Обеспечение информационной безопасности банковской системы

Современная банковская система хранит огромную массу данных разного уровня сложности: финансовой, персональной и даже государственной, которая может стать целью кибермошенников. Это создает необходимость внедрения надежных механизмов защиты, соответствующих современным вызовам. Поэтому сегодня предлагаем исследовать тему “Обеспечение информационной безопасности банковской системы” в статье Falcongaze.

План статьи:

1. Что такое обеспечение информационной безопасности

2. Особенность банковской системы: почему защита информации в этом секторе так важна

3. Виды угроз для информационной безопасности банковских систем

4. Принципы организации системы ИБ в банковских организациях

5. Методы защиты информации в банковских системах

6. Роль криптографии в защите данных банковской системы

7. Примеры применения криптографии в банковской сфере

8. Как оценить эффективность действующей системы ИБ?

9. Кто регулирует политику информационной безопасности банковских систем в России?

10. Роль ФинЦЕРТ в обеспечении безопасности банковской системы

11. DLP-системы для обеспечения информационной безопасности банковской системы

12. Последствия утечек для компаний  

Что такое обеспечение информационной безопасности

Это совокупность всех процессов внутри предприятия, направленных на защиту данных, систем и сервисов от вероятности несанкционированного проникновения, модификаций или уничтожения во всех структурных частях. В разрезе банковской системы можно выделить следующие структурные объекты, которые используют информацию:

1. Центральный банк страны;
2. государственные и коммерческий банки;
3. небанковские кредитно-финансовые организации;
4. иностранные банки;
5. другие финансовые организации.

Каждый из этих объектов обладает массивом данных, которые можно отнести к:

• персональной информации о сотрудниках в рамках политики “знай своего сотрудника”;
• персональной информации о клиентах (физических лицах) в рамках политики “знай своего клиента”, в том числе ФИО, дата рождения, серия и номер паспорта, биометрические данные, данные о платежеспособности, контактная информация;
• полной банковской информации о юридических лицах (платежные реквизиты, баланс счетов, финансово-кредитное состояние, данные о транзакциях и др.);
• информации в межбанковских коммуникациях, в том числе документообороте;
• полной информации о транзакциях объектов внутри банковской системы (уникальный номер операции, дата и время проведения транзакций, суммы, тип и назначение платежа, статус операции);
• информации о продуктах и услугах (кредитование, депозиты, ипотечные выплаты);
• информации о контрагентах (партнерах и других банках);
• информации об имеющейся инфраструктуре, отделениях и банкоматах;
• информации о государственной валютно-обменной политике и регулировании отрасли;
• информации о внешних государственных коммуникациях в банковской сфере;
• информации о банковских технологических процессах в качестве активов и др.

Эти данные соединены между собой сложными цифровыми и физическими сетями коммуникаций и взаимосвязи, что увеличивает риски их уязвимости, а также расширяет общий объем угрозы в случае успешной реализации инцидента безопасности.

Инфраструктура банковских информационных систем обеспечивает бесперебойность процессов обмена, хранения и защиты информации:

1. физического обеспечения процесса обмена информацией (линиями связи, аппаратными средствами и др.);
2. сетевого оборудования (коммутаторов, маршрутизаторов, концентраторов и др.);
3. сетевых приложений и сервисов;
4. операционных систем;
5. системами управления базами данных (СУБД);
6. банковских технологических процессов и приложений;
7. бизнес-процессов организации банковской системы.

Каждая система в отдельности, как и вся инфраструктура в целом, могут стать объектами атак и использоваться для внедрения в контур безопасности организации. 

Особенность банковской системы: почему защита информации в этом секторе так важна

Банковская система имеет особую роль в экономике, поскольку через нее проходят все основные потоки финансов. Ошибки или утечки в этой области могут привести не только к значительным потерям, но и к подрыву доверия к банковскому сектору в целом, как в общегосударственном масштабе, так и в рамках доверия отдельного физического лица.

Важно также помнить, что в учреждениях банковского сектора хранится вся информация о платежеспособности физических и юридических лиц, и публичное раскрытие этих данных может негативно отразиться на них.

