které neobsahují informace představující státní tajemství“;

Nařízení Federální bezpečnostní služby Ruské federace ze dne 9. února 2005 č. 66 „O schválení předpisu o vývoji, výrobě, prodeji a provozu šifrovacích (kryptografických) nástrojů ochrany informací (nařízení PKZ-2005)“;

Průvodní dokument FSB Ruska ze dne 21. února 2008 č. 149 / 54-144 „Pokyny pro zajištění bezpečnosti osobních údajů pomocí kryptografických nástrojů při jejich zpracování v informačních systémech osobních údajů s využitím nástrojů automatizace“;

Průvodní dokument FSB Ruska ze dne 21. února 2008 č. 149/6/6-622 „Typické požadavky na organizaci a provoz šifrovacích (kryptografických) prostředků určených k ochraně informací, které neobsahují informace představující státní tajemství, pokud slouží k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“;

Standard Ruské banky

STO BR IBBS-1.0-2010 „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Obecná ustanovení“;

STO BR IBBS-1.1-2007 „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Audit bezpečnosti informací“;

STO BR IBBS-1.2-2010 „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Metodika hodnocení souladu informační bezpečnosti organizací bankovního systému Ruské federace s požadavky STO BR IBBS-1.0-20xx“;

RS BR IBBS-2.0-2007 „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Směrnice pro dokumentaci v oblasti informační bezpečnosti v souladu s požadavky STO BR IBBS-1.0“;

RS BR IBBS-2.1-2007 „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Pokyny pro sebehodnocení souladu informační bezpečnosti organizací bankovního systému Ruské federace s požadavky STO BR IBBS-1.0“;

RS BR IBBS-2.3-2010 „Zajištění informační bezpečnosti pro organizace bankovního systému Ruské federace. Požadavky na zajištění bezpečnosti osobních údajů v informačních systémech osobních údajů organizací bankovního systému Ruské federace“;

RS BR IBBS-2.4-2010 „Zajištění informační bezpečnosti pro organizace bankovního systému Ruské federace. Odvětvový soukromý model ohrožení bezpečnosti osobních údajů při jejich zpracování v informačních systémech PD organizací bank bankovního systému Ruské federace“;

Metodická doporučení pro soulad s právními požadavky při zpracování osobních údajů v organizacích RF BS, vypracovaná společně Bankou Ruska, ARB a Asociací regionálních bank Ruska (Asociace Rossija).

Jak by měly být osobní údaje chráněny?

Dle požadavků metodických dokumentů k ochraně PD jsou pro všechny typy ISPD společné tyto subsystémy:

Subsystém kontroly přístupu;

Subsystém evidence a účetnictví;

Subsystém integrity;

Podsystém zabezpečení internetu.

Je-li ISPD připojen k internetu, musí být navíc použity následující subsystémy:

Subsystém antivirové bezpečnosti;

Subsystém detekce narušení;

Podsystém bezpečnostní analýzy.

Je také nutné používat elektronické zámky a/nebo elektronické klíče k bezpečné identifikaci a autentizaci uživatelů.

Pokud je ISPD dodatečně distribuován za účelem zabránění neoprávněnému přístupu oddělením chráněných informací od veřejných informací, je nutné při přenosu PD přes nezabezpečené komunikační kanály použít kryptografii a také digitální podpis pro potvrzení pravosti dat.

Takovéto členění na subsystémy a na jejich základě sestavení seznamu produktů pro ochranu osobních údajů je obecně akceptováno a ve většině případů se používá.

Před čím je nutné osobní údaje chránit?

Je-li úkolem zajistit pouze důvěrnost PD, je nutné přijmout opatření a/nebo použít technické prostředky směřující k zamezení neoprávněného přístupu, pak se takové OZ stávají typickými.

Jsou-li kladeny další požadavky na zajištění dalších vlastností informační bezpečnosti, jako je zajištění integrity, dostupnosti, jakož i jejich odvozenin (neodmítatelnost, odpovědnost, přiměřenost, spolehlivost atd.), pak se takový ISPD stává zvláštním. Ve většině případů bude jakýkoli ISPD speciální, to znamená, že kromě tříd PD je pro stanovení ochranných mechanismů nutné se řídit modelem hrozby vytvořeným k tomu.

Jak snížit třídu PD?

Ke snížení a zjednodušení opatření na ochranu PD banky používají různé triky. Níže uvádím nejtypičtější způsoby, jak snížit náklady na ochranné prostředky. Takové „přetvoření“ informačních systémů banky je však samo o sobě poměrně složitým a časově náročným úkolem.

Snížení počtu webů

Jak je uvedeno výše, pokud je ISPD distribuován, jsou na jeho ochranu kladeny zvýšené požadavky, abyste je snížili, musíte se pokusit uniknout distribuovanému ISPD.

U distribuovaného ISPD jsou PD umístěny na různých místech, PD jsou přenášeny komunikačními kanály, které nejsou kontrolovány bankou, a v obecném případě to znamená, že PD vstupují nebo opouštějí kontrolovanou oblast. Pak je v první řadě nutné lokalizovat PD snížením počtu lokalit, kde se budou nacházet. V některých případech je to reálné, ale pokud vezmeme v úvahu ABS, pak s největší pravděpodobností žádná taková možnost nebude.

Snížení počtu serverů

Pokud je ISPD lokální, to znamená, že funguje v rámci lokální sítě banky, pak nejjednodušším způsobem, jak snížit náklady na ochranu, bude snížit množství serverového zařízení, na kterém je PD přítomno a/nebo zpracováno.

Snížení počtu pracovních stanic a personálu

U jakéhokoli typu ISPD (ve formě AWS, lokální, distribuovaný) je konečné zpracování PD zpravidla prováděno pracovníky banky. Pokud nevyužíváte terminálový přístup, o kterém bude řeč níže, má smysl snížit počet pracovníků Banky, kteří se podílejí na zpracování osobních údajů nebo k nim mají přístup.

Sdílení IC s ITU

Za účelem snížení množství PD, a tím i nákladů na ochranné nástroje, je dobrým způsobem rozdělit informační sítě do segmentů, ve kterých se PD zpracovávají. K tomu je nutné nainstalovat a používat firewally, na jejichž porty se mají připojovat segmenty s PD. Veškerá serverová zařízení se často nacházejí v demilitarizované zóně, tedy v segmentech oddělených od veřejných a bankovních sítí firewally. Tento způsob vyžaduje také výrazné „přetvoření“ informačních sítí. Existuje metoda založená na tzv. „lineárním šifrování“, tedy šifrování kanálu klient-klient, klient-server, server-server. Takovéto šifrování síťového provozu lze implementovat jak pomocí speciálních ochranných nástrojů, tak pomocí standardní technologie IPSec, není však certifikováno FSB Ruska, což je jeho značná nevýhoda.

Dalším způsobem, jak oddělit ISPD napříč celou sítí, by mohla být technologie virtuálních sítí – VLAN, ale ve skutečnosti je VLAN jen identifikátor v jednom z polí síťového paketu, což nám umožňuje hovořit o této technologii jako o „IT“. Proto oddělení sítí pomocí VLAN nevyjímá z používání technologií informační bezpečnosti.

Rozdělení databází na části

Předpokládejme, že existuje databáze skládající se z tisíců záznamů: a výši zálohy.

Vytvořme dvě další databáze. Zadáme další jedinečný identifikátor. Tabulku rozdělíme na dvě části, do první umístíme pole Celé jméno a identifikátor, do druhé identifikátor a výši příspěvku.

Pokud tedy každý zaměstnanec může pracovat pouze s jednou z těchto nových databází, pak je ochrana PD značně zjednodušena, ne-li zredukována na nic. Je zřejmé, že hodnota takové databáze je výrazně nižší než ta původní. Obě databáze budou umístěny na nejbezpečnějším serveru. Ve skutečnosti je v databázi mnohem více polí, ale tento princip může fungovat téměř v každém případě, protože. počet oborů významných z hlediska bezpečnosti PD není tak velký, ale spíše velmi omezený. V krajním případě můžete klíčové shody ukládat na PC, které není součástí lokální sítě, nebo dokonce nepoužívat automatizované zpracování.

Depersonalizace PD

Podle definice 152-FZ je depersonalizace PD jednáním, v jehož důsledku nelze určit, zda PD náleží konkrétnímu subjektu PD. Z této definice vyplývá řada metod, kterými lze získat PD, pomocí kterých není možné určit vlastnictví PD. Pokud například přesná data určitých polí nejsou pro účely zpracování důležitá, můžete je buď nezobrazit, nebo zobrazit pouze rozsahy, do kterých spadají. Například věk 20-30, 30-40 atd. Adresa může být "zaokrouhlena" na okres, okres nebo město: Caricyno, Yuzhny, Moskva. Podle potřeby může být proces depersonalizace PD reverzibilní nebo nevratný. Ireverzibilní zahrnuje výše uvedené metody "zaokrouhlení" a reverzibilní, například šifrování. Z mého pohledu může být šifrování (kódování) způsob, jak data anonymizovat a mělo by být pro tyto účely využíváno.

„Tenké klienty“ a terminálový přístup

Použití technologií „tenkého klienta“ a odpovídající technologie terminálového přístupu na serverech může výrazně snížit požadavky na ochranu osobních údajů. Faktem je, že při využívání „tenkých“ klientů“ a terminálového přístupu na PC zaměstnanců Banky není nutné instalovat specializovaný software, jako jsou klientské části databází, klientské části ABS apod. Navíc není potřeba instalovat žádné speciální ochranné nástroje na PC zaměstnanců banky. Tyto technologie vám umožňují zobrazovat informace z databází uložených na serverech na vašem pracovišti a řídit zpracování osobních údajů. Tyto technologie jsou a priori bezpečné, protože. pomocí terminálových politik je snadné omezit možnost koncových zákazníků (zaměstnanců banky) kopírovat a tedy distribuovat PD. Komunikační kanál mezi servery a PC s „tenkým klientem“ lze snadno šifrovat, tedy jednoduchými způsoby zajistíte důvěrnost přenášených dat.

Rychlost případných úniků dat bude omezena pouze vizuálním kanálem, který je dán rychlostí fotoaparátu nebo videokamery, avšak se zavedením speciálních organizačních opatření je takové kopírování velmi obtížné.

Jak lze chránit osobní údaje?

V širokém smyslu je ochrana před neoprávněným přístupem chápána jako soubor organizačních a technických opatření. Tyto aktivity jsou založeny na pochopení mechanismů pro zabránění neoprávněnému přístupu na různých úrovních:

Identifikace a autentizace (také dvoufaktorová nebo silná). Může to být (operační systém, infrastrukturní software, aplikační software, hardware, jako jsou dongle);

Evidence a účetnictví. Může se jednat o protokolování (protokolování, protokolování) událostí ve všech výše uvedených systémech, softwaru a nástrojích);

Zajištění integrity. Může se jednat o výpočet kontrolních součtů kontrolovaných souborů, zajištění integrity softwarových komponent, použití uzavřeného softwarového prostředí a také zajištění důvěryhodného spouštění OS);

Firewall, brána i místní;

Antivirová bezpečnost (aplikují se až tři úrovně ochrany, tzv. vrstvený nebo multi-vendor přístup);

Kryptografie (funkčně aplikovaná na různých úrovních modelu OSI (síť, doprava a výše) a poskytuje různé ochranné funkce).

Existuje několik komplexních produktů, které vyvinuly funkce NSD. Všechny se liší v typech aplikací, hardwarové podpoře, softwaru a topologii implementace.

Při distribuci nebo připojení k veřejné síti (Internet, Rostelecom atd.) ISPD se používají produkty bezpečnostní analýzy (MaxPatrol od Positive Technologies, která nemá v Ruské federaci žádné přímé konkurenty), stejně jako detekce a prevence narušení (IDS / IPS) - jak na úrovni brány, tak na úrovni koncového uzlu.

Jak lze osobní údaje přenést?

Pokud je ISPD distribuován, znamená to nutnost přenášet PD přes nezabezpečené komunikační kanály. Mimochodem, „vzduch“ platí také pro nechráněný kanál. K ochraně PD v komunikačních kanálech lze použít různé metody:

Šifrování komunikačního kanálu. Může být poskytován jakýmkoli způsobem, jako je VPN mezi bránami, VPN mezi servery, VPN mezi pracovními stanicemi (InfoTecs ViPNet Custom, Informzaschita APKSh Continent atd.);

Přepínání paketů MPLS. Pakety jsou přenášeny po různých cestách v souladu se štítky přiřazenými síťovým zařízením. Například síť MPLS společnosti Rostelecom má certifikát o shodě sítě s přepínáním paketů s požadavky na informační bezpečnost FSTEC Ruska, což je zárukou vysoké bezpečnosti služeb poskytovaných na jejím základě;

Šifrování dokumentů. K šifrování datových souborů i souborů kontejnerů lze použít různý software (ViPNet SafeDisk, InfoWatch CryptoStorage, True Crypt atd.);

Šifrování archivů. Lze použít různé archivátory, které umožňují archivovat a šifrovat soubory pomocí silných algoritmů, jako je AES. (WinRAR, WinZIP, 7-ZIP atd.).

Musím používat certifikované ochranné prostředky?

K dnešnímu dni existuje jediný požadavek FSTEC Ruska, pokud jde o certifikaci prostředků ochrany osobních údajů. Požadavek se týká poskytování úrovně 4 nedeklarovaných schopností, proto k poslednímu problému uvedu pouze tři teze:

Certifikační systém pro ochranné prostředky je dobrovolný;

Dost na to, aby byly splněny požadavky zákona;

Informační systém osobních údajů jako celek není nutné certifikovat.

