Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку

ДИПЛОМНА РОБОТА

магістра

Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку

Дніпропетровськ

2009

ЗМІСТ

ВСТУП

РОЗДІЛ 1. СУТНІСТЬ ТА СТРУКТУРА СИСТЕМ ЗАХИСТУ ІНФОРМАЦІЇ В АВТОМАТИЗОВАНИХ СИСТЕМАХ

1.1 Законодавче поле функціонування систем захисту інформації в автоматизованих системах в Україні

1.2 Аналіз існуючих теоретико-практичних розробок по створенню систем захисту інформацїі в автоматизованих системах

1.3 Методика комплексної оцінки профілів захищеності інформації в автоматизованих системах

РОЗДІЛ 2. АНАЛІЗ СТРУКТУРИ ТА ЗАХИСТУ ІНФОРМАЦІЙНИХ ПОТОКІВ В АВТОМАТИЗОВАНІЙ БАНКІВСКІЙ СИСТЕМІ (АБС) АКБ «ПРОМІНВЕСТБАНК»

2.1 Характеристика діяльності АТЗТ “АК ПРОМІНВЕСТБАНК” за 2004 – 2009 роки

2.2 Стисла структура банківських послуг АТЗТ «АК Промінвестбанк» та загроз виконання функціональних задач в АБС банку

2.3 Структура та захист інформаційних потоків в центральній автоматизованій системі «Операційний день банку»

2.4 Структура та захист інформаційних потоків в внутрішньобанківській міжфілійній платіжній системі

2.5 Структура та захист інформаційних потоків в міжбанківських платіжних системах в Національній (СЕП НБУ) та іноземній (SWIFT) валютах

2.6 Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт

2.7 Структура та захист інформаційних потоків в телекомунікаційній системі віддаленого управління рахунками клієнтів «Клієнт-Банк», «Інтернет-Банкінг»

2.8 Структура та захист інформаційних потоків в системах «електронної пошти» (міжбанківська пошта НБУ, внутрішньобанківська пошта Проінвестбанку, глобальна Інтернет-пошта)

РОЗДІЛ 3. ПОБУДОВА МОДЕЛІ СИСТЕМНОЇ ІНТЕГРАЦІЇ МОДУЛІВ ЗАХИСТУ ІНФОРМАЦІЙНИХ ПОТОКІВ В АБС АКБ «ПРОМІНВЕСТБАНК» ТА ОЦІНКА РІВНЯ ВРАЗЛИВОСТІ БАНКІВСЬКОЇ ІНФОРМАЦІЇ

3.1 Постановка алгоритму задачі формування та опис елементів матриці контролю комплексної системи захисту інформації (КСЗІ) інформаційних об’єктів комерційного банку

3.2 Інформаційне та програмне забезпечення систем захисту інформації в інформаційних блоках АБС банку

3.3 Пропозиції по впровадженню програмного продукту «Модель системної інтеграції модулів захисту інформації в АБС банку»

3.4 Оцінка рівня вразливості банківської інформації за результатами тестової роботи моделі системної інтеграції модулів захисту інформації в АБС АКБ „Промінвестбанк”

ВИСНОВКИ

ВИКОРИСТАНИХ ДЖЕРЕЛ

ДОДАТКИ

ВСТУП

Інформаційні ресурси держави або суспільства в цілому, а також окремих організацій і фізичних осіб являють собою певну цінність, мають відповідне матеріальне вираження і вимагають захисту від різноманітних за своєю сутністю впливів, які можуть призвести до зниження цінності інформаційних ресурсів. Впливи, які призводять до зниження цінності інформаційних ресурсів, називаються несприятливими. Потенційно можливий несприятливий вплив називається загрозою.

Захист інформації, що обробляється в автоматизованих системах (АС), полягає в створенні і підтримці в дієздатному стані системи заходів, як технічних (інженерних, програмно-апаратних), так і нетехнічних (правових, організаційних), що дозволяють запобігти або ускладнити можливість реалізації загроз, а також знизити потенційні збитки. Іншими словами, захист інформації спрямовано на забезпечення безпеки оброблюваної інформації і АС в цілому, тобто такого стану, який забезпечує збереження заданих властивостей інформації і АС, що її обробляє. Система зазначених заходів, що забезпечує захист інформації в АС, називається комплексною системою захисту інформації.

Актуальність теми дипломної роботи полягає в необхідності розробки комплексних моделей захисту інформації в автоматизованих системах обробки банківської інформації, оскільки на сьогоднішній день наступає новий етап автоматичних систем банківського самобслуговування, в якому персонал банку все менше приймає участь у банківських транзакціях, а паперова інформація банківських платіжних документів все більше заміщується системою кодованих комп’ютерних файлів з «електронним підписом», що є єдиними носіями інформації про здійснені банківські операції.

Об’єктом дипломного дослідження є система захисту інформації в окремих банківських блоках накопичення, обробки та збереження інформації про клієнтів та їх операції в АКБ «Промінвестбанк».

Предметом дипломного дослідження є проведення аналізу побудови систем захисту інформації в банківських АРМ та АІС АКБ «Промінвестбанк» з великою територіально-ієрархічною побудовою банківських підрозділів на території України.

Метою дипломного дослідження є оцінка рівня захищеності інформації в автоматизованих системах АКБ «Промінвестбанк» та надання пропозицій по побудові комплексної системи захисту інформації в автоматизованих системах АКБ «Промінвестбанк» на базі програмних продуктів інтегрованого моніторингу результатів роботи комплексу АРМ та АІС банку.

Згідно з метою та завданнями на виконання дипломної роботи проведені наступні дослідження:

1. В першому розділі дипломної роботи проаналізовані теоретичні визначення сутності та структури систем захисту інформації в автоматизованих системах:

- Законодавче поле функціонування систем захисту інформації в автоматизованих системах в Україні;

- Аналіз існуючих теоретико-практичних розробок по створенню систем захисту інформацїі в автоматизованих системах;

- Методика комплексної оцінки профілів захищеності інформації в автоматизованих системах.

2. В другому розділі дипломної роботи проведений аналіз структури та захисту інформаційних потоків в автоматизованій банківській системі АКБ «Промінвестбанк»:

- Загальний аналіз структурно-функціональних задач відокремлених підрозділів і систем автоматичного надання банківських послуг;

- Структура та захист інформаційних потоків в центральній автоматизованій системі «Операційний день банку»

- Структура та захист інформаційних потоків в внутрішньобанківській міжфілійній платіжній системі;

Структура та захист інформаційних потоків в міжбанківських платіжних системах в Національній (СЕП НБУ) та іноземній (SWIFT) валютах

Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт;

Структура та захист інформаційних потоків в телекомунікаційній системі віддаленого управління рахунками клієнтів «Клієнт-Банк», «Інтернет- Банкінг» ;

- Структура та захист інформаційних потоків в системах «електронної пошти» (міжбанківська пошта НБУ, внутрішньобанківська пошта Проін-вестбанку, глобальна Інтернет-пошта);

3. В третьому розділі дипломної роботи запропонована модель системної інтеграції модулів захисту інформаційних потоків в АБС АКБ «Промінвестбанк» та проведена оцінка рівня вразливості існуючої системи захисту інформації в банку:

- проаналізовані задачі системної інтеграції автономних систем захисту інформації в окремих блоках банківських АБС;

- проаналізований склад та рівень інтерфейсної взаємодії окремих блоків захисту інформації;

- запропонована схема-алгоритм моделі комплексної системи інтеграції захисту інформації в АБС банку;

-проведена тестова оцінка вразливості банківської інформації за результатами роботи модуля системної інтеграції окремих блоків захисту інформації;

- обґрунтована економічна доцільність проектних пропозицій по впровадженню моделі системної інтеграції модулів захисту інформації в АБС банку.

Методами дипломного дослідження є – структурний аналіз потоків інформації, побудова алгоритмічної схеми системи захисту інформації в окремих потоках інформації, розробка програмного забезпечення блоків системної інтеграції систем захисту інформації.

Інформаційно-методологічними джерелами дипломного дослідження були Закони України, нормативно-інструктивні документи Національного банку України, ДСТСЗІ СБУ, монографії з питань банківської справи та банківської діяльності, звітність АКБ «Промінвестбанк» за 2003 – 2008 роки, опублікована в поточних та річних звітах на офіційному Інтернет-сайті банку.

Практична цінність отриманих результатів дипломного дослідження полягає в отриманні об’єктивних показників необхідності та ефективності впровадження комплексної системи захисту інформації в автоматизованих системах АКБ «Промінвестбанк».

Впровадження пропозицій і рекомендацій проведеного дипломного дослідження в комерційному банку дозволить:

суттєво підвищити якість моніторингу роботи систем захисту інформації (криптозахист, антивірусний захист, захист доступу до інформації, технічний захист обладнання мережі класу АС-2, програмний захист комп’ютерів мережі класу АС-2 від неліцензійного пограмного забезпечення та технологічних збоїв т інш.) на базі комплексної системи захисту інформації в автоматизованих системах банку;

підготувати банк до масового впровадження автоматів банківського самообслуговування та зменшити ризик несанкціонованого втручання в роботу систем обробки банківської інформації;

побудувати систему ієрархічних резервних сховищ банківської інформації, які дозволяють на протязі 1-2 суток відновити роботу аби-якого зруйнованого відділення банку без втрат клієнтської та банківської інформації;

побудувати систему розподілених серверів обробки інформації та розподілених баз транзакцій, що дозволить на протязі робочого «Операційного дня» автоматично використовувати інформаційну систему банка територіальним філіям та відділенням при виході з ладу одного з найближчих серверів обробки інформації;

побудувати систему розподілених серверів обробки інформації та розподілених баз транзакцій, що дозволить цілодобово банкоматам, POS-терміналам та системам грошових переказів автоматично використовувати інформаційну систему банка при виході з ладу одного з найближчих серверів обробки інформації;

побудувати надійну систему захисних міжмережевих шлюзів між комп’ютерними мережами банку класу АС-2 та клієнтськими терміналами системи «Клієнт-банк» та «Інтернет-банкінг», які працюють через глобальну мережу класу АС-3;

побудувати надійну систему антивірусного захисту в комп’ютерній мережі банками класа АС-2;

здійснювати надійну авторизацію та аутентифікацію користувачів та комп’ютерів в мережі класу АС-2, а також своєчасно сповіщати про появу в мережі несанкціонованого обладнання з’єднання мереж АС-2 та АС-3 за радіоканалами мобільних операторів зв’язку;

контролювати появу на локальних станціях мережі АС-2 нових пристроїв та програм несанкціонованого доступу до інформації та її витоку;

РОЗДІЛ 1

СУТНІСТЬ ТА СТРУКТУРА СИСТЕМ ЗАХИСТУ ІНФОРМАЦІЇ В АВТОМАТИЗОВАНИХ СИСТЕМАХ

1.1 Законодавче поле функціонування систем захисту інформації в автоматизованих системах в Україні

Згідно Закону України „Про інформацію” [ 1] - об'єктами інформаційних відносин є документована або публічно оголошувана інформація про події та явища в галузі політики, економіки, культури, охорони здоров'я, а також у соціальній, екологічній, міжнародній та інших сферах.

Основними видами інформаційної діяльності є одержання, використання, поширення та зберігання інформації:

1. Одержання інформації - це набуття, придбання, накопичення відповідно до чинного законодавства України документованої або публічно оголошуваної інформації громадянами, юридичними особами або державою.

2. Використання інформації - це задоволення інформаційних потреб громадян, юридичних осіб і держави.

3. Поширення інформації - це розповсюдження, обнародування, реалізація у встановленому законом порядку документованої або публічно оголошуваної інформації.

4. Зберігання інформації - це забезпечення належного стану інформації та її матеріальних носіїв.

Режим доступу до інформації - це передбачений правовими нормами порядок одержання, використання, поширення і зберігання інформації. За режимом доступу інформація поділяється на відкриту інформацію та інформацію з обмеженим доступом. Інформація з обмеженим доступом за своїм правовим режимом поділяється на конфіденційну і таємну.

Конфіденційна інформація - це відомості, які знаходяться у володінні, користуванні або розпорядженні окремих фізичних чи юридичних осіб і поширюються за їх бажанням відповідно до передбачених ними умов.

Згідно главою 10 Закону України «Про банки та банківську діяльність» [5] («Банківська таємниця та конфіденційність»):

1. Банківська таємниця (стаття 60)

Інформація щодо діяльності та фінансового стану клієнта, яка стала відомою банку у процесі обслуговування клієнта та взаємовідносин з ним чи третім особам при наданні послуг банку і розголошення якої може завдати матеріальної чи моральної шкоди клієнту, є банківською таємницею.

