20.02.13 Источники утечки банковской информации.

Распространенными способами незаконного использования банковской информации стали многочисленные способы организации утечки банковской информации из компьютерных сетей. КАК показывает зарубежный опыт убытки понесенные от данного вида преступлений составляют 4.6млрд $ежегодно. Основными источниками угроз утечками информации в компьютерных системах является мошенничества, перехватывание паролей, ключей действия хакеров ошибки человека сбой самого оборудования. В качестве основных фактор способствующих расширению преступности можно назвать:

• Использование компьютеров без тщательного анализа с позиции защищенности информации

• Недостаточное выделение средств на мере защиты

• Отсутствие плана мероприятий по защите компьютерных сетей

• Отсутствие взаимосвязанности принимаемых мер.

• Угрозы в информационных системах можно объединить в группы

• Прерывание-прекращение нормальной обработки информации

• Перехват незаконное копирование и чтение данных системы

• Модификация(доступ и изменение информации и манипуляция информации

• Разрушение необратимое потеря данных

На основе рекомендаций международная организация стандартизации для банковских систем угрозы классифицируются по семи критериям:

• По цели реализации выделятся угрозы

• Целостности информации(информации может быть искажена в следствии ее случайного или несанкционированного удаления)

• Доступность информации иди работа-способность системы(несанкционированное или случайное некорректные изменения режима работы компонентов системы).

• Конфиденциальности информации(информация хранимая и обрабатываемая в системе имеет большую ценность ее несанкционированное пользование может нести ущерб в тч наруш.закон о банковской тайне

• Юр.сил или значимости информации

• По способы воздействия объекты угроз включают

• Непосредственное воздействие в программе как в результате

• Например непосредственный доступ по сбору данных как в результате

• Воздействие в систему разграничения полномочий и разрешений при этом способе несанкционированные действия выполняются относительно прав пользователей

• Опосредованное воздействие то есть через других пользователей

• ПО характеру воздействия угрозы делят на активные и пассивные.

• По способу воздействия атаки на объект непосредственное воздействие на объект, воздействие на систему

• По способу воздействия на систематириз банк системы

• В интерактивном режиме

Пакетном режиме

По объекту атаки на автомат систимезир

Системы цены

На объекты систем(данные)

Субъекты системы

На каналы передачи данных

При хранении на носителях

По состоянию объекта атаки

Передача объектов в каналов связи ,обработка объекта.

Общая классификация угроз к банковским электронным системам.

• Угроза конфиденциальности данных и программ возникает при не санкцаниорованом доступе к данным программам или каналам связи

• Угрозы целостности данных программ ,аппаратуры появляются при несанкциорованном уничтожении или добавлении лишних элементов и модификации данных ,а также изменения прядка распоряжения данных и формирования липовых платежных док

• Угроза доступности данных возникает ,когда объект пользуется не получает доступа к законно выделено ему службам или ресурсам

• Угроза отказа от выполнения транзакций появляется ,когда легальная пользователь выполняет транзакций, то есть принимает или передает документы в системе, а за тем отрицает участие в них, чтобы снять с себя ответственность

27.02.13

Порядок организации защиты конфиденциальной банковской информации.

Защита кон банковской информации является составной частью банковской деятельности. Создание систем информационной безопасности основывается на следующих принципах:

1. Системный подход к построению системы защиты

2. Непрерывное развитие системы защиты

3. Обеспечение надежности системы защиты

4. Осуществление контроля за функционированием системы защиты

5. Обеспечение всевозможных средств борьбы с вредоносными программами

6. Обеспечение экономической целесообразности использования систем защиты

7. В результате решения проблем безопасности современные информационные систем и технологии должны обладать основными принципами:

   1. Наличие информации разной степени конфиденциальности

   2. Обеспечение криптографической защиты информации разной степени конфиденциальности при передаче данных

   3. Обязательное управление потоками информации, как в локальных сетях, так и при передаче по каналам связи на далекие расстояния.

   4. Наличие механизма регистрации и учета попыток несанкционированного доступа, событий в информационной системе и документов, выводимых на печать.