Shauro Eugene

1. TEORETICKÉ ZÁKLADY ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ

1.1 Legislativní rámec ochrany osobních údajů v Ruské federaci

1.3.1 Obecný popis zdrojů ohrožení neoprávněným přístupem do informačního systému osobních údajů.

1.3.2 Obecná charakteristika hrozeb přímého přístupu do provozního prostředí informačního systému osobních údajů

1.3.3 Obecná charakteristika bezpečnostních hrozeb pro osobní údaje realizovaných pomocí mezisíťových protokolů

1.4 Charakteristika Banky a její činnosti

1.5 Databáze osobních údajů

1.5.1 Informační systém osobních údajů zaměstnanců organizace

1.5.2 Informační systém osobních údajů systému kontroly a řízení přístupu

1.5.3 Informační systém osobních údajů automatizovaného bankovního systému

1.6 Struktura a hrozby lokální sítě Banky

1.7 Nástroje informační bezpečnosti

2.2 Softwarové a hardwarové ochrany

2.3 Základní bezpečnostní politika

2.3.1 Systém povědomí o bezpečnosti informací pro zaměstnance

2.3.4 Jak zaměstnanci pracují s e-mailem

2.3.5 Zásady týkající se hesel Banky

3. EKONOMICKÉ ZDŮVODNĚNÍ PROJEKTU

ZÁVĚR

Aplikace.

ÚVOD

Rozsáhlá elektronizace, která začala na konci 20. století, pokračuje dodnes. Automatizace procesů v podnicích zvyšuje produktivitu pracovníků. Uživatelé informačních systémů mohou rychle získat data nezbytná pro plnění svých povinností. Současně s usnadněním přístupu k datům dochází k problémům s bezpečností těchto dat. Útočníci, kteří mají přístup k různým informačním systémům, je mohou využívat pro osobní zisk: shromažďovat data za účelem jejich prodeje na černém trhu, krást peníze od zákazníků organizace, krást obchodní tajemství organizace.

Proto je problém ochrany kriticky důležitých informací pro organizace velmi akutní. Z médií se stále častěji dozvídá o různých technikách či metodách krádeže peněz hackováním informačních systémů finančních organizací. Po získání přístupu k informačním systémům osobních údajů může útočník krást data klientů finančních organizací, šířit informace o jejich finančních transakcích a způsobit tak klientovi banky finanční i reputační újmu. Kromě toho mohou podvodníci po zjištění údajů o klientovi přímo klientovi zavolat, vydávat se za zaměstnance banky a podvodně pomocí technik sociálního inženýrství zjistit hesla ze vzdálených bankovních systémů a vybrat peníze z účtu klienta.

V naší zemi je problém krádeží a nelegálního šíření osobních údajů velmi akutní. Na internetu existuje velké množství zdrojů, které obsahují odcizené databáze osobních údajů, pomocí kterých lze například podle čísla mobilního telefonu najít velmi podrobné informace o osobě, včetně údajů o jeho pasu, adresy bydliště, fotografií a mnohem víc.

V tomto diplomovém projektu zkoumám proces tvorby systému ochrany osobních údajů v PJSC Citibank.

1. ZÁKLADY ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ

1.1 Právní základ ochrany osobních údajů

Dnes se v Rusku provádí státní regulace v oblasti zajištění bezpečnosti osobních údajů. Hlavními právními akty upravujícími systém ochrany osobních údajů v Ruské federaci jsou Ústava Ruské federace a federální zákon „O osobních údajích“ ze dne 27. července 2006 č. 152-FZ. Tyto dva hlavní právní akty zakládají hlavní teze o osobních údajích v Ruské federaci:

Každý občan má právo na soukromí, osobní a rodinné tajemství, ochranu své cti a dobrého jména;

Každý má právo na soukromí korespondence, telefonních hovorů, poštovních, telegrafických a jiných sdělení. Omezení tohoto práva je přípustné pouze na základě rozhodnutí soudu;

Shromažďování, uchovávání, používání a šíření informací o soukromém životě osoby bez jejího souhlasu není povoleno;

Zpracování osobních údajů musí být prováděno na zákonném a spravedlivém základě;

Zpracování osobních údajů by mělo být omezeno na dosažení konkrétních, předem stanovených a legitimních účelů. Není dovoleno zpracovávat osobní údaje, které jsou neslučitelné s účely shromažďování osobních údajů.

Není dovoleno spojovat databáze obsahující osobní údaje, jejichž zpracování je prováděno pro účely, které jsou vzájemně neslučitelné.

Předmětem zpracování jsou pouze osobní údaje, které splňují účely jejich zpracování.

Při zpracování osobních údajů musí být zajištěna správnost osobních údajů, jejich dostatečnost a případně relevance ve vztahu k účelům zpracování osobních údajů. Provozovatel musí přijmout nezbytná opatření nebo zajistit jejich přijetí k odstranění nebo objasnění neúplných nebo nepřesných údajů.

Uchovávání osobních údajů by mělo být prováděno ve formě, která umožňuje určit subjekt osobních údajů, ne déle, než to vyžadují účely zpracování osobních údajů, ledaže by doba pro uchovávání osobních údajů byla stanovena federálním zákonem, na základě kterého subjektem osobních údajů je strana, příjemce nebo ručitel. Zpracovávané osobní údaje podléhají zničení nebo depersonalizaci při dosažení cílů zpracování nebo v případě ztráty potřeby dosáhnout těchto cílů, pokud federální zákon nestanoví jinak.

Další předpisy, které mají právní dopad v oblasti ochrany osobních údajů v organizacích bankovního sektoru Ruské federace, jsou:

Federální zákon Ruské federace ze dne 27. července 2006 č. 149 FZ „O informacích, informačních technologiích a ochraně informací“;

zákoník práce Ruské federace (kapitola 14);

Nařízení vlády Ruské federace ze dne 1. listopadu 2012 č. 1119 „O schválení požadavků na ochranu osobních údajů při jejich zpracování v informačních systémech osobních údajů“;

Nařízení FSTEC Ruska ze dne 18. února 2013 č. 21 „O schválení Složení a obsahu organizačních a technických opatření k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“.

Zvažte hlavní definice používané v legislativě.

Osobní údaje - veškeré informace týkající se přímo či nepřímo identifikované nebo identifikovatelné fyzické osoby (předmět osobních údajů).

Provozovatel osobních údajů - státní orgán, orgán obce, právnická nebo fyzická osoba, samostatně nebo společně s jinými osobami organizující a (nebo) provádějící zpracování osobních údajů, jakož i určování účelů zpracování osobních údajů, složení osobních údajů údaje ke zpracování, úkony (operace) prováděné s osobními údaji;

Zpracování osobních údajů - jakákoli akce (operace) nebo soubor úkonů (operací) prováděné s použitím nebo bez použití automatizačních nástrojů s osobními údaji, včetně shromažďování, zaznamenávání, systematizace, shromažďování, ukládání, vyjasňování (aktualizace, změny), vytěžování , použití, přenos (distribuce, poskytování, přístup), depersonalizace, blokování, výmaz, zničení osobních údajů;

Automatizované zpracování osobních údajů - zpracování osobních údajů pomocí výpočetní techniky;

Šíření osobních údajů - akce směřující ke zpřístupnění osobních údajů neurčitému okruhu osob;

Poskytování osobních údajů - úkony zaměřené na zpřístupnění osobních údajů určité osobě nebo určitému okruhu osob;

Blokování osobních údajů - dočasné pozastavení zpracování osobních údajů (pokud zpracování není nezbytné k upřesnění osobních údajů);

Zničení osobních údajů - úkony, v jejichž důsledku znemožní obnovení obsahu osobních údajů v informačním systému osobních údajů a (nebo) v jejichž důsledku dojde ke zničení hmotných nosičů osobních údajů;

Depersonalizace osobních údajů – úkony, v jejichž důsledku není možné bez použití dalších informací určit vlastnictví osobních údajů konkrétním subjektem osobních údajů;

Informační systém osobních údajů - soubor osobních údajů obsažených v databázích a informačních technologiích a technických prostředcích, které zajišťují jejich zpracování;

Přeshraniční přenos osobních údajů - předání osobních údajů na území cizího státu orgánu cizího státu, zahraniční fyzické osobě nebo zahraniční právnické osobě.

Biometrické osobní údaje - informace, které charakterizují fyziologické a biologické vlastnosti osoby, na základě kterých je možné zjistit její totožnost (biometrické osobní údaje) a které slouží provozovateli k identifikaci subjektu osobních údajů.

Zabezpečení osobních údajů - stav ochrany osobních údajů, charakterizovaný schopností uživatelů, technických prostředků a informačních technologií zajistit důvěrnost, integritu a dostupnost osobních údajů při jejich zpracování v informačních systémech osobních údajů

1.2 Klasifikace ohrožení informační bezpečnosti osobních údajů.

Hrozba informační bezpečnosti je chápána jako hrozba narušení vlastností informační bezpečnosti – dostupnosti, integrity nebo důvěrnosti informačních aktiv organizace.

Seznam hrozeb, vyhodnocení pravděpodobnosti jejich implementace a také model narušitele slouží jako základ pro analýzu rizik hrozeb a formulování požadavků na automatizovaný systém ochrany systému. Kromě identifikace možných hrozeb je nutné identifikované hrozby analyzovat na základě jejich klasifikace podle řady charakteristik. Hrozby odpovídající každému prvku klasifikace umožňují upřesnit požadavek, který tato funkce odráží.

Vzhledem k tomu, že informace uložené a zpracovávané v moderních AS jsou vystaveny extrémně velkému počtu faktorů, je nemožné formalizovat úkol popsat celou sadu hrozeb. U chráněného systému se proto obvykle neurčuje seznam hrozeb, ale seznam tříd hrozeb.

Klasifikace možných hrozeb pro informační bezpečnost AS může být provedena podle následujících základních znaků:

Podle povahy výskytu:

Přírodní hrozby způsobené dopadem objektivních fyzikálních procesů nebo přírodních katastrof na JE;

Umělá ohrožení bezpečnosti JE způsobená lidskou činností.

Podle stupně záměrnosti projevu:

Hrozby způsobené lidskou chybou nebo nedbalostí, jako je zneužití ochranných prostředků, nedbalost při nakládání s daty;

Hrozby úmyslného jednání, jako je hackování automatizovaného systému vetřelci, zničení dat zaměstnanci organizace za účelem odvety vůči zaměstnavateli.

Podle bezprostředního zdroje hrozeb:

Přírodní katastrofy, jako jsou přírodní katastrofy, katastrofy způsobené člověkem;

Lidské hrozby, například: zničení informací, prozrazení důvěrných údajů;

Povolený firmware, jako je fyzické selhání hardwaru, softwarové chyby, softwarové konflikty;

Neautorizovaný software a hardware, například zavedení hardwarových chyb, softwarových chyb.

Podle pozice zdroje ohrožení:

Mimo řízenou oblast, například odposlech dat přenášených komunikačními kanály;

O v kontrolovaném prostoru, například neoprávněné kopírování informací, neoprávněný přístup do chráněného prostoru;

Přímo v automatizovaném systému například nesprávné využití prostředků AS.

Podle stupně závislosti na aktivitě AS:

Bez ohledu na činnost AU např. fyzické krádeže paměťových médií;

Pouze při zpracování dat, jako je napadení malwarem.

Podle stupně dopadu na AC:

Nebezpečné hrozby, které po implementaci nic nemění na struktuře a obsahu AS, například hrozba zkopírování tajných dat;

Aktivní hrozby, které při odhalení provádějí změny ve struktuře a obsahu AS, například mazání dat, jejich modifikace.

Podle fází přístupu uživatelů nebo programů ke zdrojům:

Hrozby, které se projevují ve fázi přístupu ke zdrojům AS, například: hrozby neoprávněného přístupu k AS;

Hrozby, které se objeví po povolení přístupu k prostředkům AS, například nesprávné použití prostředků AS.

Prostřednictvím přístupu ke zdrojům AS:

Hrozby prováděné pomocí standardní přístupové cesty ke zdrojům AS

Hrozby prováděné pomocí skryté nestandardní přístupové cesty ke zdrojům AS, například: neoprávněný přístup ke zdrojům AS pomocí nezdokumentovaných funkcí instalovaného softwaru.

Podle aktuálního umístění informací uložených a zpracovávaných v AS:

Hrozby přístupu k informacím umístěným na externích úložných zařízeních, například: kopírování důvěrných informací z úložných médií;

Hrozby přístupu k informacím umístěným v RAM, například: čtení zbytkových informací z RAM, přístup do systémové oblasti RAM aplikačními programy;

Hrozby přístupu k informacím kolujícím na komunikačních linkách, např.: nelegální připojení ke komunikačním linkám za účelem odstranění informací, zasílání upravených dat;

Nebezpečné dopady na automatizovaný systém se dělí na náhodné a úmyslné.

Příčiny náhodných dopadů během provozu JE mohou být:

Mimořádné události v důsledku přírodních katastrof a výpadků elektřiny;

Odepření služeb;

Softwarové chyby;

Chyby v práci servisního personálu a uživatelů;

Rušení komunikačních linek vlivem okolních vlivů.

Využití chyb v softwaru je nejčastějším způsobem narušení informační bezpečnosti informačních systémů. V závislosti na složitosti softwaru se počet chyb zvyšuje. Útočníci mohou tyto zranitelnosti najít a jejich prostřednictvím získat přístup do informačního systému organizace. Pro minimalizaci těchto hrozeb je nutné udržovat verze softwaru stále aktuální.

