En particulier dans la demande de divisions russes des entreprises étrangères, elle est devenue en raison de l'ajout de la partie 5 de l'article 18 de l'article 18 de 152-фз "sur les données personnelles": "... L'opérateur est obligé de fournir une entrée, une systématisation, une accumulation, un stockage, raffinement (mise à jour, changement), extraire données personnelles Citoyens de la Fédération de Russie utilisant des bases de données situées sur le territoire de la Fédération de Russie " . Dans la loi, il y a un certain nombre d'exceptions, mais vous êtes d'accord, en cas de vérification du régulateur, je souhaite avoir une carte d'atout avec des atouts que "et nous ne nous inquiétons pas".

La punition des contrevenants est très grave. Magasins en ligne, Réseaux sociaux, Sites d'information, Autres entreprises liées à l'Internet Dans le cas des revendications des autorités de surveillance, elles peuvent en réalité être fermées. Peut-être que lors de la première vérification du régulateur aura du temps pour éliminer les lacunes, mais le terme est généralement limité. Si le problème n'est pas résolu très rapidement (ce qui est difficile sans préparation préalable), les pertes ne sont plus compensées. Les sites de verrouillage conduisent non seulement à faire une pause dans les ventes, cela signifie la perte d'une part de marché.

L'apparition de la "liste noire" des contrevenants de la loi sur la PD pour les entreprises hors ligne est moins dragonnée. Mais cela implique des risques de réputation que pour les entreprises étrangères constituent un facteur important. De plus, il n'y a presque aucune activité qui ne dispose pas de la protection des données à caractère personnel. Les banques, le commerce, même la production - tout est effectué par des bases de la clientèle et relèvent donc de l'action des lois pertinentes.

Il est important de comprendre ici que dans les entreprises, la question est également impossible à considérer isolée. La protection PD ne sera pas en mesure de limiter l'installation d'outils de protection certifiés sur des serveurs et de verrouiller les cartes papier dans des coffres-forts. Les données personnelles ont de nombreux points d'entrée dans la société - les services de vente, les ressources humaines, les services à la clientèle, parfois également des centres de formation, des commissions d'approvisionnement et d'autres unités. Contrôle de la protection du PDN - un processus global qui affecte IL., Gestion de documents, règlements, conception juridique.

Regardons ce qui sera nécessaire pour démarrer et maintenir un tel processus.

Quelles données sont considérées comme personnelles

Strictement parler, toute information qui concerne directement ou indirectement à une face physique spécifique est ses données personnelles. Note, nous parlons de personnes, pas sur les entités juridiques. Il s'avère, il suffit de spécifier le nom et l'adresse de l'hébergement pour initier la protection de ces données (ainsi que liées). Néanmoins, recevoir un courrier électronique avec une personne ou des données personnelles sous forme de signature et que le numéro de téléphone n'est pas encore une raison pour les protéger. Le terme clé: "Le concept de collecte de données personnelles". Pour clarifier le contexte, plusieurs articles de la loi "sur les données personnelles", je souhaite allouer surtout.

Article 5. Principes du traitement des données à caractère personnel. Il est nécessaire d'obtenir des objectifs clairs, dont il devrait être clair, pourquoi cette information se passe. Sinon, même avec tout le respect de toutes les autres règles et règles, la sanction est probable.

Article 10. Catégories spéciales de données à caractère personnel. Par exemple, le service de personnel peut fixer des restrictions pour les voyages d'affaires, y compris la grossesse des employés. Bien entendu, de telles informations supplémentaires sont également définies. Il élargit considérablement la compréhension du PDN, ainsi qu'une liste des ministères et des entrepôts de l'information de la société dans lequel l'attention doit être payée.

Article 12. Transfert transfrontalier de données à caractère personnel. Si le système d'information avec des données sur les citoyens de la Fédération de Russie est situé dans le pays qui n'a pas ratifié la Convention sur la protection des données à caractère personnel (par exemple, en Israël), les dispositions de la législation russe devraient être suivies.

Article 22. Notification du traitement des données à caractère personnel. Prérequis afin de ne pas attirer une attention excessive sur le régulateur. Nous effectuons des activités entrepreneuriales liées aux PDNS - signalez-le vous-même sans attendre des chèques.

Où peuvent les données personnelles

Techniquement, les PD peuvent être n'importe où, en commençant par un support imprimé (fichiers papier) au support de machine (disques durs, lecteurs flash, CD, etc.). C'est-à-dire que, en mettant l'accent sur les stocks de données qui relèvent de la définition de DOT (systèmes d'information personnelle de données).

La géographie de l'emplacement est une grande question séparée. D'une part, les données personnelles des Russes (personnes qui sont citoyens de la Fédération de Russie) devraient être conservées sur le territoire de la Fédération de Russie. D'autre part, maintenant c'est plutôt un vecteur de développement de la situation que le fait accompli. De nombreuses sociétés internationales et d'exportation, diverses exploitations, les coentreprises ont historiquement une infrastructure distribuée - et la nuit qu'il ne changera pas. Contrairement aux méthodes de stockage et de protection du PDN, qui doivent être ajustées presque maintenant, immédiatement.

Liste minimale des départements impliqués dans l'enregistrement, la systématisation, l'accumulation, le stockage, la clarification (mise à jour, changement), extrayant le PDN:

• Service de personnel.
• Département des ventes.
• Département légal.

Depuis rarement règne l'ordre parfait, en réalité, les divisions les plus imprévisibles peuvent souvent être ajoutées à cette liste "attendue". Par exemple, une information personnée des fournisseurs peut être enregistrée dans l'entrepôt ou le service de sécurité peut effectuer sa propre comptabilisation détaillée de tous les partenaires. Ainsi, au fait, la composition du PDN pour les employés peut être complétée par des données sur les clients, les partenaires, les entrepreneurs, ainsi que les visiteurs aléatoires et même de quelqu'un d'autre - dont les PDN deviennent "crime" lors de la photographier pour sauter, scanner une identité carte et dans d'autres cas. Skud (systèmes de contrôle d'accès et de contrôle d'accès) peut facilement servir de source de problèmes dans le contexte de la protection des PDNS. Par conséquent, la réponse à la question "où?" Du point de vue du respect de la loi, cela ressemble à ceci: partout sur le territoire responsable. Plus précisément, vous ne pouvez répondre que en effectuant un audit approprié. C'est la première étape projet Pour la protection des données personnelles. Liste complète de ses phases clés:

1) Audit de la situation actuelle dans la société.

2) Conception de solution technique.

3) Préparation du processus de protection des données à caractère personnel.

4) Vérification de la solution technique et processus de protection du PDN pour se conformer à la législation de la Fédération de Russie et de la réglementation de la Société.

5) L'introduction d'une solution technique.

6) Démarrage du processus pour protéger les données personnelles.

1. Audit de la situation actuelle dans l'entreprise

Tout d'abord, spécifiez le service de personnel et dans d'autres unités utilisant des médias en papier avec des données personnelles:

• Existe-t-il des formes de consentement pour le traitement des données personnelles? Sont-ils remplis et signés?
• Le «Règlement sur les caractéristiques du traitement des données à caractère personnel effectué sans l'utilisation d'outils d'automatisation» du 15 septembre 2008 n ° 687?

Déterminez l'emplacement géographique du CD:

• Dans quels pays sont-ils situés?
• Sur quelle base?
• Y a-t-il des contrats pour leur utilisation?
• Quelle protection technologique est utilisée pour prévenir les fuites de PD?
• Quelles mesures d'organisation sont prises pour protéger le PDN?

Idéalement, le système d'information avec PDS de Russes doit se conformer à toutes les exigences de la loi 152-FZ "sur les données personnelles", même si elle est à l'étranger.

Enfin, faites attention à la liste impressionnante de documents requis dans le cas de la vérification (ce n'est pas tout, seule la liste principale):

• Notification du traitement PD.
• Le document déterminant le responsable de l'organisation du traitement des PDNS.
• Une liste d'employés admis au traitement PD.
• Un document déterminant les emplacements de stockage du PDN.
• Aide sur le traitement des catégories PD spéciales et biométriques.
• Aide à la mise en œuvre de la transmission transfrontière de PDN.
• Modèles de documents avec PDNS.
• Forme typique du consentement à traiter les PDNS.
• La procédure de transfert de PDN à des tiers.
• La procédure de prise en compte des recours des entités PD.
• Liste des systèmes d'information sur les données personnelles (CDN).
• Documents régissant la redondance des données dans le CPF.
• La liste des fonds utilisés pour protéger les informations.
• La procédure de destruction des PDNS.
• Matrix d'accès.
• Menaces modèles.
• Journal de la comptabilisation des transporteurs de machines de PDN.
• Document déterminant les niveaux de sécurité de chaque CTD conformément à la PP-1119 du 1er novembre 2012 "sur l'approbation des exigences relatives à la protection des données à caractère personnel lorsqu'ils sont traités dans des systèmes d'information personnels de données".

2. Conception de solution technique

Une description des mesures organisationnelles et techniques à prendre pour protéger les PDS est fournie au chapitre 4. «Fonctions de l'opérateur» de la loi 152-FZ "sur les données personnelles". La solution technique devrait être basée sur les dispositions de l'article 2 de la loi 242-FZ datée du 21 juillet 2014.

Mais comment se conformer à la loi et gérer les citoyens PDN de la Fédération de Russie en Russie en l'espèce lorsque la mort est toujours à l'étranger? Il y a plusieurs options ici:

• Transfert physique du système d'information et de la base de données sur le territoire de la Fédération de Russie. Si techniquement réalisable - ce sera le plus facile.
• Nous quittons Caiden à l'étranger, mais en Russie, nous en créons une copie et établirons la réplication unilatérale des PDS de la Fédération de Russie de la copie russe à l'étranger. Dans le même temps, dans le système étranger, il est nécessaire d'exclure la possibilité de modifier les citoyens PDN de la Fédération de Russie, toutes les modifications que par l'impatience russe.
• Attrapé quelques-uns et tous à l'étranger. Le transfert peut être coûteux, ou en général, techniquement impossible (par exemple, il est impossible d'allouer une partie de la base avec des citoyens PDN de la Fédération de Russie et de la prendre en Russie). Dans ce cas, la décision peut être la création d'une nouvelle Keepard sur toute plate-forme disponible sur le serveur en Russie, d'où la réplication unilatérale sera effectuée dans chaque dévouement étranger. Je note que le choix de la plate-forme reste pour la société.

S'il est complètement éliminé complètement et monopolysement transféré en Russie, n'oubliez pas d'indiquer dans un certificat de transmission de données transfrontalières à qui et quel type d'ensemble PDN est envoyé. Dans la notification de traitement, vous devez spécifier l'objectif du transfert de données à caractère personnel. Je répète, cet objectif devrait être légitime et clairement justifié.

3. Préparation du processus de protection des données à caractère personnel

Le processus de protection des données personnelles devrait déterminer au moins les points suivants:

• Liste de responsables du traitement des données personnelles dans la société.
• La procédure de fourniture d'accès à la dignité. Idéalement, il s'agit d'une matrice d'accès avec un niveau d'accès pour chaque position ou d'un employé spécifique (lecture / lecture-lecture / modification). Soit une liste de PD disponibles pour chaque poste. Tout dépend de la mise en œuvre de la propriété intellectuelle et des exigences de la société.
• Vérification de l'accès aux données personnelles et à l'analyse des tentatives d'accès avec des niveaux d'accès altérés.
• Analyse des raisons de l'inaccessibilité des données à caractère personnel.
• La procédure de réponse aux demandes des PDN concernant leurs PDNS.
• Révision d'une liste de données personnelles transmises au-delà de la société.
• Révision des bénéficiaires de données personnelles, y compris à l'étranger.
• Révision périodique des modèles de menace pour les PDN, ainsi qu'un changement du niveau de sécurité des données à caractère personnel en raison d'une modification du modèle de menace.
• Soutenir les documents de la société dans l'état actuel (liste ci-dessus, et il peut être complété si nécessaire).

Ici, vous pouvez détailler chaque article, mais je souhaite accorder une attention particulière au niveau de sécurité. Il est déterminé sur la base des documents suivants (lire séquentiellement):

1. "Méthodes de détermination des menaces pertinentes sécurité Données personnelles lors du traitement des systèmes d'information de données à caractère personnel »(FSTec RF le 14 février 2008).

2. Décision du gouvernement de la Fédération de Russie n ° 1119 du 1er novembre 2012 "sur l'approbation des exigences relatives à la protection des données à caractère personnel lors du traitement des systèmes d'information de données personnelles".

3. Ordre de la FSTEK N ° 21 du 18 février 2013 "Sur l'approbation de la composition et du contenu des mesures organisationnelles et techniques visant à assurer la sécurité des données à caractère personnel lors du traitement des systèmes d'information des données à caractère personnel".

En outre, n'oubliez pas de prendre en compte la nécessité de disposer de telles catégories de coûts tels que:

• Organisation projet de groupe et gestion de projet.
• Développeurs pour chacune des plateformes PHDN.
• Puissance du serveur (propre ou louée sur le centre de données).

En achèvement des deuxième et troisième étapes du projet, vous devez avoir:

• Frais de calcul.
• Exigences de qualité.
• TERMES ET PLAN DE PROJET DE CALENDRIER.
• Risques techniques et organisationnels du projet.

4. Vérifiez la solution technique et le processus de protection du PDN pour le respect de la législation de la Fédération de Russie et du Règlement de la Société.

Un court formulation, mais une étape importante, dans laquelle vous devez vous assurer que toutes les actions planifiées ne contredit pas la législation de la Fédération de Russie et des règles de la Société (par exemple, les politiques de sécurité). Si cela n'est pas fait, une bombe sera posée dans la base du projet, qui peut "balayer" à l'avenir, détruire les avantages des résultats obtenus.

5. Mise en œuvre d'une solution technique

Tout est plus ou moins évident ici. Les spécifications dépendent de la situation initiale et des solutions. Mais en général, il devrait s'agir de l'image suivante:

• La puissance du serveur est mise en surbrillance.
• Les ingénieurs de réseau fournissaient une bande passante suffisante des canaux entre le récepteur et l'émetteur du PDN.
• Les développeurs configurent la réplication entre les bases de données de la base de données.
• Les administrateurs ont empêché les modifications de la dignité à l'étranger.

La personne responsable de la protection du PDN ou du «Process Propriétaire» peut être le même visage ou différent. Le fait que le "propriétaire de processus" doit préparer toute la documentation et organiser l'ensemble du processus de protection du PDN. Pour ce faire, toutes les personnes intéressées doivent être notifiées, les employés sont informés et le service informatique de promouvoir la mise en œuvre des mesures de protection des données techniques.

6. Démarrage du processus de protection des données personnelles

C'est une étape importante et, dans un sens, l'objectif de l'ensemble du projet est de mettre le contrôle du flux. Outre les solutions techniques et la documentation réglementaire, le rôle du propriétaire du processus est essentiel. Il doit surveiller les changements non seulement dans la législation, mais également dans les infrastructures informatiques. Donc, des compétences et des compétences appropriées sont nécessaires.

De plus, ce qui est critique dans le travail réel, le propriétaire du processus de protection PDN nécessite tous les pouvoirs nécessaires et le soutien administratif de la direction de la société. Sinon, il sera un "plus intelligent" éternel sur lequel personne ne paie l'attention et, après un moment, le projet peut être redémarré, à nouveau commençant par l'audit.

Nuances

Quelques moments faciles à manquer de voir:

• Si vous travaillez avec un centre de données, vous avez besoin d'un contrat pour fournir des capacités de serveur, selon lesquelles votre entreprise stocke des données sur des motifs juridiques et les contrôlent.
• Nous avons besoin de licences logicielles, utilisées pour collecter, stocker et traiter les PDN, ou les contrats loués.
• Dans le cas de l'emplacement du donateur à l'étranger, un contrat est nécessaire avec la société qui en possède - pour garantir le respect de la législation de la Fédération de Russie en ce qui concerne les données personnelles des Russes.
• Si des données personnelles sont transmises à l'entrepreneur de votre entreprise (par exemple, un partenaire de sous-traitance informatique), alors en cas de fuites de PD d'une sous-traitance, vous serez responsable des réclamations. À son tour, votre entreprise peut faire une demande d'externalisation. Peut-être que ce facteur peut affecter le transfert de travaux sur la sous-domaine.

Et encore une fois la chose la plus importante - la protection des données à caractère personnel ne peut être prise et assurée. C'est un processus. Un processus itératif continu qui dépendra fortement de nouveaux changements de la législation, ainsi que sur le format et la rigueur de l'application de ces normes dans la pratique.

introduction

Pertinence. Dans le monde moderne, les informations deviennent une ressource stratégique, l'une des principales riches d'un État économiquement développé. L'amélioration rapide de l'informatisation en Russie, sa pénétration dans tous les domaines des intérêts vitaux de l'individu, de la société et des états causés en plus des avantages incontestables et de l'émergence d'un certain nombre de problèmes importants. L'un d'entre eux était la nécessité de protéger les informations. Considérant qu'à l'heure actuelle, le potentiel économique est de plus en plus déterminé par le niveau de développement de la structure de l'information, la vulnérabilité potentielle de l'économie des influences informatives augmente proportionnellement.

La distribution des systèmes informatiques, la combinant dans les réseaux de communication améliore les possibilités de pénétration électronique. Le problème de la criminalité informatique dans tous les pays du monde, indépendamment de leur position géographique, il est nécessaire d'attirer une attention croissante et des forces publiques pour organiser la lutte contre ce type de crime. Les variétés particulièrement larges ont reçu des crimes dans les systèmes bancaires automatisés et le commerce électronique. Selon les données étrangères, les pertes bancaires à la suite de crimes informatiques chaque année constituent de nombreuses milliards de dollars. Bien que le niveau d'introduction des dernières technologies de l'information dans la pratique en Russie n'est pas aussi significatif, les crimes informatiques se rendent de plus en plus à eux-mêmes et la protection de l'État et de la société d'entre elles est devenue Superzadach pour les autorités compétentes.

La pertinence de la question de la protection des données personnelles n'est aucun doute. Tout d'abord, cela est dû au terme défini pour amener les systèmes d'information des données à caractère personnel (AHD) conformément à la loi fédérale du 27 juillet 2006 n ° 152-FZ "sur les données personnelles". Cette période s'approche inexorablement et, dans le même temps, la complexité évidente de remplir les exigences des documents de direction des régulateurs provoque une masse de litiges et d'interprétations ambiguës. Dans le même temps, la proximité de certaines directives, leur statut juridique indéfini, ainsi qu'un certain nombre d'autres problèmes, ne contribuent pas à la résolution du problème. Tout cela crée une situation où le cadre réglementaire n'est pas finalement déterminé et les exigences de la législation sont nécessaires maintenant.

mai 2009 a adopté la première réunion du groupe de travail sur les données personnelles de l'ARB. L'événement lors de la discussion ouverte a été clairement indiqué par les zones problématiques que la communauté bancaire passionnante. Nous préoccuptions principalement la protection technique des données à caractère personnel et une interaction future entre les institutions de crédit et financière et de la FSTEC. Les représentants de la Banque de la Russie ont exprimé leur discours d'évolution de l'organisation de l'exécution de la loi "sur les données personnelles". Fondamentalement nouveau et important peut être appelé les tentatives de la Banque de la Russie à trouver un compromis avec des régulateurs en termes de formulation des exigences techniques pour la communauté bancaire. Surtout, je voudrais noter l'activité de la Banque centrale de la Fédération de Russie pour travailler avec Fstec de Russie. Compte tenu de toute la grande majorité des difficultés à remplir les exigences des directives de la FSTec, la Banque de la Russie a décidé de préparer ses propres documents (projets de documents), qui sont actuellement cohérents avec la FSTEC. On peut supposer que la probabilité de l'émergence d'une nouvelle norme de l'industrie pour les institutions de crédit et de financement des données à caractère personnel est élevée.

L'objectif du travail est d'étudier les moyens de protéger les données personnelles dans les systèmes en ligne de banque.

Pour atteindre l'objectif, les tâches suivantes ont été résolues:

Étude des approches, principes de sécurité de base;

détermination des méthodes et des moyens de sécurité;

identifier les caractéristiques d'assurer des données personnelles dans les systèmes bancaires en ligne;

développement d'activités de sécurité des données personnelles dans les systèmes bancaires en ligne.

L'objet de la recherche sur le travail est des systèmes de banque d'informations.

Le sujet de l'étude est la sécurité des informations personnelles dans les systèmes bancaires en ligne.

La base théorique et méthodologique de l'étude était des dispositions théoriques, des œuvres de scientifiques, des recherches de spécialistes dans la fourniture d'informations.

La base méthodologique pour le travail de cours était une approche systématique de l'étude du problème de sécurité.

Analyse logique, légale comparative, d'occasion. De plus, la méthode d'analyse structurelle utilisée permet les soins nécessaires à explorer les composants individuels du phénomène à l'étude et à analyser le rapport de ces éléments, ainsi qu'avec l'entiers général.

1. Aspects théoriques des données durables dans les systèmes en ligne bancaire

1.1 Approches, principes de sécurité

Selon la sécurité des systèmes d'information, les mesures qui protègent le système d'information contre une intervention aléatoire ou délibérée dans les régimes de son fonctionnement sont comprises.

Il existe deux approches principales de la sécurité informatique.

Le premier est fragmentaire, dans son cadre, il existe une orientation sur la lutte contre des menaces strictement définies dans certaines conditions (par exemple, des produits antivirus spécialisés, des moyens autonomes de cryptage, etc.). À l'approche, il y a à la fois des avantages - impliquant un niveau élevé de sélectivité dans une partie d'un problème et d'inconvénients strictement définis - impliquant la fragmentation de la protection - c'est-à-dire Articles strictement définis.

