1.3.4. Общие положения относительно функций, задач и особенностей деятельности Службы безопасности, ее функциональных подразделений

Общие особенности

Исходя из возможных угроз по всем видам безопасности можно утверждать, что деятельность СБ весьма разнообразна: от работы по обеспечению безопасности людей до решения чисто технических вопросов, включающих в себя проверку и аттестацию технических и программных средств на соответствие специальным требованиям.Поэтому основными функциями деятельности СБ банка являются:

• определение целей и приоритетных направлений работы по обеспечению всех видов безопасностидеятельности банка;

• разработка проектов защиты для каждого вида безопасности, их реализация, приемка и контроль за поддержанием в постоянной работоспособности;

• разроботка нормативных документов для всех видов безопасности с учетом степени конфиденциальности и контроль за их соблюдением всеми сотрудниками и клиентами банка;

• организация обучения персонала банка правилам соблюдения и поддержания безопасности его деятельности;

• организация и проведение совместно с другими подразделениями банка специальных мероприятий в отношении конкурирующих банков и других организаций;

• взаимодействие с правоохранительными органами по вопросам безопасности.

Отметим теперь специфические особенности в работе СБ которые являются следствием принципов, сформулированных в разделе 1.

Первая особенность. В принципе можно создать абсолютно надежную СЗ. Однако ее стоимость будет значительной. Вполне естественным ограничением собственности СЗ является стоимость объектов защиты. Это верхний предел затрат на СЗ. Для того, чтобы СЗ не требовала существенного расхода финансовых средств банка, приходится использовать не абсолютные средства и методы СЗ, т.е. подвергать себя риску нарушения безопасности. Без определенной степени риска деятельность любого банка просто неосуществима. Таким образом, стоимость защищаемых объектов и первоначальное вложение капитала в средства и методы безопасности определяют степень риска нарушения безопасности.

Вопрос о том, какова должна быть величина риска, определяется средствами от прибыли банка, вложениями на поддержание СЗ. Опять таки, для существования банка, последний, может тратить на содержание СЗ только часть свой прибыли, которая и определяет величину риска. Вопрос о количественной степени риска, зависящей от стоимости объектов защиты, и части прибыли банка, отпущенной на поддержание СЗ, в настоящее время является открытым, хотя существуют различные подходы к его решению. Однако, как показал их анализ, они, как правило, эмпирические и во многом зависят от конкретных условий.

Вторая особенность. Рано или поздно нарушение любого из видов безопасности будет известно. Возникает вопрос: как предупредить нарушение безопасности или хотя бы минимизировать это время? В первом случае ущерб будет предотвращен, а во втором, как правило, будет минимален.

Все возможные нарушения безопасности возникают в конечном счете из-за риска, обусловленного недостаточностью средств на создание СЗ. Недостаточность средств влечет за собой возникновение нештатных ситуаций, которыми и пользуются ЗЛ. Возникновение нештатных ситуаций обусловлено неопределенностью процесса защиты, т.е. неизвестно в какое время, где будут происходить злоумышленные действия, каким образом и при каких условиях они могут возникнуть.

Практическим методом уменьшения риска является выполнение глобального контроля за действиями всех сотрудников и клиентов банка, их регистрации и последующего анализа. В первом случае, при идеальном контроле, злоумышленные действия будут предупреждены. Однако идеальный контроль опять таки невозможен и поэтому нельзя говорить об абсолютной защите. Во втором случае, регистрация всех действий и последующий за ней анализ позволяет минимизировать время неопределенности нарушения безопасности. Однако, аналогично контролю, нельзя осуществить абсолютную регистрацию и её анализ.

Таким образом, на действия потенциального ЗЛ влияют следующие возложенные на СБ функции:

• предупреждение;

• контроль за текущей ситуацией;

• регистрация;

• анализ результатов регистрации.

Предупреждение является активным сдерживающим фактором и должно использоваться всеми подразделениями СБ. Следует отметить, что чем раньше придет сигнал предупреждения, тем больше имеется времени у сотрудников СБ принять решение для блокирования злоумышленных действий.

