Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку

 Захист даних у системі базується на використанні криптографічних методів при їх обробці, зберіганні та передаванні і передбачає розмежування доступу до інформації службових осіб.

 Криптографічні методи захисту інформації гарантують незмінність її змісту та обмеження доступу до неї.

 При захисті даних використовується також ключова система, яка передбачає наявність і використання системних і банківських ключів. Банки-учасники генерують свої ключі, самостійно застосовуючи модулі безпеки, які встановлюються під час запуску АКС.

 У картках записують відразу кілька версій ключів (системних та банківських). Картка і система можуть переходити на іншу (старшу) версію ключів у плановому або позаплановому порядку.

 Згідно « Положення про захист інформації в Національній системі масових карткових електронних платежів» [ ] в внутрішній картковій платіжній системи АКБ «Промінвестбанк» ВСКП застосовані основні принципи побудови захисту інформації :

 1. Система захисту ВСКП «ПРОМІНВЕСТ» складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту інформації в ВСКП «ПРОМІНВЕСТ».

 2. Питання захисту інформації в ВСКП «ПРОМІНВЕСТ» розглядаються на всіх етапах розроблення, впровадження та експлуатації програмно-техніч-ного забезпечення ВСКП «ПРОМІНВЕСТ» і включають чіткий розподіл відпо-відальності на кожному етапі підготовки, оброблення та виконання електрон-них банківських документів на всіх рівнях.

 4. Частина інформації, що використовується та обробляється в ВСКП «ПРОМІНВЕСТ», відповідно до статті 61 Закону України "Про банки і банківську діяльність" є "банківською таємницею".

 5. Основною метою криптографічного захисту інформації в ВСКП «ПРОМІНВЕСТ» є забезпечення конфіденційності та цілісності (захисту від несанкціонованої модифікації) електронної інформації, а також суворої автентифікації всіх учасників платіжних операцій, підготовки та оброблення електронних документів.

 6. Для забезпечення захисту інформації від модифікації система захисту ВСКП «ПРОМІНВЕСТ» включає механізми формування/перевірки МАС на базі симетричного алгоритму DES із застосуванням режиму використання унікального сесійного ключа для кожного повідомлення.

 7. Для забезпечення конфіденційності інформації, що циркулює в ВСКП «ПРОМІНВЕСТ», усі інформаційні пакети (телеграми), що містять конфідент-ційну інформацію, шифруються за допомогою симетричного алгоритму TDES із застосуванням того самого режиму використання сесійного ключа.

 8. Для шифрування та обчислення МАС використовується програмно-апаратний модуль безпеки серверів ВСКП «ПРОМІНВЕСТ» та самі смарт-картки (як службові, так і платіжні).

 9. Використання стандартизованих криптографічних алгоритмів у системі захисту інформації ВСКП «ПРОМІНВЕСТ», реалізованих апаратно, гарантує задану криптостійкість. Ключі, які використовуються для захисту інформації ВСКП «ПРОМІНВЕСТ», зберігаються в картках та МБ ВСКП «ПРОМІН-ВЕСТ», із гарантією їх захищеності.

 10. За своїм функціональним призначенням та місцем використання всі ключі ВСКП «ПРОМІНВЕСТ» можна розбити на три різні типи: транспортні, системні та банківські ключі.

 Побудову транспортних та системних ключів виконує управління захисту інформації Промінвестбанку. Побудову банківських ключів виконують банки-учасники та/або БПЦ ВСКП «ПРОМІНВЕСТ» за допомогою спеціального програмного забезпечення БЦГКІ, яке надається управлінням захисту інформації Промінвестбанку.

 11. Для підвищення рівня захищеності ВСКП «ПРОМІНВЕСТ» відповідно до регламенту ВСКП «ПРОМІНВЕСТ» та/або за рішенням Платіжної організації ВСКП «ПРОМІНВЕСТ» здійснюється перехід на нові версії системних та банківських ключів. Періодичність зміни версії системних ключів - не рідше одного разу на рік.

