С каждым годом в банковской сфере все больше внимания уделяется вопросам информационной безопасности, что вполне объяснимо - ведь банковский бизнес является одним из наиболее активных пользователей современных информационных технологий и IT-решений, а значит, возникает и проблема информационной защиты.

СТАНДАРТЫ БУДУЩЕГО

Очевидно, что клиенты любого банка должны быть уверены, что с банком можно работать в долгосрочной перспективе. Но отсюда возникает и другой вопрос - как оценить такую перспективу? Для таких оценок в мировом банковском сообществе существует общепринятое соглашение Basel II («Международная конвергенция измерения капитала и стандартов капитала: новые подходы»). Данный норматив определяет систему оценки рисков, с которыми банки сталкиваются в своей деятельности - кредитных, рыночных и операционных. Более того, под все эти риски необходимо резервировать капитал.

В 2009 году Россия собирается присоединиться к соглашению Basel II, обязательному для банков большинства стран, а сегодня российским банкам предлагается следовать рекомендациям Стандарта Центробанка «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения», принятого Банком России в конце января 2006 года. Этот стандарт закладывает концептуальные основы развития системы IT-безопасности в банках, а также указывает на некоторые конкретные меры, реализация которых призвана благотворно повлиять на бизнес банка.

Выполнение требований Стандарта ЦБ, в частности, позволяет обеспечить соответствие требованиям норматива Basel II в части операционных рисков.

ГЛАВНАЯ УГРОЗА

Basel II требует от банка управлять операционными рисками, в состав которых входят угрозы информационной безопасности в целом и инсайдерские риски в частности. Кроме того, норматив рекомендует банку обеспечить управление репутационным риском, наступление которого зачастую является следствием реализации внутренних угроз информационной безопасности. В определение операционных рисков попадают прежде всего угрозы информационной безопасности, реализующиеся в результате взаимодействия сотрудников и информационных систем банка. Например, вредоносные действия инсайдеров входят в состав операционного риска и могут причинить банку существенный ущерб.

Стандарт ставит во главу угла модели угроз именно внутренних нарушителей, так как они наиболее опасны с точки зрения IT-безопасности, поэтому все точки, где персонал взаимодействует с IT-системой, должны тщательно контролироваться. DeviceLock является необходимой частью системы внутреннего контроля, без которой невозможно обеспечить полноценный контроль доступа к внешним устройствам, сменным носителям и беспроводным сетям на уровне рабочей станции.

Стандарт Банка России совершенно справедливо обращает внимание на проблему инсайдеров. Многие банки пытаются не замечать угрозы со стороны внутренних нарушителей. Однако игнорирование риска утечки персональных и/или финансовых сведений клиентов или злоупотребление ими вряд ли можно считать рациональным шагом.

Продукт DeviceLock, разработанный российской компанией ЗАО «Смарт Лайн Инк» и предназначенный для корпоративных пользователей как раз помогает решить эту проблему. Внутренние нарушители не смогут получить несанкционированный доступ к рабочим станциям через их локальные интерфейсы, чтобы выкрасть данные клиентов через сменные носители и портативные устройства, а система теневого копирования сможет доказать и документировать факт неудачных и успешных попыток доступа, а также копирования конкретных данных. DeviceLock позволяет собирать и анализировать информацию, покинувшую корпоративную сеть через локальные порты рабочей станции. Помимо этого DeviceLock включает в себя защиту от аппаратных клавиатурных шпионов, использующихся для кражи ценной информации с рабочих станций сотрудника.

Когда речь заходит о контроле над карманными компьютерами, смартфонами и различными коммуникаторами, то DeviceLock не просто поддерживает теневое копирование всех данных, передаваемых на мобильное устройство, но позволяет также реализовать гибкие политики безопасности и проследить за их исполнением. Например, продукт может разрешить синхронизировать контакты и календарь, но запретить копирование файлов или синхронизацию электронной почты с вложениями.

КОНКУРЕНТНОЕ ПРЕИМУЩЕСТВО

Стоит заметить, что специфика банковской деятельности состоит в постоянной работе с информацией и данными. Другими словами, вопросы IT-безопасности напрямую связаны с операционной эффективностью и конкурентоспособностью банка. Все это позволяет утверждать, что угрозы безопасности представляют собой самый весомый компонент операционных рисков.

Кроме того, банкам, особенно работающим в сфере обслуживания частных лиц, следует в своей деятельности исполнять требования Федерального Закона «О персональных данных», вступившего в силу в 2007 году. В соответствии с этим нормативным актом все юридические и физические лица, хранящие или обрабатывающие персональные данные других граждан, обязаны обеспечить конфиденциальность этой информации.

НА ДОЛГИЕ ГОДЫ

Будучи единожды внедренным в корпоративную среду, DeviceLock защищает банки от утечки персональных и финансовых сведений, попадания во внутреннюю сеть нежелательных типов данных. Кроме того, система защиты предоставляет инструментарий для ретроспективного анализа всей информации, которую сотрудники компании скопировали на внешние носители и забрали с собой, а также обеспечивает необходимую банку гибкость политики IT-безопасности при работе с мобильными устройствами. Этот же инструментарий обеспечивает соответствие требованиям ФЗ «О персональных данных», согласно которому организация обязана обнаруживать факты «несанкционированного доступа к персональным данным».

С помощью DeviceLock компания может одним служащим разрешить доступ к внешним устройствам, которые локально подключаются к рабочим станциям, а другим запретить. Такие внешние устройства, безусловно, являются средствами и системами автоматизации, а потому должны тщательно контролироваться в соответствии со Стандартом Банка России по IT-безопасности. С точки зрения ФЗ «О персональных данных» безопасность персональных данных должна включать «организационные меры и средства защиты информации». Очевидно, здесь подразумевается и защита от утечки персональных данных по каналам связи и через локальные коммуникации рабочих станций. DeviceLock позволяет минимизировать риски утечки через сменные носители, мобильные устройства и беспроводные сети, что является неотъемлемым требованием при обеспечении безопасности персональных данных. Благодаря DeviceLock все полномочия по работе с внешними носителями распределяются в соответствии с политикой IT-безопасности, принципом минимальных привилегий и здравым смыслом. При этом у компании создается необходимая документальная база для подтверждения достаточности внедренных процедур.

Таким образом, использование DeviceLock помогает удовлетворить основным требованиям парадигмы обеспечения IT-безопасности, изложенным в Стандарте Банка России, нормативе Basel II и ФЗ «О Персональных данных», а также других нормативных актах.