Формы предупреждения могут быть самыми различными, но, разрабатывая систему безопасности, виды предупреждения должны быть максимально полными, чтобы даже учитывать психологию ЗЛ, убеждая его в том, что нет необходимости предпринимать какие-либо попытки, т.к. они потерпят неудачу.

Контроль и регистрация действий потенциальных ЗЛ в текущей ситуации необходимы в любом случае, т.к. никогда не может быть, уверенности, что меры предупреждения являются гарантией безопасности и, следовательно, нападение возможно в любой момент времени. Контроль и регистрация текущего состояния атмосферы безопасности, должен быть максимально всеобъемлющим и информативным.

Анализ по результатам регистрации эффективности принятых мероприятий является важным этапом в обеспечении безопасности, т.к. окружающая среда и, вполне естественно, действия ЗЛ не является статическими, а эволюционируют по принципу - выживает сильнейший. Составляющие фактора времени показаны на рис.2.5.

Время

Анализ

Анализ

Контроль и

регистрации

Контроль и

регистрации

Предупреждение

Предупреждение

t_i-1

t_i

t_i+1

t_i+2

t_i+3

Рис. 2.5. Распределение функции защиты во времени.

Следует особо отметить, что самые совершенные средства и методы сохранения безопасности не могут сами обеспечить должной безопасности, если не работает человеческий фактор-дисциплинированность, умение и ответственность персонала. Таким образом, проблема безопасности может быть решена лишь в том случае, если все сотрудники банка объединят свои усилия.

Резюмируя вышесказанное, можно сделать следующие выводы:

1. СЗ никогда не следует рассматривать как абсолютно надежную, всегда существует определенная степень риска.

2. Для того, чтобы ущерб был минимальным, СЗ должна быть максимально всеобъемлющей.

3. Существенную роль в минимизации ущерба играет фактор времени обнаружения злоумышленных действий.

4. Эффективность действия СЗ в конечном счете зависит от человека (человеческий фактор).

Рассмотрев общие положения, перейдем к особенностям и основным функциям деятельности подразделений СБ. Несмотря на то, что проблема обеспечения безопасности имеет комплексный характер и каждое подразделение СБ участвует в работе других подразделений, следует выделить основные объекты защиты для каждого подразделения. Соответствие подразделений СБ их основным объектам защиты показано на рис. 2.6.

Информация

Рис. 2.6. Соответствие подразделений СБ их основным объектом защиты.

Группа режима

Группа режима является самостоятельным подразделением СБ и подчиняется начальнику СБ. В своей деятельности она руководствуется требованиями "Инструкции по режиму и охране".

Главными функциями группы режима являются:

• организация пропускного и внутриобъектного режима;

• участие в разработке "Перечня сведений, составляющих коммерческую тайну";

• организация и ведение конфиденциального делопроизводства;

• разработка положения и инструкций о порядке работы со служебной информацией и сведениями, составляющими государственную или коммерческую тайну;

• разработка разрешительной системы и обеспечение допуска к сведениям, составляющим служебную и коммерческую тайну;

• разработка нормативов и проверка их выполнения сотрудниками, работающими с информацией различной категории конфиденциальности;

• контроль соблюдения режима доступа к сведениям и документам;

• ведение учета пользования, хранения и размножения материалов, составляющих государственную или коммерческую тайну;

• контроль за порядком засекречивания и рассекречивания документов;

• периодический контроль выходящих за пределы банка документов и материалов на наличие служебных и конфиденциальных сведений;

• уничтожение документов, материалов, машинных носителей, которые могут способствовать раскрытию государственной или коммерческой тайны или технологий их обработки;

• аттестация и периодический контроль (совместно с другими подразделениями СБ) технологических процессов обработки информации;

• организация и проведение изучение кандидатов для приема на работу;

• периодические проверки сотрудников на выявление степени их лояльности;

• повышение квалификации сотрудников, работающих, с документами различной степени конфиденциальности;

• работа с сотрудниками банка, связанных со сторонними организациями и клиентами по сохранению коммерческой безопасности банка.

Резюмируя вышесказанное можно отметить, что главным объектом деятельности группы режима являются сотрудники банка, а целью создание внутренней атмосферы безопасности банка.

