• سیستم حفاظت از اطلاعات شخصی در بانک ها حفاظت از داده های شخصی در بانک ها آیا بانک ها درخواست اطلاعات از کارفرمایان در مورد کارمندان را متوقف خواهند کرد؟ ذخیره و استفاده از داده های شخصی

    مارینا پروخورووا،سردبیر مجله "داده های شخصی"

    ناتالیا سامویلوا،وکیل در InfoTechnoProject

    چارچوب قانونی که تا به امروز در زمینه پردازش داده های شخصی ایجاد شده است، اسنادی که هنوز برای سازماندهی مؤثرتر کار در زمینه حفاظت از داده های شخصی در سازمان ها تصویب نشده است، جنبه های فنی تهیه سیستم های اطلاعاتی برای اپراتورهای داده های شخصی - اینها موضوعاتی است که اخیراً در بسیاری از روزنامه ها و نشریات مجلات در مورد داده های شخصی مورد توجه قرار گرفته است. در این مقاله، من می خواهم به جنبه ای از سازماندهی کار موسسات بانکی و اعتباری مانند حفاظت "غیر فنی" از داده های شخصی پردازش شده در این سازمان ها بپردازم.

    بیایید با یک مثال عینی شروع کنیم

    ما در مورد بررسی قضایی پرونده محافظت از داده های شخصی صحبت می کنیم که در ژوئن 2008 علیه Sberbank آغاز شد. ماهیت محاکمه به شرح زیر بود. قرارداد ضمانت بین شهروند و بانک منعقد شد که بر اساس آن شهروند تعهد می کند که در قبال بانک برای انجام تعهدات توسط وام گیرنده طبق قرارداد وام مسئولیت پذیر باشد. این دومی تعهدات خود را در مدت تعیین شده توسط قرارداد وام انجام نداد ، اطلاعات مربوط به ضامن به عنوان مشتری غیرقابل اعتماد در سیستم اطلاعات خودکار فهرست توقف بانک وارد شد که به نوبه خود مبنایی برای امتناع از اعطا بود. او یک وام در همان زمان ، بانک حتی شهروندان را در مورد انجام نادرست وام گیرنده از تعهدات خود تحت قرارداد وام مطلع نکرد. علاوه بر این، در قرارداد ضمانت نامه مشخص نشده است که در صورت انجام نادرست وام گیرنده به تعهدات خود، بانک حق دارد اطلاعات مربوط به ضامن را در سامانه اطلاعات Stop List وارد کند. بنابراین، بانک اطلاعات شخصی شهروند را با قرار دادن اطلاعات مربوط به او در سیستم اطلاعات لیست توقف بدون رضایت او پردازش کرد، که این امر ناقض الزامات قسمت 1 هنر است. 9 قانون فدرال شماره 152-FZ مورخ 27 ژوئیه 2006 "در مورد داده های شخصی" که بر اساس آن موضوع داده های شخصی تصمیم می گیرد داده های شخصی خود را ارائه دهد و با میل خود و به نفع خود با پردازش آنها موافقت می کند. علاوه بر این، به روشی که در قسمت 1 هنر مقرر شده است. در ماده 14 همین قانون، شهروندی با مراجعه به بانک درخواست کرد تا فرصت آشنایی با اطلاعات درج شده در مورد وی در سامانه اطلاعاتی فهرست استاپ و همچنین مسدودسازی و از بین بردن این اطلاعات را برای وی فراهم کند. بانک از برآورده کردن الزامات شهروندان خودداری کرد.

    بر اساس نتایج بررسی پرونده، دادگاه منطقه لنینسکی ولادیووستوک ادعاهای دفتر Roskomnadzor برای منطقه پریمورسکی علیه Sberbank روسیه را برای حمایت از حقوق نقض شده یک شهروند برآورده کرد و به بانک دستور داد اطلاعات مربوط به آن را از بین ببرد. شهروند از سامانه اطلاعات استاپ لیست.

    چرا این مثال قابل توجه است؟ بانک ها با ذخیره داده های شخصی تعداد قابل توجهی از مشتریان خود، در انتقال آنها از پایگاه داده ای به پایگاه داده دیگر تردیدی ندارند و اغلب بدون اطلاع دادن به موضوع داده های شخصی در مورد آن، ناگفته نماند که رضایت وی را برای چنین اقداماتی با وی جلب می کنند. اطلاعات شخصی. البته فعالیت بانکی دارای تعدادی ویژگی است و اغلب از داده های شخصی مشتریان نه تنها برای اجرای قراردادهای منعقد شده توسط بانک، بلکه برای اعمال کنترل بانک بر اجرای تعهدات مشتری توسط مشتری استفاده می شود. این بدان معنی است که هرگونه دستکاری با داده های شخصی قبلاً به رضایت موضوع آنها نیاز دارد.

    مشکلات در تفسیر مقررات

    چرا هیچ عملیاتی با داده های شخصی را قانونی نمی کنید؟ البته این امر به احتمال زیاد مستلزم دخالت متخصصان شخص ثالث خواهد بود، زیرا حتی وکلای دپارتمان‌های حقوقی بانک‌های بزرگ تنها در یک حوزه خاص حرفه‌ای درجه یک هستند و باید با ویژگی‌های کار در بانک آشنا شوند. زمینه داده های شخصی عملاً از ابتدا. بنابراین بهترین راه این است که شرکت های متخصص در ارائه خدمات برای سازماندهی کار با داده های شخصی، از جمله آنهایی که قادر به بررسی انطباق اقدامات حفاظتی غیر فنی شما با الزامات قانونگذار هستند، در سازماندهی داده های شخصی شرکت کنند. سیستم حفاظتی

    نتایج مطالعات تحلیلی به ما امکان می دهد نتیجه بگیریم که تفسیر کدام مفاد قانون فدرال شماره 152-FZ "در مورد داده های شخصی" بیشترین مشکل را ایجاد می کند.

    مطابق قسمت 1 ماده 22 این سند نظارتی، اپراتور موظف است پردازش داده های شخصی را به مرجع مجاز اطلاع دهد. از جمله موارد استثنایی است که داده های شخصی پردازش شده در ارتباط با انعقاد قراردادی که موضوع داده های شخصی طرف آن است به دست آمده است ... و توسط اپراتور صرفاً برای اجرای توافق نامه مذکور بر اساس بند 2 قسمت 2 ماده 22 قانون فدرال شماره 152-FZ "در مورد داده های شخصی". بر اساس این ماده خاص، برخی از بانک ها اطلاعیه ای در مورد پردازش داده های شخصی ارسال نمی کنند و بسیاری خود را اپراتور نمی دانند که اساساً اشتباه است.

    همچنین یکی دیگر از اشتباهات رایج بانک ها به عنوان اپراتور داده های شخصی در رابطه با قرارداد به شرح زیر است. با توجه به هنر. 6 قانون فوق الذکر، پردازش داده های شخصی ممکن است توسط اپراتور با رضایت موضوع داده های شخصی انجام شود، به استثنای مواردی که پردازش به منظور اجرای قرارداد انجام می شود، یکی از احزاب که موضوع داده های شخصی است. بنابراین، بسیاری از موسسات بانکی عدم رضایت خود از موضوع داده های شخصی را دقیقاً با واقعیت انعقاد چنین توافق نامه ای توضیح می دهند.

    اما بیایید در مورد آن فکر کنیم، آیا بانک به عنوان یک اپراتور، از داده های شخصی موضوع دریافت شده در زمان انعقاد قرارداد استفاده نمی کند، به عنوان مثال، برای ارسال اعلان در مورد خدمات جدید، برای حفظ "Stop-lists"؟ این بدان معنی است که پردازش داده های شخصی نه تنها به منظور اجرای قرارداد، بلکه برای اهداف دیگری نیز انجام می شود که دستیابی به آن برای بانک ها مورد علاقه تجاری است، بنابراین:

    • بانک ها موظفند اخطاریه ای در مورد پردازش داده های شخصی به سازمان مجاز ارسال کنند.
    • بانک ها باید داده های شخصی را فقط با رضایت شخص مورد پردازش قرار دهند.

    و این بدان معنی است که بانک ها باید سیستمی را برای کار با داده های شخصی مشتریان خود سازماندهی کنند، یعنی حفاظت غیر فنی از چنین داده هایی را تضمین کنند.

    رضایت کتبی برای پردازش داده های شخصی

    در مورد رضایت موضوع داده های شخصی برای پردازش داده های شخصی، قانون فدرال شماره 152-FZ "در مورد داده های شخصی" اپراتورها را موظف می کند که رضایت کتبی را برای پردازش داده های شخصی فقط در مواردی که توسط قانون مشخص شده است، دریافت کنند. در همان زمان، مطابق با قسمت 3 هنر. 9، تعهد به اثبات رضایت موضوع برای پردازش داده های شخصی وی بر عهده اپراتور است. برای تلف نشدن وقت در صورت لزوم برای جمع آوری چنین شواهدی (مثلاً جستجوی شهود) به نظر ما در هر صورت بهتر است از سوژه ها رضایت کتبی اخذ شود.

    در اینجا استدلال دیگری برای شکل نوشتاری پردازش داده های شخصی وجود دارد. اغلب، فعالیت بانک ها شامل انتقال داده ها (از جمله داده های شخصی) به قلمرو یک کشور خارجی است. به همین مناسبت، قسمت 1 هنر. 12 قانون فدرال شماره 152-FZ "درباره داده های شخصی" بیان می کند که قبل از شروع انتقال فرامرزی داده های شخصی، اپراتور موظف است اطمینان حاصل کند که کشور خارجی که انتقال داده های شخصی به آن انجام می شود. out حفاظت کافی از حقوق افراد مربوط به داده های شخصی را فراهم می کند. در صورت عدم ارائه چنین حفاظتی، انتقال فرامرزی داده های شخصی تنها با رضایت کتبی موضوع داده های شخصی امکان پذیر است. می توان فرض کرد که کسب رضایت کتبی مشتری برای پردازش داده های شخصی برای کارمند بانک آسان تر از تعیین درجه کفایت حمایت از آنها در یک کشور خارجی است.

    ما توجه شما را به این واقعیت جلب می کنیم که اطلاعاتی که باید در رضایت نامه کتبی موجود باشد در قسمت 4 هنر ذکر شده است. 9 قانون فدرال فوق الذکر، و این فهرست جامع است. و امضای زیر عبارت، به عنوان مثال، در یک قرارداد وام: "من با استفاده از داده های شخصی خود موافقت می کنم"، طبق قانون فدرال شماره 152-FZ "در مورد داده های شخصی"، رضایت پردازش آنها را ندارد!

    به نظر می رسد که فقط چند نکته از قانون وجود دارد، اما چقدر عوارض، تا دعوا، می تواند ناشی از تفسیر نادرست آنها باشد. علاوه بر این، امروزه که داده‌های شخصی افراد اغلب به کالایی در رقابت رقابتی ساختارهای مختلف تبدیل می‌شوند، حل موفقیت‌آمیز مسائل حفاظت از آنها، تضمین امنیت سیستم‌های اطلاعاتی بانک‌ها و مؤسسات اعتباری، کلید حفظ و نگهداری می‌شود. شهرت، نام خوب هر سازمانی.

    شهروندان هر روز بیشتر از پیامدهای منفی انتشار داده های شخصی خود آگاه می شوند که با ظهور نشریات تخصصی تسهیل می شود. همچنین منابع اطلاعاتی شرکت های مختلف وجود دارد. برخی از آنها به طور کلی طیف گسترده ای از مسائل مربوط به مفهوم "امنیت اطلاعات" را پوشش می دهند، برخی دیگر به بررسی اقدامات و وسایل حفاظت فنی اختصاص داده شده است، برعکس، شخصی بر مشکلات مرتبط با حفاظت غیر فنی تمرکز می کند. . به عبارت دیگر، اطلاعات مربوط به حفاظت از داده های شخصی روز به روز در دسترس تر می شود، به این معنی که شهروندان در زمینه حفاظت از حقوق خود هوش و ذکاوت بیشتری خواهند داشت.

    کنترل بر اجرای قوانین لازم. فهرست ادبیات مورد استفاده:

    1. قانون فدرال "در مورد بانک ها و فعالیت های بانکی"

    2. www.Grandars.ru [منبع الکترونیکی] حالت دسترسی: http://www.grandars.ru/student/finansy/vozniknovenie-bankov.html (تاریخ دسترسی: 2016/05/05)

    3. In-bank.ru [منبع الکترونیکی] حالت دسترسی: http://journal.ib-bank.ru/post/411 (تاریخ دسترسی: 05/05/2016)

    خلستوا داریا روبرتونا

    پست الکترونیک: [ایمیل محافظت شده]

    ویژگی های حفاظت از داده های شخصی در بخش بانکی

    حاشیه نویسی

    این مقاله ویژگی های حفاظت از داده های شخصی مشتری در بخش بانکی را مورد بحث قرار می دهد. تعدادی از اقدامات قانونی فهرست شده است که بر اساس آنها باید سیستم پردازش و حفاظت از داده های شخصی در بانک ایجاد شود. فهرستی از اقدامات برای سازماندهی امنیت داده ها در موسسات بانکی برجسته شده است.

    کلید واژه ها

    داده های شخصی، امنیت در بانک ها، امنیت اطلاعات،

    حفاظت از اطلاعات شخصی

    حفاظت از داده های شخصی در عصر فناوری اطلاعات اهمیت ویژه ای پیدا کرده است. مواردی بیشتر و بیشتر می شود که مهاجمان با حمله به سیستم های اطلاعاتی سازمان ها به هر گونه اطلاعات محرمانه دسترسی پیدا می کنند. بدون شک، حملات از بخش بانکی دور نمی زند. از آنجایی که سیستم های بانکی حاوی تعداد زیادی از داده های شخصی مشتریان است، امنیت آنها باید تحت توجه جدی دولت و خود صاحبان مؤسسات مالی باشد.

    برای شروع، ارزش آن را دارد که بفهمیم در صورت تبدیل شدن به مشتری، چه نوع داده های شخصی یک شخص می تواند در اختیار بانک قرار گیرد. پس واجب است: نام خانوادگی و نام و نام خانوادگی; تاریخ و محل تولد؛ تابعیت؛ محل ثبت نام و اقامت واقعی؛ تمام اطلاعات گذرنامه (سری، شماره، زمان و توسط چه کسی سند صادر شده است)؛ شماره تلفن همراه و منزل؛ محل کار، موقعیت. در بیشتر موارد، موسسات از یک فرد اطلاعات اضافی می خواهند، اما حتی بدون آن، لیست داده هایی که شخص به بانک اعتماد دارد، چشمگیر است. البته، مشتری امیدوار است که اطلاعات شخصی وی در طول پردازش و ذخیره سازی به طور قابل اعتماد محافظت شود.

    برای اینکه موسسات مالی بتوانند به طور کیفی سیستمی را برای پردازش و حفاظت از داده های شخصی سازماندهی کنند، لازم است فهرستی از اقدامات قانونی که بانک باید هنگام کار با داده های شخصی مشتریان به آنها تکیه کند تعیین کند: قانون اساسی فدراسیون روسیه. مهمترین سند کشور است. قانون کار فدراسیون روسیه؛ قانون مدنی و قانون جزایی فدراسیون روسیه؛ قانون فدرال شماره 152 "در مورد داده های شخصی"؛ قانون فدرال شماره 149 «در

    اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات»؛ قانون فدرال شماره 395-1 "در مورد بانک ها و فعالیت های بانکی". همچنین در بانک ها، هنگام ایجاد سیستمی برای پردازش و ذخیره داده های شخصی، تعدادی از اسناد محلی ایجاد می شود که کنترل بیشتری را بر کار با داده ها فراهم می کند.

    هنگام دریافت اطلاعات شخصی از مشتری، یک سازمان بانکی متعهد به انجام کلیه اقدامات سازمانی و فنی برای محافظت از اطلاعاتی است که به آن سپرده شده است از دسترسی غیرمجاز (تصادفی یا عمدی)، مسدود کردن، اصلاح، تخریب و سایر اقدامات غیرقانونی. شایان ذکر است تعدادی از اقدامات برای سازماندهی کیفی پردازش و حفاظت از داده های شخصی در بانک ها: انتصاب مسئولین پردازش و تضمین امنیت داده ها در سیستم اطلاعات بانک؛ اجرای اقدامات کنترلی و آشنایی کارکنان با چارچوب نظارتی مربوطه و اسناد داخلی که سیستم امنیت داده بانک بر آن استوار است. شناسایی تهدیدات در پردازش داده های شخصی در بانک و اقدامات لازم برای مقابله با آنها. ارزیابی اثربخشی اقدامات سازمانی و فنی اعمال شده برای اطمینان از حفاظت از داده ها، قبل از معرفی سیستم حفاظتی. حسابداری کلیه حامل های ماشینی داده های شخصی؛ ایجاد قوانین برای دسترسی به سیستم پردازش و حفاظت برای کارکنان؛ در صورت شناسایی دسترسی غیرمجاز به داده های محافظت شده، اقدامات لازم برای از بین بردن تهدید و بازیابی داده های از دست رفته انجام شود. و یک اقدام اجباری برای بانک‌هایی که دارای سیستم عملکردی برای ذخیره و محافظت از داده‌های شخصی مشتریان هستند، نظارت مداوم و بهبود سیستم امنیتی است.

    بنابراین، شایان ذکر است که پردازش، ذخیره سازی و حفاظت از داده های شخصی در بانک ها باید بر اساس شرایط تعیین شده توسط چارچوب نظارتی فدراسیون روسیه انجام شود. هر موسسه مالی باید: هنگام سازماندهی حفاظت از داده های شخصی مشتریان خود، اصل قانونی را رعایت کند. انجام طیف گسترده ای از اقدامات برای حفاظت از داده های سازمانی و فنی؛ هنگام ایجاد اسناد محلی مرتبط با امنیت اطلاعات، بر بهترین شیوه های روسیه و بین المللی در این زمینه تکیه کنید. برای اطمینان از حفاظت از اطلاعات شخصی مشتری، تمام الزامات مقامات نظارتی (FSTEC، Roskomnadzor، FSB) را رعایت کنید.

    فهرست ادبیات مورد استفاده:

    1. خلستوا د.ر.، پوپوف ک.گ. "در مورد جنبه های حقوقی حفاظت از داده های شخصی"

    2. قانون فدرال "در مورد بانک ها و فعالیت های بانکی"

    3. بانک روسیه [منبع الکترونیکی] حالت دسترسی: http://www.cbr.ru/ (تاریخ دسترسی: 05/06/2016)

    © Khlestova D.R.، Popov K.G.، 2016

    خلستوا داریا روبرتونا

    دانشجوی سال دوم موسسه اقتصاد و رفتار BashGU، Ufa، RF ایمیل: [ایمیل محافظت شده]پوپوف کریل گنادیویچ کاندیدای اقتصاد، دانشیار گروه امنیت اطلاعات، دانشگاه دولتی باشقیر، اوفا، RF

    پست الکترونیک: [ایمیل محافظت شده]

    هوش تجاری به عنوان قانونی ترین راه برای کسب اطلاعات

    حاشیه نویسی

    این مقاله به روش های هوش تجاری می پردازد. همچنین ثابت شده است که چرا هوش تجاری یک فعالیت قانونی در تجارت است. اصول اساسی برجسته که باید رعایت شود،

    به ویژه برای بخش های روسی شرکت های خارجی در رابطه با اضافه شدن بخش 5 ماده 18 به 152-FZ "در مورد داده های شخصی" مورد تقاضا قرار گرفته است: "... اپراتور موظف است از ضبط، سیستم سازی، انباشت، ذخیره سازی اطمینان حاصل کند. ، شفاف سازی (به روز رسانی، تغییر)، اطلاعات شخصیشهروندان فدراسیون روسیه با استفاده از پایگاه های داده واقع در قلمرو فدراسیون روسیه" . یکسری موارد استثنا در قانون وجود دارد، اما باید اعتراف کنید که در صورت چک توسط رگولاتوری، می خواهید برگه های برنده قابل اعتمادتری نسبت به "اما این به ما ربطی ندارد" داشته باشید.

    مجازات متخلفان بسیار شدید است. فروشگاه های آنلاین، شبکه های اجتماعی، سایت های اطلاعاتی، سایر مشاغل مرتبط با اینترنتدر مورد ادعاهای مقامات نظارتی، آنها در واقع می توانند بسته شوند. شاید در اولین بررسی، رگولاتور برای رفع نواقص وقت بگذارد، اما این دوره معمولاً محدود است. اگر مشکل خیلی سریع حل نشود (که انجام آن بدون آمادگی اولیه دشوار است)، دیگر نمی توان ضررها را جبران کرد. مسدود کردن وب سایت نه تنها منجر به توقف فروش می شود، بلکه به معنای از دست دادن سهم بازار است.

    حضور در "لیست سیاه" ناقضان قانون اطلاعات شخصی برای شرکت های آفلاین کمتر چشمگیر است. اما این مستلزم خطرات اعتباری است که عامل مهمی برای شرکت های خارجی است. علاوه بر این، در حال حاضر تقریبا هیچ فعالیتی وجود ندارد که اصلاً به حفاظت از داده های شخصی مربوط نباشد. بانک ها، تجارت، حتی تولید - همه پایگاه های مشتری را حفظ می کنند، به این معنی که آنها تابع قوانین مربوطه هستند.

    در اینجا مهم است که درک کنیم که در داخل شرکت ها نیز نمی توان این موضوع را به صورت مجزا در نظر گرفت. حفاظت از داده های شخصی را نمی توان با نصب ابزارهای امنیتی تایید شده روی سرورها و قفل کردن کارت های کاغذی در گاوصندوق محدود کرد. داده های شخصی دارای نقاط ورودی بسیاری به شرکت هستند - بخش های فروش، منابع انسانی، خدمات مشتری، گاهی اوقات مراکز آموزشی، کمیسیون های خرید و سایر بخش ها. مدیریت حفاظت از داده های شخصی یک فرآیند پیچیده است که تأثیر می گذارد آی تی، گردش اسناد، مقررات، ثبت قانونی.

    بیایید نگاهی به آنچه برای اجرا و حفظ چنین فرآیندی لازم است بیندازیم.

    چه داده هایی شخصی در نظر گرفته می شوند

    به بیان دقیق، هر اطلاعاتی که به طور مستقیم یا غیرمستقیم به یک فرد خاص مربوط می شود، اطلاعات شخصی او است. توجه داشته باشید که ما در مورد افراد صحبت می کنیم نه اشخاص حقوقی. به نظر می رسد که برای شروع حفاظت از این داده ها (و همچنین مربوط به آن) کافی است نام و آدرس کامل محل سکونت را مشخص کنید. با این حال، دریافت ایمیل حاوی اطلاعات شخصی افراد به صورت امضا و شماره تلفن دلیلی برای محافظت از آنها نیست. اصطلاح کلیدی: "مفهوم جمع آوری داده های شخصی". برای روشن شدن زمینه، می خواهم به طور خاص چندین ماده از قانون "در مورد داده های شخصی" را برجسته کنم.

    ماده 5. اصول پردازش داده های شخصی. باید اهداف روشنی وجود داشته باشد که مشخص کند چرا این اطلاعات جمع آوری می شود. در غیر این صورت، حتی با رعایت کامل سایر هنجارها و قوانین، تحریم ها محتمل است.