Le processus de gestion de la protection des informations comprend les composants présentés à la Fig. une.

La deuxième approche est systématique, sa fonctionnalité est que, dans son cadre, la protection des informations comprend plus en grande partie - un environnement de traitement protégé, un stockage et une transmission d'informations, qui unit des méthodes hétérogènes et des moyens de lutte contre les menaces: logiciels et techniques, juridique , organisation organisationnelle et économique et économique. Grâce à l'environnement protégé spécifié, vous pouvez garantir un certain niveau de sécurité du système d'information automatisé.

L'approche système de la protection des informations est basée sur les principes méthodologiques suivants:

l'objectif ultime est la priorité absolue de l'objectif final (global);

unity - prise en compte conjointe du système dans son ensemble "et en tant que totalité des parties (éléments);

connectivité - prise en compte de toute partie du système avec ses connexions avec l'environnement;

construction modulaire - mettant en évidence les modules dans le système et en considération comme un ensemble de modules;

hiérarchie - L'introduction de la hiérarchie des parties (éléments) et de leur classement;

fonctionnalité - prise en compte conjointe de la structure et de la fonction avec la fonction de priorité sur la structure;

développement - représentant la variabilité du système, sa capacité à développer, développer, remplacer les pièces, accumuler des informations;

décentralisation - Combinaisons dans les décisions et la gestion de la centralisation et de la décentralisation;

incertitude - Comptabilisation des incertitudes et du caractère aléatoire dans le système.

Les chercheurs modernes identifient les méthodes méthodologiques suivantes,

principes d'information organisationnels et d'exécution de la sécurité de l'information (y compris de l'ordinateur).

Le principe de la légalité. Il s'agit de la législation en vigueur dans le domaine de la sécurité de l'information.

Le principe de l'incertitude. Utiliser l'ambiguïté du comportement du sujet, c'est-à-dire Qui, quand, où et comment pouvez-vous perturber la sécurité de l'objet de sécurité.

Le principe de l'impossibilité de créer un système de protection idéal. Il découle du principe d'incertitude et de ressources limitées de ces fonds.

Principes de risque minimal et de dommages minimaux. L'impossibilité de créer un système de protection idéal. Conformément à cela, il est nécessaire de prendre en compte les conditions spécifiques de l'existence d'un objet de protection à tout moment.

Le principe de temps sûr. Performance du temps absolu, c'est-à-dire au cours de laquelle les objets de protection doivent être enregistrés; et heure relative, c'est-à-dire L'intervalle de temps du moment d'identifier des actions malveillantes jusqu'à ce que l'attaquant atteigne le but.

Le principe de "protection de tous de tous". Il suppose l'organisation de mesures de protection contre toutes les formes de menaces des objets de protection, ce qui est une conséquence du principe de l'incertitude.

Principes de responsabilité personnelle. Assure la responsabilité personnelle de chaque employé de l'entreprise, des institutions et de l'organisation pour le respect du régime de sécurité dans le cadre de leurs pouvoirs, de leurs fonctions fonctionnelles et d'instructions existantes.

Le principe de restriction de l'autorité. Il fournit une restriction de l'autorité du sujet de se familiariser avec des informations, à laquelle l'accès n'est pas requis pour la performance normale de leurs tâches fonctionnelles, ainsi que l'introduction de l'interdiction de l'accès aux objets et zones, qui ne sont pas requises par la nature de l'activité.

Le principe d'interaction et de coopération. Dans la manifestation interne implique la culture des relations de confiance entre les employés responsables de la sécurité (y compris les informations) et du personnel. Dans la manifestation externe - la mise en place de la coopération avec toutes les organisations et personnes intéressées (par exemple, les agences de la force publique).

Le principe de la complexité et de l'individualité. Réflorifie l'impossibilité d'assurer la sécurité de l'objet de la protection dans n'importe quel événement, mais seulement un ensemble d'activités intégrées, interconnectées et en double mise en œuvre avec une référence individuelle à des conditions spécifiques.

Le principe des frontières consécutives de sécurité. Il fournit le plus tôt possible une adéquation pour la sécurité d'un ou d'un autre objet de protection ou d'un incident défavorable pour augmenter la probabilité que l'alarme anticipée de l'alarme de sécurité fournisse aux employés responsables de la sécurité, le capacité à déterminer la cause de l'alarme et à organiser des mesures efficaces pour contrer.

Principes de protection en caoutchouc d'égalité et d'égalité. L'égalisation implique l'absence de zones non protégées au tour de la protection. L'égalité implique une protection relativement égale de la protection à l'étranger conformément au degré de menaces à l'objet de protection.

Les méthodes de garantie de la protection des informations dans l'entreprise sont les suivantes:

Un obstacle est la méthode de blocage physique à l'attaquant des informations protégées (à l'équipement, aux supports d'information, etc.).

Le contrôle d'accès est la méthode de protection des informations en réglemant l'utilisation de toutes les ressources du système d'information automatisé de l'entreprise. Le contrôle d'accès comprend les fonctions de protection suivantes:

identification des utilisateurs, du personnel et des ressources du système d'information (attribution de chaque objet d'un identifiant personnel);

authentification (authentification) d'un objet ou d'un sujet sur l'identifiant qui leur a été soumis;

vérification des pouvoirs (vérification de la conformité du jour de la semaine, heure de la journée demandée aux ressources et aux procédures établies par le Règlement);

enregistrement des recours aux ressources protégées;

réponse (alarme, arrêt, délai, refus dans la requête lorsque vous essayez d'actions non autorisées).

Le masquage est une méthode de protection des informations dans un système d'information d'entreprise automatisé par fermeture cryptographique.

La réglementation est la méthode de protection des informations qui crée de telles conditions pour le traitement automatisé, le stockage et la transmission d'informations dans lesquelles la possibilité d'un accès non autorisé à celui-ci serait minimisée.

Forçage - une méthode de protection des informations dans lesquelles les utilisateurs et le personnel du système sont obligés de respecter les règles de traitement, de transfert et d'utilisation d'informations protégées sous la menace de responsabilité matérielle, administrative et pénale.

Le mouvement est la méthode de protection des informations qui encourage les utilisateurs et le personnel du système ne violent pas les règles établies en se conformant aux normes morales et éthiques dominantes.

Les méthodes ci-dessus de sécurité de l'information sont mises en œuvre à l'aide des actifs immobilisés suivants: physique, matériel, logiciel, logiciels matériels, cryptographiques, organisationnels, législatifs et moraux et éthiques.

Les moyens de protection physique sont destinés à la protection externe des objets d'objets, protégeant les composants du système d'information automatisé de l'entreprise et sont implémentés en tant que périphériques et systèmes autonomes.

Protection matérielle - Ce sont des périphériques électroniques, électromécaniques et autres, directement incorporés dans les unités du système d'information automatisé ou décorés sous la forme de dispositifs indépendants et de conjugué avec ces blocs. Ils sont destinés à la protection interne des éléments structurels des fonds et des systèmes d'équipement informatique: terminaux, transformateurs, équipements périphériques, lignes de communication, etc.

Les logiciels de protection sont conçus pour effectuer des fonctions de protection logiques et intelligentes et sont incluses dans le logiciel du système d'information automatisé ou à la composition des moyens, des complexes et des systèmes de contrôle.

Les logiciels de sécurité logiciels sont le type de protection le plus courant, possédant les propriétés positives suivantes: polyvalence, flexibilité, simplicité de mise en œuvre, possibilité de changement et de développement. Cette circonstance les rend simultanément et les éléments les plus vulnérables de la protection du système d'information de l'entreprise.

Protection du logiciel de matérielle - Les moyens dans lesquels les logiciels (micrologiciels) et les pièces matérielles sont entièrement interdépendants et indissociables.

Outils cryptographiques - Moyens de protection en convertissant des informations (cryptage).

Fonds organisationnels - Mesures d'organisation et techniques et juridiques pour réglementer le comportement du personnel.

Fonds législatifs - Actes juridiques du pays qui réglementent les règles d'utilisation, de traitement et de transmission d'informations d'accès limitée et qui établissent des mesures de responsabilité pour violer ces règles.

Moyens moraux et éthiques - Normes, traditions de la société, par exemple: Code de comportement professionnel des membres de l'Association des utilisateurs d'EMM aux États-Unis.

1.2 Méthodes et méthodes de sécurité

Pour mettre en œuvre des mesures de sécurité, divers mécanismes de cryptage sont utilisés. Quelles sont ces méthodes utilisées? Initialement, lors de l'envoi de données (texte, discours ou modèle), ils ne sont pas protégés, ou comme des experts sont appelés - ouverts. Les données ouvertes peuvent facilement intercepter d'autres utilisateurs (intentionnellement ou non défrichés). S'il y a un objectif de prévention de certaines informations à des personnes tierces, ces données sont cryptées. L'utilisateur qui est destiné à cette information est ensuite saisi avec celui-ci à l'aide de la conversion inverse du cryptogramme, recevant les données de la forme dont vous avez besoin.

Le cryptage est symétrique (une clé secrète pour le cryptage est utilisé) et asymétrique (une clé publique est utilisée pour le cryptage, et pour le déchiffrement - l'autre, non interdépendant - c'est-à-dire que l'un d'entre eux, vous ne pouvez pas définir un autre).

Les mécanismes de sécurité sont à la fois:

) Les mécanismes de signature électronique numériques sont basés sur des algorithmes de cryptage asymétrique et comprennent deux procédures: la formation de signature de l'expéditeur et son identification par le destinataire. Signature formant l'expéditeur fournit un cryptage du bloc de données ou de son addition à la cryptographie, de la somme de contrôle et dans les deux cas, la clé secrète de l'expéditeur est utilisée. Pour l'identification, une clé publique est utilisée.

) Les mécanismes de contrôle d'accès Vérifiez les pouvoirs des programmes et des utilisateurs pour accéder aux ressources du réseau. Lors de l'accès à une ressource via une connexion, le contrôle est effectué à la fois au point d'initiation et à des points intermédiaires, ainsi qu'au point final.

) Les mécanismes d'intégrité des données sont appliqués à un bloc distinct et au flux de données. L'expéditeur complète le bloc transmis du montant cryptographique et le destinataire la compare avec une valeur cryptographique correspondant au bloc reçu. Manquant témoigne de la distorsion des informations dans le bloc.

) Mécanismes de la circulation. Sur la base de la génération de blocs AIS, de cryptage et de l'organisation de la transmission sur les canaux de réseau. Ainsi, il est neutralisé par la possibilité d'obtenir des informations en observant les caractéristiques externes des flux circulant sur les canaux de communication.

) Les mécanismes de contrôle de routage garantissent le choix des itinéraires d'informations d'informations sur le réseau de communication de manière à exclure le transfert d'informations secrètes sur des canaux physiquement peu fiables dangereux.

) Les mécanismes d'arbitrage assurent la confirmation des caractéristiques de données transmises entre les objets, tiers. Pour cela, les informations envoyées ou reçues par des objets passent dans l'arbitre, ce qui lui permet de confirmer ultérieurement les caractéristiques mentionnées.

Les principaux inconvénients du système de sécurité des objets économiques sont les suivants:

-une compréhension étroite et non systématique du problème de la sécurité des objets;

-négligence de la prévention des menaces, le travail sur le principe de "une menace est apparu - nous commençons à l'éliminer";

-incompétence dans l'économie de sécurité, incapacité à comparer les coûts et les résultats;

-"Technocratetme" des lignes directrices et des spécialistes du service de sécurité, l'interprétation de toutes les tâches dans la langue de la région familière.

En tant que sortie sur le premier chapitre, nous définissons ce qui suit. Les systèmes d'information de soutien sont appelés certaines mesures à travers lesquelles le système d'information est protégé contre une intervention aléatoire ou délibérée dans ses modes de fonctionnement. Pour assurer la sécurité, deux approches principales sont fournies: 1) fragmentaire, au sein de laquelle la lutte contre certaines menaces sous certaines conditions est effectuée; et 2) systémique, dans lequel un environnement de traitement protégé est créé, stocker et transmettre des informations, combinant différents types de méthodes et moyens de contrer les menaces. Pour une protection de l'information, divers moyens et mécanismes sont appliqués. Nous supposerons aux outils: cryptage, enregistrement électronique numérique, contrôle d'accès, formulation de la circulation, etc.

sécurité du système en ligne bancaire

2. Caractéristiques consistant à assurer la sécurité des données personnelles dans les systèmes en ligne de banque

2.1. Conditions générales pour assurer la sécurité des données personnelles dans les systèmes bancaires en ligne

Les informations de protection sont un état de sécurité des informations et de ses infrastructures de support (ordinateurs, lignes de communication, systèmes d'alimentation, etc.) d'effets aléatoires ou délibérés, une fraude aux dommages causés aux propriétaires ou aux utilisateurs de ces informations.

En outre, la sécurité informative des diplômes comprend: assuré la fiabilité de l'ordinateur; la sécurité des titres de compétences précieuses; protection des informations personnelles résultant de modifications apportées aux personnes non autorisées; maintenir des comptes documentés dans les communications électroniques.

Les objets de sécurité de l'information sont en comptabilité sont des ressources d'informations contenant des informations relatives à des informations commerciales et confidentielles; ainsi que des fonds et des systèmes d'informatisation.

Le propriétaire des ressources d'information, des systèmes d'information, des technologies et des moyens de leur disposition est un sujet qui possède et utilisant ces objets et mettant en œuvre l'autorité de l'ordonnance dans les limites établies par la loi.

L'utilisateur d'informations est un sujet qui se tourne vers le système d'information ou un intermédiaire pour obtenir les informations dont vous avez besoin et l'utiliser.

Les ressources d'informations sont des documents distincts et des tableaux individuels de documents, de documents et de tableaux de documents dans des systèmes d'information.

La menace de sécurité de l'information réside dans une action potentiellement possible, qui, par l'impact sur les composants du système personnel, peut entraîner des dommages aux propriétaires de ressources d'information ou d'utilisateurs du système.

Le mode légal des ressources d'information est déterminé par les normes établissant:

procédure de documentation des informations;

propriété des documents individuels et des tableaux individuels

documents, documents et tableaux de documents dans des systèmes d'information; Catégorie d'informations sur l'accès à celui-ci; La procédure de protection juridique de l'information.

Le principe de base, violé lors de la mise en œuvre d'une menace d'information en comptabilité, est le principe de documentation des informations. Le document comptable reçu du système d'information automatisé de comptabilité acquiert une force juridique après sa signature par un agent de la manière prescrite par la législation de la Fédération de Russie.

Toutes nombreuses menaces potentielles de la nature de leur occurrence peuvent être divisées en deux classes: naturel (objectif) et artificiel.

Les menaces naturelles sont causées par des raisons objectives, en règle générale, indépendamment du comptable menant à la destruction complète ou partielle de la comptabilité avec ses composants. Ces phénomènes naturels comprennent: des séismes, des coups de foudre, des incendies, etc.

Les menaces artificielles sont associées aux activités populaires. Ils peuvent être divisés en involontaires (non intentionnels), causés par la capacité des employés à faire des erreurs dues à l'inattention, à la fatigue, à un état douloureux, etc. Par exemple, un comptable lors de la saisie d'informations dans un ordinateur ne peut pas appuyer sur la touche, effectuez des erreurs non intentionnelles dans le programme, de prendre le virus, de divulguer accidentellement des mots de passe.

Les menaces délibérées (intentionnelles) sont associées aux aspirations mercenaires des personnes - intrus qui créent intentionnellement des documents peu fiables.

Les menaces de sécurité en termes de direction peuvent être divisées en groupes suivants:

les menaces de pénétration et de lecture des données des bases de données de base de données et des programmes informatiques de leur traitement;

menaces à la sécurité des pouvoirs, conduisant à leur destruction ou à modifier, y compris la falsification des documents de paiement (exigences de paiement, ordonnances, etc.);

menaces de disponibilité des données découlant lorsque l'utilisateur ne peut pas accéder aux données de compte;

la menace de défaut d'exécution des opérations, lorsqu'un utilisateur transmet un message à un autre, puis ne confirme pas les données transmises.

Les processus d'information sont les processus de collecte, de traitement, d'accumulation, de stockage, de recherche et de diffusion des informations.

Le système d'information est un ensemble de documents ordonnés par ordre organisationnel (tableaux de documents et technologies de l'information, notamment en utilisant les fonds d'équipement informatique et de la mise en œuvre de processus d'exécution de la communication).

La documentation des informations est effectuée de la manière prescrite par les autorités de l'État chargées de l'organisation des travaux de bureau la normalisation des documents et de leurs matrices, la sécurité de la Fédération de Russie.

En fonction de la source de menaces, ils peuvent être divisés en interne et externe.

La source des menaces internes est les activités du personnel de l'organisation. Les menaces externes proviennent de l'extérieur des employés d'autres organisations, des pirates informatiques et d'autres personnes.

Les menaces externes peuvent être divisées en:

local, qui implique la pénétration du violateur sur le territoire de l'organisation et obtiennent un accès à un ordinateur distinct ou à un réseau local;

les télécommandes sont caractéristiques des systèmes connectés aux réseaux mondiaux (Internet, Swift International Banking Calculation System, etc.).

Ces dangers se produisent le plus souvent dans le système de paiement électronique lors du calcul des fournisseurs avec des acheteurs, l'utilisation dans les calculs du réseau Internet. Les sources de telles attaques d'information peuvent être des milliers de kilomètres. Et l'impact est exposé non seulement à l'ordinateur, mais également des informations comptables.

Les erreurs intentionnelles et involontaires dans la comptabilité, ce qui entraîne une augmentation du risque comptable, sont les suivantes: erreurs dans les enregistrements d'enregistrement; codes incorrects; comptabilité non autorisée; violation des limites de test; comptes manqués; erreurs dans les données de traitement ou de sortie; erreurs lors de la formation ou de l'ajustement des livres de référence; Comptes incomplets; affectation incorrecte d'enregistrements en période; Falsification des données; violation des exigences des actes réglementaires; violation des principes des politiques personnelles; Maintenance des besoins de qualité des utilisateurs.

Un danger particulier est l'information qui compose des secrets commerciaux et liée aux informations personnelles et à la déclaration (données sur les partenaires, les clients, les banques, les informations analytiques sur le marché). Pour que cela et des informations similaires soient protégés, il est nécessaire de délivrer un contrat avec un personnel comptable, des services financiers et d'autres unités économiques avec une indication d'une liste d'informations non soumises à la publicité.

La protection des informations dans les systèmes de comptabilité automatisée repose sur les principes de base suivants.

Assurer la séparation physique des zones destinées au traitement des informations secrètes et non négatives.

Fournir une protection de l'information cryptographique. Assurer l'authentification des abonnés et des installations d'abonnés. Assurer la délimitation de l'accès des sujets et de leurs processus à l'information. Assurer l'authentification et l'intégrité des messages documentaires lorsqu'ils sont transmis via des canaux de communication.

Assurer la protection des équipements et des moyens techniques du système, les locaux où ils sont placés, des fuites d'informations confidentielles sur les canaux techniques.

Assurer la protection de l'ingénierie des chiffres, des équipements, des techniques et des logiciels à partir de fuites d'informations en raison du matériel et des signets logiciels.

Assurer le contrôle de l'intégrité de la partie logicielle et d'information du système automatisé.

Utiliser comme mécanisme de protection domestique

Les ressources d'information de l'État de la Fédération de Russie sont ouvertes et accessibles au public. L'exception est une information documentée attribuée par la loi à la catégorie d'accès limité. Les informations documentées avec un accès limité dans les conditions de son mode juridique sont divisées en informations relatives aux secrets d'état et à la confidentialité. Une liste d'informations confidentielles, en particulier des informations relatives aux activités commerciales, a été créée par le décret du président de la Fédération de Russie du 6 mars 1997 no 188 (Annexe N ° d'évolution des développements.

Fournir des mesures de protection de l'organisation et du régime. Il est conseillé d'utiliser et de mesures de sécurité de communication supplémentaires dans le système.

Organisation de la protection des informations sur l'intensité, la durée et le trafic d'échange de trafic.

Utiliser pour transmettre et traiter des informations d'information et des méthodes qui rendent l'interception difficile.

La protection des informations provenant d'un accès non autorisé vise à créer trois propriétés principales dans des informations protégées:

confidentialité (les informations classifiées ne doivent être accessibles qu'à celui à qui il est destiné);

intégrité (informations sur la base de laquelle des décisions importantes sont prises devrait être fiable, précise et entièrement protégée des éventuelles distorsions non intentionnelles et malveillantes);

la préparation (informations et services d'information connexes devraient être disponibles, prêts pour les parties intéressées toujours quand elles ont besoin de nécessité).

Les méthodes de garantie de la protection des informations personnelles sont les suivantes: obstacles; Accès, déguisement, régulation, coercition, invite.

Un obstacle doit être considéré comme la méthode de blocage physique du trajet de l'attaquant aux informations personnelles protégées. Cette méthode est mise en œuvre par la bande passante d'entreprise, y compris la présence de l'entrée, le blocage du trajet des personnes non autorisées au service de la comptabilité, le caissier, etc.

La gestion d'accès est la méthode de protection des informations personnelles et de rapports mis en œuvre par:

authentification - Réglage de l'authenticité d'un objet ou sous réserve de l'identifiant soumis (effectué en mappant l'identifiant saisi avec l'ordinateur stocké dans la mémoire);

chèques d'autorisation - Vérification de la conformité des ressources et des opérations demandées effectuées sur des ressources allouées et des procédures autorisées; enregistrement des appels aux ressources protégées;

informer et réponse lorsque vous essayez des actions non autorisées. (La cryptographie est un moyen de protéger les informations en convertissant des informations (cryptage)).

