Banken als Betreiber personenbezogener Daten: „nichttechnischer“ Schutz. So gewährleisten Sie den Schutz personenbezogener Daten im Unternehmen Personenbezogene Daten im Bankensektor

Fragen dazu, ob Banken, Kreditauskunfteien, Inkassobüros Betreiber personenbezogener Daten sind, ob automatisierte Banksysteme (ABS) und Remote-Banking-Systeme (RBS) zu Informationssystemen für personenbezogene Daten (PDIS) gehören, ob sie eine Bescheinigung oder Zertifizierung benötigen usw nicht mehr stehen. Antworten darauf gingen auch von Vertretern der Regulierungsbehörden im Bereich personenbezogener Daten (FSB, FSTEC, Rossvyazkomnadzor) und aus der Bankenwelt ein. Die Probleme haben sich auf die praktische Ebene verlagert – was und wie ist zu tun, damit bei der Arbeit mit personenbezogenen Daten die gesetzlichen Bestimmungen eingehalten werden. Bis zum „Examen“ wird es nicht mehr lange dauern – bis zum 1. Januar 2010 soll die Datenverarbeitung im ISPD den gesetzlichen Anforderungen angepasst werden.

Maßstab und Grenzen

Es ist bereits klar, dass Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten technisch komplex sind, hochqualifizierte Ausführende, Spezialkenntnisse und ein tiefes Verständnis der Funktionalität sowohl von Anwendungen, die personenbezogene Daten verarbeiten, als auch von Instrumenten zum Schutz von Informationen erfordern. Aus diesem Grund sehen Regulierungsdokumente der Regulierungsbehörden die Lizenzierung der Aktivitäten von Betreibern personenbezogener Daten zum technischen Schutz vertraulicher Informationen vor. Der Ausweg für Bankinstitute, die aus dem einen oder anderen Grund keine Lizenz erhalten können oder wollen, ist der Abschluss einer Vereinbarung mit einem spezialisierten Organisationslizenznehmer für die Auslagerung von Dienstleistungen zum technischen Schutz personenbezogener Daten.

Unabhängig davon, wer die Arbeiten zur Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten durchführt, sind die ersten Schritte des Betreibers ziemlich offensichtlich. Es ist notwendig, (1) alle Informationssysteme zu identifizieren, die personenbezogene Daten verarbeiten (ISPD), (2) alle identifizierten ISPD zu klassifizieren und (3) ein Bedrohungsmodell für jedes von ihnen oder Gruppen ähnlicher Systeme zu erstellen und zu aktualisieren.

Gleichzeitig ist es wichtig zu verstehen, dass die Definition von ISPD-Grenzen und deren Klassifizierung informelle Aufgaben sind, die ein Verständnis von Geschäftsprozessen erfordern. Die wichtigsten Punkte in der Phase der Erhebung und Analyse von Anfangsdaten zu ISPD sind die Bestimmung der Zwecke der Verarbeitung personenbezogener Daten und die Erstellung einer Liste von PD (zur Bestimmung der Zusammensetzung der in diese Kategorie eingestuften Informationen).

Zwei Beispiele.

Die meisten großen Organisationen, und Banken bilden hier keine Ausnahme, haben interne Unternehmensportale, die unter anderem ein Hilfesystem enthalten, das Informationen über Mitarbeiter enthält, die ihren Nachnamen, Vornamen, Patronym, Position, Bürotelefon und Büronummern, Adressen, z -Mail, in einigen Fällen - und Fotos. Bei der Bestimmung der Kategorie solcher personenbezogener Daten gemäß der Methodik der gemeinsamen Anordnung des FSTEC, des FSB und des Ministeriums für Information und Kommunikation der Russischen Föderation
vom 13. Februar 2008 N 55/86/20 "Über die Genehmigung des Verfahrens zur Klassifizierung personenbezogener Daten von Informationssystemen" ist es notwendig, vom Zweck der Datenverarbeitung auszugehen - Identifizierung von Mitarbeitern, um Kontakt mit ihnen aufzunehmen (Kategorie 3), und Wählen Sie bei der Bewertung des Koeffizienten, der die Anzahl der verarbeiteten Datensätze (X NPD) charakterisiert, als Parameter „personenbezogene Daten von Personen, die von personenbezogenen Daten betroffen sind, innerhalb einer bestimmten Organisation“. In diesem Fall gehört das Hilfesystem zur Klasse 3 (K3) der typischen ISPDs, auch wenn die Organisation mehr als 1000 Mitarbeiter beschäftigt.

Zweites Beispiel. Bei der Erstellung einer Liste personenbezogener Daten für das ABS-Segment im Zusammenhang mit der Pflege der Kredithistorie eines Kunden kann die Liste der verarbeiteten personenbezogenen Daten auf der Grundlage des Bundesgesetzes „Über Kredithistorien“ bestimmt werden. Dann beziehen sich die folgenden Informationen über den Kreditnehmer auf PD in dieser ISPD:

Vollständiger Name;
Geburtsdatum und-ort;
Angaben zu einem Reisepass oder einem anderen Identitätsdokument (Nummer, Ausstellungsdatum und -ort, Name der ausstellenden Behörde);
Versicherungsnummer eines individuellen persönlichen Kontos;
Meldeort und tatsächlicher Wohnort;
Informationen über die staatliche Registrierung einer Person als Einzelunternehmer.

In der Phase der Bestandsaufnahme und Einstufung von ISPDs ist es erforderlich, die Notwendigkeit und Zweckmäßigkeit der Einstufung von ISPDs als Sondersysteme auf der Grundlage der Bestimmungen der oben genannten gemeinsamen Verordnung und der Merkmale der Datenverarbeitung in einem bestimmten System zu bewerten.

Die Bildung eines aktualisierten Bedrohungsmodells ist ebenfalls eine schwierige und informelle Aufgabe. Es besteht die Meinung, dass es in diesem Stadium möglich ist, die Sicherheitsanforderungen erheblich zu reduzieren und das Schutzsystem zu vereinfachen, wobei die meisten Bedrohungen als irrelevant erkannt werden. Das ist nicht so. Bedrohungsaktualisierungen liegen natürlich in der Kompetenz des Betreibers, können aber nicht willkürlich durchgeführt werden. Dabei ist es notwendig, die in den ordnungsrechtlichen und methodischen Dokumenten dargelegte Methodik der Regulierungsbehörden zu befolgen und die darin festgelegten Kriterien zur Bewertung der Relevanz einzuhalten.

Rechtsfragen

Ein wichtiger Teil der Arbeit, um das Modell mit den Anforderungen der Regulierungsbehörden in Einklang zu bringen, besteht darin, die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten und, was besonders schwierig ist, für deren Übertragung an Dritte zu identifizieren und zu analysieren. Diese Gründe für Banken sind:

durch Bundesgesetze ausdrücklich vorgesehene Fälle;
Vertrag über die Erbringung von Dienstleistungen an eine Einzelperson;
Erfüllung der Pflichten des Arbeitgebers gegenüber seinen eigenen Arbeitnehmern.

Verträge mit natürlichen Personen müssen deren ausdrückliche Einwilligung in alle Fälle der Datenverarbeitung enthalten, die über die eigentliche Erbringung von Bankdienstleistungen hinausgehen. Aus rechtlicher Sicht erscheinen Bestimmungen von Vereinbarungen, die die Übermittlung personenbezogener Daten in gesetzlich nicht vorgesehenen Fällen vorsehen, sehr zweifelhaft, beispielsweise: „Die Bank und der Darlehensnehmer verpflichten sich, Informationen in keiner Weise an Dritte weiterzugeben, ..., einschließlich der personenbezogenen Daten des Kreditnehmers, sofern dies nicht gesetzlich vorgesehen ist Russische Föderation und diese Vereinbarung, einschließlich ... andere Personen , im Rahmen der Wahrnehmung und des Schutzes der Rechte, Pflichten und legitimen Interessen der Bank, wenn die Bereitstellung personenbezogener Daten erfolgt in Übereinstimmung mit etablierten Geschäftspraktiken" (vom Autor hervorgehoben). Es gibt im Bundesgesetz keine solche Grundlage für die Übertragung als Geschäftspraktiken.

ISPD-Sicherheitssystem der Bank

Basierend auf den im ISPD-Klassifizierungsgesetz festgelegten Ausgangsdaten und dem aktualisierten Bedrohungsmodell werden die im Schutzsystem zu implementierenden Sicherheitsmechanismen und die spezifischen Anforderungen an die Funktionalität dieser Mechanismen festgelegt.

Betrachten wir diese These an einem Beispiel.

Für die überwiegende Mehrheit der ISPDs ist es notwendig, Maßnahmen zu ergreifen, um personenbezogene Daten vor unbefugtem Zugriff (UAS) und anderen illegalen Handlungen zu schützen, einschließlich:

Zugangskontrolle;
Registrierung und Abrechnung;
Gewährleistung der Integrität;
Kontrolle des Fehlens nicht deklarierter Fähigkeiten;
Virenschutz;
Gewährleistung einer sicheren Zusammenschaltung von ISPD;
Sicherheitsanalyse;
Einbruchserkennung.

Es wird empfohlen, das Zugriffskontroll-Subsystem auf der Grundlage von Software zum Blockieren von unbefugtem Zugriff, Signalisierung und Registrierung (besondere Mittel zum Schutz des Betriebssystems selbst, die nicht im Kern eines Betriebssystems enthalten sind), elektronischen Datenbanken mit personenbezogenen Daten und Anwendungsprogrammen zu implementieren die die Funktionen Diagnose, Registrierung, Zerstörung, Signalisierung, Imitation implementieren.

Wiederum, Mittel zur Signalisierung muss Bediener warnen, wenn sie auf geschützte PD zugreifen, sowie den Administrator über die Entdeckung von Tatsachen warnen

UA zu personenbezogenen Daten;
Verzerrungen von Softwareschutzwerkzeugen;
Ausfall oder Ausfall des Hardwareschutzes;
Andere Tatsachen der Verletzung der regulären Funktionsweise der ISPD.

Die gleiche Analyse sollte durchgeführt werden, wenn Wege zur Neutralisierung anderer aktueller Bedrohungen ermittelt werden, auf deren Grundlage zertifizierte Informationsschutz-Tools mit der erforderlichen Funktionalität bestimmt werden. Die derzeit verfügbaren zertifizierten Informationssicherheitstools reichen aus, um fast alle Anforderungen der regulatorischen und methodischen Dokumente des FSTEC und des FSB umzusetzen, die Frage ist nur, ihre Fähigkeiten und die richtige Kombination zu kennen.

Alle heute erstellt die notwendigen Voraussetzungen Um die Anforderungen zur Gewährleistung der Sicherheit personenbezogener Daten zu erfüllen, müssen alle Finanzinstitute in der verbleibenden Zeit bis zum 1. Januar 2010 ein Subsystem zum Schutz dieser Kategorie von Informationen mit eingeschränktem Zugriff aufbauen.

Sicherheit personenbezogener Daten in der Bank

Was sind personenbezogene Daten?

Nach der Definition des Bundesgesetzes sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder anhand dieser Informationen bestimmte natürliche Person beziehen (Gegenstand personenbezogener Daten), einschließlich Name, Vorname, Vatersname, Jahr, Monat, Datum und Geburtsort, Adresse, Familie, Soziales, Vermögensstand, Ausbildung, Beruf, Einkommen, sonstige Informationen.

Wo befinden sich personenbezogene Daten?

Personenbezogene Daten (PD) in der Bank befinden sich in folgenden Systemen:

Automatisiertes Banksystem (ABS);

Client-Bank-Systeme;

Sofortüberweisungssysteme;

Buchhaltungssysteme;

Personalabrechnungssysteme;

Unternehmensinformationssystem;

Internes Webportal.

PD können auf Papierdokumenten vorhanden sein (Verträge, Formulare, Bestellungen, Anweisungen, Fragebögen, Vereinbarungen usw.).

Welche Dokumente legen Anforderungen zum Schutz personenbezogener Daten fest?

Bundesgesetze

Bundesgesetz Nr. 149-FZ vom 27. Juli 2006 „Über Informationen, Informationstechnologie und Informationsschutz“;

Regierungsverordnungen

Dekret der Regierung der Russischen Föderation Nr. 781 vom 17. November 2007 „Über die Genehmigung der Verordnung zur Gewährleistung der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“;

Dekret der Regierung der Russischen Föderation Nr. 957 vom 29. Dezember 2007 „Über die Genehmigung von Vorschriften zur Lizenzierung bestimmter Arten von Aktivitäten im Zusammenhang mit Verschlüsselungsmitteln“;

Dekret der Regierung der Russischen Föderation Nr. 687 vom 15. September 2008 „Über die Genehmigung der Vorschriften über die Besonderheiten der Verarbeitung personenbezogener Daten ohne den Einsatz von Automatisierungstools“.

FSTEC von Russland

Gemeinsame Anordnung des FSTEC Russlands, des FSB Russlands und des Ministeriums für Information und Kommunikation Russlands vom 13. Februar 2008 Nr. 55/86/20 „Über die Genehmigung des Verfahrens zur Klassifizierung personenbezogener Dateninformationssysteme“;

Leitdokument des FSTEC von Russland " Basismodell Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“;

Leitdokument des FSTEC Russlands „Methodik zur Bestimmung tatsächlicher Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung personenbezogener Daten in Informationssystemen“;

Verordnung des FSTEC Russlands vom 5. Februar 2010 Nr. 58 „Über die Genehmigung der Vorschriften über Methoden und Methoden zum Schutz von Informationen in informationellen personenbezogenen Daten“.

FSB von Russland

Verordnung des FAPSI vom 13. Juni 2001 Nr. 152 „Über die Genehmigung von Anweisungen zur Organisation und Gewährleistung der Sicherheit der Speicherung, Verarbeitung und Übertragung über Kommunikationskanäle unter Verwendung des kryptografischen Schutzes von Informationen mit begrenztem Zugang, die keine Informationen enthalten, die ein Staatsgeheimnis darstellen“;

Verordnung des Föderalen Sicherheitsdienstes der Russischen Föderation vom 9. Februar 2005 Nr. 66 "Über die Genehmigung der Verordnung über die Entwicklung, Herstellung, den Verkauf und den Betrieb von Verschlüsselungs- (kryptographischen) Informationsschutzwerkzeugen (Verordnung PKZ-2005)";

Leitdokument des FSB Russlands vom 21. Februar 2008 Nr. 149 / 54-144 „Richtlinien zur Gewährleistung der Sicherheit personenbezogener Daten mithilfe kryptografischer Tools bei der Verarbeitung in Informationssystemen für personenbezogene Daten mithilfe von Automatisierungstools“;

Leitdokument des FSB Russlands vom 21. Februar 2008 Nr. 149/6/6-622 „Typische Anforderungen an die Organisation und den Betrieb von Verschlüsselungsmitteln (kryptografischen) Mitteln zum Schutz von Informationen, die keine Informationen enthalten, die ein Staatsgeheimnis darstellen, wenn sie werden verwendet, um die Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten zu gewährleisten“;

Standard der Bank von Russland

STO BR IBBS-1.0-2010 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Allgemeine Bestimmungen";

STO BR IBBS-1.1-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Audit der Informationssicherheit“;

STO BR IBBS-1.2-2010 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Methodik zur Bewertung der Konformität der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation mit den Anforderungen von STO BR IBBS-1.0-20xx“;

RS BR IBBS-2.0-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Richtlinien für die Dokumentation im Bereich Informationssicherheit gemäß den Anforderungen von STO BR IBBS-1.0“;

RS BR IBBS-2.1-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Anleitung zur Selbstbewertung der Einhaltung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation mit den Anforderungen von STO BR IBBS-1.0“;

RS BR IBBS-2.3-2010 „Bereitstellung von Informationssicherheit für Organisationen des Bankensystems der Russischen Föderation. Anforderungen zur Gewährleistung der Sicherheit personenbezogener Daten in Informationssystemen für personenbezogene Daten von Organisationen des Bankensystems der Russischen Föderation“;

RS BR IBBS-2.4-2010 „Bereitstellung von Informationssicherheit für Organisationen des Bankensystems der Russischen Föderation. Industrielles privates Modell von Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung in PD-Informationssystemen von Organisationen von Banken des Bankensystems der Russischen Föderation“;

Methodologische Empfehlungen zur Einhaltung gesetzlicher Anforderungen bei der Verarbeitung personenbezogener Daten in RF BS-Organisationen, die gemeinsam von der Bank of Russia, dem ARB und der Association of Regional Banks of Russia (Rossija-Vereinigung) entwickelt wurden.

Wie sollten personenbezogene Daten geschützt werden?

Gemäß den Anforderungen der Methodendokumente zum Schutz von PD sind die folgenden Subsysteme allen Arten von ISPD gemeinsam:

Zugangskontroll-Subsystem;

Registrierungs- und Abrechnungssubsystem;

Integritätssubsystem;

Internet-Sicherheits-Subsystem.

Wenn das ISPD mit dem Internet verbunden ist, müssen zusätzlich folgende Subsysteme verwendet werden:

Subsystem der Antivirensicherheit;

Subsystem zur Erkennung von Eindringlingen;

Sicherheitsanalyse-Subsystem.

Es ist auch notwendig, elektronische Schlösser und/oder elektronische Schlüssel zu verwenden, um Benutzer sicher zu identifizieren und zu authentifizieren.

Wenn ISPD zusätzlich verteilt wird, um unbefugten Zugriff zu verhindern, indem geschützte Informationen von öffentlichen Informationen getrennt werden, ist es notwendig, bei der Übertragung von PD über ungesicherte Kommunikationskanäle Kryptografie sowie eine digitale Signatur zur Bestätigung der Authentizität von Daten zu verwenden.

Eine solche Untergliederung in Teilsysteme und die darauf basierende Bildung einer Liste von Produkten zum Schutz personenbezogener Daten ist allgemein akzeptiert und wird in den meisten Fällen angewendet.

Wovor müssen personenbezogene Daten geschützt werden?

Wenn die Aufgabe darin besteht, nur die Vertraulichkeit von PD zu gewährleisten, müssen Maßnahmen ergriffen und / oder technische Mittel eingesetzt werden, um den unbefugten Zugriff zu verhindern, dann werden solche PDIS typisch.

Wenn zusätzliche Anforderungen gestellt werden, um andere Eigenschaften der Informationssicherheit zu gewährleisten, wie z. B. die Gewährleistung der Integrität, Verfügbarkeit sowie deren Ableitungen (Nichtabstreitbarkeit, Rechenschaftspflicht, Angemessenheit, Zuverlässigkeit usw.), werden solche ISPD besonders. In den meisten Fällen ist jede ISPD speziell, dh neben den PD-Klassen ist es zur Bestimmung der Schutzmechanismen erforderlich, sich an dem dafür erstellten Bedrohungsmodell zu orientieren.

Wie kann man die PD-Klasse reduzieren?

Um Maßnahmen zum Schutz von PD zu reduzieren und zu vereinfachen, bedienen sich Banken verschiedener Tricks. Im Folgenden gebe ich die typischsten Möglichkeiten an, um die Kosten für Schutzausrüstung zu senken. An sich ist eine solche „Umgestaltung“ der Informationssysteme der Bank jedoch eine ziemlich komplexe und zeitraubende Aufgabe.

Reduzierung der Anzahl der Standorte

Wie oben gezeigt, werden bei einer verteilten ISPD erhöhte Anforderungen an ihren Schutz gestellt. Um sie zu reduzieren, müssen Sie versuchen, sich von der verteilten ISPD zu lösen.

Bei verteiltem ISPD befinden sich PD an verschiedenen Standorten, PD werden über Kommunikationskanäle übertragen, die nicht von der Bank kontrolliert werden, und in Allgemeiner Fall Dies bedeutet, dass PDs den kontrollierten Bereich betreten oder verlassen. Dann ist es zunächst notwendig, PD zu lokalisieren, indem die Anzahl der Standorte, an denen sie sich befinden, reduziert wird. In einigen Fällen ist dies real, aber wenn wir das ABS betrachten, wird es höchstwahrscheinlich keine solche Möglichkeit geben.

