11.5 Основные принципы построения системы защиты

Средства защиты сложным образом взаимодействуют друг с другом, с субъектом угрозы и с объектом зашиты. Эффективность их применения зависит от местных факторов, объективных и субъективных условий. Типы средств защиты многообразны и различны по принципам построения, функциональным возможностям и стоимости. Эти и другие особенности определяют два важных вывода:

1. Защита должна проектироваться как единая система. Для этого применяются системотехнические методы проектирования.

2. Система защиты должна строиться с учетом определенных принципов, обеспечивающих эффективность ее создания и эксплуатации. При этом учитывается выводы, сделанные в предыдущих разделах .

Построение системы защиты объекта должно основываться на следующих основных принципах: комплексности, эшелонирования, равнопрочности рубежа, разумной достаточности и непрерывности.

ПРИНЦИП КОМПЛЕКСНОСТИ означает, что при построении системы защиты необходимо учитываться все угрозы, способные нанести ущерб банковскому объекту, а выбранные системы, средства и методы защиты должны функционировать согласовано как единый механизм защиты, взаимно дополняя друг друга в функциональном и в техническом смысле. Особое внимание должно уделяться обеспечению "стыков" между разными средствами защиты.

ПРИНЦИП ЭШЕЛОНИРОВАНИЯ заключается в создании нескольких последовательных рубежей защиты таким образом, чтобы наиболее важная зона безопасности банка находилась внутри других зон:

ЗОНА № 1 Периметр территории здания

ЗОНА № 2 Периметр здания банка

ЗОНА № 3 Прием посетителей

ЗОНА № 4 Служебные кабинеты

ЗОНА № 5 Руководство Хранилища банка Депозитарий

Тогда вероятность реализация угрозы Q в зоне 5 (наиболее важный участок банка) будет зависеть от вероятностей преодоления рубежей Rl, R2, R3, R4, R5, т.е. будет равна произведению:

Q5 = P(Pl)*P(P2)*P(P3)*Р(Р4)*Р(Р5 )

Поскольку Р( Ri)<1, то вероятность Q уменьшается с ростом числа рубежей, т.е. с увеличением степени эшелонированности зон.

ПРИНЦИП РАВНОПРОЧНОСТИ требует, чтобы все участки всех рубежей, защищающих зону безопасности, были равнопрочными с точки зрения вероятности реализации угрозы . Если в рубежах есть слабые, плохо защищенные, места и злоумышленнику это известно, то никакие эффективные меры защиты на остальных участках не защитят эту зону безопасности.

ПРИНЦИП РАЗУМНОЙ ДОСТАТОЧНОСТИ заключается в установлении некоторого приемлемого уровня безопасности, без попыток создать "абсолютную" защиту. При достаточном количестве средств и времени можно преодолеть любую защиту. Высокоэффективная система защиты стоит дорого, поэтому важно выбрать тот достаточный уровень, при котором риск и размер возможного ущерба находились бы в разумных пределах.

ПРИНЦИП НЕПРЕРЫВНОСТИ требует, чтобы в процессе функционирования системы защиты не было перерывов в ее работе, вызванных ремонтом, сменой паролей и т.п., которыми может воспользоваться субъект угрозы.

11.6 Средства и методы, используемые в системах защиты банковских объектов

На практике выделяют несколько групп средств и методов, используемых в системе защиты государственных и коммерческих объектов, которые также используются и в системе комплексной защиты банков:

1. Организационно-правовые

2. Инженерно-технические

3. Информационно-технологические

4. Оперативно-технические

5. Морально-психологические

6. Специальные

Организационно-правовые средства

Организационно-правовые средства и методы регламентируют весь технологический цикл работы банка, от методики подбора кадров и приема их на работу, например, на контрактной основе, до положений о функциональных обязанностях любого банковского сотрудника. Каждая банковская инструкция или норматив должны прямо или косвенно учитывать вопросы безопасности и влиять на работоспособность и эффективность системы комплексной защиты банка. Для государственных и коммерческих банков, их отделений, на сегодняшний день разработано большое количество нормативов, инструкций, положений и рекомендаций, авторами которых являются Минфин и ЦентроБанк. Как надо банкам жить и работать - пишут сегодня различные государственные структуры: Налоговая Служба, МВД, ФСБ и др, а также негосударственные, например, Ассоциация Российских Банков.

