Каким же мерам защиты систем обработки информации отдают предпочтение зарубежные специалисты? На этот вопрос можно ответить, используя результаты опроса, проведенного Datapro Information Group в 1994 году среди банков и финансовых организаций :
Сформулированную политику информационной безопасности имеют 82% опрошенных. По сравнению с 1991 годом процент организаций, имеющих политику безопасности, увеличился на 13%.
Еще 12% опрошенных планируют разработать политику безопасности. Четко выражена следующая тенденция: организации с большим числом персонала предпочитают иметь разработанную политику безопасности в большей степени, чем организации с небольшим количеством персонала. Например, по данным этого опроса, всего лишь 66% организаций, с числом сотрудников менее 100 человек имеют политику безопасности, тогда как для организаций с числом сотрудников более 5000 человек доля таких организаций составляет 99%.
В 88% организаций, имеющих политику информационной безопасности, существует специальное подразделение, которое отвечает за ее реализацию. В тех организациях, которые не содержат такое подразделение, эти функции, в основном, возложены на администратора системы (29%), на менеджера информационной системы (27%) или на службу физической безопасности (25%). Это означает, что существует тенденция выделения сотрудников, отвечающих за компьютерную безопасность, в специальное подразделение.
В плане защиты особое внимание уделяется защите компьютерных сетей (90%), больших ЭВМ (82%), восстановлению информации после аварий и катастроф (73%), защите от компьютерных вирусов (72%), защите персональных ЭВМ (69%).
Можно сделать следующие выводы об особенностях защиты информации в зарубежных финансовых системах:
Главное в защите финансовых организаций -- оперативное и по возможности полное восстановление информации после аварий и сбоев. Около 60% опрошенных финансовых организаций имеют план такого восстановления, который ежегодно пересматривается в более чем 80% из них. В основном, защита информации от разрушения достигается созданием резервных копий и их внешним хранением, использованием средств бесперебойного электропитания и организацией «горячего» резерва аппаратных средств.
Следующая по важности для финансовых организаций проблема -- это управление доступом пользователей к хранимой и обрабатываемой информации. Здесь широко используются различные программные системы управления доступом, которые иногда могут заменять и антивирусные программные средства. В основном используются приобретенные программные средства управления доступом. Причем в финансовых организациях особое внимание уделяют такому управлению пользователей именно в сети. Однако сертифицированные средства управления доступом встречаются крайне редко (3%). Это можно объяснить тем, что с сертифицированными программными средствами трудно работать и они крайне дороги в эксплуатации. Это объясняется тем, что параметры сертификации разрабатывались с учетом требований, предъявляемым к военным системам.
К отличиям организации защиты сетей ЭВМ в финансовых организациях можно отнести широкое использование стандартного (т.е. адаптированного, но не специально разработанного для конкретной организации) коммерческого программного обеспечения для управления доступом к сети (82%), защита точек подключения к системе через коммутируемые линии связи (69%). Скорее всего это связано с большей распространенностью средств телекоммуникаций в финансовых сферах и желание защититься от вмешательства извне. Другие способы защиты, такие как применение антивирусных средств, оконечное и канальное шифрование передаваемых данных, аутентификация сообщений применяются примерно одинаково и, в основном (за исключением антивирусных средств), менее чем в 50% опрошенных организаций.
Большое внимание в финансовых организациях уделяется физической защите помещений, в которых расположены компьютеры (около 40%). Это означает, что защита ЭВМ от доступа посторонних лиц решается не только с помощью программных средств, но и организационно-технических (охрана, кодовые замки и т.д.).
Шифрование локальной информации применяют чуть более 20% финансовых организаций. Причинами этого являются сложность распространения ключей, жесткие требования к быстродействию системы, а также необходимость оперативного восстановления информации при сбоях и отказах оборудования.
Значительно меньшее внимание в финансовых организациях уделяется защите телефонных линий связи (4%) и использованию ЭВМ, разработанных с учетом требования стандарта Tempest (защита от утечки информации по каналам электромагнитных излучений и наводок). В государственных организациях решению проблемы противодействия получению информации с использованием электромагнитных излучений и наводок уделяют гораздо большее внимание.
Анализ статистики позволяет сделать важный вывод: защита финансовых организаций (в том числе и банков) строится несколько иначе, чем обычных коммерческих и государственных организаций. Следовательно для защиты АСОИБ нельзя применять те же самые технические и организационные решения, которые были разработаны для стандартных ситуаций. Нельзя бездумно копировать чужие системы -- они разрабатывались для иных условий.
3.2 Страхование компьютерных (электронных) преступлений в банковской сфере
Безопасность - один из клю-чевых элементов, обеспечиваю-щих нормальное функциониро-вание электронной банковской системы. Проблемы обеспечения безо-пасности деятельности банков всегда актуальны, особенно в пе-реходный период.