Банківською таємницею, зокрема, є:

1) відомості про банківські рахунки клієнтів, у тому числі кореспондент-ські рахунки банків у Національному банку України;

2) операції, які були проведені на користь чи за дорученням клієнта, здійснені ним угоди;

3) фінансово-економічний стан клієнтів;

4) системи охорони банку та клієнтів;

5) інформація про організаційно-правову структуру юридичної особи - клієнта, її керівників, напрями діяльності;

6) відомості стосовно комерційної діяльності клієнтів чи комерційної таємниці, будь-якого проекту, винаходів, зразків продукції та інша комерційна інформація;

7) інформація щодо звітності по окремому банку, за винятком тієї, що підлягає опублікуванню;

8) коди, що використовуються банками для захисту інформації.

Інформація про банки чи клієнтів, що збирається під час проведення банківського нагляду, становить банківську таємницю.

Положення цієї статті не поширюються на узагальнену по банках інформацію, яка підлягає опублікуванню. Перелік інформації, що підлягає обов'язковому опублікуванню, встановлюється Національним банком України та додатково самим банком на його розсуд.

Національний банк України видає нормативно-правові акти з питань зберігання, захисту, використання та розкриття інформації, що становить банківську таємницю, та надає роз'яснення щодо застосування таких актів.

2. Зобов'язання щодо збереження банківської таємниці (стаття 61)

Банки зобов'язані забезпечити збереження банківської таємниці шляхом:

1) обмеження кола осіб, що мають доступ до інформації, яка становить банківську таємницю;

2) організації спеціального діловодства з документами, що містять банківську таємницю;

3) застосування технічних засобів для запобігання несанкціонованому доступу до електронних та інших носіїв інформації;

4) застосування застережень щодо збереження банківської таємниці та відповідальності за її розголошення у договорах і угодах між банком і клієнтом.

Службовці банку при вступі на посаду підписують зобов'язання щодо збереження банківської таємниці. Керівники та службовці банків зобов'язані не розголошувати та не використовувати з вигодою для себе чи для третіх осіб конфіденційну інформацію, яка стала відома їм при виконанні своїх службових обов'язків.

3. Порядок розкриття банківської таємниці (стаття 62)

Інформація щодо юридичних та фізичних осіб, яка містить банківську таємницю, розкривається банками:

1) на письмовий запит або з письмового дозволу власника такої інформації;

2) на письмову вимогу суду або за рішенням суду;

3) органам прокуратури України, Служби безпеки України, Міністерства внутрішніх справ України, Антимонопольного комітету України - на їх письмову вимогу стосовно операцій за рахунками конкретної юридичної особи або фізичної особи - суб'єкта підприємницької діяльності за конкретний проміжок часу;

4) органам Державної податкової служби України на їх письмову вимогу з питань оподаткування або валютного контролю стосовно операцій за рахунками конкретної юридичної особи або фізичної особи - суб'єкта підприємницької діяльності за конкретний проміжок часу;

5) спеціально уповноваженому органу виконавчої влади з питань фінансового моніторингу на його письмову вимогу стосовно додаткової інформації про фінансову операцію, що стала об'єктом фінансового моніторингу;

6) органам державної виконавчої служби на їх письмову вимогу з питань виконання рішень судів стосовно стану рахунків конкретної юридичної особи або фізичної особи - суб'єкта підприємницької діяльності.

Довідки по рахунках (вкладах) у разі смерті їх власників надаються банком особам, зазначеним власником рахунку (вкладу) в заповідальному розпорядженні банку, державним нотаріальним конторам або приватним нотаріусам, іноземним консульським установам по справах спадщини за рахунками (вкладами) померлих власників рахунків (вкладів).

Банку забороняється надавати інформацію про клієнтів іншого банку, навіть якщо їх імена зазначені у документах, угодах та операціях клієнта.

Банк має право надавати загальну інформацію, що становить банківську таємницю, іншим банкам в обсягах, необхідних при наданні кредитів, банківських гарантій.

Обмеження стосовно отримання інформації, що містить банківську таємницю, передбачені цією статтею, не поширюються на службовців Національного банку України або уповноважених ними осіб, які в межах повноважень, наданих Законом України "Про Національний банк України", здійснюють функції банківського нагляду або валютного контролю.

Згідно „Правил зберігання, захисту, використання та розкриття банків-ської таємниці” [15] Національний банк України наполягає на виконанні банками наступних вимог:

1. Під час роботи з документами, що містять банківську таємницю, на електронних носіях банки мають забезпечити дотримання таких вимог:

а) позначка грифа "Банківська таємниця" до інформації та даних в електронному вигляді, що мають визначений формат і обробляються автоматизованими системами, а також до лістингів програмних модулів не додається. Для текстових повідомлень, які створюються, обробляються, передаються та зберігаються в електронному вигляді, наявність позначки грифа "Банківська таємни-ця" є обов'язковою;

б) автоматизовані системи, які обробляють інформацію, що містить бан-ківську таємницю, мають створюватися банками таким чином, щоб обмежити доступ користувачів лише в межах, що необхідні для виконання їх службових обов'язків.

Автоматизовані системи оброблення інформації повинні мати вбудовану систему захисту інформації, яку неможливо відключити або здійснити оброблення інформації, минаючи її.

Автоматизовані системи оброблення інформації, що містить банківську таємницю, які працюють у режимі реального часу (on-line), повинні мати таку архітектуру, за якої користувачі не мають прямого доступу до конфіденційних даних у базі даних і можуть отримувати доступ лише через сервер застосувань, що здійснює сувору автентифікацію запитів.

Автоматизовані системи повинні здійснювати обов'язкову реєстрацію всіх спроб доступу та інших критичних подій у системі в захищеному від модифікації електронному журналі;

в) приймання та реєстрація інформації визначеного формату, що містить банківську таємницю, в електронному вигляді технологічними АРМ автоматизованих систем здійснюється згідно з технологічними схемами проходження інформації безпосередньо на відповідних робочих місцях з використанням вбу-дованої в ці технологічні АРМ системи захисту інформації;

г) передавання інформації, яка містить банківську таємницю, електрон-ною поштою або в режимі on-line здійснюється лише в захищеному (зашифрованому) вигляді з контролем цілісності та з обов'язковим наданням підтвердження про її надходження з електронним підписом отримувача з використанням засобів захисту;

ґ) роздрукування документів з грифом "Банківська таємниця" у технологічних АРМ здійснюється згідно з технологічними схемами роботи відповідних АРМ банку. На роздрукованих документах проставляється гриф "Банківська таємниця" і вони обліковуються згідно з вимогами щодо обліку паперових док-ументів.

У разі відправлення даних на електронному носії додається супровідний лист у письмовій формі з грифом "Банківська таємниця", у якому зазначаються дані про вміст носія.

Отримання інформації з баз даних технологічних АРМ нештатними засобами забороняється.

Програмні модулі передаються і обліковуються на електронних носіях інформації з обов'язковим супровідним листом з грифом "Банківська таємни-ця".

Лістинги програм захисту інформації, що містять банківську таємницю, повинні зберігатися банком на захищених серверах або електронних носіях.

Формування архівів в електронному вигляді здійснюється згідно з технологічними схемами оброблення документів, а також вимогами нормативно-правових актів Національного банку України (далі - Національний банк). Архіви зберігаються на серверах або зовнішніх носіях у захищеному вигляді із забезпеченням контролю цілісності інформації під час роботи з архівними доку-ментами.

2. Для здійснення своїх функцій Національний банк має право безоплатно одержувати від банків інформацію, що містить банківську таємницю, та пояснення стосовно отриманої інформації і проведених операцій.

3. Особливості розкриття інформації, що містить банківську таємницю, Держфінмоніторингу - банки зобов'язані інформувати Уповноважений орган про:

- операції, які підлягають обов'язковому фінансовому моніторингу (стаття 5 Закону України "Про запобігання та протидію легалізації (відмиванню) дохо-дів, одержаних злочинним шляхом");

- операції клієнта за наявності мотивованої підозри, що вони здійснюються з метою легалізації (відмивання) доходів, одержаних злочинним шляхом (частина шоста статті 8 Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом");

- операції, щодо яких у банку є або повинні бути підозри, що вони пов'я-зані, мають відношення або призначені для фінансування тероризму (частина сьома статті 8 Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом");

- осіб, які здійснюють фінансову операцію, що підлягає фінансовому моніторингу, та її характер у разі прийняття рішення про відмову від забезпечення здійснення цієї операції (частина друга статті 7 Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом");

- операції клієнта, щодо якого в банку є мотивовані підозри про надання ним недостовірної інформації, що стосується його ідентифікації (частина п'ята статті 64 Закону про банки);

- закриття рахунку клієнта на підставі рішення уповноваженого державного органу про скасування державної реєстрації юридичної особи-клієнта або скасування державної реєстрації суб'єкта підприємницької діяльності - фізичної особи клієнта (частина дев'ята статті 64 Закону про банки);

- зупинення фінансової операції, якщо її учасником або вигодоодержувачем є особа, яку включено до переліку осіб, пов'язаних із здійсненням терористичної діяльності (частина перша статті 121 Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом").

Згідно Закону України „Про захист інформації в інформаційно-телекому-нікаційних системах „ [2], основна термінологія систем захисту інформації використовує наступні поняття:

- блокування інформації в системі - дії, внаслідок яких унеможливлюєть-ся доступ до інформації в системі;

- виток інформації - результат дій, внаслідок яких інформація в системі стає відомою чи доступною фізичним та/або юридичним особам, що не мають права доступу до неї;

- власник інформації - фізична або юридична особа, якій належить право власності на інформацію;

- власник системи - фізична або юридична особа, якій належить право власності на систему;

- доступ до інформації в системі - отримання користувачем можливості обробляти інформацію в системі;

- захист інформації в системі - діяльність, спрямована на запобігання несанкціонованим діям щодо інформації в системі;

- знищення інформації в системі - дії, внаслідок яких інформація в системі зникає;

- інформаційна (автоматизована) система - організаційно-технічна система, в якій реалізується технологія обробки інформації з використанням технічних і програмних засобів;

- інформаційно-телекомунікаційна система - сукупність інформаційних та телекомунікаційних систем, які у процесі обробки інформації діють як єдине ціле;

- комплексна система захисту інформації - взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації;

- користувач інформації в системі (далі - користувач) - фізична або юридична особа, яка в установленому законодавством порядку отримала право доступу до інформації в системі;

- криптографічний захист інформації - вид захисту інформації, що реалі-зується шляхом перетворення інформації з використанням спеціальних (ключових) даних з метою приховування/відновлення змісту інформації, підтвердження її справжності, цілісності, авторства тощо;

- несанкціоновані дії щодо інформації в системі - дії, що провадяться з порушенням порядку доступу до цієї інформації, установленого відповідно до законодавства;

- обробка інформації в системі - виконання однієї або кількох операцій, зокрема: збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реєстрації, приймання, отримання, передавання, які здійснюються в системі за допомогою технічних і програмних засобів;

- порушення цілісності інформації в системі - несанкціоновані дії щодо інформації в системі, внаслідок яких змінюється її вміст;

- порядок доступу до інформації в системі - умови отримання користува-чем можливості обробляти інформацію в системі та правила обробки цієї інформації;

- телекомунікаційна система - сукупність технічних і програмних засобів, призначених для обміну інформацією шляхом передавання, випромінювання або приймання її у вигляді сигналів, знаків, звуків, рухомих або нерухомих зображень чи в інший спосіб;

- технічний захист інформації - вид захисту інформації, спрямований на забезпечення за допомогою інженерно-технічних заходів та/або програмних і технічних засобів унеможливлення витоку, знищення та блокування інформа-ції, порушення цілісності та режиму доступу до інформації.

Об'єктами захисту в системі є інформація, що обробляється в ній, та програмне забезпечення, яке призначено для обробки цієї інформації.

Суб'єктами відносин, пов'язаних із захистом інформації в системах, є:

- власники інформації;

- власники системи;

- користувачі;

- спеціально уповноважений центральний орган виконавчої влади з питань організації спеціального зв'язку та захисту інформації і підпорядковані йому регіональні органи.

На підставі укладеного договору або за дорученням власник інформації може надати право розпоряджатися інформацією іншій фізичній або юридичній особі - розпоряднику інформації.

На підставі укладеного договору або за дорученням власник системи може надати право розпоряджатися системою іншій фізичній або юридичній особі - розпоряднику системи.

Порядок доступу до інформації, перелік користувачів та їх повноваження стосовно цієї інформації визначаються власником інформації.

У випадках, передбачених законом, доступ до інформації в системі може здійснюватися без дозволу її власника в порядку, встановленому законом.