Dans le complexe BEST-4, la délimitation de l'accès à l'information est faite au niveau des sous-systèmes individuels et est fournie en spécifiant des mots de passe distincts d'accès. Lorsque vous configurez ou à tout moment avec le programme, l'administrateur système peut spécifier ou modifier un ou plusieurs mots de passe. Le mot de passe est demandé à chaque entrée du sous-système.

De plus, certains modules fournissent son propre système à la délimitation de l'accès à l'information. Il offre la possibilité de protéger avec des mots de passe spéciaux de chaque élément de menu. Les mots de passe peuvent également être protégés avec accès à des sous-ensembles individuels de documents primaires: dans la section AWP "comptant des stocks en stock" et "comptabilité de biens et produits", il est possible de spécifier des mots de passe d'accès à chaque entrepôt séparément, dans AWP "Comptabilisation des opérations en espèces" - mots de passe d'accès à chaque casse, dans la section AWP "Comptabilisation de la comptabilité de la banque" - mots de passe d'accès à chaque compte bancaire.

Il convient de noter que, afin de distinguer efficacement l'accès à l'information, il est nécessaire de protéger les mots de passe eux-mêmes sur l'accès à l'un ou aux autres blocs eux-mêmes.

Dans 1C.Perman, la version 7.7 Il existe sa propre protection des droits d'accès à l'information. Dans le but d'intégrer et de diviser l'accès des utilisateurs à des informations lors de la collaboration avec le système 1C. Département du réseau d'ordinateurs personnels, le configurateur système vous permet de Installez le droit de travailler avec les informations traitées pour chaque système utilisateur. Les droits peuvent être spécifiés à une gamme assez large - de la possibilité de visualiser certains types de documents à un ensemble complet de droits sur la saisie, la visualisation, l'ajustement et la suppression de tout type de données.

L'affectation à l'utilisateur des droits d'accès est effectuée en 2 étapes. À la première étape, des ensembles d'informations typiques sur le travail avec des informations, diffèrent, en règle générale, la portée des capacités d'accès disponibles est créée. À la deuxième étape, l'utilisateur est mis en ligne avec l'un de ces ensembles typiques de droits.

Tous les travaux sur la création d'ensembles de droits typiques sont effectués sur l'onglet "Droite" de la fenêtre de configuration. Cette fenêtre est appelée à l'écran en sélectionnant l'élément "Ouvrir la configuration" dans le menu de configuration du menu principal du programme.

2.2 Complexe de mesures visant à assurer la sécurité des données à caractère personnel dans les systèmes bancaires en ligne

La justification de la sécurité des activités de sécurité PD est faite en tenant compte des résultats d'une évaluation du risque de menaces et d'identifier la CMD sur la base de «activités de base pour l'organisation et du support technique des données personnelles traitées dans des systèmes d'information de données personnelles».

Dans le même temps, des mesures doivent être identifiées:

identifier et fermer les canaux techniques de la fuite des PDNS dans les habitants;

protection de la PD d'un accès non autorisé et d'actions illégales;

installation, configuration et application d'équipement de protection.

Les événements sur l'identification et la fermeture des canaux techniques des fuites de PDNS dans les PDN sont formulés sur la base de l'analyse et de l'évaluation des menaces de sécurité des PDNS.

Activités pour la protection des PDS lors de leur traitement dans CPTN de l'accès non autorisé et des actions illégales incluent:

contrôle d'accès;

enregistrement et comptabilité;

assurer l'intégrité;

surveiller l'absence de capacités non déclarées;

protection antivirus;

assurer une interstitialité sûre interstitielle CDN;

analyse de sécurité;

intrusions de détection.

Le sous-système de gestion d'accès, d'enregistrement et de comptabilité est recommandé d'être mis en œuvre sur la base du logiciel pour bloquer les actions, les alarmes et l'enregistrement non autorisés. Celles-ci sont spéciales, non incluses dans le cœur de tout logiciel d'exploitation et de logiciels et de protection matérielle des systèmes d'exploitation eux-mêmes, des bases électroniques des PDNS et des programmes d'application. Ils effectuent les fonctions de protection à leur propre ou dans un complexe avec d'autres moyens de protection et visent une exception ou une difficulté à effectuer des utilisateurs dangereux de l'utilisateur ou de l'intrus. Celles-ci incluent des services publics spéciaux et des systèmes de protection logiciel, dans lesquels les fonctions de diagnostic, d'enregistrement, de destruction, d'alarme et d'imitation sont mises en œuvre.

Les outils de diagnostic effectuent les essais du système de fichiers et les bases PDN, une collection permanente d'informations sur le fonctionnement des éléments du sous-système de sécurité de la sécurité.

Des moyens de destruction sont destinés à détruire des données résiduelles et peuvent prévoir une destruction d'urgence de données en cas de menace d'une NSD, qui ne peut être bloquée par le système.

Les moyens d'alarme sont conçus pour empêcher les opérateurs lorsqu'ils sont mentionnés à protégés eux-mêmes et à empêcher l'administrateur lorsque le FR NSD est détecté aux PDN et aux autres faits de violation du mode de fonctionnement standard.

Les médias d'imitation simule le travail avec des contrevenants lorsque la NSD tente des PDN ou des logiciels protégés est détectée. L'imitation vous permet d'augmenter le temps nécessaire pour déterminer l'endroit et le caractère de la NSD, ce qui est particulièrement important dans les réseaux distribués géographiquement et désinfordant le violateur de l'emplacement des PDN protégés.

Le sous-système d'assurance d'intégrité est mis en œuvre principalement par des systèmes d'exploitation et des systèmes de gestion de base de données. Les moyens d'accroître la précision et de garantir l'intégrité des données transmis et la fiabilité des transactions, intégrées aux systèmes d'exploitation et aux systèmes de gestion de base de données, sont basées sur le calcul des checksums, notification de la défaillance de la transmission du paquet de message, la répétition du paquet non reçu.

Le sous-système de l'absence de capacités non déclarées est mis en œuvre dans la plupart des cas sur la base des systèmes de gestion de base de données, des outils de protection des informations, des outils de protection des informations anti-virus.

Pour assurer la sécurité des environnements PDNS et logiciels et matériels, le traitement de ces informations est recommandé d'appliquer des outils de protection anti-virus spéciaux qui effectuent:

détection et (ou) bloquer des influences virales destructrices sur un logiciel d'application et un logiciel d'application qui implémente le traitement PD, ainsi que sur le PDN;

détection et élimination des virus inconnus;

fournir une maîtrise de soi (prévention de l'infection) de cet antivirus quand il commence.

Lors du choix des outils de protection anti-virus, il est conseillé de prendre en compte les facteurs suivants:

compatibilité de ces fonds avec un logiciel CDN ordinaire;

le degré de réduction de la performance du fonctionnement de l'objectif principal;

la présence de contrôles centralisés au fonctionnement des outils de protection anti-virus du lieu de travail de l'administrateur de la sécurité de l'information dans le FCEE;

la capacité d'alerte rapidement l'administrateur de sécurité des informations dans les habitations de tous les événements et faits de la manifestation des logiciels et des impacts mathématiques (PMW);

disponibilité de la documentation de fonctionnement détaillée pour la protection anti-virus;

la capacité d'effectuer des tests périodiques ou des moyens d'auto-test de protection antivirus;

la possibilité d'accroître la composition de la protection de la protection contre le PMT avec de nouveaux moyens supplémentaires sans restrictions importantes sur l'efficacité de la dignité et du «conflit» avec d'autres types de fonds de protection.

Une description de la procédure d'installation, des paramètres, de la configuration et de l'administration d'outils de protection antivirus, ainsi que la procédure d'action en cas d'identification du fait d'attaque virale ou d'autres violations des exigences de protection des logiciels et des impacts mathématiques devraient être inclus dans La gestion de l'administrateur de la sécurité de l'information dans le CPF.

Pour la mise en œuvre du désarmement de l'accès aux ressources nationales, des pare-feu sont utilisés pour intervention intervention, qui est mis en œuvre par des pare-feu logiciels et matériels (ME). Le pare-feu est installé entre le réseau protégé, appelé le réseau interne et le réseau externe. Le pare-feu fait partie du réseau protégé. Pour cela, par des réglages, les règles limitant l'accès du réseau interne en étranger au contraire.

Pour assurer une interaction interventive sûre dans les classes PM et 4 classes, il est recommandé de ne pas être inférieur au cinquième niveau de protection.

Pour assurer un pare-feu sûr dans la classe de classe 2, il est recommandé de m'utiliser pas moins que le quatrième niveau de protection.

Pour assurer une interaction interventive sûre dans la classe 1, il est recommandé de m'utiliser pas moins que le troisième niveau de sécurité.

Le sous-système d'analyse de la sécurité est mis en œuvre sur la base de l'utilisation d'outils de test (analyse de la sécurité) et surveille la sécurité des informations.

Les outils d'analyse de protection sont appliqués pour surveiller les paramètres de protection du système d'exploitation sur les postes de travail et les serveurs et vous permettent d'évaluer la possibilité d'effectuer des attaques sur les équipements de réseau, contrôler la sécurité des logiciels. Pour ce faire, ils explorent la topologie du réseau, à la recherche de connexions réseau non protégées ou non autorisées, vérifiez les paramètres des pare-feu. Cette analyse est faite sur la base de descriptions détaillées des vulnérabilités des paramètres de défense (par exemple, des commutateurs, des routeurs, des pare-feu) ou des vulnérabilités de système d'exploitation ou des logiciels d'application. Le résultat d'un outil d'analyse de sécurité est un rapport dans lequel des informations sur les vulnérabilités détectées sont résumées.

Les outils de détection de vulnérabilité peuvent fonctionner sur un niveau de réseau (dans ce cas, ils sont appelés "basés sur le réseau"), le niveau du système d'exploitation ("basé sur l'hôte") et le niveau d'application ("basé sur l'application"). En utilisant le logiciel de numérisation, vous pouvez rapidement créer une carte de toutes les clés disponibles, identifier les services utilisés sur chacun d'eux et les protocoles afin de déterminer leurs paramètres de base et de faire des hypothèses sur la probabilité de la mise en œuvre du NSD.

Selon les résultats de la numérisation du système, des recommandations et des mesures visant à éliminer les inconvénients identifiés sont générés.

Afin d'identifier les menaces des NSD, les systèmes de détection d'intrusion sont utilisés par le pare-feu. Ces systèmes sont basés sur les caractéristiques de la mise en œuvre des attaques, des étapes de leur développement et reposent sur un certain nombre de méthodes de détection des attaques.

Allouer trois groupes de méthodes de détection d'attaque:

signatures;

méthodes d'identification des anomalies;

méthodes combinées (utilisant des algorithmes communes définies dans les méthodes de signature et les méthodes d'identification des anomalies).

Pour détecter des intrusions dans les classes PM et 4, il est recommandé d'utiliser des systèmes de détection d'attaque réseau à l'aide de méthodes d'analyse de signature.

Pour détecter les intrusions dans les classes de code 1 et 2, il est recommandé d'utiliser des systèmes de détection d'attaque de réseau utilisant des méthodes de signature d'analyse des méthodes d'identification des anomalies.

Pour protéger les PDN des fuites sur les canaux techniques, les mesures d'organisation et techniques sont appliquées pour éliminer les fuites d'informations acoustiques (parole), des informations sur les espèces, ainsi que des fuites d'informations en raison des émissions électromagnétiques secondaires et des basculements.

En conclusion, sur le deuxième chapitre du travail, nous faisons les conclusions suivantes. La protection des informations personnelles est l'état de la sécurité des informations et de l'infrastructure qui l'appuient d'impacts aléatoires ou délibérés d'une nature naturelle ou artificielle, d'une fraude aux propriétaires ou d'utilisateurs de ces informations. Les objets de sécurité des informations dans la comptabilité sont identifiés: des ressources d'information contenant informations relatives à l'informatique commerciale et des systèmes et des systèmes. Les principales méthodes utilisées dans le cadre de la protection des informations sont les suivantes: détecter et protéger directement.

Conclusion

Le problème de la sécurité des informations des objets économiques multidimensionnels et a besoin d'élaboration ultérieure.

Dans le monde moderne, l'informatisation devient une ressource nationale stratégique, l'une des principales riches d'un État économiquement développé. L'amélioration rapide de l'informatisation en Russie, sa pénétration dans tous les domaines des intérêts vitaux de l'individu, de la société et des États impliquant en plus des avantages non-fondés et de l'émergence d'un certain nombre de problèmes importants. L'un d'entre eux est devenu le besoin d'informations. Étant donné qu'à l'heure actuelle, le potentiel économique est de plus en plus déterminé par le niveau de développement des infrastructures d'information, la vulnérabilité potentielle de l'économie en relation avec les effets de l'information augmente proportionnellement.

La mise en œuvre des menaces de sécurité de l'information est de violer la confidentialité, l'intégrité et la disponibilité des informations. Du point de vue d'une approche systématique de la protection des informations, il est nécessaire d'utiliser l'ensemble de l'arsenal des moyens de protection disponibles dans tous les éléments structurels de l'objet économique et à toutes les étapes du cycle de traitement de l'information. Les méthodes et les équipements de protection doivent chevaucher de manière fiable les voies possibles d'un accès illégal pour sécuriser les secrets. L'efficacité de la sécurité de l'information signifie que ses coûts d'exercice ne devraient pas être plus perdants de la vente de menaces de l'information. La planification d'informations est effectuée en développant chaque information de plans de protection des informations détaillés. La clarté est nécessaire pour mettre en œuvre les pouvoirs et les droits des utilisateurs d'accéder à certains types d'informations, en assurant le contrôle des moyens de protection et de la réponse immédiate à leur échec.

BIBLIOGRAPHIE

1.Technologies de l'information automatisées dans le secteur bancaire / ed. prof. GÉORGIE. Titoroneko. - M.: Finstatinform, 2007

2.Technologies de l'information automatisées dans l'économie / éd. prof. GÉORGIE. Titoroneko. - M.: UNITI, 2010

.Ageev A. S. Organisation et méthodes modernes de protection de l'information. - M.: Centre d'affaires ", 2009

.Adzhiev, V. Mythes sur le logiciel de sécurité: cours de catastrophes célèbres. - Systèmes ouverts, 199. №6

.AleKseev, V.I. Sécurité des informations des municipalités. - Voronezh: Publishing House VSTU, 2008.

.AleKseev, V.M. Critères internationaux d'évaluation de la sécurité des technologies de l'information et de leur application pratique: études. Adresse. - Penza: Publi Penz. État Un-ta, 2002

.AleKseev, V.M. Fourniture réglementaire de protection de l'information contre l'accès non autorisé. - Penza: Publi Penz. État UN-TA, 2007

.AleKseev, V.M. Assurer la sécurité des informations lors du développement de logiciels. - Penza: Publi Penz. État Université, 2008

.Aleshin, L.I. Protection de l'information et de l'information Sécurité: cours de cours L. I. Aleshin; Mosk. État Université de culture. - Mosk. État Université de Culture, 2010

.Ahramenka, n.f. et d'autres. Crime et punition dans le système de paiement avec des documents électroniques // Gestion de la défense de l'information, 1998

.Banques et opérations bancaires. Tutoriel / Ed. E.f. Zhukov. - M.: Banques et Exchange, Unity, 2008

.Barsukov, V.S. Sécurité: technologie, fonds, services. - M.: Kudice - Image, 2007

.Baturine, yu.m. Problèmes de droit informatique. - M.: Jurid. lit., 1991

.Baturine, yu.m. Crime informatique et sécurité informatique. M.: Юр.lit., 2009

.Bezrukov, N.n. Introduction à la virologie informatique. Principes généraux d'exploitation, de classification et de catalogue des virus les plus courants de M5-005. K., 2005.

.BYKOV, V.A. Électronique Business and Security / V. A. BYKOV. - M .: Radio et Communication, 2000

.Varfolomev, A.A. Sécurité de l'information. Fondations mathématiques de la cryptologie. Partie 1. - M.: Mafi, 1995

.Vekhov, vb Crimes informatiques: façons d'engager et de divulgation. - M.: Droit et loi, 1996

.Volobuev, s.v. Introduction à la sécurité de l'information. - Obninsk: Onn. In-t atom.energetics, 2001

.Volobuev, s.v. Sécurité des informations des systèmes automatisés. - Obninsk: Onn. In-t atom.energetics, 2001

.Conférence scientifique et pratique de la russe «Sécurité de l'information dans le système secondaire», 28-29 nov. 2000, NSTU, Novossibirsk, Russie: IBVS 2000. - Novosibirsk, 2001

23.Galatenko, V.a. Sécurité de l'information: Approche pratique V. Galatenko; Ed. V. B. Bethelin; ROS. Acad. Science, recherche scientifique. Systèmes in-t. Recherche - M.: Science, 1998

.Galatenko, V.a. Fondamentaux de la sécurité de l'information: cours de conférences. - M .: Université Internet Informez. Technologies, 2003.

.Gennadiev, par exemple. Principes de base théoriques de l'informatique et de la sécurité de l'information. - M .: Radio et Communication, 2000

.Gick, Sebastiannar. Cacher des informations dans des fichiers graphiques du format de VMR DIS. ... Cand. têtu Sciences: 05.13.19 - SPB., 2001

.Gick, S.N. Holding Information dans les fichiers graphiques du format du format NMR: Auteur. dis. ... Cand. têtu Sciences: 05.13.19 S.-Petersburg. État En toot. Mécanique et optique. - SPB., 2001

.Golubev, V.v. Gestion de la sécurité. - Saint-Pétersbourg: Peter, 2004

.Gorbatov, V.S. Sécurité de l'information. Principes de base de la protection juridique. - M.: Mafi (TU), 1995

.Gorlova, I.I., ed. Information Sécurité de la liberté et de l'information: matériaux du stagiaire. Scientifique Conf., Krasnodar, 30-31 octobre. 2001 - Krasnodar, 2001

.Greensburg, A.S. et d'autres. Protection des ressources d'information de gestion publique. - M.: UNITI, 2003

.Sécurité de l'information de la Russie dans le contexte de la Société d'information mondiale "Infoforum-5": Sat. Matériel 5ème allot. Conf., Moscou, 4-5 février. 2003 - M.: LLC ED. journal Affaires et sécurité de la Russie, 2003

.Sécurité de l'information: SAT. méthode. Matériel M-in Education ROS. Fédération [et al.] - M.: Tsniaatominform, 2003

34.Technologies de l'information // Économie et vie. №25, 2001.

35.Technologies de l'information en marketing: manuel pour universités. - M.: 2003

.Technologies de l'information dans l'économie et la gestion: Manuel / Kozyrev A.A.- M.: Publishing House Mikhailova V.a., 2005

.Lopatin, V.n. Sécurité de l'information de la Russie DIS. ... Dr. Jeride. Sciences: 12.00.01

.Lukashin, V.I. Sécurité de l'information. - Mosk. État Université d'économie, de statistiques et d'informatique

.Lucin, I.n., Zheldakov A.a., Kuznetsov N.a. Sélection de la protection par mot de passe // Information des systèmes d'application de la loi. M., 1996.

.Mac Clar, Stuart. Piratage dans le Web. Attaques et protection Stuart McClar, Saumil Shah, Sriray Shah. - M.: Williams, 2003

.Malyuk, A.A. Fondations théoriques de la formalisation de l'estimation des prévisions du niveau de sécurité d'informations dans les systèmes de traitement de données. - M.: Mafi, 1998pb., 2000

.Efficacité économique des systèmes de sécurité de l'information. Chebotar p.P. - Académie économique moldave, 2003

.Yakovlev, v.v. Sécurité de l'information et protection de l'information dans les réseaux de transport ferroviaire d'entreprise. - M., 2002

.Yarochkin, V.I. Sécurité de l'information. - Mi: MIR, 2003

.Yarochkin, V.I. Sécurité de l'information. - M.: Fondation "MIR", 2003: Acad. Projet

.Yasenev, V.n. Systèmes d'information automatisés dans l'économie et assurant leur sécurité: un tutoriel. - N.Novgorod, 2002

Travaux similaires sur - Protection des données personnelles dans les systèmes bancaires en ligne

Documents similaires

Législatifs de la protection des données personnelles. Classification des menaces de sécurité de l'information. Base de données personnelle. DISPOSITIF ET MENACES DES ENTREPRISES LAN. Logiciels de base et protection matérielle pour PEVM. Politique de sécurité de base.

thèse, ajoutée 06/10/2011


Prérequis pour créer un système de sécurité de données à caractère personnel. Menaces de sécurité de l'information. Sources d'accès non autorisé à CDN. L'appareil de systèmes d'information de données personnelles. Outils de sécurité de l'information. Politique de sécurité.

travail de cours, ajouté 07.10.2016


L'analyse de la structure d'un système d'information distribué et de données personnelles en cours de traitement. Le choix des mesures de base et des moyens pour assurer la sécurité des données à caractère personnel provenant de menaces réelles. Déterminer le coût de la création et du soutien du projet.

thèse, ajoutée 01.07.2011


Système de contrôle de contrôle et d'accès dans l'entreprise. Analyse des informations étant traitées et la classification du CDN. Développement d'un modèle de menaces à la sécurité des données à caractère personnel lorsqu'ils sont traités dans le système d'information des données à caractère personnel de l'écume "MMZ".

thèse, ajoutée 04/11/2012


Description des principales solutions techniques permettant d'équiper le système d'information des données personnelles situées dans la salle des ordinateurs. Sous-système anti-virus de protection. Événements sur la préparation de l'application d'outils de protection de l'information.

travail de cours, ajouté 30.09.2013


Sécurité et sécurité des informations documentées. Types de données personnelles utilisées dans les activités de l'organisation. Développement de la législation pour assurer leur protection. Méthodes de sécurité de l'information de la Fédération de Russie.

présentation, ajoutée 15.11.2016


Analyse des risques de sécurité de l'information. Évaluation des moyens de protection existants et prévus. Un complexe de mesures organisationnelles pour assurer la sécurité de l'information et la protection des informations d'entreprise. Exemple de contrôle de la mise en œuvre du projet et de sa description.

thèse, ajoutée le 12/19/2012


Documents réglementaires dans le domaine de la sécurité de l'information en Russie. Analyse des menaces des systèmes d'information. Caractéristiques de l'organisation du système de protection des cliniques de données personnelles. Mise en œuvre d'un système d'authentification utilisant des clés électroniques.

thèse, ajoutée 31.10.2016


Informations générales sur les activités de l'entreprise. Installations de sécurité de l'information dans l'entreprise. Mesures et moyens de protection de l'information. Copier des données sur un support remplaçable. Installation d'un serveur de sauvegarde interne. L'efficacité de l'amélioration du système IB.

examen, ajouté le 08/08/2013


Menaces importantes relatives à l'information. Concepts, méthodes et moyens d'assurer la protection des données. Conditions requises pour le système de protection. Le mécanisme d'autorisation dans la base de données d'informations pour déterminer le type d'utilisateur. Travail administrateur avec système de sécurité.

