Ирина Эланс

Автор который поможет с любыми образовательными и учебными заданиями

Захист банківської установи

Зміст

Індивідуальне завдання
Коротка характеристика бази практики
Методика і результати виконання індивідуального завдання

Детальний опис об'єкту захисту i видів інформації, що опрацьовується i зберігається на об'єкті
Оцінка можливих каналів витоку інформації на об’єкті і їх опис. Створення моделі порушника
Перелік організаційних заходів на об’єкті
Перелік технічних заходів на об’єкті
Перелік організаційно-технічних заходів на об’єкті
Захист телефонних ліній
Екранування виділених приміщень

Висновок
Використана література

1. Індивідуальне завдання.

Побудова комплексної системи захисту об’єкту, на якому циркулює інформація з грифом «ДСК», з метою можливого вдосконалення існуючої системи захисту.

Повна характеристика об’єкту для якого потрібно побудувати СЗІ, повний перелік можливих каналів витоку інформації та пристрої через які можливе утворення даних каналів та розробка моделі порушника. Організаційні, технічні та організаційно-технічні заходи, що необхідно провести на об’єкті.

2. Коротка характеристика бази практики.

ЗАТ КБ "ПРИВАТБАНК" віднесений до 2-ї групи “Великі банки” за класифікацією Національного банку України, а за основними показниками діяльності входить до числа 40 найбільших українських банків.

Мережа ЗАТ КБ "ПРИВАТБАНК" охоплює більшість областей України та Автономну Республіку Крим. Крім того, Банк активно розвиває свій картковий бізнес та встановив понад 400 власних банкоматів. Здійснюючи свою діяльність на території 22 областей України та м. Києва, ПРИВАТБАНК в той же час залишається регіональним лідером на території Львівської області та Західної України.

ЗАТ КБ "ПРИВАТБАНК" активно впроваджує нові банківські технології, європейські стандарти якості обслуговування клієнтів, розширює спектр фінансових послуг, динамічно реагує на ринкову кон'юнктуру та прагне налагодити довгострокові, взаємовигідні ділові відносини зі своїми клієнтами.

ЗАТ КБ "ПРИВАТБАНК" здійснює свою діяльність як універсальний комерційний банк відповідно до ліцензії Національного Банку України № 43 від 25.01.2010 р. та письмового Дозволу Національного банку України № 43-4 від 25.01.2010 року із додатком до нього.

На підставі ліцензії Банк здійснює такі банківські операції:

приймання вкладів (депозитів) від юридичних і фізичних осіб;
відкриття та ведення поточних рахунків клієнтів і банків-кореспондентів;
розміщення залучених коштів від свого імені, на власних умовах та на власний ризик;
надання гарантій і поручительств, які передбачають їх виконання у грошовій формі;
придбання права вимоги на виконання зобов'язань у грошовій формі за поставлені товари чи надані послуги (факторинг);
лізинг;
послуги з відповідального зберігання та надання в оренду сейфів для зберігання цінностей;
випуск, купівлю, продаж і обслуговування чеків, векселів та інших платіжних інструментів;
випуск банківських платіжних карток і здійснення операцій з використанням цих карток;
надання консультаційних та інформаційних послуг щодо банківських операцій.

На підставі письмового Дозволу да додатку до нього Банк здійснює такі операції:

операції з валютними цінностями ( у т.ч. операції з банківськими металами на валютному ринку України);
емісію власних цінних паперів;
організацію купівлі та продажу цінних паперів за дорученням клієнтів;
здійснення операцій на ринку цінних паперів від свого імені (включаючи андеррайтинг);
здійснення інвестицій у статутні фонди та акції інших юридичних осіб;
перевезення валютних цінностей та інкасацію коштів;
операції за дорученням клієнтів або від свого імені;
довірче управління коштами та цінними паперами за договорами з юридичними та фізичними особами;
депозитарну діяльність зберігача цінних паперів.

3. Методика і результати виконання індивідуального завдання.

3.1. Опис об’єкта і видів інформації, що опрацьовується і зберігається на об’єкті

Об’єкт, який розглядається в даній практичній роботі – банківська установа (ЗАТ КБ «ПРИВАТБАНК»), в якій циркулює конфіденційна та таємна інформація з грифом «ДСК». Він являє собою п’яти поверховий, залізобетонний будинок, що стоїть окремо від інших будівель, з розроблюваною СЗІ.