Úmyslné hrozby jsou spojeny s cílenými akcemi narušitelů. Útočníci se dělí na dva typy: interní útočník a externí útočník. Interní narušitel se dopustí nezákonného jednání, když se nachází v kontrolované zóně automatizovaného systému a může využít úřední oprávnění pro oprávněný přístup do automatizovaného systému. Externí útočník nemá přístup do kontrolované zóny, ale může jednat současně s interním útočníkem, aby dosáhl svých cílů.

Existují tři hlavní hrozby pro bezpečnost informací zaměřené přímo na chráněné informace:

Porušení důvěrnosti – důvěrné informace se nemění, ale stávají se dostupnými třetím stranám, které nemají přístup k těmto informacím. Když je tato hrozba realizována, existuje vysoká pravděpodobnost, že útočník prozradí ukradené informace, což může vést k finanční újmě nebo poškození pověsti. Narušení integrity chráněných informací – zkreslení, změna nebo zničení informací. Integrita informací může být narušena nikoli úmyslně, ale v důsledku nekompetence nebo nedbalosti zaměstnance podniku. Integritu může útočník také narušit, aby dosáhl svých vlastních cílů. Například změna údajů o účtu v automatizovaném bankovním systému za účelem převodu finančních prostředků na účet útočníka nebo nahrazení osobních údajů klienta organizace za účelem získání informací o spolupráci klienta s organizací.

Porušení dostupnosti chráněných informací nebo odmítnutí služby – akce, při kterých oprávněný uživatel nemůže získat přístup k chráněným informacím z takových důvodů, jako jsou: selhání hardwaru, softwaru, selhání místní sítě.

Po zvážení hrozeb automatizovaných systémů můžete přistoupit k analýze hrozeb pro informační systém osobních údajů.

Informační systém osobních údajů - soubor osobních údajů obsažených v databázích a informačních technologiích a technických prostředcích, které zajišťují jejich zpracování.

Informační systémy osobních údajů jsou souborem informačních a softwarových a hardwarových prvků, jakož i informačních technologií používaných při zpracování osobních údajů.

Hlavní prvky ISPD jsou:

Osobní údaje obsažené v databázích;

Informační technologie používané při zpracování PD;

Technické prostředky, které zpracovávají osobní údaje (počítačová zařízení, informační a počítačové systémy a sítě, prostředky a systémy pro přenos, příjem a zpracování osobních údajů, prostředky a systémy pro záznam zvuku, zesilování zvuku, reprodukci zvuku, prostředky pro výrobu, replikaci dokumentů a další technické prostředky zpracování řečových, grafických, video a alfanumerických informací);

Software (operační systémy, systémy správy databází atd.);

Prostředky ochrany informací ISPDn;

Pomocné technické prostředky a systémy - technické prostředky a systémy, jejich komunikace, které nejsou určeny ke zpracování osobních údajů, ale nacházejí se v prostorách, ve kterých se ISPD nachází.

Ohrožení zabezpečení osobních údajů – soubor podmínek a faktorů, které vytvářejí nebezpečí neoprávněného, ​​včetně nahodilého, přístupu k osobním údajům, který může mít za následek zničení, úpravu, blokování, kopírování, šíření osobních údajů, jakož i jiným neoprávněným úkonům při jejich zpracování v informačním systému osobních údajů.

Mezi charakteristiky informačního systému osobních údajů, které způsobují vznik UBPD, patří kategorie a objem osobních údajů zpracovávaných v informačním systému osobních údajů, struktura informačního systému osobních údajů, přítomnost připojení ISPD na veřejné komunikační sítě a (nebo) mezinárodní sítě výměny informací, charakteristika subsystému zabezpečení osobních údajů zpracovávaných v ISPD, způsoby zpracování osobních údajů, způsoby rozlišení přístupových práv uživatelů ISPD, umístění a podmínky umístění technických prostředků ISPD.

Vlastnosti prostředí šíření informativních signálů obsahujících chráněné informace jsou charakterizovány typem fyzického prostředí, ve kterém je PD distribuován a jsou určeny při posuzování možnosti implementace UBPD. Schopnosti zdrojů UBPD jsou určovány kombinací metod neoprávněného a (nebo) náhodného přístupu k PD, v důsledku čehož může důvěrnost (kopírování, nelegální šíření), integrita (zničení, modifikace) a dostupnost (blokování) PD být porušen.

Ohrožení bezpečnosti osobních údajů je realizováno v důsledku vytvoření kanálu pro implementaci UBPD mezi zdrojem ohrožení a nositelem (zdrojem) PD, což vytváří podmínky pro narušení bezpečnosti PD.

Hlavní prvky implementačního kanálu UBPD (obrázek 1) jsou:

Zdroj UBPD - subjekt, hmotný objekt nebo fyzikální jev, který vytváří UBPD;

prostředí distribuce PD nebo vlivy, ve kterých se fyzické pole, signál, data nebo programy mohou šířit a ovlivňovat chráněné vlastnosti osobních údajů;

Nosič osobních údajů - jedinec nebo hmotný předmět, včetně fyzikálního pole, ve kterém se PD odrážejí ve formě symbolů, obrazů, signálů, technických řešení a procesů, kvantitativních charakteristik fyzikálních veličin.

Obrázek 1. Zobecněné schéma kanálu pro implementaci hrozeb pro bezpečnost osobních údajů

PD nosiče mohou obsahovat informace prezentované v následujících formách:

Akustické (řečové) informace obsažené přímo v mluvené řeči uživatele ISPD, když plní funkci hlasového zadávání OÚ v informačním systému osobních údajů, nebo reprodukované akustickými prostředky ISPD (pokud tyto funkce zajišťuje technologie zpracování OÚ). ), jakož i obsažené v elektromagnetických polích a elektrických signálech, které vznikají v důsledku transformace akustické informace;

Zobrazit informace (VI) prezentované ve formě textu a obrázků různých informačních zobrazovacích zařízení výpočetní techniky, informačních a výpočetních systémů, technických prostředků pro zpracování grafických, video a alfanumerických informací, které jsou součástí ISPD;

Informace zpracovávané (obíhající) v ISPD ve formě elektrických, elektromagnetických, optických signálů;

Informace zpracované v ISPD, prezentované ve formě bitů, bajtů, souborů a dalších logických struktur.

Aby bylo možné vytvořit systematický seznam UBPD při jejich zpracování v ISPD a vývoji soukromých modelů na jejich základě ve vztahu ke konkrétnímu typu ISPD, jsou hrozby klasifikovány podle následujících znaků (obrázek 2):

Podle typu informací chráněných před UBPD obsahujících PD;

Podle typů možných zdrojů UBPD;

Podle typu ISPD, ke kterému směřuje implementace UBPD;

Podle způsobu implementace UBPD;

Podle typu vlastnosti porušované informace (typ neoprávněných akcí prováděných s PD);

Využitím zranitelnosti;

Podle objektu vlivu.

Podle typů možných zdrojů UBPD se rozlišují následující

Třídy ohrožení:

Hrozby spojené s úmyslným či neúmyslným jednáním osob majících přístup k ISPD, včetně uživatelů informačního systému osobních údajů, realizujících hrozby přímo v ISPD (interní narušitel);

Hrozby spojené s úmyslným nebo neúmyslným jednáním osob, které nemají přístup k ISPD, implementace hrozeb z externích veřejných komunikačních sítí a (nebo) mezinárodních sítí pro výměnu informací (externí narušitel).

Kromě toho mohou hrozby pocházet ze zavedení hardwarových chyb a malwaru.

Podle typu ISPD, na který je implementace UBPD zaměřena, se rozlišují následující třídy hrozeb:

UBPD zpracovávané v ISPD na základě autonomní pracovní stanice (AWP);

UBPD zpracovávané v ISPD na bázi automatizovaného pracoviště napojeného na veřejnou síť (na síť mezinárodní výměny informací);

UBPD zpracovávané v ISPD na bázi lokálních informačních systémů bez napojení na veřejnou síť (na síť mezinárodní výměny informací);

UBPD zpracovávané v ISPD na bázi lokálních informačních systémů s napojením na veřejnou síť (na síť mezinárodní výměny informací);

UBPD zpracovávané v ISPD na bázi distribuovaných informačních systémů bez napojení na veřejnou síť (na síť mezinárodní výměny informací);

UBPD zpracovávané v ISPD na bázi distribuovaných informačních systémů napojených na veřejnou síť (do sítě mezinárodní výměny informací).

Podle metod implementace UBPD se rozlišují následující třídy hrozeb:

Hrozby spojené s UA až PD (včetně hrozeb zavlečení malwaru);

Hrozby úniku osobních údajů prostřednictvím technických kanálů úniku informací;

Hrozby zvláštních dopadů na ISPD.

Podle typu neoprávněných akcí prováděných s PD se rozlišují následující třídy hrozeb:

Výhrůžky, které vedou k porušení důvěrnosti PD (kopírování nebo neoprávněné šíření), jehož realizace nemá přímý vliv na obsah informací;

Hrozby, které vedou k neoprávněnému, včetně náhodnému, dopadu na obsah informací, v jehož důsledku dochází ke změně nebo zničení PD;

Hrozby, které vedou k neoprávněnému, včetně náhodnému, dopadu na softwarové nebo hardwarově-softwarové prvky ISPD, v důsledku čehož je PD zablokováno.

Podle zneužité zranitelnosti se rozlišují následující třídy hrozeb:

Hrozby implementované pomocí zranitelností systémového softwaru;

Hrozby implementované pomocí zranitelností aplikačního softwaru;

Hrozby vyplývající z použití zranitelnosti způsobené přítomností hardwarové karty v AS;

Hrozby implementované pomocí zranitelností v síťových komunikačních protokolech a kanálech přenosu dat;

Hrozby vyplývající ze zneužití zranitelnosti způsobené nedostatky v organizaci VBI ze strany NSD;

Hrozby implementované pomocí zranitelností, které způsobují přítomnost technických kanálů pro únik informací;

Hrozby implementované pomocí zranitelností informační bezpečnosti.

Podle předmětu vlivu se rozlišují následující třídy hrozeb:

Ohrožení bezpečnosti PD zpracovávaných na pracovišti;

Ohrožení bezpečnosti PD zpracovávaných ve vyhrazených zpracovatelských nástrojích (tiskárny, plotry, plotry, vzdálené monitory, videoprojektory, nástroje pro reprodukci zvuku atd.);

Ohrožení bezpečnosti PD přenášených komunikačními sítěmi;

Hrozby pro aplikační programy, které zpracovávají PD;

Ohrožení systémového softwaru, který zajišťuje fungování ISPD.

Implementace jednoho z UBPD uvedených tříd nebo jejich kombinace může vést k následujícím typům důsledků pro subjekty s PD:

Významné negativní důsledky pro subjekty PD;

Negativní důsledky pro subjekty s PD;

Nevýznamné negativní důsledky pro subjekty PD.

Hrozby úniku osobních údajů technickými kanály jsou jednoznačně popsány vlastnostmi informačního zdroje, média distribuce a příjemce informačního signálu, tedy jsou určeny vlastnostmi technického kanálu úniku PD.

Hrozby s neoprávněným přístupem (UAH) jsou prezentovány jako soubor zobecněných tříd možných zdrojů hrozeb UA, zranitelnosti softwaru a hardwaru ISPD, metody implementace hrozeb, objekty vlivu (chráněné nosiče informací, adresáře, adresáře, soubory s PD nebo PDN ) a možné destruktivní akce. Takovou reprezentaci popisuje následující formalizovaný zápis (obr. 2).

1.3 Obecná charakteristika zdrojů hrozeb v informačních systémech osobních údajů

Hrozby pro UA v ISPD s použitím softwaru a softwaru a hardwaru jsou implementovány, když je proveden neoprávněný, včetně náhodného přístupu, v důsledku čehož je narušena důvěrnost, integrita a dostupnost PD, a zahrnují:

Hrozby neoprávněného přístupu k operačnímu prostředí počítače pomocí standardního softwaru (nástroje operačního systému nebo obecné aplikační programy);

Hrozbou vytvoření abnormálních provozních režimů softwaru (softwaru a hardwaru) se rozumí v důsledku záměrných změn v servisních datech, ignorování omezení složení a vlastností zpracovávaných informací stanovených v běžných podmínkách, zkreslení (úprava) samotných dat, atd.;

Obrázek 2 Klasifikace UBPD zpracovávaných v informačních systémech osobních údajů

Hrozby zavlečení škodlivých programů (softwarově-matematický dopad).

Složení prvků popisu ohrožení informací UA v ISPD je uvedeno na obrázku 3.

Kromě toho jsou možné kombinované hrozby, které jsou kombinací těchto hrozeb. Například v důsledku zavádění škodlivých programů mohou být vytvořeny podmínky pro neoprávněný přístup do operačního prostředí počítače, a to i prostřednictvím vytváření netradičních kanálů pro přístup k informacím.

Hrozby neoprávněného přístupu do operačního prostředí ISPD pomocí standardního softwaru se dělí na hrozby přímým a vzdáleným přístupem. Hrozby přímého přístupu se provádějí pomocí softwaru a firmwaru I/O počítače. Hrozby vzdáleného přístupu jsou implementovány pomocí síťových komunikačních protokolů.

Tyto hrozby jsou ve vztahu k ISPD implementovány jak na bázi automatizovaného pracoviště, které není součástí veřejné komunikační sítě, tak ve vztahu ke všem ISPD, které jsou napojeny na veřejné komunikační sítě a mezinárodní sítě výměny informací.

Obrázek 3 Klasifikace UBPD zpracovávaných v informačních systémech osobních údajů

1.3.1 Obecný popis zdrojů ohrožení neoprávněným přístupem do informačního systému osobních údajů.

Zdroje hrozeb v informačním systému osobních údajů mohou být:

Vetřelec;

Přenašeč škodlivého programu;

Hardwarová záložka.