    ماده 10. دسته های ویژه داده های شخصی. به عنوان مثال، بخش پرسنل می تواند محدودیت هایی را در سفرهای کاری، از جمله بارداری کارمندان، رفع کند. البته، چنین اطلاعات اضافی نیز مشمول حفاظت هستند. این امر درک PD و همچنین لیست بخش ها و مخازن اطلاعات شرکت را که در آن حفاظت باید مورد توجه قرار گیرد بسیار گسترش می دهد.

    ماده 12. انتقال فرامرزی داده های شخصی. اگر یک سیستم اطلاعاتی با داده های مربوط به شهروندان فدراسیون روسیه در قلمرو کشوری قرار دارد که کنوانسیون حفاظت از داده های شخصی را تصویب نکرده است (به عنوان مثال، در اسرائیل)، مفاد قانون روسیه باید رعایت شود.

    ماده 22. اطلاعیه در مورد پردازش داده های شخصی. پیش نیازی برای عدم جلب توجه نابجای تنظیم کننده. اگر فعالیت های تجاری مرتبط با داده های شخصی را انجام می دهید - خودتان آن را گزارش دهید، بدون اینکه منتظر بررسی باشید.

    جایی که داده های شخصی ممکن است قرار گیرد

    از نظر فنی، PD را می توان در هر جایی، از رسانه های چاپی (کابینت فایل های کاغذی) تا رسانه های ماشینی (هارد دیسک، درایوهای فلش، سی دی و غیره) قرار داد. یعنی تمرکز بر هر ذخیره سازی داده ای است که تحت تعریف ISPD (سیستم های اطلاعات داده های شخصی) قرار می گیرد.

    جغرافیای محل یک مسئله بزرگ جداگانه است. از یک طرف، داده های شخصی روس ها (افرادی که شهروند فدراسیون روسیه هستند) باید در قلمرو فدراسیون روسیه ذخیره شوند. از سوی دیگر، در حال حاضر بیشتر بردار توسعه وضعیت است تا یک واقعیت انجام شده. بسیاری از شرکت‌های بین‌المللی و صادراتی، هلدینگ‌های مختلف، سرمایه‌گذاری‌های مشترک در طول تاریخ دارای زیرساخت توزیع‌شده بوده‌اند - و این یک شبه تغییر نخواهد کرد. برخلاف روش‌های ذخیره‌سازی و حفاظت از داده‌های شخصی، که تقریباً اکنون باید بلافاصله تنظیم شوند.

    حداقل فهرست دپارتمان های درگیر در ضبط، سازماندهی، انباشت، ذخیره سازی، شفاف سازی (به روز رسانی، تغییر)، استخراج PD:

    • خدمات پرسنلی.
    • بخش فروش.
    • بخش قانونی.

    از آنجایی که نظم کامل به ندرت حاکم می شود، در واقعیت، اغلب غیرقابل پیش بینی ترین واحدها را می توان به این لیست "مورد انتظار" اضافه کرد. به عنوان مثال، یک انبار ممکن است اطلاعات شخصی در مورد تامین کنندگان داشته باشد، یا یک سرویس امنیتی ممکن است سوابق دقیق خود را از همه افرادی که وارد قلمرو می شوند حفظ کند. بنابراین، به هر حال، ترکیب PD برای کارمندان را می توان با داده های مربوط به مشتریان، شرکا، پیمانکاران، و همچنین بازدیدکنندگان تصادفی و حتی سایر افراد تکمیل کرد - که PD آنها هنگام عکسبرداری برای پاس، اسکن یک شناسه، "جنایت" می شود. کارت و در برخی موارد دیگر. ACS (سیستم های کنترل و مدیریت دسترسی) می تواند به راحتی به منبع مشکلات در زمینه حفاظت از داده های شخصی تبدیل شود. بنابراین، پاسخ به سوال "کجا؟" از نظر رعایت قانون، به نظر می رسد: در همه جا در قلمرو پاسخگو. تنها با انجام ممیزی مناسب می توان پاسخ دقیق تری داد. این مرحله اول است پروژهبرای حفاظت از داده های شخصی لیست کامل مراحل کلیدی آن:

    1) حسابرسی وضعیت فعلی شرکت.

    2) طراحی راه حل فنی.

    3) تهیه فرآیندی برای حفاظت از داده های شخصی.

    4) تأیید راه حل فنی و فرآیند حفاظت از داده های شخصی برای انطباق با قوانین فدراسیون روسیه و مقررات شرکت.

    5) اجرای راه حل فنی.

    6) راه اندازی فرآیند حفاظت از داده های شخصی.

    1. حسابرسی وضعیت موجود در شرکت

    اول از همه، با خدمات پرسنل و سایر بخش هایی که از رسانه های کاغذی با داده های شخصی استفاده می کنند، بررسی کنید:

    • آیا اشکالی از رضایت برای پردازش داده های شخصی وجود دارد؟ آیا تکمیل و امضا شده اند؟
    • آیا "آیین نامه مربوط به ویژگی های پردازش داده های شخصی بدون استفاده از ابزارهای اتوماسیون انجام می شود" مورخ 15 سپتامبر 2008 شماره 687 رعایت می شود؟

    تعیین موقعیت جغرافیایی ISPD:

    • در چه کشورهایی هستند؟
    • بر چه اساسی؟
    • آیا قراردادهایی برای استفاده از آنها وجود دارد؟
    • چه حفاظت تکنولوژیکی برای جلوگیری از نشت PD استفاده می شود؟
    • چه اقدامات سازمانی برای محافظت از PD انجام می شود؟

    در حالت ایده آل، یک سیستم اطلاعاتی با PD روس ها باید تمام الزامات قانون 152-FZ "در مورد داده های شخصی" را رعایت کند، حتی اگر در خارج از کشور واقع شده باشد.

    در نهایت، به لیست چشمگیر اسنادی که در صورت تأیید مورد نیاز است توجه کنید (این همه نیست، فقط فهرست اصلی):

    • اعلان پردازش PD.
    • سندی که فرد مسئول سازماندهی پردازش PD را شناسایی می کند.
    • فهرست کارکنان مجاز به پردازش PD.
    • سندی که محل ذخیره سازی PD را تعیین می کند.
    • اطلاعات در مورد پردازش دسته های خاص و بیومتریک داده های شخصی.
    • گواهی انتقال برون مرزی PD.
    • فرم های استاندارد اسناد با PD.
    • فرم استاندارد رضایت برای پردازش داده های شخصی.
    • روش انتقال PD به اشخاص ثالث.
    • روش حسابداری برای درخواست های افراد PD.
    • فهرست سیستم های اطلاعات شخصی (ISPD).
    • اسناد تنظیم کننده پشتیبان گیری از داده ها در ISPD.
    • فهرست ابزارهای امنیت اطلاعات مورد استفاده
    • روش برای از بین بردن PD.
    • ماتریس دسترسی
    • مدل تهدید
    • دفترچه گزارش رسانه ماشین PD.
    • سندی که سطوح امنیت هر ISPD را مطابق با PP-1119 مورخ 1 نوامبر 2012 "در مورد تایید الزامات حفاظت از داده های شخصی در حین پردازش آنها در سیستم های اطلاعات داده های شخصی" تعریف می کند.

    2. طراحی راه حل فنی

    شرح اقدامات سازمانی و فنی که باید برای محافظت از PD انجام شود در فصل 4 آورده شده است. "تعهدات اپراتور" قانون 152-FZ "در مورد داده های شخصی". راه حل فنی باید بر اساس مفاد ماده 2 قانون 242-FZ مورخ 21 ژوئیه 2014 باشد.

    اما چگونه می توان از قانون پیروی کرد و PD شهروندان فدراسیون روسیه در خاک روسیه را در شرایطی که ISPD هنوز در خارج از کشور قرار دارد، پردازش کرد؟ چندین گزینه در اینجا وجود دارد:

    • انتقال فیزیکی سیستم اطلاعات و پایگاه داده به قلمرو فدراسیون روسیه. اگر از نظر فنی امکان پذیر باشد، ساده ترین خواهد بود.
    • ما ISPD را در خارج از کشور ترک می کنیم، اما در روسیه یک کپی از آن ایجاد می کنیم و تکثیر یک طرفه PD شهروندان فدراسیون روسیه را از یک نسخه روسی به یک کپی خارجی ایجاد می کنیم. در عین حال، در یک سیستم خارجی، لازم است امکان تغییر داده های شخصی شهروندان فدراسیون روسیه، تمام ویرایش ها فقط از طریق ISPD روسیه حذف شود.
    • چندین ISPD وجود دارد و همه آنها در خارج از کشور هستند. انتقال ممکن است گران باشد یا حتی از نظر فنی غیرممکن باشد (به عنوان مثال، جدا کردن بخشی از پایگاه داده با اطلاعات شخصی شهروندان فدراسیون روسیه و انتقال آن به روسیه غیرممکن است). در این مورد، راه حل ممکن است ایجاد یک ISPD جدید بر روی هر پلتفرم موجود در سروری در روسیه باشد، که از آنجا همانند سازی یک طرفه به هر ISPD خارجی انجام می شود. توجه داشته باشم که انتخاب پلت فرم به عهده شرکت است.

    اگر PDIS به طور کامل و انحصاری به روسیه منتقل نشده است، فراموش نکنید که در گواهی انتقال داده های مرزی مشخص کنید که به چه کسی و کدام مجموعه خاص از PD ارسال می شود. هدف از انتقال داده های شخصی باید در اطلاعیه پردازش ذکر شود. باز هم این هدف باید مشروع و واضح باشد.

    3. آماده سازی فرآیند برای حفاظت از داده های شخصی

    فرآیند حفاظت از داده های شخصی باید حداقل نکات زیر را مشخص کند:

    • فهرست افراد مسئول پردازش داده های شخصی در شرکت.
    • روش اعطای دسترسی به ISPD. در حالت ایده آل، این یک ماتریس دسترسی با سطح دسترسی برای هر موقعیت یا کارمند خاص (خواندن/خواندن-نوشتن/تغییر) است. یا لیستی از PD موجود برای هر موقعیت. همه چیز به پیاده سازی IP و الزامات شرکت بستگی دارد.
    • ممیزی دسترسی به داده های شخصی و تجزیه و تحلیل تلاش های دسترسی با نقض سطوح دسترسی.
    • تجزیه و تحلیل دلایل عدم دسترسی به داده های شخصی.
    • روش پاسخگویی به درخواست‌های افراد PD در مورد PD آنها.
    • بازبینی لیست داده های شخصی که به خارج از شرکت منتقل می شود.
    • بررسی گیرندگان داده های شخصی، از جمله در خارج از کشور.
    • بررسی دوره ای مدل تهدید برای PD، و همچنین تغییر در سطح حفاظت از داده های شخصی به دلیل تغییر در مدل تهدید.
    • به روز نگه داشتن اسناد شرکت (لیست بالا و در صورت لزوم می توان آن را تکمیل کرد).

    در اینجا می توانید جزئیات هر مورد را توضیح دهید، اما من می خواهم به سطح امنیت توجه ویژه ای داشته باشم. بر اساس اسناد زیر تعیین می شود (به ترتیب بخوانید):

    1. «روش تعیین تهدیدهای فعلی امنیتداده های شخصی در حین پردازش آنها در سیستم های اطلاعات داده های شخصی» (FSTEC RF 14 فوریه 2008).

    2. فرمان شماره 1119 دولت فدراسیون روسیه به تاریخ 1 نوامبر 2012 "در مورد تصویب الزامات حفاظت از داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی".

    3. دستور شماره 21 FSTEC مورخ 18 فوریه 2013 "در مورد تصویب ترکیب و محتوای اقدامات سازمانی و فنی برای اطمینان از امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی."

    همچنین، فراموش نکنید که نیاز به چنین دسته هایی از هزینه ها را در نظر بگیرید:

    • سازمان تیم پروژهو مدیریت پروژه
    • توسعه دهندگان برای هر یک از پلتفرم های ISPD.
    • ظرفیت های سرور (خود یا اجاره ای در مرکز داده).

    تا پایان مراحل دوم و سوم پروژه، باید داشته باشید:

    • محاسبه هزینه.
    • الزامات کیفیت
    • زمان بندی و برنامه زمان بندی پروژه.
    • ریسک های فنی و سازمانی پروژه.

    4. تأیید راه حل فنی و فرآیند حفاظت از داده های شخصی برای انطباق با قوانین فدراسیون روسیه و مقررات شرکت

    از نظر عبارت کوتاه است، اما یک مرحله مهم است، که در آن باید مطمئن شوید که تمام اقدامات برنامه ریزی شده با قوانین فدراسیون روسیه و قوانین شرکت (به عنوان مثال، سیاست های امنیتی) مغایرت ندارد. اگر این کار انجام نشود، بمبی در پایه پروژه گذاشته می شود که می تواند در آینده "منفجر شود" و مزایای نتایج به دست آمده را از بین ببرد.

    5. اجرای راه حل فنی

    اینجا همه چیز کم و بیش آشکار است. جزئیات به موقعیت اولیه و تصمیمات بستگی دارد. اما به طور کلی، تصویر باید چیزی شبیه به این باشد:

    • ظرفیت های سرور اختصاص داده شده است.
    • مهندسان شبکه پهنای باند کافی بین گیرنده و فرستنده PD فراهم کرده اند.
    • توسعه دهندگان همانندسازی بین پایگاه های داده ISPD ایجاد کرده اند.
    • مدیران از تغییرات ISPD واقع در خارج از کشور جلوگیری کرده اند.

    شخصی که مسئول حفاظت از PD یا "مالک فرآیند" است می تواند یک شخص یا متفاوت باشد. این واقعیت که "مالک فرآیند" باید تمام اسناد را آماده کند و کل فرآیند محافظت از PD را سازماندهی کند. برای انجام این کار، باید به همه طرف های ذینفع اطلاع داده شود، به کارکنان آموزش داده شود و سرویس فناوری اطلاعات باید اجرای اقدامات حفاظت از داده های فنی را تسهیل کند.

    6. راه اندازی فرآیند حفاظت از داده های شخصی

    این یک گام مهم است و به یک معنا، هدف کل پروژه کنترل جریان است. علاوه بر راه حل های فنی و اسناد نظارتی، نقش مالک فرآیند در اینجا بسیار مهم است. او باید تغییرات را نه تنها در قوانین، بلکه در زیرساخت فناوری اطلاعات نیز دنبال کند. این بدان معناست که مهارت ها و شایستگی های مناسب مورد نیاز است.

    علاوه بر این، که در شرایط واقعی کار بسیار مهم است، صاحب فرآیند حفاظت از PD نیاز به تمام اختیارات لازم و پشتیبانی اداری از مدیریت شرکت دارد. در غیر این صورت ، این یک "گدا" ابدی خواهد بود که هیچ کس به آن توجهی نمی کند و پس از مدتی می توان پروژه را مجدداً شروع کرد و دوباره از حسابرسی شروع کرد.

    تفاوت های ظریف

    چند نکته که به راحتی قابل چشم پوشی است:

    • اگر با یک مرکز داده کار می کنید، برای ارائه خدمات ظرفیت سرور به قراردادی نیاز دارید که بر اساس آن شرکت شما به صورت قانونی داده ها را ذخیره و کنترل می کند.
    • شما به مجوزهایی برای نرم افزاری نیاز دارید که برای جمع آوری، ذخیره و پردازش PD یا قراردادهای اجاره برای آن استفاده می شود.
    • اگر ISPD در خارج از کشور واقع شده است، با شرکتی که مالک سیستم در آنجا است، به توافق نامه نیاز است - برای تضمین انطباق با قوانین فدراسیون روسیه در رابطه با داده های شخصی روس ها.
    • اگر داده های شخصی به پیمانکار شرکت شما (به عنوان مثال، یک شریک برون سپاری فناوری اطلاعات) منتقل شود، در صورت نشت PD از طرف برون سپاری، شما مسئول ادعاها خواهید بود. به نوبه خود، شرکت شما می تواند ادعاهایی را به برون سپاری ارائه دهد. شاید این عامل بر واقعیت انتقال کار به برون سپاری تأثیر بگذارد.

    و بار دیگر، مهمترین چیز این است که حفاظت از داده های شخصی نمی تواند گرفته شود و تضمین شود. این یک فرآیند است. یک فرآیند تکراری مستمر که به شدت به تغییرات بیشتر در قوانین و همچنین به شکل و سختی اعمال این قوانین در عمل بستگی دارد.

    امنیت اطلاعات شخصی در بانک

    داده های شخصی چیست؟

    طبق تعریف قانون فدرال، داده های شخصی هر گونه اطلاعات مربوط به یک فرد است که بر اساس چنین اطلاعاتی (موضوع داده های شخصی) شناسایی یا تعیین می شود، از جمله نام خانوادگی، نام، نام خانوادگی، سال، ماه، تاریخ و محل تولد، آدرس، خانواده، اجتماعی، وضعیت دارایی، تحصیلات، حرفه، درآمد، سایر اطلاعات.

    اطلاعات شخصی در کجا قرار دارد؟

    داده های شخصی (PD) در بانک در سیستم های زیر قرار دارد:

    سیستم بانکی خودکار (ABS)؛

    سیستم های مشتری-بانک؛

    سیستم های انتقال پول فوری؛

    سیستم های حسابداری؛

    سیستم های حسابداری پرسنلی؛

    سیستم اطلاعات شرکت؛

    پورتال وب داخلی

    PD ممکن است در اسناد کاغذی (قراردادها، فرم‌ها، سفارش‌ها، دستورالعمل‌ها، پرسشنامه‌ها، توافق‌نامه‌ها و غیره) وجود داشته باشد.

    چه اسنادی الزامات حفاظت از داده های شخصی را تعیین می کند؟

    قوانین فدرال

    قانون فدرال شماره 149-FZ مورخ 27 ژوئیه 2006 "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات"؛

    احکام دولت

    فرمان شماره 781 دولت فدراسیون روسیه مورخ 17 نوامبر 2007 "در مورد تصویب مقررات مربوط به تضمین امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی"؛

    فرمان شماره 957 دولت فدراسیون روسیه مورخ 29 دسامبر 2007 "در مورد تصویب مقررات مربوط به صدور مجوز انواع خاصی از فعالیت های مربوط به ابزارهای رمزگذاری (رمز نگاری)"؛

    فرمان شماره 687 دولت فدراسیون روسیه در 15 سپتامبر 2008 "در مورد تصویب مقررات در مورد ویژگی های پردازش داده های شخصی بدون استفاده از ابزارهای اتوماسیون".

    FSTEC روسیه

    دستور مشترک FSTEC روسیه، FSB روسیه و وزارت اطلاعات و ارتباطات روسیه مورخ 13 فوریه 2008 به شماره 55/86/20 "در مورد تصویب رویه طبقه بندی سیستم های اطلاعات داده های شخصی"؛

    سند راهنمای FSTEC روسیه "مدل اساسی تهدیدات برای امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعاتی داده های شخصی"؛

    سند راهنمای FSTEC روسیه "روش تعیین تهدیدهای واقعی برای امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعاتی داده های شخصی"؛

    دستور FSTEC روسیه مورخ 5 فوریه 2010 شماره 58 "در مورد تصویب مقررات روش ها و روش های حفاظت از اطلاعات در داده های شخصی اطلاعاتی".

    FSB روسیه

    دستور FAPSI مورخ 13 ژوئن 2001 شماره 152 "در مورد تصویب دستورالعمل های سازماندهی و تضمین امنیت ذخیره سازی، پردازش و انتقال از طریق کانال های ارتباطی با استفاده از حفاظت رمزنگاری شده از اطلاعات با دسترسی محدود که حاوی اطلاعاتی است که راز دولتی را تشکیل نمی دهد".

    دستور سرویس امنیت فدرال فدراسیون روسیه در تاریخ 9 فوریه 2005 شماره 66 "در مورد تصویب مقررات مربوط به توسعه، تولید، فروش و بهره برداری از ابزارهای حفاظت از اطلاعات رمزگذاری (رمز نگاری) (مقررات PKZ-2005)"؛

    سند راهنمای FSB روسیه مورخ 21 فوریه 2008 شماره 149 / 54-144 "دستورالعمل برای اطمینان از امنیت داده های شخصی با استفاده از ابزارهای رمزنگاری هنگام پردازش آنها در سیستم های اطلاعات شخصی با استفاده از ابزارهای اتوماسیون"؛

    سند راهنمای FSB روسیه مورخ 21 فوریه 2008 شماره 149/6/6-622 "الزامات معمولی برای سازماندهی و عملیات رمزگذاری (رمز نگاری) ابزار طراحی شده برای محافظت از اطلاعاتی که حاوی اطلاعاتی است که یک راز دولتی را تشکیل نمی دهد، در صورتی که آنها برای اطمینان از امنیت داده های شخصی در طول پردازش آنها در سیستم های اطلاعات داده های شخصی استفاده می شوند.

    استاندارد بانک روسیه

    STO BR IBBS-1.0-2010 "تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. مقررات عمومی»؛

    STO BR IBBS-1.1-2007 "تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. ممیزی امنیت اطلاعات»؛

    STO BR IBBS-1.2-2010 "تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. روش ارزیابی انطباق امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه با الزامات STO BR IBBS-1.0-20xx"؛

    RS BR IBBS-2.0-2007 "تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. دستورالعمل های مستندسازی در زمینه امنیت اطلاعات مطابق با الزامات STO BR IBBS-1.0"؛

    RS BR IBBS-2.1-2007 "تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. راهنمای خود ارزیابی انطباق امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه با الزامات STO BR IBBS-1.0"؛

    RS BR IBBS-2.3-2010 "تامین امنیت اطلاعات برای سازمان های سیستم بانکی فدراسیون روسیه. الزامات اطمینان از امنیت داده های شخصی در سیستم های اطلاعاتی داده های شخصی سازمان های سیستم بانکی فدراسیون روسیه"؛

    RS BR IBBS-2.4-2010 "تامین امنیت اطلاعات برای سازمان های سیستم بانکی فدراسیون روسیه. مدل خصوصی صنعت تهدیدات امنیتی داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعاتی PD سازمان های بانک های سیستم بانکی فدراسیون روسیه"؛

    توصیه های روش شناختی برای انطباق با الزامات قانونی هنگام پردازش داده های شخصی در سازمان های RF BS، که به طور مشترک توسط بانک روسیه، ARB و انجمن بانک های منطقه ای روسیه (انجمن Rossiya) ایجاد شده است.

    چگونه باید از داده های شخصی محافظت شود؟

    با توجه به الزامات اسناد روش شناختی برای حفاظت از PD، زیرسیستم های زیر برای همه انواع ISPD مشترک هستند:

    زیرسیستم کنترل دسترسی؛

    زیر سیستم ثبت و حسابداری؛

    زیرسیستم یکپارچگی؛

    زیرسیستم امنیت اینترنت

    اگر ISPD به اینترنت متصل است، باید از زیرسیستم های زیر نیز استفاده شود:

    زیرسیستم امنیت آنتی ویروس؛

    زیرسیستم تشخیص نفوذ؛

    زیرسیستم تحلیل امنیتی

    همچنین استفاده از قفل های الکترونیکی و/یا کلیدهای الکترونیکی برای شناسایی ایمن و احراز هویت کاربران ضروری است.

