Вход Регистрация
 

Аналитика и комментарии

01 февраля 2018

Журналы событий как средство повышения доверия клиентов к банкам

Самая актуальная проблема в защите персональных данных сегодня связана не с ее техническими особенностями, а с недостаточным уровнем доверия клиентов к банкам

Сейчас существует уже очень много самых разнообразных продуктов и решений для защиты персональных данных (ПДн), многие из них вполне эффективны и успешно применяются банками. Прекрасно проработаны организационные меры, позволяющие без этих решений обходиться, оставаясь в рамках соответствия букве и духу нормативной методической базы. У банков нет задач в части защиты ПДн, к которым они не знали бы, как подступиться. Но доверие клиентов не растет. Клиент все равно считает, что банк (как, впрочем, и любой другой оператор, вряд ли именно к банкам в этом смысле особое отношение) «продает базы клиентов спамерам» и тому подобное. В общем, использует данные клиента не в тех целях, которые анонсирует при получении согласия.

Вообще говоря, с этим можно мириться, ссылаясь на то, что клиент все равно будет чем-нибудь недоволен, а доверие – это вопрос психологический, а не технологический. Но вполне возможно создать условия, в которых будет возможно предъявить клиенту своего рода доказательство добросовестности банка в отношении защиты ПДн.

ПДн так или иначе всегда обрабатываются в информационной системе персональных данных (ИСПДн), то есть не где угодно (в физическом и в логическом смысле), а в рамках строго определенной и явно зафиксированной системы. Иное просто неудобно, комплекс организационных и технических мер в этом случае разросся бы довольно значительно. А это, в свою очередь, позволяет четко обрисовать тот круг событий, анализ которых позволит сделать вывод о том, должным образом обрабатывались ПДн или нет. Очевидно, что подсистема регистрации событий, будучи обязательной, в ИСПДн есть и настроена. Однако столь же очевидно, что, с одной стороны, подразделение безопасности банка вряд ли сочтет разумной идею трансляции данных этой подсистемы, ведь она содержит массу данных, которые по тем или иным причинам являются сведениями ограниченного доступа. А с другой стороны, любого рода «выписки», условно говоря, вызовут у клиента только скепсис, поскольку при подготовке выписки для демонстрации ему банк может подредактировать данные логирования так, как ему нужно.

Представляется довольно элегантным использование в этой ситуации программно-аппаратного неперезаписываемого журнала – устройства (USB-накопителя), предназначенного для архивирования журналов событий. Такое устройство – ПАЖ – разработано и производится на сегодняшний день только ОКБ САПР. Особенность этого накопителя заключается в том, что его диск работает в режиме add only – только добавление. То есть с него нельзя удалять ничего из того, что было туда записано, а это первое свойство, важное для данного контекста – обеспечения доверия журналу: события гарантированно не были отредактированы или удалены.

Однако есть и другая причина не доверять предъявляемому журналу, даже если он заведомо не мог быть отредактирован. Глядя на журнал, пользователь не может быть уверен, что он видит события именно той системы, в которой обрабатывались его ПДн. Мало ли откуда хорошо выглядящие журналы записали на USB-накопитель? ПАЖ построен с использованием технологии служебного носителя семейства «Секрет», которая заключается в том, что он монтируется только на тех компьютерах, которые заданы в устройстве как разрешенные, а на всех остальных не определяется системой как диск. Значит, можно задать ограничения так, что ни с какого компьютера, не имеющего отношения к целевой ИСПДн, журналы в ПАЖ записать будет нельзя. С этой точки зрения очень важно, что ограничения на компьютеры задаются именно в устройстве, и это можно проверить. Изменения этого списка, в свою очередь, отражаются во внутреннем журнале устройства, в котором также записываются все случаи подключения к компьютерам – как успешные, так и неуспешные.

При этом важно понимать, что ПАЖ является накопителем и то, какие именно журналы – из каких приложений, по какому регламенту будут записываться в тот или иной ПАЖ, определяется при администрировании системы. Это значит, что все те данные, которые определены политикой организации как сведения ограниченного доступа, могут быть исключены, а оставлены только те, что позволят клиенту убедиться в соблюдении договоренностей относительно целей обработки его ПДн.

Ролевая модель в ПАЖ реализована так, что эксплуатирующий персонал может создавать роли и назначать для них набор прав в соответствии с задачами конкретной организации, а не выбирая из заданного набора 2-3 стандартных ролей. Это и дает возможность использовать ПАЖ не только для защищенного хранения и архивирования, но и как инструмент предъявления записей о событиях по требованию. Администратор может определить регламент, в соответствии с которым будет организован процесс информирования клиентов, и создать роли с нужным набором прав так, чтобы сотрудники банка могли выполнять функции администрирования (задавали и меняли настройки) и непосредственного использования (сбора журналов), а клиенты – функции аудита (просмотр журналов, настроек и событий работы самого ПАЖ).

Доверие – это не такое уж иррациональное чувство. Применение банком технических средств с понятной клиенту функциональностью может помочь заложить доверие к технологии, которая станет хорошей основой для развития отношений сотрудничества клиента с банком.

Всего проголосовало: 0

0.0

текст Светлана Конявская, к.ф.н., заместитель генерального директора ОКБ САПР

Комментировать могут только зарегистрированные пользователи

Мы в сетевых сообществах: 

Голосование

Чем вы считаете биткоин?

Загрузка результатов голосования. Пожалуйста подождите...
Все голосования

Календарь мероприятий

Ближайшие мероприятия

Видео

26 сентября 2017 года состоялся Осенний Интеллектуальный кубок

26 сентября 2017 года состоялся Осенний Интеллектуальный кубок в номинациях "Самый интеллектуальный банк", "Самая интеллектуальная компания в финансовой сфере" и "Самая интеллектуальная компания...

Яндекс.Метрика