Разобраться в большом количестве нормативов и советов достаточно сложно, тем более, что далеко не каждая рекомендация может быть применима банками на местах в "чистом" виде, без корректировки с учетом местных особенностей. Для оценки и корректировки всех регламентирующих банковскую "жизнь" документов с точки зрения комплексной системы защиты практикуется создание Совета по безопасности при руководстве банка. В экспертную группу Совета по безопасности могут входить как Высококлассные специалисты данного банка, так и опытные консультанты из других организаций. После рекомендаций Совета по безопасности руководство банка. Совет директоров утверждают инструкции, нормативы и рекомендации, которые далее приобретают форму приказов для всего персонала банка и его отделений.

Служба безопасности банка является одним из важнейших подразделений (в дальнейшем СБ), главной задачей которой является создание и поддержание условий деятельности банка, необходимых для безопасности его персонала и посетителей, сохранности всех материальных ценностей и безопасности информации в различных ее видах.

Для обеспечения таких условий, как говорилось ранее, создается комплексная система банковской защиты. Детальные задачи СБ формулируются в Положении о СБ конкретного банка, которое готовится с учетом основных направлений деятельности данного банка и его финансовых потенциалов, специфики региона и нормативов его администрации.

В настоящее время достаточно широко практикуется вовлечение СБ во все банковские направления деятельности, в том числе в кредитование, в сферу оценки рисков, в информационно-аналитическую, кадровую работу и др. Такое положение, когда на СБ возлагается слишком много функций, может привести к серьезным просчетам, к "размыванию" ответственности в принятии стратегических решений. В тех банках, где существует контроль и участие со стороны С Б в деятельности всех подразделений банка часто делает СБ трудно управляемой организацией, может быть причиной кризиса и даже банкротства. Оптимальной является ситуация, когда, например, отдел кадров или информационно-аналитическая служба банка (его внешняя разведка), ведущая в том числе и работу против конкурентов, независимы от СБ и подчиняется непосредственно руководству банка, Совету по безопасности.

Инженерно-технические средства

Инженерно-технические средства и методы - это аппаратура и коммуникации, приспособления, конструкции, а также порядок их использования для обнаружения угроз банковскому объекту, создания преград на пути их распространения и для ликвидации угроз. Инженерно-технические средства и методы составляют основу, фундамент комплексной системы защиты; их качество и надежность во многом определяют уровень безопасности банка и его помещений, каждого рабочего места в нем. Охранно-пожарная сигнализация, охранное телевидение, охранное освещение, системы контроля доступа, аппаратура зашумления помещений, генераторы радиопомех и др. должны взаимно дополнять друг друга, их сильные и слабые стороны необходимо учитывать при построении комплексной системы защиты.

Основные инженерно-технические средства, их типы и состав для банковских объектов рекомендуется правоохранительными органами и Центральным Банком. Необходимость оснащения банка дополнительными средствами, такими, например, как радиосвязь, укрытие автомашины инкассации и т.п., а также специальных средств, например, для поиска техники подслушивания, определяется на местах руководством банка по рекомендации СБ, с учетом направлений деятельности банка и вероятности соответствующих угроз, финансовых потенциалов банка и нормативов местной администрации.

Информационно-технологические средства

Информационно-технологические средства и методы относятся к сфере защиты электронной информационной сети. В настоящее время большинство служащих банка имеет в своем распоряжении электронное рабочее место - персональный компьютер с дополнительными устройствами ввода и вывода информации (сканеры, принтеры, модемы и др). С его помощью ведётся ввод, хранение, обработка и вывод необходимой информации - т.н. базы данных. Электронное рабочее место может быть подключено к локальной банковской компьютерной сети, через которую будет осуществляться выход в межбанковскую и далее в международную сеть.

Средства и методы этой группы защиты предусматривают классификацию циркулирующей в компьютерной сети информацию на:

конфиденциальную информацию, передача или утечка которой к посторонним лицам повлечет за собой ущерб банку, его персоналу;

критическую информацию, отсутствие или порча которой сделает невозможной повседневную работу персонала и всего банка в целом.