    اگر ISPD علاوه بر توزیع برای جلوگیری از دسترسی غیرمجاز با جداسازی اطلاعات محافظت شده از اطلاعات عمومی، استفاده از رمزنگاری هنگام انتقال PD از طریق کانال های ارتباطی ناامن و همچنین امضای دیجیتال برای تأیید صحت داده ها ضروری است.

    چنین تقسیم بندی به زیرسیستم ها و تشکیل لیستی از محصولات برای حفاظت از داده های شخصی بر اساس آنها به طور کلی پذیرفته شده است و در بیشتر موارد استفاده می شود.

    از چه چیزی برای محافظت از داده های شخصی لازم است؟

    اگر وظیفه فقط اطمینان از محرمانه بودن PD باشد، لازم است اقدامات و / یا استفاده از ابزارهای فنی با هدف جلوگیری از دسترسی غیرمجاز انجام شود، پس چنین PDIS معمولی می شود.

    اگر الزامات اضافی برای اطمینان از سایر ویژگی های امنیت اطلاعات، مانند اطمینان از یکپارچگی، در دسترس بودن، و همچنین مشتقات آنها (عدم انکار، پاسخگویی، کفایت، قابلیت اطمینان و غیره) اعمال شود، آنگاه چنین ISPD ویژه می شود. در بیشتر موارد، هر ISPD خاصی خواهد بود، یعنی علاوه بر کلاس های PD، برای تعیین مکانیسم های حفاظتی، لازم است که توسط مدل تهدید ایجاد شده برای این کار هدایت شود.

    چگونه کلاس PD را کاهش دهیم؟

    به منظور کاهش و ساده سازی اقدامات برای محافظت از PD، بانک ها از ترفندهای مختلفی استفاده می کنند. در زیر معمولی ترین روش ها را برای کاهش هزینه تجهیزات حفاظتی ارائه می دهم. با این حال، به خودی خود، چنین "تغییر شکل" سیستم های اطلاعاتی بانک یک کار نسبتا پیچیده و زمان بر است.

    کاهش تعداد سایت ها

    همانطور که در بالا نشان داده شده است، اگر ISPD توزیع شده باشد، الزامات بیشتری بر حفاظت از آن اعمال می شود، به منظور کاهش آنها، باید سعی کنید از ISPD توزیع شده دور شوید.

    با یک ISPD توزیع شده، PD ها در سایت های مختلف قرار می گیرند، PD ها از طریق کانال های ارتباطی که توسط بانک کنترل نمی شود، منتقل می شوند و در حالت کلی، به این معنی است که PD ها وارد یا خارج می شوند منطقه کنترل شده. سپس، اول از همه، لازم است PD را با کاهش تعداد سایت هایی که در آن قرار خواهند گرفت، بومی سازی کرد. در برخی موارد، این واقعی است، اما اگر ABS را در نظر بگیریم، به احتمال زیاد چنین امکانی وجود نخواهد داشت.

    کاهش تعداد سرورها

    اگر ISPD محلی است، یعنی در داخل شبکه محلی بانک عمل می کند، ساده ترین راه برای کاهش هزینه های حفاظتی، کاهش میزان تجهیزات سروری است که PD در آن وجود دارد و/یا پردازش می شود.

    کاهش تعداد ایستگاه های کاری و پرسنل

    با هر نوع ISPD (به شکل AWS، محلی، توزیع شده)، پردازش نهایی PD، به عنوان یک قاعده، توسط پرسنل بانک انجام می شود. اگر از دسترسی به ترمینال استفاده نمی کنید که در ادامه به آن پرداخته خواهد شد، کاهش تعداد پرسنل بانک درگیر در پردازش داده های شخصی یا دسترسی به آنها منطقی است.

    اشتراک گذاری آی سی با ITU

    به منظور کاهش میزان PD و در نتیجه کاهش هزینه ابزارهای حفاظتی، یک راه خوب تقسیم شبکه های اطلاعاتی به بخش هایی است که در آنها PD پردازش می شود. برای انجام این کار، نصب و استفاده از فایروال هایی ضروری است که به پورت های آنها باید سگمنت های دارای PD متصل شوند. اغلب، تمام تجهیزات سرور در منطقه غیرنظامی قرار دارند، یعنی در بخش هایی که توسط فایروال ها از شبکه های عمومی و بانکی جدا شده اند. این روش همچنین مستلزم "تغییر شکل" قابل توجهی در شبکه های اطلاعاتی است. یک روش مبتنی بر به اصطلاح "رمزگذاری خطی" وجود دارد، یعنی رمزگذاری کانال مشتری-مشتری، مشتری-سرور، کانال سرور-سرور. چنین رمزگذاری ترافیک شبکه را می توان هم با استفاده از ابزارهای حفاظتی ویژه و هم با استفاده از فناوری استاندارد IPSec اجرا کرد، با این حال، توسط FSB روسیه تأیید نشده است، که این نقطه ضعف قابل توجه آن است.

    راه دیگری برای جداسازی ISPD ها در کل شبکه می تواند فناوری شبکه های مجازی - VLAN ها باشد، اما در واقع VLAN فقط یک شناسه در یکی از فیلدهای بسته شبکه است که به ما امکان می دهد از این فناوری به عنوان "IT" صحبت کنیم. بنابراین، جداسازی شبکه‌های با استفاده از VLAN، از استفاده از فناوری‌های امنیت اطلاعات مستثنی نیست.

    تقسیم بانک های اطلاعاتی به قطعات

    بیایید فرض کنیم که یک پایگاه داده متشکل از هزاران رکورد وجود دارد: و مبلغ سپرده

    بیایید دو پایگاه داده دیگر ایجاد کنیم. بیایید یک شناسه منحصر به فرد اضافی وارد کنیم. جدول را به دو قسمت تقسیم می کنیم، در قسمت اول فیلدهای نام کامل و شناسه و در قسمت دیگر شناسه و میزان مشارکت را قرار می دهیم.

    بنابراین، اگر هر کارمند بتواند تنها یکی از این پایگاه‌های داده جدید را مدیریت کند، حفاظت از PD بسیار ساده‌تر می‌شود، اگر به هیچ‌وجه کاهش نیابد. بدیهی است که ارزش چنین پایگاه داده ای به طور قابل توجهی کمتر از پایگاه داده اصلی است. هر دو پایگاه داده در امن ترین سرور قرار خواهند گرفت. در واقع، فیلدهای بسیار بیشتری در پایگاه داده وجود دارد، اما این اصل تقریباً در هر موردی می تواند کار کند، زیرا. تعداد فیلدهایی که از نظر امنیت PD قابل توجه هستند چندان زیاد نیست، بلکه بسیار محدود است. در حالت شدید، می توانید موارد کلیدی را در رایانه شخصی که بخشی از شبکه محلی نیست ذخیره کنید یا حتی از پردازش خودکار استفاده نکنید.

    مسخ شخصیت PD

    طبق تعریف 152-FZ، مسخ شخصیت PD یک عمل است، در نتیجه غیرممکن است که تعیین کنیم آیا PD به یک موضوع خاص PD تعلق دارد یا خیر. از این تعریف مجموعه ای از روش ها به دست می آید که به وسیله آنها می توان PD را به دست آورد، که توسط آنها تعیین مالکیت PD غیرممکن است. به عنوان مثال، اگر داده‌های دقیق برخی از فیلدها برای اهداف پردازش مهم نیست، می‌توانید آنها را نمایش ندهید یا فقط محدوده‌هایی را که در آن قرار دارند نمایش دهید. به عنوان مثال، سن 20-30، 30-40 و غیره. آدرس را می توان به منطقه، ناحیه یا شهر "گرد" کرد: Tsaritsyno، Yuzhny، مسکو. بسته به نیاز، روند مسخ شخصیت PD می تواند برگشت پذیر یا غیر قابل برگشت باشد. برگشت ناپذیر شامل روش های فوق "گرد" و برگشت پذیر، به عنوان مثال، رمزگذاری است. از دیدگاه من، رمزگذاری (رمزگذاری) می تواند راهی برای ناشناس کردن داده ها باشد و باید برای این اهداف استفاده شود.

    "Tin Client" و دسترسی به ترمینال

    استفاده از فن آوری های "Tin Client" و فناوری دسترسی ترمینال مربوطه در سرورها می تواند الزامات حفاظت از داده های شخصی را به میزان قابل توجهی کاهش دهد. واقعیت این است که هنگام استفاده از کلاینت‌های «تین» و دسترسی به ترمینال در رایانه شخصی کارکنان بانک، نیازی به نصب نرم‌افزارهای تخصصی مانند قطعات مشتری پایگاه‌های اطلاعاتی، قطعات مشتری ABS و غیره نیست. همچنین نیازی به نصب ابزار حفاظتی خاصی بر روی رایانه شخصی کارکنان بانک نیست. این فناوری‌ها به شما امکان می‌دهند اطلاعاتی را از پایگاه‌های داده ذخیره شده در سرورهای محل کار خود نمایش دهید و پردازش داده‌های شخصی را مدیریت کنید. این فناوری ها پیش از این ایمن هستند، زیرا. با استفاده از سیاست های پایانه، به راحتی می توان توانایی مشتریان نهایی (کارمندان بانک) را برای کپی کردن و در نتیجه توزیع PD محدود کرد. کانال ارتباطی بین سرورها و رایانه شخصی با "Tin Client" را می توان به راحتی رمزگذاری کرد، یعنی به روش های ساده می توانید از محرمانه بودن داده های ارسال شده اطمینان حاصل کنید.

    سرعت نشت اطلاعات بالقوه فقط توسط کانال بصری که با سرعت دوربین یا دوربین فیلمبرداری تعیین می شود محدود خواهد شد، اما با ارائه اقدامات سازمانی خاص، چنین کپی برداری بسیار دشوار می شود.

    چگونه می توان از داده های شخصی محافظت کرد؟

    در یک مفهوم گسترده، حفاظت در برابر دسترسی غیرمجاز به عنوان مجموعه ای از اقدامات سازمانی و فنی درک می شود. این فعالیت ها بر اساس درک مکانیسم های جلوگیری از دسترسی غیرمجاز در سطوح مختلف است:

    شناسایی و احراز هویت (همچنین دو عاملی یا قوی). این می تواند (سیستم عامل، نرم افزار زیرساخت، نرم افزار کاربردی، سخت افزار، مانند دانگل) باشد.

    ثبت و حسابداری. این می تواند ثبت (ورود، ثبت) رویدادها در تمام سیستم ها، نرم افزارها و ابزارهای فوق باشد.

    تضمین یکپارچگی. این ممکن است محاسبه جمع‌های چک فایل‌های کنترل‌شده، اطمینان از یکپارچگی اجزای نرم‌افزار، استفاده از یک محیط نرم‌افزار بسته، و همچنین اطمینان از راه‌اندازی سیستم‌عامل قابل اعتماد باشد.

    فایروال، هم دروازه و هم محلی؛

    امنیت ضد ویروس (حداکثر سه سطح دفاع اعمال می شود، به اصطلاح رویکرد لایه ای یا چند فروشنده)؛

    رمزنگاری (به طور عملکردی در سطوح مختلف مدل OSI (شبکه، حمل و نقل و بالاتر) اعمال می شود و عملکردهای حفاظتی مختلفی را ارائه می دهد.

    چندین محصول پیچیده وجود دارد که عملکرد NSD را توسعه داده اند. همه آنها در انواع برنامه ها، پشتیبانی سخت افزاری، نرم افزار و توپولوژی پیاده سازی متفاوت هستند.

    هنگام توزیع یا اتصال به یک شبکه عمومی (اینترنت، Rostelecom و غیره) ISPD، از محصولات تجزیه و تحلیل امنیتی استفاده می شود (MaxPatrol از Positive Technologies، که هیچ رقیب مستقیمی در فدراسیون روسیه ندارد)، و همچنین تشخیص نفوذ و پیشگیری (IDS / IPS) - هم در سطح دروازه و هم در سطح گره انتهایی.

    چگونه می توان اطلاعات شخصی را منتقل کرد؟

    اگر ISPD توزیع شود، این به معنای نیاز به انتقال PD از طریق کانال های ارتباطی ناامن است. به هر حال، "هوا" برای یک کانال محافظت نشده نیز اعمال می شود. برای محافظت از PD در کانال های ارتباطی می توان از روش های مختلفی استفاده کرد:

    رمزگذاری کانال ارتباطی می توان آن را به هر طریقی ارائه کرد، مانند VPN بین دروازه ها، VPN بین سرورها، VPN بین ایستگاه های کاری (InfoTecs ViPNet Custom، Informzaschita APKSh Continent و غیره).

    سوئیچینگ بسته MPLS. بسته ها در طول مسیرهای مختلف مطابق با برچسب های اختصاص داده شده توسط تجهیزات شبکه منتقل می شوند. به عنوان مثال، شبکه MPLS Rostelecom دارای گواهی انطباق شبکه سوئیچینگ بسته با الزامات امنیت اطلاعات FSTEC روسیه است که تضمین کننده امنیت بالای خدمات ارائه شده بر اساس آن است.

    رمزگذاری سند نرم افزارهای مختلفی را می توان برای رمزگذاری فایل های داده و همچنین فایل های کانتینری (ViPNet SafeDisk، InfoWatch CryptoStorage، True Crypt و غیره) استفاده کرد.

    رمزگذاری آرشیوها از آرشیوهای مختلفی می توان استفاده کرد که به شما امکان می دهد با استفاده از الگوریتم های قوی مانند AES فایل ها را بایگانی و رمزگذاری کنید. (WinRAR، WinZIP، 7-ZIP، و غیره).

    آیا باید از تجهیزات حفاظتی تایید شده استفاده کنم؟

    تا به امروز، تنها مورد نیاز FSTEC روسیه از نظر صدور گواهینامه ابزارهای حفاظت از داده های شخصی وجود دارد. الزام مربوط به ارائه سطح 4 از قابلیت های اعلام نشده است، بنابراین، در مورد آخرین موضوع، من فقط سه پایان نامه را ارائه می کنم:

    سیستم صدور گواهینامه برای تجهیزات حفاظتی داوطلبانه است.

    به اندازه کافی برای رعایت الزامات قانون؛

    نیازی به تایید سیستم اطلاعات شخصی به عنوان یک کل نیست.

    شائورو یوجین


    1. مبانی نظری برای امنیت داده های شخصی

    1.1 چارچوب قانونی برای حفاظت از داده های شخصی در فدراسیون روسیه

    1.3.1 شرح کلی منابع تهدید دسترسی غیرمجاز در سیستم اطلاعاتی داده های شخصی.

    1.3.2 مشخصات کلی تهدیدات دسترسی مستقیم به محیط عملیاتی سیستم اطلاعات داده های شخصی

    1.3.3 ویژگی های کلی تهدیدات امنیتی داده های شخصی که با استفاده از پروتکل های کار اینترنتی اجرا می شوند

    1.4 ویژگی های بانک و فعالیت های آن

    1.5 پایگاه داده های شخصی

    1.5.1 سیستم اطلاعاتی داده های شخصی کارکنان سازمان

    1.5.2 سیستم اطلاعات شخصی سیستم کنترل و مدیریت دسترسی

    1.5.3 سیستم اطلاعات شخصی سیستم بانکی خودکار

    1.6 ساختار و تهدیدات شبکه محلی بانک

    1.7 ابزارهای امنیت اطلاعات

    2.2 حفاظت های نرم افزاری و سخت افزاری

    2.3 سیاست امنیتی اساسی

    2.3.1 سیستم آگاهی امنیت اطلاعات برای کارکنان

    2.3.4 نحوه کار کارکنان با ایمیل

    2.3.5 سیاست رمز عبور بانک

    3. توجیه اقتصادی پروژه

    نتیجه


    برنامه های کاربردی.

    معرفی

    کامپیوتری شدن گسترده ای که در پایان قرن بیستم آغاز شد تا به امروز ادامه دارد. اتوماسیون فرآیندها در شرکت ها باعث افزایش بهره وری کارگران می شود. کاربران سیستم های اطلاعاتی می توانند به سرعت داده های لازم برای انجام وظایف خود را به دست آورند. در عین حال، در کنار تسهیل دسترسی به داده ها، مشکلاتی در ایمنی این داده ها وجود دارد. با دسترسی به سیستم های اطلاعاتی مختلف، مهاجمان می توانند از آنها برای منافع شخصی استفاده کنند: جمع آوری داده ها برای فروش آن در بازار سیاه، سرقت پول از مشتریان سازمان، سرقت اسرار تجاری سازمان.

    بنابراین، مشکل حفاظت از اطلاعات بسیار مهم برای سازمان ها بسیار حاد است. به طور فزاینده ای از رسانه ها درباره تکنیک ها یا روش های مختلف سرقت پول از طریق هک کردن سیستم های اطلاعاتی سازمان های مالی مطلع می شود. مهاجم با دسترسی به سیستم های اطلاعاتی داده های شخصی، می تواند داده های مشتریان سازمان های مالی را بدزدد، اطلاعات مربوط به تراکنش های مالی آنها را منتشر کند و باعث آسیب مالی و اعتباری به مشتری بانک شود. علاوه بر این، کلاهبرداران با کسب اطلاعات در مورد مشتری، می‌توانند مستقیماً با مشتری تماس بگیرند و خود را به عنوان کارمند بانک معرفی کنند و با کلاهبرداری با استفاده از تکنیک‌های مهندسی اجتماعی، رمزهای عبور را از سیستم‌های بانکی از راه دور پیدا کنند و از حساب مشتری پول برداشت کنند.

    در کشور ما مشکل سرقت و توزیع غیرقانونی اطلاعات شخصی بسیار حاد است. منابع زیادی در اینترنت وجود دارد که حاوی پایگاه داده های شخصی دزدیده شده است، که با کمک آنها، به عنوان مثال، با شماره تلفن همراه، می توانید اطلاعات بسیار دقیقی از یک شخص، از جمله اطلاعات گذرنامه، آدرس های مسکونی، عکس ها پیدا کنید. و خیلی بیشتر.

    در این پروژه فارغ التحصیلی، من روند ایجاد یک سیستم حفاظت از داده های شخصی در PJSC Citibank را بررسی می کنم.

    1. مبانی امنیت داده های شخصی

    1.1 مبنای قانونی برای حفاظت از داده های شخصی

    امروزه در روسیه، مقررات دولتی در زمینه تضمین امنیت داده های شخصی انجام می شود. قوانین اصلی قانونی تنظیم کننده سیستم حفاظت از داده های شخصی در فدراسیون روسیه قانون اساسی فدراسیون روسیه و قانون فدرال "در مورد داده های شخصی" مورخ 27 ژوئیه 2006 شماره 152-FZ است. این دو قانون اصلی، تزهای اصلی را در مورد داده های شخصی در فدراسیون روسیه ایجاد می کند:

    هر شهروند حق دارد از حریم خصوصی، اسرار شخصی و خانوادگی، حفاظت از ناموس و نام نیک خود برخوردار باشد.

    هر کس حق دارد از حریم خصوصی مکاتبات، مکالمات تلفنی، پستی، تلگرافی و سایر ارتباطات برخوردار باشد. محدودیت این حق تنها بر اساس تصمیم دادگاه مجاز است.

    جمع آوری، ذخیره، استفاده و انتشار اطلاعات در مورد زندگی خصوصی یک شخص بدون رضایت او مجاز نیست.

    پردازش داده های شخصی باید بر اساس قانونی و منصفانه انجام شود.

    پردازش داده های شخصی باید محدود به دستیابی به اهداف خاص، از پیش تعیین شده و مشروع باشد. پردازش داده های شخصی که با اهداف جمع آوری داده های شخصی ناسازگار است مجاز نیست.

    ترکیب پایگاه‌های اطلاعاتی حاوی داده‌های شخصی، که پردازش آنها برای اهداف ناسازگار با یکدیگر انجام می‌شود، مجاز نیست.

    فقط داده های شخصی که اهداف پردازش آنها را برآورده می کند، تحت پردازش قرار می گیرند.

    هنگام پردازش داده های شخصی، باید از صحت داده های شخصی، کافی بودن آنها و در صورت لزوم ارتباط آنها با اهداف پردازش داده های شخصی اطمینان حاصل شود. اپراتور باید اقدامات لازم را انجام دهد یا اطمینان حاصل کند که برای حذف یا شفاف سازی داده های ناقص یا نادرست انجام شده است.

    ذخیره سازی داده های شخصی باید به شکلی انجام شود که امکان تعیین موضوع داده های شخصی را فراهم کند، نه بیشتر از زمانی که برای اهداف پردازش داده های شخصی لازم است، مگر اینکه دوره ذخیره سازی داده های شخصی توسط قانون فدرال تعیین شده باشد، توافق نامه ای موضوع داده های شخصی یک طرف، ذینفع یا ضامن است. داده‌های شخصی پردازش‌شده با دستیابی به اهداف پردازش یا در صورت از بین رفتن نیاز به دستیابی به این اهداف، در معرض تخریب یا غیرشخصی‌سازی قرار می‌گیرند، مگر اینکه قانون فدرال به‌طور دیگری مقرر کرده باشد.

    سایر مقرراتی که تأثیر قانونی در زمینه حفاظت از داده های شخصی در سازمان های بخش بانکی فدراسیون روسیه دارند عبارتند از:

    قانون فدرال فدراسیون روسیه مورخ 27 ژوئیه 2006 شماره 149 FZ "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات"؛

    قانون کار فدراسیون روسیه (فصل 14)؛

    فرمان دولت فدراسیون روسیه مورخ 1 نوامبر 2012 شماره 1119 "در مورد تایید الزامات حفاظت از داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی"؛

    دستور FSTEC روسیه مورخ 18 فوریه 2013 شماره 21 "در مورد تصویب ترکیب و محتوای اقدامات سازمانی و فنی برای اطمینان از امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی".

    تعاریف اصلی مورد استفاده در قانون را در نظر بگیرید.

    داده های شخصی - هر گونه اطلاعات مربوط به یک شخص حقیقی به طور مستقیم یا غیر مستقیم شناسایی شده یا قابل شناسایی (موضوع داده های شخصی).

    اپراتور داده های شخصی - یک نهاد دولتی، ارگان شهرداری، شخص حقوقی یا فردی، به طور مستقل یا مشترک با سایر افراد که پردازش داده های شخصی را سازماندهی و (یا) انجام می دهند و همچنین اهداف پردازش داده های شخصی، ترکیب اطلاعات شخصی را تعیین می کنند. داده هایی که باید پردازش شوند، اقدامات (عملیات) انجام شده با داده های شخصی؛

    پردازش داده های شخصی - هر عمل (عملیات) یا مجموعه ای از اقدامات (عملیات) انجام شده با یا بدون استفاده از ابزارهای اتوماسیون با داده های شخصی، از جمله جمع آوری، ضبط، سیستم سازی، انباشت، ذخیره سازی، شفاف سازی (به روز رسانی، تغییر)، استخراج. ، استفاده، انتقال (توزیع، ارائه، دسترسی)، غیر شخصی سازی، مسدود کردن، حذف، تخریب داده های شخصی؛

    پردازش خودکار داده های شخصی - پردازش داده های شخصی با استفاده از فناوری رایانه؛

    انتشار داده های شخصی - اقداماتی با هدف افشای داده های شخصی به دایره نامحدودی از افراد؛

    ارائه داده های شخصی - اقداماتی با هدف افشای داده های شخصی به یک شخص خاص یا یک حلقه خاص از افراد؛

    مسدود کردن داده های شخصی - تعلیق موقت پردازش داده های شخصی (مگر اینکه پردازش برای شفاف سازی داده های شخصی ضروری باشد).