Reduzierung der Serveranzahl

Wenn ISPD lokal ist, d. h. innerhalb des lokalen Netzwerks der Bank betrieben wird, besteht der einfachste Weg zur Reduzierung der Schutzkosten darin, die Menge an Serverausrüstung zu reduzieren, auf der PD vorhanden ist und/oder verarbeitet wird.

Reduzierung der Zahl der Arbeitsplätze und des Personals

Bei jeder Art von ISPD (in Form von AWS, lokal, verteilt) wird die endgültige Verarbeitung von PD in der Regel durch das Personal der Bank durchgeführt. Wenn Sie den weiter unten erläuterten Terminalzugang nicht nutzen, ist es sinnvoll, die Zahl der Mitarbeiter der Bank zu reduzieren, die mit der Verarbeitung personenbezogener Daten befasst sind oder Zugang zu ihnen haben.

IC-Sharing mit ITU

Um die Menge an PD und damit die Kosten für Schutzausrüstung zu reduzieren, im richtigen Sinne ist die Aufteilung von Informationsnetzen in Segmente, in denen PD verarbeitet werden. Dazu ist die Installation und Nutzung von Firewalls notwendig, an deren Ports Segmente mit PD angeschlossen werden sollen. Oft alles Server-Ausstattung befinden sich in der demilitarisierten Zone, d. h. in Segmenten, die durch Firewalls von öffentlichen und Bankennetzen getrennt sind. Dieses Verfahren erfordert auch eine erhebliche "Umgestaltung" von Informationsnetzwerken. Es gibt ein Verfahren, das auf der sogenannten „linearen Verschlüsselung“ basiert, also der Verschlüsselung des Client-Client-, Client-Server-, Server-Server-Kanals. Eine solche Verschlüsselung Netzwerktraffic kann sowohl mit speziellen Schutzwerkzeugen als auch mit Standard-IPSec-Technologie implementiert werden, ist jedoch nicht vom russischen FSB zertifiziert, was sein wesentlicher Nachteil ist.

Eine andere Möglichkeit, ISPD über das gesamte Netzwerk zu trennen, könnte die Technologie virtueller Netzwerke sein – VLAN, aber tatsächlich ist VLAN nur eine Kennung in einem der Felder Netzwerkpaket, was uns erlaubt, von dieser Technologie als "IT" zu sprechen. Daher befreit die Trennung von Netzwerken durch VLANs nicht von der Verwendung von Informationssicherheitstechnologien.

Aufteilung von Datenbanken in Teile

Nehmen wir an, es gibt eine Datenbank, die aus Tausenden von Datensätzen besteht: und die Höhe der Kaution.

Lassen Sie uns zwei weitere Datenbanken erstellen. Lassen Sie uns eine zusätzliche eindeutige Kennung eingeben. Wir teilen die Tabelle in zwei Teile, in den ersten platzieren wir die Felder Vollständiger Name und Kennung, in den anderen die Kennung und die Höhe des Beitrags.

Wenn also jeder Mitarbeiter nur eine dieser neuen Datenbanken handhaben kann, dann wird der Schutz von PD stark vereinfacht, wenn nicht gar auf Null reduziert. Offensichtlich ist der Wert einer solchen Datenbank deutlich geringer als die ursprüngliche. Beide Datenbanken befinden sich auf dem sichersten Server. In Wirklichkeit gibt es jedoch viel mehr Felder in der Datenbank dieses Prinzip kann in fast allen Fällen funktionieren, weil die Zahl der aus Sicht der PD-Sicherheit bedeutsamen Felder ist nicht so groß, sondern sehr begrenzt. Im Extremfall können Sie Schlüsselübereinstimmungen auf einem PC speichern, der nicht Teil des lokalen Netzwerks ist, oder sogar keine automatisierte Verarbeitung verwenden.

Depersonalisierung von PD

Nach der Definition von 152-FZ ist die Depersonalisierung von PD eine Handlung, bei der nicht festgestellt werden kann, ob PD zu einem bestimmten PD-Subjekt gehört. Aus dieser Definition folgt eine Reihe von Methoden, mit denen PD erhalten werden können, mit denen es unmöglich ist, das Eigentum an PD zu bestimmen. Wenn beispielsweise die genauen Daten bestimmter Felder für die Verarbeitung nicht wichtig sind, können Sie diese entweder nicht anzeigen oder nur die Bereiche anzeigen, in denen sie liegen. Zum Beispiel Alter 20-30, 30-40 usw. Die Adresse kann auf den Bezirk, Bezirk oder die Stadt "gerundet" werden: Tsaritsyno, Yuzhny, Moskau. Je nach Bedarf kann der Prozess der Depersonalisierung von PD reversibel oder irreversibel sein. Irreversibel umfasst die obigen Verfahren des "Rundens" und reversibel zum Beispiel Verschlüsselung. Verschlüsselung (Encoding) kann aus meiner Sicht eine Möglichkeit zur Anonymisierung von Daten sein und sollte für diese Zwecke eingesetzt werden.

"Thin Clients" und Terminalzugriff

Durch den Einsatz von „Thin-Client“-Technologien und der entsprechenden Terminal-Access-Technologie auf Servern können die Anforderungen an den Schutz personenbezogener Daten deutlich reduziert werden. Tatsache ist, dass bei der Verwendung von "Thin" Clients" und Terminalzugriff auf dem PC der Mitarbeiter der Bank keine spezielle Software wie Client-Teile von Datenbanken, Client-Teile von ABS usw. installiert werden muss. Außerdem müssen keine speziellen Schutztools auf den PCs der Bankmitarbeiter installiert werden. Diese Technologien ermöglichen es Ihnen, Informationen aus Datenbanken anzuzeigen, die auf Servern an Ihrem Arbeitsplatz gespeichert sind, und die Verarbeitung personenbezogener Daten zu verwalten. Diese Technologien sind a priori sicher, weil. Durch die Verwendung von Terminalrichtlinien ist es einfach, die Fähigkeit von Endkunden (Mitarbeitern der Bank) einzuschränken, PD zu kopieren und somit zu verteilen. Der Kommunikationskanal zwischen Servern und einem PC mit „Thin Client“ lässt sich nämlich problemlos verschlüsseln einfache Wege die Vertraulichkeit der übermittelten Daten gewährleistet werden kann.

Die Geschwindigkeit potenzieller Datenlecks wird nur durch den visuellen Kanal begrenzt, der durch die Geschwindigkeit der Kamera oder Videokamera bestimmt wird. Mit der Einführung besonderer organisatorischer Maßnahmen wird ein solches Kopieren jedoch sehr schwierig.

Wie können personenbezogene Daten geschützt werden?

Im weiteren Sinne wird der Schutz vor unbefugtem Zugriff als eine Reihe von organisatorischen und technischen Maßnahmen verstanden. Diese Aktivitäten basieren auf einem Verständnis der Mechanismen zur Verhinderung unbefugten Zugriffs auf verschiedenen Ebenen:

Identifizierung und Authentifizierung (auch zwei-Faktor oder stark). Das kann sein ( operationssystem, Infrastruktursoftware, Anwendungssoftware, Hardware wie Dongles);

Registrierung und Abrechnung. Dies kann das Protokollieren (Protokollieren, Protokollieren) von Ereignissen in allen oben genannten Systemen, Software und Tools sein);

Gewährleistung der Integrität. Das könnte eine Berechnung sein Prüfsummen kontrollierte Dateien, Gewährleistung der Integrität Softwarekomponenten, die Verwendung eines geschlossenen Softwareumgebung, sowie das Sicherstellen eines vertrauenswürdigen Betriebssystemstarts);

Firewall, Gateway und lokal;

Virenschutz (es werden bis zu drei Verteidigungsebenen angewendet, der sogenannte mehrschichtige oder Multi-Vendor-Ansatz);

Kryptografie (funktional angewendet auf verschiedenen Ebenen des OSI-Modells (Netzwerk, Transport und höher) und bietet verschiedene Schutzfunktionen).

Es gibt mehrere komplexe Produkte, die NSD-Funktionalität entwickelt haben. Sie alle unterscheiden sich in Anwendungstypen, Hardwareunterstützung, Software und Implementierungstopologie.

Bei der Verteilung oder Verbindung mit einem öffentlichen Netzwerk (Internet, Rostelecom usw.) werden ISPD-, Sicherheitsanalyseprodukte (MaxPatrol von Positive Technologies, die keine direkten Konkurrenten in der Russischen Föderation haben) sowie Intrusion Detection and Prevention (IDS / IPS) - sowohl auf Gateway-Ebene als auch auf Endknotenebene.

Wie können personenbezogene Daten übermittelt werden?

Wenn das ISPD verteilt wird, bedeutet dies die Notwendigkeit, PD über ungesicherte Kommunikationskanäle zu übertragen. „Luft“ gilt übrigens auch für einen ungeschützten Kanal. Um TE in Kommunikationskanälen zu schützen, können verschiedene Methoden verwendet werden:

Verschlüsselung des Kommunikationskanals. Es kann auf beliebige Weise bereitgestellt werden, z. B. VPN zwischen Gateways, VPN zwischen Servern, VPN zwischen Workstations (InfoTecs ViPNet Custom, Informzaschita APKSh Continent usw.);

MPLS-Paketvermittlung. Pakete werden entlang unterschiedlicher Pfade in Übereinstimmung mit den von der Netzwerkausrüstung zugewiesenen Labels übertragen. Beispielsweise verfügt das MPLS-Netzwerk von Rostelecom über ein Konformitätszertifikat des Paketvermittlungsnetzwerks mit den Infodes russischen FSTEC, das eine Garantie für hohe Sicherheit der auf seiner Grundlage bereitgestellten Dienste darstellt.

Dokumentenverschlüsselung. Kann für verschiedene verwendet werden Software zum Verschlüsseln von Datendateien sowie Containerdateien (ViPNet SafeDisk, InfoWatch CryptoStorage, True Crypt usw.);

Verschlüsselung von Archiven. Es können verschiedene Archivierer verwendet werden, mit denen Sie Dateien mit starken Algorithmen wie AES archivieren und verschlüsseln können. (WinRAR, WinZIP, 7-ZIP usw.).

Muss ich zertifizierte Schutzausrüstung verwenden?

Bis heute gibt es nur einen FSTEC-Anforderung Russland in Bezug auf die Zertifizierung von Mitteln zum Schutz personenbezogener Daten. Die Anforderung betrifft die Bereitstellung von nicht deklarierten Fähigkeiten der Stufe 4, daher werde ich zum letzten Punkt nur drei Thesen aufstellen:

Das Zertifizierungssystem für Schutzausrüstung ist freiwillig;

Genug, um die gesetzlichen Anforderungen zu erfüllen;

Es ist nicht erforderlich, das Informationssystem für personenbezogene Daten als Ganzes zu zertifizieren.

Schauro Eugen

Kontrolle über die Umsetzung der notwendigen Regeln. Liste der verwendeten Literatur:

1. Bundesgesetz "Über Banken und Bankgeschäfte"

2. www.Grandars.ru [Elektronische Ressource] Zugriffsmodus: http://www.grandars.ru/student/finansy/vozniknovenie-bankov.html (Zugriffsdatum: 05.05.2016)

3. In-bank.ru [Elektronische Ressource] Zugriffsmodus: http://journal.ib-bank.ru/post/411 (Zugriffsdatum: 05.05.2016)

Khlestova Daria Robertovna

Email: [E-Mail geschützt]

MERKMALE DES SCHUTZES PERSONENBEZOGENER DATEN IM BANKENSEKTOR

Anmerkung

In diesem Artikel werden die Merkmale des Schutzes der personenbezogenen Daten des Kunden im Bankensektor erörtert. Es werden eine Reihe von Rechtsakten aufgeführt, auf deren Grundlage das System zur Verarbeitung und zum Schutz personenbezogener Daten in der Bank aufgebaut werden sollte. Eine Liste von Maßnahmen zur Organisation der Datensicherheit in Bankinstituten wurde hervorgehoben.

Stichworte

Personenbezogene Daten, Sicherheit in Banken, Informationssicherheit,

Schutz personenbezogener Daten

Der Schutz personenbezogener Daten ist im Zeitalter der Informationstechnologie besonders relevant geworden. Es gibt immer mehr Fälle, in denen Angreifer Zugang zu vertraulichen Informationen erhalten, indem sie die Informationssysteme von Organisationen angreifen. Zweifellos gehen die Angriffe nicht am Bankensektor vorbei. Da Banksysteme eine große Anzahl personenbezogener Daten von Kunden enthalten, sollte ihre Sicherheit unter der strengen Aufmerksamkeit des Staates und der Eigentümer von Finanzinstituten selbst stehen.

Zunächst lohnt es sich herauszufinden, welche Art von personenbezogenen Daten einer Person der Bank zugänglich werden können, wenn sie ihr Kunde wird. Es ist also obligatorisch: Nachname, Vorname und Vatersname; Geburtsdatum und-ort; Staatsbürgerschaft; Meldeort und tatsächlicher Wohnsitz; alle Passdaten (Serie, Nummer, wann und von wem das Dokument ausgestellt wurde); Handynummer u Festnetztelefon; Arbeitsplatz, Stellung. In den meisten Fällen fragen Institutionen eine Person nach zusätzlichen Informationen, aber auch ohne diese stellt sich die Liste der Daten, denen eine Person der Bank vertraut, als beeindruckend heraus. Selbstverständlich hofft der Auftraggeber, dass seine personenbezogenen Daten bei der Verarbeitung und Speicherung zuverlässig geschützt werden.

Damit Finanzinstitute ein System zur Verarbeitung und zum Schutz personenbezogener Daten qualitativ organisieren können, muss eine Liste von Rechtsakten festgelegt werden, auf die sich eine Bank bei der Arbeit mit personenbezogenen Daten von Kunden stützen sollte: Die Verfassung der Russischen Föderation ist das wichtigste Dokument des Landes; Arbeitsgesetzbuch der Russischen Föderation; Zivilgesetzbuch und Strafgesetzbuch der Russischen Föderation; Bundesgesetz Nr. 152 „Über personenbezogene Daten“; Bundesgesetz Nr. 149 "On

Informationen, Informationstechnologien und Informationsschutz“; Bundesgesetz Nr. 395-1 „Über Banken und Bankgeschäfte“. Auch in Banken werden beim Erstellen eines Systems zur Verarbeitung und Speicherung personenbezogener Daten eine Reihe lokaler Dokumente erstellt, die eine zusätzliche Kontrolle über die Arbeit mit Daten bieten.

Beim Erhalt personenbezogener Daten von einem Kunden verpflichtet sich eine Bankorganisation, alle organisatorischen und technischen Maßnahmen zu ergreifen, um die ihr anvertrauten Informationen vor unbefugtem Zugriff (zufällig oder vorsätzlich), Sperrung, Änderung, Zerstörung und anderen rechtswidrigen Handlungen zu schützen. Hervorzuheben ist eine Reihe von Maßnahmen zur qualitativen Organisation der Verarbeitung und des Schutzes personenbezogener Daten in Banken: die Ernennung von Verantwortlichen für die Verarbeitung und Gewährleistung der Datensicherheit im Informationssystem der Bank; Implementierung von Kontrollmaßnahmen und Einweisung der Mitarbeiter in die relevanten regulatorischen Rahmenbedingungen und internen Dokumente, auf denen das Datensicherheitssystem der Bank basiert; Identifizierung von Bedrohungen bei der Verarbeitung personenbezogener Daten in der Bank und Maßnahmen zu deren Abwehr; Bewertung der Wirksamkeit der angewandten organisatorischen und technischen Maßnahmen zur Gewährleistung des Datenschutzes vor der Inbetriebnahme des Schutzsystems; Abrechnung aller Maschinenträger personenbezogener Daten; Festlegung von Regeln für den Zugang zum Verarbeitungs- und Schutzsystem für Mitarbeiter; im Falle der Feststellung eines unbefugten Zugriffs auf geschützte Daten Maßnahmen ergreifen, um die Bedrohung zu beseitigen und verlorene Daten wiederherzustellen. Und eine zwingende Maßnahme für Banken mit einem funktionierenden System zur Speicherung und zum Schutz personenbezogener Kundendaten ist die ständige Überwachung und Verbesserung des Sicherheitssystems.

Es ist daher erwähnenswert, dass die Verarbeitung, Speicherung und der Schutz personenbezogener Daten in Banken auf der Grundlage der durch den Rechtsrahmen der Russischen Föderation festgelegten Bedingungen erfolgen sollten. Jedes Finanzinstitut muss: bei der Organisation des Schutzes personenbezogener Daten seiner Kunden das Legalitätsprinzip beachten; umfassende Maßnahmen zum organisatorischen und technischen Datenschutz durchführen; verlassen Sie sich bei der Erstellung lokaler Dokumente zur Informationssicherheit auf die besten russischen und internationalen Praktiken in diesem Bereich; alle Anforderungen der Aufsichtsbehörden (FSTEC, Roskomnadzor, FSB) erfüllen, um den Schutz der personenbezogenen Daten des Kunden zu gewährleisten.

Liste der verwendeten Literatur:

1. Khlestova D.R., Popov K.G. "Zur Frage der rechtlichen Aspekte des Schutzes personenbezogener Daten"

2. Bundesgesetz „Über Banken und Banktätigkeit“

3. Bank of Russia [Elektronische Ressource] Zugriffsmodus: http://www.cbr.ru/ (Zugriffsdatum: 05.06.2016)

Khlestova Daria Robertovna

Student im 2. Jahr des Instituts für Wirtschafts- und Verhaltenswissenschaften BashGU, Ufa, RF E-Mail: [E-Mail geschützt] Popov Kirill Gennadievich Wirtschaftskandidat, außerordentlicher Professor der Abteilung für Informationssicherheit, Bashkir State University, Ufa, RF

Email: [E-Mail geschützt]

BUSINESS INTELLIGENCE ALS DER LEGALSTE WEG ZUR INFORMATIONSBESCHAFFUNG

Anmerkung

Der Artikel befasst sich mit den Methoden der Business Intelligence. Es wird auch begründet, warum Business Intelligence eine legale Tätigkeit in der Wirtschaft ist. Hervorgehobene Grundprinzipien, die befolgt werden sollten,

1. GRUNDLAGEN DER SICHERHEIT PERSONENBEZOGENER DATEN

1.1 Rechtsgrundlage für den Schutz personenbezogener Daten

Heute wird in Russland eine staatliche Regulierung im Bereich der Gewährleistung der Sicherheit personenbezogener Daten durchgeführt. Die wichtigsten Rechtsakte, die das System zum Schutz personenbezogener Daten in der Russischen Föderation regeln, sind die Verfassung der Russischen Föderation und das Bundesgesetz „Über personenbezogene Daten“ vom 27. Juli 2006 Nr. 152-FZ. Diese beiden Hauptrechtsakte stellen die Hauptthesen zu personenbezogenen Daten in der Russischen Föderation auf:

Jeder Bürger hat das Recht auf Privatsphäre, persönliche und familiäre Geheimnisse, Schutz seiner Ehre und seines guten Namens;

Jeder hat das Recht auf Geheimhaltung von Korrespondenz, Telefongesprächen, postalischen, telegrafischen und anderen Mitteilungen. Eine Einschränkung dieses Rechts ist nur aufgrund einer gerichtlichen Entscheidung zulässig;

Das Sammeln, Speichern, Verwenden und Verbreiten von Informationen über das Privatleben einer Person ohne deren Zustimmung ist nicht gestattet;

Die Verarbeitung personenbezogener Daten muss auf rechtmäßiger und fairer Grundlage erfolgen;

Die Verarbeitung personenbezogener Daten sollte auf die Erfüllung bestimmter, vorher festgelegter und rechtmäßiger Zwecke beschränkt werden. Es ist nicht gestattet, personenbezogene Daten zu verarbeiten, die mit den Zwecken der Erhebung personenbezogener Daten unvereinbar sind.