Банки обязаны обеспечивать защиту данных, так как они хранят конфиденциальную информацию о миллионах клиентов. Это обязательство прописано законодательно и закреплено в Федеральном законе “О персональных данных” от 27.07.2006 г. № 152-ФЗ. А нарушение безопасности этого типа информации может привести к фатальным последствиям как для самой банковской организации, так и жертв, чьи данные были распространены.  

Виды угроз для информационной безопасности банковских систем

Информация, хранимая в банковском секторе является высокоемкой на предмет конфиденциальности и опасности ее распространения. И именно эта информация привлекает киберпреступников, стремящихся к мошенничеству, шантажу или даже краже идентификационных данных.

Источники угроз информационной безопасности — это совокупность всех потенциальных вероятностей внедрения угроз в контур безопасности предприятия через аппаратные, программные и другие инфраструктурные объекты, а также сотрудников. 

В разрезе информационной безопасности банковской системы источники угроз принято разделять на три уровня:

• на физическом уровне, уровне сетевого оборудования, уровне сетевых;
• на уровнях операционных систем, систем управления базами данных, банковских технологических процессов;
• на уровнях бизнес-процессов.

Для каждого из этих уровней вероятно внедрение как с внешнего контура (разработчики и распространители вредоносного программного обеспечения типа вирусы, трояны, программы-шифровальщики, лица, инициирующие DoS и DDoS-атаки, конкуренты и др.), так и с внутреннего контура (сетевые администраторы, неквалифицированный персонал, пользователи банковских услуг и приложений и др.).

Отдельно необходимо упомянуть комбинированные источники угроз, которые могут быть представлены в виде сговора представителей внешнего и внутреннего контура с целью воздействия на ИБ объекта банковской системы.

Риски информации для объектов банковского сектора можно также выделить в отдельные группы, каждая из которых будет характеризовать направление воздействия негативно настроенных субъектов:

Программные. Это внедрение в комплекс безопасности с применением программных средств (вредоносного ПО). Может быть реализовано в виде инфицирования инфраструктуры банковского сектора программой-шифровальщиком для блокировки доступа к конфиденциальным данным, или через внедрение в программное обеспечение вируса, который передает третьим лицам информацию о клиентах банка.

Аппаратные. Физическое воздействие на инфраструктуру объекта банковского сектора с целью осуществления поломки или кражи носителей информации. 

Кадровые. Использование прямого давления или инструментов социальной инженерии для воздействия на сотрудников банковского сектора и реализации негативного сценария для информационной безопасности через них.

Регуляторские. Нарушения информационной безопасности организаций банковского сектора, повлекшие наложения штрафов, выписку предупреждений или иной тип взысканий за несоответствие установленным стандартам в пользу регуляторов.

Политические. Нарушения ИБ банковской системы, особенно проблемы в организациях, отвечающих за монетарную, валютно-обменную, регуляторную политику в стране типа Центрального банка, могут привести к негативным политическим последствиям как в масштабах одной страны, так и на международном уровне.

Финансово-экономические. Организации банковского сектора напрямую регулируют денежный оборот в стране и отвечают за движение денежной массы. Поэтому простои или сбои в их работе напрямую влияют на все проводимые финансовые операции.

Инсайдерские риски. Утечки информации о торгуемых курсовых разницах, снижении или повышении ключевой ставки, изменениях в регулировании валютно-финансовых операций и т. д. приведет к нарушению установленных планов и обеспечит использование информации для инсайдерской торговли. 

Принципы организации системы ИБ в банковских организациях

Перед формированием требований информационной безопасности рекомендуется рассматривать следующие общие стадии модели жизненного цикла автоматизированных банковских систем (АБС), чтобы обеспечить максимальную эффективность применяемых мер:

• разработка техзаданий;
• проектирование;
• создание и тестирование;
• приемка и ввод в действие;
• эксплуатация;
• сопровождение и модернизация;
• снятие с эксплуатации.

Важно! Выполнение любых работ на всех стадиях жизненного цикла АБС в части вопросов обеспечения ИБ должно согласовываться и контролироваться службой безопасности предприятия.