 12. Транспортні ключі генеруються системним ЦГКІ окремо для кожного учасника ВСКП «ПРОМІНВЕСТ» та використовуються для безпечного транспортування апаратно-програмних засобів захисту інформації карткової системи (модулі безпеки, платіжні та службові картки) від одного до іншого учасника ВСКП «ПРОМІНВЕСТ» відповідно до технології ВСКП «ПРОМІНВЕСТ».

 13. Системні ключі є єдиними ключами для всієї емітентної ВСКП «ПРОМІНВЕСТ».

 14. Банківські ключі генеруються окремо кожною філією-учасником та/або БПЦ ВСКП «ПРОМІНВЕСТ» та використовуються лише в межах цього учасника. Одразу після генерації офіцер безпеки АКС відповідно до Керівництва користувача програмно-апаратного комплексу банківського центру генерації ключової інформації (версія 2.01) повинен створити архіви криптопакетів банківських ключів та передати їх із забезпеченням захисту від компрометації для зберігання в управління захисту інформації Промінвестбанку.

 15. Криптографічний захист електронних документів членами/учасни-ками ВСКП «ПРОМІНВЕСТ», які обслуговують АКС, виконується за допо-могою таких засобів криптозахисту:

 а) для обміну інформацією з іншими членами та учасниками ВСКП «ПРОМІНВЕСТ» - системний МБ СА ВСКП «ПРОМІНВЕСТ»;

 б) для обміну інформацією всередині АКС (ПЦ) ВСКП «ПРОМІНВЕСТ»:

 - МБ серверів ВСКП «ПРОМІНВЕСТ»;

 - платіжна та/або службова смарт-картки ВСКП «ПРОМІНВЕСТ»;

 програмне забезпечення БЦГКІ, яке:

 - генерує систему банківських ключів;

 - персоналізує технологічні банківські МБ;

 - розсилає в захищеному вигляді банківські ключі в БЦГКІ та на технологічні банківські МБ;

 в) для обміну інформацією між АКС та САБ філії-учасника:

 - засоби електронного цифрового підпису, які надаються управлінням захисту інформації Промінвестбанку для захисту інформації і використовуються в системі електронних платежів та інших інформаційних задачах Промінвестбанку.

2.7 Структура та захист інформаційних потоків в телекомунікаційній системі віддаленого управління рахунками клієнтів «Клієнт-Банк», «Інтернет- Банкінг»

Електронна система передавання документів «Клієнт — банк» призначена для того, аби віддалені клієнти банку — користувачі цієї системи мали змогу отримувати банківські послуги через канали зв’язку.

 Такі системи називають ще системами електронних платежів «Клієнт/Офіс — Банк» — СЕПКОБ. Така система не підмінює, а лише доповнює традиційну систему платежів електронною безпаперовою технологією обміну платіжними документами та інформацією між клієнтом і банком. За допомогою зазначеної системи клієнт банку заповнює платіжний документ на комп’ютері у своєму офісі, а програмне забезпечення системи надсилає його до банку, де цей документ далі обробляють відповідні елементи системи. Отже, СЕПКОБ — це система передавання даних, яка замінює такі традиційні засоби зв’язку, як пошта, телеграф, телекс, даючи клієнтові змогу скористатися потрібною послугою, не відвідуючи операційного залу банку. При цьому зв’язок здійснюється, як правило, по існуючих некомутованих телефонних каналах.

 Робота в СЕПКОБ надає клієнтові чимало переваг порівняно з традиційною технологією платежів.

 По-перше, кожний клієнт може зі свого офісу за допомогою комп’ютера керувати власним розрахунковим рахунком. Більш того, якщо він має портативний комп’ютер, то може скористатися такою послугою не лише з офісу.

 По-друге, обслуговування клієнтів здійснюється цілодобово.

 По-третє, скорочуються операційні витрати порівняно з телеграфним або телексним зв’язком, дешевшими стають підготовка й оформлення платіжних документів.

 І нарешті, по-четверте, існує можливість безпосередньої взаємодії СЕПКОБ з АІС клієнта і організації безпаперової обробки даних при розв’язуванні її задач.