    تخریب داده های شخصی - اقداماتی که در نتیجه بازیابی محتوای داده های شخصی در سیستم اطلاعات داده های شخصی غیرممکن می شود و (یا) در نتیجه حامل های مادی داده های شخصی از بین می روند.

    شخصی سازی اطلاعات شخصی - اقداماتی که در نتیجه آن بدون استفاده از اطلاعات اضافی، تعیین مالکیت داده های شخصی توسط یک موضوع خاص از داده های شخصی غیرممکن می شود.

    سیستم اطلاعات شخصی - مجموعه ای از داده های شخصی موجود در پایگاه داده ها و فناوری های اطلاعاتی و ابزارهای فنی که پردازش آنها را تضمین می کند.

    انتقال فرامرزی داده های شخصی - انتقال داده های شخصی به قلمرو یک کشور خارجی به مقام یک دولت خارجی، یک فرد خارجی یا یک شخص حقوقی خارجی.

    داده های شخصی بیومتریک - اطلاعاتی که ویژگی های فیزیولوژیکی و بیولوژیکی یک فرد را مشخص می کند، بر اساس آن می توان هویت او را تعیین کرد (داده های شخصی بیومتریک) و توسط اپراتور برای شناسایی موضوع داده های شخصی استفاده می شود.

    امنیت داده های شخصی - وضعیت حفاظت از داده های شخصی، که با توانایی کاربران، ابزارهای فنی و فناوری های اطلاعات برای اطمینان از محرمانه بودن، یکپارچگی و در دسترس بودن داده های شخصی در طول پردازش آنها در سیستم های اطلاعات داده های شخصی مشخص می شود.

    1.2 طبقه بندی تهدیدات برای امنیت اطلاعات داده های شخصی.

    تهدید امنیت اطلاعات به عنوان تهدید نقض ویژگی های امنیت اطلاعات - در دسترس بودن، یکپارچگی یا محرمانه بودن دارایی های اطلاعاتی یک سازمان، درک می شود.

    فهرست تهدیدها، ارزیابی احتمال اجرای آنها و همچنین مدل مزاحم به عنوان مبنایی برای تجزیه و تحلیل خطر تهدیدات و تدوین الزامات سیستم حفاظت خودکار سیستم عمل می کند. علاوه بر شناسایی تهدیدات احتمالی، لازم است تهدیدات شناسایی شده بر اساس طبقه بندی آنها با توجه به تعدادی ویژگی مورد تجزیه و تحلیل قرار گیرد. تهدیدهای مربوط به هر ویژگی طبقه بندی به شما امکان می دهد تا نیاز منعکس شده توسط این ویژگی را اصلاح کنید.

    از آنجایی که اطلاعات ذخیره شده و پردازش شده در AS مدرن در معرض تعداد بسیار زیادی از عوامل است، رسمیت بخشیدن به وظیفه توصیف مجموعه کامل تهدیدها غیرممکن می شود. بنابراین، برای یک سیستم محافظت شده، معمولاً لیستی از تهدیدات تعیین نمی شود، بلکه فهرستی از کلاس های تهدید است.

    طبقه بندی تهدیدات احتمالی برای امنیت اطلاعات AS را می توان با توجه به ویژگی های اساسی زیر انجام داد:

    بر اساس ماهیت وقوع:

    تهدیدات طبیعی ناشی از تأثیر فرآیندهای فیزیکی عینی یا بلایای طبیعی بر NPP.

    تهدیدات مصنوعی ایمنی NPP ناشی از فعالیت های انسانی

    با توجه به میزان عمدی بودن تجلی:

    تهدیدات ناشی از خطا یا سهل انگاری انسانی، مانند استفاده نادرست از تجهیزات حفاظتی، سهل انگاری در رسیدگی به داده ها؛

    تهدید به اقدام عمدی، مانند هک کردن یک سیستم خودکار توسط متجاوزان، تخریب داده ها توسط کارکنان سازمان به منظور انتقام از کارفرما.

    به گفته منبع فوری تهدیدها:

    خطرات طبیعی، مانند بلایای طبیعی، بلایای انسانی؛

    تهدیدهای انسانی، به عنوان مثال: تخریب اطلاعات، افشای داده های محرمانه.

    سیستم عامل مجاز، مانند خرابی سخت افزار فیزیکی، اشکالات نرم افزار، تداخل نرم افزار؛

    نرم افزار و سخت افزار غیر مجاز، به عنوان مثال، معرفی اشکالات سخت افزاری، اشکالات نرم افزاری.

    با توجه به موقعیت منبع تهدید:

    خارج از منطقه کنترل شده، به عنوان مثال، رهگیری داده های ارسال شده از طریق کانال های ارتباطی.

    O در محدوده کنترل شده، به عنوان مثال، کپی غیرمجاز از اطلاعات، دسترسی غیرمجاز به منطقه حفاظت شده.

    به طور مستقیم در یک سیستم خودکار، به عنوان مثال، استفاده نادرست از منابع AS.

    با توجه به میزان وابستگی به فعالیت AS:

    صرف نظر از فعالیت AU، به عنوان مثال، سرقت فیزیکی رسانه های ذخیره سازی؛

    فقط در هنگام پردازش داده ها، مانند آلودگی به بدافزار.

    با درجه تأثیر بر AC:

    تهدیدات خطرناکی که در صورت اجرا، چیزی در ساختار و محتوای AS تغییر نمی‌کند، به عنوان مثال، تهدید کپی کردن داده‌های مخفی.

    تهدیدهای فعالی که وقتی در معرض آن قرار می گیرند، تغییراتی در ساختار و محتوای AS ایجاد می کنند، به عنوان مثال، حذف داده ها، اصلاح آنها.

    بر اساس مراحل دسترسی کاربران یا برنامه ها به منابع:

    تهدیدهایی که خود را در مرحله دسترسی به منابع AS نشان می دهند، به عنوان مثال: تهدید دسترسی غیرمجاز به AS.

    تهدیدهایی که پس از اجازه دسترسی به منابع AS ظاهر می شوند، به عنوان مثال، استفاده نادرست از منابع AS.

    از طریق دسترسی به منابع AS:

    تهدیدهایی که با استفاده از مسیر دسترسی استاندارد به منابع AS انجام می شود

    تهدیدهایی که با استفاده از یک مسیر دسترسی غیر استاندارد پنهان به منابع AS انجام می شود، به عنوان مثال: دسترسی غیرمجاز به منابع AS با استفاده از ویژگی های غیرمستند نرم افزار نصب شده.

    با توجه به مکان فعلی اطلاعات ذخیره شده و پردازش شده در AS:

    تهدیدات دسترسی به اطلاعات موجود در دستگاه های ذخیره سازی خارجی، به عنوان مثال: کپی کردن اطلاعات محرمانه از رسانه های ذخیره سازی.

    تهدیدات دسترسی به اطلاعات موجود در RAM، به عنوان مثال: خواندن اطلاعات باقی مانده از RAM، دسترسی به منطقه سیستم RAM توسط برنامه های کاربردی؛

    تهدیدات دسترسی به اطلاعات در حال گردش در خطوط ارتباطی، به عنوان مثال: اتصال غیرقانونی به خطوط ارتباطی به منظور حذف اطلاعات، ارسال داده های اصلاح شده.

    اثرات خطرناک روی یک سیستم خودکار به دو دسته تصادفی و عمدی تقسیم می شوند.

    دلایل تأثیرات تصادفی در حین عملیات NPP می تواند موارد زیر باشد:

    شرایط اضطراری ناشی از بلایای طبیعی و قطع برق؛

    انکار خدمات؛

    اشکالات نرم افزاری؛

    خطا در کار پرسنل خدمات و کاربران؛

    تداخل در خطوط ارتباطی به دلیل تأثیرات محیطی.

    استفاده از خطا در نرم افزار رایج ترین روش نقض امنیت اطلاعات سیستم های اطلاعاتی است. بسته به پیچیدگی نرم افزار، تعداد خطاها افزایش می یابد. مهاجمان می توانند این آسیب پذیری ها را پیدا کرده و از طریق آنها به سیستم اطلاعاتی سازمان دسترسی پیدا کنند. برای به حداقل رساندن این تهدیدات، لازم است نسخه های نرم افزار را همیشه به روز نگه دارید.

    تهدیدهای عمدی با اقدامات هدفمند متجاوزان همراه است. مهاجمان به دو نوع مهاجم داخلی و مهاجم خارجی تقسیم می شوند. یک مزاحم داخلی در حالی که در محدوده کنترل شده سیستم خودکار قرار دارد، مرتکب اقدامات غیرقانونی می شود و می تواند از مقامات رسمی برای دسترسی مجاز به سیستم خودکار استفاده کند. یک مهاجم خارجی به منطقه کنترل شده دسترسی ندارد، اما می تواند به طور همزمان با یک مهاجم داخلی برای رسیدن به اهداف خود عمل کند.

    سه تهدید اصلی امنیت اطلاعات وجود دارد که مستقیماً متوجه اطلاعات محافظت شده است:

    نقض محرمانه بودن - اطلاعات محرمانه تغییر نمی کند، اما در دسترس اشخاص ثالثی قرار می گیرد که اجازه دسترسی به این اطلاعات را ندارند. هنگامی که این تهدید محقق شود، احتمال زیادی وجود دارد که مهاجم اطلاعات سرقت شده را افشا کند، که می تواند منجر به آسیب مالی یا اعتبار شود. نقض یکپارچگی اطلاعات محافظت شده - تحریف، تغییر یا تخریب اطلاعات. یکپارچگی اطلاعات نه به عمد، بلکه در نتیجه بی کفایتی یا سهل انگاری یک کارمند شرکت قابل نقض است. همچنین یک مهاجم برای رسیدن به اهداف خود می تواند صداقت را نقض کند. به عنوان مثال، تغییر جزئیات حساب در یک سیستم بانکی خودکار به منظور انتقال وجه به حساب مهاجم یا جایگزینی اطلاعات شخصی مشتری یک سازمان به منظور کسب اطلاعات در مورد همکاری مشتری با سازمان.

    نقض در دسترس بودن اطلاعات محافظت شده یا انکار سرویس - اقداماتی که در آن کاربر مجاز به دلایلی مانند: خرابی سخت افزار، نرم افزار، خرابی شبکه محلی نمی تواند به اطلاعات محافظت شده دسترسی پیدا کند.

    پس از در نظر گرفتن تهدیدات سیستم های خودکار، می توانید به تجزیه و تحلیل تهدیدات سیستم اطلاعات داده های شخصی بپردازید.

    سیستم اطلاعات شخصی - مجموعه ای از داده های شخصی موجود در پایگاه های داده و فناوری های اطلاعاتی و ابزارهای فنی که پردازش آنها را تضمین می کند.

    سیستم های اطلاعات شخصی مجموعه ای از اطلاعات و عناصر نرم افزاری و سخت افزاری و همچنین فناوری های اطلاعاتی مورد استفاده در پردازش داده های شخصی هستند.

    عناصر اصلی ISPD عبارتند از:

    داده های شخصی موجود در پایگاه های داده؛

    فناوری اطلاعات مورد استفاده در پردازش PD؛

    ابزارهای فنی برای پردازش داده های شخصی (تجهیزات رایانه ای، اطلاعات و سیستم ها و شبکه های رایانه ای، وسایل و سیستم های انتقال، دریافت و پردازش داده های شخصی، ابزارها و سیستم های ضبط صدا، تقویت صدا، بازتولید صدا، وسایل تولید، تکثیر اسناد و غیره. ابزار فنی پردازش گفتار، گرافیک، ویدئو و اطلاعات حروف عددی)؛

    نرم افزار (سیستم عامل ها، سیستم های مدیریت پایگاه داده و غیره)؛

    ابزار حفاظت از اطلاعات ISPDn.

    وسایل و سیستم های فنی کمکی - ابزارها و سیستم های فنی، ارتباطات آنها، که برای پردازش داده های شخصی در نظر گرفته نشده اند، اما در محلی که ISPD در آن قرار دارد واقع شده است.

    تهدیدات برای امنیت داده های شخصی - مجموعه ای از شرایط و عواملی که خطر دسترسی غیرمجاز، از جمله تصادفی، به داده های شخصی را ایجاد می کند، که ممکن است منجر به تخریب، تغییر، مسدود کردن، کپی، توزیع داده های شخصی و همچنین سایر اقدامات غیرمجاز در طول پردازش آنها در سیستم اطلاعات شخصی اطلاعات.

    ویژگی های سیستم اطلاعات داده های شخصی که باعث پیدایش UBPD می شود شامل دسته و حجم داده های شخصی پردازش شده در سیستم اطلاعات داده های شخصی، ساختار سیستم اطلاعات داده های شخصی، وجود اتصالات ISPD به شبکه های ارتباطی عمومی و (یا) شبکه های تبادل اطلاعات بین المللی، ویژگی های زیرسیستم امنیت داده های شخصی پردازش شده در ISPD، شیوه های پردازش داده های شخصی، روش های تمایز حقوق دسترسی کاربران ISPD، مکان و شرایط قرار دادن وسایل فنی ISPD.

    ویژگی های محیط انتشار سیگنال های اطلاعاتی حاوی اطلاعات محافظت شده با نوع محیط فیزیکی که PD در آن توزیع می شود مشخص می شود و هنگام ارزیابی امکان اجرای UBPD تعیین می شود. قابلیت‌های منابع UBPD با ترکیبی از روش‌های دسترسی غیرمجاز و (یا) تصادفی به PD تعیین می‌شود که در نتیجه محرمانه بودن (کپی، توزیع غیرقانونی)، یکپارچگی (تخریب، اصلاح) و در دسترس بودن (مسدود کردن) PD می‌تواند نقض شود.

    تهدید امنیت داده های شخصی در نتیجه تشکیل کانالی برای اجرای UBPD بین منبع تهدید و حامل (منبع) PD تحقق می یابد که شرایطی را برای نقض امنیت PD ایجاد می کند. PD

    عناصر اصلی کانال اجرای UBPD (شکل 1) عبارتند از:

    منبع UBPD - یک موضوع، شی مادی یا پدیده فیزیکی که UBPD را ایجاد می کند.

    محیط توزیع PD یا تأثیراتی که در آن یک میدان فیزیکی، سیگنال، داده یا برنامه می تواند پخش شود و بر ویژگی های محافظت شده داده های شخصی تأثیر بگذارد.

    حامل داده های شخصی - یک فرد یا یک شی مادی، از جمله یک میدان فیزیکی که در آن PD به شکل نمادها، تصاویر، سیگنال ها، راه حل ها و فرآیندهای فنی، ویژگی های کمی مقادیر فیزیکی منعکس می شود.

    شکل 1. طرح کلی کانال برای اجرای تهدیدات برای امنیت داده های شخصی

    حامل های PD ممکن است حاوی اطلاعات ارائه شده به شکل های زیر باشند:

    اطلاعات آکوستیک (گفتار) که مستقیماً در گفتار گفتاری کاربر ISPD در هنگام انجام عملکرد ورودی صوتی PD در سیستم اطلاعات داده های شخصی وجود دارد یا توسط ابزار صوتی ISPD بازتولید می شود (اگر چنین عملکردهایی توسط فناوری پردازش PD ارائه شده باشد. ) و همچنین در میدان های الکترومغناطیسی و سیگنال های الکتریکی وجود دارد که به دلیل تبدیل اطلاعات صوتی ایجاد می شود.

    مشاهده اطلاعات (VI) ارائه شده در قالب متن و تصاویر دستگاه های مختلف نمایش اطلاعات تجهیزات رایانه ای، اطلاعات و سیستم های محاسباتی، ابزارهای فنی برای پردازش اطلاعات گرافیکی، ویدیویی و الفبایی که بخشی از ISPD هستند.

    اطلاعات پردازش شده (در گردش) در ISPD، به شکل سیگنال های الکتریکی، الکترومغناطیسی، نوری.

    اطلاعات پردازش شده در ISPD، به شکل بیت، بایت، فایل و سایر ساختارهای منطقی ارائه شده است.

    به منظور تشکیل یک لیست سیستماتیک از UBPD ها در طول پردازش آنها در ISPD و توسعه مدل های خصوصی بر اساس آنها در رابطه با نوع خاصی از ISPD، تهدیدها بر اساس ویژگی های زیر طبقه بندی می شوند (شکل 2):

    با توجه به نوع اطلاعات محافظت شده از UBPD، حاوی PD؛

    بر اساس انواع منابع احتمالی UBPD؛

    بر اساس نوع ISPD، که اجرای UBPD به آن هدایت می شود.

    با توجه به روش اجرای UBPD؛

    با توجه به نوع خاصیت اطلاعات نقض شده (نوع اقدامات غیرمجاز انجام شده با PD)؛

    توسط آسیب پذیری مورد سوء استفاده

    با توجه به موضوع نفوذ.

    با توجه به انواع منابع احتمالی UBPD، موارد زیر متمایز می شوند

    کلاس های تهدید:

    تهدیدهای مرتبط با اقدامات عمدی یا غیرعمدی افرادی که به ISPD دسترسی دارند، از جمله کاربران سیستم اطلاعات داده های شخصی، که تهدیدات را مستقیماً در ISPD (ناقض داخلی) اجرا می کنند.

    تهدیدات مرتبط با اقدامات عمدی یا غیرعمدی افرادی که به ISPD دسترسی ندارند، تهدیدات ناشی از شبکه های ارتباطی عمومی خارجی و (یا) شبکه های تبادل اطلاعات بین المللی (یک متجاوز خارجی).

    علاوه بر این، تهدیدها می توانند از معرفی باگ های سخت افزاری و بدافزارها به وجود بیایند.

    با توجه به نوع ISPD، که اجرای UBPD هدف آن است، طبقات زیر از تهدیدها متمایز می شوند:

    UBPD پردازش شده در ISPD بر اساس یک ایستگاه کاری مستقل (AWP).

    UBPD پردازش شده در ISPD بر اساس یک محل کار خودکار متصل به شبکه عمومی (به شبکه تبادل اطلاعات بین المللی).

    UBPD پردازش شده در ISPD بر اساس سیستم های اطلاعات محلی بدون اتصال به شبکه عمومی (به شبکه تبادل اطلاعات بین المللی).

    UBPD پردازش شده در ISPD بر اساس سیستم های اطلاعات محلی با اتصال به شبکه عمومی (به شبکه تبادل اطلاعات بین المللی).

    UBPD پردازش شده در ISPD بر اساس سیستم های اطلاعاتی توزیع شده بدون اتصال به شبکه عمومی (به شبکه تبادل اطلاعات بین المللی).

    UBPD در ISPD بر اساس سیستم های اطلاعاتی توزیع شده متصل به یک شبکه عمومی (به شبکه تبادل اطلاعات بین المللی) پردازش می شود.

    طبق روش های اجرای UBPD، کلاس های تهدیدات زیر متمایز می شوند:

    تهدیدات مرتبط با UA به PD (از جمله تهدیدهای معرفی بدافزار).

    تهدید به نشت داده های شخصی از طریق کانال های فنی نشت اطلاعات؛

    تهدیدات تأثیرات ویژه بر ISPD.

    با توجه به نوع اقدامات غیرمجاز انجام شده با PD، کلاس های تهدید زیر متمایز می شوند:

    تهدیدهایی که منجر به نقض محرمانه بودن PD می شود (کپی یا توزیع غیرمجاز) که اجرای آن مستقیماً بر محتوای اطلاعات تأثیر نمی گذارد.

    تهدیدهایی که منجر به تأثیر غیرمجاز، از جمله تصادفی، بر محتوای اطلاعات می شود، که در نتیجه PD تغییر می کند یا از بین می رود.

    تهدیدهایی که منجر به تأثیر غیرمجاز، از جمله تصادفی، بر روی عناصر نرم افزاری یا سخت افزاری-نرم افزاری ISPD می شود که در نتیجه PD مسدود می شود.

    کلاس‌های تهدید زیر با آسیب‌پذیری مورد سوء استفاده مشخص می‌شوند:

    تهدیدهای اجرا شده با استفاده از آسیب پذیری های نرم افزار سیستم؛

    تهدیدهای اجرا شده با استفاده از آسیب پذیری های نرم افزار کاربردی؛

    تهدیدات ناشی از استفاده از یک آسیب پذیری ناشی از وجود برگه سخت افزاری در AS.

    تهدیدات اجرا شده با استفاده از آسیب پذیری در پروتکل های ارتباطی شبکه و کانال های انتقال داده.

    تهدیدات ناشی از بهره برداری از یک آسیب پذیری ناشی از نقص در سازماندهی VBI از NSD.

    تهدیدهای اجرا شده با استفاده از آسیب پذیری هایی که باعث وجود کانال های فنی برای نشت اطلاعات می شود.

    تهدیدهایی که با استفاده از آسیب پذیری های امنیت اطلاعات اجرا می شوند.

    با توجه به موضوع نفوذ، طبقات زیر از تهدیدها متمایز می شوند:

    تهدیدات برای امنیت PD پردازش شده در ایستگاه کاری؛

    تهدیدات برای امنیت PD پردازش شده در ابزارهای پردازش اختصاصی (چاپگرها، پلاترها، پلاترها، مانیتورهای راه دور، ویدئو پروژکتورها، ابزارهای بازتولید صدا و غیره)؛

    تهدیدات برای امنیت PD که از طریق شبکه های ارتباطی منتقل می شود.

    تهدیدات برنامه های کاربردی که PD را پردازش می کنند.

    تهدیدات نرم افزار سیستمی که عملکرد ISPD را تضمین می کند.

    اجرای یکی از UBPD های کلاس های ذکر شده یا ترکیب آنها می تواند منجر به انواع پیامدهای زیر برای افراد PD شود:

    پیامدهای منفی قابل توجه برای افراد مبتلا به PD.

    پیامدهای منفی برای افراد مبتلا به PD.

    پیامدهای منفی ناچیز برای افراد مبتلا به PD.

    تهدیدات نشت داده های شخصی از طریق کانال های فنی بدون ابهام با ویژگی های منبع اطلاعات، رسانه توزیع و گیرنده سیگنال اطلاعاتی توصیف می شود، یعنی با ویژگی های کانال فنی نشت PD تعیین می شود.

    تهدیدات دسترسی غیرمجاز (UAH) به عنوان مجموعه‌ای از کلاس‌های تعمیم‌یافته از منابع احتمالی تهدیدات UA، آسیب‌پذیری‌های نرم‌افزار و سخت‌افزار ISPD، روش‌های اجرای تهدیدات، اشیاء نفوذ (حامل‌های اطلاعات محافظت‌شده، دایرکتوری‌ها، دایرکتوری‌ها، فایل‌های دارای PD یا PDN ارائه می‌شوند. ) و اقدامات مخرب احتمالی. چنین نمایشی با نماد رسمی زیر توصیف می شود (شکل 2).