Bezpečnostní hrozby PD spojené se zaváděním hardwarových chyb jsou stanoveny v souladu s regulačními dokumenty Federální bezpečnostní služby Ruské federace způsobem jí stanoveným.

Podle přítomnosti práva trvalého nebo jednorázového přístupu do kontrolovaného pásma ISPD se porušovatelé dělí na dva typy:

Porušovatelé, kteří nemají přístup k ISPD, uvědomují si hrozby z externích veřejných komunikačních sítí a (nebo) mezinárodních sítí pro výměnu informací, jsou externími porušovateli;

Porušovatelé, kteří mají přístup k ISPD, včetně uživatelů ISPD, kteří implementují hrozby přímo do ISPD, jsou interními porušovateli.

Externí vetřelci mohou být:

Soutěžící organizace;

bezohlední partneři;

Externí subjekty (jednotlivci).

Externí narušitel má následující možnosti:

Provádět neoprávněný přístup ke komunikačním kanálům, které jdou mimo kancelářské prostory;

Provádět neoprávněný přístup prostřednictvím pracovních stanic připojených k veřejným komunikačním sítím a (nebo) mezinárodním sítím pro výměnu informací;

Provádět neoprávněný přístup k informacím pomocí speciálních softwarových akcí prostřednictvím softwarových virů, malwaru, algoritmů nebo softwarových záložek;

Provádět neoprávněný přístup prostřednictvím prvků informační infrastruktury informačním systémem osobních údajů, které se v průběhu svého životního cyklu (modernizace, údržba, oprava, likvidace) nacházejí mimo kontrolovanou oblast;

Provádět neoprávněný přístup prostřednictvím informačních systémů spolupracujících oddělení, organizací a institucí, pokud jsou napojeny na ISPD.

Vnitřní potenciální narušitelé jsou rozděleni do osmi kategorií v závislosti na způsobu přístupu a oprávnění k přístupu k PD.

První kategorie zahrnuje osoby, které mají oprávněný přístup k ISPD, ale nemají přístup k PD. Tento typ pachatelů zahrnuje úředníky, kteří zajišťují normální fungování ISPD.

Mít přístup k fragmentům informací obsahujících PD a distribuovaných prostřednictvím interních komunikačních kanálů ISPD;

Mít útržky informací o topologii ISPD ao používaných komunikačních protokolech a jejich službách;

Mít jména a provádět identifikaci hesel registrovaných uživatelů;

Změňte konfiguraci hardwaru ISPD, zadejte do něj softwarové a hardwarové záložky a poskytněte vyhledávání informací pomocí přímého připojení k hardwaru ISPD.

Má všechny schopnosti osob první kategorie;

Zná alespoň jedno legální přístupové jméno;

Má všechny potřebné atributy, které poskytují přístup k určité podmnožině PD;

Má důvěrná data, ke kterým má přístup.

Jeho přístup, autentizace a přístupová práva k určité podmnožině PD by měla být upravena příslušnými pravidly řízení přístupu.

Má všechny schopnosti osob první a druhé kategorie;

Má informace o topologii ISPD založené na místním a (nebo) distribuovaném informačním systému, jehož prostřednictvím je poskytován přístup, a o složení technických prostředků ISPD;

Má možnost přímého (fyzického) přístupu k fragmentům technických prostředků ISPD.

Má úplné informace o systému a aplikačním softwaru používaném v segmentu ISPD (fragment);

Má úplné informace o technických prostředcích a konfiguraci segmentu ISPD (fragment);

Má přístup k nástrojům zabezpečení informací a protokolování a také k jednotlivým prvkům používaným v segmentu ISPD (fragment);

Má přístup ke všem technickým prostředkům segmentu ISPD (fragment);

Má práva konfigurovat a spravovat určitou podmnožinu technických prostředků segmentu ISPD (fragment).

Pravomoci správce systému ISPD.

Má všechny schopnosti osob předchozích kategorií;

Má úplné informace o systému a aplikačním softwaru ISPD;

Má úplné informace o technických prostředcích a konfiguraci ISPD;

Má přístup ke všem technickým prostředkům zpracování informací a údajům ISPD;

Vlastní práva konfigurace a administrativního nastavení technických prostředků ISPD.

Správce systému konfiguruje a spravuje software a zařízení, včetně zařízení odpovědných za bezpečnost chráněného objektu: prostředky ochrany kryptografických informací, sledování, evidence, archivace, ochrana před neoprávněným přístupem.

Má všechny schopnosti osob předchozích kategorií;

Vlastní úplné informace o ISPD;

Má přístup k nástrojům zabezpečení informací a protokolování ak některým klíčovým prvkům ISPD;

Nemá žádná přístupová práva ke konfiguraci síťového hardwaru, kromě kontrolních (kontrolních).

Vlastní informace o algoritmech a programech pro zpracování informací o ISPD;

Má schopnost zavádět chyby, nedeklarované funkce, softwarové záložky, malware do softwaru ISPD ve fázi jeho vývoje, implementace a údržby;

Může mít libovolné fragmenty informací o topologii ISPD a technických prostředcích zpracování a ochrany PD zpracovaných v ISPD.

Má schopnost vytvářet záložky v technických prostředcích ISPD ve fázi jejich vývoje, implementace a údržby;

Může mít libovolné fragmenty informací o topologii ISPD a technických prostředcích zpracování a ochrany informací v ISPD.

Nosičem škodlivého programu může být hardwarový prvek počítače nebo softwarový kontejner. Pokud škodlivý program není spojen s žádným aplikačním programem, pak se za jeho nosiče považují následující:

Zcizitelná média, tj. disketa, optický disk, flash paměť;

Vestavěná paměťová média (pevné disky, čipy RAM, procesor, čipy základní desky, čipy zařízení zabudovaných v systémové jednotce - video adaptér, síťová karta, zvuková karta, modem, vstupní/výstupní zařízení magnetických pevných a optických jednotek, napájecí zdroj atd. .p., čipy s přímým přístupem do paměti, datové sběrnice, vstupní/výstupní porty);

Čipy externích zařízení (monitor, klávesnice, tiskárna, modem, skener atd.).

Pokud je škodlivý program spojen s jakýmkoli aplikačním programem, se soubory, které mají určité přípony nebo jiné atributy, se zprávami přenášenými po síti, pak jsou jeho nositeli:

Balíčky zpráv přenášené přes počítačovou síť;

Soubory (textové, grafické, spustitelné atd.).

1.3.2 Obecná charakteristika hrozeb přímého přístupu do provozního prostředí informačního systému osobních údajů

Hrozby neoprávněného přístupu do operačního prostředí počítače a neoprávněného přístupu k PD jsou spojeny s přístupem k:

Na informace a příkazy uložené v základním I/O systému ISPD s možností zachycení kontroly načítání operačního systému a získání práv důvěryhodného uživatele;

V operačním prostředí, tedy v prostředí fungování lokálního operačního systému samostatného technického prostředku ISPD s možností provádění neoprávněného přístupu voláním běžných programů operačního systému nebo spouštěním speciálně navržených programů, které takové akce realizují ;

Do prostředí pro fungování aplikačních programů (například do lokálního systému správy databází);

Přímo k uživatelským informacím (k souborům, textovým, zvukovým a grafickým informacím, polím a záznamům v elektronických databázích) a jsou podmíněny možností porušení jejich důvěrnosti, integrity a dostupnosti.

Tyto hrozby lze realizovat v případě získání fyzického přístupu k ISPD nebo alespoň k prostředkům pro zadávání informací do ISPD. Lze je seskupit podle podmínek implementace do tří skupin.

Do první skupiny patří hrozby implementované během načítání operačního systému. Tyto hrozby informační bezpečnosti jsou zaměřeny na zachycení hesel nebo identifikátorů, úpravu softwaru základního vstupně/výstupního systému, zachycení kontroly stahování se změnou nezbytných technologických informací pro příjem UA v operačním prostředí ISPD. Nejčastěji jsou takové hrozby implementovány pomocí odcizených médií.

Druhou skupinou jsou hrozby, které jsou implementovány po načtení operačního prostředí bez ohledu na to, jaký aplikační program je uživatelem spuštěn. Tyto hrozby jsou obvykle zaměřeny na provedení přímého neoprávněného přístupu k informacím. Při získávání přístupu do operačního prostředí může útočník použít jak standardní funkce operačního systému nebo některého veřejného aplikačního programu (například systémy pro správu databází), tak programy speciálně vytvořené pro provádění neoprávněného přístupu, například:

Prohlížeče registru a úpravy;

Programy pro vyhledávání textů v textových souborech podle klíčových slov a kopírování;

Speciální programy pro prohlížení a kopírování záznamů v databázích;

Programy pro rychlé prohlížení grafických souborů, jejich úpravu nebo kopírování;

Programy na podporu možností rekonfigurace softwarového prostředí (nastavení ISPD v zájmu pachatele).

Konečně do třetí skupiny patří hrozby, jejichž implementace je dána tím, který z aplikačních programů je spuštěn uživatelem, případně tím, že je spuštěn některý z aplikačních programů. Většina z těchto hrozeb jsou hrozby injekce malwaru.

1.3.3 Obecná charakteristika bezpečnostních hrozeb pro osobní údaje realizovaných pomocí mezisíťových protokolů

Je-li ISPD implementován na bázi lokálního nebo distribuovaného informačního systému, lze v něm implementovat hrozby informační bezpečnosti pomocí mezisíťových protokolů. Zároveň lze poskytnout NSD do PD nebo realizovat hrozbu odepření služby. Hrozby jsou zvláště nebezpečné, pokud je ISPD distribuovaný informační systém napojený na veřejné sítě a (nebo) sítě mezinárodní výměny informací. Klasifikační schéma hrozeb implementovaných přes síť je znázorněno na obrázku 4. Je založeno na následujících sedmi primárních klasifikačních vlastnostech.

Obrázek 4 Klasifikační schéma hrozeb pomocí mezisíťových protokolů

1. Povaha hrozby. Na tomto základě mohou být hrozby pasivní a aktivní. Pasivní hrozba je hrozba, jejíž realizace nemá přímý vliv na provoz ISPD, ale může dojít k porušení stanovených pravidel pro omezení přístupu k PD nebo síťovým zdrojům. Příkladem takových hrozeb je hrozba „Analýza síťového provozu“, která je zaměřena na naslouchání komunikačním kanálům a zachycení přenášených informací. Aktivní hrozba je hrozba spojená s dopadem na zdroje ISPD, jejíž implementace přímo ovlivňuje provoz systému (změna konfigurace, narušení výkonu apod.), a v rozporu se stanovenými pravidly pro omezení přístupu k PD popř. síťové zdroje. Příkladem takových hrozeb je hrozba Denial of Service, uváděná na trh jako „bouře požadavků TCP“.

2. Účel realizace hrozby. Na tomto základě mohou být hrozby zaměřeny na porušení důvěrnosti, integrity a dostupnosti informací (včetně narušení provozuschopnosti ISPD nebo jeho prvků).

3. Podmínka pro zahájení procesu realizace hrozby. Na tomto základě lze realizovat hrozbu:

Na žádost objektu, proti kterému je hrozba implementována. V tomto případě narušitel čeká na přenos požadavku určitého typu, který bude podmínkou pro zahájení neoprávněného přístupu;

Při výskytu očekávané události v objektu, vůči kterému je ohrožení realizováno. V tomto případě narušitel neustále sleduje stav operačního systému ISPD a pokud v tomto systému dojde k určité události, začne neoprávněný přístup;

Bezpodmínečný dopad. V tomto případě je začátek implementace neoprávněného přístupu bezpodmínečný ve vztahu k účelu přístupu, to znamená, že ohrožení je realizováno okamžitě a bez ohledu na stav systému.

4. Dostupnost zpětné vazby od ISPD. Na tomto základě může být proces implementace hrozby se zpětnou vazbou nebo bez ní. Hrozba, prováděná za přítomnosti zpětné vazby z informačního systému osobních údajů, se vyznačuje tím, že některé žádosti předané ISPD vyžadují, aby porušovatel obdržel odpověď. V důsledku toho existuje zpětná vazba mezi porušovatelem a informačním systémem osobních údajů, která porušovateli umožňuje adekvátně reagovat na všechny změny, ke kterým v ISPD dochází. Na rozdíl od hrozeb realizovaných za přítomnosti zpětné vazby z informačního systému osobních údajů se při implementaci hrozeb bez zpětné vazby nevyžaduje reagovat na případné změny v ISPD.

5. Umístění narušitele vzhledem k ISPD. V souladu s tímto znakem je ohrožení realizováno jak uvnitř segmentu, tak i mezi segmentem.

Segment sítě – fyzické sdružení hostitelů (ISPD hardware nebo komunikační prvky mající síťovou adresu). Například segment informačního systému osobních údajů tvoří sadu hostitelů připojených k serveru podle schématu „společné sběrnice“. V případě, že existuje vnitrosegmentová hrozba, má narušitel fyzický přístup k hardwarovým prvkům ISPD. Pokud existuje mezisegmentová hrozba, pak se pachatel nachází mimo ISPD, hrozbu si uvědomuje z jiné sítě nebo z jiného segmentu informačního systému osobních údajů.

6. Úroveň referenčního modelu interakce otevřených systémů (ISO/OSI), na kterém je hrozba implementována. Na tomto základě lze hrozbu implementovat na fyzické úrovni, na úrovni kanálu, sítě, přenosu, relace, prezentace a aplikace modelu ISO/OSI.