Datenbanken mit personenbezogenen Daten, deren Verarbeitung zu miteinander unvereinbaren Zwecken erfolgt, dürfen nicht zusammengeführt werden.

Es werden nur personenbezogene Daten verarbeitet, die den Zwecken ihrer Verarbeitung entsprechen.

Bei der Verarbeitung personenbezogener Daten muss die Richtigkeit personenbezogener Daten, ihre Hinlänglichkeit und gegebenenfalls ihre Relevanz in Bezug auf die Zwecke der Verarbeitung personenbezogener Daten sichergestellt werden. Der Betreiber muss die erforderlichen Maßnahmen ergreifen oder sicherstellen, dass diese ergriffen werden, um unvollständige oder unrichtige Daten zu entfernen oder zu klären.

Die Speicherung personenbezogener Daten sollte in einer Form erfolgen, die es ermöglicht, den Gegenstand personenbezogener Daten zu bestimmen, und zwar nicht länger als für die Zwecke der Verarbeitung personenbezogener Daten erforderlich, es sei denn, die Frist für die Speicherung personenbezogener Daten ist durch Bundesgesetz festgelegt, zu dem eine Vereinbarung getroffen wurde Gegenstand personenbezogener Daten ist eine Partei, ein Begünstigter oder ein Bürge. Die verarbeiteten personenbezogenen Daten werden bei Erreichen der Verarbeitungsziele oder bei Wegfall der Notwendigkeit zur Erreichung dieser Ziele vernichtet oder anonymisiert, sofern das Bundesrecht nichts anderes vorsieht.

Andere Vorschriften, die im Bereich des Schutzes personenbezogener Daten in Organisationen des Bankensektors der Russischen Föderation rechtliche Auswirkungen haben, sind:

Bundesgesetz der Russischen Föderation vom 27. Juli 2006 Nr. 149 FZ „Über Informationen, Informationstechnologien und Informationsschutz“;

Arbeitsgesetzbuch der Russischen Föderation (Kapitel 14);

Dekret der Regierung der Russischen Föderation vom 1. November 2012 Nr. 1119 „Über die Genehmigung von Anforderungen zum Schutz personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“;

Verordnung des FSTEC Russlands vom 18. Februar 2013 Nr. 21 „Über die Genehmigung der Zusammensetzung und des Inhalts organisatorischer und technischer Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“.

Betrachten Sie die wichtigsten Definitionen, die in der Gesetzgebung verwendet werden.

Personenbezogene Daten – alle Informationen, die sich auf eine direkt oder indirekt identifizierte oder identifizierbare natürliche Person (Gegenstand personenbezogener Daten) beziehen.

Betreiber personenbezogener Daten - Regierungsbehörde, kommunale Körperschaft, Rechts- oder Individuell, unabhängig oder gemeinsam mit anderen Personen, die die Verarbeitung personenbezogener Daten organisieren und (oder) durchführen sowie die Zwecke der Verarbeitung personenbezogener Daten, die Zusammensetzung der zu verarbeitenden personenbezogenen Daten, mit personenbezogenen Daten durchgeführte Aktionen (Operationen) bestimmen;

Verarbeitung personenbezogener Daten - jede Aktion (Operation) oder eine Reihe von Aktionen (Operationen), die mit oder ohne Verwendung von Automatisierungswerkzeugen mit personenbezogenen Daten durchgeführt werden, einschließlich Erhebung, Aufzeichnung, Systematisierung, Akkumulation, Speicherung, Klärung (Aktualisierung, Änderung), Extraktion , Nutzung, Übermittlung (Verbreitung, Bereitstellung, Zugriff), Anonymisierung, Sperrung, Löschung, Vernichtung personenbezogener Daten;

Automatisierte Verarbeitung personenbezogener Daten - Verarbeitung personenbezogener Daten mit Mitteln Informatik;

Verbreitung personenbezogener Daten – Maßnahmen, die darauf abzielen, personenbezogene Daten einem unbestimmten Personenkreis preiszugeben;

Bereitstellung personenbezogener Daten - Maßnahmen, die darauf abzielen, personenbezogene Daten einer bestimmten Person oder einem bestimmten Personenkreis zu offenbaren;

Sperrung personenbezogener Daten - vorübergehende Aussetzung der Verarbeitung personenbezogener Daten (es sei denn, die Verarbeitung ist zur Klärung personenbezogener Daten erforderlich);

Vernichtung personenbezogener Daten – Handlungen, durch die es unmöglich wird, den Inhalt personenbezogener Daten im Informationssystem für personenbezogene Daten wiederherzustellen und (oder) durch die materielle Träger personenbezogener Daten zerstört werden;

Anonymisierung personenbezogener Daten - Aktionen, durch die dies ohne die Verwendung unmöglich wird Weitere Informationen das Eigentum an personenbezogenen Daten durch ein bestimmtes Subjekt personenbezogener Daten zu bestimmen;

Informationssystem für personenbezogene Daten - eine Reihe personenbezogener Daten, die in Datenbanken und Informationstechnologien und technischen Mitteln enthalten sind, die ihre Verarbeitung gewährleisten;

Grenzüberschreitende Übermittlung personenbezogener Daten – Übermittlung personenbezogener Daten in das Hoheitsgebiet eines ausländischen Staates an eine Behörde eines ausländischen Staates, eine ausländische natürliche Person oder eine ausländische juristische Person.

Biometrische personenbezogene Daten - Informationen, die die physiologischen und biologischen Merkmale einer Person charakterisieren, anhand derer ihre Identität festgestellt werden kann (biometrische personenbezogene Daten) und die vom Betreiber zur Identifizierung des Subjekts personenbezogener Daten verwendet werden.

Sicherheit personenbezogener Daten - der Stand des Schutzes personenbezogener Daten, gekennzeichnet durch die Fähigkeit von Benutzern, technischen Mitteln und Informationstechnologien, die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten sicherzustellen

1.2 Klassifizierung von Bedrohungen für die Informationssicherheit personenbezogener Daten.

Eine Informationssicherheitsbedrohung wird als Bedrohung der Verletzung von Info– der Verfügbarkeit, Integrität oder Vertraulichkeit der Informationsressourcen einer Organisation – verstanden.

Die Liste der Bedrohungen, die Einschätzung der Wahrscheinlichkeit ihrer Umsetzung sowie das Eindringlingsmodell dienen als Grundlage für die Analyse des Bedrohungsrisikos und die Formulierung von Anforderungen an das automatisierte Systemschutzsystem. Neben der Identifizierung mögliche Bedrohungen, ist es notwendig, die identifizierten Bedrohungen anhand ihrer Klassifizierung nach einer Reihe von Merkmalen zu analysieren. Bedrohungen, die jedem Klassifizierungsmerkmal entsprechen, ermöglichen es Ihnen, die von diesem Merkmal widergespiegelte Anforderung zu verfeinern.

Da die in modernen AS gespeicherten und verarbeiteten Informationen einer extrem großen Anzahl von Faktoren ausgesetzt sind, wird es unmöglich, die Aufgabe der Beschreibung aller Bedrohungen zu formalisieren. Daher wird für ein geschütztes System in der Regel keine Liste von Bedrohungen ermittelt, sondern eine Liste von Bedrohungsklassen.

Die Einstufung möglicher Bedrohungen für die Informationssicherheit des AS kann nach folgenden Grundmerkmalen erfolgen:

Nach der Art des Auftretens:

Naturgefahren, die durch die Auswirkungen objektiver physikalischer Prozesse oder Naturkatastrophen auf das KKW verursacht werden;

Künstliche Bedrohungen der KKW-Sicherheit durch menschliche Aktivitäten.

Je nach Grad der Intentionalität der Manifestation:

Bedrohungen durch menschliches Versagen oder Fahrlässigkeit, wie z. B. Missbrauch von Schutzausrüstung, Fahrlässigkeit im Umgang mit Daten;

Drohungen mit vorsätzlichen Handlungen, wie z. B. das Hacken eines automatisierten Systems durch Eindringlinge, die Zerstörung von Daten durch Mitarbeiter der Organisation, um Vergeltungsmaßnahmen gegen den Arbeitgeber zu ergreifen.

Nach der unmittelbaren Quelle der Bedrohung:

Naturgefahren wie Naturkatastrophen, von Menschen verursachte Katastrophen;

Menschliche Bedrohungen, zum Beispiel: Zerstörung von Informationen, Offenlegung vertraulicher Daten;

Zulässige Firmware, z. B. physischer Hardwarefehler, Softwarefehler, Softwarekonflikte;

Nicht autorisierte Software und Hardware, zum Beispiel die Einführung von Hardware-Bugs, Software-Bugs.

Nach Position der Bedrohungsquelle:

Außerhalb des kontrollierten Bereichs, zum Beispiel Abfangen von Daten, die über Kommunikationskanäle übertragen werden;

O innerhalb des kontrollierten Bereichs, z. B. unbefugtes Kopieren von Informationen, unbefugter Zugriff auf den geschützten Bereich;

Direkt rein automatisiertes System B. falsche Verwendung von AS-Ressourcen.

Je nach Grad der Abhängigkeit von AS-Aktivität:

Unabhängig von der Tätigkeit der AU, zum Beispiel der physische Diebstahl von Speichermedien;

Nur während der Datenverarbeitung, wie z. B. einer Malware-Infektion.

Nach dem Grad der Auswirkung auf das AC:

Gefährliche Drohungen, die, wenn sie implementiert werden, nichts an der Struktur und dem Inhalt des AS ändern, z. B. die Drohung, geheime Daten zu kopieren;

Aktive Bedrohungen, die, wenn sie aufgedeckt werden, Änderungen an der Struktur und dem Inhalt des AS vornehmen, z. B. das Löschen von Daten, deren Änderung.

Nach Stufen des Zugriffs von Benutzern oder Programmen auf Ressourcen:

Bedrohungen, die sich in der Phase des Zugriffs auf AS-Ressourcen manifestieren, zum Beispiel: Bedrohungen durch unbefugten Zugriff auf AS;

Bedrohungen, die nach dem Gewähren des Zugriffs auf AS-Ressourcen auftreten, z. B. falsche Verwendung von AS-Ressourcen.

Als Zugriff auf AS-Ressourcen:

Bedrohungen, die über den Standardzugriffspfad auf AS-Ressourcen ausgeführt werden

Bedrohungen, die über einen versteckten nicht standardmäßigen Zugriffspfad auf AS-Ressourcen ausgeführt werden, zum Beispiel: unbefugter Zugriff auf AS-Ressourcen durch Verwendung nicht dokumentierter Funktionen der installierten Software.

Nach aktuellem Standort der im AS gespeicherten und verarbeiteten Informationen:

Bedrohungen des Zugriffs auf Informationen, die sich auf externen Speichergeräten befinden, zum Beispiel: Kopieren vertraulicher Informationen von Speichermedien;

Bedrohungen des Zugriffs auf Informationen, die sich in befinden Arbeitsspeicher, zum Beispiel: Lesen von Restinformationen aus dem RAM, Zugriff auf den Systembereich des RAM durch Anwendungsprogramme;

Bedrohungen des Zugriffs auf Informationen, die in Kommunikationsleitungen zirkulieren, zum Beispiel: illegale Verbindung mit Kommunikationsleitungen, um Informationen zu entfernen, Senden modifizierter Daten;

Gefährliche Einwirkungen auf ein automatisiertes System werden in versehentliche und beabsichtigte Einwirkungen unterteilt.

Die Ursachen für Störfälle während des KKW-Betriebs können sein:

Notfälle aufgrund von Naturkatastrophen und Stromausfällen;

Dienstverweigerung;

Softwarefehler;

Fehler in der Arbeit des Servicepersonals und der Benutzer;

Störung von Kommunikationsleitungen durch Umwelteinflüsse.

Die Verwendung von Fehlern in Software ist die häufigste Art, die Informationssicherheit von Informationssystemen zu verletzen. Je nach Komplexität der Software steigt die Anzahl der Fehler. Angreifer können diese Schwachstellen finden und sich dadurch Zugang zum Informationssystem der Organisation verschaffen. Um diese Bedrohungen zu minimieren, ist es notwendig, die Softwareversionen immer auf dem neuesten Stand zu halten.

Vorsätzliche Bedrohungen sind mit gezielten Aktionen von Eindringlingen verbunden. Angreifer werden in zwei Typen unterteilt: interne Angreifer und externe Angreifer. Ein interner Eindringling begeht illegale Handlungen, während er sich innerhalb der kontrollierten Zone des automatisierten Systems befindet, und kann eine offizielle Autorität für einen autorisierten Zugriff auf das automatisierte System verwenden. Ein externer Angreifer hat keinen Zugriff auf die kontrollierte Zone, kann aber gleichzeitig mit einem internen Angreifer agieren, um seine Ziele zu erreichen.

Es gibt drei Hauptbedrohungen für die Informationssicherheit, die direkt auf die geschützten Informationen gerichtet sind:

Verletzung der Vertraulichkeit – vertrauliche Informationen werden nicht verändert, sondern Dritten zugänglich gemacht, denen der Zugriff auf diese Informationen nicht gestattet ist. Wenn diese Bedrohung erkannt wird, gibt es sie Große Chance Offenlegung gestohlener Informationen durch einen Angreifer, was zu finanziellen oder Reputationsschäden führen kann. Verletzung der Integrität geschützter Informationen - Verzerrung, Änderung oder Zerstörung von Informationen. Die Integrität von Informationen kann nicht vorsätzlich, sondern durch Inkompetenz oder Fahrlässigkeit eines Mitarbeiters des Unternehmens verletzt werden. Die Integrität kann auch von einem Angreifer verletzt werden, um seine eigenen Ziele zu erreichen. Beispielsweise das Ändern von Kontodetails in einem automatisierten Banksystem, um Geld auf das Konto eines Angreifers zu überweisen, oder das Ersetzen der persönlichen Daten eines Kunden einer Organisation, um Informationen über die Zusammenarbeit des Kunden mit der Organisation zu erhalten.

Verletzung der Verfügbarkeit geschützter Informationen oder Denial-of-Service – Aktionen, bei denen ein autorisierter Benutzer aus folgenden Gründen nicht auf geschützte Informationen zugreifen kann: Ausfall von Hardware, Software, Ausfall des lokalen Netzwerks.

Nachdem Sie die Bedrohungen automatisierter Systeme betrachtet haben, können Sie mit der Analyse der Bedrohungen für das Informationssystem für personenbezogene Daten fortfahren.

Informationssysteme für personenbezogene Daten sind eine Reihe von Informationen und Software- und Hardwareelementen sowie Informationstechnologien, die bei der Verarbeitung personenbezogener Daten verwendet werden.

Die Hauptelemente von ISPD sind:

In Datenbanken enthaltene personenbezogene Daten;

Informationstechnologien, die bei der Verarbeitung von PD verwendet werden;

Technische Mittel, die personenbezogene Daten verarbeiten (Computerausrüstung, Informations- und Computersysteme und -netzwerke, Mittel und Systeme zum Übertragen, Empfangen und Verarbeiten personenbezogener Daten, Mittel und Systeme zur Tonaufzeichnung, Tonverstärkung, Tonwiedergabe, Mittel zur Herstellung, Vervielfältigung von Dokumenten und andere technische Mittel zur Verarbeitung von Sprach-, Grafik-, Video- und alphanumerischen Informationen);

Software(Betriebssysteme, Datenbankverwaltungssysteme usw.);

Mittel zum Schutz von Informationen ISPDn;

Technische Hilfsmittel und -systeme - technische Mittel und Systeme, deren Kommunikation, die nicht für die Verarbeitung personenbezogener Daten bestimmt sind, sich aber in den Räumlichkeiten befinden, in denen sich das ISPD befindet.

Bedrohungen der Sicherheit personenbezogener Daten – eine Reihe von Bedingungen und Faktoren, die die Gefahr eines unbefugten, einschließlich versehentlichen Zugriffs auf personenbezogene Daten schaffen, was zur Zerstörung, Änderung, Sperrung, Vervielfältigung, Verbreitung personenbezogener Daten sowie zur Folge haben kann andere unbefugte Handlungen während ihrer Verarbeitung im Informationssystem für personenbezogene Daten.

Zu den Merkmalen des Informationssystems für personenbezogene Daten, die zur Entstehung von UBPD führen, gehören die Kategorie und der Umfang der im Informationssystem für personenbezogene Daten verarbeiteten personenbezogenen Daten, die Struktur des Informationssystems für personenbezogene Daten, das Vorhandensein von ISPD-Verbindungen zu öffentlichen Kommunikationsnetzen und (oder) internationale Informationsaustauschnetze, die Merkmale der Teilsystemsicherheit von in ISPD verarbeiteten personenbezogenen Daten, Arten der Verarbeitung personenbezogener Daten, Arten der Unterscheidung von Zugriffsrechten von ISPD-Benutzern, Standort und Bedingungen für die Platzierung von technischen ISPD-Mitteln.

Die Eigenschaften der Ausbreitungsumgebung von Informationssignalen, die geschützte Informationen enthalten, werden durch die Art der physischen Umgebung charakterisiert, in der PD verbreitet werden, und werden bei der Bewertung der Möglichkeit der Implementierung von UBPD bestimmt. Die Fähigkeiten von UBPD-Quellen werden durch eine Kombination von Methoden des unbefugten und (oder) zufälligen Zugriffs auf PD bestimmt, wodurch die Vertraulichkeit (Kopieren, illegale Verbreitung), Integrität (Zerstörung, Änderung) und Verfügbarkeit (Blockierung) von PD beeinträchtigt werden kann verletzt werden.

Die Bedrohung der Sicherheit personenbezogener Daten wird durch die Bildung eines Kanals zur Umsetzung der UBPD zwischen der Quelle der Bedrohung und dem Träger (Quelle) der PD realisiert, der Bedingungen für die Verletzung der Sicherheit der PD schafft PD.

Die Hauptelemente des UBPD-Implementierungskanals (Abbildung 1) sind:

Quelle von UBPD - ein Subjekt, materielles Objekt oder physisches Phänomen, das UBPD erzeugt;

PD-Verbreitungsumgebung oder Einflüsse, in denen sich ein physisches Feld, Signal, Daten oder Programme ausbreiten und die geschützten Eigenschaften personenbezogener Daten beeinträchtigen können;

Persönlicher Datenträger - eine Person oder ein materielles Objekt, einschließlich eines physikalischen Feldes, in dem sich PD in Form von Symbolen, Bildern, Signalen, technischen Lösungen und Prozessen, quantitativen Merkmalen physikalischer Größen widerspiegeln.

Abbildung 1. Verallgemeinertes Schema des Kanals zur Implementierung von Bedrohungen für die Sicherheit personenbezogener Daten

PD-Träger können Informationen enthalten, die in den folgenden Formen dargestellt werden:

Akustische (Sprach-)Informationen, die direkt in der gesprochenen Sprache des ISPD-Benutzers enthalten sind, wenn er die Funktion ausführt Spracheingabe PD im Informationssystem für personenbezogene Daten oder durch akustische ISPD-Mittel reproduziert (wenn solche Funktionen von der PD-Verarbeitungstechnologie bereitgestellt werden) sowie in elektromagnetischen Feldern und elektrischen Signalen enthalten, die aufgrund der Umwandlung akustischer Informationen entstehen;

Anzeigen von Informationen (VI) in Form von Text und Bildern verschiedener Informationsanzeigegeräte von Computerausrüstungen, Informations- und Computersystemen, technischen Mitteln zur Verarbeitung von Grafik-, Video- und alphanumerischen Informationen, die Teil des ISPD sind;

In ISPD verarbeitete (umlaufende) Informationen in Form von elektrischen, elektromagnetischen, optischen Signalen;

In ISPD verarbeitete Informationen, dargestellt in Form von Bits, Bytes, Dateien und anderen logischen Strukturen.