Власник системи забезпечує захист інформації в системі в порядку та на умовах, визначених у договорі, який укладається ним із власником інформації, якщо інше не передбачено законом. Власник системи на вимогу власника інформації надає відомості щодо захисту інформації в системі.

Відповідальність за забезпечення захисту інформації в системі покладається на власника системи.

Вимоги до забезпечення захисту інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, встановлюються Кабінетом Міністрів України.

Спеціально уповноважений центральний орган виконавчої влади з питань організації спеціального зв'язку та захисту інформації:

- розробляє пропозиції щодо державної політики у сфері захисту інформації та забезпечує її реалізацію в межах своєї компетенції;

- визначає вимоги та порядок створення комплексної системи захисту інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом;

- організовує проведення державної експертизи комплексних систем захисту інформації, експертизи та підтвердження відповідності засобів технічного і криптографічного захисту інформації;

- здійснює контроль за забезпеченням захисту інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом.

Особливості захисту інформації в системах, які забезпечують банківську діяльність, встановлюються Національним банком України.

Згідно вимог Кабінету Міністрів України в «Правилах забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах” [10] виставлені наступні вимоги до побудови систем захисту інформації:

1. Для забезпечення захисту інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах (далі - система) повинні обов’язково виконуватися настпуні процедури:

- автентифікація - процедура встановлення належності користувачеві інформації в системі (далі - користувач) пред'явленого ним ідентифікатора;

- ідентифікація - процедура розпізнавання користувача в системі як правило за допомогою наперед визначеного імені (ідентифікатора) або іншої апріорної інформації про нього, яка сприймається системою.

2. Відкрита інформація під час обробки в системі повинна зберігати цілісність, що забезпечується шляхом захисту від несанкціонованих дій, які можуть призвести до її випадкової або умисної модифікації чи знищення.

3. Під час обробки конфіденційної і таємної інформації повинен забезпечуватися її захист від несанкціонованого та неконтрольованого ознайомлення, модифікації, знищення, копіювання, поширення.

4. Доступ до конфіденційної інформації надається тільки ідентифікованим та автентифікованим користувачам. Спроби доступу до такої інформації неідентифікованих осіб чи користувачів з не підтвердженою під час автентифікації відповідністю пред'явленого ідентифікатора повинні блокуватися.

5. Забезпечення захисту в системі таємної інформації, що не становить державну таємницю, здійснюється згідно з вимогами до захисту конфіденційної інформації.

6. У системі здійснюється обов'язкова реєстрація:

- результатів ідентифікації та автентифікації користувачів;

- результатів виконання користувачем операцій з обробки інформації;

- спроб несанкціонованих дій з інформацією;

- фактів надання та позбавлення користувачів права доступу до інформації та її обробки;

- результатів перевірки цілісності засобів захисту інформації.

Забезпечується можливість проведення аналізу реєстраційних даних виключно користувачем, якого уповноважено здійснювати управління засобами захисту інформації і контроль за захистом інформації в системі (адміністратор безпеки).

Реєстрація здійснюється автоматичним способом, а реєстраційні дані захищаються від модифікації та знищення користувачами, які не мають повноважень адміністратора безпеки.

Реєстрація спроб несанкціонованих дій з інформацією, що становить державну таємницю, а також конфіденційної інформації про фізичну особу, яка законом віднесена до персональних даних, повинна супроводжуватися повідомленням про них адміністратора безпеки.

7. Ідентифікація та автентифікація користувачів, надання та позбавлення їх права доступу до інформації та її обробки, контроль за цілісністю засобів захисту в системі здійснюється автоматизованим способом.

8. Передача конфіденційної і таємної інформації з однієї системи до іншої здійснюється у зашифрованому вигляді або захищеними каналами зв'язку згідно з вимогами законодавства з питань технічного та криптографічного захисту інформації.

9. Порядок підключення систем, в яких обробляється конфіденційна і таємна інформація, до глобальних мереж передачі даних визначається законодавством.

10. У системі здійснюється контроль за цілісністю програмного забезпечення, яке використовується для обробки інформації, запобігання несанкціонованій його модифікації та ліквідація наслідків такої модифікації.

Контролюється також цілісність програмних та технічних засобів захисту інформації. У разі порушення їх цілісності обробка в системі інформації припиняється.

11. Для забезпечення захисту інформації в системі створюється комплексна система захисту інформації (далі - система захисту), яка призначається для захисту інформації від:

- витоку технічними каналами, до яких належать канали побічних електромагнітних випромінювань і наведень, акустично-електричні та інші канали, що утворюються під впливом фізичних процесів під час функціонування засобів обробки інформації, інших технічних засобів і комунікацій;

- несанкціонованих дій з інформацією, у тому числі з використанням комп'ютерних вірусів;

- спеціального впливу на засоби обробки інформації, який здійснюється шляхом формування фізичних полів і сигналів та може призвести до порушення її цілісності та несанкціонованого блокування.

Захист інформації від несанкціонованих дій, у тому числі від комп'ютерних вірусів, забезпечується в усіх системах.

Захист інформації від спеціального впливу на засоби обробки інформації забезпечується в системі, якщо рішення про необхідність такого захисту прийнято власником (розпорядником) інформації.

12. Організація та проведення робіт із захисту інформації в системі здійснюється службою захисту інформації, яка забезпечує визначення вимог до захисту інформації в системі, проектування, розроблення і модернізацію системи захисту, а також виконання робіт з її експлуатації та контролю за станом захищеності інформації.

Служба захисту інформації утворюється згідно з рішенням керівника організації, що є власником (розпорядником) системи.

13. Захист інформації на всіх етапах створення та експлуатації системи здійснюється відповідно до розробленого службою захисту інформації плану захисту інформації в системі.

План захисту інформації в системі містить:

- завдання захисту, класифікацію інформації, яка обробляється в системі, опис технології обробки інформації;

- визначення моделі загроз для інформації в системі;

- основні вимоги щодо захисту інформації та правила доступу до неї в системі;

- перелік документів, згідно з якими здійснюється захист інформації в системі;

- перелік і строки виконання робіт службою захисту інформації.

14. Виконавцем робіт із створення системи захисту може бути суб'єкт господарської діяльності або орган виконавчої влади, який має ліцензію або дозвіл на право провадження хоча б одного виду робіт у сфері технічного захисту інформації, необхідність проведення якого визначено технічним завданням на створення системи захисту.

Для проведення інших видів робіт з технічного захисту інформації, на провадження яких виконавець не має ліцензії (дозволу), залучаються співвиконавці, що мають відповідні ліцензії.

Якщо для створення системи захисту необхідно провести роботи з криптографічного захисту інформації, виконавець повинен мати ліцензії на провадження виду робіт у сфері криптографічного захисту інформації або залучати співвиконавців, що мають відповідні ліцензії.

15. У системі, яка складається з кількох інформаційних та (або) телекомунікаційних систем, ці Правила можуть застосовуватися до кожної складової частини окремо.

1.2 Аналіз існуючих теоретико-практичних розробок по створенню систем захисту інформацїі в автоматизованих системах

Основна нормативна термінологія в галузі систем захисту інформації наведена в ДСТУ 3396.2-97 - ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ „Захист інформації. Технічний захист інформації. Терміни та визначення” [17].

Загальні положення щодо захисту інформації комп’ютерних системах від несанкціонованого доступу наведені в нормативному документі НД ТЗІ 1.1-002-99 [ 19], який визначає методологічні основи (концепцію) вирішення зав-дань захисту інформації в комп'ютерних системах і створення нормативних і методологічних документів, регламентуючих питання:

- визначення вимог щодо захисту комп'ютерних систем від несанкціонованого доступу;

- створення захищених комп'ютерних систем і засобів їх захисту від несанкціонованого доступу;

- оцінки захищеності комп'ютерних систем і їх придатностi для вирішення завдань споживача.

У цьому НД ТЗІ та інших нормативних документах по захисту інформації в автоматизованих системах використовуються наступні позначення і скорочення:

АС — автоматизована система;

БД — база даних;

ЕОМ — електронно-обчислювальна машина;

КЗЗ — комплекс засобів захисту;

КС — комп'ютерна система;

КСЗІ — комплексна система захисту інформації;

НД — нормативний документ;

НД СТЗІ — нормативний документ системи технічного захисту інформації;

НСД — несанкціонований доступ;

ОС — обчислювальна система;

ПЕМВН — побічні електромагнітні випромінювання і наводи;

ПЗ — програмне забезпечення;

ПЗП — постійний запам’ятовуючий пристрій;

ПРД — правила розмежування доступу;

ТЗІ — технічний захист інформації.

Автоматизована система являє собою організаційно-технічну систему, що об'єднує обчислювальну систему, фізичне середовище, персонал і оброблювану інформацію (малюнок). Прийнято розрізняти два основних напрями ТЗІ в АС — це захист АС і оброблюваної інформації від несанкціонованого доступу і захист інформації від витоку технічними каналами (оптичними, акустичними, захист від витоку каналами побічних електромагнiтних випромінювань і наводів).

З точки зору методологiї в проблемі захисту інформації від НСД слід виділити два напрями:

- забезпечення і оцінка захищеності інформації в АС, що функціонують;

- реалізація та оцінка засобів захисту, що входять до складу компонентів, з яких будується обчислювальна система АС (програмних продуктів, засобів обчислювальної техніки і т. ін.), поза конкретним середовищем експлуатації.

Кінцевою метою всіх заходів щодо захисту інформації, які реалізуються, є забезпечення безпеки інформації під час її обробки в АС. Захист інформації повинен забезпечуватись на всіх стадіях життєвого циклу АС, на всіх технологічних етапах обробки інформації і в усіх режимах функціонування. Життєвий цикл АС включає розробку, впровадження, експлуатацію та виведення з експлуатації.

Рис.1.1. – Структура захисту інформації в автоматизованій системі [19]

Обчислювальна система автоматизованої системи являє собою сукупність апаратних засобів, програмних засобів (в тому числі програм ПЗП), призначених для обробки інформації. Кожний з компонентів ОС може розроблятись і надходити на ринок як незалежний продукт. Кожний з цих компонентів може реалiзовувати певні функції захисту інформації, оцінка яких може виконуватись незалежно від процесу експертизи АС і має характер сертифікації. За підсумками сертифікації видаєтся сертифікат відповідності реалізованих засобів захисту певним вимогам (критеріям). Наявність сертифіката на обчислювальну систему АС або її окремі компоненти може полегшити процес експертизи АС.

Як в процесі експертизи, так і сертифікації оцінка реалізованих функцій захисту інформації виконується відповідно до встановлених критеріїв. Ці критерії встановлюються НД ТЗІ 2.5-004-99 "Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу " (далі — Критерії) [21]. З метою уніфікації критеріїв і забезпечення можливості їх застосування як в процесі експертизи АС (тобто оцінки функцій захисту інформації, реалізованих ОС автоматизованої системи, що реально функціонують), так і в процесі сертифікації програмно-апаратних засобів поза конкретним середовищем експлуатації, обидві ці категорії об'єднуються поняттям комп'ютерна система. Під КС слід розуміти представлену для оцінки сукупність програмно-апаратних засобів
1
?
.

Як КС можуть виступати: ЕОМ загального призначення або персональна ЕОМ; операційна система; прикладна або iнструментальна програма (пакет програм); КЗЗ, що окремо поставляється, або підсистема захисту від НСД, наприклад, мережа, яка являє собою надбудову над ОС; локальна обчислювальна мережа, як сукупність апаратних засобів, ПЗ, що реалізує протоколи взаємодій, мережевої операційної системи і т. ін., ОС автоматизованої системи, яка реально функціонує, в найбільш загальному випадку – сама АС або її частина.

Інформація в КС існує у вигляді даних, тобто представляється в формалiзованому вигляді, придатному для обробки. Тут і далі під обробкою слід розуміти як власне обробку, так і введення, виведення, зберігання, передачу і т. ін. (ДСТУ 2226-93). Далі терміни «інформація» і «дані« використовуються як синоніми.

Інформація для свого існування завжди вимагає наявності носiя. Як носiй інформації може виступати поле або речовина. В деяких випадках у вигляді носiя інформації може розглядатися людина. Втрата інформацією своєї цінності (порушення безпеки інформації) може статися внаслідок переміщення інформації або зміни фізичних властивостей носiя.

При аналізі проблеми захисту від НСД інформації, яка може циркулювати в КС, як правило, розглядаються лише інформаційні об'єкти, що служать приймальниками/джерелами інформації, і інформаційні потоки (порції інформації, що пересилаються між об'єктами) безвідносно до фізичних характеристик їх носiїв.