При разработке технических заданий на системы дистанционного банковского обслуживания должно быть учтено, что защита данных должна обеспечиваться в условиях:

• попыток доступа к банковской информации анонимных, неавторизованных злоумышленников при использовании сетей общего пользования;
• возможности ошибок авторизованных пользователей систем;
• возможности непреднамеренного или неадекватного использования конфиденциальных данных авторизованными пользователями.

Также следует помнить, что все меры, принимаемые в обеспечении информационной безопасности должны быть строго задокументированы и описаны.

В общем можно сказать, что организация системы информационной безопасности (ИБ) в банковских организациях базируется на следующих ключевых принципах:

• Комплексность подхода

Защита информации должна быть многоуровневой и максимально охватывающей все уровни и компоненты системы (внутренние и внешние сети, серверы, рабочие станции, базы данных, приложения, сотрудников и их коммуникации).

• Сбалансированность

Важен баланс между техническими, организационными и правовыми мерами, применяемыми к ИБ.

• Многоуровневая защита информации

Должно быть обеспечено применение нескольких слоев защиты с привлечением аппаратных, программных средств и участия сотрудников. Использование одновременно брандмауэров, антивирусов, систем обнаружения вторжений, шифрования данных и средств аутентификации. Этот подход снижает риск единовременного взлома всей системы.

• Управление доступом

Этот принцип максимально подходит для банковской системы, поскольку она является примером иерархичности и потребности в ограничении доступа к разным категориям информации (общедоступной, ограниченного доступа, секретной, ультрасекретной). К тому же должен применяться популярный принцип Zero Trust (минимальных привилегий), когда каждому пользователю и системе дается только необходимый для выполнения их задач доступ.

• Контроль доступа

Согласно этому принципу необходимо не только разграничить раздачу прав пользования информацией, но и постоянно контролировать и проверять к конфиденциальной информации с помощью методов аутентификации и авторизации (например, многофакторной аутентификации), а также аудитов доступа к конфиденциальным данным.

• Непрерывный мониторинг и аудит

Согласно этому принципу необходимо обеспечить постоянный контроль за сетью, журналами активности и операциями с данными для своевременного выявления аномалий в поведении авторизованных и неавторизованных лиц, что позволяет быстро реагировать на инциденты.

• Соблюдение установленных политик безопасности 

Разработка четких внутренних регламентов по защите информации, правил работы с данными, которые в свою очередь должны быть зафиксированы документально в общем документе политики безопасности предприятия. 

• Обучение персонала

Сотрудники должны проходить постоянное обучение и расширение знаний в области кибербезопасности и защиты данных, поскольку работа в банковском секторе предполагает повышенное внимание со стороны злоумышленников. А высокая информированность сотрудников снизит вероятность проникновения в контур безопасности и влияние человеческого фактора в целом.

• Оценка рисков

Постоянный анализ угроз и уязвимостей, оценка вероятности и возможных последствий инцидентов должны стать принципом грамотного подхода к ИБ банков, поскольку это позволяет корректировать стратегию защиты на основе актуальных данных.

• Резервное копирование и планы восстановления

Наличие систем регулярного резервного копирования данных необходимо для минимизации последствий инцидентов и возможности восстановления работы в случае атак или технических сбоев.

Эти принципы позволяют создавать надежную и эффективную систему ИБ, минимизируя риски кибератак и защищая данные клиентов и активы банка. 

Методы защиты информации в банковских системах

Для предотвращения утечек и защиты данных, банки применяют различные меры:

Шифрование данных, когда все данные передаются и хранятся в зашифрованном виде, что делает их недоступными для злоумышленников (см. пункт «Применение криптошифрования»).

Многофакторная аутентификация для доступа к системам как обязательный элемент безопасности уязвимой и критично важной банковской среды. Применяется дополнительное подтверждения личности пользователя несколькими способами (пароль, биометрия, SMS-код, пуш-уведомление, авторизация в приложении и др.).

Программные продукты для блокировки вредоносных атак и внедрения опасного ПО. Примером такого продукта являются антивирусы.