Um eine systematische Liste von UBPDs während ihrer Verarbeitung in ISPDs und der Entwicklung privater Modelle auf ihrer Grundlage in Bezug auf einen bestimmten Typ von ISPDs zu erstellen, werden Bedrohungen nach den folgenden Merkmalen klassifiziert (Abbildung 2):

Nach der Art der vor UBPD geschützten Informationen, die PD enthalten;

Nach Arten möglicher Quellen von UBPD;

Nach Art der ISPD, auf die sich die Umsetzung der UBPD richtet;

Gemäß der Methode zur Umsetzung von UBPD;

Nach der Art des Eigentums von Informationen, die verletzt werden (Art der nicht autorisierten Aktionen, die mit PD ausgeführt werden);

Durch ausgenutzte Schwachstelle;

Je nach Einflussobjekt.

Je nach Art der möglichen Quellen von UBPD werden die folgenden unterschieden

Bedrohungsklassen:

Bedrohungen im Zusammenhang mit absichtlichen oder unbeabsichtigten Handlungen von Personen, die Zugang zum ISPD haben, einschließlich Benutzern des Informationssystems für personenbezogene Daten, die Bedrohungen direkt im ISPD implementieren (interner Übertreter);

Bedrohungen im Zusammenhang mit absichtlichen oder unbeabsichtigten Handlungen von Personen, die keinen Zugang zu ISPD haben, Implementierung von Bedrohungen aus externen öffentlichen Kommunikationsnetzen und (oder) internationalen Informationsaustauschnetzen (ein externer Eindringling).

Darüber hinaus können Bedrohungen durch die Einführung von Hardware-Registerkarten und entstehen Malware.

Je nach Art der ISPD, auf die die Umsetzung der UBPD abzielt, werden folgende Bedrohungsklassen unterschieden:

UBPD verarbeitet in ISPD auf Basis einer autonomen Arbeitsstation (AWP);

UBPD, verarbeitet in ISPD auf der Grundlage eines automatisierten Arbeitsplatzes, der mit dem öffentlichen Netzwerk (dem Netzwerk des internationalen Informationsaustauschs) verbunden ist;

UBPD verarbeitet in ISPD auf der Grundlage lokaler Informationssysteme ohne Verbindung zum öffentlichen Netzwerk (zum Netzwerk des internationalen Informationsaustauschs);

UBPD verarbeitet in ISPD auf der Grundlage lokaler Informationssysteme mit Anschluss an das öffentliche Netzwerk (an das Netzwerk des internationalen Informationsaustauschs);

UBPD verarbeitet in ISPD auf der Grundlage von verteilten Informationssystemen ohne Verbindung zum öffentlichen Netz (zum Netz des internationalen Informationsaustauschs);

UBPD, verarbeitet in ISPD, basierend auf verteilten Informationssystemen, die mit einem öffentlichen Netzwerk (mit einem Netzwerk für internationalen Informationsaustausch) verbunden sind.

Die folgenden Klassen von Bedrohungen werden nach den Methoden der UBPD-Implementierung unterschieden:

Bedrohungen im Zusammenhang mit UA to PD (einschließlich Bedrohungen durch das Einschleusen von Malware);

Drohungen des Durchsickerns personenbezogener Daten durch technische Durchsickern von Informationen;

Drohungen mit besonderen Auswirkungen auf ISPD.

Je nach Art der mit PD durchgeführten unbefugten Aktionen werden folgende Klassen von Bedrohungen unterschieden:

Bedrohungen, die zu einer Verletzung der Vertraulichkeit von PD führen (Kopieren oder unbefugte Verbreitung), deren Umsetzung den Inhalt von Informationen nicht direkt betrifft;

Bedrohungen, die zu unbefugten, einschließlich zufälligen, Auswirkungen auf den Inhalt von Informationen führen, wodurch PD geändert oder zerstört werden;

Bedrohungen, die zu unbefugten, einschließlich zufälligen, Auswirkungen auf Software oder Hardware-Software-Elemente des ISPD führen, wodurch PD blockiert wird.

Durch die ausgenutzte Schwachstelle werden folgende Bedrohungsklassen unterschieden:

Bedrohungen, die mithilfe von Systemsoftware-Schwachstellen implementiert werden;

Bedrohungen, die mithilfe von Schwachstellen in Anwendungssoftware implementiert werden;

Bedrohungen, die sich aus der Verwendung einer Schwachstelle ergeben, die durch das Vorhandensein einer Hardware-Registerkarte im AS verursacht wird;

Bedrohungen, die mithilfe von Schwachstellen in Nund Datenübertragungskanälen implementiert werden;

Bedrohungen, die sich aus der Ausnutzung einer Schwachstelle ergeben, die durch Mängel in der Organisation von VBI von NSD verursacht wird;

Bedrohungen, die mithilfe von Schwachstellen implementiert werden, die das Vorhandensein technischer Kanäle für Informationslecks verursachen;

Bedrohungen, die mithilfe von Schwachstellen in der Informationssicherheit implementiert werden.

Je nach Gegenstand der Beeinflussung werden folgende Klassen von Bedrohungen unterschieden:

Bedrohungen der Sicherheit von am Arbeitsplatz verarbeiteten PD;

Bedrohungen der Sicherheit von PD, die in speziellen Verarbeitungswerkzeugen verarbeitet werden (Drucker, Plotter, Plotter, Remote-Monitore, Videoprojektoren, Tonwiedergabewerkzeuge usw.);

Bedrohungen der Sicherheit von PD, die über Kommunikationsnetze übertragen werden;

Bedrohungen für Anwendungsprogramme, die PD verarbeiten;

Bedrohungen für Systemsoftware, die das Funktionieren von ISPD gewährleistet.

Die Implementierung einer der UBPDs der aufgeführten Klassen oder deren Kombination kann zu folgenden Arten von Konsequenzen für PD-Probanden führen:

Signifikante negative Folgen für PD-Probanden;

Negative Folgen für PD-Probanden;

Unbedeutende negative Folgen für PD-Probanden.

Die Gefahr des Durchsickerns personenbezogener Daten über technische Kanäle wird durch die Merkmale der Informationsquelle, des Verbreitungsmediums und des Empfängers des Informationssignals eindeutig beschrieben, d. h. sie wird durch die Merkmale bestimmt technischer Kanal PD-Lecks.

Unautorisierte Zugriffsbedrohungen (UAH) werden als eine Reihe verallgemeinerter Klassen möglicher Quellen von UA-Bedrohungen, Software und Software-Schwachstellen dargestellt. Hardware ISPD, Möglichkeiten der Umsetzung von Bedrohungen, Einflussobjekte (Träger geschützter Informationen, Verzeichnisse, Verzeichnisse, Dateien mit PD oder PD selbst) und mögliche destruktive Aktionen. Eine solche Darstellung wird durch die folgende formalisierte Notation beschrieben (Abb. 2).

1.3 Allgemeine Merkmale von Bedrohungsquellen in Informationssystemen für personenbezogene Daten

Bedrohungen für UA in ISPD mit der Verwendung von Software und Software und Hardware werden implementiert, wenn ein unbefugter, einschließlich versehentlicher Zugriff erfolgt, wodurch die Vertraulichkeit, Integrität und Verfügbarkeit von PD verletzt werden, und umfassen:

Bedrohungen durch unbefugten Zugriff auf die Computer-Betriebsumgebung unter Verwendung von Standardsoftware (Betriebssystem-Tools oder allgemeine Anwendungsprogramme);

Drohungen, anormale Betriebsweisen von Software (Software und Hardware) zu schaffen, bedeutet, dass die Daten des Dienstes vorsätzlich geändert werden, die unter normalen Bedingungen vorgesehenen Beschränkungen für die Zusammensetzung und Eigenschaften der verarbeiteten Informationen ignoriert werden, die Daten selbst verzerrt (verändert) werden, usw.;

Abbildung 2 Klassifizierung der in Informationssystemen für personenbezogene Daten verarbeiteten UBPD

Bedrohungen durch das Einschleusen von Schadprogrammen (softwaremathematische Auswirkungen).

Die Zusammensetzung der Elemente der Beschreibung von UA-Bedrohungen für Informationen in der ISPD ist in Abbildung 3 dargestellt.

Darüber hinaus sind kombinierte Bedrohungen möglich, die eine Kombination dieser Bedrohungen darstellen. Beispielsweise können durch das Einschleusen bösartiger Programme Bedingungen für einen unbefugten Zugriff auf die Betriebsumgebung eines Computers geschaffen werden, einschließlich durch die Bildung von nicht-traditionellen Informationszugriffskanälen.

Bedrohungen durch unbefugten Zugriff auf die ISPD-Betriebsumgebung unter Verwendung von Standardsoftware werden in direkte Bedrohungen und Bedrohungen unterteilt Fernzugriff. Bedrohungen des direkten Zugriffs werden unter Verwendung von Software und Firmware I / O des Computers durchgeführt. Bedrohungen durch Fernzugriff werden mithilfe von Nimplementiert.

Solche Bedrohungen werden in Bezug auf ISPD sowohl auf der Grundlage eines automatisierten Arbeitsplatzes implementiert, der nicht in das öffentliche Kommunikationsnetz eingebunden ist, als auch in Bezug auf alle ISPD, die mit öffentlichen Kommunikationsnetzen und internationalen Informationsaustauschnetzen verbunden sind.

Abbildung 3 Klassifizierung der in Informationssystemen für personenbezogene Daten verarbeiteten UBPD

1.3.1 Allgemeine Beschreibung der Bedrohungsquellen durch unbefugten Zugriff auf das Informationssystem für personenbezogene Daten.

Bedrohungsquellen im Informationssystem für personenbezogene Daten können sein:

Eindringling;

Träger eines Schadprogramms;

Hardware-Lesezeichen.

PD-Sicherheitsbedrohungen im Zusammenhang mit der Einführung von Hardwarefehlern werden in Übereinstimmung mit den regulatorischen Dokumenten des Föderalen Sicherheitsdienstes der Russischen Föderation in der von ihm festgelegten Weise bestimmt.

Je nach Vorhandensein des Rechts auf dauerhaften oder einmaligen Zugang zur kontrollierten Zone der ISPD werden Verstöße in zwei Arten eingeteilt:

Zuwiderhandelnde, die keinen Zugang zu ISPD haben und Bedrohungen von externen öffentlichen Kommunikationsnetzen und (oder) internationalen Informationsaustauschnetzen wahrnehmen, sind externe Zuwiderhandlungen;

Übertreter, die Zugriff auf ISPD haben, einschließlich ISPD-Benutzer, die Bedrohungen direkt in ISPD implementieren, sind interne Übertreter.

Externe Eindringlinge können sein:

Konkurrierende Organisationen;

skrupellose Partner;

Externe Subjekte (Einzelpersonen).

Ein externer Eindringling hat die folgenden Fähigkeiten:

Unbefugten Zugriff auf Kommunikationswege, die über die Büroräumlichkeiten hinausgehen, vorzunehmen;

Unbefugten Zugriff über Workstations durchführen, die mit öffentlichen Kommunikationsnetzen und (oder) internationalen Informationsaustauschnetzen verbunden sind;

Unbefugten Zugriff auf Informationen mithilfe spezieller Softwareaktionen durch Softwareviren, Malware, algorithmische oder Software-Lesezeichen durchführen;

Unbefugten Zugriff durch die Elemente der Informationsinfrastruktur durch das Informationssystem auf personenbezogene Daten, die sich im Laufe ihres Lebenszyklus (Modernisierung, Wartung, Reparatur, Entsorgung) außerhalb des kontrollierten Bereichs befinden;

Um unbefugten Zugriff über die Informationssysteme interagierender Abteilungen, Organisationen und Institutionen durchzuführen, wenn sie mit ISPD verbunden sind.

Interne potenzielle Verletzer werden je nach Zugriffsmethode und Zugriffsberechtigung auf PD in acht Kategorien eingeteilt.

Die erste Kategorie umfasst Personen, die einen autorisierten Zugang zu ISPD, aber keinen Zugang zu PD haben. Zu dieser Art von Straftätern gehören Beamte, die das normale Funktionieren der ISPD sicherstellen.

Zugang zu Informationsfragmenten haben, die PD enthalten und über interne ISPD-Kommunikationskanäle verbreitet werden;

Fragmente von Informationen über die Topologie des ISPD und über die verwendeten Kommunikationsprotokolle und ihre Dienste zu haben;

Die Namen haben und die Identifizierung von Passwörtern registrierter Benutzer durchführen;

Ändern Sie die Konfiguration der ISPD-Hardware, geben Sie Software- und Hardware-Lesezeichen ein und stellen Sie den Informationsabruf unter Verwendung einer direkten Verbindung zur ISPD-Hardware bereit.

Besitzt alle Fähigkeiten von Personen der ersten Kategorie;

Kennt mindestens einen legalen Zugangsnamen;

Es verfügt über alle notwendigen Attribute, die den Zugriff auf eine bestimmte Teilmenge von PD ermöglichen;

Verfügt über vertrauliche Daten, auf die er Zugriff hat.

Der Zugriff, die Authentifizierung und die Zugriffsrechte auf eine bestimmte Teilmenge von PD sollten durch die entsprechenden Zugriffskontrollregeln geregelt werden.

Hat alle Fähigkeiten von Personen der ersten und zweiten Kategorie;

Verfügt über Informationen über die ISPD-Topologie auf der Grundlage eines lokalen und (oder) verteilten Informationssystems, über das der Zugriff bereitgestellt wird, und über die Zusammensetzung der technischen Mittel des ISPD;

Es besteht die Möglichkeit des direkten (physischen) Zugriffs auf Fragmente der technischen Mittel der ISPD.

Besitzt alle Informationenüber die im Segment (Fragment) von ISPD verwendete System- und Anwendungssoftware;

Besitzt vollständige Informationen über die technischen Mittel und die Konfiguration des ISPD-Segments (Fragment);

Hat Zugriff auf Informationssicherheits- und Protokollierungstools sowie auf einzelne Elemente, die im ISPD-Segment (Fragment) verwendet werden;

Hat Zugriff auf alle technischen Mittel des ISPD-Segments (Fragment);

Es hat die Rechte, eine Teilmenge der technischen Mittel des ISPD-Segments (Fragment) zu konfigurieren und zu verwalten.

Die Befugnisse des ISPD-Systemadministrators.

Hat alle Fähigkeiten von Personen der vorherigen Kategorien;

Besitzt vollständige Informationen über das System und die Anwendungssoftware von ISPD;

Besitzt vollständige Informationen über die technischen Mittel und die Konfiguration von ISPD;

Hat Zugang zu allen technischen Mitteln der Informationsverarbeitung und ISPD-Daten;

Besitzt die Rechte zur Konfiguration und Verwaltung der technischen ISPD-Mittel.

Der Systemadministrator konfiguriert und verwaltet Software und Ausrüstung, einschließlich Ausrüstung, die für die Sicherheit des geschützten Objekts verantwortlich ist: Mittel zum Schutz kryptografischer Informationen, Überwachung, Registrierung, Archivierung, Schutz vor unbefugtem Zugriff.

Hat alle Fähigkeiten von Personen der vorherigen Kategorien;

Besitzt vollständige Informationen über ISPD;

Hat Zugang zu Informationssicherheits- und Protokollierungstools und zu einigen der Schlüsselelemente von ISPD;

Hat keine Zugriffsrechte zur Konfiguration der Netzwerkhardware, außer zur Kontrolle (Inspektion).

Besitzt Informationen über Algorithmen und Programme zur Verarbeitung von Informationen über ISPD;

Besitzt die Fähigkeit, Fehler, nicht deklarierte Funktionen, Software-Lesezeichen, Malware in die ISPD-Software in der Phase ihrer Entwicklung, Implementierung und Wartung einzuführen;

Es kann beliebige Informationsfragmente über die Topologie des ISPD und die technischen Mittel zum Verarbeiten und Schützen der im ISPD verarbeiteten PD haben.

Hat die Fähigkeit, Lesezeichen in den technischen Mitteln von ISPD in der Phase ihrer Entwicklung, Implementierung und Wartung zu erstellen;

Es kann beliebige Informationsfragmente über die Topologie des ISPD und die technischen Mittel zum Verarbeiten und Schützen von Informationen im ISPD haben.

Träger eines Schadprogramms kann ein Hardware-Element eines Computers oder ein Software-Container sein. Wenn das Schadprogramm keinem Anwendungsprogramm zugeordnet ist, gelten als dessen Träger:

Alienable media, also eine Diskette, optische Platte, Flash-Speicher;

Eingebaute Speichermedien (Festplatten, RAM-Chips, Prozessor, Chips Hauptplatine, Mainboard, Motherboard, Mikrochips von Geräten eingebettet in Systemeinheit, - Videoadapter, Netzwerkkarte, Soundkarte, Modem, Eingabe- / Ausgabegeräte, magnetische Fest- und optische Platten, Stromversorgung usw., Direktspeicherzugriffschips, Datenbusse, Ein-/Ausgangsports);

Mikroschaltungen Externe Geräte(Monitor, Tastatur, Drucker, Modem, Scanner usw.).

Wenn ein bösartiges Programm mit einem Anwendungsprogramm, mit Dateien mit bestimmten Erweiterungen oder anderen Attributen, mit über das Netzwerk übertragenen Nachrichten verbunden ist, dann sind seine Träger:

Über ein Computernetz übertragene Nachrichtenpakete;

Dateien (Text, Grafik, ausführbare Datei usw.).

1.3.2 Allgemeine Merkmale von Bedrohungen durch direkten Zugriff auf die Betriebsumgebung des Informationssystems für personenbezogene Daten

Bedrohungen durch unbefugten Zugriff auf die Computerbetriebsumgebung und unbefugten Zugriff auf PD sind mit dem Zugriff auf Folgendes verbunden:

Auf Informationen und Befehle, die im Basis-E/A-System von ISPD gespeichert sind, mit der Möglichkeit, die Kontrolle über das Laden des Betriebssystems abzufangen und die Rechte eines vertrauenswürdigen Benutzers zu erhalten;

In der Betriebsumgebung, d. h. in der Umgebung des Funktionierens des lokalen Betriebssystems eines separaten technischen Mittels von ISPD mit der Möglichkeit, einen unbefugten Zugriff durchzuführen, indem reguläre Programme des Betriebssystems aufgerufen oder speziell entwickelte Programme gestartet werden, die solche Aktionen ausführen ;

An die Umgebung für das Funktionieren von Anwendungsprogrammen (z. B. an ein lokales Datenbankverwaltungssystem);

Direkt zu Benutzerinformationen (zu Dateien, Text, Audio und grafische Informationen, Felder und Aufzeichnungen in elektronischen Datenbanken) und sind aufgrund der Möglichkeit der Verletzung ihrer Vertraulichkeit, Integrität und Verfügbarkeit.

Diese Bedrohungen können umgesetzt werden, wenn physischer Zugang zum ISPD oder zumindest zu den Mitteln zur Eingabe von Informationen in das ISPD erlangt wird. Sie lassen sich nach den Umsetzungsbedingungen in drei Gruppen einteilen.

Die erste Gruppe umfasst Bedrohungen, die während des Ladens des Betriebssystems implementiert werden. Diese Bedrohungen der Informationssicherheit zielen darauf ab, Passwörter oder Kennungen abzufangen, die Software des grundlegenden Eingabe-/Ausgabesystems zu modifizieren, die Download-Steuerung abzufangen und die notwendigen technologischen Informationen zu ändern, um UA in der ISPD-Betriebsumgebung zu empfangen. Meistens werden solche Bedrohungen mithilfe entfremdeter Medien implementiert.

Die zweite Gruppe sind Bedrohungen, die nach dem Laden der Betriebsumgebung implementiert werden, unabhängig davon, welches Anwendungsprogramm vom Benutzer gestartet wird. Diese Bedrohungen zielen in der Regel darauf ab, direkt unbefugten Zugriff auf Informationen durchzuführen. Beim Zugriff auf die Betriebsumgebung kann ein Eindringling sowohl die Standardfunktionen des Betriebssystems oder eines öffentlichen Anwendungsprogramms (z. B. Datenbankverwaltungssysteme) als auch Programme verwenden, die speziell für den unbefugten Zugriff erstellt wurden, z. B.:

Registry-Viewer und -Änderungen;

Programme zur Textsuche Textdateien Von Schlüsselwörter und Kopieren;

Spezialprogramme zum Anzeigen und Kopieren von Datensätzen in Datenbanken;

Programme Schnellansicht Grafikdateien, deren Bearbeitung oder Vervielfältigung;

Programme zur Unterstützung der Rekonfigurationsmöglichkeiten der Softwareumgebung (ISPD-Einstellungen im Sinne des Täters).