 За спостереженнями спеціалістів, активне підприємство звертається в банк до 15 раз за операційний день, на що витрачається до трьох годин робочого часу. Система «Клієнт — банк» дозволяє зекономити і час і гроші.

 Доцільність використання системи для клієнта пов’язана також з проблемою визначення часу виникнення податкових зобов’язань при оплаті або отриманні коштів.

 Підвищується також загальний рівень культури роботи клієнта, оскільки йому немає тепер потреби возити платіжні доручення до операційного залу банку. Усі операції виконуються на робочому місці в офісі клієнта.

 Клієнт отримує збільшення швидкості проводок грошей і отримання виписок по рахунках. Більше того, виникає можливість однієї людини працювати з декількома рахунками (субрахунками), які можуть знаходитися в різних кінцях країни.

 До інших переваг можна віднести зменшення кількості помилок під час вводу й підготовки фінансових документів і захист від типових банківських ризиків (помилкові направлення платежів, загублення документів, їх фальсифікація та спотворення тощо).

 Клієнт, працюючи в системі, може не лише відправляти платежі, а й користуватися іншими банківськими послугами (діставати інформацію про операції на своєму рахунку, про зміни його поточного стану протягом доби, курси валют тощо).

 У найзагальнішому вигляді система складається з двох головних структурних елементів. Перший елемент — автоматизоване робоче місце «клієнта» — АРМ_К — розташоване безпосередньо в клієнтів, які по каналах зв’язку обмінюються інформацією з банком. Другий елемент — АРМ «БАНК» — АРМ_Б — міститься в банку, що обслуговує клієнтів, котрі мають АРМ_К.

 АРМ_К працює в режимі реального часу і, як правило, ввімкнене в ЛОМ клієнта. Інтегруючись (на рівні обміну файлів платіжних та інших документів) із прикладними задачами автоматизованої інформаційної системи клієнта, АРМ_К може розглядатися і як її елемент.

 АРМ «БАНК» призначений для обробки пакетів платіжних документів, запитів та інших повідомлень клієнтів, які є учасниками СЕПКОБ. Він інформаційно взаємодіє (на рівні обміну даними) з ПТК ОДБ банку.

 СЕПКОБ працює в режимі електронної пошти, і в разі великого числа клієнтів з АРМ_К (понад 10) до її складу включають додатковий структурний елемент «концентратор повідомлень» клієнтів (КПК). Він, розвантажуючи АРМ_Б, забезпечує ідентифікацію, приймання, передавання й перевірку повідомлень від клієнтів, концентрацію та передавання таких повідомлень. На КПК формуються пакети документів як для передавання й обробки на АРМ_Б, так і для АРМ_К.

 Основне технічне забезпечення АРМ_К і АРМ_Б таке: комп’ютер, модеми і засоби ідентифікації користувача. Технічне забезпечення КПК додатково містить файл-сервер і поштовий сервер. Зв’язок КПК з АРМ_Б відбувається, як правило, по виділених лініях, а з АРМ_К — комутованих.

 В АРМ_К крім основних є сервісні операції, що призначені для зміни пароля, видачі довідок і т. ін. Технологія обробки платежів за допомогою СЕПКОБ передбачає поетапне виконання відповідних процесів.

 Етап підготовки оператором пакета ПД на АРМ_К і проставляння «електронного підпису» другої та першої осіб. Ця операція може здійснюватися або на комп’ютері оператора, якщо АРМ_К базується на окремому автономному ПК, або на відповідних РС, якщо АРМ_К працює в ЛОМ.

 Наступний етап технології полягає в автоматичному проставленні коду ідентифікації самого клієнта (код АРМ_К), формуванні пакета ПД, який далі відправляється по каналах зв’язку до банку або до концентратора повідомлень.

 Подальші дії виконуються в банку на АРМ_Б: розшифрову-

ється отриманий пакет ПД, автоматично перевіряється код ідентифікації АРМ_К і передається ПД до ОДБ тому операціоністу, який веде рахунок відповідного клієнта.