Постоянный мониторинг и аудит системы безопасности для наблюдения за сетевой активностью, а также проведения тестирования системы защиты на уязвимость.

Обучение сотрудников для минимизации влияния человеческого фактора на системы ИБ.

Программные продукты для противодействия инсайдерству и утечкам из контура безопасности предприятия. Примером такого продукта является DLP-система.

Внимание! Реальные кейсы применения DLP-системы Falcongaze SecureTower предприятиями банковской сферы можно найти по ссылке.

Роль криптографии в защите данных банковской системы

Криптографические технологии играют важнейшую роль в обеспечении безопасности информации в банковском секторе. Финансовые учреждения применяют разные виды криптографии для защиты данных, гарантируя их конфиденциальность, целостность и подлинность. Рассмотрим ключевые аспекты использования криптошифрования в банках:

1. Шифрование информации.

Шифрование обеспечивает защиту персональных данных клиентов, таких как номера счетов, личные сведения и транзакции, от несанкционированного доступа. Данные шифруются на этапе передачи (с помощью протоколов TLS/SSL) и при хранении (на уровне дисков).

2. Защита платежных операций.

Обеспечивается применением технологий токенизации данных и международных банковских стандартов безопасности.

На примере токенизации: вместо хранения реальных номеров кредитных карт, банки заменяют их токенами — зашифрованными идентификаторами, которые невозможно использовать в случае утечки данных. Или, например, применение стандарта EMV (Europay + MasterCard + VISA), согласно которому в чиповых банковских картах используется криптография для защиты каждой транзакции, создавая уникальные коды для предотвращения мошенничества.

3. Аутентификация и проверка личности.

Банковский сектор открыто применяет криптографию в многофакторной аутентификации пользователей для генерации одноразовых паролей (OTP) и цифровых сертификатов, что добавляет дополнительный уровень безопасности при доступе к банковским услугам.

Популярной мерой аутентификации также является электронная подпись, которая благодаря технологии хеширования и асимметричной криптографии используется для создания подписей, подтверждающих подлинность документов и их неизменность.

4. Противодействие кибератакам.

Финансовые учреждения используют криптографические хеш-функции (например, SHA-256) для безопасного хранения паролей и других данных, делая их недоступными для злоумышленников и значительно снижая вероятность ущерба для инфраструктуры, а также предотвращают своевременно негативное воздействие на информацию.

5. Использование криптографических протоколов.

Например, протоколы TLS/SSL используются для шифрования данных, передаваемых между пользователем и банковскими системами, защищая каналы связи в интернете.

6. Управление криптографическими ключами.

Аппаратные модули безопасности (HSM) генерируют, хранят и управляют криптографическими ключами, обеспечивая их безопасность и предотвращая утечку. Для предотвращения компрометации ключей банки регулярно обновляют криптографические ключи в рамках своей политики безопасности. 

Примеры применения криптографии в банковской сфере

Система Society for Worldwide Interbank Financial Telecommunications (SWIFT) является универсифицированным стандартом передачи информации о банковских платежах, призванном улучшить международное использование банковских переводов. SWIFT использует криптографические технологии для защиты сообщений между банками по всему миру, предоставляя более высокие стандарты безопасности.

Платежные системы Visa и Mastercard используют криптографию для обеспечения безопасных онлайн-транзакций и защиты данных персональных банковских карт.

Протоколы шифрования используются и в интернет-банкинге. Они обеспечивают безопасность передачи данных, защищая учетные записи и финансовую информацию клиентов.

Таким образом, можно сказать, что криптография в банковском секторе — это основополагающий механизм защиты данных от утечек, взломов и кибератак, обеспечивающий надежную передачу и хранение конфиденциальной информации.  

Как оценить эффективность действующей системы ИБ?

Оценка эффективности системы информационной безопасности (ИБ) в банковской системе является ключевым элементом поддержания устойчивости к киберугрозам и защите финансовых данных клиентов организаций такого типа. Для объективной оценки необходимо учитывать несколько аспектов, охватывающих как технические, так и управленческие процессы.

