Политика информационной безопасности против "человеческого фактора" (П. Гениевский, "Банковское дело в Москве", N 11, ноябрь 2005 г.)

Политика информационной безопасности против
"человеческого фактора"

Современные реалии таковы, что самым ценным активом банка стала информация. Вооруженные грабители в масках постепенно уходят в прошлое. Зато не проходит недели без сообщения в новостях хотя бы об одном случае утечки конфиденциальных данных. Так что в банке, делающем ставку на высокие технологии, вопрос информационной безопасности выходит на первый план.

Серьезный подход

Что такое информационная безопасность? Существуют различные трактовки этого определения. Но если объяснить доступнее, то информационная безопасность - это совокупность организационно-технических мер, позволяющих обеспечить целостность, доступность и конфиденциальность информации, необходимой для ведения бизнеса. А информация, как известно, может существовать в различных формах: в электронном виде, на бумаге, может передаваться по почте или с использованием электронных средств связи, демонстрироваться на пленке или быть выражена устно.

Для обеспечения информационной безопасности очень часто применяются лишь программно-аппаратные средства, позволяющие выполнять такие задачи, как аутентификация и идентификация пользователей, разграничение прав доступа, анализ трафиков Интернет, локальной сети и тому подобное. Однако практика показывает, что даже самая сложная защита со временем может быть взломана, или ключ к ней будет украден либо перекуплен. Ведь самым слабым и ненадежным звеном любой системы безопасности остается персонал. Поэтому, помимо технических, необходимо учитывать и принимать организационные меры, которые предусматривают детальную проработку бизнес-процессов, прописывание зон ответственности и разработку политики информационной безопасности.

Уже с первых дней своего существования МЕТРОБАНК приступил к построению системы управления информационной безопасностью в соответствии с требованиями международных стандартов ISO17799/BS7799, а несколько месяцев спустя, когда был принят и опубликован стандарт Банка России СТО БР ИББС1.02004 ("Обеспечение информационной безопасности организаций банковской системы РФ. Общие положения"), разработанный на основе международных стандартов ISO17799/BS7799, мы начали использовать именно данный стандарт, разработанный специально для применения в кредитных организациях. Необходимо отметить, что весь комплекс работ по построению системы управления информационной безопасностью банка проходил при поддержке высшего руководства, которое непосредственно участвовало и участвует на таких важных стадиях, как, например, оценка информационных рисков или классификация активов.

Внедрение стандарта Банка России СТО БР ИББС1.02004 проводилось впервые. И поэтому за процессом внедрения наблюдали эксперты Подкомитета N 3 "Защита информации в кредитно-финансовой сфере" Технического комитета N 362 "Защита информации" (ПК3/ТК362), в состав которого вошел Метробанк. По сути, наш банк стал полигоном, где проверялись и отрабатывались положения внедряемого стандарта, а также прошло апробирование разрабатываемой в настоящее время по заказу Банка России методики оценки соответствия информационной безопасности кредитных организаций. Таким образом, наши сотрудники активно помогают разработке данных стандартов.

Важную роль в соблюдении всеми сотрудниками положений политики информационной безопасности, принятой в банке, играет техническое обеспечение. Можно, скажем, издавать распоряжения, а потом отслеживать их исполнение. Но лучше - внедрить некое техническое решение, которое обеспечит выполнение требования политики информационной безопасности в отношении смены паролей. Например, запрограммировать систему так, чтобы исключить саму возможность работать неправильно. Когда не нужно напоминать, что пора сменить пароль - просто в определенный момент система не пустит пользователя по старому паролю, заставит создать новый и отследит, чтобы он содержал определенное количество символов, причем часть из них была цифрами.

Аналогичная ситуация с утечкой информации. Можно проверять у сотрудников на входе и выходе все съемные носители информации (дискеты, USB-устройства и т.д.), но надежнее разрешить использование съемных носителей только для чтения и только тем сотрудникам, которым это необходимо для выполнения служебных обязанностей. Причем использование USBпорта можно настроить так, чтобы к нему можно было подключить только конкретный принтер или сканер. При этом администрирование съемных носителей производится централизовано системным администратором, а все действия пользователей (включая действия системного администратора) протоколируются в электронные журналы событий, которые впоследствии анализируются сотрудниками департамента информационной безопасности.

Порой департамент информационной безопасности упрекают, что он мешает работать - пишет инструкции, заставляет следовать строгим правилам. У нас получилось по-другому. Внедрение стандарта по информационной безопасности позволило, прежде всего, лучше разобраться в работе банка. Были четко прописаны все бизнес-процессы, разработана политика распределения ролей, которая позволила исключить дублирование обязанностей и полномочий и сделать так, чтобы за каждый процесс отвечал конкретный исполнитель, а не "группа товарищей". Все это положительно сказалось не только на уровне информационной безопасности, но и на эффективности основного бизнеса.

Над менталитетом нужно работать

Отличительной особенностью многих продуктов Метробанк является активное использование интернет-технологий. В то же время вопрос безопасности в глобальной сети до сих пор остается сдерживающим фактором - как для сетевой торговли, так и для денежного обращения в ней.

Чтобы обеспечить необходимый уровень информационной безопасности для наших клиентов, мы впервые в СНГ использовали в системе "Интернет-офис" и потребительского кредитования новую модель USB-ключа со встроенным генератором одноразовых паролей, для двухфакторной аутентификации, и PKIхранилищем для хранения личных секретных сертификатов и ключей пользователя - eToken NGOTP. Каждый клиент банка теперь получает специальный USB-брелок с дисплеем, где отображается одноразовый пароль. Чтобы войти в систему "Интернет-офис", клиент нажимает клавишу на брелоке и получает пароль. Система его аутентифицирует и предоставляет доступ к ресурсам банка. Этот пароль больше нигде не будет использоваться - он нужен лишь для одноразового пользования системой. Естественно, передача всех данных защищена протоколом SSL. Это первая ступень.

Дальнейшие действия по отправке документов внутри системы "Интернет-офис" подписываются личной электронно-цифровой подписью клиента. Сертификат ЭЦП хранится в самом брелоке, в специальном PKI-хранилище, защищенном паролем как минимум из восьми символов. Если какое-либо критичное действие клиента не будет корректно подписано, мы его не сможем принять к исполнению. На сегодняшний день - это самая передовая технология.

Кроме того, сейчас мы внедряем средства биометрической идентификации для клиентов и сотрудников банка. Скажем, доступ в серверные комнаты, переходы сотрудников внутри банка и доступ клиентов в депозитарий будут осуществляться по отпечатку пальца. В будущем году USB-брелоки или смарт-карты с сенсором отпечатка пальца будут использоваться и для аутентификации клиентов "Интернет-офис" и сотрудников при входе в персональный компьютер.

Для менее критичных помещений будет использован электронный "фэйс-контроль". При входе в охраняемое помещение банка устанавливается видеокамера. Когда к двери подходит посетитель, изображение его лица, полученное с камеры, сравнивается с базой данных, хранящейся на сервере: если посетителю разрешен доступ в это помещение, его пропускают. C одной стороны, эта технология позволит еще "на входе" вычислять мошенников и "плохих" клиентов. С другой - даст возможность практически моментально идентифицировать клиента и выдать на экран оператору всю необходимую информацию: от имени, отчества и дня рождения до сведений об используемых услугах (всегда приятно, когда обращаются по имени-отчеству...).

На самом деле это не так дорого, как кажется. Все сводится к покупке камеры и некоего программного обеспечения российского производителя. А современные технологии позволяют хранить практически неограниченные объемы данных, в том числе изображения. Поэтому ничего сложного в их реализации нет.

Однако насильно в будущее мы никого не тащим - клиенты могут пользоваться новыми технологиями, а могут и отказаться. У нас будет предусмотрено параллельное использование средств идентификации предыдущего поколения. Здесь многое зависит от менталитета, хотя и он со временем меняется, так же как и российская экономика быстро движется к открытости.

Доказательством этого может служить, например, создание в России Национального бюро кредитных историй, что, прежде всего, выгодно банкам. Но должно быть одно единственное кредитное бюро, куда и будет поступать информация о заемщиках. Иначе это будет профанация. Неплохим примером для подражания является система в США - там для оценки заемщика используется FICO (название произошло от компании Fair, Isaac & Company) - суммарная оценка, состоящая из пяти основных параметров: как выплачивались предыдущие кредиты (платежная история), общая сумма долга по всем счетам, продолжительность кредитной истории и информация о счетах и кредитах (количество новых счетов, виды кредитов и количество счетов по каждому виду кредита). Чем баллы выше - тем охотнее с вами будут общаться кредитные организации.

В общем, над менталитетом тоже можно работать.

П. Гениевский,

исполнительный директор

"Банковское дело в Москве", N 11, ноябрь 2005 г.