Информационная безопасность в финасовых системах

Существуют также Программы-фильтры, которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции.

Программы-вакцины, или Иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.

Если первые вирусы, появившиеся на заре компьютерной эры, распространялись в основном через дискеты с программами, то сегодня они используют преимущественно Всемирную паутину. Причем шанс «подхватить инфекцию» есть не только при выкачивании мегабайтов данных, но и при обычном посещении web-страниц. Но слишком многие завсегдатаи Интернета не озабочены своей безопасностью. Между тем, никогда не следует забывать: чтобы обезопасить себя от вирусной инфекции необходимо придерживаться элементарнейших правил компьютерной гигиены.

Можно выделить основные источники проникновения вирусов в компьютерную сеть корпорации:

• с гибких носителей;
• с компакт- дисков;
• почты Internet;
• файлов, которые приходят из Internet;
• с рабочих станций;
• почты Intranet.

Компьютерный вирус, как правило, представляет собой некую программу, способную самостоятельно размножаться и которая в большинстве случаев снабжена соответствующими механизмами для распространения своих копий на другие компьютеры через Интернет или по локальной сети.

Чаще всего программа-вирус существует в виде файла, который требуется запустить, или некоей добавки к документу, который необходимо открыть. Некоторые последние «модели» вирусов вообще физически (т. е. в виде файлов) как бы не существуют: в компьютер передаются по сети определённые данные, которые из-за ошибок в программном обеспечении (так называемых дыр в защите) загружаются в оперативную память и начинают исполняться, как обычная программа, со своим «центром управления» в оперативной памяти компьютера. При этом не создаётся никаких файлов и на жёсткий диск ничего не записывается.

3.2. Электронная цифровая  подпись и особенности ее применения

С давних времен от человека к человеку пересылались различные послания. Иногда это были подложные письма от подставного адресата. Чтобы этого избежать, ставились на бумаге признаки подлинности: подписи, печати и пр., что в полной мере не гарантировало от несанкционированного доступа к содержанию письма. В настоящее время пользователь, получив послание в электронном виде, должен быть уверен, что:

• достоверно установлен автор сообщения;
• послание не было искажено;
• обеспечена его конфиденциальность, т.е. с ним не знакомились посторонние лица.

Для обеспечения авторства и исключения возможности внесения искажений в текст документа используются различные механизмы шифрования (криптографии). Криптография – это наука об обеспеченности секретности и/или аутентичности (подлинности) передаваемых сообщений. Шифрование производится программными и аппаратными средствами.

Защита информации методом криптографического преобразования заключается в приведении ее к неявному виду путем преобразования составных частей информации с помощью специальных алгоритмов либо аппаратных средств и кодов ключей. Ключ – это изменяемая часть криптографической системы, хранящаяся в тайне и определяющая, какое шифрующее преобразование из возможных выполняется в данном случае. Для преобразования используется некоторый алгоритм или устройство, реализующее заданный алгоритм. Само же управление процессом шифрования осуществляется с помощью периодически меняющегося кода ключа.

Названные проблемы позволяет решить криптография с открытым ключом, использующая ассиметричные алгоритмы шифрования. Криптография с открытым ключом основана на концепции ключевой пары. Каждая половина пары (один ключ) шифрует информацию таким образом, что ее может расшифровать только другая половина (второй ключ). Одна часть ключевой пары – личный ключ, известна только ее владельцу. Другая половина – открытый ключ, распространяется среди всех его корреспондентов, но связана только с этим владельцем. Ключевые пары обладают уникальной особенностью: данные, зашифрованные любым из ключей пары, могут быть расшифрованы только другим ключом из этой пары. Другими словами, нет никакой разницы, личный или открытый ключ используется для шифрования послания; получатель сможет применить для расшифровки вторую половину пары.

Чтобы использовать систему криптографии с открытым ключом, необходимо сгенерировать открытый и личный ключи. Обычно это делается программой, которая будет использовать ключ (такой, как ваш Web-браузер или программа электронной почты). После того, как ключевая пара сгенерирована, вы должны хранить свой личный ключ в тайне от посторонних. Затем вам нужно распространить открытый ключ среди своих корреспондентов. Можете использовать для этого электронную почту, но вдруг вы забудете внести кого-то в список или у вас появятся новые корреспонденты: Кроме того, такой подход не обеспечит аутентификации: кто-то может сгенерировать ключевую пару и, назвавшись вами, разослать открытый ключ корреспондентам. После этого ничто не помешает ему отправлять сообщения от вашего имени.