7. Poměr počtu narušitelů a prvků ISPD, proti kterým je hrozba realizována. Na tomto základě lze hrozbu klasifikovat jako hrozbu realizovanou jedním narušitelem proti jednomu technickému nástroji ISPD („one-to-one“ hrozba), proti několika technickým prostředkům ISPD najednou („one-to-many“ hrozba) popř. několika narušiteli z různých počítačů ve vztahu k jednomu nebo několika technickým prostředkům ISPD (distribuované nebo kombinované hrozby).

S ohledem na provedenou klasifikaci rozlišujeme hlavní typy útoků na informační systém osobních údajů:

1. Analýza síťového provozu.

Tato hrozba je implementována pomocí speciálního softwaru pro sledování paketů, který zachycuje všechny pakety přenášené přes segment sítě a vyčleňuje z nich ty, ve kterých se přenáší uživatelské ID a heslo. Během implementace hrozby narušitel studuje logiku sítě - to znamená, že se snaží získat vzájemnou shodu mezi událostmi vyskytujícími se v systému a příkazy odeslanými hostiteli v době výskytu tyto události. V budoucnu to útočníkovi umožňuje na základě přiřazení příslušných příkazů získat privilegovaná práva jednat v systému nebo v něm rozšířit své pravomoci, zachytit proud přenášených dat vyměňovaných mezi komponentami síťového operačního systému v pořadí k extrakci důvěrných nebo identifikačních informací, jejich náhradě a úpravě.

2. Skenování sítě.

Podstatou procesu implementace hrozeb je zasílat požadavky síťovým službám hostitelů ISPD a analyzovat jejich odpovědi. Cílem je identifikace používaných protokolů, dostupných portů síťových služeb, zákonů pro tvorbu identifikátorů připojení, definice aktivních síťových služeb, výběr uživatelských identifikátorů a hesel.

3. Hrozba odhalení hesla.

Účelem implementace hrozby je získat UA překonáním ochrany heslem. Útočník může implementovat hrozbu pomocí různých metod, jako je jednoduchá hrubá síla, hrubá síla pomocí speciálních slovníků, instalace malwaru k zachycení hesla, falšování důvěryhodného síťového objektu a sniffování paketů. V zásadě se k implementaci hrozby používají speciální programy, které se snaží získat přístup k hostiteli postupným hádáním hesel. V případě úspěchu si útočník může vytvořit vstupní bod pro budoucí přístup, který zůstane v platnosti, i když se na hostiteli změní přístupové heslo.

4. Náhrada důvěryhodného síťového objektu a přenos zpráv komunikačními kanály jeho jménem přidělením jeho přístupových práv.

Taková hrozba je efektivně implementována v systémech, kde se používají slabé algoritmy pro identifikaci a autentizaci hostitelů a uživatelů. Důvěryhodný objekt je síťový objekt (počítač, firewall, router atd.) legálně připojený k serveru. Lze rozlišit dvě varianty procesu implementace této hrozby: s navázáním virtuálního spojení a bez něj. Proces implementace s navázáním virtuálního připojení spočívá v přidělení práv důvěryhodnému subjektu interakce, což umožňuje narušiteli provést relaci se síťovým objektem jménem důvěryhodného subjektu. Implementace tohoto typu hrozby vyžaduje překonání systému identifikace a autentizace zpráv. Proces implementace hrozby bez navázání virtuálního spojení může probíhat v sítích, které identifikují přenášené zprávy pouze podle síťové adresy odesílatele. Podstata spočívá v přenosu servisních zpráv jménem zařízení pro řízení sítě (například jménem směrovačů) o změně směrování a adresních dat.

V důsledku implementace hrozby získá narušitel přístupová práva nastavená uživatelem pro důvěryhodného účastníka k technickému nástroji ISPD.

5. Vynucování falešné síťové trasy.

Tato hrozba je realizována jedním ze dvou způsobů: vnitrosegmentovým nebo mezisegmentovým uložením. Možnost zavedení falešné cesty je způsobena nedostatky, které jsou vlastní směrovacím algoritmům (zejména kvůli problému s identifikací zařízení pro ovládání sítě), v důsledku čehož se můžete dostat například k hostiteli nebo síti útočníka. , kde můžete vstoupit do provozního prostředí technického nástroje jako součásti ISPD . Implementace hrozby je založena na neoprávněném použití směrovacích a síťových řídicích protokolů k provádění změn ve směrovacích tabulkách. V tomto případě musí narušitel odeslat řídicí zprávu jménem síťového řídicího zařízení (například routeru).

6. Zavedení falešného síťového objektu.

Tato hrozba je založena na využívání slabých míst v algoritmech vzdáleného vyhledávání. Pokud síťové objekty zpočátku nemají o sobě informace o adrese, používají se různé protokoly vzdáleného vyhledávání, které spočívají v přenosu speciálních požadavků po síti a přijímání odpovědí na ně s požadovanými informacemi. V tomto případě je možné, že narušitel zachytí vyhledávací dotaz a vydá na něj nepravdivou odpověď, jejíž použití povede k požadované změně směrovacích a adresních údajů. V budoucnu bude veškerý tok informací spojený s objektem oběti procházet falešným objektem sítě

7. Odepření služby.

Tyto hrozby jsou založeny na chybách v síťovém softwaru, jeho zranitelnostech, které umožňují narušiteli vytvořit podmínky, kdy operační systém není schopen zpracovat příchozí pakety. Lze rozlišit několik typů takových hrozeb:

Skryté odmítnutí služby způsobené zapojením části zdrojů ISPD do zpracování paketů přenášených útočníkem se snížením šířky pásma komunikačních kanálů, výkonem síťových zařízení a porušením požadavků na dobu zpracování požadavku. Příklady implementace hrozeb tohoto druhu jsou: řízená smršť echo požadavků přes protokol ICMP, smršť požadavků na navázání TCP spojení, smršť požadavků na FTP server;

Výslovné odmítnutí služby způsobené vyčerpáním zdrojů ISPD při zpracování paketů přenášených útočníkem (obsazení celé šířky pásma komunikačních kanálů, přetečení fronty požadavků na služby), při kterém nelze legální požadavky přenášet přes síť z důvodu nedostupnosti přenosového média nebo jim byla odepřena údržba z důvodu přeplněných front požadavků, místa na disku v paměti atd. Příklady hrozeb tohoto typu jsou ICMP broadcast echo request storm, řízená bouře, bouře zpráv poštovního serveru;

Výslovné odmítnutí služby způsobené porušením logické konektivity mezi technickými prostředky ISPD, když pachatel posílá kontrolní zprávy jménem síťových zařízení, což vede ke změně směrovacích a adresních údajů nebo identifikačních a autentizačních informací;

Explicitní odmítnutí služby způsobené útočníkem přenášejícím pakety s nestandardními atributy nebo s délkou překračující maximální povolenou velikost, což může vést k selhání síťových zařízení zapojených do zpracování požadavků, za předpokladu, že se vyskytnou chyby v programech implementujících protokoly síťové výměny. . Výsledkem implementace této hrozby může být narušení výkonu odpovídající služby pro poskytování vzdáleného přístupu k PD v ISPD, přenesení z jedné adresy tolika požadavků na připojení k technickému zařízení v rámci ISPD, který dokáže zpracovat provoz v maximální možné míře, což s sebou nese přetečení fronty požadavků a výpadek jednoho ze síťových služeb nebo úplné vypnutí počítače z důvodu neschopnosti systému dělat cokoliv jiného než zpracovávat požadavky.

8.Vzdálené spouštění aplikací.

Hrozba spočívá v touze spustit na hostiteli ISPD různý dříve zabudovaný škodlivý software: záložky, viry, „síťové špiony“, jejichž hlavním účelem je narušit důvěrnost, integritu, dostupnost informací a úplnou kontrolu nad provozem hostitel. Kromě toho je možné neoprávněné spouštění uživatelských aplikačních programů pro neoprávněné získání dat nezbytných pro pachatele, pro spouštění procesů řízených aplikačním programem atd. Existují tři podtřídy těchto hrozeb:

Distribuce souborů obsahujících neautorizovaný spustitelný kód;

Vzdálené spuštění aplikace přetečením vyrovnávací paměti aplikačních serverů;

Vzdálené spuštění aplikace pomocí možností vzdálené správy systému poskytovaných skrytými kartami softwaru a hardwaru nebo pomocí standardních nástrojů.

Typické hrozby první z těchto podtříd jsou založeny na aktivaci distribuovaných souborů při náhodném přístupu. Příklady takových souborů jsou: soubory obsahující spustitelný kód ve formě maker (dokumenty Microsoft Word, Excel), html dokumenty obsahující spustitelný kód ve formě ovládacích prvků ActiveX, aplety Java, interpretované skripty (například malware JavaScript); soubory obsahující spustitelné programové kódy.

Pro distribuci souborů, e-mail, přenos souborů lze využít služeb síťového souborového systému.

Hrozby druhé podtřídy využívají nedostatky programů, které implementují síťové služby (zejména chybějící kontrola přetečení vyrovnávací paměti). Úpravou systémových registrů je někdy možné přepnout procesor po přerušení přetečení vyrovnávací paměti na provádění kódu obsaženého mimo hranici vyrovnávací paměti.

U hrozeb třetí podtřídy využívá útočník možnosti vzdáleného řízení systému poskytované skrytými komponentami nebo standardními nástroji pro správu a správu počítačových sítí. V důsledku jejich použití je možné dosáhnout vzdáleného ovládání stanice v síti. Schematicky jsou hlavní fáze práce těchto programů následující: instalace do paměti; čekání na požadavek od vzdáleného hostitele, na kterém běží klientský program, a výměna zpráv o připravenosti s ním; přenos zachycených informací klientovi nebo mu dát kontrolu nad napadeným počítačem. Možné důsledky z implementace hrozeb různých tříd jsou uvedeny v tabulce 1

Tabulka 1. Možné důsledky implementace hrozeb různých tříd

Proces realizace hrozby se obecně skládá ze čtyř fází:

Shromažďování informací;

Intruze (pronikání do operačního prostředí);

Provádění neoprávněného přístupu;

Eliminace stop neoprávněného přístupu.

Ve fázi shromažďování informací se může porušovatel zajímat o různé informace o ISPD, včetně:

O topologii sítě, ve které systém funguje. To může prozkoumat oblast kolem sítě (narušitele mohou například zajímat adresy důvěryhodných, ale méně bezpečných hostitelů). Existují nástroje pro dostupnost paralelního hostitele, které dokážou během krátké doby prohledat velkou oblast adresního prostoru a zjistit dostupnost hostitele.;

O typu operačního systému (OS) v ISPD. Způsob určení typu OS lze označit za nejjednodušší požadavek na navázání spojení přes protokol vzdáleného přístupu Telnet, v důsledku čehož lze typ OS hostitele určit podle „vzhledu“ odpovědi. Přítomnost určitých služeb může také sloužit jako další označení typu hostitelského OS;

O službách fungujících na hostitelích. Definice služeb běžících na hostiteli je založena na metodě „otevřených portů“ pro sběr informací o dostupnosti hostitele.

Ve fázi invaze se zkoumá přítomnost typických zranitelností v systémových službách nebo chyb v administraci systému. Úspěšné zneužití zranitelnosti obvykle vede k tomu, že proces útočníka získá privilegovaný režim spuštění (přístup k režimu privilegovaného spuštění procesoru), vloží do systému nelegální uživatelský účet, získá soubor s hesly nebo naruší napadený hostitel.

Tato fáze vývoje hrozby je zpravidla vícefázová. Fáze procesu implementace hrozby mohou zahrnovat například: navázání spojení s hostitelem, proti kterému je hrozba implementována; identifikace zranitelnosti; zavedení škodlivého programu v zájmu zmocnění atd.

Hrozby implementované ve fázi narušení jsou rozděleny do vrstev zásobníku protokolů TCP/IP, protože se tvoří na úrovni sítě, transportu nebo aplikace v závislosti na použitém mechanismu narušení. Mezi typické hrozby implementované na úrovni sítě a přenosu patří následující:

Hrozba zaměřená na nahrazení důvěryhodného objektu;

Hrozba zaměřená na vytvoření falešné trasy v síti;

Hrozby zaměřené na vytvoření falešného objektu pomocí nedostatků algoritmů vzdáleného vyhledávání;

Hrozby odmítnutí služby.

Mezi typické hrozby implementované na aplikační úrovni patří hrozby zaměřené na neoprávněné spouštění aplikací, hrozby, jejichž implementace je spojena se zaváděním softwarových chyb, s detekcí přístupových hesel do sítě nebo ke konkrétnímu hostiteli atd. Pokud implementace hrozby nepřinesla narušiteli nejvyšší přístupová práva v systému, jsou možné pokusy o rozšíření těchto práv na maximální možnou úroveň. K tomu lze využít zranitelnosti nejen síťových služeb, ale i zranitelnosti systémového softwaru hostitelů ISPDN.

Ve fázi implementace neoprávněného přístupu je dosaženo cíle implementace hrozby:

Porušení důvěrnosti (kopírování, nelegální šíření);

Porušení integrity (zničení, změna);

Porušení dostupnosti (blokování).

Ve stejné fázi se po těchto akcích zpravidla tvoří tzv. „zadní vrátka“ v podobě jedné ze služeb obsluhujících určitý port a vykonávajících příkazy narušitele. V systému jsou ponechána „zadní vrátka“ v zájmu zajištění: možnosti získat přístup k hostiteli, i když administrátor eliminuje zranitelnost použitou k úspěšné implementaci hrozby; schopnost přistupovat k hostiteli co nejdiskrétněji; schopnost rychle získat přístup k hostiteli (bez opakování procesu implementace hrozby). „Zadní vrátka“ umožňují útočníkovi vložit škodlivý program do sítě nebo na konkrétního hostitele, například „analyzátor hesel“ – program, který získává uživatelská ID a hesla ze síťového provozu, když jsou spuštěny protokoly na vysoké úrovni. Cíle vkládání malwaru mohou být autentizační a identifikační programy, síťové služby, jádro operačního systému, souborový systém, knihovny atd.