Служба охраны

Служба охраны является самостоятельным структурным подразделением СБ и тесно взаимодействует с группой режима. В своей деятельности она руководствуется требованиями "Инструкции по организации режима и охраны". Численность группы охраны определяется конкретной криминогенной обстановкой. В случае экстремальных ситуаций возможно привлечение специалистов сторонних организаций только для решения конкретных ограниченных задач.

Деятельность службы охраны должна осуществляться в трёх, направлениях:

1. Охрана объектов банка.

2. Охрана ценных грузов при их перевозке.

3. Обеспечение личной безопасности руководства и сотрудников банка.

Деятельность подгруппы охраны объектов банка традиционна и направлена в основном на обеспечение пропускного и внутриобъектового режима. Для ее функционирования она оснащается средствами охранно-пожарной сигнализации (ОПС).

Подгруппа сопровождения ценных грузов, хотя и входит в группу охраны, подчиняется непосредственно начальнику СБ. Её деятельность регламентируется внутриведомственными документами и специальными положениями. Учитывая особые условия работы данной подгруппы, она должна комплектоваться из числа высококвалифицированных профессионалов, оснащенных спецтранспортом и средствами связи и состоять исключительно из штатных сотрудников банка. Численность и состав подгруппы определяется производственной необходимостью.

Подгруппа обеспечения личной безопасности руководства и сотрудников банка в своей деятельности руководствуется документами, регламентирующими охранную деятельность и специальным Положением, разрабатываемым СБ с учетом конкретной обстановки. Основными задачами подгруппы являются: охрана руководства банка в обычных и экстремальных условиях; изучение криминогенной обстановки; проведение учебы по направлениям соблюдения личной безопасности и поведения в экстремальных условиях; поддерживание контактов с правоохранительными органами и СБ других организаций.

Количественный состав службы и привлечение сторонних организаций, занимающихся охранной деятельностью, определяется руководителем СБ в соответствии с криминогенной обстановкой.

Пожарная охрана

Зарубежные специалисты СБ банков неоднократно подчеркивают, что одновременную угрозу всем объектам защиты банковской деятельности наиболее часто представляют пожары в помещениях банка. При этом даже незначительное возгорание может привести к потере огромного объема информации, что обусловлено сильной уязвимостью информации, обрабатываемой средствами вычислительной техники. Поэтому, вполне естественно, в структуре СБ должна присутствовать группа пожарной охраны.

Пожарная охраны является самостоятельным подразделением СБ. Деятельность группы регламентируется "Положением о государственном пожарном надзоре", "Наставлением по организации работы органов государственного пожарного надзора", "Сборником правил пожарной безопасности" и внутренними документами банка.

Главной задачей группы пожарной охраны является создание противопожарной обстановки на основе работы с персоналом банка, использования средств пожарной сигнализации и пожаротушения; работы с органами гостехнадзора, госэнергонадзора, пожарно-техническими комиссиями и пожарными службами организаций ближайшего окружения банка.

Аналитическая группа

Наличие недобросовестной конкуренции возможных злоумышленных действий со стороны клиентов и конкурентов банка требует активного противодействия. Оно возможно только в том случае, если СБ располагает о них информацией. Сбором, анализом и оценкой степени опасности коммерческой деятельности банка и занимается аналитическая группа. Таким образом, главной целью деятельности аналитической группы является создание благоприятной атмосферы коммерческой безопасности банка, которая состоит из двух слагаемых:

1. Сведение возможных негативных действий клиентов и конкурентов банка до минимума.

2. Максимизация эффективности своих действий относительно клиентов и конкурентов банка.

Другими словами, целью работы аналитической группы является обеспечение информационной безопасности банка.

Принципиальное отличие в работе аналитической группы от работы других подразделений СБ заключается в том, что она, в общем случае, должна работать, на перспективу, т.е. прогнозировать возможные события, оценивая возможную прибыль или ущерб, и своими прогнозами, в конечном счете, приносит прибыль банку, которая проявляется в неявном виде.