Загрози оброблюваної в АС інформації залежать від характеристик ОС, фізичного середовища, персоналу і оброблюваної інформації. Загрози можуть мати або об'єктивну природу, наприклад, зміна умов фізичного середовища (пожежі, повені і т. і.) чи відмова елементів ОС, або суб'єктивну, наприклад, помилки персоналу чи дії зловмисника. Загрози, що мають суб'єктивну природу, можуть бути випадковими або навмисними. Спроба реалізації загрози називається атакою.

Із всієї множини способів класифікації загроз найпридатнішою для аналізу є класифікація загроз за результатом їх впливу на інформацію, тобто порушення конфіденційності, цілісності і доступності інформації.

Інформація зберігає конфіденційність, якщо дотримуються встановлені правила ознайомлення з нею. Інформація зберігає цілісність, якщо дотримуються встановлені правила її модифікацiї (видалення). Інформація зберігає доступність, якщо зберігається можливість ознайомлення з нею або її модифікацiї відповідно до встановлених правил упродовж будь-якого певного (малого) проміжку часу. Загрози, реалізація яких призводить до втрати інформацією якої-небудь з названих властивостей, відповідно є загрозами конфіденційності, цілісності або доступності інформації.

Загрози можуть впливати на інформацію не безпосередньо, а опосередковано. Наприклад, втрата КС керованостi може призвести до нездатностi КС забезпечувати захист інформації і, як результат, до втрати певних властивостей оброблюваної інформації.

Під політикою безпеки інформації слід розуміти набір законів, правил, обмежень, рекомендацій і т. ін., які регламентують порядок обробки інформації і спрямовані на захист інформації від певних загроз. Термін "політика безпеки" може бути застосовано щодо організації, АС, ОС, послуги, що реалізується системою (набору функцій), і т. ін. Чим дрібніше об'єкт, відносно якого застосовується даний термін, тим конкретнішими і формальніше стають правила. Далі для скорочення замість словосполучення "політика безпеки інформації" може використовуватись словосполучення "політика безпеки", а замість словосполучення "політика безпеки інформації, що реалізується послугою" — "політика послуги" і т. ін.

Політика безпеки інформації в АС є частиною загальної політики безпеки організації і може успадковувати, зокрема, положення державної політики у галузі захисту інформації. Для кожної АС політика безпеки інформації може бути індивідуальною і може залежати від технології обробки інформації, що реалізується, особливостей ОС, фізичного середовища і від багатьох інших чинників. Тим більше, одна й та ж сама АС може реалiзовувати декілька різноманітних технологій обробки інформації. Тоді і політика безпеки інформації в такій АС буде складеною і її частини, що відповідають різним технологіям, можуть істотно відрізнятись.

Політика безпеки повинна визначати ресурси АС, що потребують захисту, зокрема установлювати категорії інформації, оброблюваної в АС. Мають бути сформульовані основні загрози для ОС, персоналу, інформації різних категорій і вимоги до захисту від цих загроз. Як складові частини загальної політики безпеки інформації в АС мають існувати політики забезпечення конфіденційності, цілісності і доступності оброблюваної інформації. Відповідальність персоналу за виконання положень політики безпеки має бути персонiфікована.

Політика безпеки інформації, що реалізуються різними КС будуть відрізнятися не тільки тим, що реалізовані в них функції захисту можуть забезпечувати захист від різних типів загроз, але і в зв'язку з тим, що ресурси КС можуть істотно відрізнятись. Так, якщо операційна система оперує файлами, то СУБД має справу із аписами, розподіленими в різних файлах.

Частина політики безпеки, яка регламентує правила доступу користувачів і процесів до ресурсів КС, складає правила розмежування доступу.

Комп'ютерна система, як правило, складається з безлічі компонентів. Деякі з компонентів можуть бути спеціально призначені для реалізації політики безпеки (наприклад, засоби ізоляції процесів або керування потоками інформації). Інші можуть впливати на безпеку опосередковано, наприклад, забезпечувати функціонування компонентів першого типу. І, нарешті, треті можуть взагалі не бути задіяні під час вирішення завдань забезпечення безпеки. Множина всіх компонентів перших двох типів називається комплексом засобів захисту.

Іншими словами, КЗЗ — це сукупність всіх програмно-апаратних засобів, в тому числі програм ПЗП, задіяних під час реалізації політики безпеки. Частина КС, що складає КЗЗ, визначається розробником. Будь-який компонент КС, який внаслідок якого-небудь впливу здатний спричинити порушення політики безпеки, повинен розглядатись як частина КЗЗ.

Комплекс засобів захисту розглядає ресурси КС як об'єкти і керує взаємодією цих об'єктів відповідно до політики безпеки інформації, що реалізується. Як об'єкти ресурси характеризуються двома аспектами: логічне подання (зміст, семантика, значення) і фізичне (форма, синтаксис). Об'єкт характеризується своїм станом, що в свою чергу характеризується атрибутами і поводженням, яке визначає способи зміни стану. Для різних КС об'єкти можуть бути різні. Наприклад, для СУБД в якості об'єктів можна розглядати записи БД, а для операційної системи — процеси, файли, кластери, сектори дисків, сегменти пам'яті і т. ін. Все, що підлягає захисту відповідно до політики безпеки, має бути визначено як об'єкт.

При розгляді взаємодії двох об'єктів КС, що виступають як приймальники або джерела інформації, слід виділити пасивний об'єкт, над яким виконується операція, і активний об'єкт, який виконує або ініціює цю операцію. Далі розглядаються такі типи об'єктів КС: об'єкти-користувачі, об'єкти-процеси і пасивні об'єкти. Прийнятий у деяких зарубіжних документах термін "суб'єкт" є суперпозицією об'єкта-користувача і об'єкта-процеса.

Об'єкти-користувачі і об'єкти-процеси є такими тільки всередині конкретного домену — ізольованої логічної області, всередині якої об'єкти володіють певними властивостями, повноваженнями і зберігають певні відносини. В інших доменах об'єкти залишаються в пасивному стані. Це дозволяє одному об'єкту-процесу керувати іншим об'єктом-процесом або навіть об'єктом-користувачем, оскільки останній залишається "пасивним" з точки зору керуючого об'єкта. Іншими словами, об'єкти можуть знаходитись в одному з трьох різних станів: об'єкт-користувач, об'єкт-процес і пасивний об'єкт. Перехід між станами означає, що об'єкт просто розглядається в іншому контексті.

Пасивний об'єкт переходить в стан об'єкта-користувача, коли iндивiд (фізична особа-користувач) «входить» в систему. Цей об'єкт-користувач виступає для КЗЗ як образ фізичного користувача. Звичайно, за цим процесом іде активізація об'єкта-процесу за ініціативою користувача. Цей об'єкт-процес є керуючим для пасивних об'єктів всередині домену користувача. Об'єкти-користувачі, об'єкти-процеси і пасивні об'єкти далі позначаються просто як користувачі, процеси і об'єкти, відповідно.

Взаємодія двох об'єктів КС (звернення активного об'єкта до пасивного з метою одержання певного виду доступу) приводить до появи потоку інформації між об'єктами і/або зміни стану системи. Як потік інформації розглядається будь-яка порція інформації, що передається між об'єктами КС.

Під несанкціонованим доступом (НСД) слід розуміти доступ до інформації з використанням засобів, включених до складу КС, що порушує встановлені ПРД. Несанкціонований доступ може здійснюватись як з використанням штатних засобів, тобто сукупності програмно-апаратного забезпечення, включеного до складу КС розробником під час розробки або системним адміністратором в процесі експлуатації, що входять у затверджену конфiгурацію КС, так і з використанням програмно-апаратних засобів, включених до складу КС зловмисником.

До основних способів НСД відносяться:

- безпосереднє звертання до об'єктів з метою одержання певного виду доступу;

- створення програмно-апаратних засобів, що виконують звертання до об'єктів в обхід засобів захисту;

- модифікація засобів захисту, що дозволяє здійснити НСД;

- впровадження в КС програмних або апаратних механізмів, що порушують структуру і функції КС і дозволяють здійснити НСД.

Під захистом від НСД, звичайно, слід розуміти діяльність, спрямовану на забезпечення додержання ПРД шляхом створення і підтримки в дієздатному станi системи заходів із ахисту інформації. Поняття (термін) захист від НСД є сталим і тому використовується в цьому НД і документах, що на ньому базуються. Проте зміст даного поняття дещо вужчий, ніж коло питань, що розглядаються. Так, політика безпеки КС може містити вимоги щодо забезпечення доступності інформації, які, наприклад, регламентують, що КС має бути стійка до відмов окремих компонентів. Цю вимогу не можна віднести до ПРД, проте її реалізація здійснюється засобами, що входять до складу КЗЗ. Тому система НД щодо захисту інформації в КС від НСД охоплює коло питань, пов'язаних з створенням і підтримкою в дієздатному станi системи заходів, що спрямовані на забезпечення додержання вимог політики безпеки інформації під час її обробки в КС.

Як порушник розглядається особа, яка може одержати доступ до роботи з включеними до складу КС засобами. Порушники класифікуються за рівнем можливостей, що надаються їм штатними засобами КС. Виділяються чотири рівні цих можливостей. Класифікація є iєрархічною, тобто кожний наступний рівень включає в себе функціональні можливості попереднього:

- перший рівень визначає найнижчий рівень можливостей проведення діалогу з КС — можливість запуску фіксованого набору завдань (програм), що реалізують заздалегідь передбачені функції обробки інформації;

- другий рівень визначається можливістю створення і запуску власних програм з новими функціями обробки iнформації;

- третій рівень визначається можливістю управління функціонуванням КС, тобто впливом на базове програмне забезпечення системи і на склад і конфігурацію її устаткування;

- четвертий рівень визначається всім обсягом можливостей осіб, що здійснюють проектування, реалізацію і ремонт апаратних компонентів КС, аж до включення до складу КС власних засобів з новими функціями обробки інформації.

Припускається, що в своєму рівні порушник — це фахівець вищої кваліфікації, який має повну інформацію про КС і КЗЗ.

Така класифікація порушників є корисною для використання в процесі оцінки ризиків, аналізу вразливості системи, ефективності існуючих і планових заходів захисту.

Основні принципи забезпечення захисту інформації полягають в наступ-ному [21]:

1. Планування захисту і керування системою захисту

Для забезпечення безпеки інформації під час її обробки в АС створюється КСЗІ, процес управління якою повинен підтримуватись протягом всього життєвого циклу АС. На стадії розробки метою процесу управління КСЗІ є створення засобів захисту, які могли б ефективно протистояти ймовірним загрозам і забезпечували б надалі дотримання політики безпеки під час обробки інформації. На стадії експлуатації АС метою процесу управління КСЗІ є оцінка ефективності створеної КСЗІ і вироблення додаткових (уточнюючих) вимог для доробки КСЗІ з метою забезпечення її адекватності при зміні початкових умов (характеристик ОС, оброблюваної інформації, фізичного середовища, персоналу, призначення АС, політики безпеки і т. ін.).

На кожному етапі мають бути виконані збирання і підготовка даних, їх аналіз і прийняття рішення. При цьому результати виконаного на певному етапі аналізу і прийняті на їх підставі рішення нарівні з уточненими вимогами слугують вихідними даними для аналізу на наступному етапі. На будь-якій стадії або будь-якому етапі може постати необхідність уточнення початкових умов і повернення на більш раннi етапи.

Створення КСЗІ має починатись з аналізу об'єкта захисту і можливих загроз. Передусім мають бути визначені ресурси АС, що підлягають захисту. Загрози мають бути визначені в термінах ймовірності їх реалізації і величини можливих збитків. На підставі аналізу загроз, існуючих в системі вразливостей, ефективності вже реалізованих заходів захисту для всіх ресурсів, що підлягають захисту, мають бути оцінені ризики. Ризик являє собою функцію ймовірності реалізації певної загрози, виду і величини завданих збитків. Величина ризику може бути виражена в грошовому вимірі або у вигляді формальної оцінки (високий, низький і т. ін.). На підставі виконаної роботи мають бути вироблені заходи захисту, перетворення яких в життя дозволило б знизити рівень остаточного ризику до прийнятного рівня. Підсумком даного етапу робіт повинна стати сформульована або скоригована політика безпеки.

На підставі проведеного аналізу ризиків сформульованої політики безпеки розробляється план захисту, який включає в себе опис послідовності і змісту всіх стадій і етапів життєвого циклу КСЗІ, що мають відповідати стадіям і етапам життєвого циклу АС. Вартість заходів щодо захисту інформації має бути адекватною розміру можливих збитків.

2. Основні принципи керування доступом

2.1 Безперервний захист

Захист інформації повинен забезпечуватись протягом всього періоду її існування. З моменту створення об'єкта КС або його імпорту до системи і аж до його знищення або експорту з системи всі запити на доступ до об'єкта і об'єкта на доступ до інших об'єктів мають контролюватися КЗЗ.