Об’єкт захисту знаходиться на першому поверсі залізобетонного будинку, на якому знаходиться сім ПЕОМ, на яких циркулює таємна інформація, сервер, телефонні апарати, встановлена пожежна та охоронна сигналізації, циркулює конфіденційна мовна інформація, що підлягає захисту, також в межах кімнати зберігаються та обробляються таємні документи.

Розміщення будівлі є не зовсім сприятливим, оскільки вона не є відокремленною від контрольованої зони та поблизу розташована досить значна кількість житлових будівель. Але оскільки на об’єкті циркулює інформація, що становить банківську таємницю, відомості про клієнта та номери рахунків, існує велика ймовірність витоку таємної інформації. Інформація на об’єкті перебуває в текстовому та цифровому вигляді, а отже, потрібно проаналізувати можливі канали витоку та блокувати їх, або зменшити рівень небезпечного сигналу за межами контрольованої зони до рівня, при якому неможливо відтворити інформативний сигнал засобами технічної розвідки.

3.2. Оцінка можливих каналів витоку інформації на об’єкті і їх опис. Створення моделі порушника та схеми системи захисту інформації на об’єкті.

Канал витоку інформації - потенційні напрями несанкціонованого доступу до інформації, обумовлені архітектурою, технологічними схемами електронно-обчислювальної техніки, а також невиконанням організаційно-режимних заходів.

Основними вірогідними каналами витоку інформації, а саме комерційної/банківської таємниці є:

персонал банку;
відвідувачі;
партнери по спільній діяльності;
незахищені лінії зв’язку, ПК, мережі ЕОМ;
реклама, виставки, наради;
охорона;
погана організація обліку, зберігання та проходження документів, макетів та інших носіїв інформації.

Крім того, необхідно враховувати наявність додаткових каналів витоку інформації (комерційної/банківської таємниці), таких як:

участь в переговорах;
фіктивні запити про можливість працювати на різних посадах;
екскурсії та відвідування фірми (банка);
повідомлення торгівельних представників фірми (банка) про характеристики виробів (банківських продуктів);
надмірна реклама;
консультації фахівців, які отримують допуск до установок і документів фірми (банка);
наради, конференції, симпозіуми і т.д.;
розмови в неробочи приміщеннях;
«скривджені» співробітники фірми (банка).

Виходячи з цього, службі безпеки, при організації захисту інформації (комерційної/банківської таємниці) та розробці програми слід враховувати наступні можливі методи та способи збору інформації конкурентами:

опит співробітників банку при особистих зустрічах;
нав’язування дискусій по проблемах, які цікавлять;
розсилку в адреси банків і окремих фахівців запитальників і анкет;
ведення приватного листування з фахівцями наукових і учбових центрів.

Найбільш вірогідне використання наступних способі добування інформації:

візуальне спостереження;
підслуховування;
технічне спостереження;
прямий опит, вивідування;
ознайомлення з матеріалами, документами, виробами і т.д.;
збирання відкритих документів та інших джерел інформації;
вивчення безлічі джерел інформації, які по часткам містять необхідні відомості;
збирання інформації шляхом шантажу працівників, які мають доступ до комерційної/банківської таємниці.

Розрізняють електромагнітні, оптико-електронні, оптичні та акустичні канали витоку інформації.

До електромагнітних каналів витоку інформації належить перехоплення ПЕМВ (побічних електро-магнітних випромінювань) елементів ТЗПІ (технічних засобів передачі інформації) за допомогою засобів радіо-технічної розвідки.

Акустичний канал витоку інформації - фізичний шлях від джерела акустичних сигналів (людина, техніка) до зловмисника за рахунок механічних коливань середовища розповсюдження (повітря, жорсткі середовища, вода, рідини.

Оптико-електронний канал витоку інформації утворюється при опроміненні лазерним променем вібруючих в акустичному полі тонких поверхонь, які відбивають цей промінь (віконне скло, скло картини, дзеркало).

В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього об’єкта.

Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз. При наступному уточненні можливих загроз, головну увагу потрібно концентрувати на інформаційних сигналах та полях, середовищі їх поширення та засобах їх обробки. Тому перелік можливих загроз інформаційним ресурсам та засобам їх обробки визначається виходячи із можливих шляхів утворення каналів витоку інформації та можливих випадкових, а також навмисних впливів на інформаційні системи.