Аналитическая группа является самостоятельным подразделением СБ и подчиняется ее руководителю. Она организует свою деятельность в тесном взаимодействии со всеми структурными подразделениями банка. Численный состав группы определяется руководителем СБ в зависимости от конкретной ситуации. При этом допускается привлечение специалистов сторонних организаций.

Детективная группа

Детективная группа является самостоятельным подразделенном СБ и подчиняется непосредственно руководителю СБ. В своей деятельности детективная группа руководствуется Законом «О частной детективной и охранной деятельности» и Положением о СБ.

Детективная группа:

• разрабатывает и проводит специальные мероприятия по наблюдению за отдельными сотрудниками и клиентами банка, а также жителями ближайшего к банку окружения, в действиях которых содержатся угрозы безопасности деятельности банка;

• осуществляет совместно с группой режима проверку кандидатов для приема на работу в банк;

• по заданию группы режима проводит контроль лояльности сотрудников банка;

• поддерживает контакты с правоохранительными органами по всем вопросам, связанным с угрозами безопасности коммерческой деятельности банка;

• содействует обеспечению возврата просроченных кредитов;

• совместно с аналитической группой проводит специальные мероприятия по отношению к организациям - клиентам банка и конкурентам банка.

Количественный состав детективной группы определяется производственной необходимостью. Для выполнения ряда заданий допускается привлечение специалистов сторонних организаций.

Группа ПДТР

Группа ПДТР является самостоятельным подразделением СБ и подчиняется руководителю СБ. В своей деятельности группа ПДТР руководствуется нормативными документами по ЗИ.

Данное направление в ЗИ характеризуется тем, что ЗЛ для получения информации использует самые разнообразные технические средства, начиная с традиционно визуального наблюдения за деятельностью банка и заканчивая проникновением в помещение банка с целью установки закладных устройств.

Отличительной особенностью данного направления является то, что защищаемая информация имеет, как правило, кроме основной среды передачи информации еще несколько побочных сред. Поясним это на примере. Пусть два сотрудника банка, находясь в выделенном помещении, ведут деловой разговор. Для них основной средой передачи информации является воздушное пространство. Предположим, что ЗЛ находится в пределах видимости, но за пределами контролируемой зоны. Тогда он может получить информацию с помощью направленных микрофонов, визуального наблюдения артикуляции губ разговаривающих сотрудников, с помощью лазерного съема информации со стекол окон банка, за которыми происходит разговор, и возможно с использованием радиозакладок. Наличие нескольких сред основного сигнала показано на рис. 2.7.

Из приведенного примера следует, что информация может иметь несколько различных форм представления и для каждой ее формы существует не одна, а несколько сред ее существования. Следовательно, основная цель ПДТР состоит в том, чтобы контролировать и блокировать весь спектр колебаний, начиная от единиц герц и заканчивая рентгеновским излучением. Таким образом, общая постановка данного направления ЗИ может быть представлена схемой:

"Источник информации Среда Сигнал Приёмник ЗЛ"

Исходя из представленной схемы определяются задачи группы ПДТР и возникает методология ЗИ от технических средств разведки, которая включает в себя следующие ключевые моменты:

1. Определение источников информации.

2. Определение сред, где может существовать информация.

3. Определение опасных сигналов в выявленных средах.

4. Измерение величины опасного сигнала.

5. Уменьшение величины или скрытие (зашумление) опасного сигнала в соответствии с нормативными документами.

Побочная среда

Основная среда

Частота

Речевой диапазон

Радиодиапазон

Видимая

часть спектра

Диапазон лазерного

излучения

Рис. 2.7. Среды опасного сигнала

Группа защиты информации от НСД

Группа защиты информации от НСД в ЭВМ является самостоятельным структурным подразделением СБ и подчиняется начальнику СБ. Целью деятельности группы НСД является защита информации, обрабатываемой в ЭВМ и передаваемой по линиям связи. В своей деятельности группы НСД руководствуется нормативными документами, национальными и международными стандартами по обработке и ЗИ. В целях экономии средств на разработку программного обеспечения и систем защиты допускается привлечение специалистов сторонних организаций.

Блокирование НСД к информации в ЭВМ является в настоящее время весьма актуальной и сложной задачей. Это обусловлено различными причинами, к которым в первую очередь следует отнести: невозможность без ЭВМ эффективной работы банка; реализацию сложных сотовых режимов работы; присутствие человеческого фактора.