    1.3 مشخصات کلی منابع تهدید در سیستم های اطلاعات داده های شخصی

    تهدیدات UA در ISPD با استفاده از نرم‌افزار و نرم‌افزار و سخت‌افزار زمانی اجرا می‌شود که دسترسی غیرمجاز، از جمله تصادفی، انجام شود، در نتیجه محرمانگی، یکپارچگی و در دسترس بودن PD نقض می‌شود و شامل موارد زیر است:

    تهدید دسترسی غیرمجاز به محیط عملیاتی رایانه با استفاده از نرم افزار استاندارد (ابزارهای سیستم عامل یا برنامه های کاربردی عمومی).

    تهدید ایجاد حالت‌های غیرعادی عملکرد نرم‌افزار (نرم‌افزار و سخت‌افزار) یعنی به دلیل تغییرات عمدی در داده‌های سرویس، نادیده گرفتن محدودیت‌ها در ترکیب و ویژگی‌های اطلاعات پردازش شده ارائه شده در شرایط عادی، تحریف (اصلاح) خود داده‌ها، و غیره.؛

    شکل 2 طبقه بندی UBPD پردازش شده در سیستم های اطلاعات شخصی

    تهدیدات معرفی برنامه های مخرب (نرم افزار-تاثیر ریاضی).

    ترکیب عناصر شرح تهدیدات UA برای اطلاعات در ISPD در شکل 3 نشان داده شده است.

    علاوه بر این، تهدیدات ترکیبی نیز امکان پذیر است که ترکیبی از این تهدیدات است. به عنوان مثال، با توجه به معرفی برنامه های مخرب، می توان شرایطی را برای دسترسی غیرمجاز به محیط عملیاتی رایانه از جمله از طریق تشکیل کانال های دسترسی غیر سنتی به اطلاعات ایجاد کرد.

    تهدیدات دسترسی غیرمجاز به محیط عملیاتی ISPD با استفاده از نرم افزار استاندارد به تهدیدات دسترسی مستقیم و از راه دور تقسیم می شود. تهدیدات دسترسی مستقیم با استفاده از نرم افزار و سیستم عامل ورودی / خروجی رایانه انجام می شود. تهدیدات دسترسی از راه دور با استفاده از پروتکل های ارتباطی شبکه پیاده سازی می شوند.

    چنین تهدیدهایی در رابطه با ISPD هم بر اساس یک محل کار خودکار که در شبکه ارتباط عمومی گنجانده نشده است و هم در رابطه با تمام ISPD که به شبکه های ارتباطی عمومی و شبکه های تبادل اطلاعات بین المللی متصل هستند، اجرا می شوند.

    شکل 3 طبقه بندی UBPD پردازش شده در سیستم های اطلاعات شخصی


    1.3.1 شرح کلی منابع تهدید دسترسی غیرمجاز در سیستم اطلاعاتی داده های شخصی.

    منابع تهدید در سیستم اطلاعات داده های شخصی می تواند موارد زیر باشد:

    مزاحم؛

    حامل یک برنامه مخرب؛

    نشانک سخت افزاری

    تهدیدات امنیتی PD مرتبط با معرفی اشکالات سخت افزاری مطابق با اسناد نظارتی سرویس امنیت فدرال فدراسیون روسیه به روش تعیین شده توسط آن تعیین می شود.

    با توجه به وجود حق دسترسی دائم یا یکباره به منطقه کنترل شده ISPD، متخلفان به دو نوع تقسیم می شوند:

    متخلفانی که به ISPD دسترسی ندارند و متوجه تهدیدات شبکه های ارتباط عمومی خارجی و (یا) شبکه های تبادل اطلاعات بین المللی می شوند، متخلفان خارجی هستند.

    متخلفانی که به ISPD دسترسی دارند، از جمله کاربران ISPD که تهدیدات را مستقیماً در ISPD اجرا می کنند، متخلفان داخلی هستند.

    مزاحمان خارجی می توانند:

    سازمان های رقیب؛

    شرکای بی وجدان؛

    موضوعات خارجی (افراد).

    یک نفوذگر خارجی دارای قابلیت های زیر است:

    برای انجام دسترسی غیرمجاز به کانال های ارتباطی که فراتر از محل دفتر است.

    انجام دسترسی غیرمجاز از طریق ایستگاه های کاری متصل به شبکه های ارتباطی عمومی و (یا) شبکه های تبادل اطلاعات بین المللی؛

    انجام دسترسی غیرمجاز به اطلاعات با استفاده از اقدامات نرم افزاری خاص از طریق ویروس های نرم افزاری، بدافزارها، الگوریتم ها یا نشانک های نرم افزاری؛

    انجام دسترسی غیرمجاز از طریق عناصر زیرساخت اطلاعاتی توسط سیستم اطلاعاتی داده های شخصی که در طول چرخه حیات آنها (مدرن سازی، نگهداری، تعمیر، دفع) خارج از محدوده کنترل شده است.

    برای انجام دسترسی های غیرمجاز از طریق سیستم های اطلاعاتی بخش ها، سازمان ها و مؤسسات در حال تعامل در هنگام اتصال به ISPD.

    متخلفان بالقوه داخلی بسته به روش دسترسی و اختیار دسترسی به PD به هشت دسته تقسیم می شوند.

    دسته اول شامل افرادی است که دسترسی مجاز به ISPD دارند، اما به PD دسترسی ندارند. این نوع از مجرمان شامل مقاماتی می شود که عملکرد عادی ISPD را تضمین می کنند.

    دسترسی به بخش هایی از اطلاعات حاوی PD و توزیع شده از طریق کانال های ارتباطی داخلی ISPD؛

    داشتن قطعاتی از اطلاعات در مورد توپولوژی ISPD و پروتکل های ارتباطی مورد استفاده و خدمات آنها.

    داشتن نام و انجام شناسایی رمز عبور کاربران ثبت نام شده؛

    پیکربندی سخت افزار ISPD را تغییر دهید، نشانک های نرم افزاری و سخت افزاری را در آن وارد کنید و با استفاده از اتصال مستقیم به سخت افزار ISPD، بازیابی اطلاعات را فراهم کنید.

    دارای تمام قابلیت های افراد دسته اول؛

    حداقل یک نام دسترسی قانونی را می داند.

    دارای تمام ویژگی های لازم است که دسترسی به زیر مجموعه خاصی از PD را فراهم می کند.

    داده های محرمانه ای دارد که به آنها دسترسی دارد.

    دسترسی، احراز هویت و حقوق دسترسی آن به زیر مجموعه خاصی از PD باید توسط قوانین کنترل دسترسی مربوطه تنظیم شود.

    دارای تمامی قابلیت های افراد دسته اول و دوم؛

    دارای اطلاعاتی در مورد توپولوژی ISPD بر اساس یک سیستم اطلاعات محلی و (یا) توزیع شده که از طریق آن دسترسی فراهم می شود و در مورد ترکیب ابزار فنی ISPD.

    امکان دسترسی مستقیم (فیزیکی) به قطعات وسایل فنی ISPD را دارد.

    دارای اطلاعات کامل در مورد سیستم و نرم افزار کاربردی مورد استفاده در بخش ISPD (قطعه)؛

    دارای اطلاعات کامل در مورد ابزار فنی و پیکربندی بخش ISPD (قطعه)؛

    دسترسی به امنیت اطلاعات و ابزارهای ثبت گزارش و همچنین به عناصر فردی مورد استفاده در بخش ISPD (قطعه) دارد.

    به تمام ابزارهای فنی بخش ISPD (قطعه) دسترسی دارد.

    این حق پیکربندی و مدیریت برخی از زیرمجموعه های ابزار فنی بخش ISPD (قطعه) را دارد.

    اختیارات مدیر سیستم ISPD.

    دارای تمام قابلیت های افراد دسته های قبلی؛

    دارای اطلاعات کامل در مورد سیستم و نرم افزار کاربردی ISPD.

    دارای اطلاعات کامل در مورد ابزار فنی و پیکربندی ISPD.

    به تمام ابزارهای فنی پردازش اطلاعات و داده های ISPD دسترسی دارد.

    دارای حقوق پیکربندی و تنظیم اداری ابزار فنی ISPD است.

    مدیر سیستم نرم افزار و تجهیزات را پیکربندی و مدیریت می کند، از جمله تجهیزات مسئول امنیت شی محافظت شده: ابزارهای حفاظت از اطلاعات رمزنگاری، نظارت، ثبت، بایگانی، حفاظت در برابر دسترسی غیرمجاز.

    دارای تمام قابلیت های افراد دسته های قبلی؛

    دارای اطلاعات کامل در مورد ISPD.

    به امنیت اطلاعات و ابزارهای ثبت گزارش و برخی از عناصر کلیدی ISPD دسترسی دارد.

    هیچ حق دسترسی به پیکربندی سخت افزار شبکه، به جز موارد کنترل (بازرسی) ندارد.

    اطلاعاتی در مورد الگوریتم ها و برنامه های پردازش اطلاعات در ISPD دارد.

    دارای توانایی معرفی خطاها، ویژگی های اعلام نشده، نشانک های نرم افزار، بدافزارها در نرم افزار ISPD در مرحله توسعه، اجرا و نگهداری آن.

    این می تواند هر قطعه اطلاعاتی در مورد توپولوژی ISPD و ابزار فنی پردازش و حفاظت از PD پردازش شده در ISPD داشته باشد.

    توانایی ایجاد نشانک در ابزار فنی ISPD در مرحله توسعه، اجرا و نگهداری آنها را دارد.

    این می تواند هر قطعه ای از اطلاعات در مورد توپولوژی ISPD و ابزار فنی پردازش و حفاظت از اطلاعات در ISPD داشته باشد.

    حامل یک برنامه مخرب می تواند یک عنصر سخت افزاری یک کامپیوتر یا یک محفظه نرم افزاری باشد. اگر برنامه مخرب با هیچ برنامه کاربردی مرتبط نباشد، موارد زیر به عنوان حامل آن در نظر گرفته می شوند:

    رسانه های غیرقابل دسترسی، یعنی فلاپی دیسک، دیسک نوری، حافظه فلش.

    رسانه ذخیره سازی داخلی (هارد دیسک، تراشه های RAM، پردازنده، تراشه های مادربرد، تراشه های دستگاه های تعبیه شده در واحد سیستم - آداپتور ویدئو، کارت شبکه، کارت صدا، مودم، دستگاه های ورودی / خروجی درایوهای هارد و نوری مغناطیسی، منبع تغذیه و غیره .p.، تراشه های دسترسی مستقیم به حافظه، گذرگاه های داده، پورت های ورودی / خروجی).

    تراشه های دستگاه های خارجی (مانیتور، صفحه کلید، چاپگر، مودم، اسکنر و غیره).

    اگر یک برنامه مخرب با هر برنامه کاربردی، با فایل‌هایی که دارای پسوندهای خاص یا ویژگی‌های دیگر هستند، با پیام‌های ارسال شده از طریق شبکه مرتبط باشد، حامل‌های آن عبارتند از:

    بسته های پیام های ارسال شده از طریق یک شبکه کامپیوتری؛

    فایل ها (متن، گرافیک، اجرایی و غیره).

    1.3.2 مشخصات کلی تهدیدات دسترسی مستقیم به محیط عملیاتی سیستم اطلاعات داده های شخصی

    تهدیدات دسترسی غیرمجاز به محیط عملیاتی رایانه و دسترسی غیرمجاز به PD با دسترسی به موارد زیر مرتبط است:

    به اطلاعات و دستورات ذخیره شده در سیستم ورودی/خروجی پایه ISPD، با امکان رهگیری کنترل بارگذاری سیستم عامل و کسب حقوق یک کاربر مورد اعتماد؛

    در محیط عملیاتی، یعنی در محیط عملکرد سیستم عامل محلی یک ابزار فنی جداگانه ISPD با امکان انجام دسترسی غیرمجاز با فراخوانی برنامه های منظم سیستم عامل یا راه اندازی برنامه های طراحی شده ویژه که چنین اقداماتی را انجام می دهند. ;

    به محیطی برای عملکرد برنامه های کاربردی (به عنوان مثال، به یک سیستم مدیریت پایگاه داده محلی)؛

    مستقیماً به اطلاعات کاربر (به فایل‌ها، متن، اطلاعات صوتی و گرافیکی، فیلدها و سوابق موجود در پایگاه‌های اطلاعاتی الکترونیکی) و مشروط به احتمال نقض محرمانه بودن، یکپارچگی و در دسترس بودن آن است.

    این تهدیدها را می توان در مورد دسترسی فیزیکی به ISPD یا حداقل به ابزار ورود اطلاعات به ISPD اجرا کرد. آنها را می توان با توجه به شرایط اجرا به سه گروه دسته بندی کرد.

    گروه اول شامل تهدیدهایی است که در هنگام بارگذاری سیستم عامل اجرا می شوند. این تهدیدات امنیت اطلاعات با هدف رهگیری رمزهای عبور یا شناسه ها، اصلاح نرم افزار سیستم ورودی/خروجی پایه، رهگیری کنترل دانلود با تغییر اطلاعات تکنولوژیکی لازم برای دریافت UA در محیط عملیاتی ISPD است. اغلب، چنین تهدیدهایی با استفاده از رسانه های بیگانه اجرا می شوند.

    گروه دوم تهدیداتی هستند که بدون توجه به اینکه کاربر کدام برنامه کاربردی راه اندازی کرده است، پس از بارگذاری محیط عملیاتی اجرا می شوند. هدف این تهدیدات معمولاً دسترسی غیرمجاز مستقیم به اطلاعات است. هنگام دسترسی به محیط عملیاتی، یک مزاحم می تواند هم از عملکردهای استاندارد سیستم عامل یا برخی از برنامه های کاربردی عمومی (به عنوان مثال، سیستم های مدیریت پایگاه داده) و هم از برنامه هایی که مخصوصا برای انجام دسترسی های غیرمجاز ایجاد شده اند استفاده کند، به عنوان مثال:

    مشاهده کنندگان و تغییرات ثبت نام؛

    برنامه هایی برای جستجوی متون در فایل های متنی با کلمات کلیدی و کپی.

    برنامه های ویژه برای مشاهده و کپی سوابق در پایگاه های داده.

    برنامه هایی برای مشاهده سریع فایل های گرافیکی، ویرایش یا کپی کردن آنها.

    برنامه هایی برای پشتیبانی از امکان پیکربندی مجدد محیط نرم افزار (تنظیمات ISPD به نفع مجرم).

    در نهایت، گروه سوم شامل تهدیداتی است که اجرای آنها با توجه به راه اندازی کدام یک از برنامه های کاربردی توسط کاربر و یا اینکه هر یک از برنامه های کاربردی راه اندازی شده است، مشخص می شود. بیشتر این تهدیدات، تهدیدات تزریق بدافزار هستند.

    1.3.3 ویژگی های کلی تهدیدات امنیتی داده های شخصی که با استفاده از پروتکل های کار اینترنتی اجرا می شوند

    اگر ISPD بر اساس یک سیستم اطلاعاتی محلی یا توزیع شده پیاده سازی شود، با استفاده از پروتکل های کار اینترنتی می توان تهدیدات امنیت اطلاعات را در آن پیاده سازی کرد. در عین حال می توان NSD به PD را ارائه کرد یا تهدید انکار سرویس را متوجه شد. تهدیدها به ویژه زمانی خطرناک هستند که ISPD یک سیستم اطلاعاتی توزیع شده متصل به شبکه های عمومی و (یا) شبکه های تبادل اطلاعات بین المللی باشد. طرح طبقه بندی تهدیدات اجرا شده در شبکه در شکل 4 نشان داده شده است. این طرح بر اساس هفت ویژگی طبقه بندی اولیه زیر است.

    شکل 4 طرح طبقه بندی تهدیدها با استفاده از پروتکل های کار اینترنتی

    1. ماهیت تهدید. بر این اساس، تهدیدها می توانند منفعل و فعال باشند. تهدید غیرفعال تهدیدی است که اجرای آن مستقیماً بر عملکرد ISPD تأثیر نمی گذارد، اما قوانین تعیین شده برای محدود کردن دسترسی به منابع PD یا شبکه ممکن است نقض شود. نمونه ای از این تهدیدها، تهدید «تحلیل ترافیک شبکه» است که هدف آن گوش دادن به کانال های ارتباطی و رهگیری اطلاعات ارسالی است. یک تهدید فعال تهدیدی است که با تأثیر بر منابع ISPD همراه است، که اجرای آن مستقیماً بر عملکرد سیستم تأثیر می گذارد (تغییر پیکربندی، اختلال در عملکرد و غیره) و نقض قوانین تعیین شده برای محدود کردن دسترسی به PD یا منابع شبکه نمونه ای از این تهدیدها تهدید انکار سرویس است که به عنوان "طوفان درخواست TCP" به بازار عرضه می شود.

    2. هدف از اجرای تهدید. بر این اساس، تهدیدها می توانند با هدف نقض محرمانه بودن، یکپارچگی و در دسترس بودن اطلاعات (از جمله نقض عملکرد ISPD یا عناصر آن) باشند.

    3. شرط شروع فرآیند اجرای تهدید. بر این اساس می توان به یک تهدید پی برد:

    بنا به درخواست شیئی که تهدید علیه آن اجرا می شود. در این حالت، مزاحم منتظر ارسال درخواستی از نوع خاصی است که شرط شروع دسترسی غیرمجاز خواهد بود.

    در صورت وقوع یک رویداد مورد انتظار در تاسیساتی که تهدید علیه آن اجرا می شود. در این حالت، مزاحم به طور مداوم وضعیت سیستم عامل ISPD را رصد می کند و در صورت وقوع رویداد خاصی در این سیستم، دسترسی غیرمجاز شروع می شود.

    تاثیر بی قید و شرط در این صورت شروع اجرای دسترسی غیرمجاز نسبت به هدف دسترسی بدون قید و شرط است، یعنی تهدید بلافاصله و بدون توجه به وضعیت سیستم محقق می شود.

    4. در دسترس بودن بازخورد از ISPD. بر این اساس، فرآیند اجرای یک تهدید می تواند با بازخورد یا بدون بازخورد باشد. این تهدید که در حضور بازخورد از سیستم اطلاعات داده های شخصی انجام می شود، با این واقعیت مشخص می شود که برخی از درخواست های ارسال شده به ISPD، متخلف را ملزم به دریافت پاسخ می کند. در نتیجه، بازخوردی بین متخلف و سیستم اطلاعات داده های شخصی وجود دارد که به متخلف اجازه می دهد به اندازه کافی به همه تغییرات رخ داده در ISPD پاسخ دهد. بر خلاف تهدیدات اجرا شده در حضور بازخورد از سیستم اطلاعات داده های شخصی، هنگام اجرای تهدیدات بدون بازخورد، نیازی به پاسخگویی به تغییرات رخ داده در ISPD نیست.

    5. محل نفوذگر نسبت به ISPD. مطابق با این علامت، تهدید هم درون‌بخشی و هم درون‌بخشی تحقق می‌یابد.

    بخش شبکه - یک ارتباط فیزیکی از میزبان ها (سخت افزار ISPD یا عناصر ارتباطی دارای آدرس شبکه). به عنوان مثال، بخشی از سیستم اطلاعات داده های شخصی مجموعه ای از میزبان ها را تشکیل می دهد که طبق طرح "گذرگاه مشترک" به سرور متصل هستند. در مواردی که یک تهدید درون بخش وجود دارد، نفوذگر به عناصر سخت افزاری ISPD دسترسی فیزیکی دارد. اگر یک تهدید بین بخش وجود داشته باشد، آنگاه مجرم در خارج از ISPD واقع شده است و تهدید را از شبکه دیگری یا از بخش دیگری از سیستم اطلاعات داده های شخصی متوجه می شود.

    6. سطح مدل مرجع تعامل سیستم های باز (ISO/OSI) که تهدید بر روی آن پیاده سازی شده است. بر این اساس، یک تهدید را می توان در سطوح فیزیکی، کانال، شبکه، انتقال، جلسه، ارائه و کاربرد مدل ISO/OSI پیاده سازی کرد.

    7. نسبت تعداد متخلفان و عناصر ISPD که تهدید علیه آنها اجرا می شود. بر این اساس، یک تهدید را می توان به عنوان تهدیدی طبقه بندی کرد که توسط یک مزاحم علیه یک ابزار فنی ISPD (تهدید "یک به یک")، علیه چندین ابزار فنی ISPD به طور همزمان (تهدید "یک به چند") یا توسط چندین مزاحم از رایانه های مختلف نسبت به یک یا چند وسیله فنی ISPD (تهدیدهای توزیع شده یا ترکیبی).

    با در نظر گرفتن طبقه بندی انجام شده، انواع اصلی حملات به سیستم اطلاعات داده های شخصی را مشخص می کنیم:

    1. تجزیه و تحلیل ترافیک شبکه.

    این تهدید با استفاده از نرم‌افزار sniffer ویژه بسته‌ها اجرا می‌شود که تمام بسته‌های ارسال شده از طریق یک بخش شبکه را رهگیری می‌کند و از میان آنها بسته‌هایی را که شناسه کاربری و رمز عبور در آنها ارسال می‌شود، جدا می‌کند. در طول اجرای تهدید، نفوذگر منطق شبکه را مطالعه می کند - یعنی به دنبال به دست آوردن یک مکاتبه یک به یک بین رویدادهای رخ داده در سیستم و دستورات ارسال شده توسط میزبان در زمان وقوع است. این رویدادها در آینده، این به مهاجم اجازه می دهد تا بر اساس تخصیص دستورات مناسب، حقوق ممتازی را برای فعالیت در سیستم یا گسترش قدرت خود در آن به دست آورد، جریان داده های منتقل شده را که بین اجزای سیستم عامل شبکه رد و بدل می شود به ترتیب رهگیری کند. برای استخراج اطلاعات محرمانه یا شناسایی، جایگزینی و اصلاح آن.

    2.اسکن شبکه

    ماهیت فرآیند اجرای تهدید ارسال درخواست ها به سرویس های شبکه میزبان های ISPD و تجزیه و تحلیل پاسخ های آنها است. هدف شناسایی پروتکل های مورد استفاده، پورت های موجود سرویس های شبکه، قوانین تشکیل شناسه های اتصال، تعریف خدمات شبکه فعال، انتخاب شناسه های کاربر و رمز عبور است.

    3. تهدید افشای رمز عبور.

    هدف از اجرای تهدید، به دست آوردن UA با غلبه بر محافظت از رمز عبور است. مهاجم می‌تواند با استفاده از روش‌های مختلف، تهدیدی را اجرا کند، مانند brute force ساده، brute force با استفاده از دیکشنری‌های خاص، نصب بدافزار برای رهگیری رمز عبور، جعل یک شی شبکه قابل اعتماد، و sniffing بسته. اصولاً برای پیاده سازی تهدید از برنامه های خاصی استفاده می شود که سعی می کنند با حدس زدن متوالی رمزهای عبور به هاست دسترسی پیدا کنند. در صورت موفقیت آمیز بودن، مهاجم می تواند برای خود یک نقطه ورود برای دسترسی های بعدی ایجاد کند که حتی در صورت تغییر رمز دسترسی در هاست، همچنان به قوت خود باقی خواهد ماند.