Безопасность информации невозможно обеспечить отдельно, без защиты всей компьютерной техники, коммуникаций и применяющихся программ. В связи с эти все технические средства обработки информацией, программное обеспечение и базы данных объединяют в понятие ресурс, безопасность которого будет зависеть от таких характеристик, как:

а) конфиденциальность - способность ресурса быть доступным только пользователям банка, имеющим на это разрешение и недоступным всем остальным;

б) целостность - способность ресурса быть полным, неизменным и работоспособным во все необходимые периоды работы пользователей банка;

в) доступность - способность ресурса быть в нужном для пользователя месте, в нужное для него время и в нужной форме. Все сотрудники банка, занимающиеся вопросами безопасности ресурса, должны иметь четкие правовые инструкции, в которых оговорены с одной стороны вся их разрешенная работы с ресурсом, а с другой стороны последствия противоправных действий с ресурсом.

Оперативно-технические средства

Оперативно-технические средства и методы предназначены для скрытого, конспиративного контроля за действиями людей и за информацией, оказывающие существенное влияние на безопасность банка, его персонала и технологий банковской работы. Использование таких средств и методов, как контроль городских телефонных линий, конспиративная запись разговоров на магнитофон или с помощью радиомикрофонов, скрытое видео наблюдение и документирование действий посетителей и персонала банка в определенные моменты времени и др. может в значительной мере способствовать раннему обнаружению и ликвидации таких угроз как хищения и шпионаж, халатное или злонамеренное не выполнение должностных инструкций, приводящих к ущербу и т.п.

Работа с оперативно-техническими средствами проводится, как правило, сотрудниками СБ банка из числа бывших офицеров спецслужб с помощью разнообразной аппаратуры и приспособлений. Правомочность таких оперативно-технических мероприятий может определяться с учетом контрактной основы работы персонала банка, наличия в банке специфических участков, таких как операционный зал, кассы, комнаты пересчета, инкассационные помещения, депозитарий, хранилища и др.

К этой группе относится и поиск техники подслушивания и съема информации. Такая работа проводится с использованием специальных, конфиденциальных методов и средств.

Морально-психологические средства

Морально-психологические средства и методы включают в себя мероприятия СБ по работе как с персоналом и посетителями банка, так и с категорией лиц вне банка, сведения и действия которых оказывают могут оказать существенное влияние на безопасность банка, его персонала, ценностей и информации. К таким мероприятиям относят:

1. Проведение периодических инструктивных совещаний с персоналом банка по различным аспектам безопасности, разбор имевших место происшествий, аварий, нарушений инструкций, ознакомление с текущей открытой и закрытой информацией о преступлениях в отношении банков.

2. Обязательное ознакомление всего персонала банка "под расписку" с основными, текущими и персональными приказами и распоряжениями руководства как по нарушениям в отношении системы защиты, так и по фактам предотвращения ущерба и поддержания должного уровня безопасности сотрудниками банк.

3. Периодическая проверка знаний должностных инструкций и рабочих нормативов сотрудниками СБ и лицами, имеющих отношение к системам безопасности и работающих с конфиденциальной информацией. Проведение периодических тестирований персонала.

4. Периодический контроль, в том числе и медицинский, психофизиологического состояния сотрудников наиболее важных и секретных участков банка.

5. Оборудование наиболее важных участков банка открытыми, демонстративными и фальшивыми (ложными) средствами безопасности, сопровождая их предупредительными надписями и рекомендациями.

Наряду с этим, существенным моментом поддержания необходимого уровня безопасности банка может быть работа руководства СБ банка с информаторами как из числа лиц, работающих в наиболее важных и секретных подразделениях банка, так и вне банка, в его окружении. Практика показывает, что информатор-осведомитель часто бывает единственным источником упреждающих (обнаруживающих) сведений об грозах, чреватых большим ущербом для банка и его руководителей.

Такая работа должна проводится сотрудниками СБ, имеющими соответствующий опыт с использованием приемов конспирации, материального поощрения, продвижения информаторов на ответственные участки системы защиты банка.