Konečně ve fázi eliminace stop po realizaci hrozby je učiněn pokus zničit stopy po narušitelových akcích. Tím se odstraní odpovídající položky ze všech možných protokolů auditu, včetně záznamů o skutečnosti, že byly shromážděny informace.

1.4 Charakteristika Banky a její činnosti

PJSC Citibank je finanční a úvěrová organizace bankovního systému Ruské federace, která provádí finanční transakce s penězi a cennými papíry. Banka poskytuje finanční služby fyzickým a právnickým osobám.

Hlavní činností je poskytování úvěrů právnickým a fyzickým osobám, obsluha účtů korporátních klientů, získávání finančních prostředků od obyvatelstva na vkladech, operace na devizovém a mezibankovním trhu, investice do dluhopisů a směnek.

Banka vykonává svou finanční činnost od 1. srpna 1990 na základě Všeobecné licence Bank of Russia pro bankovní činnosti č. 356.

Banka disponuje třemi informačními systémy osobních údajů:

Informační systém osobních údajů zaměstnanců Banky - umožňuje identifikovat 243 subjektů osobních údajů;

Informační systém osobních údajů systému kontroly a řízení přístupu - umožňuje identifikovat 243 subjektů osobních údajů;

Informační systém osobních údajů automatizovaného bankovního systému - umožňuje identifikovat 9681 subjektů osobních údajů.

1.5 Osobní databáze

Banka potřebuje chránit několik informačních osobních údajů najednou, a to:

Informační systém osobních údajů zaměstnanců Banky;

Informační systém osobních údajů systému kontroly a řízení přístupu;

Informační systém osobních údajů automatizovaného bankovního systému.

1.5.1 Informační systém osobních údajů zaměstnanců organizace

ISPD zaměstnanců banky slouží k výplatě mezd zaměstnancům banky, automatizaci práce zaměstnanců personálního oddělení, automatizaci práce zaměstnanců účetního oddělení banky a řešení dalších personálních a účetních záležitostí. Skládá se z databáze 1C "Mzdy a personální management", je umístěna na samostatné pracovní stanici s možností připojení k pracovišti po síti. Pracoviště se nachází v kanceláři HR oddělení. Na pracovní stanici běží operační systém Microsoft Windows XP. Na pracovní stanici není připojení k internetu.

Celé jméno;

Datum narození;

Série a číslo pasu;

Telefonní číslo;

Právo na práci se softwarem 1C "Mzdy a personální management" a databází osobních údajů mají:

Hlavní účetní;

asistent hlavního účetního;

vedoucí oddělení lidských zdrojů;

Zaměstnanec odpovědný za mzdovou agendu zaměstnanců banky.

Manuální změna dat;

1.5.2 Informační systém osobních údajů systému kontroly a řízení přístupu

Informační systém osobních údajů systému kontroly a řízení přístupu slouží k ukládání osobních údajů zaměstnanců a návštěvníků Banky, kteří mají přístup do různých prostor Banky. ISDN systému řízení a řízení přístupu využívá bezpečnostní oddělení banky. Databáze ISPD je instalována na pracovní stanici umístěné v bezpečnostní místnosti oddělení bezpečnosti. Na AWP ISPD je nainstalován operační systém Microsoft Windows 7, jako systém správy databází je použit Microsoft SQL Server 2012 DBMS. AWP ISPD nemá přístup k místní síti a také nemá přístup k internetu.

ISPD uchovává následující osobní údaje:

Celé jméno;

Fotografie zaměstnance.

Právo pracovat se systémy řízení a správy přístupu ISPDn mají:

vedoucí bezpečnostního oddělení banky;

zástupce vedoucího bezpečnostního odboru banky;

Zaměstnanci bezpečnostního oddělení banky.

Přístup na automatizované pracoviště systému kontroly a řízení přístupu má:

Správci systému pro správu pracovní stanice a softwaru 1C "Mzdy a personální management" a databáze osobních údajů;

Zaměstnanci divize odpovědní za informační bezpečnost banky spravují systém ochrany informací AWP.

V ISPD lze pro zaměstnance banky provádět následující funkce:

Automatické mazání osobních údajů;

Manuální vymazání osobních údajů;

Manuální změna dat;

Manuální přidávání osobních údajů;

Automatické vyhledávání osobních údajů.

Informační systém osobních údajů uchovává údaje, které umožňují identifikovat 243 zaměstnanců Banky.

Po dosažení cílů zpracování osobních údajů zaměstnance jsou jeho osobní údaje z ISPD vymazány.

1.5.3 Informační systém osobních údajů automatizovaného bankovního systému

Informační systém osobních údajů automatizovaného bankovního systému je navržen tak, aby automatizoval práci většiny zaměstnanců banky. Zvyšuje produktivitu zaměstnanců. Jako automatizovaný bankovní systém je využíván komplex softwarových produktů „CFT-Bank“ vyráběný skupinou společností „Centrum finančních technologií“. Jako systém správy databází se používá software Oracle. ISPD je nasazen na serveru Banky, operační systém nainstalovaný na serveru je Microsoft Windows Server 2008 R2. ISPD automatizovaného bankovního systému je připojen k místní počítačové síti banky, ale nemá přístup k internetu. Uživatelé jsou připojeni k databázi ISPD pomocí softwarových produktů CFT-Bank z vyhrazených virtuálních terminálů. Každý uživatel má v ISPD své vlastní přihlašovací jméno a heslo.

Osobní údaje zpracovávané v ISPD:

Celé jméno;

Datum narození;

Série a číslo pasu;

Telefonní číslo;

Právo pracovat se softwarem CFT-Bank a databází osobních údajů mají následující osoby:

účetní;

Úvěroví úředníci;

Pracovníci oddělení řízení rizik;

Zaměstnanci oddělení zajištění;

Osobní manažeři;

Klientští manažeři;

Bezpečnostní personál.

Přístup k pracovní stanici je umožněn:

Správci systému pro správu serveru, databáze osobních údajů a softwaru CFT-Bank;

Zaměstnanci divize odpovědní za informační bezpečnost banky spravují server, databázi osobních údajů a software CFT-Bank.

V ISPD lze pro zaměstnance banky provádět následující funkce:

Automatické mazání osobních údajů;

Manuální vymazání osobních údajů;

Manuální přidávání osobních údajů;

Manuální změna dat;

Automatické vyhledávání osobních údajů.

Informační systém osobních údajů uchovává údaje, které umožňují identifikovat 243 zaměstnanců Banky a 9 438 zákazníků Banky.

Po dosažení cílů zpracování osobních údajů zaměstnance jsou jeho osobní údaje z ISPD vymazány.

1.6 Struktura a hrozby lokální sítě Banky

Banka má síť klient-server. Název domény, ve které se nacházejí pracovní stanice uživatelů, je vitabank.ru. Celkem má banka 243 automatizovaných uživatelských pracovních stanic, dále 10 virtuálních serverů a 15 virtuálních pracovních stanic. Výkon sítě monitoruje oddělení správy systému. Síť je postavena především na síťovém zařízení Cisco. Komunikace s dalšími kancelářemi je udržována pomocí VPN kanálů s využitím internetu přes aktivní a záložní kanály poskytovatele internetu. Výměna informací s centrální bankou probíhá prostřednictvím vyhrazeného kanálu i prostřednictvím konvenčních komunikačních kanálů.

Všichni uživatelé mají přístup k internetu na lokálních pracovních stanicích, ale práce s dokumenty a informačními systémy Banky probíhá pouze pomocí virtuálních pracovních stanic, na kterých je omezený přístup k internetu a jsou načítány pouze lokální zdroje Banky.

Přístup k internetu z místních pracovních stanic je vymezen přístupovými skupinami:

Minimální přístup - přístup pouze ke zdrojům federálních služeb, k webovým stránkám Bank of Russia;

Normální přístup – všechny zdroje jsou povoleny kromě zábavy, sociálních sítí, sledování videí a stahování souborů je zakázáno.

Plný přístup – všechny zdroje a nahrávání souborů jsou povoleny;

Filtrování prostředků podle přístupových skupin je implementováno proxy serverem.

Níže je schéma sítě PJSC Citibank (obr. 5).

1.7 Nástroje informační bezpečnosti

Nástroje informační bezpečnosti jsou souborem inženýrských, elektrických, elektronických, optických a dalších zařízení a zařízení, zařízení a technických systémů, jakož i dalších prvků sloužících k řešení různých problémů informační bezpečnosti, včetně zamezení úniku a zajištění bezpečnosti chráněných informací .

Nástroje informační bezpečnosti z hlediska prevence úmyslných akcí lze v závislosti na způsobu implementace rozdělit do skupin:

Technické (hardwarové) prostředky. Jedná se o zařízení různých typů (mechanická, elektromechanická, elektronická atd.), která řeší problémy ochrany informací pomocí hardwaru. Zabraňují přístupu k informacím, včetně jejich maskování. Hardware zahrnuje: generátory šumu, síťové filtry, skenovací rádia a mnoho dalších zařízení, která „blokují“ potenciální kanály úniku informací nebo umožňují jejich detekci. Výhody technických prostředků souvisí s jejich spolehlivostí, nezávislostí na subjektivních faktorech a vysokou odolností vůči modifikacím. Slabé stránky - nedostatek flexibility, relativně velký objem a hmotnost, vysoké náklady.

Obrázek 5 Schéma sítě PJSC Citibank

Mezi softwarové nástroje patří programy pro identifikaci uživatele, řízení přístupu, šifrování informací, mazání zbytkových (pracovních) informací, jako jsou dočasné soubory, kontrola testování systému ochrany atd. Výhody softwarových nástrojů jsou všestrannost, flexibilita, spolehlivost, snadná instalace , schopnost upravovat a rozvíjet. Nevýhody - omezená funkčnost sítě, využití části prostředků souborového serveru a pracovních stanic, vysoká citlivost na náhodné nebo záměrné změny, možná závislost na typech počítačů (jejich hardwaru).

Smíšený hardware a software implementují stejné funkce jako hardware a software samostatně a mají mezilehlé vlastnosti.

Všechny kancelářské prostory banky jsou monitorovány bezpečnostní službou pomocí systému kontroly a řízení přístupu a kamerového systému. Vstup do kancelářských prostor banky je prováděn s příslušnými oprávněními v systému kontroly a řízení přístupu. Zaměstnanci při ucházení se o zaměstnání nebo návštěvníkovi Banky, je-li nutný přístup do kancelářských prostor Banky, jsou vydány bezkontaktní bezkontaktní karty, na kterých je zaznamenán identifikátor uživatele a při pokusu o vstup do kanceláře, tento identifikátor je přenášen do systému řízení a správy přístupu. Systém porovná seznam místností, do kterých smí uživatel karty vstoupit, s místností, do které chce vstoupit, a povolí nebo omezí přístup do místnosti.

Na pracovních stanicích banky je nainstalován antivirový software Kaspersky Endpoint Security 10, který má certifikát shody FSTEC Ruska č. 3025 platný do 25. listopadu 2019, virové databáze jsou aktualizovány centrálně serverovou částí antivirus nainstalovaný na serveru umístěném v Bance.

Pro organizaci elektronické správy dokumentů s centrální bankou měly orgány v bance vyhrazenou komunikační linku.

Elektronický podpis se používá k organizaci elektronické správy dokumentů s federálními službami (Federální daňová služba, Penzijní fond Ruska, Finanční monitorovací služba atd.). Pro práci s elektronickým podpisem na místních pracovních stanicích výkonných umělců odpovědných za správu dokumentů s federálními službami je nainstalován specializovaný software:

Crypto-Pro CSP;

Crypto-ARM;

CIPF Verba-OW;

CIPF Validat;

Signal-COM CSP.

Použití určitého softwaru dodavatelem závisí na požadavcích konkrétní federální agentury.

Firewall Cisco ASA 5512 vyrobený společností Cisco Corporation je instalován na okraji místní sítě banky. Také kritické bankovní systémy (pracovní stanice klienta Bank of Russia, SWIFT, ISPD banky) jsou navíc odděleny od lokální sítě banky firewally Cisco. Tunely VPN pro komunikaci s další kanceláří jsou organizovány pomocí firewallů Cisco.

1.8 Organizační zabezpečení

Podle studie provedené britskou auditorskou a poradenskou společností Ernst & Yong v roce 2014 považuje 69 procent společností účastnících se studie za hlavní zdroj hrozeb informační bezpečnosti zaměstnance společnosti.

Zaměstnanci společnosti mohou z neznalosti nebo své neschopnosti v oblasti informační bezpečnosti prozradit kritické informace nutné k provádění cílených útoků na organizaci. Útočníci také odesílají phishingové zprávy s vestavěným škodlivým softwarem, který útočníkům umožňuje získat kontrolu nad pracovištěm zaměstnance a zaútočit z tohoto pracoviště na informační systémy banky.

Proto je v Bance oddělení informační bezpečnosti povinno školit zaměstnance Banky v základních principech informační bezpečnosti, sledovat dodržování bezpečnostních požadavků při práci na pracovišti a informovat zaměstnance Banky o nových hrozbách informační bezpečnosti, kterým mohou čelit. .

V PJSC Citibank absolvují všichni zaměstnanci při nástupu do zaměstnání úvodní instruktáž. Rovněž noví zaměstnanci, zaměstnanci převedení z jiných strukturálních divizí absolvují úvodní instruktáž v oddělení informační bezpečnosti, na které jsou zaměstnancům vysvětlena základní pravidla bezpečnosti informací při práci s informačními systémy banky, bezpečnostní pravidla při práci na internetu, bezpečnostní pravidla při práci s e-mailem Banka, politika hesel Banky.