    4. جایگزینی یک شی شبکه مورد اعتماد و انتقال پیام از طریق کانال های ارتباطی از طرف آن با واگذاری حقوق دسترسی آن.

    چنین تهدیدی به طور موثر در سیستم هایی که الگوریتم های ضعیفی برای شناسایی و احراز هویت هاست و کاربران استفاده می شود، پیاده سازی می شود. یک شی مورد اعتماد یک شی شبکه (کامپیوتر، فایروال، روتر و غیره) است که بطور قانونی به سرور متصل است. دو نوع فرآیند اجرای این تهدید را می توان متمایز کرد: با و بدون ایجاد یک اتصال مجازی. فرآیند پیاده سازی با ایجاد یک اتصال مجازی شامل تخصیص حقوق یک موضوع قابل اعتماد تعامل است، که به یک مزاحم اجازه می دهد تا یک جلسه را با یک شی شبکه از طرف یک موضوع مورد اعتماد انجام دهد. اجرای این نوع تهدید مستلزم غلبه بر سیستم شناسایی و احراز هویت پیام است. فرآیند اجرای یک تهدید بدون برقراری ارتباط مجازی می‌تواند در شبکه‌هایی انجام شود که پیام‌های ارسالی را فقط با آدرس شبکه فرستنده شناسایی می‌کنند. ماهیت در انتقال پیام های خدماتی از طرف دستگاه های کنترل شبکه (مثلاً از طرف روترها) در مورد تغییر مسیریابی و داده های آدرس نهفته است.

    در نتیجه اجرای تهدید، متخلف حقوق دسترسی تعیین شده توسط کاربر برای مشترک مورد اعتماد ابزار فنی ISPD را دریافت می کند.

    5. تحمیل یک مسیر شبکه کاذب.

    این تهدید به یکی از دو طریق تحقق می یابد: با تحمیل درون بخشی یا بین بخشی. امکان تحمیل یک مسیر نادرست به دلیل کاستی های ذاتی در الگوریتم های مسیریابی (به ویژه به دلیل مشکل شناسایی دستگاه های کنترل شبکه) است که در نتیجه می توانید به عنوان مثال به یک هاست یا شبکه مهاجم دسترسی پیدا کنید. ، جایی که می توانید وارد محیط عملیاتی یک ابزار فنی به عنوان بخشی از یک ISPD شوید. اجرای تهدید مبتنی بر استفاده غیرمجاز از پروتکل های مسیریابی و کنترل شبکه برای ایجاد تغییرات در جداول مسیریابی است. در این حالت، مزاحم نیاز به ارسال پیام کنترلی از طرف دستگاه کنترل شبکه (به عنوان مثال، روتر) دارد.

    6. معرفی یک شی شبکه کاذب.

    این تهدید مبتنی بر بهره برداری از نقاط ضعف در الگوریتم های جستجوی راه دور است. اگر اشیاء شبکه در ابتدا اطلاعات آدرسی در مورد یکدیگر نداشته باشند، از پروتکل های مختلف جستجوی راه دور استفاده می شود که شامل انتقال درخواست های ویژه از طریق شبکه و دریافت پاسخ به آنها با اطلاعات مورد نیاز است. در این صورت ممکن است متخلف درخواست جستجو را رهگیری کرده و پاسخی نادرست برای آن صادر کند که استفاده از آن منجر به تغییر مورد نیاز در داده های مسیریابی و آدرس می شود. در آینده، کل جریان اطلاعات مرتبط با شی قربانی از شی شبکه نادرست عبور می کند

    7. انکار خدمات.

    این تهدیدات بر اساس نقص در نرم افزار شبکه، آسیب پذیری های آن است که به نفوذگر اجازه می دهد شرایطی را ایجاد کند که سیستم عامل قادر به پردازش بسته های دریافتی نباشد. چندین نوع از این تهدیدات را می توان تشخیص داد:

    انکار پنهان سرویس ناشی از دخالت بخشی از منابع ISPD برای پردازش بسته های ارسال شده توسط مهاجم با کاهش پهنای باند کانال های ارتباطی، عملکرد دستگاه های شبکه و نقض الزامات زمان پردازش درخواست. نمونه هایی از اجرای این نوع تهدیدها عبارتند از: طوفان مستقیم درخواست های اکو از طریق پروتکل ICMP، طوفانی از درخواست ها برای ایجاد اتصالات TCP، طوفانی از درخواست ها به سرور FTP.

    انکار صریح سرویس ناشی از فرسودگی منابع ISPD هنگام پردازش بسته های ارسال شده توسط مهاجم (اشغال کل پهنای باند کانال های ارتباطی، سرریز صف های درخواست سرویس)، که در آن درخواست های قانونی به دلیل در دسترس نبودن نمی توانند از طریق شبکه منتقل شوند. از رسانه انتقال یا در تعمیر و نگهداری به دلیل سرریز شدن صف های درخواست، فضای دیسک حافظه و غیره محروم می شوند. نمونه هایی از این نوع تهدیدها عبارتند از طوفان درخواست پژواک پخش ICMP، طوفان هدایت شده، طوفان پیام سرور ایمیل.

    انکار صریح سرویس ناشی از نقض اتصال منطقی بین ابزارهای فنی ISPD هنگامی که متخلف پیام‌های کنترلی را از طرف دستگاه‌های شبکه ارسال می‌کند که منجر به تغییر در داده‌های مسیریابی و آدرس یا اطلاعات شناسایی و احراز هویت می‌شود.

    انکار صریح سرویس ناشی از انتقال بسته‌هایی با ویژگی‌های غیراستاندارد یا دارای طول بیش از حداکثر مجاز توسط مهاجم ایجاد می‌شود که می‌تواند منجر به خرابی دستگاه‌های شبکه درگیر در پردازش درخواست‌ها شود، مشروط بر وجود خطا در برنامه‌هایی که پروتکل‌های تبادل شبکه را اجرا می‌کنند. . نتیجه اجرای این تهدید ممکن است اختلال در عملکرد سرویس مربوطه برای ارائه دسترسی از راه دور به PD در ISPD، انتقال از یک آدرس تعداد زیادی درخواست برای اتصال به تسهیلات فنی به عنوان بخشی از ISPD باشد. که می تواند ترافیک را تا حد امکان پردازش کند که مستلزم سرریز شدن صف درخواست و از کار افتادن یکی از سرویس های شبکه یا خاموش شدن کامل رایانه به دلیل عدم توانایی سیستم در انجام کاری غیر از پردازش درخواست ها است.

    8. راه اندازی از راه دور برنامه ها.

    این تهدید در تمایل به اجرای نرم افزارهای مخرب مختلف جاسازی شده قبلی در میزبان ISPD نهفته است: نشانک ها، ویروس ها، "جاسوسان شبکه" که هدف اصلی آنها نقض محرمانه بودن، یکپارچگی، در دسترس بودن اطلاعات و کنترل کامل بر عملکرد است. میزبان. علاوه بر این، راه اندازی غیرمجاز برنامه های کاربردی کاربر برای به دست آوردن غیرمجاز داده های لازم برای متخلف، برای راه اندازی فرآیندهای کنترل شده توسط برنامه کاربردی و غیره امکان پذیر است. سه زیر کلاس از این تهدیدها وجود دارد:

    توزیع فایل های حاوی کد اجرایی غیرمجاز؛

    راه اندازی از راه دور برنامه با سرریز کردن بافر سرورهای برنامه؛

    راه اندازی از راه دور برنامه با استفاده از قابلیت های مدیریت سیستم از راه دور ارائه شده توسط زبانه های نرم افزاری و سخت افزاری مخفی یا با استفاده از ابزارهای استاندارد.

    تهدیدات معمولی اولین مورد از این زیر کلاس ها بر اساس فعال سازی فایل های توزیع شده در صورت دسترسی تصادفی به آنها است. نمونه‌هایی از این فایل‌ها عبارتند از: فایل‌های حاوی کد اجرایی به شکل ماکرو (مجوزهای مایکروسافت ورد، اکسل)، اسناد html حاوی کدهای اجرایی در قالب کنترل‌های ActiveX، اپلت‌های جاوا، اسکریپت‌های تفسیر شده (به عنوان مثال، بدافزار جاوا اسکریپت). فایل های حاوی کدهای برنامه اجرایی

    برای توزیع فایل ها می توان از خدمات ایمیل، انتقال فایل، سیستم فایل شبکه استفاده کرد.

    تهدیدات زیر کلاس دوم از کاستی های برنامه هایی استفاده می کند که خدمات شبکه را اجرا می کنند (به ویژه عدم کنترل سرریز بافر). با تنظیم رجیسترهای سیستم، گاهی اوقات ممکن است پردازنده، پس از وقفه سرریز بافر، به اجرای کدهای خارج از مرز بافر سوئیچ شود.

    با تهدیدات زیر کلاس سوم، نفوذگر از قابلیت های کنترل سیستم از راه دور ارائه شده توسط اجزای مخفی یا ابزارهای استاندارد برای مدیریت و مدیریت شبکه های کامپیوتری استفاده می کند. در نتیجه استفاده از آنها، امکان کنترل از راه دور بر روی ایستگاه در شبکه وجود دارد. از نظر شماتیک، مراحل اصلی کار این برنامه ها به شرح زیر است: نصب در حافظه; انتظار برای درخواست از یک میزبان راه دور که یک برنامه مشتری را اجرا می کند و پیام های آمادگی را با آن مبادله می کند. انتقال اطلاعات رهگیری شده به مشتری یا دادن کنترل بر کامپیوتر مورد حمله به او. پیامدهای احتمالی اجرای تهدیدات طبقات مختلف در جدول 1 نشان داده شده است

    جدول 1. پیامدهای احتمالی اجرای تهدیدات طبقات مختلف

    №
    p/n     		نوع حمله عواقب احتمالی
    1 تجزیه و تحلیل ترافیک شبکه مطالعه مشخصات ترافیک شبکه، رهگیری داده های ارسالی، از جمله شناسه های کاربری و رمز عبور
    2 اسکن شبکه تعریف پروتکل ها، پورت های موجود سرویس های شبکه، قوانین تولید شناسه های اتصال، خدمات شبکه فعال، شناسه های کاربری و رمز عبور
    3 حمله "رمز عبور". انجام هرگونه اقدام مخرب مرتبط با دسترسی غیرمجاز
    4 جعل یک شی شبکه قابل اعتماد تغییر مسیر پیام ها، تغییر غیرمجاز مسیریابی و داده های آدرس. دسترسی غیرمجاز به منابع شبکه، تحمیل اطلاعات نادرست
    5 تحمیل مسیر کاذب تغییر غیرمجاز داده های مسیریابی و آدرس، تجزیه و تحلیل و اصلاح داده های ارسالی، تحمیل پیام های نادرست
    6 تزریق یک شی شبکه ساختگی رهگیری و مشاهده ترافیک. دسترسی غیرمجاز به منابع شبکه، تحمیل اطلاعات نادرست
    7 خود داری از خدمات فرسودگی جزئی منابع کاهش پهنای باند کانال های ارتباطی، عملکرد دستگاه های شبکه. کاهش عملکرد برنامه های سرور
    تمام شدن کامل منابع عدم امکان ارسال پیام به دلیل عدم دسترسی به رسانه انتقال، امتناع از برقراری ارتباط. خود داری از خدمات.
    نقض اتصال منطقی بین ویژگی ها، داده ها، اشیا عدم امکان ارسال پیام به دلیل نبود مسیریابی صحیح و داده های آدرس. عدم امکان دریافت خدمات به دلیل تغییر غیرمجاز شناسه، رمز عبور و غیره.
    استفاده از باگ در برنامه ها خرابی دستگاه های شبکه
    8 راه اندازی برنامه از راه دور با ارسال فایل های حاوی کد اجرایی مخرب، آلودگی به ویروس. نقض محرمانه بودن، یکپارچگی، در دسترس بودن اطلاعات.
    با سرریز بافر برنامه سرور
    با استفاده از قابلیت های مدیریت سیستم از راه دور ارائه شده توسط زبانه های نرم افزاری و سخت افزاری مخفی یا ابزارهای استاندارد مورد استفاده مدیریت سیستم مخفی

    فرآیند تحقق تهدید به طور کلی شامل چهار مرحله است:

    جمع آوری اطلاعات؛

    نفوذ (نفوذ به محیط عملیاتی)؛

    اجرای دسترسی غیرمجاز؛

    از بین بردن آثار دسترسی غیرمجاز.

    در مرحله جمع آوری اطلاعات، متخلف ممکن است به اطلاعات مختلفی در مورد ISPD علاقه مند باشد، از جمله:

    درباره توپولوژی شبکه ای که سیستم در آن کار می کند. این می تواند منطقه اطراف شبکه را کاوش کند (برای مثال، ممکن است مزاحم به آدرس هاست های مورد اعتماد، اما کمتر ایمن علاقه مند باشد). ابزارهای در دسترس بودن میزبان موازی وجود دارد که می تواند در مدت زمان کوتاهی منطقه بزرگی از فضای آدرس را برای در دسترس بودن میزبان اسکن کند.

    درباره نوع سیستم عامل (OS) در ISPD. روش تعیین نوع سیستم عامل را می توان به عنوان ساده ترین درخواست برای ایجاد اتصال از طریق پروتکل دسترسی از راه دور Telnet ذکر کرد که در نتیجه می توان نوع سیستم عامل میزبان را با "ظاهر" پاسخ تعیین کرد. وجود برخی از خدمات همچنین می تواند به عنوان یک نشانه اضافی از نوع سیستم عامل میزبان باشد.

    درباره خدماتی که در هاست کار می کنند. تعریف سرویس هایی که روی هاست اجرا می شوند بر اساس روش «درگاه های باز» برای جمع آوری اطلاعات در مورد در دسترس بودن هاست است.

    در مرحله تهاجم، وجود آسیب‌پذیری‌های معمولی در سرویس‌های سیستم یا خطاها در مدیریت سیستم بررسی می‌شود. سوء استفاده موفقیت‌آمیز از آسیب‌پذیری‌ها معمولاً منجر به کسب حالت اجرای ممتاز (دسترسی به حالت اجرای ممتاز پردازنده)، تزریق یک حساب کاربری غیرقانونی به سیستم، دریافت فایل رمز عبور یا ایجاد اختلال در میزبان مورد حمله می‌شود.

    این مرحله از توسعه تهدید، به عنوان یک قاعده، چند مرحله ای است. مراحل فرآیند اجرای تهدید ممکن است شامل موارد زیر باشد: ایجاد ارتباط با میزبانی که تهدید علیه آن اجرا می شود. شناسایی آسیب پذیری؛ معرفی یک برنامه مخرب به منظور توانمندسازی و غیره

    تهدیدهای اجرا شده در مرحله نفوذ به لایه های پشته پروتکل TCP / IP تقسیم می شوند، زیرا بسته به مکانیسم نفوذ مورد استفاده در سطح شبکه، حمل و نقل یا برنامه ایجاد می شوند. تهدیدهای معمولی که در سطوح شبکه و حمل و نقل اجرا می شوند شامل موارد زیر است:

    تهدیدی با هدف جایگزینی یک شی قابل اعتماد؛

    تهدیدی با هدف ایجاد یک مسیر نادرست در شبکه؛

    تهدیدهایی با هدف ایجاد یک شی نادرست با استفاده از کاستی های الگوریتم های جستجوی راه دور.

    تهدیدات انکار خدمات

    تهدیدات معمولی اجرا شده در سطح برنامه شامل تهدیدهایی با هدف راه اندازی غیرمجاز برنامه ها، تهدیدهایی است که اجرای آنها با معرفی اشکالات نرم افزاری، با شناسایی رمزهای عبور دسترسی به یک شبکه یا یک میزبان خاص و غیره همراه است. اگر اجرای تهدید بالاترین حقوق دسترسی را در سیستم برای متخلف به ارمغان نیاورد، تلاش برای گسترش این حقوق تا حداکثر سطح ممکن امکان پذیر است. برای این کار می توان از آسیب پذیری های نه تنها سرویس های شبکه، بلکه از آسیب پذیری های نرم افزار سیستم هاست های ISPDN نیز استفاده کرد.

    در مرحله اجرای دسترسی غیرمجاز، هدف از اجرای تهدید محقق می شود:

    نقض محرمانه بودن (کپی، توزیع غیرقانونی)؛

    نقض یکپارچگی (تخریب، تغییر)؛

    نقض در دسترس بودن (مسدود کردن).

    در همان مرحله، پس از این اقدامات، به عنوان یک قاعده، به اصطلاح "درب پشتی" در قالب یکی از سرویس هایی که به یک پورت خاص سرویس می دهد و دستورات نفوذگر را اجرا می کند، تشکیل می شود. "در پشتی" در سیستم باقی می ماند تا اطمینان حاصل شود: توانایی دسترسی به میزبان، حتی اگر مدیر آسیب پذیری مورد استفاده برای اجرای موفقیت آمیز تهدید را از بین ببرد. امکان دسترسی به میزبان تا حد امکان محتاطانه؛ امکان دسترسی سریع به هاست (بدون تکرار فرآیند اجرای تهدید). "Back door" به مهاجم اجازه می دهد تا یک برنامه مخرب را به یک شبکه یا روی یک میزبان خاص تزریق کند، به عنوان مثال، یک "آنالیز رمز عبور" - برنامه ای که شناسه های کاربر و رمزهای عبور را از ترافیک شبکه در هنگام اجرا پروتکل های سطح بالا استخراج می کند. اهداف تزریق بدافزار می تواند برنامه های احراز هویت و شناسایی، خدمات شبکه، هسته سیستم عامل، سیستم فایل، کتابخانه ها و غیره باشد.

    در نهایت در مرحله از بین بردن آثار اجرای تهدید، سعی می شود آثار اقدامات متجاوز از بین برود. این ورودی‌های مربوطه را از همه گزارش‌های حسابرسی ممکن، از جمله سوابق مربوط به جمع‌آوری اطلاعات، حذف می‌کند.

    1.4 ویژگی های بانک و فعالیت های آن

    PJSC Citibank یک سازمان مالی و اعتباری سیستم بانکی فدراسیون روسیه است که معاملات مالی را با پول و اوراق بهادار انجام می دهد. بانک خدمات مالی به اشخاص حقیقی و حقوقی ارائه می کند.

    عمده فعالیت ها اعطای وام به اشخاص حقیقی و حقوقی، خدمات رسانی به حساب های مشتریان شرکتی، جذب وجوه از سوی مردم در سپرده ها، عملیات در بازارهای ارز و بین بانکی، سرمایه گذاری در اوراق قرضه و اسناد می باشد.

    بانک فعالیت های مالی خود را از اول آگوست 1990 بر اساس مجوز عمومی بانک روسیه برای فعالیت های بانکی شماره 356 انجام می دهد.

    بانک دارای سه سیستم اطلاعات شخصی است:

    سیستم اطلاعاتی اطلاعات شخصی کارکنان بانک - امکان شناسایی 243 موضوع داده های شخصی را فراهم می کند.

    سیستم اطلاعات شخصی سیستم کنترل و مدیریت دسترسی - به شما امکان می دهد 243 موضوع داده های شخصی را شناسایی کنید.

    سیستم اطلاعاتی داده های شخصی سیستم بانکی خودکار - به شما امکان می دهد 9681 موضوع داده های شخصی را شناسایی کنید.

    1.5 پایگاه داده های شخصی

    بانک باید از چندین داده شخصی اطلاعاتی به طور همزمان محافظت کند، یعنی:

    سیستم اطلاعاتی اطلاعات شخصی کارکنان بانک؛

    سیستم اطلاعاتی داده های شخصی سیستم کنترل و مدیریت دسترسی؛

    سیستم اطلاعاتی داده های شخصی سیستم بانکی خودکار.

    1.5.1 سیستم اطلاعاتی داده های شخصی کارکنان سازمان

    ISPD کارکنان بانک برای پرداخت حقوق به کارکنان بانک، خودکارسازی کار کارکنان بخش پرسنل، خودکارسازی کار کارکنان بخش حسابداری بانک و حل سایر مسائل پرسنلی و حسابداری استفاده می شود. شامل یک پایگاه داده 1C "مدیریت حقوق و دستمزد و پرسنل" است که در یک ایستگاه کاری جداگانه با قابلیت اتصال به محل کار از طریق شبکه قرار دارد. ایستگاه کاری در دفتر بخش منابع انسانی قرار دارد. ایستگاه کاری سیستم عامل Microsoft Windows XP را اجرا می کند. هیچ اتصال اینترنتی در ایستگاه کاری وجود ندارد.

    نام و نام خانوادگی؛

    تاریخ تولد؛

    سری و شماره گذرنامه؛

    شماره تلفن؛

    حق کار با نرم افزار 1C "مدیریت حقوق و دستمزد و پرسنل" و پایگاه داده های شخصی دارای:

    سر حسابدار؛

    دستیار حسابدار ارشد؛

    رئیس اداره منابع انسانی؛

    یک کارمند مسئول حقوق و دستمزد کارکنان بانک.

    تغییر دستی داده ها؛

    1.5.2 سیستم اطلاعات شخصی سیستم کنترل و مدیریت دسترسی

    سیستم اطلاعات شخصی سیستم کنترل و مدیریت دسترسی برای ذخیره اطلاعات شخصی کارکنان و بازدیدکنندگان بانک که به اماکن مختلف بانک دسترسی دارند استفاده می شود. ISDN سیستم کنترل و مدیریت دسترسی توسط بخش امنیتی بانک استفاده می شود. پایگاه داده ISPD بر روی ایستگاه کاری واقع در اتاق امنیتی بخش امنیتی نصب شده است. سیستم عامل Microsoft Windows 7 بر روی AWP ISPD نصب شده است، Microsoft SQL Server 2012 DBMS به عنوان سیستم مدیریت پایگاه داده استفاده می شود.AWP ISPD به شبکه محلی دسترسی ندارد و همچنین به اینترنت دسترسی ندارد.

    ISPD داده های شخصی زیر را ذخیره می کند:

    نام و نام خانوادگی؛

    عکس کارمند.

    حق کار با سیستم های کنترل و مدیریت دسترسی ISPDn:

    رئیس اداره حراست بانک؛

    معاون حراست بانک؛

    کارکنان بخش حراست بانک

    دسترسی به محل کار خودکار سیستم کنترل و مدیریت دسترسی دارای موارد زیر است:

    مدیران سیستم، برای مدیریت ایستگاه کاری و نرم افزار 1C "مدیریت حقوق و دستمزد و پرسنل" و پایگاه داده داده های شخصی.

    کارکنان بخش مسئول امنیت اطلاعات بانک برای مدیریت سیستم حفاظت اطلاعات AWP.

    وظایف زیر را می توان در ISPD برای کارکنان بانک انجام داد:

    حذف خودکار اطلاعات شخصی؛

    حذف دستی داده های شخصی؛

    تغییر دستی داده ها؛

    افزودن دستی اطلاعات شخصی؛

    جستجوی خودکار برای داده های شخصی

    سیستم اطلاعات شخصی اطلاعاتی را ذخیره می کند که شناسایی 243 کارمند بانک را ممکن می سازد.