Schließlich umfasst die dritte Gruppe Bedrohungen, deren Implementierung dadurch bestimmt wird, welches der Anwendungsprogramme durch den Benutzer gestartet wird, oder durch die Tatsache, dass eines der Anwendungsprogramme gestartet wird. Die meisten dieser Bedrohungen sind Malware-Injektionsbedrohungen.

1.3.3 Allgemeine Merkmale von Sicherheitsbedrohungen für personenbezogene Daten, die unter Verwendung von Internetworking-Protokollen implementiert werden

Wenn ISPD auf der Grundlage eines lokalen oder verteilten Informationssystems implementiert wird, können Bedrohungen der Informationssicherheit darin implementiert werden, indem Internetworking-Protokolle verwendet werden. Gleichzeitig kann NSD to PD bereitgestellt oder die Drohung mit Denial-of-Service realisiert werden. Bedrohungen sind besonders gefährlich, wenn ISPD ein verteiltes Informationssystem ist, das mit öffentlichen Netzwerken und (oder) Netzwerken für den internationalen Informationsaustausch verbunden ist. Das Klassifizierungsschema der über das Netzwerk implementierten Bedrohungen ist in Abbildung 4 dargestellt. Es basiert auf den folgenden sieben primären Klassifizierungsmerkmalen.

Abbildung 4 Klassifizierungsschema von Bedrohungen, die Internetworking-Protokolle verwenden

1. Die Art der Bedrohung. Auf dieser Grundlage können Bedrohungen passiv und aktiv sein. Eine passive Bedrohung ist eine Bedrohung, deren Implementierung sich nicht direkt auf den Betrieb des ISPD auswirkt, aber die etablierten Regeln zur Beschränkung des Zugriffs auf PD- oder Netzwerkressourcen verletzt werden können. Ein Beispiel für solche Bedrohungen ist die Bedrohung „Analyse des Netzwerkverkehrs“, die darauf abzielt, Kommunikationskanäle abzuhören und übertragene Informationen abzufangen. Eine aktive Bedrohung ist eine Bedrohung, die mit einer Auswirkung auf ISPD-Ressourcen verbunden ist, deren Implementierung sich direkt auf den Betrieb des Systems auswirkt (Konfigurationsänderung, Leistungsstörung usw.) und die gegen die festgelegten Regeln zur Beschränkung des Zugriffs auf PD verstößt oder Netzwerkressourcen. Ein Beispiel für solche Bedrohungen ist die Denial-of-Service-Bedrohung, die als "TCP Request Storm" vermarktet wird.

2. Der Zweck der Umsetzung der Bedrohung. Auf dieser Grundlage können Drohungen darauf abzielen, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu verletzen (einschließlich der Verletzung der Funktionsfähigkeit des ISPD oder seiner Elemente).

3. Die Bedingung für den Beginn des Prozesses zur Umsetzung der Bedrohung. Auf dieser Grundlage kann eine Bedrohung realisiert werden:

Auf Anfrage des Objekts, gegen das die Bedrohung implementiert wird. In diesem Fall wartet der Eindringling auf die Übertragung einer Anfrage eines bestimmten Typs, die die Bedingung für den Beginn des unbefugten Zugriffs sein wird;

Beim Eintreten eines erwarteten Ereignisses in der Einrichtung, gegen die die Bedrohung implementiert wird. In diesem Fall überwacht der Eindringling ständig den Zustand des ISPD-Betriebssystems, und wenn in diesem System ein bestimmtes Ereignis eintritt, beginnt der unbefugte Zugriff;

Unbedingte Wirkung. In diesem Fall ist der Beginn der Durchführung des unbefugten Zugriffs unbedingt in Bezug auf den Zugriffszweck, dh die Bedrohung wird sofort und unabhängig vom Zustand des Systems erkannt.

4. Verfügbarkeit Rückmeldung mit ISPD. Auf dieser Grundlage kann der Prozess der Umsetzung einer Bedrohung mit oder ohne Feedback erfolgen. Die Bedrohung, die in Gegenwart von Rückmeldungen aus dem Informationssystem für personenbezogene Daten ausgeführt wird, ist dadurch gekennzeichnet, dass einige an das ISPD übermittelte Anfragen erfordern, dass der Übertreter eine Antwort erhält. Folglich gibt es eine Rückkopplung zwischen dem Übertreter und dem Informationssystem für personenbezogene Daten, was es dem Übertreter ermöglicht, angemessen auf alle Änderungen zu reagieren, die in der ISPD auftreten. Im Gegensatz zu Bedrohungen, die in Gegenwart von Rückmeldungen aus dem Informationssystem für personenbezogene Daten implementiert werden, ist es bei der Implementierung von Bedrohungen ohne Rückmeldung nicht erforderlich, auf Änderungen zu reagieren, die in der ISPD auftreten.

5. Die Position des Eindringlings relativ zu ISPD. In Übereinstimmung mit diesem Zeichen wird die Bedrohung sowohl innerhalb als auch zwischen den Segmenten realisiert.

Netzwerksegment – eine physische Zuordnung von Hosts (ISPD-Hardware oder Kommunikationselemente mit einer Netzwerkadresse). Zum Beispiel bildet ein Segment des Informationssystems für persönliche Daten eine Menge von Hosts, die gemäß dem „gemeinsamen Bus“-Schema mit dem Server verbunden sind. Im Falle einer Bedrohung innerhalb des Segments hat der Eindringling physischen Zugriff auf die ISPD-Hardwareelemente. Wenn es eine Bedrohung zwischen den Segmenten gibt, befindet sich der Täter außerhalb des ISPD und erkennt die Bedrohung von einem anderen Netzwerk oder von einem anderen Segment des Informationssystems für persönliche Daten.

6. Die Ebene des Referenzmodells der Interaktion offener Systeme (ISO/OSI), auf der die Bedrohung implementiert ist. Auf dieser Grundlage kann eine Bedrohung auf physischer, Kanal-, Netzwerk-, Transport-, Sitzungs-, Präsentations- und Anwendungsebene des ISO/OSI-Modells implementiert werden.

7. Das Verhältnis der Anzahl der Übertreter und ISPD-Elemente, gegen die die Drohung umgesetzt wird. Auf dieser Grundlage kann eine Bedrohung als Bedrohung klassifiziert werden, die von einem Eindringling gegen ein technisches ISPD-Tool („one-to-one“-Bedrohung), gegen mehrere technische ISPD-Mittel gleichzeitig („one-to-many“-Bedrohung) oder ausgeführt wird durch mehrere Eindringlinge von verschiedenen Computern in Bezug auf ein oder mehrere technische ISPD-Mittel (verteilte oder kombinierte Bedrohungen).

Unter Berücksichtigung der vorgenommenen Klassifizierung unterscheiden wir die Hauptarten von Angriffen auf das Informationssystem personenbezogener Daten:

1. Analyse des Netzwerkverkehrs.

Diese Bedrohung wird durch eine spezielle Packet-Sniffer-Software implementiert, die alle Pakete abfängt, die über ein Netzwerksegment übertragen werden, und diejenigen herausfiltert, in denen die Benutzerkennung und das Passwort übertragen werden. Während der Implementierung der Bedrohung untersucht der Eindringling die Logik des Netzwerks – das heißt, er versucht, eine Eins-zu-eins-Korrespondenz zwischen den im System auftretenden Ereignissen und den von den Hosts zum Zeitpunkt des Auftretens gesendeten Befehlen zu erhalten diese Events. Dies ermöglicht es dem Angreifer in Zukunft, basierend auf der Vergabe geeigneter Befehle, sich privilegierte Zugriffsrechte auf das System zu verschaffen oder seine Befugnisse darin zu erweitern, den zwischen den Komponenten des Netzwerkbetriebssystems ausgetauschten Strom übertragener Daten abzufangen, um diesen abzufangen um vertrauliche oder identifizierende Informationen, ihre Ersetzung und Änderung zu extrahieren.

2. Scannen des Netzwerks.

Der Kern des Bedbesteht darin, Anfragen an die Netzwerkdienste von ISPD-Hosts zu senden und die Antworten von ihnen zu analysieren. Ziel ist es, die verwendeten Protokolle, die verfügbaren Ports von Netzwerkdiensten, die Gesetze zur Bildung von Verbindungskennungen, die Definition von aktiven Netzwerkdiensten, die Auswahl von Benutzerkennungen und Passwörtern zu identifizieren.

3. Die Bedrohung durch die Offenlegung von Passwörtern.

Das Ziel, die Bedrohung zu erkennen, besteht darin, UA durch Überwindung zu erlangen Passwortschutz. Ein Angreifer kann eine Bedrohung mit einer Vielzahl von Methoden implementieren, z. B. einfache Brute-Force, Brute-Force mit speziellen Wörterbüchern, Installation von Malware zum Abfangen des Passworts, Spoofing eines vertrauenswürdigen Netzwerkobjekts und Paketschnüffeln. Hauptsächlich für die Umsetzung der Bedrohung verwendet werden spezielle Programme die versuchen, sich durch Brute-Force-Passwörter Zugriff auf den Host zu verschaffen. Im Erfolgsfall kann sich der Angreifer einen Einstiegspunkt für zukünftige Zugriffe schaffen, der auch dann bestehen bleibt, wenn das Zugangspasswort auf dem Host geändert wird.

4.Substitution eines vertrauenswürdigen Netzwerkobjekts und Übertragung von Nachrichten über Kommunikationskanäle in seinem Namen mit der Zuweisung seiner Zugriffsrechte.

Eine solche Bedrohung wird effektiv in Systemen implementiert, in denen schwache Algorithmen zum Identifizieren und Authentifizieren von Hosts und Benutzern verwendet werden. Ein vertrauenswürdiges Objekt ist ein Netzwerkobjekt (Computer, Firewall, Router usw.), das legal mit dem Server verbunden ist. Es lassen sich zwei Varianten der Umsetzung dieser Bedrohung unterscheiden: mit und ohne Aufbau einer virtuellen Verbindung. Der Implementierungsprozess beim Aufbau einer virtuellen Verbindung besteht darin, einem vertrauenswürdigen Interaktionssubjekt die Rechte zuzuweisen, was es einem Eindringling ermöglicht, eine Sitzung mit einem Netzwerkobjekt im Namen eines vertrauenswürdigen Subjekts durchzuführen. Umsetzung der Drohung dieser Art erfordert die Überwindung des Systems der Nachrichtenidentifikation und -authentifizierung. Der Prozess der Implementierung einer Bedrohung ohne Aufbau einer virtuellen Verbindung kann in Netzwerken stattfinden, die übertragene Nachrichten nur anhand der Netzwerkadresse des Absenders identifizieren. Die Essenz liegt in der Übertragung von Dienstnachrichten im Auftrag von Netzwerksteuergeräten (beispielsweise im Auftrag von Routern) über die Änderung von Routing- und Adressdaten.

Als Ergebnis der Umsetzung der Bedrohung erhält der Übertreter die vom Benutzer für den vertrauenswürdigen Teilnehmer eingestellten Zugriffsrechte auf das technische Tool ISPD.

5. Auferlegen einer falschen Netzwerkroute.

Diese Bedrohung wird auf zwei Arten realisiert: durch Intra-Segment- oder Inter-Segment-Auferlegung. Die Möglichkeit, eine falsche Route aufzuerlegen, liegt an den Unzulänglichkeiten der Routing-Algorithmen (insbesondere am Problem der Identifizierung von Netzwerksteuerungsgeräten), wodurch Sie beispielsweise zu einem Host oder dem Netzwerk eines Angreifers gelangen können , wo Sie im Rahmen eines ISPD in die Betriebsumgebung eines technischen Tools einsteigen können . Die Implementierung der Bedrohung basiert auf der nicht autorisierten Verwendung von Routing- und Netzwerkkontrollprotokollen, um Änderungen an den Routing-Tabellen vorzunehmen. In diesem Fall muss der Eindringling eine Steuernachricht im Auftrag des Netzwerksteuergeräts (z. B. eines Routers) senden.

6. Einführung eines falschen Netzwerkobjekts.

Diese Bedrohung basiert auf der Ausnutzung von Schwachstellen in Remote-Suchalgorithmen. Wenn Netzwerkobjekte zunächst keine Adressinformationen übereinander haben, werden verschiedene Fernsuchprotokolle verwendet, die darin bestehen, spezielle Anfragen über das Netzwerk zu senden und darauf Antworten mit den erforderlichen Informationen zu erhalten. In diesem Fall besteht die Möglichkeit des Abfangens durch den Eindringling Suchanfrage und eine falsche Antwort darauf auszugeben, deren Verwendung zu der erforderlichen Änderung der Routing- und Adressdaten führt. In Zukunft wird der gesamte Informationsfluss, der mit dem Opferobjekt verbunden ist, durch das falsche Netzwerkobjekt geleitet

7. Dienstverweigerung.

Diese Bedrohungen basieren auf Fehlern in der Netzwerksoftware, ihren Schwachstellen, die es dem Eindringling ermöglichen, Bedingungen zu schaffen, unter denen das Betriebssystem eingehende Pakete nicht verarbeiten kann. Es lassen sich mehrere Arten solcher Bedrohungen unterscheiden:

Eine latente Dienstverweigerung, die durch die Beteiligung eines Teils der ISDN-Ressourcen verursacht wird, um Pakete zu verarbeiten, die von einem Angreifer mit einer Reduzierung gesendet wurden Bandbreite Kommunikationswege, Leistung von Netzwerkgeräten, Verletzung von Anforderungen an die Bearbeitungszeit von Anfragen. Beispiele für die Umsetzung solcher Bedrohungen sind: ein gerichteter Sturm von Echoanfragen über das ICMP-Protokoll, ein Sturm von Anfragen zum Aufbau von TCP-Verbindungen, ein Sturm von Anfragen an einen FTP-Server;

Ein expliziter Denial-of-Service, der durch die Erschöpfung der ISPD-Ressourcen bei der Verarbeitung von Paketen verursacht wird, die von einem Angreifer gesendet werden (Belegung der gesamten Bandbreite von Kommunikationskanälen, Überlauf von Dienstanforderungswarteschlangen), bei dem legale Anfragen aufgrund der Nichtverfügbarkeit nicht durch das Netzwerk übertragen werden können des Übertragungsmediums oder werden in der Wartung wegen überlaufender Request-Queues, Speicherplatz etc. verweigert. Beispiele für Bedrohungen dieser Art sind ICMP Broadcast Echo Request Storm, Directed Storm, Mail Server Message Storm;

Explizite Dienstverweigerung, die durch eine Verletzung der logischen Konnektivität zwischen den technischen Mitteln von ISPD verursacht wird, wenn der Täter Kontrollnachrichten im Namen von Netzwerkgeräten sendet, was zu einer Änderung von Routing- und Adressdaten oder Identifizierungs- und Authentifizierungsinformationen führt;

Eine explizite Dienstverweigerung, die von einem Angreifer verursacht wird, der Pakete mit nicht standardmäßigen Attributen oder mit einer Länge überträgt, die die maximal zulässige Größe überschreitet, was zum Ausfall von Netzwerkgeräten führen kann, die an der Verarbeitung von Anfragen beteiligt sind, vorausgesetzt, es gibt Fehler in Programmen, die Netzwerkaustauschprotokolle implementieren . Das Ergebnis der Umsetzung dieser Bedrohung kann eine Unterbrechung der Leistung des entsprechenden Dienstes für die Bereitstellung des Fernzugriffs auf PD im ISPD sein, die Übertragung von einer Adresse von so vielen Verbindungsanfragen an die technische Einrichtung im Rahmen des ISPD, die den Datenverkehr so weit wie möglich verarbeiten kann, was einen Überlauf der Anforderungswarteschlange und den Ausfall eines Netzwerkdienstes oder ein vollständiges Herunterfahren des Computers zur Folge hat, da das System nicht in der Lage ist, etwas anderes als die Verarbeitung von Anforderungen zu tun.

8.Remote-Start von Anwendungen.

Die Bedrohung liegt in dem Wunsch, verschiedene zuvor eingebettete bösartige Software auf dem ISPD-Host auszuführen: Lesezeichen, Viren, "Netzwerkspione", deren Hauptzweck darin besteht, die Vertraulichkeit, Integrität, Verfügbarkeit von Informationen und die vollständige Kontrolle über den Betrieb zu verletzen der Wirt. Darüber hinaus ist das unbefugte Starten von Benutzeranwendungsprogrammen möglich, um die für den Angreifer erforderlichen Daten unbefugt zu erhalten, um vom Anwendungsprogramm gesteuerte Prozesse zu starten usw. Es gibt drei Unterklassen dieser Bedrohungen:

Verbreitung von Dateien mit nicht autorisiertem ausführbarem Code;

Fernstart der Anwendung durch Überlaufen des Puffers von Anwendungsservern;

Remote-Start der Anwendung durch Verwendung der Remote-Systemverwaltungsfunktionen, die durch versteckte Software- und Hardware-Registerkarten bereitgestellt werden, oder durch Verwendung von Standardtools.

Typische Bedrohungen der ersten dieser Unterklassen basieren auf der Aktivierung von verteilten Dateien, wenn versehentlich darauf zugegriffen wird. Beispiele für solche Dateien sind: Dateien, die ausführbaren Code in Form von Makros enthalten ( Microsoft-Dokumente Word, Excel), HTML-Dokumente mit ausführbarem Code in Form von ActiveX-Steuerelementen, Java-Applets, interpretierte Skripte (z. B. JavaScript-Malware); Dateien mit ausführbarem Programmcode.

Für die Verteilung von Dateien können E-Mail, Dateiübertragung, Netzwerkdateisystemdienste verwendet werden.

Die Bedrohungen der zweiten Unterklasse nutzen die Mängel von Programmen, die Netzwerkdienste implementieren (insbesondere das Fehlen einer Pufferüberlaufkontrolle). Durch Einstellen von Systemregistern ist es manchmal möglich, den Prozessor nach einem Pufferüberlauf-Interrupt auf die Ausführung von Code umzuschalten, der außerhalb der Puffergrenze enthalten ist.