Специальные средства и методы

Специальные средства и методы используются для получения, сбора и анализа информации о конкурентах и фирмах, представляющих источник опасности для банка. Для подобного рода "разведывательной" деятельности может быть создано отдельная от банка, "независимая" фирма или "информационное бюро", укомплектованное бывшими оперативными работниками правоохранительных органов.

Заключение

Эффективность системы комплексной защиты банка может быть обеспечена путем рационального сочетания всех рассмотренных функций, средств и методов. Они должны объединяться в единый, целостный механизм защиты, создание которого лучше всего вести параллельно с проектированием и строительством банковского объекта.

Функционирование системы комплексной защиты должно планироваться и обеспечиваться, в том числе и финансами, наряду с планированием и обеспечением жизнедеятельности всего банка. При этом необходимо периодически проверять качество и надежность всей системы защиты.

Следует учитывать и то обстоятельство, что на каждом участке системы защиты задействован человек. Следовательно, важнейшим фактором, способствующим обеспечению безопасности, является личная заинтересованность персонала в надежном функционировании защиты. Разумная кадровая политика руководства банка, воспитывающая стремление к стабильности в сочетании с материальной заинтересованностью у всего персонала банка будет залогом эффективной работы системы комплексной защиты в качестве надежного барьера на пути нарушителей, злоумышленников и других многочисленных проблем сегодняшней российской действительности.

Список рекомендуемой литературы

1. Автоматизация расчетных операций банков и фондовых бирж. М.: Церих-ПЭЛ, 1992.

2. Автоматизированные информационные технологии в банковской деятельности: Учеб. пособие /Титаренко Г.А., Суворова В.И., Возгилевич И.Ф. и др. /Под ред. Титаренко Г.А. /ВЗФЭИ. М.: Финстатинформ, 1997.

3. Аврин С. Интернет для банков: день сегодняшний// Мир карточек, # 3, 1999 (http://www.bizcom.ru/internet/1999-03/01.html).

4. Афонина С.В. Электронные деньги. Учебник. СПб., Изд-во "Питер", 2001.

5. Ауриемма М., Коли Р. Индустрия банковских пластиковых карточек. М.: ИНФРА-М, 1997.

6. Балабанов И.Т. Интерактивный бизнес. СПб., Изд-во "Питер", 2001.

7. Банковское дело. Под ред. О.И.Лаврушина. М., Изд-во "Финансы и статистика", 2000.

8. Березина М.П., Крупное Ю.С. Межбанковские расчеты. М.: Финстатинформ, 1994.

9. Бурдинский А. Перспективы развития российского рынка финансовых Интернет-услуг // Мир электронной коммерции, # 3, 2000 (http://www.osp.ru/ecom/2000/03/024.htm).

10. Бурдинский А. Какой Интернет-банкинг нам нужен? // Мир Интернет, # 11, 2000.

11. Глинских А. Обзор зарубежного рынка Интернет банкинга. // Компьютер-информ, 2000, # 2 (http://www.bankir.ru/analytics/i-banking/3/250).

12. Гайкович В., Перший А. Безопасность электронных банковских систем. М.: Единая Европа, 1993.

13. Грачева М. Центральные банки в эпоху электронных денег: потеря былого могущества? // Мир электронной коммерции, # 10, 2000, ## 1-2 2001.

14. Закарян И., Филатов И. Интернет как инструмент для финансовых инвестиций. СПб., Изд-во "БХВ", 2000.

15. Иванов В. Интернет-банкинг: проблемы и решения // Банковские технологии, # 9, 2000 (http://www.bizcom.ru/internet/2000-09/02.html).

16. Каширская Е. С Интернетом по банкам // Коммерсант-Банк. # 32, 2001.

17. Коммерческие интернет-кредиты. Электронная публикация "Банкир.RU" (http://www.bankir.ru/) - http://www.bankir.ru/analytics/i-banking/3/249.

18. Лапенок С. Банки становятся виртуальными. Электронная публикация - http://www.bankir.ru/analytics/i-banking/3/237?continue=238.