Перший аспект, що випливає з цього принципу, — це необхідність того, щоб абсолютно всі запити на доступ до об'єктів контролювались КЗЗ і не існувало можливості обминути цей контроль (одержати доступ в обхід КЗЗ). Для захисту об'єктів КЗЗ повинен в першу чергу забезпечувати свою цілісність і керованість.

Другим аспектом є те, що особливе значення набуває визначення діючих за умовчанням правил, які визначають початкові умови, за яких починається існування об'єкта всередині КС.

2.2 Атрибути доступу

Для реалізації політики безпеки КЗЗ повинен забезпечити ізоляцію об'єктів всередині сфери управління і гарантувати розмежування запитів доступу і керування потоками інформації між об'єктами. Для цього з об'єктами КС має бути пов'язана інформація, що дозволяла б КЗЗ iдентифікувати об'єкти і перевіряти легальність запитів доступу. Як така інформація є атрибути доступу.

Кожний об'єкт КС повинен мати певний набір атрибутів доступу, який включає унікальний iдентифікатор та іншу інформацію, що визначає його права доступу і/або права доступу до нього. Атрибут доступу — термін, що використовується для опису будь-якої інформації, яка використовується при керуванні доступом і зв'язана з користувачами, процесами або пасивними об'єктами. Відповідність атрибутів доступу і об'єкта може бути як явною, так і неявною. Атрибути доступу об'єкта є частиною його подання в КС.

Коли користувачі або процеси намагаються одержати доступ до пасивних об'єктів, механізми, що реалізують керування доступом, на підставі політики безпеки і перевірки атрибутів доступу можуть "прийняти рішення" про легальність запиту. Використовуючи набір атрибутів доступу відповідно до прийнятої політики безпеки, можна реалізувати довірче керування доступом, адміністративне, контроль за цілісністю та інші види керування доступом.

Для відображення функціональностi КС у простір, в якому не розглядаються права власності, використовується концепція матриці доступу. Матриця доступу являє собою таблицю, уздовж кожного виміру якої відкладені iдентифікатори об'єктів КС, а в якості елементів матриці виступають дозволені або заборонені режими доступу. Матриця доступу може бути двомірною (наприклад, користувачі/пасивні об'єкти або процеси/пасивні об'єкти) або тримірною (користувачі/процеси/пасивні об'єкти). Матриця доступу може бути повною, тобто містити вздовж кожної з осей iдентифікатори всіх існуючих на даний час об'єктів КС даного типу, або частковою. Повна тримірна матриця доступу дозволяє точно описати, хто (iдентифікатор користувача), через що (iдентифікатор процесу), до чого (iдентифікатор пасивного об'єкта), який вид доступу може одержати.

2.3 Довірче і адміністративне керування доступом

Під довірчим керуванням доступом слід розуміти таке керування, при якому засоби захисту дозволяють звичайним користувачам управляти (довіряють керування) потоками інформації між іншими користувачами і об'єктами свого домену (наприклад, на підставі права володіння об'єктами), тобто призначення і передача повноважень не вимагають адміністративного втручання.

Адміністративне керуванням доступом — це таке керування, при якому засоби захисту дозволяють управляти потоками інформації між користувачами і об'єктами тільки спеціально авторизованим користувачам. Прикладом реалізації адміністративного керуванням доступом може служити механізм, коли у вигляді атрибутів доступу використовуються мітки, що відображають міру конфіденційності інформації (об'єкта) і рівень допуску користувача. Таким чином, КЗЗ на підставі порівняння міток об'єкта і користувача може визначити, чи є користувач, що запитує інформацію, авторизованим користувачем.

Система, що реалізує адміністративне керування доступом, повинна гарантувати, що потоки інформації всередині системи установлюються адміністратором і не можуть бути змінені звичайним користувачем. З іншого боку, система, що реалізує довірче керування доступом, дозволяє звичайному користувачеві модифікувати, в т. ч. створювати нові потоки інформації всередині системи.

Створення додаткових потоків інформації може бути зумовлене: модифікацією атрибутів доступу користувача, процесу або пасивного об'єкта; створенням нових об'єктів (включаючи копіювання існуючих); експортом або імпортом об'єктів.

Сталість атрибутів доступу

Якщо система реалізує адміністративне керування доступом, то звичайний користувач не повинен мати можливості ні за яких умов змінювати атрибути доступу об'єкта. Таким чином, якщо політика потоків інформації, створена адміністратором, визначає, що два користувача не можуть розділяти (спільно використовувати) інформацію, то жоден з них не спроможний передати іншому користувачеві свої повноваження щодо доступу до існуючого об'єкта.

І навпаки, система, що реалізує довірче керування доступом, може, наприклад, відповідно до політики безпеки надати звичайному користувачеві можливість змінювати атрибути доступу об'єкта, що належить йому.

Створення нових об'єктів

Якщо система реалізує адміністративне керування доступом і політика потоків інформації, створена адміністратором, визначає, що два користувачі не можуть розділяти інформацію, то жоден з них не повинен бути спроможний створити об'єкт, доступний іншому. Додатково повинні існувати правила для визначення (завдання) атрибутів доступу, що мають присвоюватись об'єкту, одержаному копіюванням існуючого.

І навпаки, система, що реалізує довірче керування доступом, може відповідно до політики безпеки надати звичайному користувачеві можливість влаштовувати атрибути доступу для знову створеного об'єкту. Наприклад, система може дозволяти творцю об'єкта зазначати користувачів, що можуть мати права доступу до об'єкта.

Експорт і імпорт об'єктів

Якщо система реалізує адміністративне керування доступом, то атрибути доступу об'єкта мають зберігатись під час його експорту на зовнішній носiй. Додатково повинні існувати правила для присвоєння атрибутів доступу імпортованому об'єкту.

І навпаки, система, що реалізує довірче керування доступом, може надати можливість експортувати об'єкт без збереження атрибутів доступу. Додатково може існувати можливість імпорту звичайним користувачем об'єкта з наступним присвоєнням йому атрибутів доступу на розсуд користувача. Проте, навіть відповідно до політики довірчого керування доступом, атрибути доступу об'єкта під час виконання деяких операцій, наприклад, під час його резервного копіювання, мають зберігатися. Якщо об'єкт буде коли-небудь відновлено з резервної копії, то його атрибути доступу також мають бути відновлені.

2.4 Забезпечення персональної відповідальності

Кожний співробітник з персоналу АС має бути ознайомлений з необхід-ними положеннями політики безпеки і нести персональну відповідальність за їх додержання. Політика безпеки повинна установлювати обов'язки співробітни-ків, особливо тих, що мають адміністративні повноваження, і види відповідальності за невиконання цих обов'язків. Як правило, це забезпечується в рамках організаційних заходів безпеки.

Однак, коли користувач працює з КС, то система розглядає його не як фізичну особу, а як об'єкт, якому притаманні певні атрибути і поводження. Для забезпечення ефективності організаційних заходів необхiдна підтримка з боку програмно-аппаратних засобів. Комплекс засобів захисту КС повинен забезпечувати реєстрацію дій об'єктів-користувачів щодо використання ресурсів системи, а також інших дій і подій, які так або інакше можуть вплинути на дотри-мання реалізованої КС політики безпеки.

Система повинна надавати користувачам, що мають адміністративні пов-новаження, можливість проглядати та аналізувати дані реєстрації, що представ-ляються у вигляді журналів реєстрації, виявляти небезпечні з точки зору полі-тики безпеки події, встановлювати їх причини і користувачів, відповідальних за порушення політики безпеки.

3. Послуги безпеки

З точки зору забезпечення безпеки інформації КС або КЗЗ можна розгля-дати як набір функціональних послуг. Кожна послуга являє собою набір функ-цій, що дозволяють протистояти деякій множині загроз.

Існує певний перелік послуг, які на підставі практичного досвіду визнані “корисними” для забезпечення безпеки інформації. Вимоги до реалізації даних послуг наведені в НД ТЗІ 2.5-004-99. Вимоги до функціональних послуг розбиті на чотири групи, кожна з яких описує вимоги до послуг, що забезпечують за-хист від загроз одного з чотирьох основних типів: конфіденційності, цілісності, доступності та спостереженостi.

Згідно з Критеріями, кожна послуга може включати декілька рівнів. Чим вище рівень послуги, тим повніше забезпечується захист від певного виду заг-роз. Для кожної послуги повинна бути розроблена політика безпеки, яка буде реалізована КС. Політика безпеки має визначати, до яких об'єктів застосову-ється послуга. Ця визначена підмножина об'єктів називається захищеними об'єктами відносно даної послуги.

4. Гарантії

Крім функціональних критеріїв, що дозволяють оцінити наявність послуг безпеки в КС, Критерії містять критерії гарантій, які дозволяють оцінити корек-тність реалізації послуг. Критерії гарантій включають вимоги до архітектури КЗЗ, середовища розробки, послідовностi розробки, випробування КЗЗ, сере-довища функціонування і експлуатаційної документації. В Критеріях вводиться сім рівнів гарантій, які є iєрархічними. Iєрархiя рівнів гарантій відбиває посту-пово наростаючу міру упевненості в тому, що послуги, які надаються, дозволя-ють протистояти певним загрозам, а механізми, що їх реалізують, в свою чергу, коректно реалізовані, і можуть забезпечити очікуваний споживачем рівень захищеності інформації під час експлуатації КС.

Гарантії забезпечуються як в процесі розробки, так і в процесі оцінки. В процесі розробки гарантії забезпечуються діями розробника щодо забезпечення правильності (коректностi) розробки. В процесі оцінки гарантії забезпечуються шляхом перевірки додержання розробником вимог Критеріїв, аналізу докумен-тації, процедур розробки і постачання, а також іншими діями експертів, які проводять оцінку.

Основні принципи реалізації програмно-технічних засобів захисту інфор-мації полягають в наступному [21]:

1. Функції і механізми захисту

Основними завданнями засобів захисту є ізоляція об'єктів КС всередині сфери керування, перевірка всіх запитів доступу до об'єктів і реєстрація запитів і результатів їх перевірки і/або виконання. З одного боку, будь-яка елементарна функція будь-якої з послуг, що реалізуються засобами захисту, може бути віднесена до функцій ізоляції, перевірки або реєстрації. З іншого боку, будь-яка з функцій, що реалізуються засобами захисту, може бути віднесена до функцій забезпечення конфіденційності, цілісності і доступності інформації або керованостi КС і спостереженостi дій користувачів.

Кожна функція може бути реалізована одним або більше внутрішніми механізмами, що залежать від конкретної КС. Водночас одні й ті ж самі механізми можуть використовуватись для реалізації кількох послуг. Наприклад, для розробника слушно реалізувати і адміністративне і довірче керування доступом єдиним набором механізмів.

Реалізація механізмів може бути абсолютно різною. Для реалізації функцій захисту можуть використовуватись програмні або апаратні засоби, криптографічні перетворення, різні методи перевірки повноважень і т. ін. Вибір методів і механізмів практично завжди залишається за розробником. Єдиною вимогою залишається те, щоб функції захисту були реалізовані відповідно до декларованої політики безпеки і вимог гарантій.

Для реалізації певних послуг можуть використовуватись засоби крипто-графічного захисту. Криптографічні перетворення можуть використовуватись безпосередньо для захисту певної інформації (наприклад, при реалізації послуг конфіденційності) або підтримувати реалізацію послуги (наприклад, при реалі-зації послуги iдентифікації і автентифікації). Згідно із аконодавством створення переліку вимог, сертифікація і атестація систем шифрування покладається на відповідний уповноважений орган виконавчої влади. Ця діяльність регламентується “Положенням про порядок здійснення криптографічного захисту інформації в Україні”.

2. Реалізація комплексу засобів захисту

До реалізації КЗЗ пред'являється ряд вимог.

По-перше, КЗЗ повинен забезпечувати безперервний захист об'єктів КС. Не повинно існувати можливості одержати доступ до об'єктів КС в обхід КЗЗ. КЗЗ, що реалізує політику безпеки, має бути безперервно захищений від злому і несанкціонованої модифікацiї. Жодна КС, що реалізує функції захисту, не може вважатись такою, якщо базові апаратні і програмні механізми, що реалізують політику безпеки, самі є суб'єктами для несанкціонованої модифікації або заміни.