В начале 1980-х годов назре-ла потребность в получении страхового покрытия от элект-ронных и компьютерных преступ-лений. В ответ на возникший спрос андеррайтеры Ллойда в Лондоне разработали полис (ус-ловия) страхования финансовых учреждений от электронных и компьютерных преступлений, совершенных третьими лицами. Этот полис является дополни-тельным в стандартной системе страхования банковских рисков, известной в мире под названи-ем Bankers Blanket Bond (В.В.В.). С момента разработки данный полис начал активно ис-пользоваться банками и страхов-щиками и практически сразу же стал неотъемлемой частью стра-тегии риск - менеджмента.
К решению проблем компь-ютерной безопасности необхо-дим комплексный подход. Ис-пользование систем техничес-кой и информационной безо-пасности, на которых казахстанские банки в настоящее время сосредотачивают основное вни-мание, могут только в опреде-ленной степени предотвратить ущерб. Страхование же в отли-чие от этих систем не только предотвращает преступление, но и, что самое важное, возме-щает убытки, понесенные в ре-зультате их совершения.
Страхование от компью-терных преступлений в Европе и США стало стандартным ви-дом страхования для банков, дилерских фирм, страховых компаний и крупных трансляци-онных коммерческих компаний, осуществляющих переводы своих денежных средств, а также несущих ответственность за сохранность средств своих кли-ентов при клиринговых и депо-зитных операциях.
Страховой полис Ллойда предлагает свой подход к пробле-ме страхового риска, выделяя ряд объектов страхования в со-ответствии с существующими факторами риска. По данному полису выделяются следующие объекты страхового покрытия.
1. Страхование компьютер-ных систем банка от несанкци-онированного входа. По данно-му полису Страхователю возме-щается убыток в случае, если он перевел, оплатил или поставил какие-либо средства или иму-щество, открыл кредит, оплатил счет или осуществил любой другой вид выплат в результате несанкционированного входа третьих лиц в компьютерную си-стему Страхователя.
2. Страхование банков от нелояльности персонала, вре-менно выполняющего работу для Страхователя по контракту. По данному полису Страховате-лю возмещаются убытки, нане-сенные ему независимыми кон-сультантами и другими сотруд-никами, выполняющими опре-деленные работы для банка по контракту и не являющимися его постоянными сотрудника-ми, в результате осуществле-ния мошеннических модифика-ций в компьютерных програм-мах, независимо от способа внедрения в компьютерную сеть Страхователя. Однако преступ-ления, совершенные сотрудни-ками, временно работающими по контракту на Страхователя, не покрываются по полису стра-хования от компьютерных пре-ступлений, так как данный вид покрытия предоставляет В.В.В.
3. Страхование электрон-ных данных и их носителей. По данному полису Страхователю возмещаются убытки, нанесен-ные ему в результате умышлен-ного уничтожения или попытки уничтожения электронных дан-ных. Однако данный страховой полис покрывает страхователям только стоимость восстановле-ния этих данных. Если они не подлежат восстановлению, то выплачивается номинальная стоимость носителя электрон-ной информации.
4. Страхование средств электронной связи банка. Стра-хователю компенсируются убыт-ки, в случае, если он перевел, оплатил, или поставил какие-либо средства или имущество, открыл кредит, оплатил счета или осуществил другую выплату на основании получения мошен-нического поручения на осуще-ствление этих операций по сред-ствам электронной связи.
5. Страхование юридичес-кой ответственности Страхова-теля в результате осуществле-ния его клиентом или финансо-вым институтом перевода де-нежных средств, оплаты или по-ставки каких-либо средств или имущества, а также осуществил любой другой вид выплат на ос-новании получения мошенни-ческого поручения или подтвер-ждения на осуществление пере-вода, платежа, доставки или получения средств/имущества, которое было передано им яко-бы от имени Страхователя.
6. Страхование от убытков вследствие перевода денежных средств по мошенническим те-лефонным инструкциям. Стра-хователю компенсируются убытки, понесенные им в ре-зультате мошенничества при операциях с переводом денег по телефонным инструкциям.
7. Страхование компьютер-ных систем банка от компьютер-ных вирусов. Страхователю воз-мещается убыток в случае, если он перевел, оплатил или поста-вил какие-либо средства или имущество, осуществил какую-либо выплату в результате пор-чи данных, находящихся в ком-пьютерной сети Страхователя компьютерным вирусом или в результате уничтожения электронных данных, находившихся в автоматизированной системе Страхователя в результате умышленной порчи или попыт-ки порчи этих данных посред-ством компьютерного вируса. При умышленном введении в программы команд или кодов, вызывающих сбои в компьютер-ной сети или в системе элект-ронного перевода денег на опре-деленный день, предотвратить убыток практически невозмож-но, так как программирование осуществляется с таким расче-том, что при проверке мошенни-ческие команды и коды могут быть выявлены только через оп-ределенное время после того, как убыток уже произойдет. Если сегодня преступники спо-собны на такие хитроумные ма-хинации, то можно только пред-полагать, какие новые виды ком-пьютерных и электронных пре-ступлений могут появиться в конце нашего тысячелетия.
Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13