Самый лучший и надежный способ распространения открытых ключей – воспользоваться услугами сертификационных центров. Сертификационный центр выступает как хранилище цифровых сертификатов. Он принимает ваш открытый ключ вместе с доказательствами вашей личности (какими – зависит от класса сертификата). После этого ваши корреспонденты могут обращаться в сертификационный центр за подтверждением вашего открытого ключа. Цифровые сертификаты выступают в роли электронного варианта удостоверения личности и, будучи общепринятым методом распространения открытых ключей, позволяют вашим корреспондентам убедиться, что вы на самом деле тот. За кого себя выдаете.

Документ считается подлинным, а подпись правильной, если эти соотношения выполняются. В противном случае подпись под документом считается недействительной.

Для разрешения споров между отправителем и получателем информации, связанных с возможностью искажения пересылаемого документа или открытого ключа проверки подписи, достоверная копия этого ключа может выдаваться третьей стороне и применяться им при возникновении конфликта между отправителем и получателем. Наличие у абонента секретного ключа не позволяет ему самому сменить свой номер в сети или выработать подпись под номером другого абонента.

3.3. Защита информации в Интернете

Сейчас вряд ли кому-то надо доказывать, что при подключении к Internet Вы подвергаете риску, безопасность Вашей локальной сети и конфиденциальность, содержащейся в ней информации.

Internet - глобальная компьютерная сеть, охватывающая весь мир. Сегодня Internet имеет около 15 миллионов абонентов в более чем 150 странах мира. Ежемесячно размер сети увеличивается на 7-10%. Internet образует как бы ядро, обеспечивающее связь различных информационных сетей, принадлежащих различным учреждениям во всем мире, одна с другой.

Если ранее сеть использовалась исключительно в качестве среды передачи файлов и сообщений электронной почты, то сегодня решаются более сложные задачи распределенного доступа к ресурсам. Около двух лет назад были созданы оболочки, поддерживающие функции сетевого поиска и доступа к распределенным информационным ресурсам, электронным архивам.

Internet, служившая когда-то исключительно исследовательским и учебным группам, чьи интересы простирались вплоть до доступа к суперкомпьютерам, становится все более популярной в деловом мире.

Компании соблазняют быстрота, дешевая глобальная связь, удобство для проведения совместных работ, доступные программы, уникальная база данных сети Internet. Они рассматривают глобальную сеть как дополнение к своим собственным локальной сетям.

При низкой стоимости услуг (часто это только фиксированная ежемесячная плата за используемые линии или телефон) пользователи могут получить доступ к коммерческим и некоммерческим информационным службам США, Канады, Австралии и многих европейских стран. В архивах свободного доступа сети Internet можно найти информацию практически по всем сферам человеческой деятельности, начиная с новых научных открытий до прогноза погоды на завтра.

Вместе с тем, интерактивный характер общения с сетью, особенно в WWW, приводит к появлению дистанционных торговых служб, где можно ознакомиться с предложением товаров, посмотреть их фотографии на экране компьютера – и тут же заказать товар, заполнив соответствующую экранную форму. Подобные службы дополняются средствами дистанционной оплаты товара – по той же Сети, с использованием в начале обычных пластиковых карточек, а затем и специально разработанной для Internet механизмов расчета.

Разработка средств электронных расчетов для Сети финансируется банками, некоторые из которых создают службы расчетов, целиком ориентированные на Internet.

Сеть Internet в принципе применима для самых разных областей работы банка – от взаимодействия с клиентом до обмена информацией с другими банками.

Первым этапом работы в Internet для любой финансовой организации обычно становиться использование World Wide Web для опубликования рекламной и прочей информации. Сегодня примерно 300 финансовых организаций применяют WWW как средство рекламы

Второй этап – представление клиентам базового доступа в банк. Клиенты получают возможность просмотреть относящуюся к ним финансовую информацию, при этом они ничего не могут с ней сделать

Взаимодействие с клиентом - третий этап. Благодаря такому взаимодействию, клиент получит не только доступ к финансовой информации, но и сможет внести коррективы в информацию и провести различные расчеты. При такой реализации системы на базе Internet могут придти на смену специализированным системам «банк-клиент» или, по крайней мере, взять на себя часть их функций.