Pracovníci oddělení informační bezpečnosti banky se podílejí na vývoji a implementaci nových informačních systémů banky na všech úrovních vývoje systému.

Ve fázi návrhu systému a přípravy zadání pro vývoj informačního systému ukládá útvar bezpečnosti informací na systém bezpečnostní požadavky.

Ve fázi vývoje informačního systému pracovníci oddělení informační bezpečnosti studují aktuální dokumentaci, testují software na případné zranitelnosti v kódu programu.

Ve fázi testování a uvádění informačního systému do provozu se útvar informační bezpečnosti aktivně podílí na testování informačního systému, provádí penetrační testy do informačního systému a testy odmítnutí služby a také distribuuje přístupová práva k informačnímu systému.

Ve fázi provozu již zprovozněného informačního systému útvar informační bezpečnosti sleduje a zjišťuje podezřelou aktivitu.

Ve fázi finalizace informačního systému staví útvar informační bezpečnosti na základě dat získaných při provozu informačního systému nové požadavky na informační systém.

Oddělení informační bezpečnosti v PJSC Citibank schvaluje všechny žádosti o přístup ke zdrojům na internetu i k interním zdrojům banky.

1.9 Cyklus zpracování osobních údajů

Osobní údaje uložené v Bance byly získány pouze legální cestou.

Přijaté osobní údaje zaměstnance Banky jsou zpracovávány pouze za účelem plnění povinností Banky ze smlouvy uzavřené se zaměstnancem. Osobní údaje zaměstnance Banky jsou získávány od samotného zaměstnance. Všichni zaměstnanci Banky jsou proti podpisu seznámeni s dokumenty Banky, které stanoví postup zpracování osobních údajů zaměstnanců Banky, jakož i jejich práva a povinnosti v této oblasti.

Osobní údaje zaměstnanců banky uložené v ISPD systému kontroly a řízení přístupu mají umožnit zaměstnanci vstup na pracoviště.

Osobní údaje klientů Banky uložené v ISPD automatizovaného bankovního systému jsou zde zpracovávány pouze za účelem plnění povinností Banky ze smlouvy uzavřené s klientem Banky. Také v ISPD automatizovaného bankovního systému jsou zpracovávány osobní údaje osob, které s Bankou neuzavřely smlouvu, ale získaly je zákonným způsobem, například osobní údaje přijaté a zpracované na žádost federálního zákona č. kriminálními prostředky a financováním terorismu“.

Po dosažení cílů zpracování osobních údajů dochází k jejich likvidaci nebo depersonalizaci.

2. VÝVOJ OPATŘENÍ K OCHRANĚ OSOBNÍCH ÚDAJŮ V BANCE

V PJSC Citibank je systém ochrany osobních údajů upraven jak zákony na úrovni státu, tak místními předpisy (např. Pravidla pro služby vzdáleného bankovnictví pro právnické osoby a fyzické osoby u PJSC CITIBANK v příloze 1).

Systém ochrany osobních údajů PJSC Citibank je dostatečně nastaven, aby se vyhnul jednoduchým útokům, jako je phishing a napadení pracovních stanic viry ransomware, ale není schopen odolat cíleným útokům zaměřeným na krádež osobních údajů.

Prováděl jsem práce na restrukturalizaci a modernizaci systému ochrany osobních údajů.

2.1 Opatření k ochraně lokální počítačové sítě banky a informačního systému osobních údajů

V síti Citibank jsou výrazné slabiny, pomocí kterých mohou útočníci získat plný přístup do sítě banky a ovládnout ji, po čemž mohou libovolně krást, měnit nebo mazat osobní údaje zákazníků nebo zaměstnanců banky.

Vzhledem k tomu, že síť Banky je jedním segmentem, musí být v zájmu minimalizace rizik vstupu narušitelů do sítě Banky rozdělena do několika segmentů pomocí technologie virtuální sítě.

Koncept technologie virtuálních sítí (VLAN) spočívá v tom, že správce sítě v ní může vytvářet logické skupiny uživatelů bez ohledu na to, ke které části sítě jsou připojeni. Uživatele můžete sdružovat do logických pracovních skupin např. na základě shodnosti vykonávané práce nebo společně řešeného úkolu. Skupiny uživatelů se přitom mohou vzájemně ovlivňovat nebo být pro sebe zcela neviditelné. Členství ve skupině je měnitelné a uživatel může být členem více logických skupin. Virtuální sítě tvoří logické broadcastové domény, které omezují průchod broadcastových paketů sítí, stejně jako routery, které izolují broadcast provoz mezi segmenty sítě. Tímto způsobem virtuální síť zabraňuje výskytu bouří všesměrového vysílání, protože zprávy všesměrového vysílání jsou omezeny na členy virtuální sítě a nemohou je přijímat členové jiných virtuálních sítí. Virtuální sítě mohou umožnit přístup členům jiné virtuální sítě v případech, kdy je nutné přistupovat ke sdíleným zdrojům, jako jsou souborové servery nebo aplikační servery, nebo kde běžný úkol vyžaduje interakci různých služeb, jako jsou úvěrová a zúčtovací oddělení. Virtuální sítě lze vytvářet na základě portů přepínačů, fyzických adres zařízení zahrnutých v síti a logických adres protokolů třetí úrovně modelu OSI. Výhoda virtuálních sítí spočívá ve vysoké rychlosti přepínačů, protože moderní přepínače obsahují specializovanou sadu integrovaných obvodů speciálně navržených pro řešení problémů s přepínáním na druhé úrovni modelu OSI. Virtuální sítě třetí úrovně se nejsnáze instalují, pokud není nutná rekonfigurace síťových klientů, nejobtížnější na správu, protože jakákoli akce se síťovým klientem vyžaduje buď rekonfiguraci samotného klienta nebo routeru, a je nejméně flexibilní, protože pro komunikaci virtuálních sítí je vyžadováno směrování, což zvyšuje náklady systému a snižuje jeho výkon.

Vytváření virtuálních sítí v Bance tak zabrání útokům ARP-spoofing. Škodlivci nebudou schopni zachytit informace předávané mezi serverem a klientem. Při průniku do sítě nebudou moci útočníci prohledat celou síť Banky, ale pouze segment sítě, do kterého získali přístup.

Při infiltraci do sítě banky útočníci nejprve prohledají síť, aby našli kritické uzly sítě. Tyto uzly jsou:

doménový řadič;

proxy server;

poštovní server;

Souborový server;

Server aplikací.

Vzhledem k tomu, že lokální síť v Bance bude organizována pomocí technologie virtuálních sítí, nebudou útočníci schopni tyto uzly odhalit bez dalších kroků. Aby bylo pro útočníky obtížnější najít kritické uzly v místní síti a zmást je a v budoucnu studovat strategii útočníků při provádění útoku na síť, je nutné používat falešné objekty, které budou útočníky přitahovat. . Tyto objekty se nazývají Honeypots.

Úkolem Honeypotu je napadení nebo neautorizovaný průzkum, který vám následně umožní studovat strategii útočníků a určit seznam prostředků, kterými lze zasáhnout reálné bezpečnostní objekty. Implementací honeypotu může být buď vyhrazený dedikovaný server, nebo jediná síťová služba, jejímž úkolem je přitáhnout pozornost hackerů.

Honeypot je zdroj, který nedělá nic, aniž by na něj měl nějaký dopad. Honeypot shromažďuje malé množství informací po analýze, které statistiky jsou založeny na metodách používaných crackery, a také na přítomnosti jakýchkoli nových řešení, která budou následně použita v boji proti nim.

Například webový server, který nemá žádné jméno a je prakticky nikomu neznámý, by proto neměl mít přístup hostů, takže každý, kdo se na něj pokusí proniknout, je potenciální útočník. Honeypot shromažďuje informace o chování těchto crackerů a o tom, jak ovlivňují server. Poté specialisté oddělení informační bezpečnosti shromažďují informace o útoku vetřelců na zdroj a vyvíjejí strategie pro odražení útoků v budoucnu.

Pro kontrolu informací přicházejících z internetu a odhalování ohrožení bezpečnosti informací ve fázi jejich přenosu po síti, stejně jako pro detekci aktivity narušitelů, kteří pronikli do lokální sítě Banky, je nutné instalovat systém prevence narušení na adrese okraj sítě.

Systém prevence narušení je softwarový nebo hardwarový síťový a počítačový bezpečnostní systém, který detekuje narušení nebo narušení bezpečnosti a automaticky proti nim chrání.

Systémy prevence narušení lze považovat za rozšíření systémů detekce narušení, protože úkol sledování útoků zůstává stejný. Liší se však tím, že systém prevence narušení monitoruje aktivitu v reálném čase a rychle zavádí akce prevence útoků.

Systémy detekce a prevence narušení se dělí na:

Systémy prevence narušení sítě – analyzují provoz směřovaný do sítě organizace, procházející sítí samotnou nebo směrovaný na konkrétní počítač. Systémy detekce a prevence narušení mohou být implementovány softwarovými nebo hardwarově-softwarovými metodami, instalovanými na perimetru podnikové sítě a někdy i uvnitř ní.

Osobní systémy prevence narušení jsou software, který se instaluje na pracovní stanice nebo servery a umožňuje řídit činnost aplikací a také monitorovat síťovou aktivitu pro možné útoky.

Pro nasazení v síti banky byl zvolen systém prevence síťových průniků.

Zvažovány byly systémy síťového narušení od IBM, Check Point, Fortinet, Palo Alto, protože deklarovaná funkčnost výrobců těchto systémů splňovala požadavky oddělení informační bezpečnosti banky.

Po nasazení testovacích lavic a testování systémů prevence narušení byl vybrán systém Check Point, protože vykazoval nejlepší výkon, nejlepší subsystém detekce virů přenášený po lokální síti, nejlepší nástroje pro protokolování a protokolování důležitých událostí a pořizovací cenu.

Systém prevence narušení od IBM byl zamítnut, protože náklady na zařízení přesáhly rozpočet oddělení informační bezpečnosti na nákup systému prevence narušení.

Systém prevence narušení společnosti Fortinet byl zamítnut z důvodu neúplné odpovědi, kdy oddělení informační bezpečnosti provedlo testy přenosu infikovaných souborů a nedostatečně informativní nástroje pro protokolování důležitých událostí.

Systém prevence průniků Palo Alto byl zamítnut kvůli nedostatečně informativním nástrojům pro protokolování důležitých událostí, přílišné složitosti práce se systémem a chování spíše jako router.

Pro implementaci v lokální síti byl zvolen systém prevence průniků Check Point. Tento systém vykazoval vysokou úroveň detekce hrozeb informační bezpečnosti, flexibilní nastavení, možnost rozšíření funkčnosti zakoupením dalších softwarových modulů, má výkonný systém pro protokolování důležitých událostí a výkonný nástroj pro poskytování hlášení o incidentech, který lze využít mnohem snadněji vyšetřovat incidenty bezpečnosti informací.

Síťový diagram PJSC Citibank se změněnou architekturou je na obrázku 6.

2.2 Softwarové a hardwarové ochrany

Protože bezpečnost osobních údajů nelze zajistit pouze ochranou sítě, protože narušitelé přes všechna opatření přijatá k ochraně sítě mohou získat přístup do sítě Banky.

Obrázek 6 Schéma sítě PJSC Citibank s dalšími bezpečnostními systémy

Pro odolnější ochranu proti útokům je nutné k zařízením určeným k ochraně sítě přidat softwarová a hardwarová ochranná zařízení pro lokální pracovní stanice, virtuální pracovní stanice, virtuální a běžné servery.

Jak víte, antivirové programy neposkytují úplnou ochranu před škodlivým softwarem, protože fungují na principu analýzy signatur. Společnost zabývající se antivirovým softwarem má ve svých řadách odborníky, kteří monitorují virovou aktivitu na internetu, studují chování virového softwaru na testovacích stanicích a vytvářejí signatury, které jsou následně odesílány do počítačů uživatelů aktualizací databází signatur antivirového softwaru. Po obdržení aktualizované databáze signatur antivirového softwaru antivirus skenuje soubory na pracovní stanici uživatele a hledá známky škodlivého softwaru; pokud jsou takové známky nalezeny během kontroly, antivirus to signalizuje a jedná v souladu s nastavení, která jsou nastavena uživatelem nebo správcem antivirového programu. Pokud tedy odborníci společnosti zabývající se antivirovým softwarem nedetekují a neanalyzují malware, antivirus nebude schopen malware detekovat a nepodnikne žádnou akci, protože naskenovaný soubor považuje za bezpečný. Banka proto za účelem snížení pravděpodobnosti přístupu do sítě a spuštění škodlivého softwaru nainstalovala druhou smyčku antivirové ochrany. Vzhledem k tomu, že většina společností zabývajících se antivirovým softwarem pracuje navzájem odděleně, malware, který dosud nebyl detekován jednou společností zabývající se antivirovým softwarem, může být detekován jiným vývojářem a pro detekovanou hrozbu již lze vytvořit signatury.

Pro implementaci takového schématu byla vytvořena virtuální pracovní stanice, na které byl nainstalován antivirus Doctor WEB Enterprise security suite, který má certifikát shody FSTEC Ruska č. 2446 platný do 20. září 2017. Všechny soubory stažené zaměstnanci banky při své práci jsou odesílány na tuto stanici a skenovány antivirem. Pokud je detekován škodlivý software, antivirus odešle e-mail oddělení bezpečnosti informací s názvem hrozby a cestou, kde je uložen infikovaný soubor. Oddělení bezpečnosti informací podniká kroky k odstranění škodlivého softwaru. Pokud soubory nahrané uživateli projdou kontrolou antivirového softwaru, uživatel, který soubor nahrál, zažádá oddělení bezpečnosti informací a pracovníci oddělení stažený soubor uživateli předají.