 Нарешті за допомогою АРМ_Б перевіряються в ПД підписи директора й головного бухгалтера, проставляється код операціоніста про прийняття документа в обробку. Заключні дії такі: перевіряється правильність коду операціоніста банку, проставляється код головного його технолога і виконується квитування (підтвердження оплати або відмова від неї) ПД з подальшим передаванням цієї інформації по всіх етапах аж до клієнта (АРМ_К).

 У банку обробка ПД супроводжується відповідними бухгалтерськими проведеннями. При потребі здійснюються міжбанківські платежі з використанням СЕП НБУ.

 Інформація в СЕПКОБ з метою її захисту передається лише в зашифрованому вигляді. Дані, які обробляються й передаються, захищені завдяки шифруванню та використанню системи паролів. Найчастіше пароль вибирає та встановлює сам клієнт, змінюючи його з часом. Пароль містить здебільшого від 1 до 10 символів (разом зі знаками псевдографіки). Якщо пароль загубиться, то його не можуть відновити навіть розробники системи та обслуговуючий персонал, тобто це загрожує блокуванням доступу до всієї нагромадженої інформації.

 Для ідентифікації користувача застосовують системи запиту й перевірки введеного з клавіатури паролю, системи контролю «парольних», або «ключових», дискет, магнітних та інтелектуальних пластмасових карток.

 Захист інформації забезпечує й система накладання на ПД «електронного підпису» особами, які мають право розпоряджатися грошовими коштами. Це означає, що машинне зображення ПД доповнюється спеціальним набором символів, залежним як від особистого коду особи, котра має право на підпис, так і від змісту самого документа. Не підписані документи не можуть бути передані до банку, а із внесенням будь-яких змін до підписаного документа змінюється принаймні один електронний підпис на документі, що негайно виявляється системою.

 Система керування банківським рахунком через Інтернет ELPay (версія 2.0) - ЗАТ "Сайфер" являє собою якісно нове рішення в класі продуктів " Клієнт-Банк", націлених на надання послуг Банку выддаленому Клієнтові за допомогою мережі Інтернет. Клієнт Банку, використовуючи стандартний веб-браузер і традиційні способи виходу в Інтернет, одержує захищений доступ до свого рахунку в банку й можливість керування фінансами з будь-якої точки світу. Дана технологія має розповсюджену назву «Internet Banking» і дозволяє одержати нові принципові якості:

 - доступ Клієнта до свого рахунку за допомогою Інтернет з будь-якої крапки миру без використання спеціального програмного забезпечення;

 - оперативність відстеження стану свого рахунку й проведення операцій за рахунок онлайновой технології;

 - одержання інформації про стан рахунку й платіжних документів на мобільний телефон у вигляді SMS-Повідомлення або у вигляді листа по електронній пошті;

 - відсутність необхідності яких-небудь операцій по установці, настрою-ванню й модифікації програмного забезпечення в офісі в Клієнта.

 Структурна схема системи ELPay зображена на рис.2.23. Система скла-дається з наступних елементів:

 - сервісів, надаваних клієнтові: "Клієнт ELPay" і "Модуль SMS/ E-mail";

 - сервера додатків, розташованого в банку, що обробляє дані запитів клієнта й забезпечує взаємодію із Системою Автоматизації Банку (САБ);

 - сервера баз даних, який утримує дані про стан рахунків і платежів клієнтів, нормативно-довідкову й іншу інформацію.

 - АРМ Адміністратора, АРМ "Валюта" і API ELPay, розташованих на стороні банку й забезпечуючих оперативне керування системою й взаємодію інтерфейсного модуля з базою даних ELPay;

 - Карт-інтерфейсу, що забезпечує взаємодію із процесінговим центром у режимі on-line для платежів з карткового рахунку й актуалізації балансу платіж-ної картки, а також є файловим шлюзом для одержання виписок і документів виписок по карткових рахунках.