Contrôler l'exécution des règles nécessaires. Liste de références:

1. Loi fédérale "sur les banques et activités bancaires"

2. www.grandars.ru [ressource électronique] Mode d'accès: http://www.grandars.ru/student/financial /vozniknovenie-Bankov.html (Date de manutention: 05/05/2016)

3. En-Bank.ru [ressource électronique] Mode d'accès: http://journal.ib-bank.ru/post/411 (date de manutention: 05/05/2016)

Khlestov Daria Robertovna

E-mail: [Email protégé]

Caractéristiques de la protection des données personnelles dans le secteur bancaire

annotation

Cet article traite des caractéristiques de la protection des données personnelles du client dans le secteur bancaire. Un certain nombre d'actes de réglementation énumérés, sur la base desquels le système de traitement et de protection des données à caractère personnel dans la banque devrait être construit. Une liste de mesures a été mise en évidence pour organiser la sécurité des données dans les établissements bancaires.

Mots clés

Données personnelles, sécurisation de la sécurité dans les banques, la sécurité de l'information,

protection des informations personnelles

La protection des données à caractère personnel dans l'âge des technologies de l'information est devenue particulièrement pertinente. Étuis Lorsque les attaquants ont accès à des informations confidentielles, l'attaquant des systèmes d'information d'organisations devient de plus en plus. Sans aucun doute, les attaques ne contestent pas la partie et la sphère bancaire. Étant donné que les systèmes bancaires contiennent un grand nombre de données personnelles du client, leur sécurité devrait être sous la surveillance de l'État et des propriétaires d'institutions de crédit et de financement.

Pour commencer, il convient de traiter avec quelles données personnelles d'une personne peuvent être accessibles à la banque s'il devient son client. Donc, il est nécessaire: nom, nom et patronymique; Date et lieu de naissance; citoyenneté; lieu d'enregistrement et résidence réelle; Toutes les données de passeport (séries, numéro, quand et par qui le document sont émis); Numéro de téléphone mobile et domicile; Lieu de travail occupé par le poste. Dans la plupart des cas, les institutions sont demandées par la personne et des informations supplémentaires, mais sans cela, une liste de données qu'une personne fait confiance à la banque est impressionnante. Bien entendu, le client espère que ses données personnelles pendant le traitement et le stockage seront protégées de manière fiable.

Pour que les institutions de crédit et financières organisent un système de traitement et de protection des données à caractère personnel, il est nécessaire de désigner une liste d'actes de réglementation, qui devraient s'appuyer sur la Banque lorsqu'ils travaillent avec des données à caractère personnel des clients: la constitution de la Fédération de Russie est le document principal du pays; Code du travail de la Fédération de Russie; Code civil et code pénal de la Fédération de Russie; Loi fédérale n ° 152 "sur les données personnelles"; Loi fédérale n ° 149 "sur

informations, technologies de l'information et protection de l'information »; Loi fédérale n ° 395-1 "sur les banques et les banques". Également dans les banques, un certain nombre de documents locaux sont créés dans les banques lors de la création d'un système de traitement et de stockage de données à caractère personnel, en fournissant un contrôle supplémentaire des travaux avec les données.

Organisation bancaire Lors de la réception du client de ses données personnelles, il suppose l'obligation de mener toutes les mesures d'organisation et techniques pour protéger les informations provenant d'un accès non autorisé (aléatoire ou délibéré), blocage, modifications, destruction et autres actions illicites. Il vaut la peine d'identifier un certain nombre de mesures, pour une organisation de haute qualité de traitement et de la protection des données à caractère personnel dans les banques: attribution responsable du traitement et de la sécurité des données dans le système d'information de la Banque; Mise en œuvre des mesures de contrôle et familiarisation des employés ayant le cadre réglementaire pertinent et les documents internes sur lesquels repose le système de sécurité de la sécurité de la Banque; détermination des menaces dans le traitement des données à caractère personnel dans la banque et de leur contre-engagement; Évaluation de l'efficacité des mesures d'organisation et techniques applicables pour assurer la protection des données, jusqu'à ce que le système de mise en service soit introduit; comptabiliser toutes les transporteurs de machines de données personnelles; Établir les règles de traitement et de protection des employés; En cas d'accès non autorisé à des données protégées, l'adoption de mesures visant à éliminer la menace et à la restauration des données perdues. Et un événement obligatoire pour les banques avec un système valide pour stocker et protéger les données personnelles de la surveillance permanente et l'amélioration du système de sécurité.

Ainsi, il convient de noter que le traitement, le stockage et la protection des données à caractère personnel dans les banques devraient être effectués sur la base des conditions définies par le cadre réglementaire de la Fédération de Russie. Chaque institution de crédit et de financement devrait: se conformer au principe de la légalité lors de l'organisation de la protection des données à caractère personnel de ses clients; mener une gamme complète de mesures de protection des données organisationnelles et techniques; Lors de la création de documents locaux liés à la garantie de la sécurité des informations, reposez-vous sur les meilleures pratiques russes et internationales dans ce domaine; Pour répondre à toutes les exigences des autorités de réglementation (FSTEC, Roskomnadzor, FSB) afin de garantir la protection des données à caractère personnel du client.

Liste de références:

1. Khlestova D.R., Popov K.G. "À la question des aspects juridiques de la protection des données personnelles"

2. Loi fédérale "sur les banques et activités bancaires"

3. Banque de Russie [ressource électronique] Mode d'accès: http://www.cbr.ru/ (date de manipulation: 05/06/2016)

© HLESTOVA D.R., POPOV K.G., 2016

Khlestov Daria Robertovna

Étudiante 2 Cours Iubb Bashchi, UFA, RF E-mail: [Email protégé] Popov Kirill Gennadyevich K.e.n., professeur agrégé du département de sécurité de l'information Bashchi, UFA, RF

E-mail: [Email protégé]

L'intelligence commerciale comme moyen le plus légal d'obtenir des informations

annotation

L'article considère les méthodes de renseignement commercial. Il est également justifié pourquoi l'intelligence des entreprises est une entité juridique dans les affaires. Des principes de base sélectionnés à respecter

1. Sécurité des bases théoriques Données personnelles

1.1 Fonds législatifs de protection des données à caractère personnel dans la Fédération de Russie

1.3.1 Caractéristiques générales des sources de menaces d'accès non autorisé dans le système d'information des données à caractère personnel.

1.3.2 Caractéristiques globales de l'accès direct à l'environnement d'exploitation du système d'information de données personnelles

1.3.3 Caractéristiques générales des menaces pour la sécurité des données à caractère personnel mis en œuvre à l'aide de protocoles d'interconnexion

1.4 Caractéristiques de la Banque et de ses activités

1.5 bases de données personnelles

1.5.1 Système d'information des données à caractère personnel des employés de l'organisation

1.5.2 Système d'information de systèmes de contrôle des données personnelles et de contrôle d'accès

1.5.3 Système d'information de données à caractère personnel du système bancaire automatisé

1.6 Dispositif et menaces du réseau informatique local de la banque

1.7 Outils de sécurité des informations

2.2 Protection du logiciel et du matériel

2.3 Politique de sécurité de base

2.3.1 Système de sensibilisation aux employés des problèmes de sécurité de l'information

2.3.4 Fonctionnement des employés avec courrier électronique

2.3.5 Banque de stratégie de mot de passe

3. Justification économique du projet

Conclusion

Applications.

introduction

L'informatisation omniprésente, qui a pris le début à la fin du 20ème siècle continue aujourd'hui. L'automatisation des processus des entreprises augmente la productivité des travailleurs. Les utilisateurs de systèmes d'information peuvent recevoir rapidement des données nécessaires pour remplir leurs fonctions officielles. Dans le même temps, avec la facilitation de l'accès aux données, il existe des problèmes dans la préservation de ces données. Ayant accès à divers systèmes d'information, les attaquants peuvent les utiliser à des fins de mercenaire: la collecte de données pour les vendre sur le marché noir, vol de fonds de l'organisation des clients, vol de secrets commerciaux de l'organisation.

Par conséquent, le problème de la protection des informations importantes critiques pour les organisations est très aiguë. Il est de plus en plus connu des médias sur diverses techniques ou méthodes de vol de fonds en piratant des systèmes d'information d'institutions financières. Avoir accès aux systèmes d'information des données à caractère personnel, l'attaquant peut prolonger les données des clients des organisations financières, des informations sur leurs transactions financières pour les distribuer, en appliquant la banque à la banque en tant que dommages financiers et de réputation. En outre, après avoir appris les données sur le client, les fraudeurs peuvent appeler directement le client, présenté par des employés de banques et en utilisant frauduleusement la technique de l'ingénierie sociale pour apprendre les mots de passe des systèmes bancaires distants et apporter de l'argent du compte du client.

Dans notre pays, le problème du vol et de la distribution illégale de données à caractère personnel sont très graves. Sur Internet, il existe un grand nombre de ressources sur lesquelles il existe des bases de données de base de données personnelles avec lesquelles, par exemple, par un numéro de téléphone mobile, vous pouvez trouver des informations très détaillées sur personne, y compris ses détails du passeport, ses adresses d'hébergement, des photos. et plus.

Dans ce projet de diplôme, j'utilise le processus de création d'un système de protection des données personnelles dans PJSC "SITIBANK".

1. Principes de base de la sécurité des données personnelles

1.1 Principes fondamentaux législatifs Protection des données personnelles

À ce jour, la réglementation de l'État dans le domaine de la sécurité des données à caractère personnel est effectuée en Russie. Les principaux actes juridiques réglementaires régissant le système de protection des données à caractère personnel dans la Fédération de Russie sont la constitution de la Fédération de Russie et de la loi fédérale "sur les données personnelles" du 27 juillet 2006 no 152-FZ. Ces deux actes juridiques principaux établissent les principaux résumés sur les données personnelles de la Fédération de Russie:

Chaque citoyen a droit à la vie privée, au mystère personnelle et familial, à la protection de son honneur et de son nom de nom;

Tout le monde a droit au secret de la correspondance, des conversations téléphoniques, des messages postaux, télégraphiques et autres. La restriction de ce droit n'est autorisée que sur la base d'une décision judiciaire;

La collecte, le stockage, l'utilisation et la diffusion d'informations sur la vie privée de la personne sans son consentement ne sont pas autorisés;

Le traitement des données personnelles doit être effectué de manière légitime et équitable;

Traitement des données personnelles devrait être limitée à des fins spécifiques, prédéterminées et légitimes. Les données personnelles ne sont pas autorisées, incompatibles avec la collecte de données à caractère personnel.

Les bases de données contenant des données personnelles ne sont pas autorisées, dont le traitement est effectué à des fins incompatibles.

Seules les données personnelles qui répondent aux objectifs de leur traitement sont sujets à traitement.

Lors du traitement des données personnelles, la précision des données à caractère personnel doit être assurée, leur suffisance et dans les cas nécessaires et pertinence en ce qui concerne le traitement des données à caractère personnel. L'opérateur doit prendre les mesures nécessaires pour assurer leur adoption pour supprimer ou clarifier des données incomplètes ou inexactes.

Le stockage de données à caractère personnel doit être mis en œuvre sous un formulaire pour déterminer le sujet des données à caractère personnel, pas plus longtemps que l'objectif de traitement des données à caractère personnel, si la durée de conservation des données à caractère personnel n'est pas établie par la loi fédérale, le contrat, la partie dont le bénéficiaire ou le garant est une donnée personnelle étant. Les données personnelles traitées doivent être détruites ou isolantes pour atteindre les objectifs de traitement ou en cas de perte de la nécessité de réaliser ces objectifs, sauf indication contraire de la loi fédérale.

D'autres actes réglementaires qui fournissent un impact juridique sur la protection des données à caractère personnel dans les organisations du secteur bancaire de la Fédération de Russie sont les suivantes:

Droit fédéral de la Fédération de Russie du 27 juillet 2006 no 149 de la loi fédérale "sur l'information, les technologies de l'information et la protection de l'information";

Code du travail de la Fédération de Russie (chapitre 14);

Résolution du gouvernement de la Fédération de Russie du 01.11.2012 N ° 1119 "sur l'approbation des exigences relatives à la protection des données à caractère personnel lors du traitement des systèmes d'information de données à caractère personnel";

Ordre de la Fstec de Russie du 02/18/2013 N ° 21 "sur l'approbation de la composition et de la maintenance des mesures organisationnelles et techniques visant à assurer la sécurité des données à caractère personnel lorsqu'ils sont traités dans des systèmes d'information personnels de données".

Considérez les principales définitions utilisées dans la législation.

Données personnelles - Toutes les informations relatives à définir ou à déterminer directement ou indirectement par la personne physique (sujet de données personnelles).

L'opérateur de données personnelles est un organe d'État, une autorité municipale, un individu ou une personne, de manière indépendante ou co-pleure avec d'autres personnes organisant et (ou) traiter des données à caractère personnel, ainsi que la détermination des objectifs de traitement des données à caractère personnel, la composition des données à caractère personnel vers être traité, actions (opérations) engagées avec des données à caractère personnel;

Traitement des données personnelles - Toute action (opération) ou un ensemble d'actions (opérations) engagées à l'aide d'outils d'automatisation ou sans l'utilisation de tels fonds avec des données à caractère personnel, y compris la collecte, l'enregistrement, la systématisation, l'accumulation, le stockage, le raffinement (mise à jour, changement) , extraction, utilisation, transmission (distribution, fourniture, accès), déroïvaison, blocage, suppression, destruction des données à caractère personnel;

Traitement automatisé des données personnelles - Traitement des données personnelles à l'aide de l'équipement informatique;

Distribution de données personnelles - actions visant à divulguer des données personnelles à un cercle indéfini de personnes;

Fourniture de données personnelles - actions visant à divulguer des données personnelles à une certaine personne ou à un certain cercle de personnes;

Blocage de données personnelles - Terminaison temporaire du traitement des données à caractère personnel (sauf lors de la manipulation nécessaire pour clarifier les données personnelles);

La destruction des données personnelles - des actions résultant de la mesure impossible de restaurer le contenu des données à caractère personnel dans le système d'information de données personnelles et (ou) à la suite de laquelle des transporteurs de données de données à caractère personnel sont détruits;

Élimination des données personnelles - Actions, à la suite de laquelle il devient impossible sans utiliser d'informations supplémentaires pour déterminer l'affiliation de données à caractère personnel à un sujet spécifique de données à caractère personnel;

Le système d'information sur les données personnelles est un ensemble de co-titulaires de bases de données de données personnelles et garantit leurs technologies techniques de traitement et leurs moyens techniques;

La transmission transfrontalière des données à caractère personnel est le transfert de données sur les taxes sur la PASCO sur le territoire d'un État étranger par l'autorité de l'État étranger, un visage physique étranger ou une entité juridique étrangère.

Données personnelles biométriques - informations qui caractérisent les caractéristiques physiologiques et biologiques d'une personne, sur la base desquelles il est possible d'établir son identité (données personnelles biométriques) et utilisées par l'opérateur pour identifier la personnalité des données personnelles.

Sécurité des données personnelles - L'état de la sécurité des données à caractère personnel caractérisé par la capacité des utilisateurs, des moyens techniques et des technologies de l'information afin de garantir la confidentialité, l'intégrité et la disponibilité des données à caractère personnel lors du traitement des systèmes d'information de données à caractère personnel

1.2 Classification des menaces de sécurité de l'information des données à caractère personnel.

Sous la menace de sécurité de l'information, la menace de violation des propriétés de la sécurité de l'information - la disponibilité, l'intégrité ou la confidentialité des actifs d'information de l'organisation.

Une liste de menaces, une évaluation de la probabilité de leur mise en œuvre, ainsi que du modèle de violateur, servent de base à l'analyse du risque de menaces et à la formulation des exigences relatives au système de protection du système automatisé. En plus d'identifier les menaces possibles, il est nécessaire d'analyser les menaces identifiées en fonction de leur classification pour un certain nombre de signes. Les menaces correspondant à chaque signe de classification vous permettent de détailler l'exigence reflétée par cette fonctionnalité.

Étant donné que des informations stockées et traitées dans des orateurs modernes sont exposées à un très grand nombre de facteurs, il devient impossible de formaliser la tâche de décrire un ensemble complet de menaces. Par conséquent, pour un système protégé, il est généralement déterminé non pas une liste de menaces, mais une liste de classes de menace.

Classification des menaces possibles de la sécurité de l'information AC peut être effectuée selon les caractéristiques de base suivantes:

Par l'occurrence de la nature:

Menaces d'oralty causées par les impacts sur les processus physiques objectifs de l'UA ou les phénomènes naturels;

Les menaces de sécurité professionnelle sont causées par l'activité de l'homme.

Selon le degré d'intention de manifestation:

Les oDrozons causés par des erreurs ou des employés de négligence, tels que l'utilisation inappropriée d'équipements de protection, de négligence lors du travail avec des données;

La perméabilité de l'action délibérée, par exemple, pirater un système automatisé par des intrus, la destruction de ceux-ci par des employés de l'Organisation pour se venger de l'employeur.

Par source directe de menaces:

Des menaces avec des catastrophes naturelles, des catastrophes artificielles;

Menaces océologiques, par exemple: destruction des informations, divulgation de données confidentielles;

Logiciel et matériel Oracle, tels que la dégradation physique des équipements, des erreurs de logiciels, des conflits de logiciels;

Matériel logiciel, tel que l'introduction de signets de marque, signets logiciels.

Par la position de la source des menaces:

Selon la zone contrôlée, par exemple, l'interception de données transmises par des canaux de communication;

Sur les limites de la zone contrôlée, par exemple, une copie non autorisée d'informations, un accès non autorisé à la zone protégée;

Ouvertement dans un système automatisé, tel qu'une utilisation incorrecte des ressources AC.

Selon le degré de dépendance à l'activité de l'AC:

Activité AC dépendante d'une oneVo, telle que le vol physique des médias;

Il n'y a que dans le processus de traitement des données, telles que l'infection par logiciel malveillant.

Selon le degré d'impact sur l'AC:

Les menaces surpassables qui ne sont pas modifiées lors de la mise en œuvre dans la structure et le contenu de l'UA, par exemple la menace de copier des données de section;

Des menaces récentes qui, lorsqu'elles sont exposées, apportent des modifications à la structure et à la teneur en CA, telles que la suppression de données, leur modification.

À des étapes des utilisateurs ou des programmes aux ressources:

Odrozens, manifesté au stade de l'accès aux ressources AC, par exemple: menaces d'accès non autorisé à l'AC;

Ougroms, manifestés après avoir résolu l'accès aux ressources AC, par exemple une utilisation incorrecte des ressources AC.

À titre d'accès aux ressources AC:

O.grozos mis en œuvre en utilisant le chemin d'accès standard sur les ressources de la CA

Ougroms, réalisée à l'aide d'un chemin d'accès caché non standard aux ressources AC, par exemple: accès non autorisé aux ressources AC en utilisant des capacités non documentées du logiciel installé.

À l'emplacement actuel des informations, stockées et traitées dans l'AC:

Les permis d'accès à des informations sur des périphériques de stockage externes, par exemple: copier des informations confidentielles à partir d'informations sur les médias;

Les permis d'accès à l'information en RAM, par exemple: lire des informations résiduelles de la RAM, l'accès à la zone du système de la RAM sur l'application des applications;

Les permis d'accès à l'information circulant dans des lignes de communication, par exemple: connexion illégale à des lignes de communication aux fins de la sélection des informations, envoi de données modifiées;

Les impacts dangereux sur le système automatisé sont divisés en aléatoire et délibéré.

Les causes d'influences aléatoires lors du fonctionnement de l'UA peuvent être:

Situations d'urgence dues aux catastrophes naturelles et aux pannes de courant;

Échecs en service;

Erreurs dans les logiciels;

Erreurs dans le travail du personnel de service et des utilisateurs;

Interférence dans les lignes de communication dues aux effets de l'environnement extérieur.

L'utilisation d'erreurs logicielles est la méthode la plus courante de violer les systèmes d'information sur la sécurité de l'information. En fonction de la complexité du logiciel, le nombre d'erreurs augmente. Les malfaiteurs peuvent trouver ces vulnérabilités et à travers eux pour accéder au système d'information de l'organisation. Pour minimiser ces menaces, il est nécessaire de maintenir constamment la pertinence des versions logicielles.