Платой за пользование Internet является всеобщее снижение информационной безопасности.

Безопасность данных является одной из главных проблем в Internet. Появляются сведения о том, как компьютерные взломщики, использующие все более изощренные приемы, проникают в чужие базы данных или получают доступ в архивам коммерческих данных.

В банковской сфере проблема безопасности информации осложняется двумя факторами: во-первых, почти все ценности, с которыми имеет дело банк (кроме наличных денег и еще кое-чего), существуют лишь в виде той или иной информации. Во-вторых, банк не может существовать без связей с внешним миром: без клиентов, корреспондентов и т.п. При этом по внешним связям обязательно передается та самая информация, выражающая собой ценности, с которыми работает банк (либо сведения об этих ценностях и их движении, которые иногда стоят дороже самих ценностей). Извне приходят документы, по которым банк переводит деньги с одного счета на другой. Платой за пользование Internet являются следующие информационные угрозы:

• организация внешних атак на корпоративную сеть;
• несанкционированный доступ к сети организации со стороны рабочих станций, удаленных и передающих серверов, включенных в сеть Internet;
• потеря информации в каналах связи Internet в результате заражения вредоносными программами, некомпетентности сотрудников, отказа канала связи, стихийных бедствий;
• несанкционированный программно-аппаратный доступ к информации, находящейся в канале связи Internet;
• несанкционированный доступ к информации через электромагнитные излучения каналов связи и средств передачи информации Internet;
• несанкционированный доступ к информации, размещенной на удаленных и передающих серверах Internet;
• сбор и мониторинг сетевой информации в интересах третьих лиц;
• переизбыток ненужной и вредоносной информации в системе.

Из всего вышеперечисленного следует, что если ваш компьютер или корпоративная сеть является носителем ценной информации необходимо серьезно подумать перед подключением ее в Internet. И перед выполнением следующих рекомендаций выполнить по возможности все рекомендации по средствам защиты перечисленные выше. Провести тщательный анализ и изъятие конфиденциальной информации из подключаемой сети или персонального компьютера. Проконсультироваться со специалистами, занимающимися информационной безопасностью, и выполнить нижеизложенные рекомендации до подключения к Internet. Итак, пути решения:

• При работе в сети Internet на первое место выходит "межсетевой экран" или брандмауэр. Брандмауэр - неотъемлемая часть системы защиты, без которой невозможна разработка ее политики. Брандмауэр позволяет значительно снизить число эффективных внешних атак на корпоративную сеть или персональный компьютер, несанкционированный доступ к сети организации со стороны рабочих станций, удаленных и передающих серверов, включенных в сеть Internet, снизить вероятность сбора и мониторинга сетевой информации в интересах третьих лиц, блокировать доступ ненужной и вредоносной информации в систему;
• использование VPN технологии, алгоритмов криптографирования (электронной подписи, сжатия с паролем, шифрования),  позволяет снизить потери от несанкционированного программно-аппаратного доступа к информации, находящейся в канале связи Internet, доступ к информации через электромагнитные излучения каналов связи и средств передачи информации Internet, также доступа к информации, размещенной на  удаленных и передающих  серверах Internet,  сбор и  мониторинг информации в интересах третьих лиц;
• дублирование канала Internet и сжатие информации позволяет повысить надежность системы в случае отказа или перегрузки канала связи и в случае стихийных бедствий;
• использование антивирусных средств, не без оснований, считается необходимым условием при подключении к Internet, позволяет значительно снизить потери информации в результате заражения вредоносными программами;
• использование автоматизированных средств проверки сети на возможные уязвимости в системе защиты и аудита безопасности корпоративных серверов позволяет установить источники угроз и значительно снизить вероятность эффективных атак на корпоративную сеть или персональный компьютер;
• использование Proxy и анонимных серверов позволяет оставаться условно анонимным при действиях в Internet и снизить риски, связанные со сбором и мониторинг сетевой информации в интересах третьих лиц, потоком ненужной и вредоносной информации в систему;
• использование систем ограничения доступа сотрудников к сетевым ресурсам Internet, использование маршрутизаторов и надежных поставщиков сетевых услуг, кратковременного канала связи позволяют сократить сбор и мониторинг сетевой информации в интересах третьих лиц, поток ненужной и вредоносной информации в систему.