Анализ соответствия нормативным требованиям

Эффективная система ИБ должна соответствовать требованиям регуляторов, таких как Центральный банк, международным стандартам (например, ISO/IEC 27001) и законам о защите данных (152-ФЗ). Оценка начинается с анализа того, насколько система отвечает требованиям нормативно-правовой базы. Регулярные внутренние и внешние аудиты позволяют выявить пробелы и несоответствия.

Оценка уровня защищенности активов

Важно оценить, насколько эффективно защищены критические информационные активы банка, включая клиентские данные, транзакции и корпоративные данные. Это можно сделать с помощью тестов на проникновение (penetration testing), анализа уязвимостей и моделирования угроз (threat modeling). Результаты этих тестов помогают оценить устойчивость к возможным атакам и предсказать последствия инцидентов.

Анализ инцидентов и времени реакции

Одним из важных показателей эффективности является время обнаружения и реагирования на инциденты безопасности. Система мониторинга должна оперативно фиксировать подозрительные активности, а команда реагирования — мгновенно предпринимать меры по нейтрализации угроз. Оценка проводится на основе анализа предыдущих инцидентов: как быстро они были обнаружены, насколько своевременно и эффективно были приняты меры

Уровень осведомленности сотрудников

Неотъемлемой частью системы ИБ является человеческий фактор. Регулярное обучение сотрудников вопросам информационной безопасности, их участие в моделируемых атаках позволяют оценить, насколько сотрудники готовы противостоять реальным угрозам. Эффективная система ИБ формирует высокую культуру осведомленности и безопасности среди персонала.

Показатели технической инфраструктуры

Оценка технической стороны системы ИБ включает в себя анализ используемых решений по защите данных, шифрованию, двухфакторной аутентификации и других технологических мер. Важно проверить, как эти решения справляются с современными киберугрозами и обеспечивают ли отказоустойчивость критических сервисов.

Управление рисками

Эффективная система ИБ должна быть интегрирована в общую систему управления рисками банка. Это означает регулярную оценку рисков, связанных с информационной безопасностью, разработку планов реагирования на инциденты и обеспечение их реализации. Система ИБ должна помогать минимизировать потенциальные убытки от атак, а также непрерывно адаптироваться к новым угрозам.

Экономическая целесообразность

Необходимо оценить затраты на поддержание системы ИБ относительно получаемого уровня защиты. Если расходы на безопасность значительно превышают риски, то возможна оптимизация бюджета без потери качества защиты. Оценка включает расчет экономического эффекта от предотвращенных инцидентов и потенциальных потерь в случае их возникновения.

Кто регулирует политику информационной безопасности банковских систем в России?

Политику информационной безопасности банковских систем в России контролируют несколько ключевых государственных органов и нормативных документов:

1. Центральный банк Российской Федерации (Банк России)

Выступает основным регулятором в вопросах безопасности для финансовых учреждений, разрабатывает и устанавливает обязательные требования по защите данных, а также контролирует их соблюдение. Основные правила для защиты информации в банках изложены в ряде документов. Важнейшие из них:

Положение № 683-П “Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента”, которое регулирует организацию информационной безопасности в кредитных организациях и банковских группах. Этот документ содержит обязательные меры по защите данных.

Положение № 242-П "Об организации внутреннего контроля в кредитных организациях и банковских группах", что касается внутреннего контроля в кредитных организациях и также включает меры по защите информации.

2. Федеральная служба по техническому и экспортному контролю (ФСТЭК)

ФСТЭК отвечает за регулирование информационной безопасности государственных информационных систем и объектов критической инфраструктуры, к которым относятся и банковские структуры.

Основной документ по регулированию: Приказ ФСТЭК № 17 от 11 февраля 2013 г. “Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах” устанавливает требования по защите информации в государственных и корпоративных системах, включая финансовые данные банков.

3. Федеральная служба безопасности (ФСБ)

ФСБ контролирует использование шифровальных и криптографических средств, необходимых для защиты данных, а также следит за предотвращением несанкционированного доступа к информации.

Лицензии ФСБ. Банковские учреждения обязаны применять сертифицированные ФСБ криптографические решения для обеспечения безопасности персональных данных, финансовых транзакций и внутренней коммуникации.