Les menaces intentionnelles sont associées à des actions ciblées d'attaquants. Les assaillants sont divisés en deux types: un attaquant interne et un attaquant externe. L'attaquant interne fait des actions illégales tout au long de la zone contrôlée du système automatisé et peut utiliser des pouvoirs officiels pour un accès autorisé au système automatisé. L'attaquant externe n'a pas accès aux limites de la zone contrôlée, mais peut agir simultanément avec l'attaquant interne pour atteindre ses objectifs.

Il existe trois principales menaces de sécurité d'informations envoyées directement aux informations protégées:

Violation de la vie privée - Les informations confidentielles ne changent pas, mais deviennent disponibles pour des tiers non autorisés à être des informations. Lors de la mise en œuvre de cette menace, il existe une forte probabilité de divulgation par l'attaquant des informations volées, ce qui peut entraîner des dommages financiers ou de la réputation. La violation de l'intégrité des informations protégées est la distorsion, le changement ou la destruction des informations. L'intégrité de l'information peut être violée non intentionnellement, mais à la suite d'une incompétence ou d'une négligence d'un employé de l'entreprise. En outre, l'intégrité peut être brisée par un attaquant pour atteindre ses propres objectifs. Par exemple, une modification des détails de compte dans un système bancaire automatisé afin de transférer des fonds vers l'attaquant ou la substitution des données à caractère personnel de l'organisation pour obtenir des informations sur la coopération client avec l'organisation.

Violation de la disponibilité d'informations protégées ou de refus de maintenance - Actions dans lesquelles un utilisateur autorisé ne peut pas accéder aux informations protégées à la suite de telles raisons que: échec de l'équipement, des logiciels, de l'échec d'un réseau informatique local.

Après avoir examiné les menaces des systèmes automatisés, vous pouvez procéder à l'analyse des menaces du système d'information de données personnelles.

Le système d'information sur les données personnelles est un ensemble de données personnelles contenues dans des bases de données et garantissant leur technologie de traitement de l'information et leurs moyens techniques.

Les systèmes d'information des données à caractère personnel sont une combinaison d'éléments d'information et de logiciels et matériels, ainsi que des technologies d'information utilisées dans le traitement des données à caractère personnel.

Les éléments principaux sont des keenns sont:

Données personnelles contenues dans des bases de données;

Technologies d'information utilisées dans le traitement des PDN;

Des moyens techniques effectuant des données personnelles (équipement informatique, complexes d'informations et informatiques et de réseaux, de moyens et de systèmes de transmission, de réception et de traitement des données, des moyens et des systèmes à caractère personnel, un son, une reproduction acoustique, des moyens de fabrication, une réplication de documents et autres moyens techniques de traitement de la parole, des informations graphiques, vidéo et alphanumériques);

Logiciel (systèmes d'exploitation, systèmes de contrôle de la base de données, etc.);

Moyens de protection des informations CADN;

Moyens techniques et systèmes auxiliaires - Moyens techniques et systèmes, leurs communications qui ne sont pas destinées au traitement des données personnelles, mais placées dans les locaux, dans lesquelles se trouvent les Keenns.

La sécurité des données à caractère personnel est un ensemble de conditions et de facteurs qui créent un risque de danger non autorisé, y compris au hasard, l'accès aux données à caractère personnel, le résultat de la destruction, de la modification, du blocage, de la copie, de la diffusion de données à caractère personnel, ainsi que d'autres non autorisés. actions lors du traitement du système de données personnelles d'information.

Les caractéristiques du système d'information de données personnelles, en raison de l'émergence de UBPDN, peuvent être attribuées à la catégorie et à la quantité de données personnelles traitées dans le système d'information, la structure du système d'information de données personnelles, la disponibilité des connexions est impressionnée par Les réseaux d'utilisation générale et (ou) réseaux de réseaux d'échange d'informations internationales, caractéristiques du sous-système Sécurité des données à caractère personnel traitées dans les modes de traitement des données à caractère personnel, des modes de délimitation des utilisateurs d'utilisateurs d'accès utilisateur, emplacement et conditions pour la mise en place de moyens techniques. PHDN.

Les propriétés de l'environnement de distribution des signaux informatifs contenant des informations protégées sont caractérisées par le type d'environnement physique dans lequel les PDN sont distribués et sont déterminées lors de l'évaluation de la possibilité de mettre en œuvre UBDN. Les possibilités de sources UPPDN sont dues à la combinaison de méthodes d'accès non autorisé et (ou) aléatoire aux PDS, à la suite de laquelle une confidentialité est possible (copie, distribution illégale), intégrité (destruction, changement) et accessibilité (blocage) de PD.

La menace pour la sécurité des données à caractère personnel est mise en œuvre à la suite de la formation du canal CBBDNA entre la source de la menace et du transporteur (source) du PDN, qui crée des conditions de violation de la sécurité des PDN.

Les principaux éléments de la mise en œuvre du canal CBPDN (Figure 1) sont:

Source UCPDN - Objet, objet de matériau ou phénomène physique créant UBRDN;

L'environnement de distribution du PDN ou des impacts dans lesquels le champ physique, un signal, des données ou des programmes peut être distribué et affecté par les propriétés protégées des données à caractère personnel;

Le transporteur de données personnelles est un objet individuel ou matériau, y compris le champ physique dans lequel le PDN est reflété sous forme de symboles, d'images, de signaux, de solutions techniques et de processus, les caractéristiques quantitatives des quantités physiques.

Figure 1. Système de canal généralisé pour canal de sécurité de données personnelles

Les transporteurs PDN peuvent contenir des informations présentées dans les types suivants:

Les informations acoustiques (voix) contenues directement dans le discours prononcé de l'utilisateur prononcé lorsqu'elles sont effectuées par la fonction de saisie vocale PDN dans le système d'information de données personnelles, ou le moyen acoustique PDN (si ces fonctions sont prévues par la technologie de traitement PD), comme ainsi que contenus dans des champs électromagnétiques et des signaux électriques qui se posent en raison de transformations d'informations acoustiques;

Informations sur les espèces (VI), représentées en tant que texte et images de divers appareils pour afficher des informations d'équipement informatique, de complexes informatiques et de complexes informatiques, des moyens techniques de traitement des informations graphiques, vidéo et alphanumériques incluses dans la composition de la CAO;

Informations traitées (circulant) dans Dodge, sous forme de signaux électriques, électromagnétiques et optiques;

Les informations traitées dans le Keekard présentée sous forme de bits, d'octets, de fichiers et d'autres structures logiques.

Afin de former une liste ICPDN systématisée, lorsqu'il est traité dans le CPT et le développement basé sur des modèles privés, les menaces sont classées selon les signes suivants (Figure 2):

Par type d'informations protégées de l'UBRDN contenant du PDN;

Par types de sources possibles d'UBPDN;

Par type de mourant, qui est dirigé vers la mise en œuvre de l'UBPDN;

Par la méthode de mise en œuvre de l'UBRDN;

Selon la violation de la propriété d'information (type d'actions non autorisées menées avec des PDN);

Selon la vulnérabilité utilisée;

Par objet d'exposition.

Par type de sources possibles d'UCPDN, \u200b\u200bles suivants sont attribués

Cours de menace:

Les menaces associées à des actions délibérées ou non intentionnelles des personnes ayant accès à des résidences, y compris des utilisateurs du système d'information sur les données à caractère personnel, mettant en œuvre des menaces directement dans l'intrusion intérieure (interne);

Les menaces associées à des actions délibérées ou non intentionnelles des personnes qui n'ont pas accès aux logements mettant en œuvre des roses ugr de réseaux de relations publiques externes et (ou) réseaux d'échange international d'informations (intrus externe).

En outre, des menaces peuvent survenir à la suite de l'introduction de signets de matériel et de programmes malveillants.

Par type, les classes de menaces suivantes sont allouées à la mise en œuvre de l'UBRDN;

UBPDN traité dans la base de données sur la base d'un lieu de travail automatisé autonome (AWP);

UBPDN traité dans la base de données sur la base de AWP, connectée au réseau public (au réseau de l'échange international d'informations);

UBPDN traité dans la base de données sur la base de systèmes d'information locaux sans se connecter à un réseau commun (au réseau de l'échange international d'informations);

UBPDN traité dans la base de données sur la base de systèmes d'information locaux avec une connexion au réseau public (au réseau de métabolisme international de l'information);

UBPDN traité dans la base de données sur la base de systèmes d'information distribués sans se connecter à un réseau commun (au réseau de l'échange international d'informations);

UBPDN, traité dans la base de données sur la base de systèmes d'information distribués avec une connexion au réseau public (au réseau de l'échange international d'informations).

Selon les méthodes de mise en œuvre de l'UBRDN, les classes de menace suivantes sont attribuées:

Menaces associées aux NSD aux PDNS (y compris les menaces à la mise en œuvre de programmes malveillants);

Menaces de données personnelles de fuite de données sur les canaux de fuite technique;

Menaces d'impacts spéciaux sur le point.

Sous la forme d'actions non autorisées effectuées avec des PDN, les classes de menace suivantes sont attribuées:

Menaces qui conduisent à une violation de la vie privée des PDNS (co-sciage ou distribution non autorisée), qui ne sont pas directement touchées par le contenu de l'information;

Menaces conduisant à non autorisée, y compris au hasard, influence sur le contenu de l'information, à la suite de laquelle le changement de PDS ou de leur destruction est effectué;

Les menaces menant à des éléments non autorisés, y compris aléatoires, exposés au logiciel ou à des éléments de logiciels et matériels du PDN, à la suite de laquelle le blocage PD est effectué.

Selon la vulnérabilité utilisée, les classes de menace suivantes sont allouées:

Menaces mises en œuvre à l'aide de vulnérabilités du logiciel système;

Menaces mises en œuvre à l'aide de la vulnérabilité des logiciels appliqués;

Les menaces résultant de l'utilisation de vulnérabilités causées par la présence dans le marquis de l'UA matériel;

Menaces mises en œuvre à l'aide des vulnérabilités des protocoles d'interaction réseau et des canaux de transmission de données;

Les menaces résultant de l'utilisation de la vulnérabilité causée par les inconvénients de l'organisation TZI de la NSD;

Menaces mises en œuvre à l'aide de vulnérabilités causées par la disponibilité de canaux de fuite de canaux techniques;

Menaces mises en œuvre avec les vulnérabilités SZI.

Les classes de menaces suivantes sont allouées à l'objet de l'exposition:

Les menaces de la sécurité du PDN transformé dans le bras;

Menaces de sécurité PDN traitées dans des outils de traitement en surbrillance (imprimantes, traceurs, graphiques, moniteurs rendus, projecteurs vidéo, outils de reproduction acoustiques, etc.);

Menaces de sécurité PDN transmises sur les réseaux de communication;

Menaces pour les applications, avec lesquelles PDN sont traitées;

Menaces avec le logiciel système qui assure le fonctionnement du CDN.

La mise en œuvre de l'un des UBD des classes énumérées ou de leurs articulations peut conduire aux types de conséquences suivants pour les entités PD:

Conséquences négatives importantes pour les entités PD;

Conséquences négatives pour les entités PD;

Conséquences négatives mineures pour les entités PD.

Les menaces de fuites de données personnelles sur les canaux techniques sont connues décrites par les caractéristiques de la source d'informations, l'environnement de résolution et le récepteur d'un signal informatif, c'est-à-dire les caractéristiques des fuites de canal techniques des PDNS sont déterminées. .

Les menaces associées à un accès non autorisé (NSD) sont soumises sous la forme d'un ensemble de classes généralisées de sources possibles de menaces NSD, de vulnérabilités de CDN de logiciels et matériels, méthodes de mise en œuvre de menaces, objets d'impact (transporteurs d'informations protégées, répertoires, répertoires , fichiers avec des PDN ou eux-mêmes PDNS) et des actions destructives possibles. Une telle vision est décrite par l'enregistrement formalisé suivant (Fig. 2).

1.3 Caractéristiques de communication des sources de menace dans les systèmes d'information de données personnelles

Les menaces du NSD dans l'entretien avec l'utilisation de logiciels et de logiciels et de matériel sont mises en œuvre dans la mise en œuvre de non autorisée, y compris aléatoire, l'accès, à la suite de laquelle la confidentialité, l'intégrité et la disponibilité des PDN sont effectuées et comprennent:

La menace d'un accès non autorisé à l'environnement d'exploitation de l'ordinateur à l'aide du logiciel standard (outils système d'exploitation ou programmes d'application appliqués);

Menaces de créer des modes anormaux de fonds logiciels (logiciels et matériels) en raison de modifications délibérées des données de service, ignorez les limitations prévues dans les conditions du personnel de la composition et des caractéristiques des informations traitées, de la distorsion (modifications) des données elles-mêmes, etc.;

Figure 2 Classification des UBRD traitées dans les systèmes d'information de données personnelles

Menaces pour mettre en œuvre des programmes malveillants (logiciels et impact mathématiques).

La composition des éléments de la description des menaces de la NSD aux informations de la mort est illustrée à la figure 3.

De plus, des menaces combinées sont possibles, qui constituent une combinaison de ces menaces. Par exemple, en raison de la mise en œuvre de programmes malveillants, des conditions peuvent être créées pour la NSD dans l'environnement d'exploitation de l'ordinateur, y compris en formant des canaux d'informations d'accès non traditionnels.

Les menaces d'accès non autorisé à l'environnement d'exploitation par l'utilisation de logiciels standard sont divisées en menaces à un accès direct et à distance. Les menaces d'accès direct sont effectuées à l'aide de logiciels et de logiciels et de matériel de l'entrée / sortie de l'ordinateur. Les menaces d'accès à distance sont implémentées à l'aide de protocoles d'interaction réseau.

Ces menaces sont mises en œuvre par rapport à la base de données sur la base du lieu de travail automatisé, non inclus dans le réseau de communication public et par rapport à tous impatients de se connecter aux relations publiques et aux réseaux d'échange international d'informations.

Figure 3 Classification des UBRD traitées dans les systèmes d'information sur les données personnelles

1.3.1 Caractéristiques générales des sources de menaces d'accès non autorisé dans le système d'information des données à caractère personnel.

Les sources de menaces dans le système d'information des données à caractère personnel peuvent être:

Violateur;

Transporteur de logiciels malveillants;

Onglet matériel.

Les menaces de sécurité PDN associées à la mise en œuvre de marques de signets sont déterminées conformément aux documents réglementaires du service de sécurité fédéral de la Fédération de Russie dans la procédure établie par celle-ci.

Selon la présence de droits d'accès permanents ou uniques à la zone contrôlée, les intrus sont divisés en deux types:

Les contrevenants qui n'ont pas accès aux logements qui mettent en œuvre des menaces des réseaux de communication publique externes et (ou) des réseaux d'échange d'informations internationales sont des intrus externes;

Les contrevenants qui ont accès à Dodge, y compris les utilisateurs de points, mettant en œuvre des menaces directement dans les intrus internes.

Les contrevenants extérieurs peuvent être:

Organisations concurrentes;

Partenaires déloyaux;

Sujets externes (individus).

L'intrus externe a les caractéristiques suivantes:

Exercer un accès non autorisé à des canaux de communication, laissant en dehors des locaux de service;

Effectuer un accès non autorisé via des emplois automatisés connectés aux réseaux de communication publics et (ou) réseaux d'échange international d'informations;

Effectuer un accès non autorisé à des informations à l'aide d'impacts spéciaux logiciels via des virus logiciels, des logiciels malveillants, des signets algorithmiques ou logiciels;

Effectuer un accès non autorisé à travers les éléments de l'infrastructure d'information du système d'information des données à caractère personnel, qui dans le processus de cycle de vie (modernisation, maintenance, réparation, recyclage) s'avèrent être en dehors de la zone contrôlée;

Impact Accès non autorisé dans les systèmes d'information des départements d'interaction, des organisations et des institutions lorsqu'ils sont connectés au CD.

Les violateurs potentiels nationaux sont divisés en huit catégories, en fonction de la méthode d'accès et des autorisations pour accéder aux PDN.

La première catégorie comprend des personnes ayant un accès autorisé à Dodge, mais n'ayant pas accès aux PDNS. Ce type de violateurs comprend des fonctionnaires qui assurent un fonctionnement impudent normal.

Avoir accès à des fragments d'informations contenant des PDN et s'étendant à travers les canaux de communication internes du MDP;

Des fragments d'informations sur la topologie du CDN et des protocoles de communication utilisés et leurs services utilisés;

Nom de lieu et identifier les mots de passe des utilisateurs enregistrés;

Modifiez la configuration des outils techniques CDN, pour créer des signets logiciels et matériels et fournir des informations à l'aide de la connexion directe aux moyens techniques du CD.

Possède toutes les possibilités des personnes de la première catégorie;

Connaît au moins un nom d'accès légal;

A tous les attributs nécessaires qui fournissent un accès à un certain sous-ensemble de PDN;

Il a des données confidentielles auxquelles accès.

Ses droits d'accès, d'authentification et d'accès à un certain sous-ensemble de PDNS devraient être régis par l'accès pertinent à la suppression de l'accès.

A toutes les possibilités de personnes des première et deuxième catégories;

Contient des informations sur la topologie de la base de données sur la base d'un système d'information local et (ou) distribué à travers lequel l'accès est effectué et la composition des moyens techniques de CDN;

Il a la capacité d'accéder directement (physique) aux fragments de moyens techniques CDN.

Il contient des informations complètes sur le logiciel système et d'application utilisé dans le segment (fragment) du MDP;

Il contient des informations complètes sur les moyens techniques et la configuration du segment (fragment) du CDN;

A accès aux moyens de protéger les informations et la journalisation, ainsi que des éléments individuels utilisés dans le secteur (fragment) CDN;

Il a accès à tous les segments techniques (fragment) des TEC;

Il a les droits de la configuration et de la configuration administrative d'un certain sous-ensemble des moyens techniques du segment (fragment) du CDN.

Pouvoirs de l'administrateur système CDN.

A toutes les possibilités de personnes de catégories précédentes;

Contient des informations complètes sur le système et le logiciel source appliqué;

Contient des informations complètes sur les moyens techniques et les configurations.

A accès à tous les moyens techniques de traitement des informations et des données impudent;

Il a les droits de la configuration et du réglage administratif des moyens techniques.

L'administrateur système effectue la configuration et la gestion de logiciels et d'équipements, y compris l'équipement responsable de la sécurité de l'objet protégé: les moyens de protection cryptographique de l'information, de la surveillance, de l'enregistrement, de l'archivage, de la protection contre les NSD.

A toutes les possibilités de personnes de catégories précédentes;

Contient des informations complètes sur Dodge;

A accès aux moyens de protéger les informations et la journalisation et à une partie des éléments clés du CDN;

Il n'a pas accès à la configuration du réseau technique réseau à l'exception du contrôle (inspection).

Contient des informations sur les programmes d'algorithmes et de transformation de l'information pour Dodge;

A les possibilités de faire des erreurs, des capacités non déclarées, des signets logiciels, des logiciels malveillants dans le Software CDN au stade de son développement, de son introduction et de la maintenance;

Il peut avoir des fragments d'informations sur la topologie du DNT et des moyens techniques de traitement et de protection des PDS transformés en CAD.

A les possibilités de faire des signets à des moyens techniques du PHDN au stade de leur développement, de leur mise en œuvre et de leur maintenance;

Il peut avoir des fragments d'informations sur la topologie de la dignité et les moyens techniques de traitement et de protection des informations dans le logement.

Le transporteur d'un programme malveillant peut être un élément matériel informatique ou un conteneur de logiciel. Si le programme malveillant n'est associé à aucun programme de candidature, alors que son transporteur est pris en compte:

Support aliénable, c'est-à-dire une disquette, disque optique, mémoire flash;

Media intégré (disques durs, jetons de bélier, processeur, puces de la carte système, puces de dispositif incorporées dans l'unité système, adaptateur vidéo, carte réseau, carte son, modem, périphériques d'E / S, disques durs et optiques magnétiques, et t .p., microcircuits d'accès à la mémoire directe, pneus de transmission de données, ports d'E / S);

Circuits de périphériques externes (moniteur, clavier, imprimante, modem, scanner, etc.).

Si le programme malveillant est associé à tout programme d'application, avec des fichiers comportant des extensions spécifiques ou d'autres attributs, avec des messages transmis sur le réseau, alors ses transporteurs sont les suivants:

Paquets transmis par des messages réseau informatiques;

Fichiers (texte, graphique, exécutable, etc.).

1.3.2 Caractéristiques globales de l'accès direct à l'environnement d'exploitation du système d'information de données personnelles

Les menaces d'accès non autorisé à l'environnement d'exploitation de l'ordinateur et d'un accès non autorisé à PDN sont liés à l'accès:

Aux informations et commandes stockées dans le système de base / sortie / sortie, avec la possibilité d'intercepter la gestion du système d'exploitation et de recevoir les droits de l'utilisateur approuvé;

Dans l'environnement d'exploitation, c'est-à-dire sur le fonctionnement du système d'exploitation local d'un moyen technique distinct, la mesure est la possibilité d'effectuer un accès non autorisé en appelant la dotation en personnel du système d'exploitation ou le lancement de programmes spécialement développés qui mettent en œuvre de telles actions. ;

Sur le fonctionnement des programmes d'application (par exemple, au système de gestion de la base de données locale);

Directement aux informations de l'utilisateur (aux fichiers, informations textuelles, audio et graphiques, champs et entrées dans des bases de données électroniques) et sont dues à la possibilité de violer sa confidentialité, son intégrité et sa accessibilité.

Ces menaces peuvent être mises en œuvre en cas d'obtention d'un accès physique à l'entretien ou au moins, au moyen de saisir les informations du CD. Ils peuvent être combinés sous les termes de mise en œuvre en trois groupes.