технічними каналами, що включають канали побічних електромагнітних випромінювань і наводів, акустичні, оптичні, радіотехнічні, хімічні та інші канали;
каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів;
внаслідок різноманітних впливів природного походження (природні катастрофи, кліматичні умови);
випадкових чи навмисних впливів техногенного походження.

Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.

На об’єкті можуть бути такі загрози витоку інформації:

Телефонні апарати:

випромінювання електромагнітних сигналів, які можуть перехоплюватись випадковими антенами (кабелі пожежної сигналізації, охоронної сигналізації,лінії електроживлення), які знаходяться у приміщенні разом з телефоном;
властивості елементів конструкції апаратів перетворювати акустичні сигнали в електромагнітні як мовного (мікрофонний ефект) так і радіодіапазону (автогенерація), які можуть бути перехоплені сторонніми особами;
випромінювання акустичних сигналів, які можуть підслуховувати сторонні особи.

Комп`ютери:

візуальне спостереження сторонніми особами за зображення на моніторі;
випромінювання електромагнітних сигналів, які можуть перехоплюватись проводами або кабелями, які проходять поруч (кабелі пожежної сигналізації, охоронної сигналізації);
несанкціонований доступ до накопичувачів комп`ютера шляхом доступу посторонніх осіб з мережі Internet;
несанкціонований доступ до накопичувачів комп`ютера сторонніх осіб, які знаходяться у приміщенні, де розташований комп`ютер.

Кабелі телефонного зв’язку:

наведення на технічні засоби, інші проводи та кабелі, які розміщені на відстанях, менш критичних;
безпосереднього гальванічного підключення;
безконтактного знімання інформації (тобто випромінювання електроагнітних сигналів самим кабелем, проводом).

Лінії мережі електроживлення:

нерівномірності споживання току пристроями, які приймають участь в обробці інформації;
передача небезпечних інформаційних сигналів лініями електроживлення, які мають вихід за межі контрольованої зони.

Лінії пожежної сигналізації:

Використання лінії як антени для перехоплення ПЕМВ
Використання лінії як антени для передачі сигналу з радіо-закладок

Побудова моделі порушника

Порушником може бути будь-хто з технічного персоналу, який обслуговує будови та приміщення (електрики, сантехніки, прибиральники тощо), в яких розташовані компоненти АС.

Мотив порушення:

Безвідповідальність;
Корисливий інтерес.

Основні кваліфікаційні ознаки порушника:

Знає функціональні особливості системи, основні закономірності формування масивів даних та потоків запитів до них, має навички щодо користування штатними засобами системи.

Характеристика можливостей порушника:

Використовує лише штатні засоби та недоліки системи захисту для її подолання (несанкціоновані дії з використанням дозволених засобів), а також компактні магнітні носії інформації, які можуть бути приховано пронесено крізь охорону.

Характеристика місця дії порушника:

З доступом до зони даних (баз даних, архівів й т.ін.);
З доступом у зону керування засобами забезпечення безпеки АС.

3.3. Перелік організаційних заходів на об’єкті

Організаційні заходи ЗІ – комплекс адміністративних та обмежувальних заходів, спрямованих на оперативне вирішення задач захисту шляхом регламентації діяльності персоналу і порядку функціонування систем забезпечення інформаційної діяльності та систем забезпечення ТЗІ.

Організаційні заходи:

Використання на об’єкті сертифікованих ТЗПІ та ДТЗС.
Залучення до проведення робіт із ЗІ організацій, що мають ліцензію на діяльність в області ЗІ, видану відповідними органами.
Розробка документів (інструкцій, методик і правил) захисту інформації з ОД.
Розгляд результатів виконання затверджених заходів та робіт з ЗІ.
Організацію контролю і обмеження доступу на об’єкті та у виділених приміщеннях.

Анліз забезпечення захисту економічнох безпеки:

вивчення та оцінка фактичного стану економічної безпеки;
виявлення недоліків і порушень режиму, які можуть привести до втрати фізичних носіїв конфіденційної інформації або її розголошення;
встановлення причин та умов виявлених недоліків та порушень;
вироблення пропозицій, направлених на усунення недоліків і запобігання порушенням.