4. Роскомнадзор

Роскомнадзор контролирует защиту персональных данных, что особенно важно для банковских систем, учитывая объемы данных, обрабатываемых банками.

Федеральный закон "О персональных данных" от 27.07.2006 № 152-ФЗ Этот закон регулирует правила сбора, хранения и обработки персональной информации в банковской сфере.

5. Национальный центр координации компьютерных инцидентов (НКЦКИ)

НКЦКИ создан для повышения уровня защиты критической информационной инфраструктуры России, куда входит и банковская система. Этот орган занимается координацией работы по предотвращению и ликвидации кибератак и инцидентов, связанных с безопасностью данных в финансовой сфере.

6. ФинЦЕРТ (Финансовый центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере) 

Это подразделение Банка России, созданное для мониторинга, выявления и реагирования на кибератаки в финансовом секторе.

7. ГОСТы и международные стандарты

Для регулирования информационной безопасности применяются как национальные, так и международные стандарты. Например, ГОСТ Р 57580.1-2017 “Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер”. 

Таким образом, различные органы власти и регулирующие акты обеспечивают комплексную многоуровневую защиту банковских систем в России от киберугроз и других рисков, связанных с информационной безопасностью.  

Роль ФинЦЕРТ в обеспечении безопасности банковской системы

ФинЦЕРТ играет важную роль в обеспечении устойчивости и безопасности российской финансовой системы в условиях роста киберугроз.

Рассмотрим роль DLP-системы в ИБ банковской системы. 

DLP-системы для обеспечения информационной безопасности банковской системы

Информационная система банков и других финансовых организаций — хрупкая среда, в которой хранится большой объем ценных данных, от сохранности которых зависит вся система безопасности предприятия. Важным источником угроз является инсайдерство, когда сами сотрудники, клиенты, партнеры или подрядчики становятся источником слива данных. К сожалению, заранее продумать сценарий внедрения почти невозможно, поэтому рекомендуется использование превентивных мер безопасности, таких как DLP-система. На примере Falcongaze SecureTower заранее предусмотрены политики безопасности, которые обеспечивают оперативное реагирование и пресечение вероятного инцидента по утечке данных.

Политики безопасности — это специфические предустановленные ограничения на веб-действия с выбранной информацией, к которой может относиться как непосредственно массив данных, так и передаваемые документы или фото. При срабатывании политики в системе SecureTower появляется объявление об инциденте. А также, в зависимости от настроек, блокируется действие с данными и высылается информационное сообщение об опасности в адрес специалиста безопасности предприятия.

В  разрезе банковской системы для предприятия важны будут как общие политики безопасности SecureTower, автоматически отслеживающие вероятные инциденты безопасности по параметрам (запуск специализированного ПО, контроль запуска приложений, контроль использования приложений), так и узконаправленные политики, такие как утечка банковских данных SWIFT, IBAN, номеров банковского счета и другие.

Интересно! Эффективность использования программного комплекса DLP-системы Falcongaze SecureTower в банковском секторе уже доказана на практике. Подробнее об этом смогут рассказать специалисты компании, а также предоставить 30-ти дневную бесплатную версию ПО для тестирования в собственной бизнес-среде предприятия!

Последствия утечек для компаний

Утечки информации могут иметь катастрофические последствия для банков. В случае взлома системы банк теряет доверие клиентов и может столкнуться с масштабными финансовыми потерями. Например, утечка данных может привести к штрафам, судебным искам, отзывам лицензий и потерям на бирже.

Кроме того, репутационные риски могут быть даже более значимыми, чем финансовые. Клиенты, чьи данные были скомпрометированы, могут покинуть банк, что негативно скажется на его бизнесе в долгосрочной перспективе.

Обеспечение информационной безопасности в банковской системе — это стратегически важная задача, которая требует постоянных инвестиций, обновлений технологий и соблюдения нормативно-правовых актов. В условиях роста киберугроз, банки должны быть готовы реагировать на новые вызовы, обеспечивая надежную защиту данных своих клиентов и собственных систем.