Автоматизированные информационные системы в банках

Современные АБС – это  сложные, структурированные, территориально распределенные сети. Как правило, они строятся на основе передовых технологий и программных средств, которые в силу своей универсальности не обладают достаточной защищенностью.

Особенно актуальна данная проблема в России. В западных банках программное обеспечение (ПО) разрабатывается конкретно под каждый банк, и устройство АБС во многом является коммерческой тайной. В России получили распространение 194 «стандартные» банковские пакеты, информация о которых широко известна, что облегчает несанкционированный доступ в банковские компьютерные системы.

Чем меньше времени будут  занимать расчеты между банком и клиентом, тем выше станет оборот банка и, следовательно, прибыль. Банк более оперативно сможет реагировать на изменение финансовой ситуации. Разнообразие услуг банка (в первую очередь это относится к возможности безналичных расчетов между банком и его клиентами с использованием пластиковых карт) может существенно увеличить число его клиентов и, как следствие, повысит прибыль.

АБС становится одним из наиболее уязвимых мест во всей организации, притягивающим злоумышленников как извне, так и из числа сотрудников самого банка.

Причины нарушений в информационной системе организации - это, как правило, либо ошибочные действия пользователей, либо умышленные атаки на систему. В последнем случае целью злоумышленника может быть получение информации, выполнение каких-либо действий, разрушение системы или её части.

Остановимся подробнее на наиболее распространенных случаях нарушений и сбоев в информационных системах кредитных организаций, а также методах защиты от них.

Случаи ошибочных действий пользователей информационной системы бывают практически во всех информационных системах. Совершаемые ошибки связаны с неверным вводом информации в систему автоматизации. При этом последствия ошибки можно расценивать по-разному ввиду различной ценности вводимых данных.

Наиболее опасным следствием ошибочных действий сотрудника банка может стать совершение операции с неправильными основными реквизитами (счета или сумма). Последствия таких ошибок даже в случае исправления проводки и возврата средств, ухудшают имидж банка и снижают доверие клиентов. Поэтому в большинстве банков вводятся дополнительные системы контроля и достаточно крупные штрафные санкции для сотрудников, совершивших ошибки.

Другая весьма болезненная  ошибка пользователя - неправильный запуск какого-либо большого процесса, например, закрытие операционного дня или переоценка валютных средств. Такого рода ошибки обычно вызывают сбои в работе всей организации, задержки в обслуживании клиентов.

Для минимизации потерь от этих ошибок в работе с информационной системой обычно предпринимаются следующие меры. Во-первых, проводится продуманная и задокументированная политика контроля за информационными ресурсами в банке, которая должна определять типы основных документов, условия и вид контроля за их прохождением. Можно выделить следующие принципы, определяющие политику контроля:

- дополнительный визуальный  контроль документов на большие суммы (сверх некоторого заранее установленного уровня);

- группировка документов  в пачки не более чем по 30-40 штук;

- параллельный независимый  ввод ключевых реквизитов всех (или хотя бвнешних) платежных документов.

Во-вторых, система настраивается  в соответствии с правами пользователя, т. е. его доступ к проведению операций должен быть ограничен определенными условиями и контролируемыми параметрами.

В-третьих, вводится четкая регламентация действий сотрудников в случае ошибочных операций.

В-четвертых, регулярно проводится повышение квалификации сотрудников, использующих компьютерную технику.

Однако в полном объеме эти меры редко применяются, несмотря на то, что претворение их в жизнь необходимо. Основные причины - высокая трудоемкость и отсутствие соответствующих процедур в программном обеспечении информационной системы банка. Подобными процедурами при построении системы защиты обычно пренебрегают, особенно в небольших банках, где затраты \ на автоматизацию невысоки195

Умышленные атаки на систему  происходят достаточно редко, но в то же время они наиболее болезненны для банка. При этом злоумышленник может быть как сторонним лицом, так и сотрудником банка.

Труднее всего организовать защиту от несанкционированного получения информации. Это объясняется тем, что для полной защиты часто необходимы не только технические средства, но и комплекс процедур, выполняемых персоналом, поскольку нередко для получения конфиденциальной информации достаточно войти в «контакт» с кем-то из сотрудников банка.

Однако ущерб от утечки информации обычно невелик, что необходимо помнить, принимая решение о выделении денежных средств на разработку подобной защиты. Нанести значительный урон путем хищения информации может только мощная организация (конкурирующая или государственная), которая при достаточных затратах обойдет любую защиту. Необходимо также упомянуть об ограничении доступа в помещение отдела автоматизации и ключевых функциональных служб, что послужит дополнительной защитой.

В отличие от хищений информации осуществление несанкционированных действий часто можно доказать и, следовательно, пресечь. Мотивами несанкционированных действий, как правило, являются попытки хищения средств. Несмотря на наличие параллельного бумажного документооборота, российские банки имеют ряд слабых мест, позволяющих совершать хищения средств. При этом в целом неверно распространенное мнение о том, что подобные преступления совершают профессиональные хакеры, используя сеть Internet. В большинстве российских банков Internet не интегрирован во внутреннею сетевую среду либо защищен с особой тщательностью.

Самым уязвимым для несанкционированных  действий звеном информационной системы банка являются автоматические групповые операции, сумма и счета которых обычно не подлежат тщательному контролю. Рассмотрим некоторые из этих операций.

Начисление процентов  на расчетные счета и счета до востребования. Обычно известна только общая сумма данной групповой операции, причем приблизительно. Незначительные изменения в каждой проводке с последующим сбросом суммы на счет злоумышленника практически не поддаются визуальному контролю. Для предотвращения подобного рода хищений рекомендуется иметь в рамках службы безопасности специализированную службу для параллельного контроля автоматических операций по закрытым для остальных сотрудников методикам.