Об’єктами контролю та аналізу залежно від поставлених завдань можуть бути:

дотримання норм, правил зберігання та охорони в приміщеннях, спецсховищах, на робочих місцях носіїв;
ведення обліку та забезпечення особистої відповідальності за виконання даної функції;
дотримання порядку зберігання та знищення засекречених відомостей;
дотримання вимог порядку поводження з носіями, що містять конфіденційну інформацію (комерційну/банківську таємницю);
заходи по запобіганню несанкціонованому винесенню носіїв комерційної/банківської таємниці за територію банку;
організація доступу відряджених та запрошених осіб, до інформації банку;
рівень знання вимог режиму особами, що допущенні до роботи з документами, які становлять комерційну/банківську таємницю;
ступінь забезпеченості надійними сховищами, замикаючими пристроями, засобами опечатання;
механізм розподілу носіїв комерційної/банківської таємниці за рівнями виконання та управління;
обґрунтованість доступу до різних видів носіїв конкретних груп співробітників;
порядок користування засобами отримання, обробки, зберігання, відображення, передачі інформації.

3.4. Перелік технічних заходів на об’єкті

Технічні заходи - це заходи щодо ЗІ, що передбачають застосування спеціальних технічних засобів і реалізацію технічних рішень.

Технічні заходи спрямовані на закриття каналів витоку інформації, шляхом ослаблення рівня інформаційних сигналів або зменшення відношення сигнал/шум в місцях можливого розташування портативних засобів розвідки чи інших датчиків до величин, що забезпечують неможливість виділення інформаційного сигналу засобами розвідки і приводиться з використанням пасивних і активних засобів ЗІ.

Пасивні засоби:

встановлення автономних джерел електроживлення ТЗПІ;
встановлення в колах електроживлення ТЗПІ, а також у лініях освітлювальної і розеткової мереж виділених приміщень звукопоглинаючих фільтрів типу ФП;
встановлення на обєкті ТЗПІ у виділених приміщеннях технічних засобів і систем обмеження і контролю доступу.

Активні засоби:

Лінійне зашумлення ліній електроживлення.
Зищення закладних пристрїв, підключених до лінії, з використанням спеціальних генераторів імпульсів.

Функціонування будь-якого технічного засобу інформації пов’язано із протіканням по його струмопровідним елементам електричних струмів різних частот і утворенням різниці потенціалів між різними точками його електричної схеми, що породжують магнітні й електричні поля, які називаються побічними електромагнітними випромінюваннями.

Ефективним методом зниження рівня ПЕМВ є екранування і заземлення їх джерел.

3.5. Перелік організаційно-технічних заходів на об’єкті

Організаційно-технічні засоби, якими унеможливлюється несанкціоноване перебування сторонніх осіб на території органу, щодо якого здійснюється ТЗІ: технічні засоби охорони та сигналізація, протипожежна система, відео нагляд та системи кодового входу.

Використання технічних засобів охорони повинно забезпечити:

своєчасну подачу сигналу тривоги у вартове приміщення;
при спробі порушників проникнути на охоронювану територію, у будинок чи приміщення із вказівкою місця, часу порушення (пожежі), а також напрямку руху порушника, включення сирени, дзвінків, гучномовного зв'язку з метою змусити порушника відмовитися від своїх намірів;
одержання достовірної інформації про стан охоронюваного об'єкта без виходу на місце особового складу охорони;
подачу сигналу при виникненні пожежі;
ведення охорони об'єкта мінімальною кількістю людей.

3.6. Захист телефонних ліній

При захисті телефонних ліній, як каналів просочування інформації необхідно враховувати наступне:

телефонні апарати (навіть при поставленій трубці) можуть бути використані для перехоплення акустичної (мовної) інформації з приміщень, в яких вони встановлені, тобто для підслуховування розмов в цих приміщеннях;
телефонні лінії, що проходять через приміщення, можуть використовуватися як джерела живлення акустичних закладок, встановлених в цих приміщеннях, а також для передачі перехопленої інформації;
можливе перехоплення (підслуховування) телефонних розмов шляхом гальванічного або через індукційний датчик підключення до телефонної лінії закладок (телефонних ретрансляторів), диктофонів і інших засобів несанкціонованого знімання інформації.