 Рис. 2.13. – Структурна схема інформаційних потоків в платіжно-інформаційній системі «Internet Banking»

Клієнт ELPay – це сервіс, розрахований на мобільного користувача, що з будь-якої точки підключення до Інтернет може управляти своїм рахунком. Для роботи сервісу використовується постійне з'єднання з Банком під час сеансу роботи. Спрощено технологію роботи даного сервісу можна описати в такий спосіб. Клієнт системи одержує доступ до свого рахунку за допомогою веб-браузера з будь-якого комп'ютера, що має доступ у мережу Internet. При цьому з веб-сервера на робочу станцію клієнта автоматично завантажується програмне забезпечення у вигляді апплета, реалізуючи технологію "тонкого клієнта". Апплет, завантажений з веб-сервера, забезпечує безпосередню (минаючи веб-сервер) взаємодію клієнта із серверами додатків і баз даних, що розтало-вуються в банку.

 У системі ELPay використовуються наступні методи захисту:

 цифровий підпис платіжного доручення (один або два підписи);

 шифрування даних на прикладному рівні, переданих на ділянці "клієнт-сервер додатків";

 аутентифікація при підключенні клієнта до сервера додатків;

 контроль цілісності й аутентифікації завантаженого клієнтові прог-рамного забезпечення.

 У системі використовуються сертифіковані кошти криптографічного захисту інформації "Шифр", зареєстровані 24.09.2007 р. у реєстрі Укрсепро №UA.1.112.0129807-07, що реалізують:

 шифрування на основі алгоритму криптографічного перетворення за ДСТУ 28147-89;

 процедури вироблення й перевірки електронного цифрового підпису на базі асиметричного криптографічного алгоритму ДЕРЖСТАНДАРТ 34.310-95;

 процедури хеширування інформації з ДЕРЖСТАНДАРТ 34.311-95;

 процедури генерації й керування ключами відповідно до затвердженого технічним завданням (UA/23154898/ 00001-01 90 01-ЛУ).

 При установці серверів ELPay у банку й підключенні сервера додатків до Інтернет найбільш важливим є визначення політикиі безпеки. Реалізація політи-ки безпеки дозволить уникнути можливих атак з Інтернет, що мають метою одержати доступ до конфіденційних даних або вивести з ладу інформаційні ресурси банку. При цьому особлива небезпека укладається в можливій атаці на інформаційні сервера автоматизованої банківської системи.

 Політика безпеки визначається для всіх мережних ресурсів банку, для яких можливе зіткнення з Інтернет. До їхнього числа ставляться (рис.2.24):

 1. Сегмент мережі із Системою Автоматизації Банку (САБ). Даний об'єкт політики безпеки є найбільш важливим, що не допускає ніяких вхідних мереж-них з'єднань, ініціалізованих поза сегментом САБ.

 2. Сервери ELPay (сервер додатків і сервер баз даних). Інформація, утримувана на цих серверах також вимагає відповідних технічних і організаційних заходів безпеки. Тут також неприпустимі ніякі вхідні з'єднання, крім передба-чених регламентом роботи сервера додатків.

 3. WEB-Сервер. Даний елемент містить завантажуєме клієнтові програмне забезпечення (ПО), що, у свою чергу критично до модифікації. Захист ПО від модифікації здійснюється незалежними від веб-сервера засобами, тому вимоги до рівня безпеки веб-сервера обумовлюють лише надійністю роботи самого сервера.

Рис. 2.14. Схема основних захищаємих елементів системи «Internet Banking»

Мережні сегменти в банку, відображені на рис.2.14, фізично розділяються з допомогою межмережевого екрана (Firewall) або розподільного маршрути за-тора. База правил доступу для кожного елемента системи створюється окремо.

 Таким чином, створюються наступні мережні зони:

 Найбільш захищений сегмент САБ, що включає сервер САБ, АРМ Адміністратора й Интерфейсный модуль із САБ;

 Сегмент ELPay, що включає Сервер Додатків і Сервер Баз Даних;

 Вільно доступний веб-сервер.

 На точці входу в систему з Internet перебуває межсетевой екран (firewall), що реалізує базу правил політики безпеки для кожного сегмента окремо.

 Для електронного цифрового підпису (ЕЦП) платіжних документів використовуються спеціальні асиметричні криптографічні алгоритми, засновані на використанні ключової пари: секретного й відкритого ключів. Секретний ключ використовується для підпису документа, а відповідний йому відкритий ключ - для перевірки підпису в банку.

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19