   5. Обязательное обеспечение целостности программного обеспечения информации

   6. Наличие средств восстановления системы по защите информации

   7. Обязательный учет магнитных носителей

   8. Наличие физической охраны средств вычислительной техники и магнитных носителей

   9. Наличие специальной службы информационной безопасности системы

Вся совокупность технических средств обеспечения конфиденциальности подразделяются на физические и аппаратные. Физические средства включают инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала, материальных средств и финансов, а так же конфиденциальной информации от противоправных действий.

Аппаратные средства – средства или устройства, встраиваемые непосредственно в вычислительную технику или устройства, которые сопрягаются с ней по стандартам интерфейса. Программные средства – специальные программы и программные комплексы, предназначенные для защиты информации в информационной системе. Криптография (шифрование) – это наука об обеспечении секретности и аутентичности (подлинности) передаваемых сообщений. Механизмы шифрования применяются как при обработке, так и при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

06.03.13

Классификация угроз утечки банковской информации

Приобщение банковских структур РФ к мировой банковской системе влечет за собой широкое использование новейших информационных технологий. Современный банк предлагает собой сложную систему, в которую входят аппаратные и программные средства. Организационные мероприятия, нормативно-методические материалы, технологии, телекоммуникации и т.д. и т.п. По мере развития и усложнения средств, форм и методов обработки информации, возрастает её уязвимость. Т.е. увеличивается опасность её уничтожения, искажения, раскрытия. Объектами посягательств могут быть как сами технические средства, так и программные обеспечения и базы данных. Кроме того, появляются новые общественно-опасные формы преступной деятельности в сфере кредитно-денежных отношений. Развивается тенденция, когда при совершении преступлений против банка все в большей мере используются недостатки в организации и контроле за выполнением операций в сочетании со знанием слабых мест в деятельности банка. Угрозы информационным системам можно объединить в следующие группы:

1. Прерывание. Т.е. прекращение нормальной обработки информации

2. Перехват – незаконное копирование, чтение данных системы

3. Модификация – доступ к изменению информации и манипуляции информацией

4. Разрушение – необратимая потеря данных

На основании рекомендации международной организации стандартизации для банковской системы угрозы классифицируют по 7 критериям:

1. По цели реализации выделяют:

   1. Целостность информации

   2. Доступность информации или работоспособность системы

   3. Конфиденциальность информации

   4. Юридической силы или значимости информации

2. По способу воздействия на объект:

   1. Непосредственное воздействие на объект атаки

   2. Воздействие на систему разграничения полномочий и разрешений

   3. Опосредованное воздействие через других пользователей.

3. По характеру воздействия

   1. Активные

   2. Пассивные

4. По способу воздействия атаки на объект

   1. Непосредственное воздействие на объект

   2. Воздействие на систему

5. По способу воздействия на автоматизированные банковские системы

   1. На системы в целом

   2. В интерактивном режиме

   3. В пакетном режиме

6. По объекту отдачи автоматизированные банковские системы

   1. Системы в целом

   2. На объекты системы

   3. На объекты системы

   4. На каналы передачи данных

7. Общая классификация угроз банковских систем

   1. Угроза конфиденциальности данных и программ возникают при несанкционированном доступе к данным программы или каналам связи.

   2. Угрозы целостности данных программ появляются при несанкционированном уничтожении, изменение порядка расположения данных, формирование фальсифицированных данных.

   3. Угрозы доступности возникают когда объект пользователя не получают доступа в законно выделенным ресурсам

   4. Угроза отказа выполнения транзакций появляется ,когда легальная пользователь выполняет транзакций, то есть принимает или передает документы в системе, а за тем отрицает участие в них, чтобы снять с себя ответственность

К основным техническим каналам утечки информации относятся:

1. На базе средств пассивного перехвата за счет

   1. Информационных побочных извлечений и наводок

   2. Электро-акустических преобразований

   3. Использование специальных и узконаправленных микрофонов

   4. Использование аппаратуры фоторгафирования

   5. Прямой регистрации информационных сигналов

2. На базе средств активного перехвата за счет:

   1. Использования технических накладных устройств

   2. Использование лазерных подслушивающих устройств

   3. Прямой регистрацией информационного сигнала с последующей передачей по радиоканалу

   4. Высоко и низкочастотных сигналов на технические средства