Телефонний апарат має декілька елементів, здатних перетворювати акустичні коливання в електричні сигнали (мікрофонний ефект). До них відносяться ланцюг дзвінка, телефонний і, звичайно, мікрофонний капсулі. За рахунок електроакустичних перетворень в цих елементах виникають інформаційні (небезпечні) сигнали. При поставленій трубці телефонний і мікрофонний капсулі гальванічно відключені від телефонної лінії і при підключенні до неї спеціальних високочутливих низькочастотних підсилювачів можливе перехоплення небезпечних сигналів, що виникають в елементах тільки ланцюга дзвінка. Амплітуда цих небезпечних сигналів, як правило, не перевищує декількох мВ.

При використовуванні для знімання інформації методу «високочастотного нав'язування», не дивлячись на гальванічне відключення мікрофону від телефонної лінії, сигнал нав'язування завдяки високій частоті проходить в мікрофонний ланцюг і модулюється по амплітуді інформаційним сигналом. Отже, в телефонному апараті необхідно захищати як ланцюг дзвінка, так і ланцюг мікрофону.

Для недопущення несанкціонованого використовування ТЛ застосовуються наступні технічні засоби (ТЗ):

застосування пасивних ТЗ захисту: сигналізаторів підключення, обриву ліні, лічильників часу розмови, у тому числі міжмістські;
застосування активних ТЗ захисту: пристрої захисту від паралельного підключення, що блокує вихід на міжмістські лінії, пристрої кодування доступу до телефонної лінії, пристрої активного маскування інформації і ін.

Пасивні ТЗ захисту телефонної лінії

До найпоширеніших пасивних методів захисти відносяться:

обмеження небезпечних сигналів;
фільтрація небезпечних сигналів;
відключення перетворювачів (джерел) небезпечних сигналів.

Обмеження небезпечних сигналів ґрунтується на нелінійних властивостях напівпровідникових елементів, головним чином діодів. В схемі обмежувача малих амплітуд використовуються два зустрічно-ввімкнених діоди. Діоди мають великий опір для струмів малої амплітуди і одиниці – для струмів великої амплітуди (корисних сигналів), що виключає проходження небезпечних сигналів малої амплітуди в телефонну лінію і практично не впливає на проходження через діоди корисних сигналів. Діодні обмежувачі включаються послідовно в лінію дзвінка.

Фільтрація небезпечних сигналів використовується головним чином для захисту телефонних апаратів від «високочастотного нав'язування».

Найпростішим фільтром є конденсатор, встановлюваний в ланцюг дзвінка телефонних апаратів з електромеханічним дзвінком і в мікрофонний ланцюг всіх апаратів. Місткість конденсаторів вибирається такої величини, щоб зашунтувати зондуючі сигнали високочастотного нав'язування і не робити істотного впливу на корисні сигнали. Звичайно для установки в ланцюг дзвінка використовуються конденсатори місткістю 1 мкФ, а для установки в мікрофонний ланцюг – місткістю 0,01 мкФ. Більш складний фільтруючий пристрій є багатоланковим фільтром низької частоти на LC-елементах.

Для захисту телефонних апаратів, як правило, використовуються пристрої, що поєднують фільтр і обмежувач.

Відключення телефонних апаратів від лінії при веденні в приміщенні конфіденційних розмов є найефективнішим методом захисту інформації.

Реалізація цього методу захисту полягає в установці в телефонній лінії спеціального пристрою захисту, автоматично (без участі оператора) відключаючий телефонний апарат від лінії при встановленій телефонній трубці.

В черговому режимі (при встановленій телефонній трубці) телефонний апарат відключений від лінії, і пристрій знаходиться в режимі аналізу підняття телефонної трубки і наявності сигналів виклику. При цьому опір розв'язки між телефонним апаратом і лінією АТС складає не менше 20 МОм. Напруга на виході пристрою в черговому прийомі складає 5…7В. При отриманні сигналів виклику пристрій переходить в режим передачі сигналів виклику, при якому через електронний комутатор телефонний апарат підключається до лінії. Підключення здійснюється тільки на час дії сигналів виклику. При піднятті телефонної трубки пристрій переходить в робочий режим і телефонний апарат підключається до лінії. Перехід пристрою з чергового в робочий режим здійснюється при струмі в телефонній лінії не менше 5 мА. Виріб встановлюється в розрив телефонної лінії, як правило, при виході її з виділеного (що захищається) приміщення або в розподільному щитку (кросі), що знаходиться в межах контрольованої зони.

Захист банківської установи 📙 Курсовая → 🆔 82068