    پس از دستیابی به اهداف پردازش اطلاعات شخصی کارمند، اطلاعات شخصی وی از ISPD حذف می شود.

    1.5.3 سیستم اطلاعات شخصی سیستم بانکی خودکار

    سیستم اطلاعات شخصی سیستم بانکی خودکار برای خودکارسازی کار اکثر کارکنان بانک طراحی شده است. بهره وری کارکنان را بهبود می بخشد. به عنوان یک سیستم بانکی خودکار، از مجموعه محصولات نرم افزاری "CFT-Bank" تولید شده توسط گروه شرکت های "مرکز فناوری های مالی" استفاده می شود. نرم افزار Oracle به عنوان یک سیستم مدیریت پایگاه داده استفاده می شود. ISPD بر روی سرور بانک مستقر شده است، سیستم عامل نصب شده بر روی سرور Microsoft Windows Server 2008 R2 می باشد. ISPD سیستم بانکی خودکار به شبکه کامپیوتری محلی بانک متصل است، اما به اینترنت دسترسی ندارد. کاربران با استفاده از محصولات نرم افزاری CFT-Bank از پایانه های مجازی اختصاصی به پایگاه داده ISPD متصل می شوند. هر کاربر لاگین و رمز عبور خود را در ISPD دارد.

    داده های شخصی پردازش شده در ISPD:

    نام و نام خانوادگی؛

    تاریخ تولد؛

    سری و شماره گذرنامه؛

    شماره تلفن؛

    افراد زیر حق کار با نرم افزار CFT-Bank و پایگاه داده های شخصی را دارند:

    کارکنان حسابداری؛

    افسران وام؛

    کارکنان بخش مدیریت ریسک؛

    کارکنان بخش وثیقه؛

    مدیران شخصی؛

    مدیران مشتری؛

    کارکنان امنیتی

    دسترسی به ایستگاه کاری برای:

    مدیران سیستم برای مدیریت سرور، پایگاه داده های شخصی و نرم افزار CFT-Bank.

    کارکنان بخش مسئول امنیت اطلاعات بانک برای مدیریت سرور، پایگاه داده های شخصی و نرم افزار CFT-Bank.

    وظایف زیر را می توان در ISPD برای کارکنان بانک انجام داد:

    حذف خودکار اطلاعات شخصی؛

    حذف دستی داده های شخصی؛

    افزودن دستی اطلاعات شخصی؛

    تغییر دستی داده ها؛

    جستجوی خودکار برای داده های شخصی

    سیستم اطلاعات شخصی اطلاعاتی را ذخیره می کند که شناسایی 243 کارمند بانک و 9438 مشتری بانک را ممکن می سازد.

    پس از دستیابی به اهداف پردازش اطلاعات شخصی کارمند، اطلاعات شخصی وی از ISPD حذف می شود.

    1.6 ساختار و تهدیدات شبکه محلی بانک

    این بانک دارای شبکه مشتری-سرور است. نام دامنه ای که ایستگاه های کاری کاربران در آن قرار دارد vitabank.ru است. این بانک در مجموع دارای 243 ایستگاه کاری خودکار کاربر و همچنین 10 سرور مجازی و 15 ایستگاه کاری مجازی است. بخش مدیریت سیستم بر عملکرد شبکه نظارت می کند. این شبکه عمدتاً بر روی تجهیزات شبکه سیسکو ساخته شده است. ارتباط با دفاتر اضافی با استفاده از کانال های VPN با استفاده از اینترنت از طریق کانال های فعال و پشتیبان ارائه دهنده اینترنت حفظ می شود. تبادل اطلاعات با بانک مرکزی از طریق کانال اختصاصی و همچنین از طریق کانال های ارتباطی مرسوم صورت می گیرد.

    همه کاربران در ایستگاه‌های کاری محلی به اینترنت دسترسی دارند، اما کار با اسناد و سیستم‌های اطلاعاتی بانک تنها با استفاده از ایستگاه‌های کاری مجازی انجام می‌شود که دسترسی به اینترنت روی آن‌ها محدود است و فقط منابع محلی بانک بارگذاری می‌شود.

    دسترسی به اینترنت از ایستگاه های کاری محلی توسط گروه های دسترسی محدود می شود:

    حداقل دسترسی - دسترسی فقط به منابع خدمات فدرال، به وب سایت بانک روسیه؛

    دسترسی عادی - همه منابع به جز سرگرمی، شبکه های اجتماعی، تماشای فیلم و دانلود فایل ممنوع است.

    دسترسی کامل - تمام منابع و آپلود فایل مجاز است.

    فیلتر کردن منابع توسط گروه های دسترسی توسط سرور پروکسی اجرا می شود.

    در زیر نموداری از شبکه سیتی بانک PJSC را مشاهده می کنید (شکل 5).

    1.7 ابزارهای امنیت اطلاعات

    ابزار امنیت اطلاعات مجموعه ای از تجهیزات و دستگاه های مهندسی، الکتریکی، الکترونیکی، نوری و غیره، دستگاه ها و سیستم های فنی و همچنین سایر عناصری هستند که برای حل مشکلات مختلف امنیت اطلاعات از جمله جلوگیری از نشت و تضمین امنیت اطلاعات حفاظت شده استفاده می شوند.

    ابزارهای امنیت اطلاعات از نظر جلوگیری از اقدامات عمدی، بسته به روش اجرا به گروه‌های زیر تقسیم می‌شوند:

    فنی (سخت افزاری) یعنی. اینها دستگاه هایی از انواع مختلف (مکانیکی، الکترومکانیکی، الکترونیکی و غیره) هستند که مشکلات حفاظت از اطلاعات را با سخت افزار حل می کنند. آنها از دسترسی به اطلاعات جلوگیری می کنند، از جمله با پوشاندن آن. سخت افزار شامل موارد زیر است: مولدهای نویز، فیلترهای شبکه، رادیوهای اسکن کننده و بسیاری از دستگاه های دیگر که کانال های نشت اطلاعات احتمالی را مسدود می کنند یا به آنها اجازه شناسایی می دهند. مزایای ابزارهای فنی به قابلیت اطمینان، استقلال از عوامل ذهنی و مقاومت بالا در برابر اصلاح مربوط می شود. نقاط ضعف - عدم انعطاف پذیری، حجم و وزن نسبتاً زیاد، هزینه بالا.

    شکل 5 نمودار شبکه سیتی بانک PJSC

    ابزارهای نرم افزاری شامل برنامه هایی برای شناسایی کاربر، کنترل دسترسی، رمزگذاری اطلاعات، حذف اطلاعات باقیمانده (در حال کار) مانند فایل های موقت، کنترل تست سیستم حفاظتی و غیره است. از مزایای ابزارهای نرم افزار می توان به تطبیق پذیری، انعطاف پذیری، قابلیت اطمینان، سهولت نصب اشاره کرد. ، توانایی اصلاح و توسعه. معایب - عملکرد محدود شبکه، استفاده از بخشی از منابع سرور فایل و ایستگاه های کاری، حساسیت بالا به تغییرات تصادفی یا عمدی، وابستگی احتمالی به انواع رایانه ها (سخت افزار آنها).

    سخت‌افزار و نرم‌افزار ترکیبی، عملکردهای مشابه سخت‌افزار و نرم‌افزار را به‌طور جداگانه اجرا می‌کنند و دارای ویژگی‌های میانی هستند.

    کلیه اماکن اداری بانک با استفاده از سیستم کنترل دسترسی و مدیریت و همچنین سیستم نظارت تصویری توسط سرویس امنیتی نظارت می شود. ورود به اماکن اداری بانک با مجوزهای مناسب در سیستم کنترل و مدیریت دسترسی انجام می شود. برای یک کارمند در هنگام درخواست کار یا برای بازدیدکننده بانک در صورت نیاز به دسترسی به اماکن اداری بانک، کارت های مجاورتی بدون تماس صادر می شود که شناسه کاربری در آن ثبت شده است و در هنگام تلاش برای دسترسی به دفتر، این شناسه به سیستم کنترل و مدیریت دسترسی منتقل می شود. این سیستم لیست اتاق هایی را که کاربر کارت مجاز به ورود به آنها است با اتاقی که می خواهد وارد شود مقایسه می کند و دسترسی به اتاق را مجاز یا محدود می کند.

    ایستگاه های کاری بانک نرم افزار ضد ویروس Kaspersky Endpoint Security 10 را نصب کرده اند که دارای گواهی انطباق FSTEC روسیه به شماره 3025 است که تا 25 نوامبر 2019 اعتبار دارد، پایگاه داده های امضای ویروس به طور متمرکز توسط بخش سرور به روز می شوند. آنتی ویروس نصب شده بر روی سرور واقع در بانک.

    به منظور ساماندهی مدیریت اسناد الکترونیکی با بانک مرکزی، مسئولان این بانک خط ارتباطی اختصاصی برگزار کردند.

    برای سازماندهی مدیریت اسناد الکترونیکی با خدمات فدرال (خدمات مالیاتی فدرال، صندوق بازنشستگی روسیه، خدمات نظارت مالی و غیره) از امضای الکترونیکی استفاده می شود. برای کار با امضای الکترونیکی در ایستگاه های کاری محلی مجریان مسئول مدیریت اسناد با خدمات فدرال، نرم افزار تخصصی نصب شده است:

    Crypto-Pro CSP;

    Crypto-ARM;

    CIPF Verba-OW;

    CIPF Validat;

    سیگنال-COM CSP.

    استفاده از نرم افزار خاصی توسط پیمانکار بستگی به الزامات یک آژانس فدرال خاص دارد.

    یک فایروال سیسکو ASA 5512 که توسط شرکت سیسکو ساخته شده است در لبه شبکه محلی بانک نصب شده است. همچنین، سیستم های بانکی مهم (Workstation of the Bank of Russia Client، SWIFT، ISPD بانک) علاوه بر این، توسط فایروال های سیسکو از شبکه محلی بانک جدا می شوند. تونل های VPN برای ارتباط با یک دفتر اضافی با استفاده از فایروال های Cisco سازماندهی شده اند.

    1.8 حفاظت سازمانی

    بر اساس مطالعه ای که توسط شرکت حسابرسی و مشاوره بریتانیایی Ernst & Yong در سال 2014 انجام شد، 69 درصد از شرکت های شرکت کننده در این مطالعه، کارکنان شرکت را منبع اصلی تهدیدات امنیت اطلاعات می دانند.

    کارکنان شرکت ممکن است به دلیل ناآگاهی یا عدم صلاحیت خود در زمینه امنیت اطلاعات، اطلاعات حیاتی لازم برای انجام حملات هدفمند به سازمان را افشا کنند. مهاجمان همچنین پیام‌های فیشینگ را با نرم‌افزارهای مخرب جاسازی شده ارسال می‌کنند که به مهاجمان اجازه می‌دهد کنترل محل کار کارمند را به دست آورند و از این محل کار به سیستم‌های اطلاعاتی بانک حمله کنند.

    بنابراین، در بانک، بخش امنیت اطلاعات موظف است کارکنان بانک را در زمینه اصول اساسی امنیت اطلاعات آموزش دهد، بر رعایت الزامات امنیتی در هنگام کار در محیط کار نظارت کند و کارکنان بانک را از تهدیدات جدید امنیت اطلاعاتی که ممکن است با آن مواجه شوند آگاه کند. .

    در PJSC Citibank، همه کارکنان در هنگام استخدام تحت یک جلسه توجیهی مقدماتی قرار می گیرند. همچنین، کارکنان جدید، کارمندانی که از سایر بخش‌های ساختاری منتقل شده‌اند، یک جلسه توجیهی اولیه را در بخش امنیت اطلاعات انجام می‌دهند که طی آن قوانین اساسی امنیت اطلاعات در هنگام کار با سیستم‌های اطلاعاتی بانک، قوانین امنیتی هنگام کار در اینترنت، قوانین امنیتی به کارکنان توضیح داده می‌شود. هنگام کار با ایمیل بانک، سیاست رمز عبور بانک.

    کارکنان بخش امنیت اطلاعات بانک در توسعه و پیاده سازی سیستم های اطلاعاتی جدید بانک در تمامی سطوح توسعه سیستم مشارکت دارند.

    در مرحله طراحی سیستم و تهیه شرایط مرجع برای توسعه یک سیستم اطلاعاتی، بخش امنیت اطلاعات الزامات امنیتی را بر سیستم تحمیل می کند.

    در مرحله توسعه یک سیستم اطلاعاتی، کارمندان بخش امنیت اطلاعات اسناد فعلی را مطالعه می کنند، نرم افزار را برای آسیب پذیری های احتمالی در کد برنامه آزمایش می کنند.

    در مرحله تست و راه اندازی سیستم اطلاعاتی، بخش امنیت اطلاعات به طور فعال در تست سیستم اطلاعاتی شرکت می کند، تست های نفوذ به سیستم اطلاعاتی و تست های انکار سرویس را انجام می دهد و همچنین حقوق دسترسی به سیستم اطلاعاتی را توزیع می کند.

    در مرحله بهره برداری از سیستم اطلاعاتی که قبلاً راه اندازی شده است، بخش امنیت اطلاعات فعالیت های مشکوک را نظارت و شناسایی می کند.

    در مرحله نهایی‌سازی سیستم اطلاعات، بخش امنیت اطلاعات بر اساس داده‌های به‌دست‌آمده در حین کارکرد سیستم اطلاعاتی، نیازمندی‌های جدیدی را برای سیستم اطلاعاتی ایجاد می‌کند.

    بخش امنیت اطلاعات در PJSC Citibank کلیه درخواست‌های دسترسی به منابع موجود در اینترنت و همچنین منابع داخلی بانک را تأیید می‌کند.

    1.9 چرخه پردازش داده های شخصی

    اطلاعات شخصی ذخیره شده در بانک فقط به صورت قانونی به دست آمده است.

    داده های شخصی دریافتی یک کارمند بانک فقط برای انجام تعهدات بانک تحت قرارداد منعقد شده با کارمند پردازش می شود. اطلاعات شخصی کارمند بانک از خود کارمند به دست می آید. همه کارکنان بانک در برابر امضا با اسناد بانک آشنا هستند که روش پردازش داده های شخصی کارکنان بانک و همچنین حقوق و تعهدات آنها را در این زمینه تعیین می کند.

    داده های شخصی کارکنان بانک ذخیره شده در ISPD سیستم کنترل و مدیریت دسترسی به منظور اجازه ورود کارمند به محل کار است.

    داده‌های شخصی مشتریان بانک که در ISPD سیستم بانکی خودکار ذخیره می‌شود، فقط برای انجام تعهدات بانک تحت قرارداد منعقد شده با مشتری بانک در آنجا پردازش می‌شود. همچنین، در ISPD سیستم بانکی خودکار، داده های شخصی افرادی که با بانک توافق نکرده اند، اما به طور قانونی به دست آمده اند، پردازش می شوند، به عنوان مثال، داده های شخصی دریافت شده و پردازش به درخواست قانون فدرال شماره به دست آمده است. با ابزارهای جنایی و تأمین مالی تروریسم».

    پس از دستیابی به اهداف پردازش داده های شخصی، آنها از بین می روند یا غیرشخصی می شوند.

    2. توسعه اقدامات برای حفاظت از داده های شخصی در بانک

    در PJSC Citibank، سیستم حفاظت از داده های شخصی توسط قوانین سطح ایالت و مقررات محلی تنظیم می شود (به عنوان مثال، قوانین مربوط به خدمات بانکداری از راه دور برای اشخاص حقوقی و کارآفرینان فردی در PJSC CITIBANK در پیوست 1).

    سیستم حفاظت از داده های شخصی PJSC Citibank به اندازه کافی برای جلوگیری از حملات ساده مانند فیشینگ و آلوده شدن ایستگاه های کاری با ویروس های باج افزار تنظیم شده است، اما قادر به مقاومت در برابر حملات هدفمند با هدف سرقت داده های شخصی نیست.

    من کار بر روی بازسازی و نوسازی سیستم حفاظت از داده های شخصی انجام دادم.

    2.1 اقدامات برای حفاظت از شبکه کامپیوتری محلی بانک و سیستم اطلاعات شخصی

    نقاط ضعف آشکاری در شبکه سیتی بانک وجود دارد که با استفاده از آنها مهاجمان می توانند به شبکه بانک دسترسی کامل پیدا کرده و کنترل آن را در دست بگیرند و پس از آن می توانند آزادانه اطلاعات شخصی مشتریان یا کارمندان بانک را سرقت، تغییر یا حذف کنند.

    از آنجایی که شبکه بانک یک بخش است، برای به حداقل رساندن خطرات ورود مزاحمان به شبکه بانک، باید با استفاده از فناوری شبکه مجازی به چند بخش تقسیم شود.

    مفهوم فناوری شبکه مجازی (VLAN) این است که مدیر شبکه می تواند گروه های منطقی از کاربران را در آن ایجاد کند، صرف نظر از اینکه به کدام قسمت از شبکه متصل هستند. می توانید کاربران را در گروه های کاری منطقی ترکیب کنید، به عنوان مثال، بر اساس مشترک بودن کار انجام شده یا کار مشترک حل شده. در عین حال، گروه های کاربری می توانند با یکدیگر تعامل داشته باشند یا کاملاً برای یکدیگر نامرئی باشند. عضویت در گروه قابل تغییر است و کاربر می تواند عضو چندین گروه منطقی باشد. شبکه‌های مجازی دامنه‌های پخش منطقی را تشکیل می‌دهند و عبور بسته‌های پخش را از طریق شبکه محدود می‌کنند، درست مانند روترها، که ترافیک پخش را بین بخش‌های شبکه ایزوله می‌کنند. به این ترتیب شبکه مجازی از وقوع طوفان های پخش جلوگیری می کند زیرا پیام های پخش شده محدود به اعضای شبکه مجازی است و توسط اعضای شبکه های مجازی دیگر قابل دریافت نیستند. شبکه‌های مجازی می‌توانند در مواردی که دسترسی به منابع مشترک، مانند سرورهای فایل یا سرورهای برنامه ضروری است، یا در مواردی که یک کار مشترک مستلزم تعامل سرویس‌های مختلف مانند بخش اعتبار و تسویه حساب است، امکان دسترسی به اعضای یک شبکه مجازی دیگر را فراهم کنند. شبکه های مجازی را می توان بر اساس پورت های سوئیچ، آدرس های فیزیکی دستگاه های موجود در شبکه و آدرس های منطقی پروتکل های سطح سوم مدل OSI ایجاد کرد. مزیت شبکه های مجازی در سرعت بالای سوئیچ ها نهفته است، زیرا سوئیچ های مدرن شامل مجموعه ای تخصصی از مدارهای مجتمع هستند که به طور ویژه برای حل مشکلات سوئیچینگ در سطح دوم مدل OSI طراحی شده اند. اگر نیازی به پیکربندی مجدد کلاینت‌های شبکه نباشد، شبکه‌های مجازی سطح سوم آسان‌ترین نصب هستند و مدیریت آن سخت‌ترین است، زیرا هر اقدامی با یک کلاینت شبکه نیاز به پیکربندی مجدد خود مشتری یا روتر دارد و کمترین انعطاف را دارد، زیرا مسیریابی برای برقراری ارتباط با شبکه های مجازی مورد نیاز است که هزینه سیستم را افزایش می دهد و عملکرد آن را کاهش می دهد.

    بنابراین ایجاد شبکه های مجازی در بانک از حملات جعلی ARP جلوگیری می کند. Malefactors قادر به رهگیری اطلاعاتی که بین سرور و کلاینت ارسال می شود، نخواهند بود. هنگام نفوذ به شبکه، مهاجمان نمی توانند کل شبکه بانک را اسکن کنند، بلکه فقط بخش شبکه ای را که به آن دسترسی پیدا کرده اند، اسکن کنند.

    هنگام نفوذ به شبکه بانک، مهاجمان ابتدا شبکه را اسکن می کنند تا گره های مهم شبکه را بیابند. این گره ها عبارتند از:

    کنترل کننده دامنه؛

    سرور پروکسی؛

    سرور پست الکترونیکی؛

    سرور فایل؛

    سرور برنامه های کاربردی

    از آنجایی که شبکه محلی در بانک با استفاده از فناوری شبکه مجازی سازماندهی خواهد شد، مهاجمان نمی توانند این گره ها را بدون مراحل اضافی شناسایی کنند. برای اینکه مهاجمان در یافتن گره های حیاتی در شبکه محلی دشوارتر شوند و آنها را گیج کنند و در آینده برای بررسی استراتژی مهاجمان هنگام حمله به شبکه، باید از اشیاء کاذب استفاده شود که مهاجمان را جذب کند. . به این اشیا Honeypot می گویند.

    وظیفه Honeypot حمله یا تحقیقات غیرمجاز است که متعاقباً به شما امکان می دهد استراتژی مهاجمان را مطالعه کنید و لیستی از ابزارهایی را تعیین کنید که توسط آنها می توان به اشیاء امنیتی واقعی ضربه زد. پیاده سازی هانی پات می تواند یک سرور اختصاصی یا یک سرویس شبکه واحد باشد که وظیفه آن جلب توجه هکرها است.

    هانی پات منبعی است که هیچ کاری را بدون تاثیر روی آن انجام نمی دهد. Honeypot پس از تجزیه و تحلیل آماری که بر روی روش های استفاده شده توسط کراکرها و همچنین وجود راه حل های جدیدی که متعاقباً در مبارزه با آنها استفاده می شود، مقدار کمی از اطلاعات را جمع آوری می کند.

    به عنوان مثال، وب سروری که نامی ندارد و تقریباً برای هر کسی ناشناخته است، نباید مهمانان به آن دسترسی داشته باشند، بنابراین هر کسی که سعی در نفوذ به آن داشته باشد، یک مهاجم بالقوه است. Honeypot اطلاعاتی در مورد رفتار این کرکرها و نحوه تأثیر آنها بر سرور جمع آوری می کند. پس از آن، متخصصان بخش امنیت اطلاعات اطلاعات مربوط به حمله متجاوزان به منبع را جمع آوری می کنند و استراتژی هایی را برای دفع حملات در آینده توسعه می دهند.

    برای کنترل اطلاعات دریافتی از اینترنت و شناسایی تهدیدات امنیت اطلاعات در مرحله انتقال آنها از طریق شبکه و همچنین شناسایی فعالیت متجاوزانی که به شبکه محلی بانک نفوذ کرده اند، نصب سیستم پیشگیری از نفوذ در آدرس اینترنتی بانک ضروری است. لبه شبکه

    سیستم پیشگیری از نفوذ یک نرم افزار یا سخت افزار شبکه و سیستم امنیتی کامپیوتری است که نفوذ یا نقض امنیتی را شناسایی کرده و به طور خودکار در برابر آنها محافظت می کند.

    سیستم‌های پیشگیری از نفوذ را می‌توان به عنوان توسعه سیستم‌های تشخیص نفوذ در نظر گرفت، زیرا وظیفه ردیابی حملات ثابت می‌ماند. با این حال، تفاوت آنها در این است که سیستم پیشگیری از نفوذ، فعالیت ها را در زمان واقعی نظارت می کند و به سرعت اقدامات پیشگیری از حمله را اجرا می کند.