Bei Bedrohungen der dritten Unterklasse nutzt der Eindringling die Möglichkeiten zur Fernsteuerung des Systems, die von versteckten Komponenten oder Standardwerkzeugen zum Verwalten und Verwalten von Computernetzwerken bereitgestellt werden. Durch ihren Einsatz ist eine Fernsteuerung der Station im Netzwerk möglich. Schematisch sind die Hauptphasen der Arbeit dieser Programme wie folgt: Installation im Speicher; Warten auf eine Anfrage von einem entfernten Host, auf dem ein Client-Programm läuft, und Austauschen von Bereitschaftsnachrichten mit ihm; Übertragung abgefangener Informationen an den Client oder Überlassung der Kontrolle über den angegriffenen Computer. Mögliche Konsequenzen aus der Umsetzung von Bedrohungen verschiedener Klassen sind in Tabelle 1 dargestellt

Tabelle 1. Mögliche Folgen der Implementierung von Bedrohungen verschiedener Klassen

№ p/p	Angriffstyp		Mögliche Konsequenzen
1	Analyse des Netzwerkverkehrs		Untersuchung der Merkmale des Netzwerkverkehrs, Abfangen von übertragenen Daten, einschließlich Benutzer-IDs und Passwörtern
2	Netzwerk-Scan		Definition von Protokollen, verfügbaren Ports von Netzwerkdiensten, Regeln zur Generierung von Verbindungskennungen, aktiven Netzwerkdiensten, Benutzerkennungen und Passwörtern
3	"Passwort"-Angriff		Durchführung von destruktiven Aktionen im Zusammenhang mit der Erlangung unbefugten Zugriffs
4	Spoofing eines vertrauenswürdigen Netzwerkobjekts		Änderung der Route von Nachrichten, unbefugte Änderung von Routing- und Adressdaten. Unbefugter Zugriff auf Netzwerkressourcen, Auferlegung falscher Informationen
5	Auferlegen einer falschen Route		Unbefugte Veränderung von Routing- und Adressdaten, Analyse und Veränderung übermittelter Daten, Auferlegen von Falschmeldungen
6	Injektion eines Scheinnetzwerkobjekts		Abfangen und Anzeigen des Verkehrs. Unautorisierter Zugriff zu Netzwerkressourcen, das Auferlegen falscher Informationen
7	Denial of Service	Teilweise Erschöpfung der Ressourcen	Verringerte Bandbreite von Kommunikationskanälen, Leistung von Netzwerkgeräten. Verringerte Leistung von Serveranwendungen.
		Völlige Erschöpfung der Ressourcen	Die Unmöglichkeit der Übermittlung von Nachrichten aufgrund fehlenden Zugangs zum Übertragungsmedium, Verweigerung des Verbindungsaufbaus. Denial of Service.
		Verletzung der logischen Konnektivität zwischen Attributen, Daten, Objekten	Unfähigkeit, Nachrichten aufgrund fehlender korrekter Routing- und Adressdaten zu senden. Unfähigkeit, Dienste aufgrund unbefugter Änderung von Kennungen, Passwörtern usw. zu erhalten.
		Verwenden von Fehlern in Programmen	Ausfall von Netzwerkgeräten.
8	Remote-Anwendungsstart	Durch das Senden von Dateien, die zerstörerischen ausführbaren Code enthalten, Virusinfektion.	Verletzung der Vertraulichkeit, Integrität, Verfügbarkeit von Informationen.
		Durch Pufferüberlauf Serveranwendung
		Indem man Chancen nutzt Fernbedienung System, bereitgestellt durch versteckte Software- und Hardware-Tabs oder verwendete Standard-Tools	Versteckte Systemverwaltung.

Der Bedrohungserkennungsprozess besteht im Allgemeinen aus vier Phasen:

Sammlung von Informationen;

Intrusionen (Eindringen in die Betriebsumgebung);

Umsetzung des unbefugten Zugriffs;

Beseitigung von Spuren unbefugten Zugriffs.

In der Phase des Sammelns von Informationen kann der Übertreter an verschiedenen Informationen über ISPD interessiert sein, darunter:

Über die Topologie des Netzwerks, in dem das System arbeitet. Dadurch kann der Bereich um das Netzwerk herum untersucht werden (z. B. könnte der Eindringling an den Adressen von vertrauenswürdigen, aber weniger sicheren Hosts interessiert sein). Es gibt parallele Host-Verfügbarkeitstools, die in kurzer Zeit einen großen Bereich des Adressraums auf Host-Verfügbarkeit scannen können.;

Über die Art des Betriebssystems (OS) in ISPD. Die Methode zur Bestimmung des Betriebssystemtyps kann als die einfachste Anforderung zum Herstellen einer Verbindung über das Telnet-Fernzugriffsprotokoll bezeichnet werden, als Ergebnis davon Aussehen» Antwort können Sie den Betriebssystemtyp des Hosts bestimmen. Das Vorhandensein bestimmter Dienste kann auch als zusätzlicher Hinweis auf den Typ des Host-Betriebssystems dienen;

Über Dienste, die auf Hosts funktionieren. Die Definition von Diensten, die auf einem Host ausgeführt werden, basiert auf der Methode "offene Ports", um Informationen über die Verfügbarkeit eines Hosts zu sammeln.

In der Invasionsphase wird das Vorhandensein typischer Schwachstellen in Systemdiensten oder Fehlern in der Systemadministration untersucht. Das erfolgreiche Ergebnis der Ausnutzung von Schwachstellen ist normalerweise der Prozess der Erlangung eines privilegierten Ausführungsmodus (Zugriff auf den privilegierten Ausführungsmodus des Prozessors), der in das System eingeführt wird Konto illegaler Benutzer, das Erhalten einer Passwortdatei oder das Unterbrechen des angegriffenen Hosts.

Diese Entwicklungsphase der Bedrohung ist in der Regel mehrphasig. Die Phasen des Bedkönnen zum Beispiel umfassen: Herstellen einer Verbindung mit dem Host, gegen den die Bedrohung implementiert wird; Identifizierung von Schwachstellen; das Einschleusen eines Schadprogramms im Interesse der Ermächtigung etc.

In der Angriffsphase implementierte Bedrohungen werden in Schichten des TCP / IP-Protokollstapels unterteilt, da sie je nach verwendetem Angriffsmechanismus auf Netzwerk-, Transport- oder Anwendungsebene gebildet werden. Zu den typischen Bedrohungen, die auf Netzwerk- und Transportebene implementiert werden, gehören:

Eine Bedrohung, die darauf abzielt, ein vertrauenswürdiges Objekt zu ersetzen;

Eine Bedrohung, die darauf abzielt, eine falsche Route im Netzwerk zu erstellen;

Bedrohungen, die darauf abzielen, ein falsches Objekt unter Verwendung der Mängel von Remote-Suchalgorithmen zu erstellen;

Denial-of-Service-Drohungen.

Zu den typischen Bedrohungen, die auf Anwendungsebene implementiert werden, gehören Bedrohungen, die auf den unbefugten Start von Anwendungen abzielen, Bedrohungen, deren Implementierung mit der Einführung von Softwarefehlern verbunden ist, mit der Erkennung von Zugangspasswörtern zu einem Netzwerk oder zu einem bestimmten Host usw. Wenn die Umsetzung der Bedrohung dem Übertreter nicht die höchsten Zugriffsrechte im System eingebracht hat, sind Versuche möglich, diese Rechte auf das maximal mögliche Niveau zu erweitern. Dabei können nicht nur Schwachstellen von Netzwerkdiensten, sondern auch Schwachstellen der Systemsoftware von ISPDN-Hosts ausgenutzt werden.

In der Phase der Implementierung des unbefugten Zugriffs wird das Ziel der Implementierung der Bedrohung erreicht:

Verletzung der Vertraulichkeit (Kopieren, illegale Verbreitung);

Verletzung der Integrität (Zerstörung, Veränderung);

Verletzung der Verfügbarkeit (Sperrung).

Gleichzeitig wird nach diesen Aktionen in der Regel die sogenannte "Hintertür" in Form eines Dienstes gebildet, der einen bestimmten Hafen bedient und die Befehle des Eindringlings ausführt. Die „Hintertür“ wird im System belassen, um sicherzustellen, dass: die Möglichkeit besteht, Zugriff auf den Host zu erhalten, selbst wenn der Administrator die Schwachstelle beseitigt, die zur erfolgreichen Implementierung der Bedrohung verwendet wurde; die Fähigkeit, so diskret wie möglich auf den Host zuzugreifen; die Fähigkeit, schnell Zugriff auf den Host zu erhalten (ohne den Prozess der Implementierung der Bedrohung zu wiederholen). „Hintertür“ ermöglicht es einem Angreifer, ein bösartiges Programm in ein Netzwerk oder auf einen bestimmten Host einzuschleusen, z. B. einen „Passwortanalysator“ – ein Programm, das Benutzer-IDs und Passwörter aus dem Netzwerkverkehr extrahiert, wenn High-Level-Protokolle ausgeführt werden). Die Objekte der Malware-Injektion können Authentifizierungs- und Identifizierungsprogramme, Netzwerkdienste, der Kernel des Betriebssystems, Dateisystem, Bibliotheken usw.

Schließlich wird in der Phase der Beseitigung von Spuren der Umsetzung der Bedrohung versucht, die Spuren der Handlungen des Eindringlings zu vernichten. Dadurch werden die entsprechenden Einträge aus allen möglichen Audit-Protokollen entfernt, einschließlich Aufzeichnungen darüber, dass Informationen gesammelt wurden.

1.4 Merkmale der Bank und ihrer Aktivitäten

PJSC Citibank ist ein Finanz- und Kreditinstitut des Bankensystems der Russischen Föderation, das bereitstellt Finanzgeschäfte mit Geld und Wertpapieren. Die Bank erbringt Finanzdienstleistungen für natürliche und juristische Personen.

Die Haupttätigkeiten sind die Kreditvergabe an juristische und natürliche Personen, die Betreuung von Konten von Firmenkunden, die Gewinnung von Geldern aus der Bevölkerung in Einlagen, Operationen auf den Devisen- und Interbankenmärkten, Investitionen in Anleihen und Wechsel.

Die Bank übt ihre Finanztätigkeit seit dem 1. August 1990 auf der Grundlage der Allgemeinen Lizenz der Bank von Russland für Banktätigkeiten Nr. 356 aus.

Die Bank verfügt über drei Informationssysteme für personenbezogene Daten:

Informationssystem für personenbezogene Daten der Mitarbeiter der Bank – ermöglicht die Identifizierung von 243 Subjekten personenbezogener Daten;

Informationssystem für personenbezogene Daten des Zugangskontroll- und Verwaltungssystems - ermöglicht die Identifizierung von 243 Subjekten personenbezogener Daten;

Informationssystem für personenbezogene Daten des automatisierten Banksystems - ermöglicht die Identifizierung von 9681 Personen mit personenbezogenen Daten.

1.5 Personenbezogene Datenbanken

Die Bank muss mehrere informative personenbezogene Daten gleichzeitig schützen, nämlich:

Informationssystem für personenbezogene Daten der Mitarbeiter der Bank;

Informationssystem für personenbezogene Daten des Zugangskontroll- und Verwaltungssystems;

Informationssystem für personenbezogene Daten des automatisierten Banksystems.

1.5.1 Informationssystem für personenbezogene Daten von Mitarbeitern der Organisation

ISPD für die Mitarbeiter der Bank wird verwendet, um den Mitarbeitern der Bank zuzurechnen Löhne, Automatisierung der Arbeit von Mitarbeitern der Personalabteilung, Automatisierung der Arbeit von Mitarbeitern der Buchhaltungsabteilung der Bank und Lösung anderer Personal- und Buchhaltungsprobleme. Besteht aus einer Datenbank 1C "Gehalts- und Personalverwaltung", befindet sich auf einer separaten Workstation mit der Möglichkeit, sich über das Netzwerk mit dem Arbeitsplatz zu verbinden. Der Arbeitsplatz befindet sich im Büro der Personalabteilung. Auf der Workstation ist ein Betriebssystem installiert Microsoft Windows XP. Am Arbeitsplatz besteht keine Internetverbindung.

Vollständiger Name;

Geburtsdatum;

Serie und Nummer des Reisepasses;

Telefonnummer;

Das Recht, mit der Software 1C "Gehalts- und Personalverwaltung" und der Datenbank mit personenbezogenen Daten zu arbeiten, haben:

Hauptbuchhalter;

Assistent des Hauptbuchhalters;

Leiter der Personalabteilung;

Ein Mitarbeiter, der für die Gehaltsabrechnung der Mitarbeiter der Bank verantwortlich ist.

Manuelle Datenänderung;

1.5.2 Informationssystem für personenbezogene Daten des Zugangskontroll- und Verwaltungssystems

Das Informationssystem für personenbezogene Daten des Zugangskontroll- und Verwaltungssystems dient zur Speicherung personenbezogener Daten von Mitarbeitern und Besuchern der Bank, die Zugang zu verschiedenen Räumlichkeiten der Bank haben. ISDN des Zugangskontroll- und Verwaltungssystems wird von der Sicherheitsabteilung der Bank verwendet. Die ISPD-Datenbank wird auf der Arbeitsstation installiert, die sich im Sicherheitsraum der Sicherheitsabteilung befindet. Auf der Workstation ISPD ist das Betriebssystem Microsoft Windows 7 installiert, als Datenbankverwaltungssystem wird Microsoft DBMS verwendet SQL Server 2012. AWP ISPD hat keinen Zugriff auf das lokale Netzwerk und auch keinen Zugriff auf das Internet.

Die ISPD speichert folgende personenbezogene Daten:

Vollständiger Name;

Foto eines Mitarbeiters.

Das Recht, mit ISPDn-Zugangskontroll- und Verwaltungssystemen zu arbeiten, haben:

Leiter der Sicherheitsabteilung der Bank;

Stellvertretender Leiter der Sicherheitsabteilung der Bank;

Mitarbeiter der Sicherheitsabteilung der Bank.

Der Zugang zum automatisierten Arbeitsplatz des Zugangskontroll- und Verwaltungssystems hat:

Systemadministratoren zur Verwaltung des Arbeitsplatzes und der Software 1C „Gehalts- und Personalverwaltung“ und Personaldatendatenbank;

Mitarbeiter des für die Informationssicherheit der Bank zuständigen Bereichs zur Verwaltung des AWP-Informationsschutzsystems.

Folgende Funktionen können im ISPD für Bankmitarbeiter ausgeführt werden:

Automatisierte Löschung personenbezogener Daten;

Manuelle Löschung personenbezogener Daten;

Manuelle Datenänderung;

Manuelles Hinzufügen von personenbezogenen Daten;

Automatisierte Suche nach personenbezogenen Daten.

Das Personendateninformationssystem speichert Daten, die eine Identifizierung von 243 Mitarbeitern der Bank ermöglichen.

Nach Erreichen der Ziele der Verarbeitung der personenbezogenen Daten des Mitarbeiters werden seine personenbezogenen Daten aus dem ISPD gelöscht.

1.5.3 Persönliches Dateninformationssystem des automatisierten Banksystems

Das Informationssystem für personenbezogene Daten des automatisierten Banksystems ist darauf ausgelegt, die Arbeit der meisten Bankangestellten zu automatisieren. Es verbessert die Produktivität der Mitarbeiter. Der Komplex wird als automatisiertes Banksystem verwendet Softwareprodukte"CFT-Bank", hergestellt von der Unternehmensgruppe "Center of Financial Technologies". Als Datenbankmanagementsystem wird Oracle-Software verwendet. ISPD wird auf dem Server der Bank eingesetzt, das auf dem Server installierte Betriebssystem ist Microsoft Windows Server 2008R2. Das ISPD des automatisierten Banksystems ist mit dem lokalen Computernetzwerk der Bank verbunden, hat aber keinen Zugang zum Internet. Die Verbindung der Benutzer mit der ISPD-Datenbank erfolgt über CFT-Bank-Softwareprodukte von dedizierten virtuellen Terminals. Jeder Benutzer hat sein eigenes Login und Passwort im ISPD.

In ISPD verarbeitete personenbezogene Daten:

Vollständiger Name;

Geburtsdatum;

Serie und Nummer des Reisepasses;

Telefonnummer;

Die folgenden Personen haben das Recht, mit der CFT-Bank-Software und der Datenbank mit personenbezogenen Daten zu arbeiten:

Buchhaltungspersonal;

Kreditsachbearbeiter;

Mitarbeiter der Abteilung Risikomanagement;

Mitarbeiter der Sicherheitenabteilung;

Persönliche Manager;

Kundenmanager;

Sicherheitspersonal.

Der Zugang zum Arbeitsplatz steht zur Verfügung:

Systemadministratoren zur Verwaltung des Servers, der Datenbank mit personenbezogenen Daten und der CFT-Bank-Software;

Mitarbeiter der für die Informationssicherheit der Bank zuständigen Abteilung zur Verwaltung des Servers, der Datenbank mit personenbezogenen Daten und der Software der CFT-Bank.

Folgende Funktionen können im ISPD für Bankmitarbeiter ausgeführt werden:

Automatisierte Löschung personenbezogener Daten;

Manuelle Löschung personenbezogener Daten;

Manuelles Hinzufügen von personenbezogenen Daten;

Manuelle Datenänderung;

Automatisierte Suche nach personenbezogenen Daten.

Das Personaldaten-Informationssystem speichert Daten, die eine Identifizierung von 243 Mitarbeitern der Bank und 9.438 Kunden der Bank ermöglichen.

Nach Erreichen der Ziele der Verarbeitung der personenbezogenen Daten des Mitarbeiters werden seine personenbezogenen Daten aus dem ISPD gelöscht.

1.6 Struktur und Bedrohungen des lokalen Netzwerks der Bank

Die Bank verfügt über ein Client-Server-Netzwerk. Der Name der Domäne, in der sich die Arbeitsstationen der Benutzer befinden, lautet vitabank.ru. Insgesamt verfügt die Bank über 243 automatisierte Benutzerarbeitsplätze sowie 10 virtuelle Server und 15 virtuelle Arbeitsstationen. Die Systemadministrationsabteilung überwacht die Netzwerkleistung. Das Netzwerk basiert hauptsächlich auf Cisco-Netzwerkausrüstung. Die Kommunikation mit zusätzlichen Büros wird über VPN-Kanäle unter Verwendung des Internets über die aktiven und Backup-Kanäle des Internetanbieters aufrechterhalten. Der Informationsaustausch mit der Zentralbank erfolgt über einen speziellen Kanal sowie über herkömmliche Kommunikationskanäle.

Alle Benutzer haben auf lokalen Arbeitsstationen Zugang zum Internet, aber die Arbeit mit Dokumenten und Informationssystemen der Bank erfolgt nur über virtuelle Arbeitsstationen, auf denen der Zugang zum Internet beschränkt ist und nur lokale Ressourcen der Bank geladen werden.

Der Zugriff auf das Internet von lokalen Arbeitsstationen wird durch Zugriffsgruppen begrenzt:

Mindestzugang - Zugang nur zu den Ressourcen der föderalen Dienste, zur Website der Bank von Russland;

Normaler Zugriff - alle Ressourcen sind erlaubt außer Unterhaltung, soziale Netzwerke, ist es verboten, Videos anzusehen und Dateien herunterzuladen.

Vollständiger Zugriff – alle Ressourcen und Datei-Uploads sind erlaubt;

Die Ressourcenfilterung nach Zugriffsgruppen wird vom Proxy-Server implementiert.

Unten sehen Sie ein Diagramm des Netzwerks von PJSC Citibank (Abb. 5).

1.7 Informationssicherheitstools

Informationssicherheitstools sind eine Reihe von technischen, elektrischen, elektronischen, optischen und anderen Geräten und Geräten, Geräten und technischen Systemen sowie anderen Elementen, die zur Lösung verschiedener Probleme der Informationssicherheit verwendet werden, einschließlich der Verhinderung von Lecks und der Gewährleistung der Sicherheit geschützter Informationen .

Inzur Verhinderung vorsätzlicher Handlungen können je nach Implementierungsmethode in Gruppen eingeteilt werden:

Technische (Hardware) bedeutet. Dies sind Geräte verschiedener Art (mechanisch, elektromechanisch, elektronisch usw.), die die Probleme des Informationsschutzes mit Hardware lösen. Sie verhindern den Zugriff auf Informationen, auch durch Maskierung. Zur Hardware gehören: Rauschgeneratoren, Netzwerkfilter, Scanning-Radios und viele andere Geräte, die potenzielle Informationsleckkanäle „blockieren“ oder deren Erkennung ermöglichen. Die Vorteile technischer Mittel liegen in ihrer Zuverlässigkeit, Unabhängigkeit von subjektiven Faktoren und hoher Modifikationsresistenz. Schwache Seiten- Mangel an Flexibilität, relativ großes Volumen und Gewicht, hohe Kosten.

Abbildung 5 Netzwerkdiagramm der PJSC Citibank

Zu den Softwaretools gehören Programme zur Benutzeridentifikation, Zugriffskontrolle, Informationsverschlüsselung, Löschung verbleibender (funktionierender) Informationen wie temporärer Dateien, Teststeuerung des Schutzsystems usw. Die Vorteile von Softwaretools sind Vielseitigkeit, Flexibilität, Zuverlässigkeit und einfache Installation , Fähigkeit zu ändern und zu entwickeln. Nachteile - eingeschränkte Funktionalität des Netzwerks, Nutzung eines Teils der Ressourcen des Dateiservers und der Arbeitsstationen, hohe Empfindlichkeit gegenüber versehentlichen oder absichtlichen Änderungen, mögliche Abhängigkeit von den Computertypen (ihrer Hardware).