По-друге, КЗЗ повинен мати модульну структуру. На рівні розгляду архітектури КС "модульність" означає, що КЗЗ має бути реалізований як набір відносно незалежних частин. Кожна з цих частин повинна взаємодіяти з іншими тільки через добре визначені iнтерфейси. На рівні розгляду архітектури КЗЗ "модульність" означає, що КЗЗ має бути спроектовано як набір логічних груп програмного і апаратного забезпечення так, щоб кожна група вирішувала певні завдання. Для ПЗ, наприклад, в простішому випадку під цим слід розуміти, що подібні функції мають бути зосереджені в певних вихідних файлах. Під жорсткiшими вимогами слід розуміти використання приховання даних, iнкапсуляцiї та інших механізмів, що дозволяють мати впевненість, що кожний модуль вирішує єдине завдання і що всі дані, якими він оперує, або визначені всередині і доступні як локальні, або передаються як параметри або схожим чином. Будь-яка взаємодія між компонентами повинна здійснюватись тільки через відомі і описані канали (iнтерфейси). Оскільки не в усіх випадках це можливо, то за умови забезпечення відповідних гарантій реалізації використання глобальних змінних допускається, хоч і не рекомендується. Посилення вимог до модульностi КЗЗ приводить до необхідності побудови КЗЗ відповідно до принципів пошарової архітектури: КЗЗ має бути спроектовано як набір груп функцій (шарів), що взаємодіють тільки з сусідніми нижнім і верхнім шарами.

3. Концепція диспетчера доступу

При реалізації КЗЗ використовується концепція диспетчера доступу. Ця концепція не єдино можливий метод, проте є найбільш опрацьованою теоретично і перевіреною на практиці.

Диспетчер доступу характеризується трьома атрибутами:

- забезпечує безперервний і повний захист;

- достовірний (захищений від модифікації);

- має невеликі розміри.

Це означає, що диспетчер доступу має бути завжди активним і повинен контролювати всі запити на доступ до будь-якого захищеного об'єкта, який піддається впливу. Диспетчер доступу має бути захищений від модифікацiї, що для програмної реалізації звичайно вважається ізоляцією домену КЗЗ від доменів інших процесів. І, нарешті, диспетчер доступу повинен мати невеликі розміри, щоб код (реалізація) був зрозумілим і його можна було перевірити в процесі оцінки. Термін "невеликий" (або "мiнiмiзований ") є відносним. На практиці це означає, що диспетчер доступу не повинен складати весь КЗЗ, а повинен включати мінімально необхідний набір механізмів, що безпосередньо реалізують перевірку легальностi запитів на доступ і, можливо, реєстрацію цих запитів.

Головна мета диспетчера доступу — забезпечення відомої точки проходження всіх запитів всередині КС і досягнення гарантії того, що потоки інформації між об'єктами-користувачами, об'єктами-процесами і пасивними об'єктами відповідають вимогам політики безпеки.

Класичний погляд на диспетчер доступу полягає в тому, що він служить бар'єром між інформацією, до якої хоче одержати доступ користувач, і самим користувачем. Диспетчер доступу дозволяє або забороняє доступ відповідно до того, чи є запит авторизованим. Рішення приймається на підставі перевірки атрибутів доступу користувача, процесу і пасивного об'єкта.

Узагальненням концепції диспетчера доступу є ідея герметизації, коли кожний об'єкт як би герметизовано диспетчером доступу, що утворює навкруги нього непрониклу оболонку. Кількість захищених (що знаходяться всередині оболонки) об'єктів може вар’юватись від одного об'єкта до всіх об'єктів системи. Таке подання є розширенням класичного підходу для розподілених і об'єктно-орієнтованих систем.

Методи реалізації концепції диспетчера доступу можуть бути різними. Незалежно від реалізації диспетчер доступу повинен забезпечити неможливість доступу до об'єкта в обхід механізмів захисту, перевірку наявності у користувача і/або процесу прав доступу до об'єкта і реєстрації подій, що відбуваються. Найбільш широке розповсюдження одержала реалізація класичного погляду на диспетчер доступу, яка називається "ядром захисту".

Специфічні практичні вимоги до організації систем захисту інформації в автоматизованих банківських системах (АБС) висунуті НБУ в „Положенні про організацію операційної діяльності в банках України” [16]:

1. Заходи контролю за системою автоматизації обліку мають передбачати перевіряння:

- відповідності програмно-технічних комплексів вимогам нормативно-правових актів Національного банку;

- виконання вимог розробників програмно-технічних комплексів щодо технічного та технологічного забезпечення;

- виконання вимог щодо організації захисту інформації під час користування програмно-технічними комплексами згідно з нормативно-правовими актами Національного банку та вимогами розробників систем захисту інформації.

2. Банки мають забезпечувати контроль за системою автоматизації обліку та перевіряти відповідність програмно-технічних засобів вимогам нормативно-правових актів Національного банку.

Програмно-технічні засоби, що застосовуються банками в процесі їх діяльності, мають відповідати їх функціональним, технологічним вимогам, а також вимогам щодо інформаційної безпеки тощо.

3. За допомогою програмно-технічних засобів має забезпечуватися:

- хронологічне та систематичне відображення всіх операцій на аналітичних рахунках бухгалтерського обліку на підставі первинних документів;

- своєчасне та повне відображення всіх операцій відділення банку (філії) на балансі цього банку;

- дотримання правил складання і подання фінансової та статистичної звітності банків;

- взаємозв'язок даних синтетичного та аналітичного обліку;

- накопичення та систематизація даних обліку в розрізі економічних показників, потрібних для складання звітності;

- автоматизований розрахунок економічних показників, що визначені відповідними методиками Національного банку;

- можливість оперативного аналізу фінансової діяльності банку в розрізі структурних підрозділів;

- інтегрованість з електронними системами інформаційного обміну Національного банку;

- інтегрованість з іншими складовими системи автоматизації банку, можливість отримувати інформацію про здійснені операції в будь-якому розрізі;

- уніфікація програмно-технічних рішень та технологій для структурних підрозділів банку;

- можливість нарощування функціональних характеристик програмного забезпечення, а також його адаптація в разі зміни законодавчої бази щодо облікових операцій.

4. Під час застосування програмно-технічних засобів має передбачатися таке:

- реалізація принципу надання користувачам необхідних повноважень;

- доступ з робочого місця працівника лише до тієї інформації, що потрібна користувачу для безпосереднього виконання його обов'язків;

- можливість докладного попереднього аналізу всієї вхідної інформації до часу її відображення в обліку;

- реалізація правила "двох рук" (операція не може бути ініційована та виконана одним користувачем системи), за винятком операцій, що здійснюються платіжними та іншими автоматизованими системами;

- реалізація банківського продукту згідно із затвердженою технологією оброблення інформації;

- надання користувачам повідомлення про наявність викривленої та/або суперечливої інформації;

- можливість автоматичного визначення джерела надходження суперечливої інформації та термінового інформування відповідних працівників банку про це і блокування роботи користувачів чи робочих місць до часу надання їм дозволу на проведення подальшої роботи;

- прийняття користувачами правильного рішення про те, яке з джерел інформації слід вважати сумнівним, а яке - достовірним;

- неможливість ігнорування інформації, що надійшла з будь-якого джерела;

- автоматичне присвоєння протягом одного операційного дня кожній операції певного ідентифікатора (номера). Цей ідентифікатор (номер) має вноситися до відповідного електронного документа;

- надійність та здатність до швидкого відновлення робочого процесу в разі виникнення технічних неполадок. Наявність резервного накопичення та зберігання всієї інформації для забезпечення відновлення роботи банку внаслідок виникнення форс-мажорних та інших непередбачуваних обставин або в разі ліквідації банку;

- автоматизація роботи з архівами системи. Можливість ознайомлення з будь-якою потрібною архівною інформацією протягом терміну її зберігання, у тому числі в розрізі структурних підрозділів банку (філій, відділень тощо). У цьому разі виконуються лише операції з перегляду, пошуку та формування вихідних документів;

- архівація - регламентна або позапланова (у разі потреби).

5. Програмне забезпечення банку має відповідати таким вимогам інформаційної безпеки:

- наявність системи захисту інформації, яку не можна відключити і неможливо здійснити оброблення інформації без її використання;

- забезпечення належного захисту інформації під час її передавання між різними підсистемами формування та оброблення інформації;

- для автоматизованих систем, які функціонують у режимі "клієнт-сервер", доступ користувачів до бази даних має відбуватися лише через додаткове програмне забезпечення, за допомогою якого здійснюється автентифікація осіб, яким дозволено користуватися цією базою даних;

- автентифікація користувача на кожному робочому місці та під час здійснення будь-яких операцій;

- забезпечення блокування роботи на кожному робочому місці під час багаторазових спроб (не більше трьох) неправильного введення паролю, якщо використовується парольний захист;

- наявність безперервного технологічного контролю за цілісністю інформації та накладання/перевіряння цифрового підпису на всіх банківських документах на всіх етапах їх оброблення;

- передавання електронних банківських документів, втрата або несанкціоноване ознайомлення з якими може завдати збитків банку, його відокремленим підрозділам або клієнту банку, відповідними каналами зв'язку електронною поштою або в режимі on-line лише зашифрованими з обов'язковим наданням підтвердження про їх отримання;

- обов'язкова реєстрація всіх спроб доступу, усіх операцій та інших дій, їх фіксація в автоматизованій системі в захищеному від модифікації електронному журналі з постійним контролем його цілісності.

Крім того, банкам слід:

- суворо дотримуватися і перевіряти виконання вимог щодо технічного та технологічного забезпечення їх діяльності, зокрема розміщення програмно-апаратних комплексів на таких комп'ютерах, що мають забезпечити їх надійне функціонування;

- уживати заходів для забезпечення безперебійного електроживлення та наявності резервних каналів зв'язку;

- перевіряти виконання вимог щодо організації захисту інформації в програмно-технічних комплексах згідно з нормативно-правовими актами Національного банку та вимогами розробників систем захисту інформації.

До приміщень банків, в яких обробляється банківська інформації НЬУ висунуті специфічні вимоги, викладені в „Правилах з технічного захисту інформації для приміщень банків, у яких обробляються електронні банківські документи” [12]:

1. Приміщення з обмеженим доступом - приміщення, у яких розташовані робочі місця з комп'ютерною технікою, обробляються електронні банківські документи, що містять відомості з грифом "Банківська таємниця", та інша електронна інформація, доступ до якої обмежений банком;

2. Комутаційні кімнати - приміщення, у яких розташовано телекомуніка-ційне обладнання, що забезпечує функціонування локальних і корпоративних мереж банку, а також зв'язок з іншими установами та мережами загального користування;

3. Серверні приміщення - приміщення, у яких розташовані сервери баз даних, сервери прикладних програм, файлові сервери тощо, на яких обробляються та зберігаються електронні банківські документи і бази даних.

До систем «електронної пошти» та „електронних банківських платежів” між комерційними банками та Національним банком України висунуті вимоги застосування апаратного та програмного криптографічного захисту файлової інформації згідно „Правил організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України” [11]:

1. У тексті Правил скорочення вживаються в такому значенні:

АКЗІ - апаратура криптографічного захисту інформації;

АРМ - автоматизоване робоче місце;

АРМ бухгалтера САБ - автоматизоване робоче місце САБ, на якому здійснюється формування файлів / онлайнових пакетів, які містять початкові платежі СЕП;

АРМ-СЕП - автоматизоване робоче місце АРМ-НБУ з програмними та апаратними засобами захисту інформації, яке призначене для роботи в СЕП;

АРМ-НБУ - автоматизоване робоче місце АРМ-НБУ-інформаційний з програмними засобами захисту інформації, яке призначене для роботи в інформаційних задачах Національного банку;

АС - автоматизована система;

ВК - відкритий ключ;

ГМД - гнучкий магнітний диск;

ЕЦП - електронний цифровий підпис;

засоби захисту - засоби захисту інформації Національного банку;

інформаційні задачі - програмно-технічні комплекси, які забезпечують оброблення та передавання інформації, що не належить до платіжних документів СЕП, з використанням засобів захисту інформації Національного банку між банками України, Національним банком, органами державної влади і небанківськими організаціями;

ПЕОМ - персональна електронна обчислювальна машина;

ПМГК - програмний модуль генерації ключів;

ТК - таємний ключ;

САБ - система автоматизації банку;

СЕП - система електронних платежів;

СК - смарт-картка;

ТВК - таблиця відкритих ключів.

2. Правила регламентують порядок отримання, обліку, передавання, використання та зберігання засобів захисту, виконання вимог щодо правил інформаційної безпеки в банках України, їх філіях, органах державної влади, небанківських установах, які є безпосередніми учасниками системи електронних платежів (далі - СЕП) та/або інформаційних задач (далі - організація), які згідно з договором з Національним банком отримали засоби захисту.

3. Організації отримують засоби захисту для використання в СЕП та/або інформаційних задачах Національного банку в територіальних управліннях Національного банку за місцем їх знаходження незалежно від моделі обслуговування кореспондентського рахунку в СЕП.

4. Система захисту електронних банківських документів Національного банку складається з комплексу апаратно-програмних засобів захисту інформації та ключової інформації до них, а також технологічних й організаційних заходів.