Le premier groupe comprend des menaces mises en œuvre lors du démarrage du système d'exploitation. Ces menaces de sécurité des informations visent à intercepter des mots de passe ou des identifiants, la modification du système logiciel d'entrée / sortie de logiciel, d'intercepter le contrôle de téléchargement avec une modification des informations technologiques nécessaires pour obtenir le NSD dans le mercredi opérationnel. Le plus souvent, ces menaces sont mises en œuvre à l'aide de supports aliénés.

Le deuxième groupe - les menaces mises en œuvre après avoir chargé l'environnement d'exploitation, quel que soit le programme d'application démarré. Ces menaces visent généralement à effectuer un accès directement non autorisé à l'information. Dès réception de l'accès à l'environnement d'exploitation, le violateur peut utiliser à la fois des fonctions de système d'exploitation standard ou tout programme d'application publique (par exemple, les systèmes de gestion de la base de données) et spécialement créés pour effectuer un accès non autorisé avec des programmes, par exemple:

Visualisation et modification du programme de programme;

Programmes de recherche de texte dans les fichiers texte par mots-clés et copie;

Programmes d'observation spéciaux et copie des entrées dans des bases de données;

Affichage rapide des programmes de fichiers graphiques, d'édition ou de copie;

Les programmes de support de programme pour la reconfiguration de l'environnement logiciel (paramètres conservés dans l'intérêt de l'intrus).

Enfin, le troisième groupe comprend des menaces, dont la mise en œuvre est déterminée par lesquelles des programmes d'application est lancé par l'utilisateur ou le lancement de l'un des programmes de candidature. La plupart de ces menaces sont les menaces pour l'introduction de programmes malveillants.

1.3.3 Caractéristiques générales des menaces pour la sécurité des données à caractère personnel mis en œuvre à l'aide de protocoles d'interconnexion

Si la base de données est mise en œuvre sur la base d'un système d'information local ou distribué, il peut être mis en œuvre dans les menaces de sécurité pour l'utilisation de protocoles d'interconnexion. Il peut être fourni par le NSD aux PDN ou la menace de refus de maintenir. Les menaces sont particulièrement dangereuses lorsque la mort est un système d'information distribué connecté aux réseaux d'utilisation générale et (ou) réseaux d'échange international d'informations. Le schéma de classification des menaces mises en œuvre sur le réseau est illustré à la figure 4. Il est basé sur les sept signes principaux suivants de la classification.

Figure 4 Schéma de classification des menaces à l'aide de protocoles d'interaction inter-piste

1. La nature de la menace. Sur cette base, la menace peut être passive et active. La menace passive est une menace, avec la mise en œuvre de laquelle il n'a pas d'impact direct sur l'exploitation du CDN, mais les règles établies de la séparation de l'accès aux PDN ou aux ressources du réseau peuvent être violées. Un exemple de telles menaces est la menace d'une "analyse du trafic réseau", visant à écouter des canaux de communication et à intercepter les informations transmises. La menace active est une menace associée à l'impact sur les ressources du CDN, avec la mise en œuvre de laquelle elle s'avère être un impact direct sur le fonctionnement du système (modification de la configuration, de la déficience des performances, etc.), etc. avec une violation des règles établies pour distinguer l'accès aux PDN ou aux ressources du réseau. Un exemple de telles menaces est la menace de «refus de maintenance», mise en œuvre comme une «tempête de requête TCP».

2. Le but de la réalisation de la menace. Sur cette base, la menace peut viser à violer la confidentialité, l'intégrité et la disponibilité des informations (y compris la violation de la performance de la CAD ou de ses éléments).

3. La condition a commencé à mettre en œuvre le processus de réalisation de la menace. Sur cette base, la menace peut être mise en œuvre:

Sur demande d'un objet relatif à laquelle la menace est mise en œuvre. Dans ce cas, le violateur s'attend à la transmission d'un certain type de demande, qui sera la condition du début de l'accès non autorisé;

À la survenue de l'événement attendu de l'installation, par rapport à la mise en œuvre de la menace. Dans ce cas, le violateur effectue une surveillance permanente de l'état du système d'exploitation Cadov et lorsqu'un certain événement se produit dans ce système, un accès non autorisé commence à commencer;

Impact inconditionnel. Dans ce cas, le début de la mise en œuvre d'un accès non autorisé est inconditionnellement par rapport à l'objectif d'accès, c'est-à-dire que la menace est mise en œuvre immédiatement et non pertinente pour le statut du système.

4. La présence de commentaires du CPF. Sur cette base, le processus de mise en œuvre de la menace peut être en retour et sans retour d'information. La menace effectuée en présence de commentaires sur le système d'information des données à caractère personnel est caractérisée par le fait que certaines demandes transmises à la densité, le violateur est nécessaire pour recevoir une réponse. Par conséquent, il y a un retour d'information entre le violateur et le système d'information de données personnelles permettant au violateur de répondre de manière adéquate à tous les changements survenant dans le MDP. Contrairement aux menaces mises en œuvre en présence de commentaires du système d'information des données à caractère personnel, lors de la mise en œuvre de menaces sans retour d'information, il n'est pas nécessaire de répondre à des modifications survenant dans le CDN.

5. L'emplacement de l'intrus est relativement teint. Conformément à ce signe, la menace est mise en œuvre à la fois en joie et à l'internetitivité.

Le segment de réseau est une association physique d'hôtes (moyens techniques d'esquive ou d'éléments de communication ayant une adresse réseau). Par exemple, le segment du système d'information des données personnelles forme un ensemble d'hôtes connectés au serveur en fonction du schéma "Total Bus". Dans le cas où une menace intra-fertile a lieu, le violateur a un accès physique aux éléments matériels de la CAD. Si une menace intermédiaire a lieu, l'intrus est situé en dehors de la dignité, mettant en œuvre une menace d'un autre réseau ou d'un autre segment du système d'information des données à caractère personnel.

6. Le niveau du modèle de référence d'interaction des systèmes ouverts (ISO / OSI) sur lesquels la menace est mise en œuvre. Sur cette base, la menace peut être mise en œuvre sur le niveau physique, canal, réseau, transport, session, représentatif et d'application du modèle ISO / OSI.

7. Le ratio du nombre de violateurs et des éléments de la dignité relative à la mise en œuvre de la menace. Sur cette base, la menace peut être attribuée à la classe de menaces mises en œuvre par une violeuse en ce qui concerne un moyen technique de CDN (la menace de "un à un"), immédiatement par rapport à plusieurs moyens techniques de CAD (la menace de " un à plusieurs ") ou plusieurs contrevenants de différents ordinateurs par rapport à un ou plusieurs moyens techniques de THADNA (menaces distribuées ou combinées).

Compte tenu de la classification effectuée, sélectionnez les principaux types d'attaques sur le système d'information de données personnelles:

1. Analyse du trafic réseau.

Cette menace est mise en œuvre à l'aide d'un logiciel d'analyseur de packages spécial, interceptant tous les paquets transmis via le segment de réseau et allouant entre eux ceux dans lesquels l'ID utilisateur et son mot de passe sont transmis. Au cours de la mise en œuvre de la menace, le violateur étudie la logique de l'opération de réseau - c'est-à-dire qu'elle cherche à obtenir une conformité sans ambiguïté des événements survenant dans le système, et les commandes envoyées avec tous ces hôtes au moment des données d'événement apparaissent. À l'avenir, cela permet à un attaquant basé sur la tâche des commandes pertinentes d'obtenir des droits privilégiés d'actions dans le système ou d'élargir ses pouvoirs, intercepter le flux de données transmises qui communiquent les composants du système d'exploitation du réseau à extraire informations confidentielles ou d'identification, sa substitution et sa modification.

2. Réseau d'exploitation forestière.

L'essence du processus de mise en œuvre de la menace est de transférer des demandes aux services réseau des clés des hôtes et d'analyser les réponses d'eux. L'objectif est d'identifier les protocoles utilisés aux ports de services de réseau, les lois de la formation d'identificateurs de connexion, la définition des services réseau actifs, la sélection d'identifiants et des mots de passe utilisateur.

3. Détection de mot de passe.

L'objectif de la mise en œuvre de la menace est d'obtenir une NSD en surmontant la protection par mot de passe. Un attaquant peut mettre en œuvre une menace avec l'aide d'un certain nombre de méthodes, telles qu'une simple buste, une force brute à l'aide de dictionnaires spéciaux, l'installation d'un programme malveillant permettant d'intercepter un mot de passe, de substitution d'un objet de réseau de confiance et de paquets d'interception. Principalement pour la mise en œuvre des menaces sont utilisées par des programmes spéciaux qui tentent d'accéder à l'hôte par une sélection cohérente de mots de passe. En cas de succès, l'attaquant peut créer un point d'entrée pour un accès futur qui agira, même si vous devez modifier le mot de passe d'accès sur l'hôte.

4. Videz d'un objet de réseau de confiance et d'une transmission à travers les canaux de communication des messages en son nom avec l'affectation de ses droits d'accès.

Une telle menace est effectivement mise en œuvre dans les systèmes où des algorithmes d'identification instable et des algorithmes d'hébergement et d'authentification de l'utilisateur sont appliqués. Sous l'objet de confiance, on comprend l'objet réseau (ordinateur, pare-feu, routeur, etc.), légalement connecté au serveur. Deux variétés du processus de mise en œuvre de la menace spécifiée peuvent être isolées: avec l'établissement et sans l'établissement d'une connexion virtuelle. Le processus de mise en œuvre avec la mise en place d'un composé virtuel consiste à attribuer les droits d'une entité d'interaction fiable, ce qui permet au violateur de mener une session avec l'objet du réseau pour le compte de l'entité fiduciaire. La mise en œuvre de la menace de ce type nécessite de surmonter le système d'identification et l'authentification du message. Le processus de mise en œuvre de la menace sans établir une connexion virtuelle peut survenir dans des réseaux qui identifient les messages transmis uniquement via l'adresse réseau de l'expéditeur. L'entité est le transfert de messages de service pour le compte des dispositifs de contrôle de réseau (par exemple, pour le compte de routeurs) sur la modification des données de route.

En raison de la menace d'une menace, le violateur reçoit les droits d'accès établis par l'utilisateur pour un abonné de confiance aux moyens techniques du recensement.

5. Installation du faux itinéraire du réseau.

Cette menace est mise en œuvre par l'une de deux manières: une imposition intra-fertile ou interségente. La capacité d'imposer une fausse route est due aux inconvénients inhérents aux algorithmes de routage (en particulier, en raison du problème de l'identification des dispositifs de contrôle du réseau), à la suite desquels il est possible d'obtenir, par exemple, à l'hôte ou à Le réseau d'un attaquant, où vous pouvez entrer dans l'environnement d'exploitation des moyens techniques dans l'environnement d'exploitation CDN. La mise en œuvre de la menace est basée sur l'utilisation non autorisée des protocoles de routage réseau et de gestion de réseau permettant de modifier les tables de notation. Dans ce cas, le violateur doit être envoyé pour le compte du périphérique de contrôle réseau (par exemple, un routeur) Message de contrôle.

6.La vue du faux objet réseau.

Cette menace est basée sur l'utilisation de carences d'algorithmes de recherche à distance. Si les objets réseau n'ont initialement pas d'adresse d'adresse les uns sur les autres, divers protocoles de recherche à distance sont utilisés, qui sont transmis au réseau de demandes spéciales et de recevoir des réponses avec la recherche d'informations. Dans ce cas, il est possible d'intercepter le violateur de la requête de recherche et d'y émettre une fausse réponse, dont l'utilisation conduira à la modification souhaitée des données d'adresse de route. À l'avenir, l'ensemble des informations d'informations associées au sacrifice d'objet passera via le faux objet du réseau

7. Pouvoirs en service.

Ces menaces sont basées sur des lacunes de logiciels de réseau, ses vulnérabilités permettant au violateur de créer des conditions lorsque le système d'exploitation n'est pas en mesure de traiter des packages entrants. Plusieurs variétés de telles menaces peuvent être isolées:

Refus caché de la maintenance causée par l'attirant une partie des ressources CDN pour gérer des paquets transmis par l'attaquant avec une réduction de la bande passante des canaux de communication, des dispositifs de réseau, une violation des exigences relatives aux demandes de demande. Des exemples de mise en œuvre des menaces de ce type peuvent être: dirigé par les demandes d'écho du protocole ICMP, la tempête des demandes de création de connexions TCP, une requête de tempête au serveur FTP;

Un refus clair de maintenir, causé par l'épuisement des ressources, lors du traitement des colis transmis par l'attaquant (occupant toute la bande passante de la bande passante, les files d'attente de requête de service), dans lesquelles les demandes légales ne peuvent être transmises via le réseau en raison de l'indisponibilité de la transmission moyen ou recevoir une défaillance de la maintenance due aux files d'attente de requête de débordement, de l'espace disque de mémoire, etc. Des exemples de menaces pour ce type peuvent servir de tempête de diffusion ICMP-Echoes, dirigée par une tempête, des messages de tempête vers le serveur de messagerie;

Un refus explicite de maintenir une violation de la connectivité logique entre les moyens techniques du CPF lors de la transmission d'un violateur de messages de contrôle pour le compte d'appareils réseau conduisant à une modification des données de données d'adresses d'itinéraire ou d'informations d'identification et d'authentification;

Un refus explicite de la maintenance causée par l'attaquant par l'attaquant avec des attributs non standard ou ayant une longueur supérieure à la taille maximale autorisée, ce qui peut entraîner une collection de dispositifs de réseau impliqués dans le traitement de la requête, à condition qu'il existe des erreurs dans les programmes d'exécution des programmes Protocoles d'échange. Le résultat de la mise en œuvre de cette menace peut violer la performance du service pertinent pour la fourniture d'un accès à distance aux PDNS au PDN, la transmission d'une adresse à un tel nombre de demandes aux moyens techniques de la composition de CADN, dont le maximum Le trafic peut être traité, ce qui entraîne le débordement de la file d'attente de la requête et la défaillance de l'un des services réseau ou de l'arrêt complet de l'ordinateur en raison de l'impossibilité du système de s'engager dans une autre, à l'exception du traitement de la requête.

8.Addown lancement Applications.

La menace réside dans le désir de lancer un autre logiciel malveillant pré-mis en œuvre sur l'hôte: les programmes de faveur des bookmarking, les virus, les "espions de réseau", dont l'objectif principal est une violation de la confidentialité, de l'intégrité, de la disponibilité de l'information et du contrôle total sur le travail. de l'hôte. De plus, un lancement non autorisé des programmes d'application des utilisateurs est possible pour l'obtention non autorisée de l'obtention des données du contrevenant, afin d'exécuter les processus gérés par le programme d'application et d'autres. Il est distingué par une sous-classe de données de menace:

Distribution de fichiers contenant du code exécutable non autorisé;

Lancement de l'application distante par des tampons d'application débordants;

Lancement de l'application à distance En utilisant les fonctionnalités du système de télécommande fournie par des signets de logiciels et matériels cachés ou utilisé par la norme.

Les menaces typiques de la première des sous-classes spécifiées sont basées sur l'activation des fichiers distribués en cas d'accès accidentel. Des exemples de ces fichiers peuvent servir: fichiers contenant du code exécutable sous forme de macrosample (Microsoft Word, documents Excel), documents HTML contenant du code exécutable comme éléments ActiveX, des applets Java interprétés par des scripts (par exemple, des logiciels malveillants sur JavaScript); Fichiers contenant des codes de programme exécutable.

Services de messagerie, transfert de fichiers, système de fichiers réseau peut être utilisé pour distribuer des fichiers.

Dans les menaces de la deuxième sous-classe, les inconvénients des programmes mettant en œuvre des services de réseau (en particulier, aucun contrôle de dépassement de contrôle) sont utilisés. Réglage des registres système est parfois possible de changer le processeur après interruption causée par le débordement de la mémoire tampon, à l'exécution de code contenue à l'étranger du tampon.

Dans les menaces de la troisième sous-classe, le délinquant utilise la possibilité de gérer à distance le système fourni par des composants cachés ou des contrôles réguliers et une administration de réseaux informatiques. À la suite de leur utilisation, il est possible d'obtenir une télécommande sur la station sur le réseau. Schématiquement, les principales étapes du travail de ces programmes sont les suivantes: Installation en mémoire; En attente d'une requête d'hôte distante sur laquelle le programme client est en cours d'exécution et l'échange de messages de préparation avec elle; Transfert d'informations interceptées au client ou lui fournir un contrôle sur l'ordinateur attaqué. Les conséquences possibles de la vente de menaces de différentes classes sont présentées dans le tableau 1

Tableau 1. Conséquences possibles de la mise en œuvre de menaces de diverses classes

№ p / p.	Type d'attaque		Conséquences possibles
1	Analyse du trafic réseau		Etude des fonctionnalités de trafic réseau, interception des données transmises, y compris les identifiants et les utilisateurs de mot de passe
2	Réseau de numérisation		Définition des protocoles disponibles pour les ports de services de réseau, les lois de la formation d'identifiants de connexions, de services réseau actifs, d'identificateurs et de mots de passe utilisateur
3	Attaque "mot de passe"		Effectuer une action destructive associée à l'obtention d'un accès non autorisé
4	Substitution d'un objet de réseau de confiance		Changer le passage des messages, changement non autorisé dans les données de route. Accès non autorisé aux ressources du réseau, imposant de fausses informations
5	Imposer une fausse route		Modification non autorisée dans les données de route, l'analyse et la modification des données transmises, imposant des faux messages
6	Mise en œuvre d'un faux objet réseau		Interception et voir le trafic. Accès non autorisé aux ressources du réseau, imposant de fausses informations
7	Défaut de service	Épuisement partiel des ressources	Réduire la bande passante des canaux de communication, des dispositifs de réseautage. Applications de serveur réduites.
		Épuisement complet des ressources	L'incapacité à transmettre des messages dus au manque d'accès au support de transmission, refus d'établir une connexion. Refus de fournir un service.
		Violation de la connectivité logique entre les attributs, les données, les objets	L'incapacité de transférer des messages en raison du manque de données d'adresse de route correctes. L'impossibilité d'obtenir des services en raison de la modification non autorisée des identifiants, des mots de passe, etc.
		Utilisation d'erreurs dans les programmes	Violation des périphériques réseau.
8	Suppression des applications	En envoyant des fichiers contenant du code exécutable destructeur, infection par le virus.	Violation de la confidentialité, de l'intégrité, de la disponibilité de l'information.
		En débordant le tampon de l'application serveur
		En utilisant les possibilités de la télécommande du système fourni par des signets de logiciels et matériels cachés ou utilisé par le personnel	Système de gestion caché.

Le processus de mise en œuvre de la menace dans le cas général consiste en quatre étapes:

Collecte d'informations;

Invasion (pénétration dans l'environnement d'exploitation);

Exercer un accès non autorisé;

Éliminer les traces d'accès non autorisé.

Au stade de la collecte d'informations, les violateurs peuvent être intéressés par diverses informations sur la densité, notamment:

Sur la topologie du réseau, dans laquelle le système fonctionne. Cela peut explorer la zone autour du réseau (par exemple, l'intrus peut être intéressé par les adresses des hôtes de confiance, mais moins protégés). Il existe des utilitaires qui effectuent la définition parallèle de l'accessibilité des hôtes pouvant analyser la grande surface d'espace d'adresses pour l'accessibilité des hôtes en peu de temps.;

Sur le type de système d'exploitation (OS) dans le CPF. Vous pouvez noter la méthode de détermination du type de système d'exploitation, en tant que requête la plus simple pour établir une connexion via le protocole d'accès à distance, à la suite de laquelle le type de l'hôte peut être déterminé par "l'apparence" de la réponse. La présence de certains services peut également servir de fonctionnalité supplémentaire pour déterminer le type d'OS hôte;

Sur les services opérant sur des hôtes. La définition des services effectuée sur l'hôte est basée sur la méthode de détection de «ports ouverts» visant à collecter des informations sur l'accessibilité de l'hôte.

Au stade de l'invasion, la présence de vulnérabilités typiques dans les services système ou les erreurs dans l'administration du système est étudiée. Le résultat réussi de l'utilisation des vulnérabilités est généralement obtenu par le processus d'un mode d'exécution privilégié (accès au mode processeur privilégié), entrant dans le compte d'un compte de l'utilisateur illégal, recevant un fichier de mot de passe ou une capacité de travail de l'hôte attaqué. .

Ce stade du développement de la menace est généralement multiphasé. Les phases du processus de mise en œuvre de la menace peuvent inclure, par exemple: la mise en place de la communication avec l'hôte, par rapport à laquelle la menace est réalisée; identification de la vulnérabilité; L'introduction d'un programme malveillant dans l'intérêt d'élargir les droits et autres.

Les menaces mises en œuvre à l'étape finale sont divisées en niveaux de pile de protocole TCP / IP, car ils sont formés sur un réseau, un transport ou un niveau appliqué en fonction du mécanisme d'invasion utilisé. Type des menaces mises en œuvre sur les niveaux de réseau et de transport sont telles que:

La menace visant à la substitution d'un objet de confiance;

La menace visant à créer une fausse route dans le réseau;

Menaces visant à créer un faux objet en utilisant des lacunes d'algorithmes de recherche à distance;

Menaces du "refus de maintenance".

Les menaces typiques mises en œuvre au niveau des applications comprennent des menaces destinées au lancement non autorisé des applications, des menaces, dont la mise en œuvre est associée à la mise en œuvre de signets logiciels, avec la détection de mots de passe d'accès au réseau ou à un hôte spécifique, etc. Si la réalisation de la menace n'a pas rapporté le violateur des droits d'accès les plus élevés dans le système, des tentatives visant à élargir ces droits au plus haut niveau possible sont possibles. Pour cela, des vulnérabilités des services réseau non seulement peuvent être utilisées, mais également la vulnérabilité des logiciels système.