19. Лебедев А. Система Банк-клиент: взгляд изнутри. Электронная публикация - http://www.bankir.ru/analytics/i-banking/3/255.

20. Матовников М.Ю. Функционирование банковской системы в условиях макроэкономической нестабильности. Изд-во Института экономики переходного периода (ИЭПП), 2000г. (http://www.iet.ru/archiv/zip/wp23.zip).

21. Новомлинский Л. Электронная Коммерция. Тенденции развития в мире и в России. Доклад на Российском Интернет Форуме (РИФ) 12-14 марта 1998г. (http://www.tops.ru/press_ecom/pub_007.html ).

22. Обаева А.С. Теоретические аспекты построения и развития платежной системы. СПб., Изд-во СПбУЭФ, 1996г.

23. РОЦИТ 1997. Материалы конференции "Электронная коммерция и платежные системы в Интернет", Региональный общественный центр Интернет-технологий "РОЦИТ", апрель 1997г. (http://www.rocit.ru/seminars/97/).

24. РОЦИТ 1999. Услуги Интернет в России-99. Региональный общественный центр Интернет-технологий "РОЦИТ", май 1999г. (http://www.rocit.ru/inform/pdf/book1_v1.pdf).

25. Рудакова О.С. Банковские электронные услуги: Учеб. пособие. М.: Банки и биржи; ЮНИТИ, 1997.

26. Рынок мобильной сотовой связи России // Рейтинги "CОТОВИК", 01.01.2001 (http://www.sotovik.ru/ratings/market20010101.htm).

27. Садовничий В.А., Васенин В.А., Мокроусов А.А., Тутубалин А.В. Российский Интернет в цифрах и фактах. М., Изд-во МГУ, 1999 (http://www.rector.msu.ru/russian/book99/RIiFaN-toc.html).

28. Северная казна 2001. Www.internetbank.ru в марте 2001г.// КБ Северная казна, май 2001 (http://www.kazna.ru/news.html?id=535).

29. Синки Джозеф Ф. Управление финансами в коммерческих банках. М., Изд-во "Catallaxy", 1994.

30. Славский М. Нас будет миллиард? // Мир Интернет, # 1(28) январь 1999г. (http://www.iworld.ru/magazine/index.phtml?fnct=page&p=26886051).

31. Соломатин 2000а. Соломатин Е. Бифуркация ландшафта // Мир электронной коммерции, # 8, 2000 (http://www.osp.ru/ecom/2000/08/008.htm).

32. Соломатин 2000б. Соломатин Е. Конец "laisser faire" или Интернет-трейдинг как финансовая услуга (http://www.i2r.ru/article.shtml?id=789).

33. Солонин В. Банки и Интернет // Интернет и инвестиции, 1999 (http://www.i2r.ru/article.shtml?id=103).

34. Сорокин Д. Банки бывают разные…// Банковские технологии, # 9, 2000 (http://www.bizcom.ru/internet/2000-09/04.html).

35. Сорокин Л. Аукционы в Интернете - будущее электронной коммерции? // Мир электронной коммерции, # 1, 2000 (http://www.osp.ru/ecom/2000/01/022.htm).

36. Туманова О. Интервью Росбанка Полит.Ру: Через 3 года начинать заниматься Интернет-банкингом будет поздно, 1999 (http://www.bankir.ru/analytics/i-banking/3/261).

37. Хартер С. Принесет ли Интернет пользу России? Электронная публикация Federal Institute for Russian East European and International Studies, 1999 (http://www.techbusiness.ru/tb/archiv/number6/page07.htm).

38. ЦБР 1998. Центральный Банк России. Указание от 3 июля 1998г. # 277-У "О порядке выдаче регистрационных свидетельств кредитным организациям-резиднетам на осуществление эмиссии предоплаченных финансовых продуктов" // Вестник Банка России, # 46, 1998.

39. ЦБР 2001. Бюллетень банковской статистики. # 3 (94), М., ЦБ РФ, 2001.

40. Цигер А. Финансовые Интернет-услуги: ставки высоки // Мир электронной коммерции, # 3, 2000 (http://www.osp.ru/ecom/2000/03/016.htm).