5. Система захисту електронних банківських документів охоплює всі етапи розроблення, упровадження й експлуатації програмно-технічного забезпечення СЕП та інформаційних задач автоматизації банківської діяльності. Ця система визначає чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання електронних банківських документів на всіх рівнях.

6. Організація, яка використовує засоби захисту, зобов'язана мати приміщення, у яких обробляються електронні банківські документи, використовуються та зберігаються в неробочий час засоби захисту, які відповідають вимогам НБУ.

Принципи побудови захисту електронних банківських документів в СЕП НБУ [ ]:

1. Система захисту електронних банківських документів (далі - система захисту) забезпечує:

а) захист від несанкціонованої модифікації та несанкціонованого ознайомлення зі змістом електронних банківських документів на будь-якому етапі їх оброблення;

б) автоматичне ведення захищеного від несанкціонованої модифікації протоколу оброблення електронних банківських документів з метою визначення причин появи порушень роботи програмно-технічних комплексів у СЕП;

в) захист від технічних порушень роботи апаратури (у тому числі від псування апаратних і програмних засобів, перешкод у каналах зв'язку);

г) умови для роботи програмно-технічних комплексів у СЕП, за яких фахівці банків - учасників СЕП і Національного банку не можуть утручатися в оброблення електронних банківських документів після їх формування, та автоматичний контроль на кожному етапі їх оброблення.

2. Система захисту:

а) охоплює всі етапи розроблення, упровадження та експлуатації програмно-технічного забезпечення в банках (філіях);

б) уключає технологічні, апаратні, програмні засоби та організаційні заходи захисту;

в) визначає чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання електронних банківських документів на всіх рівнях.

3. Технологічні засоби безпеки в СЕП

3.1. Технологічний контроль використовується для підвищення ступеня захисту електронних банківських документів у СЕП і здійснюється програмним забезпеченням на всіх рівнях їх оброблення, що дає змогу контролювати здійснення розрахунків протягом робочого дня, а також виконувати їх звіряння в кінці дня.

3.2. Технологічні засоби контролю включають:

механізм обміну квитанціями, який дає змогу однозначно ідентифікувати отримання адресатом будь-якого файла або пакета електронних банківських документів у СЕП і забезпечує можливість контролю отриманої в ньому інформації;

механізм інформування банку - учасника СЕП щодо поточного стану його кореспондентського рахунку за підсумками циклів оброблення платежів у ЦОСЕП;

механізм надання банку - учаснику СЕП інформації щодо поточного стану його технічного рахунку;

взаємообмін між банком і ЦОСЕП технологічною інформацією за підсумками банківського дня з переліком відображених за технічним рахунком міжбанківських електронних розрахункових документів, які оброблені засобами СЕП у файловому режимі та режимі реального часу, що дає змогу здійснювати їх програмне звіряння як у ЦОСЕП, так і в банку;

програмний комплекс самодіагностики, який дає змогу виявляти порушення цілісності баз даних програмного забезпечення ЦОСЕП, псування яких може виникнути внаслідок порушень функціонування системи, спроб несанкціонованого доступу або фізичного псування баз даних;

автоматичний механізм контролю за несанкціонованим модифікуванням робочих модулів;

механізм резервування для забезпечення швидкого відновлення роботи ЦОСЕП з мінімальними втратами інформації.

Технологічні засоби контролю, убудовані в програмне забезпечення, не можуть бути відключені. У разі виникнення нестандартної ситуації або підозри щодо несанкціонованого доступу ЦОСЕП автоматично формує повідомлення для оперативного реагування ЦРП.

До засобів контролю включають також:

технологічну інформацію ЦОСЕП про стан технічних рахунків і стан функціонування СЕП за підсумками банківського дня;

засоби аналізу причин невідповідності балансу.

4. Криптографічний захист інформації

4.1. Апаратно-програмні засоби криптографічного захисту інформації в СЕП забезпечують автентифікацію відправника та отримувача електронних банківських документів і службових повідомлень СЕП, гарантують їх достовірність та цілісність, неможливість підроблення або викривлення документів у шифрованому вигляді та за наявності ЕЦП.

Криптографічний захист інформації охоплює всі етапи оброблення електронних банківських документів з часу їх створення до зберігання в архівах банку. Використання різних криптографічних алгоритмів на різних етапах оброблення електронних банківських документів дає змогу забезпечити безперервний захист інформації в СЕП.

Криптографічний захист інформації забезпечує цілісність та конфіденційність електронної банківської інформації, а також сувору автентифікацію учасників СЕП і їх фахівців, які здійснюють підготовку та оброблення електронних банківських документів.

4.2. Для здійснення суворої автентифікації банків (філій), які є учасниками СЕП, застосовується система ідентифікації користувачів, яка є основою системи розподілу ключів криптографічного захисту.

Учасник СЕП для забезпечення захисту інформації має трибайтний ідентифікатор, перший знак якого є літерою відповідної території, на якій він розташований; другий та третій знаки є унікальними ідентифікаторами учасника СЕП у межах цієї території. Ідентифікатори мають бути узгоджені з адресами системи ЕП і бути унікальними в межах банківської системи України.

Трибайтні ідентифікатори є складовою частиною ідентифікаторів ключів криптографічного захисту для робочих місць САБ банку (філії), де формуються та обробляються електронні банківські документи. Ідентифікатор ключів криптографічного захисту для робочих місць складається з шести символів, з яких три перші є ідентифікаторами учасника СЕП, четвертий - визначає тип робочого місця (операціоніст, бухгалтер тощо), п'ятий і шостий - ідентифікатор конкретного робочого місця (тобто службовця, який відповідає за оброблення електронних банківських документів на цьому робочому місці). Трибайтний ідентифікатор учасника СЕП убудований у програму генерації ключів і не може бути змінений учасником СЕП, що забезпечує захист від підроблення ключів від імені інших учасників СЕП.

Ідентифікатори ключів записуються в апаратуру криптографічного захисту інформації (далі - АКЗІ), яка надається учасникам СЕП і забезпечує апаратне формування (перевірку) ЕЦП та апаратне шифрування (розшифрування) на АРМ-СЕП.

4.3. Для забезпечення захисту інформації від модифікації з одночасною суворою автентифікацією та безперервного захисту електронних банківських документів з часу їх формування система захисту СЕП уключає механізми формування (перевірки) ЕЦП на базі несиметричних алгоритмів RSA та ДСТУ 4145. Для забезпечення роботи алгоритму RSA учасник СЕП отримує від територіального управління персональний генератор ключів з убудованим ідентифікатором учасника СЕП. За допомогою цього генератора ключів учасник СЕП має змогу генерувати ключі для всіх робочих місць, де працюють з електронними банківськими документами. Кожен таємний ключ робочого місця обов'язково має бути захищений особистим паролем відповідальної особи, яка працює з цим ключем. Для забезпечення захисту ключової інформації (а саме відкритих ключів) від несанкціонованої модифікації відкриті ключі ЕЦП мають надсилатися до Департаменту інформатизації для сертифікації (крім відкритих ключів для робочих місць операціоністів, що використовуються лише в САБ).

Генерація ключів для АКЗІ здійснюється на комп'ютері, де розміщується програмно-технічний комплекс АРМ-СЕП, за допомогою генератора, убудованого в АРМ-СЕП. Для забезпечення безперебійної роботи АРМ-СЕП з апаратурою захисту під час генерації ключа АКЗІ згенерований ключ повинен записуватися на дві смарт-картки (основну та резервну).

Учасник СЕП зобов'язаний забезпечити дотримання механізму накладання (перевірки) ЕЦП згідно з вимогами цієї глави, які унеможливлюють формування та відсилання електронного банківського документа однією службовою особою.

Під час формування електронного банківського документа на робочому місці операціоніста САБ відповідальна особа, яка формує цей документ, має накладати ЕЦП на документ за допомогою свого таємного ключа. Під час формування файла (пакета) електронних банківських документів на робочому місці бухгалтера САБ накладається ЕЦП на цей файл (пакет) у цілому, що забезпечує його захист від модифікації. Сформований таким чином файл (пакет) обробляється АРМ-СЕП, де виконується перевірка ЕЦП операціоніста на кожному електронному банківському документі та накладається ЕЦП АРМ-СЕП, який можуть перевірити всі учасники СЕП. Під час оброблення файлів (пакетів) ЦОСЕП виконує перевірку підписів на кожному електронному банківському документі та файлі (пакеті) у цілому та після формування файлів (пакетів) відповідних платежів накладає ЕЦП на файл (пакет) у цілому за допомогою таємного ключа ЦОСЕП. Разом з цим на кожному електронному банківському документі залишається ЕЦП АРМ-СЕП учасника СЕП, який відправляв цей електронний банківський документ. Під час отримання файлів (пакетів) відповідних платежів виконується така сама перевірка (накладання) ЕЦП до часу остаточного оброблення документів операціоністом САБ отримувача.

Технологія оброблення платежів у САБ учасника СЕП забезпечує надійний розподіл доступу під час оброблення електронних банківських документів і захист цих документів від модифікації в локальній мережі банку. Виконання технології використання ЕЦП на всіх етапах оброблення електронних банківських документів є обов'язковою вимогою для всіх типів САБ, які працюють у банках (філіях), незалежно від моделі обслуговування консолідованого кореспондентського рахунку.

4.4. Для забезпечення конфіденційності інформація СЕП обробляється АРМ-СЕП, яке включає вбудовані засоби захисту інформації та забезпечує апаратне і програмне шифрування (розшифрування) інформації.

Основним засобом шифрування файлів (пакетів) СЕП є АКЗІ. Робота АКЗІ контролюється вбудованими в АРМ-СЕП програмними засобами захисту інформації і забезпечує апаратне шифрування (розшифрування) інформації за стандартом ГОСТ 28147.

Як резервний засіб шифрування в СЕП використовується вбудована в АРМ-СЕП функція програмного шифрування. Для кожного файла (пакета) СЕП, що обробляється АРМ-СЕП, генерується одноразовий ключ шифрування для алгоритму ГОСТ 28147-89, який обробляється відповідно до стандарту ISO 11166-94 і додається до повідомлення в зашифрованому вигляді. Такий спосіб передавання повідомлень забезпечує, що лише дійсний отримувач повідомлення має змогу виконати його розшифрування.

Засоби шифрування АРМ-СЕП (як АКЗІ, так і програмне шифрування) забезпечують сувору автентифікацію відправника та отримувача електронного банківського документа, цілісність кожного документа в результаті неможливості його підроблення або несанкціонованого модифікування в шифрованому вигляді.

АРМ-СЕП в режимі реального часу забезпечує додаткову сувору взаємну автентифікацію АРМ-СЕП учасника СЕП та ЦОСЕП під час встановлення сеансу зв'язку.

Під час роботи АРМ-СЕП створює шифровані архіви оброблених електронних банківських документів та захищений від модифікації протокол роботи АРМ-СЕП, у якому фіксуються всі дії, що ним виконуються, із зазначенням дати та часу оброблення електронних банківських документів. Наприкінці банківського дня шифровані архіви та протокол роботи АРМ-СЕП підлягають обов'язковому збереженню в архіві. Цей архів використовується для надання Національним банком інформаційних послуг відповідно до глави 6 цього розділу.

4.5. Основою криптографічного захисту є ключова інформація та ключі.

Ключова інформація містить ключі асиметричного криптографічного алгоритму, що генеруються учасником СЕП за допомогою наданих генераторів ключів та АРМ-СЕП для АКЗІ, а також ключів, що використовуються для апаратного шифрування у формі захищених записів на смарт-картках АКЗІ. Ключова інформація під час роботи АКЗІ використовується виключно всередині смарт-картки, що унеможливлює підроблення та перехоплення ключової інформації. Департамент інформатизації виготовляє АКЗІ та смарт-картки для кожного учасника СЕП на замовлення територіального управління, яке надає їх учасникам СЕП відповідно до умов договору.

Ключова інформація для програмного шифрування та для ЕЦП має генеруватися безпосередньо відповідальною особою банку (філії) у присутності адміністратора захисту інформації банку (філії) за допомогою генератора ключів, який надається учаснику СЕП територіальним управлінням. Генератори ключів є персональними для кожного учасника СЕП, мають убудований унікальний ідентифікатор учасника СЕП, який не може бути вилучений або змінений. Генератори мають змогу запису таємного ключа на носії двох видів - на дискету або на Touch Memory, у якому додатково вбудований захист від копіювання ключової інформації з одного носія на інший. Таємні ключі, які зберігаються на дискетах, обов'язково мають бути захищені паролем, що забезпечує додатковий захист від спроб несанкціонованого використання скопійованих таємних ключів. Довжина пароля становить шість символів і не може бути зменшена.

