6. Комплексні системи захисту банківських інформаційних технологій та їх застосування. Загальна характеристика внутрішньобанківської платіжної системи.

1.1 Мета і призначення комплексної системи захисту банківських інформаційних технологій (ксз біт).

Мета розробки, створення і використання КСЗ БІТ внутрішньобанківської платіжної системи КСЗ БІТ полягає в зниженні збитку Банку і користувачам (клієнтам) банку в процесі здійснення електронних платежів за рахунок або ліквідації істотного обмеження нефінансових ризиків шляхом комплексного використання організаційних (адміністративних) заходів, правових, морально-етичних норм, фізичних і технічних (апаратних і програмних) способів і засобів захисту інформації.

Комплексна система захисту інформації внутрішньобанківської платіжної системи КСЗ БІТ призначена для забезпечення безпеки критичної інформації й інформаційних ресурсів у процесі функціонування внутрішньобанківської платіжної системи КСЗ БІТ.

Мета функціонування КСЗ внутрішньобанківської платіжної системи полягає у підтримці потрібного рівня значень параметрів стану «інформаційної безпеки ВПС» відповідно до політики безпеки інформації, яка визначається Правлінням АКБ та користувачами (клієнтами) ВПС.

1.2 Загальна характеристика впс кб і умови її функціонування.

Топологічна структура внутрішньобанківської платіжної системи КБ являє собою розподілену автоматизовану систему, утворену сукупністю локальних обчислювальних мереж (центральне відділення, регіональні відділення і філії), взаємодіючих між собою і клієнтами на основі еталонної моделі взаємодії відкритих систем (ЕМВВС) за допомогою телекомунікаційних мереж.

Функціональну структуру внутрішньобанківської платіжної системи КБ утворюють компоненти програмних комплексів інформаційних підсистем «Операційний день банку (ОДБ)», «Розрахункова Палата» і «Фінансовий термінал», що взаємодіють між собою, а також із програмним комплексом інформаційної підсистеми «Клієнт - Банк» у процесі формування і передачі електронних платіжних документів.

Інформаційний обмін у локальних і телекомунікаційних мережах реалізується службами передачі повідомлень, електронної пошти на базі протоколів різних рівнів (Х-400-423, TCP/IP, Frame Relay, Х-25, Х-32, 24 тощо),

Загальна структурна схема і склад ВПС КБ, характеристики каналів зв'язку, характеристики фізичного середовища, загальна технічна характеристика й умови функціонування, призначення і склад оснащення структурних елементів ВПС КБ наведені у вихідних даних, що видаються Замовником, і є невід'ємною частиною даного ТЗ.

Порівняльна оцінка локальних і міжмережевих інформаційних потоків, інформаційних ресурсів складових частин ВПС КБ (ЛОМ центрального відділення, регіональних відділень і філій) за цілеспрямованістю можливих впливів і наслідків (можливого збитку) у термінах потенційних утрат для Банку і користувачів ВПС КБ показує, що у ВПС КБ повинен забезпечуватися захист від таких видів загроз:

• розкриття змісту інформації з обмеженим доступом;

• порушення фізичної і логічної цілісності (модифікація, знищення, нав'язування помилкової) критичної інформації;

• несанкціоноване використання ресурсів як складової частини, так і ВПС КБ у цілому (включаючи порушення функціонування, блокування доступу до ресурсів і інформації, несанкціонований доступ до інформації);

• помилки при використанні ресурсів, як складової частини, так і ВПС КБ у цілому;

• несанкціонований обмін інформацією (обман, підміна);

• відмова від інформації;

• відмова від обслуговування.

Можливі загрози безпеки (конфіденційності, цілісності і доступності) інформації користувачів і безпеки ВПС КБ можуть виявлятися в кожній складовій частині (ЛОМ Центральна дирекція, обласні дирекції, філії, ОДБ, РРП, РП та т.п.) і внутрішньобанківській платіжній системі КБ у цілому на рівні:

1. окремих апаратно-програмних пристроїв (ПЕОМ, принтер, дисплей, модем, операційна система, файл, каталог, база даних, і т.п.) – 1-й рівень;

2. окремих локальних мереж (регіональні відділення, філії) – 2 й рівень;

3. окремої телекомунікаційної мережі КБ у цілому (при роботі наземних магістральних, зонових і внутрішньозонових каналів і трактів передачі) – 3-й рівень;

На першому рівні можливі такі загрози :

• несанкціонований доступ (використання, підключення, зміна) до пристрою і інформаційно - програмного забезпечення (у т.ч. БД);

• перехоплення побічних електромагнітних випромінювань і наведень від пристрою;

• несанкціоноване одержання інформації з обмеженим доступом (ІзОД), у т.ч. за рахунок перехоплення акустичних випромінювань, що підслухують пристрої і т.п.;

• несанкціоноване порушення фізичної і логічної цілісності ІзОД (перекручування, знищення, модифікація ), у т.ч. за рахунок наявності вірусів, апаратних і програмних закладок у пристроях закордонного виробництва;

• крадіжка носіїв з ІзОД;

• відмова ( збої, помилки ) устаткування;

На другому рівні додатково можливі такі загрози:

• несанкціонована зміна конфігурації ЛОМ (виключення штатних або підключення додаткових апаратно-програмних компонентів);

• злочинний вивід зі строю елементів підсистем (устаткування ЛОМ, каналоутворюючої апаратури і т.п.);

• порушення функціонування компонента (у т.ч. за рахунок наявності апаратних і програмних закладок у закордонному устаткуванні);

На рівні окремих телекомунікаційних мереж внутрішньобанківської платіжної системи КБ у цілому (при роботі наземних і супутникових каналів і трактів передачі в різних мережах зв'язку ) додатково, до другого рівня, можливі такі загрози:

• перехоплення інформації з обмеженим доступом при передачі ії у каналах зв'язку;

• нав'язування користувачам помилкової інформації (у т.ч. оперативно-службової) при віддаленому доступі;

• аналіз трафіка;

• порушення інформаційного обміну за рахунок порушення каналу (тракту) передачі первинної мережі, атак на протоколи мережі, телекомунікаційні служби, нав'язування помилкової службової інформації і режимів роботи в системі управління як окремих інформаційних мереж, так і системи інформаційного забезпечення у цілому (включаючи зміну маршруту передачі інформації);

• маскування під зареєстрованого користувача або запити системи;

• відмова одержувача (відправника) від факту прийому (передачі) інформації;

• формування одержувачем помилкової інформації, що нібито отримана від відправника;

• формування відправником помилкового підтвердження одержання інформації, що нібито прийнята від одержувача;

• зараження вірусами по інформаційних і службових каналах мереж зв'язку.