Угрозы НСД носят алгоритмический характер, многие задачи которого не решены в настоящее время. Сформулируем основные проблемы данного направления. Это в первую очередь система разграничения доступа. Данная проблема предусматривает отсутствие возможности как несанкционированного считывания так и несанкционированной записи информации. В противном случае будет нанесен ущерб законному владельцу информации (нарушение безопасности информации). Сложность данной проблемы заключается в том, что ПЭВМ разрабатывается из предрасположенности к ее пользователю, а вопросы ЗИ считаются второстепенными, т.к. они ограничивают возможности пользователей.

Системы разграничения доступа обычно базируются на моделях матричного типа и реализуются в виде специальных компонент операционных систем или систем управления базами данных. Однако они имеют существенный недостаток - необходимость детального описания прав каждого пользователя для каждой технологической ситуации, что делает их достаточно громоздкими.

Для преодоления указанного недостатка используют иерархические или многоуровневые модели защиты, которые используют концепцию ядра безопасности. При этом создание ядра безопасности как изолированной совокупности программно-аппаратных средств имеет тот недостаток, что необходимо доказать корректность его функционирования, а также появляется проблема полной формальной верификации.

В обоих случаях на безопасность информации существенно влияет человеческий фактор. Данное обстоятельство обусловлено тем, что децентрализация доступа к разнородным информационным объектам, а также отсутствие эффективных средств изоляции программ и данных позволяет взломщикам (хакерам) получить доступ к защищаемой информации.

Вторая проблема НСД, тесно примыкающая к первой, это проблема создания надежных протоколов обмена информацией как между пользователями, так и во время работы всего вычислительного процесса. В настоящее время основные черты ее решения уже наметились как в вопросах стандартизации работы средств вычислительной техники, так и при использовании криптографических средств.

Третья проблема данного направления, объединяющая первые две, это проблема создания защищенных информационных технологий. Она является комплексной с функциональной и алгоритмической точек зрения. Отметим только, что проблема компьютерного вируса, так нашумевшая несколько лет назад, относительно просто решается в рамках защищенных информационных технологий путем соблюдения организационных, алгоритмических и профилактических мероприятий.

Резюмируя, можно сказать, что создание защищенных информационных технологий (создание защищенной программной среды) является главной задачей группы защиты информации от НСД.

Криптографическая группа

Криптографическая группа является структурным подразделением СБ. В своей работе она руководствуется нормативными документами ДСТСЗИ СБУ и "Инструкцией по обеспечению криптографической защиты банка".

Целью деятельности криптографической группы является обеспечение защиты информации при передаче ее по каналам связи. Основными задачами криптографической службы являются:

1. обеспечение аттестованными аппаратными и программными средствами криптографической защиты;

2. выработка ключей для пользователей;

3. инструктаж и контроль за работой пользователей при работе со средствами криптографической защиты;

4. проверка функционирования и ремонт средств криптографической защиты.

Криптографическая группа должна состоять только из штатных сотрудников банка. Ее состав и численность определяется производственной необходимостью.

Заключение

Мы рассмотрели концепцию и структуру СЗ банка на основе принципов мировой практики защиты. Однако, как подчеркивалось во введении, обеспечение безопасности для каждого конкретного случая является сугубо индивидуальным, т.к. имеются специфические особенности каждого объекта защиты. Выявление этих особенностей является сложной задачей как при разработке конкретной концепции, так и построения и эксплуатации СЗ. Здесь необходима помощь опытных специалистов.

Это объясняется тем, что любое нарушение безопасности обусловлено тремя основными причинами:

1. Недооценкой степени риска;

2. Наличием нештатных ситуаций, которыми может воспользоваться ЗЛ (стандартность мышления разработчиков СЗ);

3. Неблагоприятными внешними или внутренними условиями, а также их создание ЗЛ для инициации нештатных ситуаций.

Общая концепция безопасности банка позволяет строить, отдельную концепцию для каждого направления защиты. Последующие темы детально раскрывают задачи и особенности работы каждой группы СБ.