Také velké množství škodlivého softwaru přichází k zaměstnancům banky e-mailem. Mohou to být jak běžné šifrovací viry, tak i škodlivý software, který útočníkům umožňuje proniknout do infikovaného počítače zaměstnance Banky pomocí vzdáleného připojení.

Pro minimalizaci rizik těchto hrozeb byl na poštovní server banky nainstalován antivirový software ClamAW určený k ochraně poštovních serverů.

Pro ochranu před neoprávněným přístupem vnitřních narušitelů, kteří se nějakým způsobem dozvěděli heslo uživatele lokální stanice, která má přístup k informačním systémům osobních údajů, je nutné nainstalovat na lokální pracovní stanice uživatelů pracujících s osobními údaji systém ochrany informací před neoprávněným přístupem. datové informační systémy.

Školení zaměstnanců banky provádí specialista oddělení informační bezpečnosti.

Zaměstnanec oddělení informační bezpečnosti provádí školení na útvaru banky určeném plánem. Zaměstnanci jednotky po školení absolvují testy, ve kterých potvrzují znalosti získané během školení.

Základní bezpečnostní politika upravuje provádění výcviku v každé jednotce minimálně čtyřikrát ročně.

Současně se školením zaměstnanců jsou zaměstnanci oddělení informační bezpečnosti povinni zasílat alespoň jednou měsíčně všem zaměstnancům Banky informační dopisy, které popisují základní bezpečnostní pravidla, nové hrozby pro informační bezpečnost Banky, pokud jsou nějaké zjištěny.

2.3.2 Pořadí přístupu zaměstnanců k internetovým zdrojům

Banka má 3 skupiny přístupu k internetu, ale takové rozdělení přístupu je neefektivní, protože zaměstnanec k plnění svých povinností může potřebovat získat informace ze síťového zdroje zařazeného do skupiny plného přístupu, pak bude mít poskytnout plný přístup k internetu, což není bezpečné.

Skupina 7: stahování spustitelných souborů – skupina neposkytuje žádný přístup k internetovým zdrojům;

Skupina 8: plný přístup k internetu - plný přístup k internetovým zdrojům, stahování libovolných souborů.

Pro získání přístupu k internetovým zdrojům si zaměstnanec vytvoří aplikaci prostřednictvím systému ServiceDesk a po schválení vedoucím oddělení nebo managementu a zaměstnancem oddělení informační bezpečnosti je zaměstnanci umožněn přístup k internetovým zdrojům dle požadované skupiny. .

2.3.3 Postup pro přístup zaměstnanců k vnitrobankovním zdrojům

Hlavní dokumenty o práci zaměstnance jsou umístěny na místním pracovišti nebo v automatizovaném systému, ve kterém pracuje. Dále má každá divize Banky na souborovém serveru Banky sekci, ve které jsou uloženy informace potřebné pro několik zaměstnanců divize a která je velká pro přenos e-mailem Banky.

Při nástupu nového zaměstnance do banky zašle jeho přímý vedoucí prostřednictvím systému ServiceDesk žádost oddělení správy systému o přístup k vnitrobankovnímu zdroji a po schválení žádosti pracovníkem oddělení bezpečnosti informací pracovník oddělení správy systému poskytne novému zaměstnanci přístup k požadovanému zdroji.

Často dochází k situacím, kdy se práce několika divizí Banky prolíná a pro výměnu informací potřebují tyto divize samostatnou na souborovém serveru Banky.

Pro vytvoření této sekce vytvoří projektový manažer, vedoucí jednoho z oddělení zapojených do procesu práce na projektu, prostřednictvím systému ServiceDesk aplikaci pro vytvoření sdíleného zdroje a přístup k tomuto zdroji pro určité zaměstnance svého oddělení pracující na společném projektu a vedoucího oddělení , se kterým v rámci projektu spolupracuje . Po schválení správcem informací vytvoří správce systému požadovaný zdroj a udělí k němu přístup požadovaným zaměstnancům. Každý vedoucí oddělení účastnícího se projektu požaduje přístup pouze pro ty zaměstnance, kteří jsou mu podřízeni.

2.3.4 Jak zaměstnanci pracují s e-mailem

Dříve, před vytvořením základní bezpečnostní politiky, si každý zaměstnanec sám určoval míru nebezpečnosti dopisů a souborů přijatých e-mailem z externích poštovních serverů.

Po vytvoření základní bezpečnostní politiky je každý uživatel povinen odeslat každý soubor přijatý e-mailem z externích poštovních serverů oddělení bezpečnosti informací, aby jej zkontrolovalo, zda neobsahuje škodlivý software, míru nebezpečnosti dopisů určuje zaměstnanec samostatně. Pokud má zaměstnanec Banky podezření, že příchozí zpráva obsahuje spam nebo phishing, je povinen zaslat dopis v plném rozsahu, tj. obsahující všechny oficiální údaje o odesílateli, jeho schránce a IP adrese, oddělení bezpečnosti informací. Po analýze podezřelého dopisu a potvrzení hrozby tohoto dopisu odešle oddělení informační bezpečnosti adresu odesílatele dopisu oddělení správy systému a pracovník oddělení správy systému zablokuje adresu odesílatele dopisu.

Vždy zablokujte pracoviště, když se od něj odvykáte.

2.3.6 Pravidla pro přístup zaměstnanců k osobním údajům

Podle článku 89 kapitoly 14 zákoníku práce Ruské federace má zaměstnanec Banky právo na přístup ke svým osobním údajům, ale smí zpracovávat osobní údaje ostatních zaměstnanců Banky nebo zákazníků Banky pouze pro plnění svých úředních povinností. .

Pro zajištění kontroly nad přístupem do informačních systémů osobních údajů banka stanovila následující pravidla pro přístup do informačních systémů osobních údajů:

Přístup k ISPD mají pouze zaměstnanci, jejichž pracovní náplní je zpracování osobních údajů;

Přístup k ISPD je povolen pouze z místního pracoviště zaměstnance pracujícího s osobními údaji;

Banka vytvořila dokument, který příjmením definuje zaměstnance, kteří mají povolen přístup k osobním údajům zaměstnanců a zákazníků Banky, s uvedením Informačního systému osobních údajů a seznamu osobních údajů, které zaměstnanec smí zpracovávat.

3. EKONOMICKÉ ZDŮVODNĚNÍ PROJEKTU

Pro zavedení systému ochrany osobních údajů je nutné zakoupit:

Zařízení na ochranu sítě banky;

Hardware pro bezpečnost informací;

Software pro zabezpečení informací.

Pro přestavbu sítě organizace je nutné zakoupit přepínače Cisco Catalyst 2960 v počtu 3 exemplářů. Jeden switch je nutný pro provoz na jádrové úrovni sítě banky, 2 další pro provoz na distribuční úrovni. Využije se i síťové vybavení, které v bance fungovalo před restrukturalizací sítě.

Celkové náklady (RUB) 9389159 613

Bezpečnostní oblek Doctor WEB Enterprise 155005500

Celkové náklady 1 371 615

ZÁVĚR

Ve své diplomce jsem se zabývala právním rámcem ochrany osobních údajů. Zvažoval jsem hlavní zdroje ohrožení bezpečnosti osobních údajů.

Na základě zvažovaných osobních hrozeb jsem analyzoval stávající systém ochrany osobních údajů v PJSC Citibank a došel jsem k závěru, že je třeba jej výrazně zlepšit.

Během projektu promoce byly zjištěny slabé stránky v místní síti banky. S ohledem na odhalená slabá místa v lokální síti banky byla stanovena opatření k minimalizaci rizik informační bezpečnosti sítě banky.

Zvažována a vybrána byla také zařízení a software pro ochranu místních pracovišť zaměstnanců zpracovávajících osobní údaje zaměstnanců a zákazníků banky.

Za mé účasti vznikl systém pro zvýšení informovanosti zaměstnanců v otázkách informační bezpečnosti.

Zásadně byl přepracován postup pro přístup zaměstnanců banky na internet a byly přepracovány skupiny pro přístup k internetu. Nové skupiny přístupu k internetu umožňují výrazně minimalizovat rizika informační bezpečnosti kvůli omezené možnosti uživatelů stahovat soubory a přistupovat k nedůvěryhodným zdrojům.

Jsou uvedeny kalkulace nákladů na přestavbu sítě a vytvoření životaschopného systému ochrany osobních údajů, který dokáže odrážet většinu hrozeb bezpečnosti informací.

SEZNAM POUŽITÉ LITERATURY

1. "Ústava Ruské federace" (přijatá lidovým hlasováním dne 12. prosince 1993) (s výhradou změn provedených zákony Ruské federace o změnách Ústavy Ruské federace ze dne 30. prosince 2008 N 6- FKZ, ze dne 30. prosince 2008 N 7-FKZ, ze dne 5. února 2014 N 2-FKZ, ze dne 21. července 2014 N 11-FKZ) // Oficiální text Ústavy Ruské federace ve znění ze dne 21. července , 2014, byl zveřejněn na oficiálním internetovém portálu právních informací http://www.pravo.gov.ru, 8. 1. 2014

2. „Základní model ohrožení bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“ (Výtah) (schváleno FSTEC Ruské federace dne 15. února 2008)

3. Federální zákon ze dne 27. července 2006 N 149-FZ (ve znění ze dne 6. července 2016) „O informacích, informačních technologiích a ochraně informací“ // Dokument nebyl v této podobě zveřejněn. Původní text dokumentu byl zveřejněn v Rossijskaja Gazeta, č. 165, 29.07.2006

4. „Zákoník práce Ruské federace“ ze dne 30. prosince 2001 N 197-FZ (ve znění ze dne 3. července 2016) (ve znění změn a doplňků, nabyl účinnosti dnem 3. října 2016) // Dokument nebyl zveřejněn v této podobě byl původní text dokumentu zveřejněn v Rossijskaja Gazeta, N 256, 31.12.2001

5. Nařízení vlády Ruské federace ze dne 1.11.2012 N 1119 „O schválení požadavků na ochranu osobních údajů při jejich zpracování v informačních systémech osobních údajů“ // „Rossiyskaya Gazeta“, N 256, 7.11.2012

6. Nařízení FSTEC Ruska ze dne 18. února 2013 N 21 „O schválení Složení a obsahu organizačních a technických opatření k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“ (Registrováno Ministerstvem Justice of Russia dne 14. května 2013 N 28375) // „Ruské noviny“, N 107, 22.05.2013

7. „Standard Ruské federace“ „Zajištění informační bezpečnosti organizací bankovního systému Ruské federace. Obecná ustanovení „STO BR IBBS-1.0-2014“ (přijatá a uvedená v platnost Příkazem Ruské banky ze dne 17. května 2014 N R-399) // Bulletin Ruské banky, č. 48-49, 30. května 2014

8. „Nařízení o požadavcích na zajištění ochrany informací při převodech peněz a o postupu Banky Ruska při výkonu kontroly nad dodržováním požadavků na zajištění ochrany informací při převodech peněz“ (schváleno Bankou Ruska dne 09.06.2012 N 382-P) (ve znění ze dne 14. srpna 2014) (Registrováno Ministerstvem spravedlnosti Ruska dne 14. června 2012 N 24575) // Dokument nebyl v této podobě zveřejněn, originál text dokumentu byl zveřejněn ve Věstníku Ruské banky, N 32, 22.06.2012

9. „Předpisy o postupu při předkládání informací úvěrovými institucemi oprávněnému orgánu podle federálního zákona „O potírání legalizace (praní) výnosů z trestné činnosti a financování terorismu“ (schválené Bank of Russia dne 29.8.2008 N 321-P) (ve znění pozdějších předpisů ze dne 15.10.2015) (společně s „Postupem k zajištění bezpečnosti informací při vysílání a příjmu ECO“, „Pravidla pro vznik ECO a vyplnění jednotlivých polí EKO záznamů”) (Registrováno na Ministerstvu spravedlnosti Ruska dne 16.09.2008 N 12296) // V této podobě nebyl dokument zveřejněn, Původní text dokumentu byl zveřejněn ve Věstníku Bank of Russia, N 54, 26.09.2008

10. Příkaz FSTEC Ruska ze dne 18. února 2013 N 21 „O schválení Složení a obsahu organizačních a technických opatření k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů“ (Registrováno Ministerstvem Justice of Russia dne 14. května 2013 N 28375) // „Ruské noviny“, N 107, 22.05.2013

11. Averčenkov V.I., Rytov M.Yu., Gainulin T.R. Ochrana osobních údajů v organizacích. M.: Flinta, 2018

12. Agapov A. B. Základy veřejné správy v oblasti informatizace v Ruské federaci. M.: Právník, 2012

13. Kostin A. A., Kostina A. A., Latyshev D. M., Moldovyan A. A. Programové komplexy řady AURA pro ochranu informačních systémů osobních údajů Izv. vysoké školy. instrumentace. 2012. V. 55, č. 11

14. Moldovyan A. A. Kryptografie pro ochranu počítačových informací (část 1) // Integral. 2014. č. 4 (18)

15. Romanov O.A., Babin S.A., Zhdanov S.G. Organizační podpora informační bezpečnosti. - M.: Akademie, 2016

16. Shults V.L., Rudchenko A.D., Yurchenko A.V. Bezpečnost podnikání. M.: Nakladatelství Yurayt, 2017

Přihlášky (k dispozici v archivu s dílem).