Хищение через  систему клиент-банк. Ввиду особого внимания к защите этой системы и дополнительного контроля проходящих сумм клиентом, попытки такой атаки имеют обычно характер разового хищения крупной суммы.

Исходя из этого в качестве защиты рекомендуется ограничить для каждого клиента максимальные ежедневные объемы платежей, совершаемых по системе клиент-банк и регламентировать обязательный ежедневный контроль выписки клиентом даже при отсутствии платежей.

Изменение внешнего получателя платежа. Данный тип хищения характеризуется изменением реквизита после прохождения стадий контроля. Защита от злоупотребления достаточно сложна и сводится к запрету на редактирование информации после прохождения стадий контроля и до электронной подписи отправляемого рейса.

Еще одним источником потенциальной  опасности для информационных систем является разрушение системы автоматизации или ее отдельного модуля. Как ни странно, но одна из возможных причин подобных действий - желание какого-либо сотрудника банка (обычно увольняемого) отомстить руководству и организации в целом. При этом результаты нанесенного ущерба могут проявиться через неопределенное время, что сделает выявление виновного невозможным. Для защиты можно рекомендовать регулярно создавать резервные копии, ввести запрет на доступ сотрудника в информационную систему после уведомления его об увольнении, совершенствовать процедуры увольнения во избежание мести.196

Можно привести несколько  фактов:

• Потери банков и других финансовых организаций от воздействия на их

системы обработки информации составляют около $ 3 млрд. в год.

• Объем потерь, связанных с использованием пластиковых карточек,

оценивается в $ 2 млрд. в год.

• Средняя величина ущерба от банковской кражи с применением

электронных средств составляет около $ 9000. [75].

• Один из самых громких скандалов связан с попыткой семерых человек

украсть $ 700 млн. в первом национальном банке, Чикаго. Она была предотвращена ФБР.

Можно привести и другие примеры.

Чтобы обезопасить себя и  своих клиентов, большинство банков предпринимают необходимые меры защиты, в числе которых защита АБС занимает не последнее место. При этом необходимо учитывать, что защита АБС – дорогостоящее и сложное мероприятие. Так, например, Barclays Bank тратит на защиту своей автоматизированной системы около $ 20 млн. ежегодно.

Datapro Information Services Group провела почтовый опрос среди случайно выбранных менеджеров информационных систем. Целью опроса явилось выяснение состояния дел в области защиты. Было получено 1153 анкеты, на основе которых получены приводимые ниже результаты [75]:

• около 25% всех нарушений составляют стихийные бедствия;
• около половины систем испытывали внезапные перерывы электропитания

или связи, причины которых  носили искусственный характер;

• около 3% систем испытывали внешние нарушения (проникновение в

систему организации);

• 70-75% – внутренние нарушения, из них:

– 10% совершены обиженными и недовольными служащими-пользователями

АБС банка;

– 10% – совершены из корыстных  побуждений персоналом системы;

– 50-55% – результат неумышленных ошибок персонала и/или пользователей 

системы в результате небрежности, халатности или некомпетентности.

Эти данные свидетельствуют  о том, что чаще всего происходят не такие нарушения, как нападения хакеров или кража компьютеров с ценной информацией, а самые обыкновенные, проистекающие из повседневной деятельности. В то же время именно умышленные атаки на компьютерные системы приносят наибольший единовременный ущерб, а меры защиты о них наиболее сложны и дорогостоящи. В этой связи проблема оптимизации защиты АБС является наиболее актуальной в сфере информационной безопасности банков.

Встроенные механизмы  разграничения доступа в сетевых ОС при систематическом администрировании и строгом разграничении доступа к информационным ресурсам (что бывает далеко не всегда) позволяют достаточно надежно защитить данные, хранимые на серверах. Практически все операционные системы содержат минимальный набор защитных механизмов и для локальных рабочих мест.

Классические угрозы безопасности информации в АБС – это вывод системы из строя, отказ в обслуживании и компрометация или подмена данных. И эти угрозы слишком реальны.

По сведениям Национального  центра данных о преступности, связанной с ЭВМ (Лос-Анджелес, США), компьютерные правонарушения наиболее часто совершаются программистами, студентами и операторами ввода исходных данных. В табл. указаны основные типы и субъекты угроз для компьютерных систем.

Субъектов компьютерных преступлений с точки зрения профессиональной подготовленности принято подразделять на лиц, совершающих преступления:

а) «нетехнические»;

б) «технические», требующие  минимума специальных знаний;

в) «высокотехнические», возможные  при условии основательного владения вычислительной техникой.

Практика показывает, что  большинство преступлений категории «а» совершают малознакомые с вычислительной техникой служащие со средним образованием. Однако этих людей отличают два качества: они имеют доступ к компьютеру и знают, какие функции выполняет он в их организации. «Нетехнические» преступления совершаются главным образом путем кражи пароля доступа к файлам информации, хранящейся в машинной памяти. Владея паролем и определенными навыками, можно войти в засекреченные файлы, изменить их содержание и т.п. Эти преступления довольно просты для расследования, и, усилив защиту системы, их легко предупредить.

«Технические» преступления связаны с манипуляциями программами, которые составлены специалистами. Изменить их могут лишь лица, имеющие соответствующую квалификацию. Наибольшую трудность для правоохранительных органов представляют «высокотехнические» преступления.

Субъекты, совершившие несанкционированный  доступ к информации, называются нарушителями. С точки зрения защиты информации несанкционированный доступ может иметь последствия.

 

 

 

 

 

 

 

 

Использованные  литературы.

1. http://economypart.narod2.ru/literatura/AIS_v_Economike_-_V.N._Yasenev.pdf
2. www.kazedu.kz/referat/105972
3. otherreferats.allbest.ru/programming/00155613_0.html