Gemischte Hardware und Software implementieren die gleichen Funktionen wie Hardware und Software separat und haben Zwischeneigenschaften.

Alle Büroräume der Bank werden vom Sicherheitsdienst mit einem Zutrittskontroll- und Verwaltungssystem sowie einem Videoüberwachungssystem überwacht. Der Zutritt zu den Geschäftsräumen der Bank erfolgt mit den entsprechenden Berechtigungen im Zutrittskontroll- und Verwaltungssystem. Einem Mitarbeiter, der sich um eine Stelle bewirbt, oder einem Besucher der Bank, wenn es notwendig ist, die Büroräume der Bank zu betreten, werden kontaktlose Proximity-Karten ausgestellt, auf denen die Benutzerkennung aufgezeichnet ist, und wenn er versucht, das Büro zu betreten, diese Kennung wird an das Zutrittskontroll- und Verwaltungssystem übermittelt. Das System vergleicht die Liste der Räume, die der Kartenbenutzer betreten darf, mit dem Raum, den er betreten möchte, und erlaubt oder beschränkt den Zugang zu dem Raum.

Auf den Arbeitsplätzen der Bank ist die Antivirensoftware Kaspersky Endpoint Security 10 installiert, die über ein bis zum 25. November 2019 gültiges Konformitätszertifikat der FSTEC of Russia Nr. 3025 verfügt, die Virensignaturdatenbanken werden zentral vom Serverteil aktualisiert Antivirus, der auf dem Server in der Bank installiert ist.

Um die elektronische Dokumentenverwaltung mit der Zentralbank zu organisieren, unterhielten die Behörden der Bank eine spezielle Kommunikationsleitung.

Organisieren Sie das elektronische Dokumentenmanagement mit föderale Dienste(Federal Tax Service, Pension Fund of Russia, Financial Monitoring Service usw.) wird eine elektronische Signatur verwendet. Arbeiten mit elektronische Unterschrift spezialisierte Software wird auf lokalen Arbeitsstationen von Ausführenden installiert, die für den Dokumentenumlauf mit föderalen Diensten verantwortlich sind:

Crypto-Pro-CSP;

Krypto-ARM;

CIPF Verba-OW;

CIPF-Validierung;

Signal-COM-CSP.

Die Nutzung bestimmter Software durch den Auftragnehmer richtet sich nach den Vorgaben einer bestimmten Bundesbehörde.

Eine Cisco ASA 5512-Firewall, hergestellt von der Cisco Corporation, ist am Rand des lokalen Netzwerks der Bank installiert. Außerdem werden kritische Bankensysteme (Workstation of the Bank of Russia Client, SWIFT, ISPD der Bank) zusätzlich durch Cisco-Firewalls vom lokalen Netzwerk der Bank getrennt. VPN-Tunnel für die Kommunikation mit einem weiteren Büro werden über Cisco-Firewalls organisiert.

1.8 Organisatorische Sicherungsmaßnahmen

Laut einer Studie des britischen Wirtschaftsprüfungs- und Beratungsunternehmens Ernst & Yong aus dem Jahr 2014 betrachten 69 Prozent der an der Studie teilnehmenden Unternehmen die Mitarbeiter des Unternehmens als Hauptquelle für Bedrohungen der Informationssicherheit.

Mitarbeiter des Unternehmens können aus Unwissenheit oder ihrer Inkompetenz im Bereich der Informationssicherheit kritische Informationen preisgeben, die zur Durchführung gezielter Angriffe auf die Organisation erforderlich sind. Die Angreifer versenden auch Phishing-Nachrichten mit eingebetteter Schadsoftware, die es den Angreifern ermöglicht, die Kontrolle über den Arbeitsplatz des Mitarbeiters zu erlangen und von diesem Arbeitsplatz aus die Informationssysteme der Bank anzugreifen.

Daher ist die Abteilung Informationssicherheit in der Bank verpflichtet, die Mitarbeiter der Bank in den Grundprinzipien der Informationssicherheit zu schulen, die Einhaltung der Sicherheitsanforderungen bei der Arbeit am Arbeitsplatz zu überwachen und die Mitarbeiter der Bank über neue Bedrohungen der Informationssicherheit zu informieren, denen sie möglicherweise ausgesetzt sind .

Bei der PJSC Citibank durchlaufen alle Mitarbeiter ein einführendes Briefing zur Beschäftigung. Auch neue Mitarbeiter, aus anderen Strukturbereichen übernommene Mitarbeiter werden in der Abteilung Informationssicherheit einer ersten Einweisung unterzogen, bei der den Mitarbeitern die Grundregeln der Informationssicherheit bei der Arbeit mit den Informationssystemen der Bank, Sicherheitsregeln bei der Arbeit im Internet, Sicherheitsregeln erklärt werden bei der Arbeit mit E-Mail-Bank, Passwort-Richtlinie der Bank.

Mitarbeiter der Abteilung Informationssicherheit der Bank sind auf allen Ebenen der Systementwicklung an der Entwicklung und Implementierung neuer Informationssysteme der Bank beteiligt.

In der Phase des Systemdesigns und der Vorbereitung der Aufgabenstellung für die Entwicklung eines Informationssystems legt die Abteilung für Informationssicherheit Sicherheitsanforderungen an das System fest.

In der Phase der Entwicklung eines Informationssystems studieren Mitarbeiter der Informationssicherheitsabteilung die aktuelle Dokumentation und testen die Software auf mögliche Schwachstellen im Programmcode.

In der Phase des Testens und der Inbetriebnahme des Informationssystems beteiligt sich die Abteilung für Informationssicherheit aktiv am Testen des Informationssystems, führt Penetrationstests in das Informationssystem und Denial-of-Service-Tests durch und verteilt auch Zugriffsrechte auf das Informationssystem.

In der Betriebsphase des bereits in Betrieb genommenen Informationssystems überwacht und erkennt die Abteilung für Informationssicherheit verdächtige Aktivitäten.

In der Phase der Fertigstellung des Informationssystems erstellt die Abteilung für Informationssicherheit auf der Grundlage der während des Betriebs des Informationssystems erhaltenen Daten neue Anforderungen an das Informationssystem.

Die Informationssicherheitsabteilung der PJSC Citibank genehmigt alle Anträge auf Zugriff auf Ressourcen im Internet sowie auf die internen Ressourcen der Bank.

1.9 Verarbeitungszyklus personenbezogener Daten

Die in der Bank gespeicherten personenbezogenen Daten wurden nur legal erlangt.

Die erhaltenen personenbezogenen Daten eines Mitarbeiters der Bank werden nur verarbeitet, damit die Bank ihre Verpflichtungen aus dem mit dem Mitarbeiter geschlossenen Vertrag erfüllen kann. Die personenbezogenen Daten des Mitarbeiters der Bank werden vom Mitarbeiter selbst erhoben. Alle Mitarbeiter der Bank werden gegen Unterschrift mit den Dokumenten der Bank vertraut gemacht, die das Verfahren zur Verarbeitung personenbezogener Daten von Mitarbeitern der Bank sowie ihre Rechte und Pflichten in diesem Bereich festlegen.

Die im ISPD des Zutrittskontroll- und Verwaltungssystems gespeicherten personenbezogenen Daten von Bankangestellten sollen es dem Mitarbeiter ermöglichen Arbeitsplatz.

Die im ISPD des automatisierten Banksystems gespeicherten personenbezogenen Daten der Kunden der Bank werden dort nur verarbeitet, damit die Bank ihre Verpflichtungen aus dem mit dem Kunden der Bank abgeschlossenen Vertrag erfüllen kann. Auch im ISPD des automatisierten Banksystems werden personenbezogene Daten von Personen verarbeitet, die keinen Vertrag mit der Bank abgeschlossen haben, aber legal erhalten wurden, z. B. personenbezogene Daten, die auf Antrag des Bundesgesetzes Nr. erhalten und verarbeitet wurden mit kriminellen Mitteln und Terrorismusfinanzierung“.

Nach Erreichen der Zwecke der Verarbeitung personenbezogener Daten werden diese vernichtet oder anonymisiert.

2. ENTWICKLUNG VON MASSNAHMEN ZUM SCHUTZ PERSONENBEZOGENER DATEN IN DER BANK

Bei der PJSC Citibank wird das System zum Schutz personenbezogener Daten sowohl durch Gesetze auf Landesebene als auch durch lokale Vorschriften (z. B. die Regeln für Remote Banking) geregelt Rechtspersonen und einzelne Unternehmer bei PJSC CITIBANK“ in Anhang 1).

Das System zum Schutz personenbezogener Daten von PJSC Citibank ist ausreichend eingerichtet, um einfache Angriffe wie Phishing und die Infektion von Workstations mit Ransomware-Viren zu vermeiden, aber es ist nicht in der Lage, gezielten Angriffen zu widerstehen, die auf den Diebstahl personenbezogener Daten abzielen.

Ich habe Arbeiten zur Umstrukturierung und Modernisierung des Systems zum Schutz personenbezogener Daten durchgeführt.

2.1 Maßnahmen zum Schutz des lokalen Computernetzwerks der Bank und des Informationssystems für persönliche Daten

Im Netzwerk der PJSC Citibank gibt es ausgeprägte Schwachstellen, die Angreifer nutzen können voller Zugriff in das Netzwerk der Bank einzubinden und die Kontrolle darüber zu übernehmen, woraufhin sie die persönlichen Daten von Kunden oder Mitarbeitern der Bank ungehindert stehlen, ändern oder löschen können.

Da das Netzwerk der Bank ein einziges Segment ist, muss es, um das Risiko des Eindringens von Eindringlingen in das Netzwerk der Bank zu minimieren, mittels virtueller Netzwerktechnologie in mehrere Segmente unterteilt werden.

Das Konzept der virtuellen Netzwerktechnologie (VLAN) besteht darin, dass der Netzwerkadministrator darin logische Gruppen von Benutzern erstellen kann, unabhängig davon, mit welchem Teil des Netzwerks sie verbunden sind. Sie können Benutzer beispielsweise anhand der Gemeinsamkeit der geleisteten Arbeit oder der gemeinsam gelösten Aufgabe zu logischen Arbeitsgruppen zusammenfassen. Gleichzeitig können Benutzergruppen miteinander interagieren oder füreinander komplett unsichtbar sein. Die Gruppenmitgliedschaft kann geändert werden und ein Benutzer kann Mitglied mehrerer Gruppen sein logische Gruppen. Virtuelle Netzwerke bilden logische Broadcast-Domänen, die den Durchgang von Broadcast-Paketen durch das Netzwerk einschränken, genau wie Router, die den Broadcast-Verkehr zwischen Netzwerksegmenten isolieren. Auf diese Weise verhindert das virtuelle Netzwerk das Auftreten von Broadcaststürmen, da Broadcastnachrichten auf Mitglieder des virtuellen Netzwerks beschränkt sind und nicht von Mitgliedern anderer virtueller Netzwerke empfangen werden können. Virtuelle Netzwerke können den Zugriff auf Mitglieder eines anderen virtuellen Netzwerks ermöglichen, wenn es notwendig ist, auf gemeinsam genutzte Ressourcen wie Dateiserver oder Anwendungsserver zuzugreifen, oder wenn eine gemeinsame Aufgabe die Interaktion verschiedener Dienste erfordert, wie z. B. Kredit- und Abrechnungsabteilungen. Virtuelle Netzwerke können auf der Grundlage von Switch-Ports, physikalischen Adressen von im Netzwerk enthaltenen Geräten und logischen Adressen von Protokollen der dritten Ebene des OSI-Modells erstellt werden. Der Vorteil von virtuellen Netzwerken ist schnelle Geschwindigkeit Betrieb von Schaltern, da moderne Schalter einen spezialisierten Satz integrierter Schaltungen enthalten, die speziell dafür ausgelegt sind, Schaltprobleme auf der zweiten Ebene des OSI-Modells zu lösen. Virtuelle Netzwerke der dritten Ebene sind am einfachsten zu installieren, wenn keine Neukonfiguration von Netzwerkclients erforderlich ist, am schwierigsten zu verwalten, weil Jede Aktion mit einem Netzwerkclient erfordert entweder eine Neukonfiguration des Clients selbst oder des Routers und ist am wenigsten flexibel, da Routing erforderlich ist, um virtuelle Netzwerke zu kommunizieren, was die Kosten des Systems erhöht und seine Leistung verringert.

Daher wird die Einrichtung virtueller Netzwerke in der Bank ARP-Spoofing-Angriffe verhindern. Übeltäter können die zwischen dem Server und dem Client ausgetauschten Informationen nicht abfangen. Beim Eindringen in das Netzwerk können Angreifer nicht das gesamte Netzwerk der Bank scannen, sondern nur das Netzwerksegment, auf das sie sich Zugriff verschafft haben.

Beim Eindringen in das Netzwerk der Bank scannen Angreifer zunächst das Netzwerk nach kritischen Netzwerkknoten. Diese Knoten sind:

Domänencontroller;

Proxy Server;

Mail-Server;

Dateiserver;

Anwendungsserver.

Da das lokale Netzwerk in der Bank über virtuelle Netzwerktechnologie organisiert wird, können Angreifer diese Knoten nicht ohne zusätzliche Schritte erkennen. Um es Angreifern zu erschweren, kritische Knoten im lokalen Netzwerk zu finden und zu verwirren, und um in Zukunft die Strategie von Angreifern bei einem Angriff auf das Netzwerk zu untersuchen, müssen falsche Objekte verwendet werden, die Angreifer anziehen . Diese Objekte werden Honeypots genannt.

Die Aufgabe des Honeypots besteht darin, angegriffen oder nicht autorisiert zu recherchieren, was es Ihnen anschließend ermöglicht, die Strategie der Angreifer zu studieren und die Liste der Mittel zu bestimmen, mit denen reale Sicherheitsobjekte getroffen werden können. Eine Honeypot-Implementierung kann entweder ein dedizierter Server oder ein einzelner Netzwerkdienst sein, dessen Aufgabe es ist, die Aufmerksamkeit von Hackern auf sich zu ziehen.

Ein Honeypot ist eine Ressource, die nichts tut, ohne sie zu beeinflussen. Honeypot sammelt eine kleine Menge an Informationen, nachdem es analysiert hat, welche Statistiken auf den von Crackern verwendeten Methoden aufbauen, sowie das Vorhandensein neuer Lösungen, die später im Kampf gegen sie eingesetzt werden.

Ein Webserver, der beispielsweise keinen Namen hat und praktisch unbekannt ist, sollte daher nicht von Gästen darauf zugreifen können, sodass jeder, der versucht, in ihn einzudringen, ein potenzieller Angreifer ist. Honeypot sammelt Informationen über das Verhalten dieser Cracker und wie sie den Server beeinflussen. Danach sammeln die Spezialisten der Informationssicherheitsabteilung Informationen über den Angriff von Eindringlingen auf die Ressource und entwickeln Strategien, um Angriffe in Zukunft abzuwehren.

Um aus dem Internet eingehende Informationen zu kontrollieren und Bedrohungen der Informationssicherheit in der Phase ihrer Übertragung über das Netzwerk zu erkennen sowie die Aktivitäten von Eindringlingen zu erkennen, die in das lokale Netzwerk der Bank eingedrungen sind, muss ein Intrusion Prevention System installiert werden den Rand des Netzwerks.

Ein Intrusion Prevention System ist ein Software- oder Hardware-Netzwerk- und Computersicherheitssystem, das Einbrüche oder Sicherheitsverletzungen erkennt und automatisch dagegen schützt.

Intrusion-Prevention-Systeme können als Erweiterung von Intrusion-Detection-Systemen angesehen werden, da die Aufgabe, Angriffe zu verfolgen, dieselbe bleibt. Sie unterscheiden sich jedoch darin, dass das Intrusion-Prevention-System die Aktivitäten in Echtzeit überwacht und Maßnahmen zur Abwehr von Angriffen schnell implementiert.

Intrusion Detection and Prevention Systeme werden unterteilt in:

Network Intrusion Prevention-Systeme – Analysieren Sie den Datenverkehr, der an das Netzwerk der Organisation gerichtet ist, das Netzwerk selbst passiert oder an einen bestimmten Computer geleitet wird. Systeme zur Erkennung und Verhinderung von Eindringlingen können durch Software oder Hardware-Software-Methoden implementiert werden, die am Perimeter installiert werden Firmennetzwerk und manchmal darin.

Persönliche Systeme Intrusion Prevention ist eine Software, die auf Workstations oder Servern installiert wird und es Ihnen ermöglicht, die Aktivität von Anwendungen zu kontrollieren und zu überwachen Netzwerkaktivität für mögliche Angriffe.

Für den Einsatz im Netzwerk der Bank wurde ein Network Intrusion Prevention System ausgewählt.

Netzeinbruchssysteme von IBM, Check Point, Fortinet, Palo Alto wurden in Betracht gezogen, da die deklarierte Funktionalität der Hersteller dieser Systeme den Anforderungen der Informationssicherheitsabteilung der Bank entsprach.

Nach dem Einsatz von Prüfständen und dem Testen von Intrusion-Prevention-Systemen wurde das Check Point-System ausgewählt, da es die beste Leistung, das beste Virenerkennungs-Subsystem, das über ein lokales Netzwerk übertragen wird, die besten Tools zum Protokollieren und Protokollieren wichtiger Ereignisse und den Anschaffungspreis aufwies.

Das Intrusion-Prevention-System von IBM wurde abgelehnt, da die Kosten der Geräte das Budget der Informationssicherheitsabteilung für die Anschaffung eines Intrusion-Prevention-Systems überstiegen.

Das Intrusion-Prevention-System von Fortinet wurde wegen unvollständiger Reaktion abgelehnt, als die Abteilung für Informationssicherheit Tests zur Übertragung infizierter Dateien und unzureichend aussagekräftige Tools zur Protokollierung wichtiger Ereignisse durchführte.

Das Intrusion-Prevention-System von Palo Alto wurde aufgrund unzureichend informativer Tools zum Protokollieren wichtiger Ereignisse, einer zu komplexen Arbeit mit dem System und einer eher wie ein Router wirkenden Funktion abgelehnt.

Für die Implementierung im lokalen Netzwerk wurde das Check Point Intrusion Prevention System ausgewählt. Dieses System hat gezeigt hohes Niveau Erkennung von Bedrohungen der Informationssicherheit, flexible Einstellungen, die Möglichkeit, die Funktionalität durch den Kauf zusätzlicher zu erweitern Softwaremodule, verfügt über ein leistungsstarkes System zum Protokollieren wichtiger Ereignisse und ein leistungsstarkes Toolkit zum Bereitstellen von Berichten über Vorfälle, mit deren Hilfe es viel einfacher ist, aufgetretene Informationssicherheitsvorfälle zu untersuchen.

Das Netzwerkdiagramm der PJSC Citibank mit geänderter Architektur ist in Abbildung 6 dargestellt.

2.2 Software- und Hardwareschutz

Denn die Sicherheit personenbezogener Daten kann nicht allein durch den Netzwerkschutz gewährleistet werden, da sich Eindringlinge trotz aller Maßnahmen zum Schutz des Netzwerks Zugang zum Netzwerk der Bank verschaffen können.

Abbildung 6 Netzwerkdiagramm der PJSC Citibank mit zusätzlichen Sicherheitssystemen

Für einen widerstandsfähigeren Schutz gegen Angriffe ist es notwendig, den Geräten zum Schutz des Netzwerks Software- und Hardware-Schutzgeräte für lokale Arbeitsstationen, virtuelle Arbeitsstationen, virtuelle und normale Server hinzuzufügen.

Wie bekannt Antivirus-Programme bieten keinen vollständigen Schutz vor Schadsoftware, da sie nach dem Prinzip der Signaturanalyse arbeiten. Ein Unternehmen für Antivirensoftware beschäftigt Experten, die die Virenaktivität im Internet überwachen, das Verhalten von Virensoftware auf Teststationen untersuchen und Signaturen erstellen, die anschließend an die Computer der Benutzer gesendet werden, indem sie die Signaturdatenbanken der Antivirensoftware aktualisieren. Nach Erhalt einer aktualisierten Datenbank mit Antivirensoftware-Signaturen scannt das Antivirenprogramm Dateien auf der Arbeitsstation des Benutzers und sucht nach Anzeichen von bösartiger Software; wenn solche Anzeichen während des Scans gefunden werden, signalisiert das Antivirenprogramm dies und handelt entsprechend die Einstellungen, die vom Benutzer oder vom Antivirus-Administrator vorgenommen werden. Wenn die Malware also nicht von den Experten des Antivirensoftwareunternehmens erkannt und analysiert wird, kann das Antivirenprogramm die Malware nicht erkennen und ergreift keine Maßnahmen, da die gescannte Datei als sicher angesehen wird. Um die Wahrscheinlichkeit des Zugriffs auf das Netzwerk und des Starts von Schadsoftware zu verringern, installierte die Bank daher eine zweite Antiviren-Schutzschleife. Da die meisten Antivirensoftware-Unternehmen getrennt voneinander arbeiten, kann Malware, die noch nicht von einem Antivirensoftware-Unternehmen erkannt wurde, von einem anderen Entwickler erkannt werden, und es können bereits Signaturen für die erkannte Bedrohung erstellt werden.

Um ein solches Schema zu implementieren, wurde eine virtuelle Workstation erstellt, auf der das Antivirus-Programm Doctor WEB Enterprise Security Suite installiert wurde, das über ein Konformitätszertifikat des FSTEC of Russia Nr. 2446 verfügt, das bis zum 20. September 2017 gültig ist. Alle Dateien, die von Bankmitarbeitern während ihrer Arbeit heruntergeladen werden, werden an diese Station gesendet und von einem Antivirenprogramm gescannt. Wenn bösartige Software erkannt wird, sendet das Antivirenprogramm eine E-Mail mit dem Namen der Bedrohung und dem Pfad, in dem die infizierte Datei gespeichert ist, an die Abteilung für Informationssicherheit. Die Abteilung für Informationssicherheit ergreift Maßnahmen, um bösartige Software zu entfernen. Wenn die von Benutzern hochgeladenen Dateien die Überprüfung der Antivirensoftware bestehen, stellt der Benutzer, der die Datei hochgeladen hat, eine Anfrage an die Abteilung für Informationssicherheit, und die Mitarbeiter der Abteilung übertragen die heruntergeladene Datei an den Benutzer.

Außerdem gelangt eine große Menge Schadsoftware an die Mitarbeiter der Bank Email. Dabei kann es sich sowohl um gewöhnliche Verschlüsselungsviren als auch um Schadsoftware handeln, die es Angreifern ermöglicht, über eine Remote-Verbindung in den infizierten Computer eines Bankmitarbeiters einzudringen.

Um die Risiken solcher Bedrohungen zu minimieren, wurde auf dem Mailserver der Bank die ClamAW-Antivirensoftware installiert, die zum Schutz von Mailservern entwickelt wurde.

Zum Schutz vor unbefugtem Zugriff durch interne Eindringlinge, die irgendwie das Passwort eines Benutzers einer lokalen Station erfahren haben, die Zugriff auf Informationssysteme für persönliche Daten hat, ist es erforderlich, ein Informationsschutzsystem vor unbefugtem Zugriff auf den lokalen Arbeitsstationen von Benutzern zu installieren, die mit Personal arbeiten Dateninformationssysteme.

Die Schulung der Mitarbeiter der Bank erfolgt durch einen Spezialisten der Abteilung Informationssicherheit.

Ein Mitarbeiter der Abteilung Informationssicherheit führt Schulungen in einem durch den Plan bestimmten Bereich der Bank durch. Nach der Schulung absolvieren die Mitarbeiter der Einheit Tests, in denen sie die während der Schulung erworbenen Kenntnisse bestätigen.

Die grundlegende Sicherheitsrichtlinie regelt die Durchführung von Schulungen in jeder Einheit mindestens viermal im Jahr.

Parallel zur Schulung der Mitarbeiter sind die Mitarbeiter der Informationssicherheitsabteilung außerdem verpflichtet, mindestens einmal im Monat Informationsschreiben an alle Mitarbeiter der Bank zu senden, in denen die grundlegenden Sicherheitsregeln, neue Bedrohungen für die Informationssicherheit der Bank, falls welche erkannt werden.

2.3.2 Die Reihenfolge des Zugriffs der Mitarbeiter auf Internetressourcen

Die Bank verfügt über 3 Zugriffsgruppen auf das Internet, aber eine solche Aufteilung des Zugriffs ist ineffizient, da ein Mitarbeiter zur Erfüllung seiner Aufgaben möglicherweise Informationen von einer Netzwerkressource erhalten muss, die in der Gruppe mit vollem Zugriff enthalten ist um vollen Zugriff auf das Internet zu gewähren, was unsicher ist.

Gruppe 6: Herunterladen von Archiven – die Gruppe bietet keinen Zugriff auf Internetressourcen;

Gruppe 7: Herunterladen ausführbarer Dateien – die Gruppe bietet keinen Zugriff auf Internetressourcen;

Gruppe 8: Vollständiger Zugriff auf das Internet - Vollständiger Zugriff auf Internetressourcen, Herunterladen beliebiger Dateien.

Um Zugriff auf Internetressourcen zu erhalten, erstellt ein Mitarbeiter einen Antrag über das ServiceDesk-System und nach Genehmigung durch den Abteilungsleiter oder die Geschäftsführung und einen Mitarbeiter der Informationssicherheitsabteilung erhält der Mitarbeiter Zugriff auf Internetressourcen entsprechend der angeforderten Gruppe .

2.3.3 Verfahren für den Mitarbeiterzugriff auf bankinterne Ressourcen

Die wichtigsten Dokumente zur Arbeit eines Mitarbeiters befinden sich am örtlichen Arbeitsplatz oder in dem automatisierten System, in dem er arbeitet. Außerdem hat jede Abteilung der Bank einen Abschnitt auf dem Dateiserver der Bank, der Informationen speichert, die für mehrere Mitarbeiter der Abteilung notwendig sind, und der für die Übertragung per E-Mail der Bank groß ist.

Wenn ein neuer Mitarbeiter eine Stelle bei der Bank bekommt, sendet sein direkter Vorgesetzter einen Antrag über das ServiceDesk-System an die Systemverwaltungsabteilung für den Zugriff auf die Intrabank-Ressource, und nachdem der Antrag von einem Mitarbeiter der Informationssicherheitsabteilung genehmigt wurde, der Mitarbeiter der Systemadministration verschafft dem neuen Mitarbeiter Zugriff auf die angeforderte Ressource.

Oft gibt es Situationen, in denen sich die Arbeit mehrerer Abteilungen der Bank überschneidet und diese Abteilungen für den Informationsaustausch eine separate Abteilung auf dem Fileserver der Bank benötigen.

Um diesen Abschnitt zu erstellen, erstellt der Projektmanager, der Leiter einer der an der Projektarbeit beteiligten Abteilungen, über das ServiceDesk-System eine Anwendung für die Erstellung einer gemeinsamen Ressource und den Zugriff auf diese Ressource für bestimmte Mitarbeiter von ihm Abteilung, die an einem gemeinsamen Projekt arbeitet, und dem Abteilungsleiter, mit dem er im Rahmen des Projekts zusammenarbeitet. Nach Genehmigung durch den Informationsbeauftragten erstellt der Systemadministrationsbeauftragte die angeforderte Ressource und gewährt den angeforderten Mitarbeitern Zugriff darauf. Jeder am Projekt beteiligte Abteilungsleiter beantragt den Zugriff nur für die ihm unterstellten Mitarbeiter.

2.3.4 Wie Mitarbeiter mit E-Mail arbeiten

Bisher ermittelte jeder Mitarbeiter vor der Erstellung einer grundlegenden Sicherheitsrichtlinie selbst den Gefährlichkeitsgrad von per E-Mail empfangenen Briefen und Dateien von externen Mailservern.

Nach Erstellung einer grundlegenden Sicherheitsrichtlinie ist jeder Benutzer verpflichtet, jede per E-Mail empfangene Datei von externen Mailservern an die Informationssicherheitsabteilung zu senden, um sie auf schädliche Software zu überprüfen. Der Gefährlichkeitsgrad von Briefen wird vom Mitarbeiter unabhängig festgelegt. Wenn ein Mitarbeiter der Bank den Verdacht hat, dass eine eingehende Nachricht Spam oder Phishing enthält, ist er verpflichtet, das Schreiben vollständig, das heißt mit allen offiziellen Informationen über den Absender, zu versenden Briefkasten und IP-Adresse an die Abteilung für Informationssicherheit. Nach der Analyse eines verdächtigen Briefes und der Bestätigung der Drohung dieses Briefes sendet die Informationssicherheitsabteilung die Adresse des Absenders des Briefes an die Systemverwaltungsabteilung, und ein Mitarbeiter der Systemverwaltungsabteilung setzt die Adresse des Absenders des Briefes auf eine schwarze Liste.

Blockieren Sie immer den Arbeitsplatz, wenn Sie davon entwöhnen.

2.3.6 Regeln für den Zugriff von Mitarbeitern auf personenbezogene Daten

Gemäß Artikel 89 des Kapitels 14 des Arbeitsgesetzbuchs der Russischen Föderation hat ein Bankangestellter das Recht auf Zugang zu seinen personenbezogenen Daten, darf jedoch personenbezogene Daten anderer Bankangestellter oder Bankkunden nur zur Erfüllung seiner offiziellen Aufgaben verarbeiten .

Um die Kontrolle über den Zugriff auf Informationssysteme für personenbezogene Daten zu gewährleisten, hat die Bank die folgenden Regeln für den Zugriff auf Informationssysteme für personenbezogene Daten festgelegt:

Nur Mitarbeiter, deren amtliche Verpflichtungen umfasst die Verarbeitung personenbezogener Daten haben Zugriff auf ISPD;

Der Zugriff auf ISPD ist nur vom lokalen Arbeitsplatz eines Mitarbeiters erlaubt, der mit personenbezogenen Daten arbeitet;

Die Bank hat ein Dokument erstellt, das die Mitarbeiter, denen der Zugriff auf die personenbezogenen Daten von Mitarbeitern und Kunden der Bank gestattet ist, mit Nachnamen definiert und das Informationssystem für personenbezogene Daten und die Liste der personenbezogenen Daten angibt, die vom Mitarbeiter verarbeitet werden dürfen.

3. WIRTSCHAFTLICHE RECHTFERTIGUNG DES VORHABENS

Um ein System zum Schutz personenbezogener Daten zu implementieren, ist es notwendig, Folgendes zu erwerben:

Ausrüstung zum Schutz des Netzwerks der Bank;

Hardware für Informationssicherheit;

Informationssicherheitssoftware.

Um das Netzwerk der Organisation neu aufzubauen, müssen Cisco Catalyst 2960-Switches in Höhe von 3 Exemplaren erworben werden. Ein Switch ist für den Betrieb auf der Kernebene des Banknetzwerks erforderlich, zwei weitere für den Betrieb auf der Verteilungsebene. Auch die Netzwerktechnik, die vor der Netzwerkrestrukturierung in der Bank funktionierte, wird genutzt.

Gesamtkosten (RUB) 9389159 613

Doctor WEB Enterprise Sicherheitsanzug155005500

Gesamtkosten1 371 615

ABSCHLUSS

In meiner Abschlussarbeit habe ich mich mit den rechtlichen Rahmenbedingungen zum Schutz personenbezogener Daten beschäftigt. Ich habe die Hauptquellen von Bedrohungen für die Sicherheit personenbezogener Daten betrachtet.

Basierend auf den betrachteten persönlichen Bedrohungen habe ich das bestehende System zum Schutz personenbezogener Daten bei der PJSC Citibank analysiert und bin zu dem Schluss gekommen, dass es ernsthaft verbessert werden muss.

Während des Abschlussprojekts wurden Schwachstellen im lokalen Netzwerk der Bank festgestellt. Unter Berücksichtigung des Entdeckten Schwächen im lokalen Netzwerk der Bank werden Maßnahmen definiert, um die Risiken der Informationssicherheit des Netzwerks der Bank zu minimieren.

Auch Geräte und Software zum Schutz lokaler Arbeitsplätze von Mitarbeitern, die personenbezogene Daten von Mitarbeitern und Kunden der Bank verarbeiten, wurden in Betracht gezogen und ausgewählt.

Unter meiner Beteiligung wurde ein System zur Sensibilisierung der Mitarbeiter in Sachen Informationssicherheit geschaffen.

Das Verfahren für den Zugang der Mitarbeiter der Bank zum Internet wurde grundlegend überarbeitet, und die Gruppen für den Zugang zum Internet wurden neu gestaltet. Neue Internetzugangsgruppen ermöglichen es, Informationssicherheitsrisiken erheblich zu minimieren, da Benutzer nur eingeschränkt Dateien herunterladen und auf nicht vertrauenswürdige Ressourcen zugreifen können.

Berechnungen der Kosten für den Wiederaufbau des Netzwerks und die Schaffung eines tragfähigen Systems zum Schutz personenbezogener Daten, das die meisten Bedrohungen der Informationssicherheit widerspiegeln kann, werden angegeben.

LISTE DER VERWENDETEN LITERATUR

1. „Die Verfassung der Russischen Föderation“ (durch Volksabstimmung angenommen am 12. Dezember 1993) (vorbehaltlich Änderungen durch die Gesetze der Russischen Föderation über Änderungen der Verfassung der Russischen Föderation vom 30. Dezember 2008 N 6- FKZ vom 30. Dezember 2008 N 7-FKZ vom 5. Februar 2014 N 2-FKZ vom 21. Juli 2014 N 11-FKZ) // Der offizielle Text der Verfassung der Russischen Föderation in der Fassung vom 21. Juli , 2014, wurde am 01.08.2014 auf dem offiziellen Internetportal für rechtliche Informationen http://www.pravo.gov.ru veröffentlicht

2. „Basismodell der Sicherheitsbedrohungen personenbezogener Daten während ihrer Verarbeitung in Informationssystemen personenbezogener Daten“ (Auszug) (genehmigt vom FSTEC der Russischen Föderation am 15. Februar 2008)

3. Bundesgesetz vom 27. Juli 2006 N 149-FZ (in der Fassung vom 6. Juli 2016) „Über Informationen, Informationstechnologien und Informationsschutz“ // Das Dokument wurde in dieser Form nicht veröffentlicht. Der Originaltext des Dokuments ist veröffentlicht in " Russische Zeitung", N 165, 29.07.2006

4. "Arbeitsgesetzbuch der Russischen Föderation" vom 30. Dezember 2001 N 197-FZ (in der Fassung vom 3. Juli 2016) (in der geänderten und ergänzten Fassung, in Kraft getreten am 3. Oktober 2016) // Das Dokument wurde nicht veröffentlicht in dieser Form wurde der Originaltext des Dokuments in Rossiyskaya Gazeta, N 256, 31.12.2001 veröffentlicht

5. Dekret der Regierung der Russischen Föderation vom 01.11.2012 N 1119 „Über die Genehmigung der Anforderungen zum Schutz personenbezogener Daten bei ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“ // „Rossiyskaya Gazeta“, N 256, 07.11.2012

6. Anordnung des FSTEC Russlands vom 18. Februar 2013 N 21 „Über die Genehmigung der Zusammensetzung und des Inhalts organisatorischer und technischer Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“ (Eingetragen im Ministerium für Justiz Russlands am 14. Mai 2013 N 28375) // „Russische Zeitung“, N 107, 22.05.2013

7. „Standard der Bank von Russland „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation. Allgemeine Bestimmungen "STO BR IBBS-1.0-2014" (angenommen und in Kraft gesetzt durch die Verordnung der Bank von Russland vom 17. Mai 2014 N R-399) // Bulletin der Bank von Russland, Nr. 48-49, 30. Mai 2014

8. „Verordnung über die Anforderungen zur Gewährleistung des Informationsschutzes bei Geldüberweisungen und über das Verfahren für die Bank von Russland zur Kontrolle der Einhaltung der Anforderungen zur Gewährleistung des Informationsschutzes bei Geldüberweisungen“ (von der Bank genehmigt Russlands am 09.06.2012 N 382-P) (in der geänderten Fassung vom 14. August 2014) (Eingetragen beim Justizministerium Russlands am 14. Juni 2012 N 24575) // Das Dokument wurde in dieser Form nicht veröffentlicht, das Original Der Text des Dokuments wurde im Bulletin der Bank von Russland, N 32, 22.06.2012 veröffentlicht

9. „Vorschriften über das Verfahren für die Übermittlung der vorgesehenen Informationen durch die Kreditinstitute an die zuständige Stelle Bundesgesetz"Über die Bekämpfung der Legalisierung (Wäsche) von Erträgen aus Straftaten und der Finanzierung des Terrorismus" (genehmigt von der Bank of Russia am 29. August 2008 N 321-P) (in der geänderten Fassung vom 15. Oktober 2015) (zusammen mit dem "Procedure zur Gewährleistung der Informationssicherheit während der Übertragung und des Empfangs von ECO“, „Regeln für die Bildung von ECO und das Ausfüllen bestimmter Felder von ECO-Aufzeichnungen“) (Registriert beim Justizministerium Russlands am 16. September 2008 N 12296) // Das Dokument war nicht in dieser Form veröffentlicht, Der Originaltext des Dokuments wurde im Bulletin der Bank von Russland, N 54, 26.09.2008 veröffentlicht

10. Anordnung des FSTEC Russlands vom 18. Februar 2013 N 21 „Über die Genehmigung der Zusammensetzung und des Inhalts organisatorischer und technischer Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“ (Eingetragen im Ministerium für Justiz Russlands am 14. Mai 2013 N 28375) // „Russische Zeitung“, N 107, 22.05.2013

11. Averchenkov V.I., Rytov M.Yu., Gainulin T.R. Schutz personenbezogener Daten in Organisationen. M.: Flint, 2018

12. Agapov A. B. Grundlagen Regierung kontrolliert im Bereich der Informatisierung in der Russischen Föderation. M.: Jurist, 2012

13. Kostin A. A., Kostina A. A., Latyshev D. M., Moldovyan A. A. Softwarekomplexe Serie "AURA" zum Schutz von Informationssystemen personenbezogener Daten // Izv. Universitäten. Instrumentierung. 2012. V. 55, Nr. 11

14. Moldovyan A. A. Kryptographie zum Schutz von Computerinformationen (Teil 1) // Integral. 2014. Nr. 4 (18)

15. Romanov O.A., Babin S.A., Zhdanov S.G. Organisatorische Unterstützung der Informationssicherheit. - M.: Akademie, 2016

16. Shults V.L., Rudchenko A.D., Yurchenko A.V. Unternehmenssicherheit. M.: Yurayt-Verlag, 2017

Bewerbungen (verfügbar im Archiv mit der Arbeit).

Banken als Betreiber personenbezogener Daten: „nichttechnischer“ Schutz. So gewährleisten Sie den Schutz personenbezogener Daten im Unternehmen Personenbezogene Daten im Bankensektor

Maßstab und Grenzen

Rechtsfragen

ISPD-Sicherheitssystem der Bank

Ähnliche Dokumente

1. GRUNDLAGEN DER SICHERHEIT PERSONENBEZOGENER DATEN

1.2 Klassifizierung von Bedrohungen für die Informationssicherheit personenbezogener Daten.

1.3 Allgemeine Merkmale von Bedrohungsquellen in Informationssystemen für personenbezogene Daten

2. ENTWICKLUNG VON MASSNAHMEN ZUM SCHUTZ PERSONENBEZOGENER DATEN IN DER BANK