Lors de la mise en œuvre de l'accès non autorisé, une menace est atteinte:

Violation de la confidentialité (copie, distribution illégale);

Violation de l'intégrité (destruction, changement);

Violation de la disponibilité (blocage).

Dans la même étape, après ces actions, en règle générale, la soi-disant "entrée noire" est formée sous la forme de l'un des services servant un port et exécutant les commandes d'intrusion. "Login noir" est laissé dans le système dans l'intérêt de la garantie: possibilité d'accéder à l'hôte, même si l'administrateur élimine la vulnérabilité utilisée pour mettre en œuvre avec succès la menace; Opportunités d'accéder à l'hôte aussi bas que possible; Opportunités d'accéder rapidement à l'hôte (sans répéter le processus de réalisation de la menace). "Entrée noire" permet au violateur de mettre en place un programme malveillant à un réseau ou à un certain hôte, par exemple, un "analyseur de mots de passe" est un programme qui attribue des identificateurs d'utilisateur et des mots de passe du trafic réseau lorsque les protocoles de haut niveau fonctionnent) . Les objets de mise en œuvre de logiciels malveillants peuvent être des programmes d'authentification et d'identification, de services réseau, de noyau de système d'exploitation, de système de fichiers, de bibliothèques, etc.

Enfin, au stade de l'élimination des traces de la menace, une tentative est faite pour détruire des traces des actions du violateur. Dans le même temps, les entrées appropriées sont supprimées de tous les journaux d'audit possibles, y compris des enregistrements sur le fait de la collecte d'informations.

1.4 Caractéristiques de la Banque et de ses activités

PJSC "SITIBANK" est l'organisation financière et de crédit du système bancaire de la Fédération de Russie, en effectuant des transactions financières avec de l'argent et des titres. La banque fournit des services financiers aux individus et aux entités juridiques.

Les principales activités prêts à des entités juridiques et aux particuliers, entretien des entreprises, attirant des fonds aux dépôts, les opérations sur les marchés de la monnaie et des marchés interbancaires, des investissements dans des obligations et des factures.

La Banque exerce ses activités financières à partir du 1er août 1990, sur la base de la licence générale de la Banque de Russie pour les activités bancaires n ° 356.

La banque dispose de trois systèmes d'information de données personnelles:

Le système d'information des données personnelles des employés de la banque - vous permet d'identifier 243 sujets de données à caractère personnel;

Système d'information des données personnelles du système de contrôle de contrôle et d'accès - vous permet d'identifier 243 sujets de données à caractère personnel;

Le système d'information des données personnelles du système bancaire automatisé - vous permet d'identifier 9681 sujets de données personnelles.

1.5 Base de données personnelle

Dans la banque, il est nécessaire de défendre plusieurs données personnelles à la fois, à savoir:

Système d'information des données personnelles des employés de la banque;

Système d'information de données personnelles de systèmes de contrôle et d'accès;

Système d'information des données personnelles du système bancaire automatisé.

1.5.1 Système d'information des données à caractère personnel des employés de l'organisation

L'annulation des employés de la Banque est utilisée pour charger les employés de la banque de la Banque, l'automatisation du personnel du personnel du personnel du personnel, l'automatisation du personnel comptable de la Banque et la résolution d'autres problèmes de personnel et de comptabilité. Il consiste en une base de données de «salaire et de gestion du personnel» 1C, située sur un lieu de travail automatisé séparé avec la possibilité de se connecter au lieu de travail du réseau. AWP est situé dans le bureau du département du personnel. Sur un lieu de travail automatisé, le système d'exploitation Microsoft Windows XP est installé. Il n'y a pas de connexion au réseau.

Nom et prénom;

Date de naissance;

Série et numéro de passeport;

Numéro de téléphone;

Le droit de travailler avec le salaire et la gestion du personnel et le logiciel de gestion du personnel et la base de données de données personnelles ont:

Chef comptable;

Assistant du comptable en chef;

Chef du département des ressources humaines;

Un employé chargé de payer des salaires aux employés de la banque.

Changement de données manuelle;

1.5.2 Système d'information de systèmes de contrôle des données personnelles et de contrôle d'accès

Le système d'information des systèmes de contrôle des données personnelles et de contrôle d'accès est utilisé pour stocker des données personnelles des employés et des visiteurs de la banque, qui ont accès à divers locaux de la banque. La distribution du système de contrôle de contrôle et d'accès est utilisée par le service de sécurité bancaire. La base de données de base de données est définie sur AWP, qui se trouve dans la salle de sécurité pour la sécurité. Le système d'exploitation Microsoft Windows 7 est installé sur la technique, le SGBD Microsoft SQL Server 2012 est utilisé comme système de contrôle de base de données. Les arts DVD n'ont pas accès au réseau local et n'ont pas non plus accès à Internet.

Les données personnelles suivantes sont stockées dans DM

Nom et prénom;

Photographie des employés.

Le droit de travailler avec la dignité du système de contrôle de contrôle et d'accès a:

Chef du département de sécurité de la banque;

Chef adjoint du département de la sécurité de la Banque;

Employés du département de la sécurité de la Banque.

L'accès au système de contrôle automatisé de poste de travail et d'accès a:

Administrateurs système, pour administrer le lieu de travail automatisé et le logiciel 1C Salaire et gestion du personnel et bases de données personnelles;

Employés de la division responsables de la sécurité des informations de la Banque pour administrer le système de protection des informations sur les armes.

Les fonctions suivantes peuvent être effectuées dans la dignité des employés de la banque:

Suppression automatisée des données personnelles;

Suppression manuelle des données personnelles;

Changement de données manuelle;

Ajout de données personnelles manuelles;

Recherche automatisée de données personnelles.

Le système d'information personnelle des données stocke des données vous permettant d'identifier 243 employés de la banque.

Après avoir atteint les objectifs de traitement des données personnelles de l'employé, ses données personnelles sont supprimées du CD.

1.5.3 Système d'information de données à caractère personnel du système bancaire automatisé

Le système d'information des données à caractère personnel du système bancaire automatisé est conçu pour automatiser le travail de la plupart des employés bancaires. Cela vous permet d'accroître la productivité des employés. En tant que système bancaire automatisé, un complexe de produits logiciels «CFT-Bank», produit par le Centre pour le Centre pour les technologies financières, est utilisé. En tant que système de gestion de base de données, le logiciel Oracle est utilisé. CAIDEN est déployé sur le serveur de banque, le système d'exploitation installé sur le serveur est Microsoft Windows Server 2008 R2. Le logement du système bancaire automatisé est connecté au réseau informatique local de la banque, mais n'a pas accès à Internet. Connexion des utilisateurs à la base de données de la base de données est effectuée à l'aide des produits logiciels "CFT-Bank" à partir de terminaux virtuels sélectionnés. Chaque utilisateur a son propre nom d'utilisateur et mot de passe.

Données personnelles traitées dans Dodge:

Nom et prénom;

Date de naissance;

Série et numéro de passeport;

Numéro de téléphone;

Le droit de travailler avec le logiciel "CTT-Bank" et la base de données de données personnelles ont:

Personnel comptable;

Employés du service de crédit;

Employés du département de gestion des risques;

Officiers des départements;

Gestionnaires personnels;

Gestionnaires clients;

Département de sécurité.

L'accès au lieu de travail automatisé a:

Administrateurs système, pour administrer le serveur, la base de données de données personnelles et le logiciel "CFT-Bank";

Employés de la division responsables de la sécurité de l'information de la banque, d'administrer le serveur, de la base de données des données personnelles et du logiciel "CFT-Bank".

Les fonctions suivantes peuvent être effectuées dans la dignité des employés de la banque:

Suppression automatisée des données personnelles;

Suppression manuelle des données personnelles;

Ajout de données personnelles manuelles;

Changement de données manuelle;

Recherche automatisée de données personnelles.

Le système d'information des données personnelles est stocké des données qui vous permettent d'identifier 243 employés de banque et 9438 clients de la banque.

Après avoir atteint les objectifs de traitement des données personnelles de l'employé, ses données personnelles sont supprimées du CD.

1.6 Dispositif et menaces du réseau informatique local de la banque

Un serveur client de type réseau de type réseau est déployé. Le nom de domaine dans lequel les stations de travail utilisateur sont Vitabank.ru. Total des travaux d'utilisateur automatisés de la Banque 243, ainsi que 10 serveurs virtuels et 15 postes de travail virtuels. Le réseau est surveillé par le service d'administration du système. Le réseau est construit principalement sur le matériel de réseau Cisco Corporation. La communication avec des bureaux supplémentaires est prise en charge à l'aide de canaux VPN utilisant Internet via les canaux de fournisseur d'accès Internet actuel et de sauvegarde. L'échange d'informations avec la banque centrale se produit via le canal dédié, ainsi que par le biais de canaux de communication conventionnels.

L'accès à Internet dispose de tous les utilisateurs des postes de travail locaux, mais de travailler avec des documents et des systèmes d'information de la banque uniquement à l'aide de postes de travail virtuels où seules les ressources bancaires locales sont limitées et chargées et téléchargées.

L'accès à Internet à partir de postes de travail locaux est séparé par groupes d'accès:

Accès minimum - accès uniquement sur les ressources des services fédéraux, sur le site Web de la Banque de Russie;

Accès normal - Toutes les ressources sont autorisées, à l'exception du divertissement, des réseaux sociaux, il est interdit de visualiser des fichiers vidéo et télécharger.

Accès complet - toutes les ressources et les fichiers de téléchargement sont autorisés;

Les ressources de filtrage entre groupes d'accès sont implémentées par serveur proxy.

Vous trouverez ci-dessous la schéma du réseau de PJSC SITIBANK (Fig. 5).

1.7 Outils de sécurité des informations

Les outils de sécurité de l'information sont une combinaison de dispositifs d'ingénierie, électriques, électroniques, optiques et d'autres périphériques, appareils et systèmes techniques, ainsi que d'autres éléments utilisés pour résoudre diverses tâches de protection des informations, y compris les avertissements de fuite et la sécurité de l'information sécurisée..

Outils de protection de l'information en termes de prévention des actions intentionnelles en fonction de la méthode de mise en œuvre peut être divisée en groupes:

Fonds techniques (matériels). Celles-ci sont différentes dans le type de dispositif (mécanique, électromécanique, électronique, etc.), quelle matérielle résolve les tâches de protection des informations. Ils interfèrent avec l'accès à l'information, y compris l'utilisation de son masquage. Le matériel comprend: générateurs de bruit, filtres réseau, balayage radio et de nombreux autres appareils, "chevauchement" canaux de fuites de canal potentiels ou pour les détecter. Les avantages des moyens techniques sont associés à leur fiabilité, à l'indépendance des facteurs subjectifs, très résistants à la modification. Les faiblesses sont insuffisantes de la flexibilité, du volume et du poids relativement grand, coût élevé.

Figure 5 Sitebank PJSC Network

Les outils logiciels incluent des programmes permettant d'identifier les utilisateurs, de contrôler l'accès, des informations de cryptage, de la suppression des informations résiduelles (fonctionnelles) telles que des fichiers temporaires, du système de contrôle des tests, etc. Avantages des logiciels - la polyvalence, la flexibilité, la fiabilité, la simplicité de l'installation, la possibilité de modifier et développer. Inconvénients - Fonctionnalité de réseau limitée, utilisation d'une partie du serveur de ressources et de postes de travail, une sensibilité élevée à des modifications aléatoires ou délibérées, dépendance possible sur les ordinateurs (leur quincaillerie).

Le matériel et le logiciel mixtes implémentent les mêmes fonctions que le matériel et les logiciels sont séparés et disposent de propriétés intermédiaires.

Tous les locaux de l'Office de la Banque sont contrôlés par le service de sécurité à l'aide du système de contrôle de gestion et d'accès, ainsi que des systèmes de vidéosurveillance. L'entrée des locaux du bureau de la banque est effectuée en présence d'autorisations appropriées dans le système de contrôle de contrôle et d'accès. Un employé, avec un appareil de travail ou un visiteur à la banque, si nécessaire, l'accès aux locaux de la Banque est donné des cartes de proximité sans contact, qui enregistrent l'ID utilisateur et lors de la tentative d'accès à la salle de service, cet identifiant est transmis au système de contrôle et de contrôle d'accès. Le système compare la liste des chambres dans lesquelles l'entrée de la carte de l'utilisateur avec la pièce dans laquelle il veut obtenir et permet ou limite le passage à la pièce.

Le logiciel anti-virus de Kaspersky Endpoint Security 10, qui a un certificat de conformité à la Russie n ° 3025, a été installé sur les postes de travail de la Banque, qui est valide jusqu'au 25 novembre 2019, la mise à jour des bases de données de signature du virus est effectuée par Une partie de serveur central de l'antivirus installé sur le serveur de la banque.

Pour organiser la gestion électronique des documents avec les organismes de banque centrale, la banque a effectué un lien dédié.

Pour l'organisation de la gestion des documents électroniques avec les services fédéraux (service fiscal fédéral, le fonds de pension de Russie, le service de surveillance financière, etc.) utilise une signature électronique. Travailler avec une signature électronique sur les postes de travail locaux d'interprètes responsables du flux de documents avec des services fédéraux, des logiciels spécialisés ont été établis:

Crypto-pro csp;

Crypto-bras;

Skji verba-ow;

Ski validat;

Signal-csp.

L'utilisation de certains logiciels par l'entrepreneur dépend des exigences d'un organe fédéral particulier.

À la frontière du réseau local de la banque, le pare-feu Cisco ASA 5512 est installé, la production de Cisco Corporation. De plus, les systèmes bancaires critiques (client ARS de la Banque de Russie, Swift, la distribution de la Banque) sont également séparés du réseau local de pare-feu Cisco. Les tunnels VPN pour la communication avec un bureau supplémentaire sont organisés à l'aide de pare-feu Cisco.

1.8 Mesures de protection de l'organisation

Selon l'étude menée par la Société britannique d'audit-conseil Ernst & Yong en 2014, 69% des sociétés de recherche considèrent les employés de la société la principale source de menaces de sécurité de l'information.

Les employés de la société peuvent divulguer des informations critiques nécessaires à l'ignorance ou à leur incompétence dans le domaine de la sécurité de l'information nécessaire à la création d'attaques ciblées sur l'organisation. En outre, les assaillants envoient des messages de phishing avec des logiciels malveillants imbriqués, permettant aux intrus d'acquérir un contrôle sur le lieu de travail de l'employé et de ce lieu de travail pour prendre une attaque sur les systèmes d'information de la banque.

Par conséquent, la Banque du département de la Sécurité de l'information est tenue de mener des travaux sur la formation des employés de la Banque aux principes fondamentaux de la sécurité de l'information, de suivre la conformité aux exigences de sécurité lorsque vous travaillez sur des lieux de travail, informez les employés de la Banque sur les nouvelles menaces de sécurité de l'information avec lesquelles ils peuvent rencontrer.

Dans PJSC "Citibank", tous les employés subissent des instructions d'introduction lorsqu'ils travaillent sur un emploi. En outre, les nouveaux employés, les employés transférés d'autres divisions structurelles subissent une briefing primaire dans le département de la sécurité de l'information, au cours de laquelle les employés expliquent les règles de base de la sécurité de l'information lors de la collaboration avec les systèmes d'information bancaire, les règles de sécurité lors de l'utilisation de l'Internet, des règles de sécurité lorsqu'ils travaillent avec Banque de messagerie, politique de mot de passe de la banque.

Les employés du département de la sécurité de l'information de la Banque participent à l'élaboration et à la mise en œuvre de nouveaux systèmes d'information bancaire à tous les niveaux de développement du système.

Lors de la conception du système et de la rédaction de la tâche technique sur l'élaboration du système d'information, le département de la sécurité des informations accorde des exigences de sécurité pour le système.

Au stade du développement du système d'information, les employés du service de la sécurité de l'information étudient la documentation actuelle, des logiciels de test pour des vulnérabilités éventuelles dans le code du programme.

Lors de la phase de test et de mise en service, le département de la sécurité de l'information participe activement au test du système d'information, effectue des tests pour pénétrer dans le système d'information et les tests de référence, distribue également des droits d'accès au système d'information.

Au stade du fonctionnement du système d'information déjà commandé, le service de sécurité de l'information effectue une surveillance, identifie une activité suspecte.

Lors de la finalisation du système d'information, le service de sécurité de l'information, basé sur les données obtenues lors du fonctionnement du système d'information, crée de nouvelles exigences pour le système d'information.

Le service de sécurité de l'information dans PJSC "SITIBANK" coordonne toutes les demandes d'accès aux ressources sur Internet, ainsi qu'aux ressources internes de la banque.

1.9 Cycle de traitement des données personnelles

Les données personnelles stockées dans la banque n'ont reçu que de manière légitime.

Les données personnelles reçues de l'employé de la banque ne sont traitées que pour remplir leurs tâches sur le contrat avec un employé. Données personnelles de l'employé de la banque reçue de l'employé lui-même. Tous les employés de la banque sont familiarisés avec les banques avec des documents de la Banque, qui établit la procédure de traitement des données à caractère personnel du personnel de la Banque, ainsi que de leurs droits et obligations dans ce domaine.

Les données personnelles des employés de la banque stockées dans la dignité du système de contrôle de contrôle et d'accès sont destinées à admettre un employé au lieu de travail.

Les données personnelles des clients de la banque stockées dans les habitations du système bancaire automatisé ne sont traitées que pour exécuter les fonctions prévues par le contrat conclu avec le client de la Banque. Également dans le logement du système bancaire automatisé, les données personnelles des personnes qui n'ont pas conclu de convention avec la banque ont été traitées, mais les données personnelles obtenues par legal, par exemple les données à caractère personnel obtenues et traitées à la demande de la loi fédérale non . 115-FZ daté du 7 août 2001 "sur la légalisation de la légalisation (blanchissage) des revenus obtenus par le terrorisme criminel et financement.

Après avoir atteint les objectifs du traitement des données personnelles, ils sont détruits ou délocés.

2. Développement de mesures de protection des données à caractère personnel dans la banque

Dans PJSC "SITIBANK", le système de protection des données personnelles est réglementé à la fois par les lois du niveau de l'État et des actes de réglementation locaux (par exemple, les règles de services bancaires à distance d'entités juridiques et d'entrepreneurs individuels dans PJSC "SITIBANK" à l'annexe 1) .

PJSC "SITIBANK" Le système de protection des données personnelles est suffisamment suffisant pour éviter des attaques simples du type de phishing et d'infection des postes de travail avec des virus de crypters, mais il n'est pas en mesure de supporter des attaques ciblées destinées au vol de données personnelles.

J'ai effectué des travaux sur la reconstruction et la mise à niveau du système de protection des données personnelles.

2.1 Activités pour la protection du réseau informatique local de la banque et du système d'information des données personnelles

Dans le réseau de PJSC "Citibank", des faiblesses prononcées ont des faiblesses prononcées en utilisant lesquelles les attaquants peuvent avoir un accès complet au réseau de la banque et l'interception du contrôle de la banque, après quoi il sera en mesure de voler librement, de modifier ou de supprimer des données personnelles des clients ou des employés de la banque.

Étant donné que le réseau de la banque est un seul segment, puis pour minimiser les risques d'intrus dans le réseau de la banque, il doit être divisé en plusieurs segments à l'aide de la technologie de réseau virtuel.

Le concept de la technologie de la construction de réseaux virtuels (VLAN) est que l'administrateur réseau peut créer des groupes d'utilisateurs logiques, qu'ils soient connectés à la zone du réseau. Vous pouvez combiner les utilisateurs à des groupes de travail logiques, par exemple sur les signes de la communauté de travaux effectués ou résolus conjointement. Dans le même temps, les groupes d'utilisateurs peuvent interagir mutuellement ou être complètement invisibles l'un pour l'autre. L'adhésion au groupe peut être modifiée et l'utilisateur peut être membre de plusieurs groupes logiques. Les réseaux virtuels forment des domaines de diffusion logiques, limitant le passage des paquets de diffusion sur le réseau, ainsi que des routeurs, isolant le trafic de diffusion entre les segments de réseau. Ainsi, le réseau virtuel empêche l'émergence de tempêtes de diffusion, car les messages de diffusion sont limités aux membres du réseau virtuel et ne peuvent être obtenus par des membres d'autres réseaux virtuels. Les réseaux virtuels peuvent permettre l'accès aux membres d'un autre réseau virtuel dans les cas où il est nécessaire d'accéder à des ressources communes, telles que des serveurs de fichiers ou des serveurs d'applications, ou lorsque la tâche globale nécessite l'interaction de divers services, tels que les divisions de crédit et de règlement. Les réseaux virtuels peuvent être créés à l'aide des ports de commutation, adresses physiques des périphériques incluses dans les adresses réseau et logiques des protocoles de troisième niveau du modèle OSI. L'avantage des réseaux virtuels consiste en grande vitesse des commutateurs, car les commutateurs modernes contiennent un ensemble spécialisé de circuits intégrés de circuits intégrés spécialement conçus des tâches de commutation au deuxième niveau du modèle OSI. Réseaux virtuels de troisième niveau dans les plus grandes merprations de l'installation, si la reconfiguration du client de réseau n'est pas requise, principalement à l'administration, car Toute action avec le réseau client nécessite soit la reconfiguration du client lui-même, soit le routeur, ainsi que le moindre flexion, car le routage est nécessaire pour communiquer des réseaux virtuels, ce qui augmente le coût du système et réduit ses performances.

Ainsi, la création de réseaux virtuels à la banque empêchera le type d'attaque ARP-Spoofing. Les assaillants ne seront pas en mesure d'intercepter des informations passant entre le serveur et le client. Lors de la pénétration du réseau, les attaquants ne pourront pas analyser tout le réseau de la banque, mais uniquement le segment de réseau dans lequel ils ont reçu un accès.