    سیستم های تشخیص و پیشگیری از نفوذ به دو دسته تقسیم می شوند:

    سیستم های پیشگیری از نفوذ شبکه - ترافیک هدایت شده به شبکه سازمان، عبور از خود شبکه یا هدایت شده به یک کامپیوتر خاص را تجزیه و تحلیل می کند. سیستم‌های تشخیص نفوذ و پیشگیری را می‌توان با روش‌های نرم‌افزاری یا سخت‌افزاری-نرم‌افزاری، در محیط شبکه سازمانی و گاهی در داخل آن نصب کرد.

    سیستم‌های پیشگیری از نفوذ شخصی نرم‌افزاری هستند که بر روی ایستگاه‌های کاری یا سرورها نصب می‌شوند و به شما اجازه می‌دهند تا فعالیت برنامه‌ها را کنترل کنید و همچنین فعالیت شبکه را برای حملات احتمالی نظارت کنید.

    یک سیستم جلوگیری از نفوذ شبکه برای استقرار در شبکه بانک انتخاب شد.

    سیستم های نفوذ شبکه از IBM، Check Point، Fortinet، Palo Alto در نظر گرفته شد، زیرا عملکرد اعلام شده سازندگان این سیستم ها الزامات بخش امنیت اطلاعات بانک را برآورده می کند.

    پس از استقرار میزهای تست و آزمایش سیستم‌های جلوگیری از نفوذ، سیستم Check Point انتخاب شد زیرا بهترین عملکرد، بهترین زیرسیستم تشخیص ویروس منتقل شده از طریق شبکه محلی، بهترین ابزار برای ثبت و ثبت رویدادهای مهم و قیمت کسب را نشان می‌داد.

    سیستم جلوگیری از نفوذ IBM رد شد زیرا هزینه دستگاه ها از بودجه بخش امنیت اطلاعات برای خرید یک سیستم جلوگیری از نفوذ بیشتر بود.

    سیستم جلوگیری از نفوذ Fortinet به دلیل پاسخ ناقص زمانی که بخش امنیت اطلاعات آزمایش‌هایی را برای انتقال فایل‌های آلوده و ابزارهای اطلاعات ناکافی برای ثبت رویدادهای مهم انجام داد، رد شد.

    سیستم جلوگیری از نفوذ Palo Alto به دلیل ابزارهای اطلاعاتی ناکافی برای ثبت رویدادهای مهم، پیچیدگی بیش از حد کار با سیستم و عملکرد بیشتر شبیه روتر رد شد.

    سیستم پیشگیری از نفوذ Check Point برای پیاده سازی در شبکه محلی انتخاب شد. این سیستم سطح بالایی از تشخیص تهدیدات امنیت اطلاعات، تنظیمات منعطف، قابلیت گسترش عملکرد با خرید ماژول های نرم افزاری اضافی را نشان داد، دارای سیستم قدرتمند ثبت رویدادهای مهم و جعبه ابزار قدرتمند برای ارائه گزارش حوادث است که می توان از آن استفاده کرد. بررسی حوادث امنیت اطلاعات بسیار آسان تر است.

    نمودار شبکه PJSC Citibank با معماری تغییر یافته در شکل 6 نشان داده شده است.

    2.2 حفاظت های نرم افزاری و سخت افزاری

    از آنجایی که امنیت داده های شخصی را نمی توان تنها با حفاظت شبکه تضمین کرد، زیرا متجاوزان علیرغم تمام اقدامات انجام شده برای حفاظت از شبکه، می توانند به شبکه بانک دسترسی پیدا کنند.

    شکل 6 نمودار شبکه سیتی بانک PJSC با سیستم های امنیتی اضافی

    برای حفاظت انعطاف پذیرتر در برابر حملات، لازم است که نرم افزارها و تجهیزات حفاظتی سخت افزاری برای ایستگاه های کاری محلی، ایستگاه های کاری مجازی، سرورهای مجازی و معمولی به دستگاه های طراحی شده برای محافظت از شبکه اضافه شود.

    همانطور که می دانید، برنامه های ضد ویروس محافظت کاملی در برابر نرم افزارهای مخرب ارائه نمی دهند، زیرا آنها بر اساس اصل تجزیه و تحلیل امضا کار می کنند. یک شرکت نرم‌افزار ضد ویروس کارشناسانی را در کارمندان خود دارد که بر فعالیت ویروس‌ها در اینترنت نظارت می‌کنند، رفتار نرم‌افزار ویروس را در ایستگاه‌های آزمایشی مطالعه می‌کنند و امضاهایی را ایجاد می‌کنند که متعاقباً با به‌روزرسانی پایگاه‌های داده امضای نرم‌افزار ضد ویروس به رایانه‌های کاربران ارسال می‌شوند. آنتی ویروس با دریافت یک پایگاه داده به روز شده از امضاهای نرم افزار ضد ویروس، فایل های موجود در ایستگاه کاری کاربر را اسکن می کند و به دنبال نشانه هایی از نرم افزارهای مخرب می گردد؛ اگر چنین علائمی در حین اسکن یافت شود، آنتی ویروس این را سیگنال می دهد و مطابق با آن عمل می کند. تنظیماتی که توسط کاربر یا مدیر آنتی ویروس تنظیم شده است. بنابراین اگر بدافزار توسط کارشناسان شرکت نرم افزار آنتی ویروس شناسایی و تجزیه و تحلیل نشود، آنتی ویروس با در نظر گرفتن ایمن بودن فایل اسکن شده، قادر به شناسایی بدافزار نخواهد بود و هیچ اقدامی انجام نخواهد داد. بنابراین، بانک به منظور کاهش احتمال دسترسی به شبکه و راه اندازی نرم افزارهای مخرب، دومین حلقه حفاظت ضد ویروس را نصب کرد. از آنجایی که اکثر شرکت‌های نرم‌افزار آنتی‌ویروس جدا از یکدیگر کار می‌کنند، بدافزارهایی که هنوز توسط یک شرکت نرم‌افزار آنتی‌ویروس شناسایی نشده‌اند، می‌توانند توسط توسعه‌دهنده دیگری شناسایی شوند و از قبل می‌توان برای تهدید شناسایی شده امضا ایجاد کرد.

    برای اجرای چنین طرحی، یک ایستگاه کاری مجازی ایجاد شد که روی آن آنتی ویروس مجموعه امنیتی Doctor WEB Enterprise نصب شد که دارای گواهی انطباق FSTEC روسیه به شماره 2446 است که تا 20 سپتامبر 2017 اعتبار دارد. تمامی فایل های دانلود شده توسط کارمندان بانک در حین کار به این ایستگاه ارسال و توسط آنتی ویروس اسکن می شود. در صورت شناسایی نرم افزارهای مخرب، آنتی ویروس ایمیلی با نام تهدید و مسیر ذخیره فایل آلوده به بخش امنیت اطلاعات ارسال می کند. بخش امنیت اطلاعات اقداماتی را برای حذف نرم افزارهای مخرب انجام می دهد. در صورتی که فایل های آپلود شده توسط کاربران از بررسی نرم افزار آنتی ویروس عبور کنند، کاربری که فایل را آپلود کرده است از بخش امنیت اطلاعات درخواست می کند و کارمندان بخش فایل دانلود شده را به کاربر منتقل می کنند.

    همچنین حجم زیادی از نرم افزارهای مخرب از طریق ایمیل به دست کارکنان بانک می رسد. اینها می‌توانند هم ویروس‌های رمزگذاری معمولی و هم نرم‌افزارهای مخربی باشند که به مهاجمان اجازه می‌دهند با استفاده از یک اتصال راه دور به رایانه آلوده یک کارمند بانک نفوذ کنند.

    برای به حداقل رساندن خطرات چنین تهدیداتی، نرم افزار ضد ویروس ClamAW که برای محافظت از سرورهای ایمیل طراحی شده است، بر روی میل سرور بانک نصب شد.

    برای محافظت در برابر دسترسی غیرمجاز توسط متجاوزان داخلی که به نحوی رمز عبور کاربر یک ایستگاه محلی را که به سیستم های اطلاعات شخصی دسترسی دارد، یاد گرفته اند، لازم است یک سیستم حفاظت اطلاعات از دسترسی غیرمجاز در ایستگاه های کاری محلی کاربرانی که با شخصی کار می کنند نصب شود. سیستم های اطلاعات داده

    .

    آموزش کارکنان بانک توسط متخصص بخش امنیت اطلاعات انجام می شود.

    یک کارمند بخش امنیت اطلاعات در بخشی از بانک تعیین شده توسط این طرح آموزش انجام می دهد. پس از پایان آموزش، کارکنان واحد تست هایی را می گذرانند که در آن دانش کسب شده در طول آموزش را تایید می کنند.

    خط مشی امنیتی اساسی اجرای آموزش در هر واحد را حداقل چهار بار در سال تنظیم می کند.

    همچنین، به موازات آموزش کارکنان، کارکنان بخش امنیت اطلاعات موظفند حداقل ماهی یکبار برای کلیه کارکنان بانک اطلاعات نامه ارسال کنند که در آن قوانین اساسی امنیتی، تهدیدات جدید امنیت اطلاعات بانک را تشریح کند. در صورت شناسایی

    2.3.2 ترتیب دسترسی کارکنان به منابع اینترنتی

    بانک دارای 3 گروه دسترسی به اینترنت است، اما چنین تقسیم دسترسی ناکارآمد است، زیرا یک کارمند برای انجام وظایف خود ممکن است نیاز به کسب اطلاعات از یک منبع شبکه موجود در گروه دسترسی کامل داشته باشد، در این صورت او باید برای دسترسی کامل به اینترنت، که ناامن است.

    گروه 6: بارگیری بایگانی - گروه هیچ گونه دسترسی به منابع اینترنتی را فراهم نمی کند.

    گروه 7: دانلود فایل های اجرایی - گروه هیچ گونه دسترسی به منابع اینترنتی را فراهم نمی کند.

    گروه 8: دسترسی کامل به اینترنت - دسترسی کامل به منابع اینترنتی، دانلود هر گونه فایل.

    برای دسترسی به منابع اینترنتی، یک کارمند از طریق سیستم ServiceDesk اپلیکیشن ایجاد می کند و پس از تایید رئیس بخش یا مدیریت و یکی از کارکنان بخش امنیت اطلاعات، به کارمند طبق گروه درخواستی اجازه دسترسی به منابع اینترنتی داده می شود. .

    2.3.3 رویه دسترسی کارکنان به منابع درون بانکی

    اسناد اصلی در مورد کار یک کارمند در محل کار محلی یا در سیستم خودکاری که در آن کار می کند قرار دارد. همچنین، هر بخش بانک دارای بخشی در سرور فایل بانک است که اطلاعات لازم برای چند نفر از کارکنان بخش را ذخیره می کند و اندازه آن بزرگ است تا از طریق ایمیل بانک ارسال شود.

    هنگامی که یک کارمند جدید در بانک مشغول به کار می شود، مدیر مستقیم وی درخواستی را از طریق سیستم ServiceDesk به بخش مدیریت سیستم برای دسترسی به منبع درون بانکی ارسال می کند و پس از تایید درخواست توسط کارمند بخش امنیت اطلاعات، کارمند بخش مدیریت سیستم به کارمند جدید دسترسی به منبع درخواستی را فراهم می کند.

    اغلب مواقعی پیش می‌آید که کار چندین بخش بانک با هم تلاقی می‌کند و برای تبادل اطلاعات این بخش‌ها به یک واحد جداگانه در سرور فایل بانک نیاز دارند.

    برای ایجاد این بخش، مدیر پروژه، رئیس یکی از بخش های درگیر در فرآیند کار بر روی پروژه، برنامه ای را از طریق سیستم ServiceDesk برای ایجاد یک منبع مشترک و دسترسی به این منبع برای کارمندان خاص خود ایجاد می کند. دپارتمانی که روی یک پروژه مشترک کار می کند و رئیس بخشی که با آنها در پروژه همکاری می کند. پس از تایید توسط افسر اطلاعات، افسر مدیریت سیستم منبع درخواستی را ایجاد می کند و به کارکنان درخواست شده دسترسی به آن را اعطا می کند. هر رئیس بخش شرکت کننده در پروژه فقط برای آن دسته از کارمندانی که تابع او هستند درخواست دسترسی می کند.

    2.3.4 نحوه کار کارکنان با ایمیل

    پیش از این، قبل از ایجاد یک خط مشی امنیتی اساسی، هر کارمند خودش میزان خطر نامه ها و فایل های دریافتی از طریق ایمیل از سرورهای پست الکترونیکی خارجی را تعیین می کرد.

    پس از ایجاد یک خط مشی امنیتی اولیه، هر کاربر موظف است هر فایل دریافتی از طریق ایمیل از سرورهای پست الکترونیکی خارجی را به بخش امنیت اطلاعات ارسال کند تا از نظر وجود نرم افزارهای مخرب بررسی شود، میزان خطر حروف توسط کارمند به طور مستقل تعیین می شود. اگر یکی از کارمندان بانک مشکوک باشد که پیام دریافتی حاوی هرزنامه یا فیشینگ است، موظف است نامه را به طور کامل، یعنی حاوی تمام اطلاعات رسمی در مورد فرستنده، صندوق پستی و آدرس IP وی، به بخش امنیت اطلاعات ارسال کند. پس از آنالیز نامه مشکوک و تایید تهدید این نامه، اداره امنیت اطلاعات آدرس فرستنده نامه را به واحد مدیریت سیستم ارسال می کند و یکی از کارکنان اداره سیستم آدرس فرستنده نامه را در لیست سیاه قرار می دهد.

    همیشه هنگام جدا شدن از محل کار، آن را مسدود کنید.

    2.3.6 قوانین دسترسی کارکنان به داده های شخصی

    طبق ماده 89 فصل 14 قانون کار فدراسیون روسیه، کارمند بانک حق دسترسی به اطلاعات شخصی خود را دارد، اما مجاز است اطلاعات شخصی سایر کارکنان بانک یا مشتریان بانک را فقط برای انجام وظایف رسمی خود پردازش کند. .

    برای اطمینان از کنترل دسترسی به سیستم های اطلاعات شخصی، بانک قوانین زیر را برای دسترسی به سیستم های اطلاعات شخصی ایجاد کرده است:

    فقط کارمندانی که مسئولیت های شغلی آنها شامل پردازش داده های شخصی است به ISPD دسترسی دارند.

    دسترسی به ISPD فقط از محل کار محلی کارمندی که با داده های شخصی کار می کند مجاز است.

    بانک سندی ایجاد کرده است که با نام خانوادگی کارکنانی را که مجاز به دسترسی به داده های شخصی کارکنان و مشتریان بانک هستند، مشخص می کند که نشان دهنده سیستم اطلاعات شخصی و لیست داده های شخصی مجاز برای پردازش توسط کارمند است.

    3. توجیه اقتصادی پروژه

    برای پیاده سازی سیستم حفاظت از داده های شخصی، لازم است:

    تجهیزات حفاظت از شبکه بانک؛

    سخت افزار امنیت اطلاعات؛

    نرم افزار امنیت اطلاعات

    برای بازسازی شبکه سازمان، خرید سوئیچ سیسکو Catalyst 2960 به تعداد 3 نسخه ضروری است. یک سوئیچ برای عملیات در سطح اصلی شبکه بانک، 2 سوییچ دیگر برای عملیات در سطح توزیع مورد نیاز است. تجهیزات شبکه ای که قبل از بازسازی شبکه در بانک کار می کرد نیز استفاده خواهد شد.

    هزینه کل (RUB) 9389159 613

    لباس امنیتی Doctor WEB Enterprise155005500

    هزینه کل 1 371 615

    نتیجه

    در پروژه فارغ التحصیلی خود، چارچوب قانونی برای حفاظت از داده های شخصی را بررسی کردم. من منابع اصلی تهدید امنیت داده های شخصی را در نظر گرفته ام.

    بر اساس تهدیدات شخصی در نظر گرفته شده، من سیستم حفاظت از داده های شخصی موجود در PJSC Citibank را تجزیه و تحلیل کردم و به این نتیجه رسیدم که باید به طور جدی بهبود یابد.

    در طول پروژه فارغ التحصیلی، نقاط ضعفی در شبکه محلی بانک مشاهده شد. با در نظر گرفتن نقاط ضعف آشکار شده در شبکه محلی بانک، اقداماتی برای به حداقل رساندن خطرات امنیت اطلاعات شبکه بانک تعیین شد.

    دستگاه ها و نرم افزارهای حفاظت از محل کار محلی کارکنان پردازش اطلاعات شخصی کارکنان و مشتریان بانک نیز در نظر گرفته و انتخاب شدند.

    با مشارکت من، سیستمی برای افزایش آگاهی کارکنان در زمینه امنیت اطلاعات ایجاد شد.

    رویه دسترسی کارکنان بانک به اینترنت عمیقاً بازطراحی شده است و گروه های دسترسی به اینترنت مجدداً طراحی شده اند. گروه‌های جدید دسترسی به اینترنت به دلیل توانایی محدود کاربران برای دانلود فایل‌ها و دسترسی به منابع غیرقابل اعتماد، خطرات امنیت اطلاعات را به میزان قابل توجهی به حداقل می‌رسانند.

    محاسبات هزینه بازسازی شبکه و ایجاد یک سیستم حفاظت از داده های شخصی قابل اجرا که بتواند بیشتر تهدیدات امنیت اطلاعات را منعکس کند، ارائه شده است.

    فهرست ادبیات استفاده شده

    1. "قانون اساسی فدراسیون روسیه" (مصوب با رای مردم در 12 دسامبر 1993) (موضوع اصلاحات انجام شده توسط قوانین فدراسیون روسیه در مورد اصلاحات قانون اساسی فدراسیون روسیه از 30 دسامبر 2008 N 6- FKZ، از 30 دسامبر 2008 N 7-FKZ، از 5 فوریه 2014 N 2-FKZ، مورخ 21 ژوئیه 2014 N 11-FKZ) // متن رسمی قانون اساسی فدراسیون روسیه، همانطور که در 21 ژوئیه اصلاح شد ، 2014، در پورتال رسمی اینترنتی اطلاعات حقوقی http://www.pravo.gov.ru، 08/01/2014 منتشر شد.

    2. "مدل اساسی تهدیدات امنیتی داده های شخصی در طول پردازش آنها در سیستم های اطلاعات شخصی" (مصوب) (تأیید شده توسط FSTEC فدراسیون روسیه در 15 فوریه 2008)

    3. قانون فدرال 27 ژوئیه 2006 N 149-FZ (در تاریخ 6 ژوئیه 2016 اصلاح شده) "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات" // سند در این فرم منتشر نشده است. متن اصلی سند در Rossiyskaya Gazeta، شماره 165، 2006/07/29 منتشر شده است.

    4. "قانون کار فدراسیون روسیه" مورخ 30 دسامبر 2001 N 197-FZ (طبق اصلاح شده در 3 ژوئیه 2016) (به عنوان اصلاح و تکمیل ، لازم الاجرا در 3 اکتبر 2016) // سند منتشر نشده است. در این فرم، متن اصلی سند در Rossiyskaya Gazeta، N 256، 12/31/2001 منتشر شده است.

    5. فرمان دولت فدراسیون روسیه 01.11.2012 N 1119 "در مورد تصویب الزامات حفاظت از داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی" // "Rossiyskaya Gazeta"، N 256، 07.11.2012

    6. دستور FSTEC روسیه مورخ 18 فوریه 2013 N 21 "در مورد تصویب ترکیب و محتوای اقدامات سازمانی و فنی برای اطمینان از امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات داده های شخصی" (ثبت شده در وزارت دادگستری روسیه در 14 مه 2013 N 28375) // "روزنامه روسی"، N 107، 2013/05/22

    7. "استاندارد بانک روسیه" تضمین امنیت اطلاعات سازمان های سیستم بانکی فدراسیون روسیه. مقررات عمومی "STO BR IBBS-1.0-2014" (تصویب و اجرا شده توسط دستور بانک روسیه مورخ 17 مه 2014 N R-399) // بولتن بانک روسیه، شماره 48-49، 30 مه 2014

    8. "آیین نامه در مورد الزامات تضمین حفاظت از اطلاعات هنگام انجام نقل و انتقال پول و رویه بانک روسیه برای اعمال کنترل بر رعایت الزامات تضمین حفاظت از اطلاعات هنگام انجام نقل و انتقال پول" (مصوب توسط بانک روسیه در تاریخ 09.06.2012 N 382-P) (به عنوان اصلاحیه در تاریخ 14 اوت 2014) (ثبت شده در وزارت دادگستری روسیه در 14 ژوئن 2012 N 24575) // سند به این شکل منتشر نشده است، نسخه اصلی متن سند در بولتن بانک روسیه، شماره 32، 2012/06/22 منتشر شد.

    9. "مقررات در مورد روش ارائه توسط موسسات اعتباری به بدن مجاز اطلاعات مندرج در قانون فدرال "در مورد مقابله با قانونی کردن (پولشویی) عواید ناشی از جرم و تامین مالی تروریسم" (تصویب شده توسط بانک روسیه در 29 آگوست 2008 N 321-P) (به عنوان اصلاحات مورخ 10/15/2015) (همراه با "روش تضمین امنیت اطلاعات در هنگام ارسال و دریافت ECO"، "قوانین تشکیل ECO و پر کردن فیلدهای فردی سوابق ECO") (ثبت شده در وزارت دادگستری روسیه در تاریخ 16.09.2008 N 12296) // در این فرم، سند منتشر نشده است، متن اصلی سند در بولتن منتشر شده است. بانک روسیه، N 54، 09/26/2008

    10. دستور FSTEC روسیه مورخ 18 فوریه 2013 N 21 "در مورد تصویب ترکیب و محتوای اقدامات سازمانی و فنی برای اطمینان از امنیت داده های شخصی در هنگام پردازش آنها در سیستم های اطلاعات شخصی" (ثبت شده در وزارت دادگستری روسیه در 14 مه 2013 N 28375) // "روزنامه روسی"، N 107، 2013/05/22

    11. Averchenkov V.I., Rytov M.Yu., Gainulin T.R. حفاظت از داده های شخصی در سازمان ها M.: فلینتا، 2018

    12. Agapov A. B. مبانی مدیریت دولتی در زمینه اطلاع رسانی در فدراسیون روسیه. م.: حقوقدان، 2012

    13. Kostin A. A., Kostina A. A., Latyshev D. M., Moldovyan A. A. مجموعه برنامه های سری AURA برای حفاظت از سیستم های اطلاعات شخصی. Izv. دانشگاه ها. ابزار دقیق 2012. جلد 55، شماره 11

    14. Moldovyan A. A. رمزنگاری برای محافظت از اطلاعات رایانه (قسمت 1) // انتگرال. 2014. شماره 4 (18)

    15. Romanov O.A., Babin S.A., Zhdanov S.G. پشتیبانی سازمانی از امنیت اطلاعات - م.: آکادمی، 2016

    16. Shults V.L., Rudchenko A.D., Yurchenko A.V. ایمنی کسب و کار م.: انتشارات یورایت، 1396

    برنامه های کاربردی (در آرشیو کار موجود است).

    بیشتر بخوانید: