Как обеспечить защиту персональных данных в компании. Защита персональных данных в банковских он-лайн системах Персональные данные в банковской сфере

Особенно востребованной для российских подразделений иностранных компаний она стала в связи с добавление части 5 статьи 18 в 152-ФЗ «О персональных данных»: «…оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации». В законе есть ряд исключений, но согласитесь, на случай проверки регулятором хочется располагать козырями понадежнее, чем «а нас это не касается».

Наказания для нарушителей весьма серьезные. Онлайн-магазины, социальные сети, информационные сайты, другие бизнесы, связанные с интернетом в случае претензий со стороны надзорных органов могут быть фактически закрыты. Возможно, при первой проверке регулятором будет дано время на устранение недочетов, но срок обычно ограниченный. Если проблема не будет решена очень быстро (что без предварительной подготовки сделать затруднительно), убытки никак уже не компенсировать. Блокировка сайтов приводит не только к паузе в продажах, это означает потерю рыночной доли.

Появление в «черном списке» нарушителей закона о ПДн для офлайн-компаний проходит менее драматично. Но это влечет за собой репутационные риски, что для иностранных компаний является существенным фактором. Кроме того, сейчас почти не осталось видов деятельности, которых вообще не касается защита персональных данных. Банки, торговля, даже производство – все ведут клиентские базы, а значит, попадают под действие соответствующих законов.

Здесь важно понимать, что внутри компаний вопрос тоже нельзя рассматривать изолированно. Защиту ПДн не получится ограничить установкой сертифицированных средств защиты на серверах и запиранием бумажных карточек в сейфы. У персональных данных много точек входа в компанию – отделы продаж, HR, службы обслуживания клиентов , иногда также учебные центры, закупочные комиссии и другие подразделения. Управление защитой ПДн – комплексный процесс, который затрагивает IT , документооборот, регламенты, юридическое оформление.

Давайте рассмотрим, что потребуется для запуска и обслуживания такого процесса.

Какие данные считаются персональными

Строго говоря, любая информация, которая относится прямо или косвенно к определенному физическому лицу – это его персональные данные. Заметьте, речь идет о людях, не о юридических лицах. Получается, достаточно указать ФИО и адрес проживания, чтобы инициировать защиту этих (а также связанных с ними) данных. Тем не менее, получение электронного письма с чьими-либо персональными данными в виде подписи и телефонного номера еще не повод их защищать. Ключевой термин: «Понятие сбора персональных данных». Для прояснения контекста несколько статей Закона «О персональных данных» хочу выделить особо.

Статья 5. Принципы обработки персональных данных. Следует иметь четкие цели, из которых ясно следует, зачем эта информация собирается. Иначе даже при полном соблюдении всех остальных норм и правил вероятны санкции.

Статья 10. Специальные категории персональных данных. Например, кадровая служба может фиксировать ограничения для командировок, в том числе беременность сотрудниц. Разумеется, такие дополнительные сведения также подлежат защите. Это сильно расширяет понимание ПДн, а также список отделов и информационных хранилищ компании, в которых нужно уделять внимание защите.

Статья 12. Трансграничная передача персональных данных. Если информационная система с данными о гражданах РФ находится на территории страны, которая не ратифицировала Конвенцию о защите персональных данных (например, в Израиле), следует придерживаться положений российского законодательства.

Статья 22. Уведомление об обработке персональных данных. Обязательное условие для того, чтобы не привлекать излишнее внимание регулятора. Ведете предпринимательскую деятельность, связанную с ПДн – сообщите об этом сами, не дожидаясь проверок.

Где могут находиться персональные данные

Технически ПДн могут находиться где угодно, начиная с печатных носителей (бумажные картотеки) до машинных носителей (жесткие диски, флэшки, компакт-диски и прочее). То есть в фокусе внимания любые хранилища данных , попадающие под определение ИСПДн (информационные системы персональных данных).

География расположения – отдельный большой вопрос. С одной стороны, персональные данные россиян (физических лиц, являющихся гражданами РФ) должны храниться на территории Российской Федерации. С другой стороны, на текущий момент это скорее вектор развития ситуации, чем свершившийся факт. Многие международные и экспортные компании, различные холдинги, совместные предприятия исторически имеют распределенную инфраструктуру – и в одночасье это не изменится. В отличие от методов хранения и защиты ПДн, которые должны быть скорректированы практически сейчас, сразу.

Минимальный список отделов, участвующих в записи, систематизации, накоплении, хранении, уточнении (обновлении, изменении), извлечении ПДн:

• Кадровая служба.
• Отдел продаж.
• Юридический отдел.

Поскольку редко где царит идеальный порядок, в реальности к этому «ожидаемому» списку часто могут добавляться самые непредсказуемые подразделения. Например, на складе могут быть записаны персонифицированные сведения о поставщиках, или служба охраны может вести собственный подробный учет всех входящих на территорию. Таким образом, кстати, состав ПДн для сотрудников может быть дополнен данными по клиентам, партнерам, подрядчикам, а также случайным и даже чужим посетителям – ПДн которых становятся «криминалом» при фотографировании на пропуск, сканировании удостоверения личности и в некоторых других случаях. СКУД (системы контроля и управления доступом) запросто могут послужить источником проблем в контексте защиты ПДн. Поэтому ответ на вопрос «Где?» с точки зрения соблюдения Закона звучит так: повсеместно на подотчетной территории. Точнее можно ответить, только проведя соответствующий аудит. Это первый этап проекта по защите персональных данных. Полный список его ключевых фаз:

1) Аудит текущей ситуации в компании.

2) Проектирование технического решения.

3) Подготовка процесса по защите персональных данных.

4) Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании.

5) Внедрение технического решения.

6) Запуск процесса по защите персональных данных.

1. Аудит текущей ситуации в компании

Прежде всего, уточните в кадровой службе и в других подразделениях, использующих бумажные носители с персональными данными:

• Есть ли формы согласия на обработку персональных данных? Они заполнены и подписаны?
• Соблюдается ли «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15 сентября 2008 года № 687?

Определите географическое расположение ИСПДн:

• В каких странах они находятся?
• На каком основании?
• Есть ли договоры на их использование?
• Какая технологическая защита применяется для предотвращения утечки ПДн ?
• Какие организационные меры принимаются для защиты ПДн?

В идеале, информационная система с ПДн россиян должна соответствовать всем требованиям закона 152-ФЗ «О персональных данных», даже если находится за границей.

Наконец, обратите внимание на внушительный список документов, который требуется в случае проверки (это еще не все, только основной перечень):

• Уведомление об обработке ПДн.
• Документ, определяющий ответственного за организацию обработки ПДн.
• Перечень сотрудников, допущенных к обработке ПДн.
• Документ, определяющий места хранения ПДн.
• Справка об обработке специальных и биометрических категорий ПДн.
• Справка об осуществлении трансграничной передачи ПДн.
• Типовые формы документов с ПДн.
• Типовая форма согласия на обработку ПДн.
• Порядок передачи ПДн третьим лицам.
• Порядок учета обращений субъектов ПДн.
• Перечень информационных систем персональных данных (ИСПДн).
• Документы, регламентирующие резервирование данных в ИСПДн.
• Перечень используемых средств защиты информации.
• Порядок уничтожения ПДн.
• Матрица доступа.
• Модель угроз.
• Журнал учета машинных носителей ПДн.
• Документ, определяющий уровни защищенности для каждой ИСПДн в соответствии с ПП-1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработки в информационных системах персональных данных».

2. Проектирование технического решения

Описание организационных и технических мер, которые должны быть приняты для защиты ПДн, приводится в Главе 4. «Обязанности оператора» Закона 152-ФЗ «О персональных данных». Техническое решение должно базироваться на положениях статьи 2 Закона 242-ФЗ от 21 июля 2014 года.

Но как соблюсти закон и обрабатывать ПДн граждан РФ на территории России в случае, когда ИСПДн все же находится за границей? Тут есть несколько вариантов:

• Физический перенос информационной системы и БД на территорию РФ . Если технически реализуемо – это будет проще всего.
• Оставляем ИСПДн за границей, но в России создаем ее копию и налаживаем одностороннюю репликацию ПДн граждан РФ из российской копии в иностранную. При этом в зарубежной системе нужно исключить возможность модификации ПДн граждан РФ, все правки только через российскую ИСПДн.
• ИСПДн несколько и все они за границей. Перенос может быть дорогостоящим, либо вообще технически неосуществим (например, нельзя выделить часть базы с ПДн граждан РФ и вынести ее в Россию). В этом случае, решением может стать создание новой ИСПДн на любой доступной платформе на сервере в России, откуда будет осуществляться односторонняя репликация в каждую зарубежную ИСПДн. Отмечу, что выбор платформы остается за компанией.

Если ИСПДн полностью и монопольно не перенесена в Россию, не забудьте в справке о трансграничной передаче данных указать, кому и какой именно набор ПДн отсылается. В уведомлении об обработке нужно указать цель передачи персональных данных. Повторюсь, эта цель должна быть законной и четко обоснованной.

3. Подготовка процесса по защите персональных данных

Процесс защиты персональных данных должен определять как минимум следующие моменты:

• Список ответственных за обработку персональных данных в компании.
• Порядок предоставления доступа к ИСПДн. В идеале, это матрица доступа с уровнем доступа для каждой должности или конкретного сотрудника (чтение/чтение-запись/модификация). Либо перечень доступных ПДн для каждой должности. Здесь все зависит от реализации ИС и требований компании.
• Аудит доступа к персональным данным и анализ попыток доступа с нарушением уровней доступа.
• Анализ причин недоступности персональных данных.
• Порядок реагирования на запросы субъектов ПДн относительно своих ПДн.
• Пересмотр перечня персональных данных, которые передаются за пределы компании.
• Пересмотр получателей персональных данных, в том числе за границей.
• Периодический пересмотр модели угроз для ПДн, а также смена уровня защищенности персональных данных в связи с изменением модели угроз.
• Поддержка документов компании в актуальном состоянии (список выше, и его можно-нужно дополнять, при необходимости).

Здесь можно детализировать каждый пункт, но особое внимание хочу обратить на уровень защищенности. Он определяется на основе следующих документов (читать последовательно):

1. «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (ФСТЭК РФ 14 февраля 2008 года).

2. Постановление Правительства РФ № 1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

3. Приказ ФСТЭК № 21 от 18 февраля 2013 года «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Также, не забудьте учесть необходимость наличия таких категорий расходов, как:

• Организация проектной команды и управление проектом.
• Разработчики для каждой из платформ ИСПДн.
• Серверные мощности (собственные, или арендуемые в дата-центре).

К завершению второго и третьего этапов проекта вы должны иметь:

• Расчет затрат.
• Требования к качеству.
• Сроки и календарный план проекта.
• Технические и организационные риски проекта.

4. Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании

Короткий по формулировке, но важный этап, в рамках которого нужно удостовериться в том, что все запланированные действия не противоречат законодательству РФ и правилам компании (например, политикам безопасности). Если этого не сделать, в фундамент проекта будет заложена бомба, которая может «рвануть» в дальнейшем, уничтожив пользу от достигнутых результатов.

5. Внедрение технического решения

Здесь все более-менее очевидно. Конкретика зависит от исходной ситуации и решений. Но в общем случае должна получиться примерно следующая картина:

• Выделены серверные мощности.
• Сетевые инженеры предоставили достаточную пропускную способность каналов между приемником и передатчиком ПДн.
• Разработчики наладили репликацию между базами данных ИСПДн.
• Администраторы предотвратили изменения в ИСПДн, находящихся за границей.

Ответственное лицо за защиту ПДн или «владелец процесса» могут быть одним и тем же лицом или разными. Сам факт, что «владелец процесса» должен подготовить всю документацию и организовать весь процесс защиты ПДн. Для этого должны быть уведомлены все заинтересованные лица, сотрудники проинструктированы, а IT-служба содействовать внедрению технических мер по защите данных.

6. Запуск процесса по защите персональных данных

Это важный этап, и в некотором смысле цель всего проекта – поставить контроль на поток. Помимо технических решений и нормативной документации здесь критично важна роль владельца процесса. Он должен отслеживать изменения не только в законодательстве, но также в IT-инфраструктуре. Значит, необходимы соответствующие навыки и компетенции.

Кроме того, что критично важно в условиях реальной работы, владельцу процесса по защите ПДн нужны все необходимые полномочия и административная поддержка руководства компании. Иначе он будет вечным «просителем», на которого никто не обращает внимания, и через некоторое время проект можно будет перезапускать, снова начиная с аудита.

Нюансы

Несколько моментов, которые легко упустить из виду:

• Если вы работаете с дата-центром, нужен договор об оказании услуг предоставления серверных мощностей, согласно которому ваша компания хранит данные на легальных основаниях и контролирует их.
• Нужны лицензии на программное обеспечение, которое используется для сбора, хранения и обработки ПДн, либо договоры об его аренде.
• В случае расположения ИСПДн за границей нужен договор с компанией, владеющей там системой – для гарантии соблюдения законодательства РФ применительно к персональным данным россиян.
• Если персональные данные передаются подрядчику вашей компании (например, партнеру по IT-аутсорсингу), то в случае утечки ПДн от аутсорсера вы будете нести ответственность по претензиям. В свою очередь, ваша компания может предъявить претензии аутсорсеру. Возможно, этот фактор может повлиять на сам факт передачи работ на аутсорс.

И еще раз самое главное – защиту персональных данных нельзя взять и обеспечить. Это процесс. Непрерывный итерационный процесс, который будет сильно зависеть от дальнейших изменений в законодательстве, а также от формата и строгости применения этих норм на практике.

Наверное, каждый, кто когда–то брал кредит или является HR-ом, сталкивался с такой ситуацией, когда представители банка звонят работодателю и запрашивают информацию о сотруднике организации.

При этом чаще всего на практике работодатель не соблюдает требования 152-федерального закона о защите персональных данных и разглашает сведения о работнике по телефону. Проверить получателя этой информации работодатель не может и часто письменного согласия сотрудника на такое использование его данных у него нет.

Кто в данной ситуации больше нарушает закон: тот, кто спрашивает или тот, кто отвечает?

В этой ситуации все зависит от того, какие документы от самого субъекта персональных данных есть у одного и другого. Бывает ситуация, когда ни тот, кто спрашивает ни тот, кто отвечает закон не нарушают, а бывает, что нарушают оба.

Давайте с этим разберемся.

Итак, мы – банк. К нам пришел человек и для целей получения кредита предоставил весь необходимый пакет документов, включая справку о заработке, заверенную подписями ответственных лиц работодателя и печатью, а также другие необходимые оригиналы и копии документов.

Но, несмотря на предоставленный оригинал справки о заработке, мы хотим проверить правда ли заявитель на кредит работает в этой организации и реальный ли доход указан в предоставленной справке. Справедливости ради надо сказать, что в последнее время банки все-таки чаще всего запрашивают только информацию о том, работает ли данный человек в указанной организации. При том мы, как банк, не отправляем данный запрос письменно, с нашими печатями и указанием наших идентификационных сведений и не указываем письменно цели нашего запроса, а для ускорения процедуры, просто звоним по телефону, указанному в документах, которые предоставил потенциальный клиент банка.

Что меня всегда удивляло в это процедуре, так это некая нелогичность этапов подтверждения достоверности предоставленных данных.

То есть, документ с печатями и подписями нас не совсем устраивает, а вот ответ по телефону, указанному работником, почему-то устроит больше.

А что за телефон указал работник? Правда ли этот телефон принадлежит данной организации? Кто на другом конце провода мне ответит: генеральный директор? Главный бухгалтер? Менеджер по персоналу? Как я собираюсь идентифицировать, что это именно данные должностные лица? А может секретарь, который работает здесь неделю и пока никого не знает? Или уборщица? Или охранник? А может в принципе кто-то кого работник сам попросил соответственным образом ответить на запрос банка? А если телефон, указанный работником не будет отвечать, что это будет значить для банка? Будет ли он проверять, может человек ошибся в одной цифре? Может перебои у телефонной компании? Может именно этот телефон компания больше не использует, а работник не знал об этом?

Но наша задача разобраться в том, законны ли действия сторон: банка и работодателя в данном случае в принципе?

Если у банка есть письменное согласие субъекта на проверку его информации и получение сведений у его работодателя, то действия банка законны.

А как насчет работодателя?

Работодатель может законно представлять сведения о работнике в банк в следующих случаях:

2. Работник разрешил ПИСЬМЕННО предоставить свои данные конкретному юридическому лицу. Но в данном случае, работодатель обязан удостовериться, что запрос поступил именно от того банка, которому работник разрешил предоставить информацию (то есть ответ только на письменный запрос).

А если такого согласия у работодателя нет?

То предоставлять сведения о работнике работодатель не вправе. Тогда работодатель выполнит свои обязательства по закону о защите персональных данных? Да. А дадут ли работнику кредит в том случае, если работодатель откажется предоставлять сведения о работнике? Неизвестно.

Причем если организация большая и имеет разветвленную сеть обособленных подразделений, взять оперативно такое согласие не всегда возможно. Особенно в том случае, когда работник спонтанно принял решение о получении кредита. И уже в этот же день или на следующий, работники банка звонят работодателю, чтобы проверить достоверность предоставленных сведений.

Причем само согласие должно быть оформлено именно письменно, недостаточно того, чтобы работник позвонил, например, в отдел кадров, и попросил устно ответить на запрос конкретного банка.

Все ведь прекрасно понимают, что когда работодатель предоставляет сведения о работе конкретного сотрудника банку по телефонному запросу, он делает это с целью защиты интересов работника в первую очередь, чтобы ему не отказали в выдаче кредита. Но автоматически в этом случае нарушает закон о защите персональных данных, если заблаговременно работодатель не побеспокоился о получении письменного согласия с самого работника.

Возможно, если банки прекратят практику незаконных телефонных проверок, таких нарушений и со стороны работодателя станет меньше.

Недавно вышло письмо Банка России от 14.03.2014 N 42-Т "Об усилении контроля за рисками, возникающими у кредитных организаций при использовании информации, содержащей персональные данные граждан", которое рекомендует кредитным организациям усилить контроль за рисками, возникающими при обработке (к которой кстати относится и сбор) информации, содержащей персональные данные, а также актуализировать внутренние документы, определяющие: персональную ответственность работников кредитных организаций, осуществляющих непосредственную обработку персональных данных (в том числе сбор), за сохранение и обеспечение конфиденциальности информации, образующейся в процессе обслуживания клиентов.

При этом в вышеуказанном письме было прямо указано, что Банк России при осуществлении надзора за деятельностью банков будет учитывать случаи выявления недостатков при исполнении законодательства о защите персональных данных и рассматривать их как негативный фактор при оценке качества управления кредитной организацией, в том числе оценке организации системы внутреннего контроля.

Остается надеется, что и банки наконец-то тоже станут соблюдать закон о защите персональных данных, не подводя работодателя к вынужденному нарушению законодательства.

1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Законодательные основы защиты персональных данных в РФ

1.3.1 Общая характеристика источников угроз несанкционированного доступа в информационной системе персональных данных.

1.3.2 Общая характеристика угроз непосредственного доступа в операционную среду информационной системы персональных данных

1.3.3 Общая характеристика угроз безопасности персональных данных, реализуемых с использованием протоколов межсетевого взаимодействия

1.4Характеристика Банка и его деятельности

1.5Базы персональных данных

1.5.1 Информационная система персональных данных сотрудников организации

1.5.2 Информационная система персональных данных системы контроля и управления доступом

1.5.3 Информационная система персональных данных автоматизированной банковской системы

1.6 Устройство и угрозы локальной вычислительной сети Банка

1.7 Средства защиты информации

2.2 Программные и аппаратные средства защиты

2.3 Базовая политика безопасности

2.3.1 Система повышения осведомлённости сотрудников в вопросах информационной безопасности

2.3.4 Порядок работы сотрудников с электронной почтой

2.3.5 Парольная политика Банка

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА

ЗАКЛЮЧЕНИЕ

Приложения.

ВВЕДЕНИЕ

Повсеместная компьютеризация, взявшая начало в конце XX века продолжается и в наши дни. Автоматизация процессов на предприятиях повышает производительность труда работников. Пользователи информационных систем могут быстро получать данные необходимые для выполнения их должностных обязанностей. При этом вместе с облегчением доступа к данным существует проблемах сохранности этих данных. Обладая доступом к различным информационным системам, злоумышленники могут использовать их в корыстных целях: сбор данных для продажи их на чёрном рынке, кража денежных средств у клиентов организации, кража коммерческой тайны организации.

Поэтому проблема защиты критично важной информации для организаций стоит очень остро. Всё чаще становится известно из СМИ о различных техниках или методиках кражи денежных средств посредством взлома информационных систем финансовых организаций. Получив доступ в информационные системы персональных данных, злоумышленник может своровать данные клиентов финансовых организаций, информацию об их финансовых операциях распространить их, нанеся клиенту банка как финансовый, так и репутационный вред. Кроме того, узнав данные о клиенте, мошенники могут напрямую позвонить клиенту, представившись сотрудниками банков и обманным путём, используя технику социального инжиниринга узнать пароли от систем дистанционного банковского обслуживания и вывести деньги со счета клиента.

В нашей стране проблема кражи и незаконного распространения персональных данных стоит очень остро. В сети Интернет существует большое количество ресурсов, на которых содержаться ворованные базы персональных данных, с помощью которых, например, по номеру мобильного телефона, можно найти очень подробную информацию по человеку, включая его паспортные данные, адреса проживания, фотографии и многое другое.

В данном дипломном проекте я исследую процесс создания системы защиты персональных данных в ПАО «Ситибанк».

1. ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Законодательные основы защиты персональных данных

На сегодняшний день в России осуществляется государственное регулирование в области обеспечения безопасности персональных данных. Основными нормативно-правовыми актами, регулирующими систему защиты персональных данных в Российской Федерации являются Конституция Российской Федерации и Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ. Эти два основных правовых акта устанавливают основные тезисы о персональных данных в Российской Федерации:

Каждый гражданин имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени;

Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения;

Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

Обработка персональных данных должна осуществляться на законной и справедливой основе;

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

Обработке подлежат только персональные данные, которые отвечают целям их обработки.

При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Прочими нормативными актами, оказывающие правовое воздействие в области защиты персональных данных в организациях банковской сфере Российской Федерации являются:

Федеральный закон Российской Федерации от 27 июля 2006 г. №149 ФЗ «Об информации, информационных технологиях и о защите информации»;

Трудовой кодекс Российской Федерации (глава 14);

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Рассмотрим основные определения, используемые в законодательстве.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор персональных данных - государственный орган, муници-пальный орган, юридическое или физическое лицо, самостоятельно или со-вместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных - действия, в результате кото-рых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Информационная система персональных данных - совокупность со-держащихся в базах данных персональных данных и обеспечивающих их обработку информационных техно‫логий и технических средств;

Транс‫граничная передача персональных данных - передача персо-нальных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных.

Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных

1.2Классификация угроз информационной безопасности персональных данных.

Под угрозой информационной безопасности понимается угроза нарушения свойств информационной безопасности - доступности, целостности или конфиденциальности информационных активов организации.

Перечень угроз, оценка вероятности их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты автоматизированной системы. Кроме выявления возможных угроз, необходимо провести анализ выявленных угроз на основе их классификации по ряду признаков. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Так как хранимая и обрабатываемая информация в со‫временных АС подвержена воздействию чрезвычайно большого числа факторов, то становится невозможным формализовать задачу описания полного множества угроз. Поэтому для защищаемой системы обычно определяется не перечень угроз, а перечень классов угроз.

Классификация возможных угроз информационной безопасности АС может быть проведена по следующим базовым признакам:

По природе возникновения:

Oестественные угрозы, вызванные воздействиями на АС объективных физических процессов или стихийных природных явлений;

Oискусственные угрозы безопасности АС, вызванные деятельно-стью человека.

По степени преднамеренности проявления:

Oугрозы, вызванные ошибками или халатностью персонала, например неправильное использование средств защиты, халатность при работе с данными;

Oугрозы преднамеренного действия, например взлом автоматизированной системы злоумышленниками, уничтожение данных работниками организации с целью мести работодателю.

По не‫посредственному источнику угроз:

Oестественные угрозы, например стихийные бедствия, техногенные катастрофы;

Oчеловеческие угрозы, например: уничтожение информации, разглашение конфиденциальных данных;

Oразрешенные программно-аппаратные средства, например физическая поломка аппаратуры, ошибки программного обеспечения, конфликты программного обеспечения;

Oнеразрешённые программно-аппаратные средства, например внедрение аппаратных закладок, программных закладок.

По положению источника угроз:

Oвне контролируемой зоны, к примеру перехват данных, передаваемых по каналам связи;

Oв пределах контролируемой зоны, например несанкционированное копирование информации, несанкционированный доступ в защищаемую зону;

Oне‫посредственно в автоматизированной системе, например некорректное использование ресурсов АС.

По степени зависимости от активности АС:

Oнезависимо от активности АС, например физическая кража носителей информации;

Oтолько в процессе обработки данных, например заражение вредоносным ПО.

По степени воздействия на АС:

Oпассивные угрозы, которые при реализации ничего не меняют в структуре и содержании АС, например угроза копирования сек-ретных данных;

Oактивные угрозы, которые при воздействии вносят изменения в структуру и содержание АС, например удаление данных, их модификация.

По этапам доступа пользователей или программ к ресурсам:

Oугрозы, проявляющиеся на этапе доступа к ресурсам АС, например: угрозы несанкционированного доступа в АС;

Oугрозы, проявляющиеся после разрешения доступа к ресурсам АС, например некорректное использование ресурсов АС.

По способу доступа к ресурсам АС:

Oугрозы, осуществляемые с использованием стандартного пути доступа к ресурсам АС

Oугрозы, осуществляемые с использованием скрытого нестандартного пути доступа к ресурсам АС, например: несанкционированный доступ к ресурсам АС путем использования недокументированных возможностей установленного ПО.

По текущему месту расположения информации, хранимой и обрабатываемой в АС:

Oугрозы доступа к информации, находящейся на внешних запоминающих устройствах, например: копирование конфиденциальной информации с носителей информации;

Oугрозы доступа к информации, находящейся в оперативной памяти, например: чтение остаточной информации из оперативной памяти, доступ к системной области оперативной памяти со стороны прикладных программ;

Oугрозы доступа к информации, циркулирующей в линиях связи, например: незаконное подключение к линиям связи с целью сня-тия информации, отправка модифицированных данных;

Опасные воздействия на автоматизированную систему подразделяются на случайные и преднамеренные.

Причинами случайных воздействий при эксплуатации АС могут быть:

Аварийные ситуации из-за стихийных бедствий и отключений электропитания;

Отказы в обслуживании;

Ошибки в программном обеспечении;

Ошибки в работе обслуживающего персонала и пользователей;

Помехи в линиях связи из-за воздействий внешней среды.

Использование ошибок в программном обеспечении является самым распространённым способом нарушения информационной безопасности информационных систем. В зависимости от сложности ПО, количество ошибок возрастает. Злоумышленники могут находить эти уязвимости и через них получать доступ в информационную систему организации. Чтобы минимизировать эти угрозы необходимо постоянно поддерживать актуальность версий программного обеспечения.

Пред‫намеренные угрозы связаны с целенаправленными действиями злоумышленников. Злоумышленники разделяются на два типа: внутренний злоумышленник и внешний злоумышленник. Внутренний злоумышленник совершает противоправные действия находясь в пределах контролируемой зоны автоматизированной системы и может пользоваться должностными полномочиями для санкционированного доступа к автоматизированной системе. Внешний злоумышленник не имеет доступа в пределы контролируемой зоны, но может действовать одновременно с внутренним злоумышленником для достижения своих целей.

Имеет место три основных угрозы безопасности информации, направленных непосредственно на защищаемую информацию:

Нарушение конфиденциальности - конфиденциальная информация не изменяется, но становится доступна третьим лицам, не допущенным к это информации. При реализации этой угрозы существует большая вероятность разглашения злоумышленником украденной информации, что может повлечь за собой финансовый или репутационный вред. Нарушение целостности защищаемой информации - искажение, изменение или уничтожение информации. Целостность информации может быть нарушена не умышленно, а в следствии некомпетентности или халатности сотрудника предприятия. Так же целостность может быть нарушена злоумышленником для достижения собственных целей. Например, изменение реквизитов счетов в автоматизированной банковской системе с целью перевода денежных средств на счёт злоумышленника или подмена персональных данных клиента организации для получения информации о сотрудничестве клиента с организацией.

Нарушение доступности защищаемой информации или отказ в обслуживании - действия, при которых авторизованный пользователь не может получить доступ к защищаемой информации в следствии таких причин как: отказ аппаратуры, программного обеспечения, выхода из строя локальной вычислительной сети.

После рассмотрения угроз автоматизированных систем можно перейти к анализу угроз информационной системы персональных данных.

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Информационные системы персональных данных представляют собой совокупность информационных и программно-аппаратных элементов, а также информационных технологий, применяемых при обработке персональных данных.

Основными элементами ИСПДн являются:

Персональные данные, содержащиеся в базах данных;

Информационные технологии, применяемые при обработке ПДн;

Технические средства, осуществляющие обработку персональ-ных данных (средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных, средства и системы звукозаписи, звукоусиления, звуковоспроизведения, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации);

Программные средства (операционные системы, системы управле-ния базами данных и т.п.);

Средства защиты информации ИСПДн;

Вспомогательные технические средства и системы - технические средства и системы, их коммуникации, не предназначенные для обработки персональных данных, но размещенные в помещениях, в которых расположены ИСПДн.

Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

К характеристикам информационной системы персональных данных, обусловливающим возникновение УБПДн, можно отнести категорию и объем обрабатываемых в информационной системе персональных данных персональных данных, структуру информационной системы персональных данных, наличие подключений ИСПДн к сетям связи общего пользования и (или) сетям международного информационного обмена, характеристики подсистемы безопасности персональных данных, обрабатываемых в ИСПДн, режимы обработки персональных данных, режимы разграничения прав доступа пользователей ИСПДн, местонахождение и условия размещения технических средств ИСПДн.

Свойства среды распространения информативных сигналов, содержащих защищаемую информацию, характеризуются видом физической среды, в которой распространяются ПДн, и определяются при оценке возможности реализации УБПДн. Возможности источников УБПДн обусловлены совокупностью способов несанкционированного и (или) случайного доступа к ПДн, в результате которого возможно нарушение конфиденциальности (копирование, неправомерное распространение), целостности (уничтожение, изменение) и доступности (блокирование) ПДн.

Угроза безопасности персональных данных реализуется в результате образования канала реализации УБПДн между источником угрозы и носителем (источником) ПДн, что создает условия для нарушения безопасности ПДн.

Основными элементами канала реализации УБПДн (рисунок 1) являются:

Источник УБПДн - субъект, материальный объект или физическое явление, создающие УБПДн;

Среда распространения ПДн или воздействий, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства персональных данных;

Носитель персональных данных - физическое лицо или материальный объект, в том числе физическое поле, в котором ПДн находят свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

Рисунок 1. Обобщенная схема канала реализации угроз безопасности персональных данных

Носители ПДн могут содержать информацию, представленную в следующих видах:

Акустическая (речевая) информация, содержащаяся непосредственно в произносимой речи пользователя ИСПДн при осуществлении им функции голосового ввода ПДн в информационной системе персональных данных, либо воспроизводимая акустическими средствами ИСПДн (если такие функции предусмотрены технологией обработки ПДн), а также содержащаяся в электромагнитных полях и электрических сигналах, которые возникают за счет преобразований акустической информации;

Видовая информация (ВИ), представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн;

Информация, обрабатываемая (циркулирующая) в ИСПДн, в виде электрических, электромагнитных, оптических сигналов;

Информация, обрабатываемая в ИСПДн, представленная в виде бит, байт, файлов и других логических структур.

В целях формирования систематизированного перечня УБПДн при их обработке в ИСПДн и разработке на их основе частных моделей применительно к конкретному виду ИСПДн угрозы классифицируются в соответствии со следующими признаками (рисунок 2):

По виду защищаемой от УБПДн информации, содержащей ПДн;

По видам возможных источников УБПДн;

По типу ИСПДн, на которые направлена реализация УБПДн;

По способу реализации УБПДн;

По виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн);

По используемой уязвимости;

По объекту воздействия.

По видам возможных источников УБПДн выделяются следующие

Классы угроз:

Угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИСПДн, включая пользовате-лей информационной системы персональных данных, реализую-щих угрозы непосредственно в ИСПДн (внутренний нарушитель);

Угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующих уг-розы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель).

Кроме того, угрозы могут возникать в результате внедрения аппаратных закладок и вредоносных программ.

По типу ИСПДн, на которые направлена реализация УБПДн, выделяются следующие классы угроз:

УБПДн, обрабатываемых в ИСПДн на базе автономного автоматизированного рабочего места (АРМ);

УБПДн, обрабатываемых в ИСПДн на базе АРМ, подключенного к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе локальных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе локальных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

УБПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена).

По способам реализации УБПДн выделяются следующие классы угроз:

Угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ);

Угрозы утечки персональных данных по техническим каналам утечки информации;

Угрозы специальных воздействий на ИСПДн.

По виду несанкционированных действий, осуществляемых с ПДн, выделяются следующие классы угроз:

Угрозы, приводящие к нарушению конфиденциальности ПДн (ко-пированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;

Угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение ПДн или их уничтожение;

Угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование ПДн.

По используемой уязвимости выделяются следующие классы угроз:

Угрозы, реализуемые с использованием уязвимости системного ПО;

Угрозы, реализуемые с использованием уязвимости прикладного ПО;

Угрозы, возникающие в результате использования уязвимости, вызванной наличием в АС аппаратной закладки;

Угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

Угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации ТЗИ от НСД;

Угрозы, реализуемые с использованием уязвимостей, обусловли-вающих наличие технических каналов утечки информации;

Угрозы, реализуемые с использованием уязвимостей СЗИ.

По объекту воздействия выделяются следующие классы угроз:

Угрозы безопасности ПДн, обрабатываемых на АРМ;

Угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т.п.);

Угрозы безопасности ПДн, передаваемых по сетям связи;

Угрозы прикладным программам, с помощью которых обрабатываются ПДн;

Угрозы системному ПО, обеспечивающему функционирование ИСПДн.

Реализация одной из УБПДн перечисленных классов или их совокуп-ности может привести к следующим типам последствий для субъектов ПДн:

Значительным негативным последствиям для субъектов ПДн;

Негативным последствиям для субъектов ПДн;

Незначительным негативным последствиям для субъектов ПДн.

Угрозы утечки персональных данных по техническим каналам одно-значно описываются характеристиками источника информации, среды рас-пространения и приемника информативного сигнала, то есть определяются характеристиками технического канала утечки ПДн.

Угрозы, связанные с несанкционированным доступом (НСД), представляются в виде совокупности обобщенных классов возможных источни-ков угроз НСД, уязвимостей программного и аппаратного обеспечения ИСПДн, способов реализации угроз, объектов воздействия (носителей защищаемой информации, директориев, каталогов, файлов с ПДн или самих ПДн) и возможных деструктивных действий. Такое представление описывается следующей формализованной записью (рис. 2).

1.3Общая характеристика источников угроз в информационных системах персональных данных

Угрозы НСД в ИСПДн с применением программных и программно-аппаратных средств реализуются при осуществлении несанкционированного, в том числе случайного, доступа, в результате которого осуществляется нарушение конфиденциальности, целостности и доступности ПДн, и включают в себя:

Угрозы несанкционированного доступа в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения);

Угрозы создания нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных, игнорирования предусмотренных в штатных условиях ограничений на состав и характеристики обрабатываемой информации, искажения (модификации) самих данных и т.п.;

Рисунок 2 Классификация УБПДн, обрабатываемых в информационных системах персональных данных

Угрозы внедрения вредоносных программ (программно-математического воздействия).

Состав элементов описания угроз НСД к информации в ИСПДн приведен на рисунке 3.

Кроме этого, возможны комбинированные угрозы, представляющие собой сочетание указанных угроз. Например, за счет внедрения вредоносных программ могут создаваться условия для НСД в операционную среду компьютера, в том числе путем формирования нетрадиционных информационных каналов доступа.

Угрозы несанкционированного доступа в операционную среду ИСПДн с использованием штатного программного обеспечения разделяются на угрозы непосредственного и удаленного доступа. Угрозы непосредственного доступа осуществляются с использованием программных и программно-аппаратных средств ввода/вывода компьютера. Угрозы удаленного доступа реализуются с использованием протоколов сетевого взаимодействия.

Такие угрозы реализуются относительно ИСПДн как на базе автоматизированного рабочего места, не включенного в сети связи общего пользования, так и применительно ко всем ИСПДн, имеющим подключение к сетям связи общего пользования и сетям международного информационного обмена.

Рисунок 3 Классификация УБПДн, обрабатываемых в информационных системах персональных данных

1.3.1 Общая характеристика источников угроз несанкционированного доступа в информационной системе персональных данных.

Источниками угроз в информационной системой персональных данных могут быть:

Нарушитель;

Носитель вредоносной программы;

Аппаратная закладка.

Угрозы безопасности ПДн, связанные с внедрением аппаратных закладок, определяются в соответствии с нормативным документами Федеральной службы безопасности Российской Федерации в установленном ею порядке.

По наличию права постоянного или разового доступа в контролируемую зону ИСПДн нарушители подразделяются на два типа:

Нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, - внешние нарушители;

Нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, - внутренние нарушители.

Внешними нарушителями могут быть:

Конкурирующие организации;

Недобросовестные партнеры;

Внешние субъекты (физические лица).

Внешний нарушитель имеет следующие возможности:

Осуществлять несанкционированный доступ к каналам связи, выходящим за пределы служебных помещений;

Осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена;

Осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;

Осуществлять несанкционированный доступ через элементы информационной инфраструктуры информационной системой персональных данных, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;

Осуществлять несанкционированный доступ через информационные системы взаимодействующих ведомств, организаций и учреждений при их подключении к ИСПДн.

Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.

К первой категории относятся лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИСПДн.

Иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИСПДн;

Располагать фрагментами информации о топологии ИСПДн и об используемых коммуникационных протоколах и их сервисах;

Располагать именами и вести выявление паролей зарегистрированных пользователей;

Изменять конфигурацию технических средств ИСПДн, вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИСПДн.

Обладает всеми возможностями лиц первой категории;

Знает, по меньшей мере, одно легальное имя доступа;

Обладает всеми необходимыми атрибутами, обеспечивающими доступ к некоторому подмножеству ПДн;

Располагает конфиденциальными данными, к которым имеет доступ.

Его доступ, аутентификация и права по доступу к некоторому подмножеству ПДн должны регламентироваться соответствующими правилами разграничения доступа.

Обладает всеми возможностями лиц первой и второй категорий;

Располагает информацией о топологии ИСПДн на базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств ИСПДн;

Имеет возможность прямого (физического) доступа к фрагментам технических средств ИСПДн.

Обладает полной информацией о системном и прикладном программном обеспечении, используемом в сегменте (фрагменте) ИСПДн;

Обладает полной информацией о технических средствах и конфигурации сегмента (фрагмента) ИСПДн;

Имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте (фрагменте) ИСПДн;

Имеет доступ ко всем техническим средствам сегмента (фрагмента) ИСПДн;

Обладает правами конфигурирования и административной настройки некоторого подмножества технических средств сегмента (фрагмента) ИСПДн.

Полномочиями системного администратора ИСПДн.

Обладает всеми возможностями лиц предыдущих категорий;

Обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;

Обладает полной информацией о технических средствах и конфигурации ИСПДн;

Имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;

Обладает правами конфигурирования и административной настройки технических средств ИСПДн.

Системный администратор выполняет конфигурирование и управление программным обеспечением и оборудованием, включая оборудование, отвечающее за безопасность защищаемого объекта: средства криптографической защиты информации, мониторинга, регистрации, архивации, защиты от НСД.

Обладает всеми возможностями лиц предыдущих категорий;

Обладает полной информацией об ИСПДн;

Имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн;

Не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

Обладает информацией об алгоритмах и программах обработки информации на ИСПДн;

Обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;

Может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.

Обладает возможностями внесения закладок в технические средства ИСПДн на стадии их разработки, внедрения и сопровождения;

Может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты информации в ИСПДн.

Носителем вредоносной программы может быть аппаратный элемент компьютера или программный контейнер. Если вредоносная программа не ассоциируется с какой-либо прикладной программой, то в качестве ее носителя рассматриваются:

Отчуждаемый носитель, то есть дискета, оптический диск, флэш-память;

Встроенные носители информации (жесткие диски, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок, - видеоадаптера, сетевой платы, звуковой платы, модема, устройств ввода/вывода магнитных жестких и оптических дисков, блока питания и т.п., микросхемы прямого доступа к памяти, шин передачи данных, портов ввода/вывода);

Микросхемы внешних устройств (монитора, клавиатуры, принтера, модема, сканера и т.п.).

Если вредоносная программа ассоциируется с какой-либо прикладной программой, с файлами, имеющими определенные расширения или иные атрибуты, с сообщениями, передаваемыми по сети, то ее носителями являются:

Пакеты передаваемых по компьютерной сети сообщений;

Файлы (текстовые, графические, исполняемые и т.д.).

1.3.2 Общая характеристика угроз непосредственного доступа в операционную среду информационной системы персональных данных

Угрозы несанкционированного доступа в операционную среду компьютера и несанкционированного доступа к ПДн связаны с доступом:

К информации и командам, хранящимся в базовой системе ввода/вывода ИСПДн, с возможностью перехвата управления загрузкой операционной системы и получением прав доверенного пользователя;

В операционную среду, то есть в среду функционирования локальной операционной системы отдельного технического средства ИСПДн с возможностью выполнения несанкционированного доступа путем вызова штатных программ операционной системы или запуска специально разработанных программ, реализующих такие действия;

В среду функционирования прикладных программ (например, к локальной системе управления базами данных);

Непосредственно к информации пользователя (к файлам, текстовой, аудио- и графической информации, полям и записям в электронных базах данных) и обусловлены возможностью нарушения ее конфиденциальности, целостности и доступности.

Эти угрозы могут быть реализованы в случае получения физического доступа к ИСПДн или, по крайней мере, к средствам ввода информации в ИСПДн. Их можно объединить по условиям реализации на три группы.

Первая группа включает в себя угрозы, реализуемые в ходе загрузки операционной системы. Эти угрозы безопасности информации направлены на перехват паролей или идентификаторов, модификацию программного обеспечения базовой системы ввода/вывода, перехват управления загрузкой с изменением необходимой технологической информации для получения НСД в операционную среду ИСПДн. Чаще всего такие угрозы реализуются с использованием отчуждаемых носителей информации.

Вторая группа - угрозы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем. Эти угрозы, как правило, направлены на выполнение непосредственно несанкционированного доступа к информации. При получении доступа в операционную среду нарушитель может воспользоваться как стандартными функциями операционной системы или какой-либо прикладной программы общего пользования (например, системы управления базами данных), так и специально созданными для выполнения несанкционированного доступа программами, например:

Программами просмотра и модификации реестра;

Программами поиска текстов в текстовых файлах по ключевым словам и копирования;

Специальными программами просмотра и копирования записей в базах данных;

Программами быстрого просмотра графических файлов, их редактирования или копирования;

Программами поддержки возможностей реконфигурации программной среды (настройки ИСПДн в интересах нарушителя).

Наконец, третья группа включает в себя угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ. Большая часть таких угроз - это угрозы внедрения вредоносных программ.

1.3.3 Общая характеристика угроз безопасности персональных данных, реализуемых с использованием протоколов межсетевого взаимодействия

Если ИСПДн реализована на базе локальной или распределенной информационной системы, то в ней могут быть реализованы угрозы безопасности информации путем использования протоколов межсетевого взаимодействия. При этом может обеспечиваться НСД к ПДн или реализовываться угроза отказа в обслуживания. Особенно опасны угрозы, когда ИСПДн представляет собой распределенную информационную систему, подключенную к сетям общего пользования и (или) сетям международного информационного обмена. Классификационная схема угроз, реализуемых по сети, приведена на рисунке 4. В ее основу положено семь следующих первичных признаков классификации.

Рисунок 4 Классификационная схема угроз с использованием протоколов межсетевого взаимодействия

1. Характер угрозы. По этому признаку угрозы могут быть пассивные и активные. Пассивная угроза - это угроза, при реализации которой не оказывается непосредственное влияние на работу ИСПДн, но могут быть нарушены установленные правила разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Анализ сетевого трафика», направленная на прослушивание каналов связи и перехват передаваемой информации. Активная угроза - это угроза, связанная с воздействием на ресурсы ИСПДн, при реализации которой оказывается непосредственное влияние на работу системы (изменение конфигурации, нарушение работоспособности и т.д.), и с нарушением установленных правил разграничения доступа к ПДн или сетевым ресурсам. Примером таких угроз является угроза «Отказ в обслуживании», реализуемая как «шторм TCP-запросов».

2. Цель реализации угрозы. По этому признаку угрозы могут быть направлены на нарушение конфиденциальности, целостности и доступности информации (в том числе на нарушение работоспособности ИСПДн или ее элементов).

3. Условие начала осуществления процесса реализации угрозы. По этому признаку может реализовываться угроза:

По запросу от объекта, относительно которого реализуется угроза. В этом случае нарушитель ожидает передачи запроса определенного типа, который и будет условием начала осуществления несанкционированного доступа;

По наступлению ожидаемого события на объекте, относительно которого реализуется угроза. В этом случае нарушитель осуществляет постоянное наблюдение за состоянием операционной системы ИСПДн и при возникновении определенного события в этой системе начинает несанкционированный доступ;

Безусловное воздействие. В этом случае начало осуществления несанкционированного доступа безусловно по отношению к цели доступа, то есть угроза реализуется немедленно и безотносительно к состоянию системы.

4. Наличие обратной связи с ИСПДн. По этому признаку процесс реализации угрозы может быть с обратной связью и без обратной связи. Угроза, осуществляемая при наличии обратной связи с информационной системой персональных данных, характеризуется тем, что на некоторые запросы, переданные на ИСПДн, нарушителю требуется получить ответ. Следовательно, между нарушителем и информационной системой персональных данных существует обратная связь, которая позволяет нарушителю адекватно реагировать на все изменения, происходящие в ИСПДн. В отличие от угроз, реализуемых при наличии обратной связи с информационной системой персональных данных, при реализации угроз без обратной связи не требуется реагировать на какие-либо изменения, происходящие в ИСПДн.

5. Расположение нарушителя относительно ИСПДн. В соответствии с этим признаком угроза реализуется как внутрисегментно, так и межсегментно.

Сегмент сети - физическое объединение хостов (технических средств ИСПДн или коммуникационных элементов, имеющих сетевой адрес). Например, сегмент информационной системой персональных данных образует совокупность хостов, подключенных к серверу по схеме «общая шина». В случае, когда имеет место внутрисегментная угроза, нарушитель имеет физический доступ к аппаратным элементам ИСПДн. Если имеет место межсегментная угроза, то нарушитель располагается вне ИСПДн, реализуя угрозу из другой сети или из другого сегмента информационной системой персональных данных.

6. Уровень эталонной модели взаимодействия открытых систем (ISO/OSI), на котором реализуется угроза. По этому признаку угроза может реализовываться на физическом, канальном, сетевом, транспортном, сеансовом, представительном и прикладном уровне модели ISO/OSI.

7. Соотношение количества нарушителей и элементов ИСПДн, относительно которых реализуется угроза. По этому признаку угроза может быть отнесена к классу угроз, реализуемых одним нарушителем относительно одного технического средства ИСПДн (угроза «один к одному»), сразу относительно нескольких технических средств ИСПДн (угроза «один ко многим») или несколькими нарушителями с разных компьютеров относительно одного или нескольких технических средств ИСПДн (распределенные или комбинированные угрозы).

С учётом проведённой классификации выделим основные типы атак на информационную систему персональных данных:

1.Анализ сетевого трафика.

Эта угроза реализуется с помощью специального программного обеспечения-анализатора пакетов, перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль. В ходе реализации угрозы нарушитель изучает логику работы сети - то есть стремится получить однозначное соответствие событий, происходящих в системе, и команд, пересылаемых при всём этом хостами, в момент появления данных событий. В дальнейшем это позволяет злоумышленнику на основе задания соответствующих команд получить, привилегированные права на действия в системе или расширить свои полномочия в ней, перехватить поток передаваемых данных, которыми обмениваются компоненты сетевой операционной системы, для извлечения конфиденциальной или идентификационной информации, ее подмены и модификации.

2.Сканирование сети.

Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них. Цель - выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.

3.Угроза выявления пароля.

Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети и перехват пакетов. В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя точку входа для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

4.Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа.

Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов и пользователей. Под доверенным объектом понимается объект сети (компьютер, межсетевой экран, маршрутизатор и т.п.), легально подключенный к серверу. Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения. Процесс реализации с установлением виртуального соединения состоит в присвоении прав доверенного субъекта взаимодействия, что позволяет нарушителю вести сеанс работы с объектом сети от имени доверенного субъекта. Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений. Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств (например, от имени маршрутизаторов) об изменении маршрутно-адресных данных.

В результате реализации угрозы нарушитель получает права доступа, установленные пользователем для доверенного абонента, к техническому средству ИСПДн.

5.Навязывание ложного маршрута сети.

Данная угроза реализуется одним из двух способов: путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, из-за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть злоумышленника, где можно войти в операционную среду технического средства в составе ИСПДн. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации и управления сетью для внесения изменений в маршрутно-адресные таблицы. При этом нарушителю необходимо послать от имени сетевого управляющего устройства (например, маршрутизатора) управляющее сообщение.

6.Внедрение ложного объекта сети.

Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае, если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска, заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети

7.Отказ в обслуживании.

Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты. Могут быть выделены несколько разновидностей таких угроз:

Скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПДн на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить: направленный шторм эхо-запросов по протоколу ICMP, шторм запросов на установление TCP-соединений, шторм запросов к FTP-серверу;

Явный отказ в обслуживании, вызванный исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из-за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов, дискового пространства памяти и т.д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов, направленный шторм, шторм сообщений почтовому серверу;

Явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных или идентификационной и аутентификационной информации;

Явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами или имеющих длину, превышающую максимально допустимый размер, что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена. Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПДн в ИСПДн, передача с одного адреса такого количества запросов на подключение к техническому средству в составе ИСПДн, какое максимально может обработать трафик, что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера из-за невозможности системы заниматься ничем другим, кроме обработки запросов.

8.Удалённый запуск приложений.

Угроза заключается в стремлении запустить на хосте ИСПДн различное предварительно внедренное вредоносные программное обеспечение: программы-закладки, вирусы, «сетевые шпионы», основная цель которого - нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста. Кроме того, возможен несанкционированный запуск прикладных программ пользователей для несанкционированного получения необходимых нарушителю данных, для запуска управляемых прикладной программой процессов и др. Выделяют три подкласса данных угроз:

Распространение файлов, содержащих несанкционированный исполняемый код;

Удаленный запуск приложения путем переполнения буфера приложений-серверов;

Удаленный запуск приложения путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами.

Типовые угрозы первого из указанных подклассов основываются на активизации распространяемых файлов при случайном обращении к ним. Примерами таких файлов могут служить: файлы, содержащие исполняемый код в виде макрокоманд (документы Microsoft Word, Excel), html-документы, содержащие исполняемый код в виде элементов ActiveX, Java-апплетов, интерпретируемых скриптов (например, вредоносное ПО на JavaScript); файлы, содержащие исполняемые коды программ.

Для распространения файлов могут ис‫пользоваться службы электронной почты, передачи файлов, сетевой файловой системы.

При угрозах второго подкласса используются недостатки программ, реализующих сетевые сервисы (в частности, отсутствие контроля переполнения буфера). Настройкой системных регистров иногда удается переключить процессор после прерывания, вызванного переполнением буфера, на исполнение кода, содержащегося за границей буфера.

При угрозах третьего под‫класса нарушитель использует возможности удаленного управления системой, предоставляемые скрытыми компонентами либо штатными средствами управления и администрирования компьютерных сетей. В результате их использования удается добиться удаленного контроля над станцией в сети. Схематично основные этапы работы этих программ выглядят следующим образом: инсталляция в памяти; ожидание запроса с удаленного хоста, на котором запущена клиент-программа, и обмен с ней сообщениями о готовности; передача перехваченной информации клиенту или предоставление ему контроля над атакуемым компьютером. Возможные последствия от реализации угроз различных классов приведены в таблице 1

Таблица 1. Возможные последствия реализации угроз различных классов

№ п/п	Тип атаки		Возможные последствия
1	Анализ сетевого трафика		Исследование характеристик сетевого трафика, перехват передаваемых данных, в том числе идентификаторов и паролейпользователей
2	Сканирование сети		Определение протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, активных сетевых сервисов, идентификаторов и паролей пользователей
3	«Парольная» атака		Выполнение любого деструктивного действия, связанного с получением несанкционированного доступа
4	Подмена доверенного объекта сети		Изменение трассы прохождения сообщений, несанкционированное изменение маршрутно-адресных данных. Несанкционированныйдоступ к сетевым ресурсам, навязывание ложной информации
5	Навязывание ложного маршрута		Несанкционированное изменение маршрутно-адресных данных, анализ и модификация передаваемых данных, навязывание ложных сообщений
6	Внедрение ложного объекта сети		Перехват и просмотр трафика. Несанкционированный доступ к сетевым ресурсам, навязывание ложной информации
7	Отказ в обслуживании	Частичное исчерпание ресурсов	Снижение пропускной способности каналов связи, производительности сетевых устройств. Снижение производительности серверных приложений.
		Полное исчерпание ресурсов	Невозможность передачи сообщений из-за отсутствия доступа к среде передачи, отказ в установлении соединения. Отказ в предоставлении сервиса.
		Нарушение логической связанности между атрибутами, данными, объектами	Невозможность передачи сообщений из-за отсутствия корректных маршрутно-адресных данных. Невозможность получения услуг ввиду несанкционированноймодификации идентификаторов, паролей и т.п.
		Использование ошибок в программах	Нарушение работоспособности сетевых устройств.
8	Удалённыйзапуск приложений	Путём рассылки файлов, содержащих деструктивный исполняемы код, вирусное заражение.	Нарушение конфиденциальности, целостности, доступности информации.
		Путём переполнения буфера серверного приложения
		Путём использования возможностей удалённого управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами	Скрытое управление системой.

Процесс реализации угрозы в общем случае состоит из четырех этапов:

Сбора информации;

Вторжения (проникновения в операционную среду);

Осуществления несанкционированного доступа;

Ликвидации следов несанкционированного доступа.

На этапе сбора информации нарушителя могут интересовать различные сведения об ИСПДн, в том числе:

О топологии сети, в которой функционирует система. При этом может исследоваться область вокруг сети (например, нарушителя могут интересовать адреса доверенных, но менее защищенных хостов). Существуют утилиты, осуществляющие параллельное определение доступности хостов, которые способны просканировать большую область адресного пространства на предмет доступности хостов за короткий промежуток времени.;

О типе операционной системы (ОС) в ИСПДн. Можно отметить метод определения типа ОС, как простейший запрос на установление соединения по протоколу удаленного доступа Тelnet, в результате которого по «внешнему виду» ответа можно определить тип ОС хоста. Наличие определенных сервисов также может служить дополнительным признаком для определения типа ОС хоста;

О функционирующих на хостах сервисах. Определение сервисов, исполняемых на хосте, основано на методе выявления «открытых портов», направленном на сбор информации о доступности хоста.

На этапе вторжения исследуется наличие типовых уязвимостей в системных сервисах или ошибок в администрировании системы. Успешным результатом использования уязвимостей обычно является получение процессом нарушителя привилегированного режима выполнения (доступа к привилегированному режиму выполнения процессора), внесение в систему учетной записи незаконного пользователя, получение файла паролей или нарушение работоспособности атакуемого хоста.

Этот этап развития угрозы, как правило, является многофазным. К фазам процесса реализации угрозы могут относиться, например: установление связи с хостом, относительно которого реализуется угроза; выявление уязвимости; внедрение вредоносной программы в интересах расширения прав и др.

Угрозы, реализуемые на этапе вторжения, подразделяются по уровням стека протоколов TCP/IP, поскольку формируются на сетевом, транспортном или прикладном уровне в зависимости от используемого механизма вторжения. К типовым угрозам, реализуемым на сетевом и транспортном уровнях, относятся такие как:

Угроза, направленная на подмену доверенного объекта;

Угроза, направленная на создание в сети ложного маршрута;

Угрозы, направленные на создание ложного объекта с использованием недостатков алгоритмов удаленного поиска;

Угрозы типа «отказ в обслуживании».

К типовым угрозам, реализуемым на прикладном уровне, относятся угрозы, направленные на несанкционированный запуск приложений, угрозы, реализация которых связана с внедрением программных закладок, с выявлением паролей доступа в сеть или к определенному хосту и т.д. Если реализация угрозы не принесла нарушителю наивысших прав доступа в системе, возможны попытки расширения этих прав до максимально возможного уровня. Для этого могут использоваться уязвимости не только сетевых сервисов, но и уязвимости системного программного обеспечения хостов ИСПдн.

На этапе реализации несанкционированного доступа осуществляется достижение цели реализации угрозы:

Нарушение конфиденциальности (копирование, неправомерное распространение);

Нарушение целостности (уничтожение, изменение);

Нарушение доступности (блокирование).

На этом же этапе, после указанных действий, как правило, формируется так называемый «черный вход» в виде одного из сервисов, обслуживающих некоторый порт и выполняющих команды нарушителя. «Черный вход» оставляется в системе в интересах обеспечения: возможности получить доступ к хосту, даже если администратор устранит использованную для успешной реализации угрозы уязвимость; возможности получить доступ к хосту как можно более скрытно; возможности получить доступ к хосту быстро (не повторяя заново процесс реализации угрозы). «Черный вход» позволяет нарушителю внедрить в сеть или на определенный хост вредоносную программу, например, «анализатор паролей» - программу, выделяющую пользовательские идентификаторы и пароли из сетевого трафика при работе протоколов высокого уровня). Объектами внедрения вредоносных программ могут быть программы аутентификации и идентификации, сетевые сервисы, ядро операционной системы, файловая система, библиотеки и т.д.

Наконец, на этапе ликвидации следов реализации угрозы осуществляется попытка уничтожения следов действий нарушителя. При этом удаляются соответствующие записи из всех возможных журналов аудита, в том числе записи о факте сбора информации.

1.4 Характеристика Банка и его деятельности

ПАО «Ситибанк» - финансово-кредитная организация Банковской системы Российской Федерации, осуществляющая финансовые операции с деньгами и ценными бумагами. Банк оказывает финансовые услуги физическим и юридическим лицам.

Основные направления деятельности — кредитование юридических и частных лиц, обслуживание счетов корпоративных клиентов, привлечение средств населения во вклады, операции на валютном и межбанковском рынках, вложения в облигации и векселя.

Банк осуществляет свою финансовую деятельность с 1 августа 1990 года, на основе Генеральной лицензии Банка России на осуществление банковской деятельности № 356.

В Банка имеется три информационные системы персональных данных:

Информационная система персональных данных сотрудников Банка - позволяет идентифицировать 243 субъекта персональных данных;

Информационная система персональных данных системы контроля и управления доступом - позволяет идентифицировать 243 субъекта персональных данных;

Информационная система персональных данных автоматизированной банковской системы - позволяет идентифицировать 9681 субъекта персональных данных.

1.5 Базы персональных данных

В Банке необходимо защищать сразу несколько информационных персональных данных, а именно:

Информационную систему персональных данных сотрудников Банка;

Информационную систему персональных данных системы контроля и управления доступом;

Информационную систему персональных данных автоматизированной банковской системы.

1.5.1 Информационная система персональных данных сотрудников организации

ИСПДн сотрудников Банка используется для начисления сотрудникам Банка заработной платы, автоматизации работы сотрудников отдела по работе с персоналом, автоматизации работы сотрудников бухгалтерии Банка и решения других кадровых и бухгалтерских вопросов. Состоит из базы данных 1С «Зарплата и управление персоналом», расположено на отдельном автоматизированном рабочем месте с возможностью подключения к рабочему месту по сети. АРМ расположен в кабинете отдела по работе с персоналом. На автоматизированном рабочем месте установлена операционная система Microsoft Windows XP. Подключение к сети Интернет на АРМ отсутствует.

Фамилия, имя, отчество;

Дата рождения;

Серия и номер паспорта;

Номер телефона;

Право работать с программным обеспечением 1С «Зарплата и управление персоналом» и базой данных персональных данных имеют:

Главный бухгалтер;

Заместитель главного бухгалтера;

Начальник отдела по работе с персоналом;

Сотрудник, ответственный за начисление заработной платы сотрудникам Банка.

Ручное изменение данных;

1.5.2 Информационная система персональных данных системы контроля и управления доступом

Информационная система персональных данных системы контроля и управления доступом используется для хранения персональных данных сотрудников и посетителей Банка, имеющих доступ в различные помещения Банка. ИСПДН системы контроля и управления доступом используется отделом безопасности Банка. База данных ИСПДн установлена на АРМ, находящимся в комнате охраны отдела безопасности. На АРМ ИСПДн установлена операционная система Microsoft Windows 7, в качестве системы управления базой данных используется СУБД Microsoft SQL Server 2012. АРМ ИСПДн не имеет доступ в локальную сеть, а также не имеет доступ в сеть Интернет.

В ИСПДн хранятся следующие персональные данные:

Фамилия, имя, отчество;

Фотография сотрудника.

Право работать с ИСПДн системы контроля и управления доступом имеют:

Начальник отдела безопасности Банка;

Заместитель начальника отдела безопасности Банка;

Сотрудники отдела безопасности Банка.

Доступ к автоматизированному рабочему месту системы контроля и управления доступом имеют:

Системные администраторы, для администрирования автоматизированного рабочего места и программного обеспечения 1С «Зарплата и управление персоналом» и базы данных персональных данных;

Сотрудники подразделения, ответственного за информационную безопасность Банка, для администрирования системы защиты информации АРМ.

В ИСПДн сотрудников банка могут выполняться следующие функции:

Автоматизированное удаление персональных данных;

Ручное удаление персональных данных;

Ручное изменение данных;

Ручное добавление персональных данных;

Автоматизированный поиск персональных данных.

В информационной системе персональных данных хранятся данные, позволяющие идентифицировать 243 сотрудника Банка.

После достижения целей обработки персональных данных сотрудника, его персональные данные удаляются из ИСПДн.

1.5.3 Информационная система персональных данных автоматизированной банковской системы

Информационная система персональных данных автоматизированной банковской системы предназначена для автоматизации работы большинства работников банка. Она позволяет повысить производительность труда сотрудников. В качестве автоматизированной банковской системы используется комплекс программных продуктов «ЦФТ-Банк», произведённых группой компаний «Центр финансовых технологий». В качестве системы управления базой данных используется программное обеспечение компании Oracle. ИСПДн развёрнута на сервере Банка, операционная система установленная на сервере - Microsoft Windows Server 2008 R2. ИСПДн автоматизированной банковской системы подключена к локальной вычислительной сети банка, но не имеет доступ в сеть Интернет. Подключение пользователей к базе ИСПДн производится с помощью программных продуктов «ЦФТ-Банк» с выделенных виртуальных терминалов. Каждый пользователь имеет в ИСПДн свой логин и пароль.

Персональные данные, обрабатываемые в ИСПДн:

Фамилия, имя, отчество;

Дата рождения;

Серия и номер паспорта;

Номер телефона;

Право работать с программным обеспечением «ЦФТ-Банк» и базой данных персональных данных имеют:

Сотрудники бухгалтерии;

Сотрудники кредитного отдела;

Сотрудники отдела риск-менеджмента;

Сотрудники отдела залогов;

Персональные менеджеры;

Клиентские менеджеры;

Сотрудники отдела безопасности.

Доступ к автоматизированному рабочему месту имеют:

Системные администраторы, для администрирования сервера, базы данных персональных данных и программного обеспечения «ЦФТ-Банк»;

Сотрудники подразделения, ответственного за информационную безопасность Банка, для администрирования сервера, базы данных персональных данных и программного обеспечения «ЦФТ-Банк».

В ИСПДн сотрудников банка могут выполняться следующие функции:

Автоматизированное удаление персональных данных;

Ручное удаление персональных данных;

Ручное добавление персональных данных;

Ручное изменение данных;

Автоматизированный поиск персональных данных.

В информационной системе персональных данных хранятся данные, позволяющие идентифицировать 243 сотрудника Банка и 9438 клиентов Банка.

После достижения целей обработки персональных данных сотрудника, его персональные данные удаляются из ИСПДн.

1.6 Устройство и угрозы локальной вычислительной сети Банка

В банке развёрнута сеть типа клиент-сервер. Имя домена, в котором состоят рабочие станции пользователей - vitabank.ru. Всего в банке 243 автоматизированных рабочих мест пользователей, а также 10 виртуальных серверов и 15 виртуальных рабочих станций. За работоспособностью сети следит отдел системного администрирования. Сеть построена преимущественно на сетевом оборудовании корпорации Cisco. Связь с дополнительными офисами поддерживается с помощью VPN-каналов с использованием сети Интернет через действующий и резервный каналы интернет-провайдера. Обмен информацией с Центральным Банком происходит через выделенный канал, а также через обычные каналы связи.

Доступ в интернет имеют все пользователи на локальных рабочих станциях, но работа с документами и информационными системами Банка ведётся только с использованием виртуальных рабочих станций, на которых доступ в сеть Интернет ограничен и загружаются только локальные ресурсы Банка.

Доступ в сеть Интернет с локальных рабочих станций разграничен группами доступа:

Минимальный доступ - доступ только на ресурсы федеральных служб, на сайт Банка России;

Обычный доступ - разрешены все ресурсы кроме развлекательных, социальных сетей, запрещён просмотр видео и загрузка файлов.

Полный доступ - разрешены все ресурсы и загрузка файлов;

Фильтрация ресурсов по группам доступа реализуется proxy-сервером.

Ниже представлена схема сети ПАО «Ситибанк» (рис. 5).

1.7 Средства защиты информации

Средства защиты информации - это совокупность инженерно-технических, электрических, электронных, оптических и других устройств и приспособлений, приборов и технических систем, а также иных элементов, используемых для решения различных задач по защите информации, в том числе предупреждения утечки и обеспечения безопасности защищаемой информации.

Средства защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

Технические (аппаратные) средства. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они препятствуют доступу к информации, в том числе с помощью её маскировки. К аппаратным средствам относятся: генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны - недостаточная гибкость, относительно большие объём и масса, высокая стоимость.

Рисунок 5 Схема сети ПАО «Ситибанк»

Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств - универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки - ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.

Все служебные помещения Банка контролируются службой охраны с помощью системы управления и контроля доступом, а так же системы видеонаблюдения. Вход в служебные помещения банка осуществляется при наличии соответствующих разрешений в системе контроля и управления доступом. Сотруднику, при устройстве на работу, или посетителю Банка, при необходимости доступа в служебные помещения Банка, выдаются бесконтактные Proximity-карты, на которых записывается идентификатор пользователя и при попытке доступа в служебное помещение этот идентификатор передаётся на систему контроля и управления доступом. Система сопоставляет список помещений в которые разрешен вход пользователю карты с помещением в которое он хочет попасть и разрешает или ограничивает проход в помещение.

На рабочих станциях Банка установлено антивирусное программное обеспечение Kaspersky Endpoint Security 10, имеющее сертификат соответствия ФСТЭК России № 3025, действительный до 25 ноября 2019 года, обновление баз сигнатур вирусов производится централизованно серверной частью антивируса, установленной на сервере, находящимся в Банке.

Для организации электронного документооборота с Центральным Банком органами в Банке проведена выделенная линия связи.

Для организации электронного документооборота с федеральными службами (Федеральная налоговая служба, Пенсионный фонд России, Служба финансового мониторинга и т.д.) используется электронная подпись. Для работы с электронной подписью на локальных рабочих станциях исполнителей, ответственных за документооборот с федеральными службами, установлено специализированное программное обеспечение:

Крипто-Про CSP;

Крипто-АРМ;

СКЗИ Верба-OW;

СКЗИ Валидата;

Signal-COM CSP.

Использование определённого программного обеспечения исполнителем зависит от требований определённого Федерального органа.

На границе локальной сети Банка установлен межсетевой экран Cisco ASA 5512, производства корпорации Cisco. Так же критичные банковские системы (АРМ Клиента Банка России, SWIFT, ИСПДн Банка) дополнительно отделены от локальной сети Банка межсетевыми экранами Cisco. VPN-туннели для связи с дополнительным офисом организованы с помощью межсетевых экранов Cisco.

1.8 Организационные меры защиты

Согласно исследованию, проведённому британской аудиторско-консалтинговой компанией Ernst&Yong в 2014 году, 69 процентов компаний, участвовавших в исследовании, считают сотрудников компании основным источником угроз информационной безопасности.

Сотрудники компании могут по незнанию или своей некомпетентности в сфере информационной безопасности разгласить критическую информацию, необходимую для совершения целенаправленных атак на организацию. Так же злоумышленники рассылают фишинговые сообщения с вложенным вредоносным программным обеспечением, позволяющим злоумышленникам получить контроль над рабочим местом сотрудника и с этого рабочего места провести атаку на информационные системы Банка.

Поэтому в Банке отдел информационной безопасности обязан проводить работу по обучению сотрудников Банка основополагающим принципам информационной безопасности, осуществлять контроль за соблюдением требований безопасности при работе на рабочих местах, информировать сотрудников Банка о новых угрозах информационной безопасности с которыми они могут столкнуться.

В ПАО «Ситибанк» все сотрудники проходят вводный инструктаж при устройстве на работу. Так же новые сотрудники, сотрудники переведённые из других структурных подразделений проходят первичный инструктаж в отделе информационной безопасности, в ходе которого сотрудникам разъясняются основные правила информационной безопасности при работе с информационными системами Банка, правила безопасности при работе в сети Интернет, правила безопасности при работе с электронной почтой Банка, парольная политика Банка.

Сотрудники отдела информационной безопасности Банка участвуют при разработке и внедрении новых информационных систем Банка на всех уровнях разработки систем.

На этапе проектирования системы и составления технического задания на разработки информационной системы отдел информационной безопасности предъявляет требования по безопасности к системе.

На этапе разработки информационной системы сотрудники отдела информационной безопасности изучают текущую документацию, тестируют программное обеспечение на возможные уязвимости в программном коде.

На этапе тестирования и ввода в эксплуатацию информационной системы отдел информационной безопасности активно участвует в тестировании информационной системы, проводит тесты на проникновение в информационную систему и тесты отказа в обслуживании, так же распределяет права доступа к информационной системе.

На этапе функционирования уже введённой в эксплуатацию информационной системы отдел информационной безопасности проводит мониторинг, выявляет подозрительную активность.

На этапе доработки информационной системы отдел информационной безопасности, основываясь на данных, полученных при эксплуатации информационной системы, выстраивает новые требования к информационной системе.

Отдел информационной безопасности в ПАО «Ситибанк» согласовывает все заявки на доступ к ресурсам в сети Интернет, а также ко внутренним ресурсам Банка.

1.9 Цикл обработки персональных данных

Персональные данные, хранящиеся в Банке получены только законным путём.

Полученные персональные данные сотрудника Банка обрабатываются только для выполнения Банком своих обязанностей по заключенному с сотрудником договору. Персональные данные сотрудника Банка получены от самого работника. Все сотрудники Банка ознакомлены под роспись с документами Банка, устанавливающими порядок обработки персональных данных сотрудников Банка, а также об их правах и обязанностях в этой области.

Персональные данные сотрудников банка, хранящиеся в ИСПДн системы контроля и управления доступом, предназначены для допуска сотрудника на рабочее место.

Персональные данные клиентов Банка, хранящиеся в ИСПДн автоматизированной банковской системы, обрабатываются в ней только для исполнения Банком обязанностей по договору, заключенному с клиентом Банка. Так же в ИСПДн автоматизированной банковской системы обрабатываются персональные данные лиц, не заключавших договор с Банком, но полученные законным путём, например персональные данные полученные и обрабатываемые по требованию Федерального закона №115-ФЗ от 7 августа 2001 года «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

После достижения целей обработки персональных данных они уничтожаются или обезличиваются.

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ

В ПАО «Ситибанк» система защиты персональных данных регламентирована как законами государственного уровня, так и локальными нормативными актами (например, «Правилами дистанционного банковского обслуживания юридических лиц и индивидуальных предпринимателей в ПАО «СИТИБАНК»» в Приложении 1).

ПАО «Ситибанк» система защиты персональных данных поставлена в достаточной степени, чтобы избежать простых атак типа фишинга и заражения рабочих станций вирусами-шифровальщиками, но она не способна противостоять таргетированным атакам, направленным на кражу персональных данных.

Мной была проведена работа по перестроению и модернизации системы защиты персональных данных.

2.1 Мероприятия по защите локальной вычислительной сети банка и информационной системы персональных данных

В сети ПАО «Ситибанк» есть ярко выраженные слабые места, используя которые злоумышленники могут получить полный доступ к сети банка и перехватить над ней контроль, после чего смогут беспрепятственно украсть, изменить или удалить персональные данные клиентов или сотрудников Банка.

Так как сеть Банка представляет собой один единственный сегмент, то для минимизации рисков проникновения злоумышленников в сеть Банка, её необходимо разделить на несколько сегментов с использованием технологии виртуальных сетей.

Концепция технологии построения виртуальных сетей (VLAN) заключается в том, что администратор сети может создавать в ней логические группы пользователей независимо от того, к какому участку сети они подключены. Объединять пользователей в логические рабочие группы можно, например, по признакам общности выполняемой работы или совместно решаемой задачи. При этом группы пользователей могут взаимодействовать между собой или быть совершенно невидимыми друг для друга. Членство в группе можно изменять, и пользователь может быть членом нескольких логических групп. Виртуальные сети формируют логические широковещательные домены, ограничивая прохождение широковещательных пакетов по сети, так же, как и маршрутизаторы, изолирующие широковещательный трафик между сегментами сети. Таким образом, виртуальная сеть предотвращает возникновение широковещательных штормов, так как широковещательные сообщения ограничены членами виртуальной сети и не могут быть получены членами других виртуальных сетей. Виртуальные сети могут разрешать доступ членам другой виртуальной сети в случаях, где это необходимо для доступа в общие ресурсы, типа файловых серверов или серверов приложений, или где общая задача, требует взаимодействия различных служб, например кредитных и расчетных подразделений. Виртуальные сети могут создаваться по признакам портов коммутатора, физических адресов устройств, включаемых в сеть и логических адресов протоколов третьего уровня модели OSI. Преимущество виртуальных сетей состоит в высокой скорости работы коммутаторов, так как современные коммутаторы содержат специализированный набор интегральных схем специально разработанных для решения задач коммутации на втором уровне модели OSI. Виртуальные сети третьего уровня в наибольшей мерепросты в установке, если не требуется переконфигурация клиентов сети, в наибольшей мересложны в администрировании, т.к. любое действие с клиентом сети требует либо переконфигурации самого клиента либо маршрутизатора, и наименее гибки, так как для связи виртуальных сетей требуется маршрутизация, что увеличивает стоимость системы и снижает ее производительность.

Таким образом, создание виртуальных сетей в Банке предотвратит атаки типа ARP-spoofing. Злоумышленники не смогут перехватить информацию, проходящую между сервером и клиентом. При проникновении в сеть злоумышленники смогут просканировать не всю сеть Банка, а только сегмент сети в который они получили доступ.

При проникновении в сеть Банка злоумышленники в первую очередь будут сканировать сеть для поиска критически важных узлов сети. Этими узлами являются:

Контроллер домена;

Proxy сервер;

Почтовый сервер;

Файловый сервер;

Сервер приложений.

Так как в Банке локальная сеть будет организована с использованием технологии виртуальных сетей, злоумышленники не смогут без дополнительных действий обнаружить эти узлы. Для того чтобы усложнить злоумышленникам поиск критически важных узлов локальной сети и запутать их, а в дальнейшем изучить стратегию злоумышленников при проведении атаки в сети нужно использовать ложные объекты, которые будут привлекать злоумышленников. Эти объекты называются Honeypot.

Задача Honeypot - подвергнуться атаке или несанкционированному исследованию, что впоследствии позволит изучить стратегию злоумышленников и определить перечень средств, с помощью которых могут быть нанесены удары по реально существующим объектам безопасности. Реализация Honeypot может представлять собой как специальный выделенный сервер, так и один сетевой сервис, задача которого - привлечь внимание взломщиков.

Honeypot представляет собой ресурс, который без какого-либо воздействия на него ничего не делает. Honeypot собирает небольшое количество информации, после анализа которой строится статистика методов, которыми пользуются взломщики, а также определяется наличие каких-либо новых решений, которые впоследствии будут применяться в борьбе с ними.

Например, веб-сервер, который не имеет имени и фактически никому не известен, не должен, соответственно, иметь и гостей, заходящих на него, поэтому все лица, которые пытаются на него проникнуть, являются потенциальными взломщиками. Honeypot собирает информацию о характере поведения этих взломщиков и об их способах воздействия на сервер. После чего специалисты отдела информационной безопасности собирают информацию об атаке злоумышленников на ресурс и разрабатывают стратегии отражения атак в будущем.

Для контроля входящей из сети Интернет информации и обнаружения угроз информационной безопасности на этапе их передачи по сети, а также обнаружения активности злоумышленников, проникнувших в локальную сеть Банка необходимо на границе сети установить систему предотвращения вторжений.

Система предотвращения вторжений - программная или аппаратная система сетевой и компьютерной безопасности, обнаруживающая вторжения или нарушения безопасности и автоматически защищающая от них.

Системы предотвращения вторжений можно рассматривать как продолжение Систем обнаружения вторжений, так как задача отслеживания атак остается одинаковой. При этом, они отличаются в том, что система предотвращения вторжений отслеживает активность в реальном времени и быстро реализует действия по предотвращению атак.

Системы обнаружения и предотвращения вторжений подразделяются на:

Сетевые системы предотвращения вторжений - анализируют трафик, направленный в сеть организации, проходящий в самой сети или направленный к конкретному компьютеру. Системы обнаружения и предотвращения вторжений могут быть реализованы программными или программно-аппаратными методами, устанавливаются на периметре корпоративной сети и иногда внутри нее.

Персональные системы предотвращения вторжений - это программное обеспечение, которое устанавливается на рабочие станции или серверы и позволяет контролировать деятельность приложений, а также отслеживать сетевую активность на наличие возможных атак.

Для развёртывания в сети Банка была выбрана сетевая система предотвращения вторжений.

Рассматривались сетевые системы вторжений компаний IBM, Check Point, Fortinet, Palo Alto, так как заявленный функционал производителей этих систем подходил под требования отдела информационной безопасности Банка.

После развёртывания тестовых стендов и проведения тестирования систем предотвращения вторжений была выбрана система производства компании Check Point, так как она показала наилучшее быстродействие, лучшую подсистему обнаружения вирусного программного обеспечения, передаваемого по локальной сети, лучший инструментарий по протоколированию и журналированию важных событий и цене приобретения.

Система предотвращения вторжений компании IBM была отвержена из-за стоимости устройств, превышающей бюджет отдела информационной безопасности на покупку системы предотвращения вторжений.

Система предотвращения вторжений компании Fortinet была отвержена из-за неполного срабатывания при выполнении сотрудниками отдела информационной безопасности тестов по передаче заражённых файлов и недостаточно информативного инструментария журналирования важных событий.

Система предотвращения вторжений компании Palo Alto была отвержена из-за недостаточно информативного инструментария журналирования важных событий, чрезмерной сложности работы с системой и работе в большей степени как маршрутизатор.

Для внедрения в локальную сеть была выбрана система предотвращения вторжений компании Check Point. Эта система показала высокий уровень обнаружения угроз информационной безопасности, гибкие настройки, возможность расширения функционала за счёт приобретения дополнительных программных модулей, имеет мощную систему журналирования важных событий и мощный инструментарий по предоставлению отчётов о происшествиях, с помощью которого можно гораздо проще расследовать произошедшие инциденты информационной безопасности.

Схема сети ПАО «Ситибанк» с изменённой архитектурой представлена на рисунке 6.

2.2 Программные и аппаратные средства защиты

Так как безопасность персональных данных не может быть обеспечена только защитой сети, потому что злоумышленники, не смотря на все предпринятые меры для защиты сети, могут получить доступ в сеть Банка.

Рисунок 6 Схема сети ПАО «Ситибанк» с дополнительными системами защиты

Для более устойчивой к атакам защите необходимо добавить к устройствам, предназначенным для защиты сети, программные и аппаратные устройства защиты локальных рабочих станций, виртуальных рабочих станций, виртуальных и обычных серверов.

Как известно антивирусные программы не дают полной защиты от вредоносного программного обеспечения, так как работают по принципу сигнатурного анализа. Компания-разработчик антивирусного программного обеспечения имеет в своём штате экспертов, которые отслеживают вирусную активность в сети Интернет, изучают поведение вирусного программного обеспечения на тестовых станциях и создают сигнатуры, которые в последствии рассылаются на компьютеры пользователей посредством обновления баз данных сигнатур антивирусного программного обеспечения. Антивирус, получив обновлённую базу данных сигнатур антивирусного программного обеспечения проверяет файлы на рабочей станции пользователя и ищет признаки вредоносного программного обеспечения, если в процессе проверки такие признаки обнаруживаются, то антивирус сигнализирует об этом и действует в соответствии с настройками, которые установлены пользователем или администратором антивируса. Таким образом, если вредоносное программное обеспечение не обнаружено и не проанализировано экспертами компании-разработчика антивирусного программного обеспечения, то антивирус будет не в состоянии выявить вредоносное программное обеспечение и не предпримет никаких действий, считая проверенный файл безопасным. Поэтому в Банке, для снижения вероятности пропуска в сеть и запуска вредоносного программного обеспечения, был установлен второй контур антивирусной защиты. Так как компании-разработчики антивирусного программного обеспечения в большинстве своём работают отдельно друг от друга, то вредоносное программное обеспечение, пока не обнаруженное одной компанией-разработчиком антивирусного обеспечения, может быть обнаружено другой компанией-разработчиком и на обнаруженную угрозу уже могут быть созданы сигнатуры.

Для реализации такой схемы была создана виртуальная рабочая станция, на которой был установлен антивирус Doctor WEB Enterprise security suit, имеющий сертификат соответствия ФСТЭК России № 2446, действительный до 20 сентября 2017 года. Все файлы, которые сотрудники банка загружали во время своей работы, попадают на эту станцию и проверяются антивирусом. В случае обнаружения вредоносного программного обеспечения антивирус отправляет сотрудникам отдела информационной безопасности письмо с названием угрозы и путём, где хранится зараженный файл. Сотрудники отдела информационной безопасности предпринимают меры по удалению вредоносного программного обеспечения. Если загруженные пользователями файлы проходят проверку антивирусного программного обеспечения, пользователь, загрузивший файл делает заявку в отдел информационной безопасности и сотрудники отдела переносят загруженный файл пользователю.

Также большое количество вредоносного программного обеспечения приходит сотрудникам Банка по электронной почте. Это могут быть и обычные вирусы-шифровальщики, так и вредоносное программное обеспечения, позволяющее злоумышленникам проникнуть на заражённый компьютер сотрудника Банка с помощью удалённого подключения.

Для минимизации рисков таких угроз на почтовый сервер Банка было установлено антивирусное программное обеспечения ClamAW, предназначенное для защиты почтовых серверов.

Для защиты от несанкционированного доступа внутренних злоумышленников, каким-либо образом узнавших пароль пользователя локальной станции, имеющей доступ к информационным системам персональных данных, необходимо установить на локальные рабочие станции пользователей, работающих с информационными системами персональных данных систему защиты информации от несанкционированного доступа.

.

Обучение сотрудников Банка проводится специалистом отдела информационной безопасности.

Сотрудник отдела информационной безопасности проводит обучение в определённом планом подразделении Банка. После проведённого обучения, сотрудники подразделения проходят тесты, в которых подтверждают полученные на обучении знания.

Базовой политикой безопасности регламентируется проведение обучения в каждом подразделении не реже четырёх раз в год.

Так же параллельно с обучением сотрудников, сотрудники отдела информационной безопасности обязаны не реже раза в месяц рассылать всем сотрудникам Банка информационные письма, в которых описываются основные правила безопасности, новые угрозы информационной безопасности Банка, если такие обнаружены.

2.3.2 Порядок доступа сотрудников к ресурсам сети Интернет

В Банке созданы 3 группы доступа в сеть Интернет, но такое разделение доступа неэффективно, поскольку у сотрудника, для выполнения его должностных обязанностей, может возникнуть потребность получить информацию с сетевого ресурса, входящего в группу полного доступа, тогда ему придётся давать полный доступ к сети Интернет, что небезопасно.

Группа 6: скачивание архивов - группа не предоставляет какой-либо доступ к ресурсам сети Интернет;

Группа 7: скачивание исполняемых файлов - группа не предоставляет какой-либо доступ к ресурсам сети Интернет;

Группа 8: полный доступ в сеть Интернет - полный доступ к ресурсам сети Интернет, загрузка любых файлов.

Для получения доступа к ресурсам сети Интернет сотрудник создаёт заявку через систему ServiceDesk и после одобрения руководителем отдела или управления и сотрудником отдела информационной безопасности сотруднику предоставляется доступ к ресурсам сети Интернет согласно запрошенной группы.

2.3.3 Порядок доступа сотрудников к внутрибанковским ресурсам

Основные документы по работе сотрудника находятся на локальном рабочем месте или в автоматизированной системе, в которой он работает. Так же у каждого подразделения Банка на файловом сервере Банка существует раздел, в котором хранится информация, необходимая нескольким сотрудникам подразделения и которая велика по размеру для передачи по электронной почте Банка.

Когда новый сотрудник устраивается на работу в Банк, его прямой руководитель направляет заявку через систему ServiceDesk в отдел системного администрирования о предоставлении доступа к внутрибанковскому ресурсу и после одобрения заявки сотрудником отдела информационной безопасности сотрудник отдела системного администрирования открывает новому сотруднику доступ к запрошенному ресурсу.

Нередко возникают ситуации, в которых работа нескольких подразделений Банка пересекается и для обмена информацией этим подразделениям нужен отдельный на файловом сервере Банка.

Для создания этого раздела руководитель проекта, начальник одного из отделов, задействованных в процессе работы над проектом создаёт заявку через систему ServiceDesk на создание общего ресурса и доступа к этому ресурсу определённых сотрудников своего подразделения, работающих над совместным проектом и начальника подразделения с которым сотрудничает в рамках проекта. После одобрения сотрудником отдела информации сотрудник отдела системного администрирования создаёт запрошенный ресурс и предоставляет к нему доступ заявленных сотрудников. Каждый начальник подразделения, участвующего в проекте запрашивает доступ только для тех сотрудников, которые находятся у него в подчинении.

2.3.4 Порядок работы сотрудников с электронной почтой

Ранее, до создания базовой политики безопасности, каждый сотрудник сам определял степень опасности писем и файлов, пришедших по электронной почте с внешних почтовых серверов.

После создания базовой политики безопасности, каждому пользователю вменяется в обязанности каждый файл, полученный по электронной почте от внешних почтовых серверов пересылать в отдел информационной безопасности для проверки его на наличие вредоносного программного обеспечения, степень опасности писем сотрудник определяет самостоятельно. Если сотрудник Банка подозревает, что во входящем сообщении содержится спам или фишинг, он обязан отправить письмо полностью, то есть содержащее в себе всю служебную информацию об отправителе, его почтовый ящик и IP-адрес, в отдел информационной безопасности. После анализа подозрительного письма и при подтверждении угрозы этого письма отдели информационной безопасности направляет адрес отправителя письма в отдел системного администрирования, и сотрудник отдела системного администрирования заносит адрес отправителя письма в чёрный список.

Всегда блокировать рабочее место, при отлучении от него.

2.3.6 Правила доступа сотрудников к персональным данным

Согласно статьи 89 главы 14 Трудового Кодекса Российской Федерации, сотрудник Банка имеет право на доступ к своим персональным данным, но допускается к обработке персональных данных других сотрудников Банка или клиентов Банка только для исполнения своих должностных обязанностей.

Для обеспечения контроля за доступом в информационным системам персональных данных, в банке установлены следующие правила доступа к информационным системам персональных данных:

Только сотрудники, в чьи должностные обязанности входит обработка персональных данных имеют доступ к ИСПДн;

Доступ к ИСПДн разрешён только с локального рабочего места сотрудника, работающего с персональными данными;

В Банке создан документ, определяющий пофамильно сотрудников, которым разрешен доступ к персональным данным сотрудников и клиентов Банка с указанием Информационной системы персональных данных и перечнем персональных данных, разрешённых для обработки сотрудником.

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА

Для реализации системы защиты персональных данных необходимо произвести закупку:

Оборудования для защиты сети Банка;

Аппаратные средства защиты информации;

Программные средства защиты информации.

Для перестроения сети организации необходимо закупить коммутаторы Cisco Catalyst 2960 в количестве 3-х экземпляров. Один коммутатор необходим для работы на уровне ядра сети Банка, 2 других для работы на уровне распределения. Сетевое оборудование, работавшее в банке до перестройки сети тоже будет задействовано.

Общая стоимость (руб.) 9389159 613

Doctor WEB Enterprise security suit155005500

Общая стоимость1 371 615

ЗАКЛЮЧЕНИЕ

В своём дипломном проекте я рассмотрел нормативно-правовую базу по защите персональных данных. Мной были рассмотрены основные источники угроз безопасности персональных данных.

Опираясь на рассмотренные угрозы персональных я проанализировал существующую систему защиты персональных данных в ПАО «Ситибанк» и пришёл к выводу, что она нуждается в серьёзной доработке.

В процессе дипломного проекта были обнаружены слабые места в локальной сети Банка. С учетом обнаруженных слабых мест в локальной сети Банка определены меры по минимизации рисков информационной безопасности сети Банка.

Также рассмотрены и подобраны устройства и программное обеспечение для защиты локальных рабочих мест сотрудников, обрабатывающих персональные данные сотрудников и клиентов Банка.

При моём участии была создана система повышения осведомлённости сотрудников в вопросах информационной безопасности.

Глубоко переработан порядок доступа сотрудников Банка к сети Интернет, переработаны группы доступа в сеть Интернет. Новые группы доступа в сеть Интернет позволяют существенно минимизировать риски информационной безопасности за счёт ограниченных возможностей пользователей скачивать файлы, заходить на недоверенные ресурсы.

Приведены расчёты стоимости перестроения сети и создания жизнеспособной системы защиты персональных данных, способной отражать большинство угроз информационной безопасности.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1.«Конституция Российской Федерации» (принята всенародным голосованием 12.12.1993) (с учетом поправок, внесенных Законами РФ о поправках к Конституции РФ от 30.12.2008 N 6-ФКЗ, от 30.12.2008 N 7-ФКЗ, от 05.02.2014 N 2-ФКЗ, от 21.07.2014 N 11-ФКЗ) // Официальный текст Конституции РФ с внесенными поправками от 21.07.2014 опубликован на Официальном интернет-портале правовой информации http://www.pravo.gov.ru, 01.08.2014

2.«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (Выписка) (утв. ФСТЭК РФ 15.02.2008)

3.Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 06.07.2016) «Об информации, информационных технологиях и о защите информации» // В данном виде документ опубликован не был. gервоначальный текст документа опубликован в «Российская газета», N 165, 29.07.2006

4.«Трудовой кодекс Российской Федерации» от 30.12.2001 N 197-ФЗ (ред. от 03.07.2016) (с изм. и доп., вступ. в силу с 03.10.2016) // В данном виде документ опубликован не был, первоначальный текст документа опубликован в «Российская газета», N 256, 31.12.2001

5.Постановление Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // «Российская газета», N 256, 07.11.2012

6.Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (Зарегистрировано в Минюсте России 14.05.2013 N 28375) // «Российская газета», N 107, 22.05.2013

7.«Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2014» (принят и введен в действие Распоряжением Банка России от 17.05.2014 N Р-399) // «Вестник Банка России», N 48-49, 30.05.2014

8.«Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» (утв. Банком России 09.06.2012 N 382-П) (ред. от 14.08.2014) (Зарегистрировано в Минюсте России 14.06.2012 N 24575) // В данном виде документ опубликован не был, первоначальный текст документа опубликован в «Вестник Банка России», N 32, 22.06.2012

9.«Положение о порядке представления кредитными организациями в уполномоченный орган сведений, предусмотренных Федеральным законом «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (утв. Банком России 29.08.2008 N 321-П) (ред. от 15.10.2015) (вместе с «Порядком обеспечения информационной безопасности при передаче-приеме ОЭС», «Правилами формирования ОЭС и заполнения отдельных полей записей ОЭС») (Зарегистрировано в Минюсте России 16.09.2008 N 12296) // В данном виде документ опубликован не был, Первоначальный текст документа опубликован в «Вестник Банка России», N 54, 26.09.2008

10.Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (Зарегистрировано в Минюсте России 14.05.2013 N 28375) // «Российская газета», N 107, 22.05.2013

11.Аверченков В.И., Рытов М.Ю., Гайнулин Т.Р. Защита персональных данных в организациях. М.: Флинта, 2018

12.Агапов А. Б. Основы государственного управления в сфере информатизации в Российской Федерации. М.: Юристъ, 2012

13.Костин А. А., Костина А. А., Латышев Д. М., Молдовян А. А. Программные комплексы серии „АУРА“ для защиты информационных систем персональных данных // Изв. вузов. приборостроение. 2012. Т. 55, № 11

14.Молдовян А. А. Криптография для защиты компьютерной информации (часть 1) // Интеграл. 2014. № 4 (18)

15.Романов О.А., Бабин С.А., Жданов С.Г. Организационное обеспечение информационной безопасности. - М.: Академия, 2016

16.Шульц В.Л., Рудченко А.Д., Юрченко А.В. Безопасность предпринимательской деятельности. М.: Издательство «Юрайт», 2017

Приложения (есть в архиве с работой).

Марина Прохорова, редактор журнала "Персональные данные"

Наталья Самойлова, юрист компании "ИнфоТехноПроект"

Нормативноправовая база, сложившаяся к настоящему времени в сфере обработки персональных данных, документы, которые еще предстоит принять для более эффективной организации работы по защите персональных данных в организациях, технические аспекты подготовки информационных систем операторов персональных данных - именно эти темы в последнее время затрагивались во многих газетных и журнальных публикациях, посвященных проблематике персональных данных. В данной статье хотелось бы остановиться на таком аспекте организации работы банковских и кредитных учреждений, как "нетехническая" защита обрабатываемых в этих организациях персональных данных

Начнем с конкретного примера

Речь идет о судебном рассмотрении дела о защите персональных данных, возбужденном в отношении Сбербанка в июне 2008 г. Суть судебного разбирательства сводилась к следующему. Между гражданином и банком был заключен договор поручительства, в соответствии с которым гражданин принял обязательство отвечать перед банком за исполнение заемщиком обязательств по кредитному договору. Последний не выполнил свои обязательства в установленный кредитным договором срок, сведения о поручителе как о неблагонадежном клиенте были занесены в автоматизированную информационную систему банка "Стоп-лист", что, в свою очередь, явилось основанием для отказа в предоставлении ему кредита. При этом банк даже не уведомил гражданина о ненадлежащем выполнении заемщиком своих обязательств по кредитному договору. Кроме того, в договоре поручительства не было указано, что в случае ненадлежащего выполнения заемщиком своих обязательств банк вправе вносить сведения о поручителе в информационную систему "Стоп-лист". Таким образом, банком осуществлялась обработка персональных данных гражданина путем включения сведений о нем в информационную систему "Стоп-лист" без его согласия, что нарушает требования ч. 1 ст. 9 Федерального закона № 152-ФЗ от 27 июля 2006 г. "О персональных данных", согласно которой субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Помимо этого в порядке, предусмотренном ч. 1 ст. 14 этого же закона, гражданин обращался в банк с требованием предоставить ему возможность ознакомления со сведениями, занесенными о нем в информационную систему "Стоп-лист", а также о блокировании этих сведений и их уничтожении. Банком было отказано в удовлетворении требований гражданина.

По результатам рассмотрения дела Ленинский районный суд г. Владивостока удовлетворил исковые требования Управления Роскомнадзора по Приморскому краю к Сбербанку России о защите нарушенных прав гражданина и обязал банк уничтожить сведения о гражданине из информационной системы "Стоп-лист" .

Чем этот пример показателен? Банки, храня персональные данные значительного числа своих клиентов, не задумываясь, перемещают их из одной базы данных в другую , причем чаще всего не ставя об этом в известность субъекта персональных данных, не говоря уже о том, чтобы получить у него согласие на такие действия с его персональными данными. Конечно, банковская деятельность имеет ряд особенностей, и часто персональные данные клиентов используются не только для выполнения заключаемых банком договоров, но и для осуществления контроля банка за исполнением клиентом его обязательств, но это значит, что на любые манипуляции с персональными данными уже требуется согласие их субъекта.

Затруднения в толковании положений

Почему же не сделать любые операции с персональными данными законными? Безусловно, для этого, скорее всего, потребуется привлечение сторонних специалистов, так как даже юристы правовых управлений крупных банков являются первоклассными профессионалами лишь в определенной области, и со спецификой работы в сфере персональных данных им приходится знакомиться практически с нуля. Так что наилучший выход - привлечение к работам по организации системы защиты персональных данных компаний, специализирующихся в области оказания услуг по организации работы с персональными данными, в том числе способных провести аудит на предмет соответствия предпринимаемых вами мер нетехнической защиты требованиям законодателя.

Результаты аналитических исследований позволяют сделать выводы о том, что толкование каких положений Федерального закона № 152-ФЗ "О персональных данных" вызывает наибольшие затруднения.

В соответствии с частью 1 статьи 22 данного нормативного документа оператор обязан уведомить уполномоченный орган об осуществлении обработки персональных данных. Среди исключений - случай, когда обрабатываемые персональные данные были получены в связи с заключением договора, стороной которого является субъект персональных данных... и используются оператором исключительно для исполнения указанного договора на основании пункта 2 части 2 статьи 22 Федерального закона № 152-ФЗ "О персональных данных". Оперируя именно этим положением, некоторые банки не подают уведомление об обработке персональных данных, а многие и не считают себя операторами, что в корне неверно.

Также еще одна распространенная ошибка банков, как операторов персональных данных, связанная с договором, заключается в следующем. Согласно ст. 6 вышеназванного закона обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных за исключением случаев, среди которых осуществление обработки в целях исполнения договора, одной из сторон которого является субъект персональных данных. Поэтому многие банковские учреждения объясняют отсутствие у них согласия субъекта персональных данных именно фактом заключения такого договора.

Но давайте задумаемся, разве банк, являясь оператором, не использует полученные при заключении договора персональные данные субъекта, например, для рассылки уведомлений о новых услугах, для ведения "Стоп-листов"? Значит, обработка персональных данных осуществляется не только в целях исполнения договора, но и в иных целях, достижение которых представляет для банков коммерческий интерес, следовательно:

• банки обязаны подавать уведомление об обработке персональных данных в уполномоченный орган;
• банки должны осуществлять обработку персональных данных только с согласия субъекта.

А это значит, что банки должны организовать систему работы с персональными данными своих клиентов, то есть обеспечить нетехническую защиту таких данных.

Письменное согласие на обработку персональных данных

Что касается согласия субъекта персональных данных на обработку персональных данных, то Федеральный закон № 152-ФЗ "О персональных данных" обязывает операторов получать письменное согласие на обработку персональных данных только в определенных законом случаях. В то же время в соответствии с ч. 3 ст. 9 обязанность доказывать получение согласия субъекта на обработку его персональных данных возлагается на оператора. Чтобы при необходимости не тратить время на сбор таких доказательств (например, на поиск свидетелей), на наш взгляд, лучше в любом случае получать согласие от субъектов в письменной форме.

Приведем еще один аргумент за письменную форму обработки персональных данных. Зачастую деятельность банков предусматривает передачу данных (в том числе персональных) на территорию иностранного государства. По этому поводу ч. 1 ст. 12 Федерального закона № 152-ФЗ "О персональных данных" гласит, что до начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. Если такой защиты не обеспечивается, трансграничная передача персональных данных возможна только с письменного согласия субъекта персональных данных. Можно предположить, что сотруднику банка проще получить письменное согласие клиента на обработку персональных данных, чем устанавливать степень адекватности их защиты в иностранном государстве.

Обращаем ваше внимание на то, что сведения, которые должны содержаться в письменном согласии, перечислены в ч. 4 ст. 9 вышеупомянутого Федерального закона, и этот перечень исчерпывающий. А подпись под фразой, например, в кредитном договоре: "Я согласен на использование своих персональных данных", согласно Федеральному закону № 152-ФЗ "О персональных данных", согласием на их обработку не является!

Казалось бы, всего несколько пунктов закона, а сколько осложнений, вплоть до судебных тяжб, может вызвать их неправильное толкование. К тому же сегодня, когда персональные данные субъектов зачастую становятся товаром в конкурентной борьбе различных структур, успешное решение вопросов их защиты, обеспечение безопасности информационных систем банковских и кредитных учреждений становится залогом сохранения репутации, честного имени любой организации.

С каждым днем повышается информированность граждан о возможных негативных последствиях распространения их персональных данных, чему способствует появление профильных изданий. Есть и информационные ресурсы различных компаний. Одни из них в целом освещают весь широкий спектр вопросов, связанных с понятием "информационной безопасности", другие -посвящены обзорам мер и средств технической защиты, кто-то, наоборот, делает упор на проблемах, связанных с нетехнической защитой. Другими словами, информация по вопросам защиты персональных данных становится все более доступной, а значит, граждане, будут более подкованы в области защиты своих прав.

Подобные документы

Законодательные основы защиты персональных данных. Классификация угроз информационной безопасности. База персональных данных. Устройство и угрозы ЛВС предприятия. Основные программные и аппаратные средства защиты ПЭВМ. Базовая политика безопасности.

дипломная работа, добавлен 10.06.2011


Предпосылки создания системы безопасности персональных данных. Угрозы информационной безопасности. Источники несанкционированного доступа в ИСПДн. Устройство информационных систем персональных данных. Средства защиты информации. Политика безопасности.

курсовая работа, добавлен 07.10.2016


Анализ структуры распределенной информационной системы и обрабатываемых в ней персональных данных. Выбор основных мер и средств для обеспечения безопасности персональных данных от актуальных угроз. Определение затрат на создание и поддержку проекта.

дипломная работа, добавлен 01.07.2011


Система контроля и управления доступом на предприятии. Анализ обрабатываемой информации и классификация ИСПДн. Разработка модели угроз безопасности персональных данных при их обработке в информационной системе персональных данных СКУД ОАО "ММЗ".

дипломная работа, добавлен 11.04.2012


Описание основных технических решений по оснащению информационной системы персональных данных, расположенной в помещении компьютерного класса. Подсистема антивирусной защиты. Мероприятия по подготовке к вводу в действие средств защиты информации.

курсовая работа, добавлен 30.09.2013


Секретность и безопасность документированной информации. Виды персональных данных, используемые в деятельности организации. Развитие законодательства в области обеспечения их защиты. Методы обеспечения информационной безопасности Российской Федерации.

презентация, добавлен 15.11.2016


Анализ рисков информационной безопасности. Оценка существующих и планируемых средств защиты. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. Контрольный пример реализации проекта и его описание.

дипломная работа, добавлен 19.12.2012


Нормативно-правовые документы в сфере информационной безопасности в России. Анализ угроз информационных систем. Характеристика организации системы защиты персональных данных клиники. Внедрение системы аутентификации с использованием электронных ключей.

дипломная работа, добавлен 31.10.2016


Общие сведения о деятельности предприятия. Объекты информационной безопасности на предприятии. Меры и средства защиты информации. Копирование данных на сменный носитель. Установка внутреннего Backup-сервера. Эффективность совершенствования системы ИБ.

контрольная работа, добавлен 29.08.2013


Основные угрозы по отношению к информации. Понятия, методы и способы обеспечения защиты данных. Требования к системе защиты. Механизм авторизации в информационной базе для определения типа пользователя. Работа администратора с системой безопасности.