Lorsque la banque pénètre dans la banque, les attaquants numériseront d'abord le réseau pour rechercher des nœuds de réseau critiques. Ces nœuds sont:

Contrôleur de domaine;

Serveur proxy;

Serveur de courrier;

Serveur de fichiers;

Server des applications.

Étant donné que dans la banque, le réseau local sera organisé à l'aide de la technologie de réseau virtuel, les attaquants ne pourront pas détecter ces nœuds sans actions supplémentaires. Afin de compliquer les attaquants de trouver la recherche d'unités critiques du réseau local et de les confondre, et à l'avenir d'étudier la stratégie des intrus lors de la réalisation d'une attaque sur le réseau, vous devez utiliser de faux objets qui attireront des intrus. Ces objets sont appelés Honeypot.

La tâche de Honeypot est de subir une attaque ou une étude non autorisée, qui permettra ultérieurement d'étudier la stratégie des intrus et de déterminer la liste des fonds par lesquels des grèves peuvent être déposées en fonction des objets de sécurité existants. La mise en œuvre du HONYPOT peut être à la fois un serveur dédié spécial et un service réseau dont la tâche consiste à attirer l'attention des pirates.

Honeypot est une ressource qui ne fait rien sans aucun impact sur celui-ci. Honeypot collecte une petite quantité d'informations, après avoir analysé les statistiques de méthodes utilisant des pirates informatiques et est également déterminée par la présence de toutes nouvelles solutions qui seront ensuite appliquées dans la lutte contre eux.

Par exemple, un serveur Web qui n'a pas de nom et pratiquement personne ne le sait, ne devrait pas, respectivement, et les invités à venir à lui, toutes les personnes qui essaient de pénétrer sont des pirates potentiels. Honeypot collecte des informations sur la nature du comportement de ces pirates et de leurs moyens d'impact sur le serveur. Après cela, les experts du département de la sécurité de l'information collectent des informations sur l'attaque des attaquants vers la ressource et élaborer des stratégies de réflexion des attaques à l'avenir.

Contrôler les informations qui entrent du réseau et détecter les menaces de sécurité des informations au stade de leur transfert sur le réseau, ainsi que la détection de l'activité des attaquants qui ont imprégné le réseau local de la banque, il est nécessaire de établir un système de prévention de l'intrusion à la frontière du réseau.

Le système de prévention de l'intrusion est un système logiciel ou matériel de sécurité réseau et informatique, qui détecte une invasion ou un trouble de la sécurité et les protégeant automatiquement.

Les systèmes de prévention des intrusions peuvent être considérés comme une continuation des systèmes de détection d'intrusion, car la tâche de suivre les attaques reste la même. Dans le même temps, ils diffèrent par le fait que le système de prévention des intrusions surveille en temps réel et implémente rapidement des actions visant à prévenir les attaques.

Les systèmes de détection et de prévention de l'intrusion sont divisés en:

Systèmes de prévention de l'intrusion de réseau - Analyser le trafic dirigé vers un réseau d'une organisation passant dans le réseau lui-même ou destiné à un ordinateur spécifique. Les systèmes de détection d'intrusion et de prévention peuvent être mis en œuvre par des méthodes logicielles ou logiciels et matériels, sont installés sur le périmètre du réseau d'entreprise et parfois à l'intérieur.

Les systèmes de prévention des intrusions personnelles sont des logiciels installés sur des postes de travail ou des serveurs et vous permettent de surveiller les activités de l'application, ainsi que de suivre l'activité du réseau pour des attaques éventuelles.

Pour le déploiement dans la banque de la banque, un système de prévention de l'intrusion de réseau a été sélectionné.

Les invasions d'intrusion de réseau d'IBM, Point de contrôle, Fortinet, Palo Alto ont été envisagées, car la fonctionnalité déclarée des fabricants de ces systèmes s'est approchée des exigences de la Division de la sécurité de l'information de la Banque.

Après avoir déployé des stands de test et tester des systèmes de prévention de l'intrusion, le point de contrôle a été sélectionné, car il a montré la meilleure vitesse, le meilleur sous-système de détection de logiciels viraux transmis sur le réseau local, la meilleure boîte à outils à protéger et à en revitaliser les événements importants et le prix d'achat.

Le système de prévention des intrusions IBM a été durci en raison du coût des dispositifs dépassant le budget du service de la sécurité de l'information afin d'acheter un système de prévention des intrusions.

Le système de prévention de l'intrusion de Fortinet a été mentionné en raison de la réponse à temps partiel lors de l'exécution des employés du service de la sécurité de l'information pour la transmission de fichiers infectés et de ne pas suffisamment d'outils informatifs pour la journalisation des événements importants.

Le système de prévention des intrusions de Palo Alto a été cuit en raison d'outils insuffisamment informatifs pour la journalisation des événements importants, une difficulté excessive de travailler avec le système et de travailler à plus grande quantité de routeur.

Pour introduire dans un réseau local, un système d'intrusion de point de contrôle a été sélectionné. Ce système a montré un niveau élevé de détection de la menace de sécurité d'informations, des paramètres flexibles, la possibilité d'élargir la fonctionnalité en achetant des modules logiciels supplémentaires, dispose d'un système de journalisation puissant d'événements importants et d'une boîte à outils puissante pour fournir des rapports d'incident, avec lequel il est beaucoup plus facile d'enquêter sur les incidents de sécurité des informations survenus.

Le schéma du réseau de PJSC "Citibank" avec une architecture modifiée est présenté à la figure 6.

2.2 Protection du logiciel et du matériel

Étant donné que la sécurité des données personnelles ne peut être protégée que par le réseau, car les intrus, malgré toutes les mesures prises pour protéger le réseau, peuvent accéder au réseau de la banque.

Figure 6 Schéma réseau PAO SITIBANK avec des systèmes de protection supplémentaires

Pour une protection plus résistante aux attaques, vous devez ajouter aux appareils conçus pour protéger les périphériques de protection du réseau, du logiciel et du matériel des postes de travail locaux, des postes de travail virtuels, des serveurs virtuels et classiques.

Comme vous le savez, les programmes antivirus ne protègent pas complètement contre les logiciels malveillants, car ils travaillent selon le principe de l'analyse de la signature. Le développeur de logiciels antivirus a des experts dans son propre personnel qui suivent une activité virale sur Internet, étudie le comportement des logiciels viraux sur les stations d'essai et créer des signatures qui sont envoyées ultérieurement aux ordinateurs d'utilisateurs en mettant à jour les bases de données de signature du logiciel anti-virus. Antivirus, ayant reçu une base de données de signature logicielle anti-virus mise à jour, vérifie les fichiers du poste de travail de l'utilisateur et recherche des signes de logiciels malveillants si ces fonctionnalités sont détectées lors de la vérification, l'antivirus clignote et agit conformément aux paramètres installés par l'utilisateur ou l'administrateur antivirus. Ainsi, si les logiciels malveillants ne sont pas détectés et non analysés par des experts de la société de logiciels antivirus, l'antivirus ne sera pas en mesure d'identifier des logiciels malveillants et ne prendra aucune mesure, en comptant le fichier éprouvé. Par conséquent, à la banque, afin de réduire la probabilité de sauter et de lancer des logiciels malveillants, un deuxième circuit de protection anti-virus a été installé. Étant donné que les développeurs de logiciels antivirus travaillent principalement séparément les uns des autres, le logiciel malveillant qui n'a pas encore été détecté par un développeur de logiciels anti-virus peut être détecté par un autre développeur et des signatures de l'entreprise et des signatures peuvent déjà être créés sur une menace détectée.

Pour mettre en œuvre un tel schéma, une station de travail virtuelle a été créée, sur laquelle la combinaison de Security de Security Security Security Security de médecin a été installée, qui a un certificat de conformité de la FSTEC de Russie n ° 2446, valable jusqu'au 20 septembre 2017. Tous les fichiers que les employés de banque sont chargés au cours de leur travail sur cette station et sont vérifiés par antivirus. En cas de détection de logiciels malveillants, l'antivirus envoie une lettre aux employés du service de la sécurité de l'information avec le nom de la menace et la manière dont le fichier infecté est stocké. Les employés du département de la sécurité de l'information font des mesures pour supprimer les logiciels malveillants. Si les utilisateurs chargés par les utilisateurs sont testés par le logiciel anti-virus, l'utilisateur qui a téléchargé le fichier est une application au service de sécurité de l'information et aux employés du département supprime le fichier téléchargé à l'utilisateur.

En outre, un grand nombre de logiciels malveillants appartient aux employés de la banque par courrier électronique. Il peut être à la fois des virus de cryptage conventionnels et des logiciels malveillants, permettant aux intrus de pénétrer dans l'ordinateur infectif de l'employé de la banque à l'aide d'une connexion distante.

Pour minimiser les risques de telles menaces pour le serveur de messagerie de la Banque, le logiciel anti-virus de clamaw a été installé, conçu pour protéger les serveurs de messagerie.

Pour protéger contre l'accès non autorisé d'intrus internes, de quelque manière que ce soit qui a appris le mot de passe de l'utilisateur d'une station locale, qui a accès à des systèmes d'information de données personnelles, vous devez installer des utilisateurs à travailler avec des systèmes d'information de données personnelles au système de protection du système à partir de non autorisés. accès.

.

La formation des employés de la banque est effectuée par un spécialiste du service de la sécurité de l'information.

L'employé du département de la sécurité de l'information organise une formation dans un certain plan de la division de la Banque. Après l'obtention du diplôme, les employés du ministère subissent des tests dans lesquels ils confirment les connaissances acquises sur l'apprentissage.

La politique de sécurité de base est régie par l'apprentissage dans chaque unité au moins quatre fois par an.

Également parallèlement à la formation des employés, les employés du département de la sécurité de l'information sont obligés au moins une fois par mois d'envoyer des lettres d'information à tous les employés, qui décrivent les règles de sécurité de base, de nouvelles menaces pour la sécurité des informations de la Banque, si cela est trouvé.

2.3.2 Procédure d'accès des employés pour les ressources Internet

3 groupes de groupes d'accès à Internet ont été créés à la banque, mais une telle séparation de l'accès est inefficace, puisqu'un employé a la nécessité de remplir ses fonctions officielles, la nécessité d'obtenir des informations de la ressource réseau incluse dans le groupe d'accès complet, Il devra ensuite donner un accès complet à Internet dangereux.

Groupe 6: Téléchargement des archives - Le groupe ne fournit aucun accès aux ressources Internet;

Groupe 7: Télécharger des fichiers exécutables - le groupe ne fournit aucun accès aux ressources Internet;

Groupe 8: Accès complet à Internet - Accès complet aux ressources Internet, téléchargez tous les fichiers.

Pour accéder aux ressources Internet, un employé crée une demande via le système ServiceDesk et après approbation par le responsable de la tête ou de la gestion et un agent de sécurité de l'information, un employé est fourni avec accès aux ressources Internet en fonction du groupe demandé.

2.3.3 Procédures d'accès des employés pour les ressources Intrabank

Les documents de base sur les travaux de l'employé sont sur un lieu de travail local ou dans le système automatisé dans lequel cela fonctionne. En outre, chaque division bancaire du serveur de fichiers bancaires a une section dans laquelle les informations nécessaires par plusieurs employés de l'unité et qui sont grandes pour la transmission par courrier électronique de la banque.

Lorsqu'un nouvel employé est organisé pour travailler à la banque, son dirigeant direct envoie une demande via le système ServiceDesk au service de l'administration du système afin de donner accès à la ressource intrabank et après approbation de la demande par un agent de sécurité de l'information, un employé du Le service de l'administration système ouvre un nouvel accès aux employés à la ressource demandée.

Il existe souvent des situations dans lesquelles le travail de plusieurs divisions de la banque intersecte et d'échanger des informations ces divisions ont besoin d'une séparée sur le serveur de fichiers bancaires.

Pour créer cette section, le chef de projet, responsable de l'un des ministères impliqués dans le projet sur le projet crée une demande via le système ServiceDesk pour créer une ressource partagée et un accès à cette ressource de certains employés de ses unités travaillant sur un joint projet et la tête de l'unité avec laquelle le projet coopère dans le cadre du projet. Après approbation par un employé du service de l'information, un employé du département de l'administration du système crée la ressource demandée et donne accès aux employés déclarés. Chaque chef de la division participant au projet demande uniquement à ces employés en subordination.

2.3.4 Fonctionnement des employés avec courrier électronique

Auparavant, avant de créer une politique de sécurité de base, chaque employé a lui-même déterminé le degré de danger de lettres et de fichiers fournis avec courrier électronique à partir de serveurs de messagerie externes.

Après avoir créé une stratégie de sécurité de base, chaque utilisateur est chargé de chaque fichier reçu par e-mail à partir de serveurs de messagerie externes à envoyer au service de la sécurité de l'information pour le vérifier pour les logiciels malveillants, le degré de danger de lettres détermine de manière autonome. Si l'employé de la banque soupçonne qu'il y a un spam ou un phishing dans le message entrant, il est obligé d'envoyer une lettre complètement, c'est-à-dire contenant toutes les informations de service sur l'expéditeur, sa boîte aux lettres et son adresse IP, au service de la sécurité de l'information. Après avoir analysé une lettre suspecte et, lors de la confirmation de la menace de cette lettre, l'envoi de la sécurité des informations envoie l'adresse de l'expéditeur de la lettre au service de l'administration du système et que l'employé du département de l'administration du système entre dans l'adresse de l'expéditeur de la lettre. à la liste noire.

Bloquez toujours le lieu de travail lorsque vous le pèse.

2.3.6 Règles d'accès des employés pour les données personnelles

Selon l'article 89 du chapitre 14 du Code du travail de la Fédération de Russie, l'employé de la Banque a le droit d'accéder à ses données à caractère personnel, mais il est autorisé à traiter des données à caractère personnel d'autres employés de la banque ou des clients de la banque uniquement pour remplir leurs fonctions officielles.

Pour assurer le contrôle de l'accès dans les systèmes d'information des données à caractère personnel, les règles suivantes pour accéder aux systèmes d'information des données à caractère personnel sont installées dans la banque:

Seuls les employés dont les tâches comprennent le traitement des données personnelles ont accès à Dodge;

L'accès à la maison n'est autorisé que du lieu de travail local de l'employé travaillant avec des données personnelles;

Un document a été créé dans la banque qui détermine les employés personnels autorisés à accéder aux données personnelles des employés et des clients de la banque avec une indication du système d'information de données à caractère personnel et une liste de données personnelles autorisées par l'employé.

3. Justification économique du projet

Pour mettre en œuvre le système de protection des données personnelles, il est nécessaire d'acheter:

Équipement pour protéger le réseau de la banque;

Protection des informations matérielles;

Logiciel de sécurité de l'information.

Pour reconstruire le réseau de l'organisation, il est nécessaire d'acheter des commutateurs Cisco Catalyst 2960 dans le montant de 3 copies. Un commutateur est nécessaire pour travailler au niveau de base de la banque, 2 autres pour travailler au niveau de la distribution. L'équipement de réseau travaillé dans une banque avant la restructuration sera également impliqué.

Coût total (frottement) 9389159 613

Médecin Web Enterprise Suit15005500

Coût total1 371 615

Conclusion

Dans son projet de remise des diplômes, j'ai examiné le cadre réglementaire pour la protection des données à caractère personnel. J'ai examiné les principales sources de menaces de sécurité des données à caractère personnel.

Sur la base des menaces destinées aux menaces de personnalisation, j'ai analysé le système de protection des données personnelles existant dans PJSC "Citibank" et est venu à la conclusion qu'elle a besoin d'un raffinement sérieux.

Au cours du projet de graduation, des faiblesses ont été trouvées dans le réseau local de la banque. Compte tenu des points faibles détectés dans le réseau local de la Banque, des mesures sont déterminées à minimiser les risques de sécurité de l'information du réseau de la Banque.

Également discuté et des appareils sélectionnés et des logiciels pour protéger les lieux de travail locaux d'employés de traitement des données personnelles des employés et des clients de la banque.

Avec ma participation, un système de sensibilisation aux employés de la sécurité de l'information a été créé.

L'ordre d'accès des employés bancaires à Internet a été profondément retravaillé, le groupe d'accès Internet a été repensé. De nouveaux groupes d'accès à Internet vous permettent de minimiser considérablement les risques de sécurité des informations en raison des utilisateurs limités de téléchargement de fichiers, entrez des ressources incroyables.

Les calculs reçoivent le coût de la reconstruction du réseau et la création d'un système viable pour protéger les données personnelles capables de refléter la plupart des menaces de sécurité de l'information.

Liste des littérature d'occasion

1. "Constitution de la Fédération de Russie" (adoptée par un vote national 12.12.1993) (en tenant compte des modifications apportées par les lois de la Fédération de Russie sur les amendements à la Constitution de la Fédération de Russie du 30.12.2008 N 6-FKZ , à partir du 30.12.2008 N 7-FKZ, à partir du 05.02.2014 N 2-FCZ, du 07.21.2014 N 11-FKZ) // Le texte officiel de la Constitution de la Fédération de Russie avec modifié 21.07.2014 publié sur l'Internet officiel portail d'informations légales http://www.pravo.gov.ru, 08/01/2014

2. "Modèle de base de la menace pour la sécurité des données à caractère personnel lors du traitement des systèmes d'information de données personnelles" (extrait) (approuvé. Fstec RF 15.02.2008)

DROITE 3. DROIT DEFÉRÉAL DE 27 JUILLET 2006 N 149-FZ (ed. Daté du 06.07.2016) "Sur l'information, les technologies de l'information et la protection de l'information" // sous cette forme, le document n'a pas été publié. Le texte de série du document est publié dans la Gazette russe, N 165, 29.07.2006

4. "Code du travail de la Fédération de Russie" datée du 30 décembre 2001 N7 197-FZ (ed. 0,07.2016) (avec modifié et add., Entrée du 10.10.2016) // Dans ce formulaire, le document n'a pas été publié. , le texte initial du document est publié dans la Gazeta russe, N 256, 12/31/2001

5. Recommandation du gouvernement de la Fédération de Russie du 01.11.2012 N 1119 "sur l'approbation des exigences relatives à la protection des données à caractère personnel lors du traitement des systèmes d'information de données personnelles" // "russe Gazeta", n 256, 07.11.2012

6. FSTEC de la Russie datée du 18.02.2013 N ° 21 "sur l'approbation de la composition et de la maintenance des mesures d'organisation et techniques visant à assurer la sécurité des données à caractère personnel lors du traitement des systèmes d'information de données à caractère personnel" (enregistré au ministère de la Justice de la Russie 05/14/2013 N 28375) // "Journal russe", N 107, 05/22/2013

7. «Banque standard de la Russie» assurant la sécurité des informations des organisations du système bancaire de la Fédération de Russie. Dispositions générales "STR BR IBBS-1.0-2014" (adoptée et mise en œuvre par l'Ordre de la Banque de Russie datée du 17.05.2014 N R-399) // "Bulletin de la Banque de Russie", N 48-49, 05/30/2014

8. «Règlement sur les exigences relatives à la protection des informations dans la mise en œuvre des transferts de trésorerie et sur la procédure de mise en œuvre par la Banque de la Russie contrôler le respect des exigences de protection des informations dans la mise en œuvre des transferts de trésorerie» (approuvé. Banque de Russie 09.06.2012 N 382-P) (Du 14.08.2014) (enregistré au ministère de la Justice de la Russie 14.06.2012 N 24575) // Dans ce formulaire, le document n'a pas été publié, le texte initial de Le document a été publié dans le "Bulletin de la Banque de Russie", N 32, 22.06.2012

9. «Règlement sur la procédure de soumission des établissements de crédit à un ensemble d'informations autorisées prévu par la loi fédérale» sur la législation de la légalisation des revenus reçus par des moyens criminels et le financement du terrorisme »(approuvé par la Banque de Russie 29.08. 2008 N 321-P) (édité du 15.10.2015) (ainsi que l'ordre de sécurité de l'information dans la réception de la transmission de l'OES "," Règles pour la formation de l'OES et remplissant des champs individuels des enregistrements d'OES " ) (Enregistré au ministère de la Justice de la Russie 16.09.2008 N 12296) // Dans ce formulaire, le document est publié, le texte initial du document a été publié dans le "Bulletin de la Banque de Russie", N 54 , 26.09.2008

10. Héritage de la FSTEC de la Russie du 18.02.2013 N ° 21 "sur l'approbation de la composition et du contenu des mesures d'organisation et techniques visant à assurer la sécurité des données à caractère personnel lors du traitement des systèmes d'information des données à caractère personnel" (enregistré au ministère de la Justice de Russie 05/14/2013 N 28375) // "Journal russe", N 107, 05/22/2013

11. Averchenkov V.I., Ryt M.yu., Gainsulin T.R. Protection des données personnelles dans les organisations. M.: Flint, 2018

12.Agapov A. B. Les fondements de l'administration publique dans le domaine de l'informatisation de la Fédération de Russie. M.: Avocat, 2012

13.Phings A. A. A. A. A. A., Latyshev D. M. M., Moldavie A. Complexes logiciels de la série Aura pour protéger les systèmes d'information de données personnelles // IZV. les universités. fabrication d'instruments. 2012. T. 55, № 11

14. Moldavyan A. A. Cryptographie Pour protéger les informations sur l'ordinateur (partie 1) // Integral. 2014. № 4 (18)

15.RODANOV O.A., Babin S.A., Zhdanov S.G. Soutien organisationnel de la sécurité de l'information. - M.: Academy, 2016

16. Shultz v.l. Rudchenko A.D., Yurchenko A.V. Sécurité des activités commerciales. M .: maison d'édition "yourait", 2017

Applications (il y a une archive avec le travail).