Підготовка генераторів ключів, АКЗІ зі смарт-картками, контроль за їх обліком і використанням, техніко-експлуатаційне обслуговування та ремонт АКЗІ, а також сертифікація відкритих ключів покладаються на Департамент інформатизації.

В національних системах платежів за допомогою пластикових карток НБУ висунув вимоги до організації захисту інформації, викладені в „ Положенні про захист інформації в Національній системі масових електронних плате-жів” [13]:

1. Вимоги Положення регламентують порядок отримання, обліку, використання, зберігання та виводу з обігу апаратно-програмних засобів захисту інформації Національної системи масових електронних платежів (далі - засоби захисту НСМЕП) та виконання правил інформаційної безпеки членами та учасниками НСМЕП.

2. У цьому Положенні вживається наступна специфічна термінологія:

АКС - автоматизована карткова система;

АРМ - автоматизоване робоче місце;

БПЦ - банківський процесинговий центр;

БТ - банківська таємниця;

БЦГКІ - банківський центр генерації ключової інформації;

ГПЦ - головний процесинговий центр;

ЗПЦ - "зовнішній" процесинговий центр (ЦОМП, студентський ПЦ тощо), не є процесинговим центром НСМЕП, але потребує обміну інформацією з РПЦ/ГПЦ;

МБ - модуль безпеки серверів НСМЕП;

НСД - несанкціонований доступ;

НСМЕП - Національна система масових електронних платежів;

ПТК - програмно-технічний комплекс;

ПЦ - процесинговий центр;

РПЦ - регіональний процесинговий центр;

СА - сервер авторизації;

САБ - система автоматизації банку;

СБД - сервер баз даних;

СЗ - сервер застосувань;

ЦГКІ - центр генерації ключової інформації;

ЦІСПК - центр ініціалізації та системної персоналізації карток;

МАС - код автентифікації повідомлення;

SAM - модуль безпеки термінала.

3. Система захисту НСМЕП складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту інформації в НСМЕП.

4. До складу АКС банків - учасників НСМЕП та/або БПЦ входять робочі АРМ та такі сервери: СА, СБД, СЗ і БЦГКІ.

Залежно від своїх потреб член/учасник НСМЕП вибирає ту чи іншу конфігурацію для виконання функцій НСМЕП:

Перша конфігурація - СА, СБД суміщений з СЗ та БЦГКІ, робочі АРМ. СА та СБД повинні розміщуватися в приміщенні з обмеженим доступом в екранованих шафах, обладнаних відповідно до вимог нормативно-правових актів Національного банку. СБД, суміщений з СЗ та БЦГКІ, повинен розміщуватися в приміщенні з обмеженим доступом, яке додатково обладнане сейфами (металеві міцні шафи) для зберігання резервних МБ, службових карток та відповідної документації. Доступ до цього приміщення має лише офіцер безпеки АКС члена/учасника НСМЕП.

Друга конфігурація - СА, СБД, СЗ, суміщений з БЦГКІ, робочі АРМ. СА та СБД повинні розміщуватися в серверному приміщенні, яке обладнане відповідно до вимог нормативно-правових актів Національного банку. СЗ повинен розміщуватися в приміщенні з обмеженим доступом, яке додатково обладнане сейфами (металеві міцні шафи) для зберігання резервних МБ, службових карток та відповідної документації. Доступ до цього приміщення має лише офіцер безпеки АКС члена/учасника НСМЕП.

Третя конфігурація - основний та резервні СА, СБД, основний, суміщений з БЦГКІ, та резервні СЗ, робочі АРМ. Основні та резервні СА, СБД та резервні СЗ повинні розміщуватися в серверному приміщенні, яке обладнане відповідно до вимог нормативно-правових актів Національного банку. Основні та резервні сервери рекомендується розміщувати в різних серверних приміщеннях за наявності кількох обладнаних приміщень. Якщо немає іншого серверного приміщення, то рекомендується резервні сервери розміщувати в іншому приміщенні з обмеженим доступом в екранованих шафах, які відповідають вимогам нормативно-правових актів Національного банку. Основний СЗ повинен розміщуватися в приміщенні з обмеженим доступом, яке додатково обладнане сейфами (металеві міцні шафи) для зберігання резервних МБ, службових карток та відповідної документації. Доступ до цього приміщення має лише офіцер безпеки АКС члена/учасника НСМЕП.

Четверта конфігурація - СА, СБД, СЗ, БЦГКІ, робочі АРМ. СА, СБД та СЗ повинні розміщуватися в серверному приміщенні, яке обладнане відповідно до вимог нормативно-правових актів Національного банку. БЦГКІ повинен розміщуватися в приміщенні з обмеженим доступом, яке додатково обладнане сейфами (металеві міцні шафи) для зберігання резервних МБ, службових карток та відповідної документації. Доступ до цього приміщення має лише офіцер безпеки АКС члена/учасника НСМЕП.

5. Вимоги до ПЦ НСМЕП.

До складу ПЦ (ГПЦ, РПЦ) НСМЕП входять робочі АРМ та такі сервери: СА, СБД і СЗ.

Перша конфігурація - СА, СБД, СЗ, робочі АРМ. СА, СБД і СЗ повинні розміщуватися в серверному приміщенні, яке обладнане відповідно до вимог нормативно-правових актів Національного банку.

Друга конфігурація - основний та резервний СА, СБД, основний та резервний СЗ, робочі АРМ. СБД, основні та резервні СА і СЗ повинні розміщуватися в серверному приміщенні, яке обладнане відповідно до вимог нормативно-правових актів Національного банку. Основні та резервні сервери рекомендується розміщувати в різних серверних приміщеннях за наявності кількох обладнаних приміщень. Якщо немає іншого серверного приміщення, то рекомендується резервні сервери розміщувати в іншому приміщенні з обмеженим доступом в екранованих шафах, які відповідають вимогам нормативно-правових актів Національного банку.

6. Вимоги до ЦІСПК.

ЦІСПК - єдиний програмно-апаратний комплекс, як правило, установлений на території виробника карток НСМЕП та включає такі частини:

- система ініціалізації та персоналізації карток (установка Prestige 300C.03.015 або інша та відповідне ПЗ);

- система керування (окремий комп'ютер з відповідним ПЗ).

ЦІСПК розміщується в окремому приміщенні з обмеженим доступом. Стіни приміщення повинні бути бетонними або цегляними. Приміщення повинне бути оснащене сигналізацією: на відкривання дверей та об'ємною, яка реагує на переміщення та охоплює зону сейфа, установки для ініціалізації та персоналізації карток, шафи для зберігання комп'ютерів. Двері приміщення повинні бути обшиті стальними полотнищами. Приміщення повинне мати сейф з двома відділеннями, що закриваються на різні замки, або два сейфи. Двері приміщення, сейф, шафа для зберігання комп'ютерів повинні мати оснащення для опечатування. За наявності в приміщенні вікон, отворів для вентиляції тощо, що перевищують 30 х 30 см, вони повинні бути перекриті ґратами з вічком не більше ніж 20 х 20 см.

Комп'ютер системи керування повинен мати МБ з активованою функцією НСД. Системний блок комп'ютера опечатується та розміщується в металевій шафі, яка зачиняється і також опечатується.

Виробник карток НСМЕП розробляє та погоджує з Національним банком заходи щодо захисту всього комплексу ЦІСПК у разі виникнення надзвичайної ситуації (пожежа, вибух, стихійне лихо тощо) та ознайомлює з ними працівників, що обслуговують цей комплекс.

Учасник НСМЕП - виробник карток обов'язково повинен призначити наказом відповідальну за програмно-апаратний комплекс ЦІСПК особу - офіцера безпеки ЦІСПК, якщо модуль безпеки програмно-апаратного комплексу ЦІСПК є власністю виробника карток. Копія цього наказу передається в управління захисту інформації Департаменту інформатизації.

7. Основи побудови ключової системи та криптографічного захисту інформації

Основною метою криптографічного захисту інформації в НСМЕП є забезпечення конфіденційності та цілісності (захисту від несанкціонованої модифікації) електронної інформації, а також суворої автентифікації всіх учасників платіжних операцій, підготовки та оброблення електронних документів.

Для забезпечення захисту інформації від модифікації система захисту НСМЕП включає механізми формування/перевірки МАС на базі симетричного алгоритму DES із застосуванням режиму використання унікального сесійного ключа для кожного повідомлення.

Для забезпечення конфіденційності інформації, що циркулює в НСМЕП, усі інформаційні пакети (телеграми), що містять конфіденційну інформацію, шифруються за допомогою симетричного алгоритму TDES із застосуванням того самого режиму використання сесійного ключа.

Для шифрування та обчислення МАС використовується програмно-апаратний модуль безпеки серверів НСМЕП та самі смарт-картки (як службові, так і платіжні).

Використання стандартизованих криптографічних алгоритмів у системі захисту інформації НСМЕП, реалізованих апаратно, гарантує задану криптостійкість. Ключі, які використовуються для захисту інформації НСМЕП, зберігаються в картках та МБ НСМЕП, із гарантією їх захищеності.

За своїм функціональним призначенням та місцем використання всі ключі НСМЕП можна розбити на три різні типи: транспортні, системні та банківські ключі.

Побудову транспортних та системних ключів виконує управління захисту інформації Департаменту інформатизації Національного банку. Побудову банківських ключів виконують банки-учасники та/або БПЦ НСМЕП за допомогою спеціального програмного забезпечення БЦГКІ, яке надається управлінням захисту інформації Департаменту інформатизації Національного банку.

1.3 Методика комплексної оцінки профілів захищеності інформації в автоматизованих системах

Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2 (локальні мережі) викладені в НД ТЗІ 2.5 -008-2002 [23] і установлюють згідно з визначеними НД ТЗІ 2.5-004 [21] специфікаціями мінімально необхідний перелік функціональних послуг безпеки та рівнів їх реалізації у комплексах засобів захисту інформації (стандартний функціональний профіль захищеності).

У цьому НД ТЗІ використовуються специфічні терміни й визначення, які відповідають встановленим НД ТЗІ 1.1-003 [20].

Крім того, використовуються такі поняття.

Сильнозв’язані об’єкти - сукупність наборів даних, що характеризується наявністю мінімальної надлишковості і допускають їх оптимальне використання одним чи декількома процесами як одночасно, так і в різні проміжки часу і вимагають безумовного забезпечення цілісності цих наборів даних як сукупності.

Фактично сильнозв’язаними об’єктами можуть бути бази даних, що підтримуються стандартними для галузі системами управління, сукупності наборів даних, які генеруються й модифікуються будь-якими функціональними або системними процесами і кожний з наборів даних, які складають цю множину, не може самостійно оброблятися, зберігатися і передаватися.

Слабозв’язані об’єкти – відносно незалежні набори даних, що генеруються, модифікуються, зберігаються й обробляються в АС.

Фактично слабозв’язані об’єкти - це інформаційні структури, представлені у вигляді окремих файлів, що підтримуються штатними операційними системами робочих станцій та серверів, і кожний з них може оброблятися, зберігатися й передаватися як самостійний об’єкт.

Позначення послуг безпеки згідно з НД ТЗІ 2.5-004 [21]

ДВ-1 - ручне відновлення;

ДЗ-1 – модернізація;

ДР-1 - квоти;

ДС-1 - стійкість при обмежених відмовах;

КА-2 - базова адміністративна конфіденційність;

КД-2 - базова довірча конфіденційність;

КО-1 - повторне використання об'єктів;

НИ-2 - одиночна ідентифікація та автентифікація;

НК-1 - однонаправлений достовірний канал;

НО-2 - розподіл обов'язків адміністраторів;

НТ-2 - самотестування при старті;

НР-2 - захищений журнал;

НЦ-2 - КЗЗ з гарантованою цілісністю;

ЦА-1 – мінімальна адміністративна цілісність;

ЦА-2 – базова адміністративна цілісність;

ЦД-1 - мінімальна довірча цілісність;

ЦО-1 - обмежений відкат.

Загальні вимоги із захисту конфіденційної інформації:

1. Впровадження заходів із захисту інформації в конкретній АС не повинно суттєво погіршувати основних її характеристик стосовно продуктивності, надійності, сумісності, керованості, розширюваності, масштабованості тощо.

2. Обробка в автоматизованій системі конфіденційної інформації здійснюється з використанням захищеної технології.

Технологія обробки інформації є захищеною, якщо вона містить програмно-технічні засоби захисту та організаційні заходи, що забезпечують виконання загальних вимог із захисту інформації. Загальні вимоги передбачають:

- наявність переліку конфіденційної інформації, яка підлягає автоматизованій обробці; у разі необхідності можлива її класифікація в межах категорії за цільовим призначенням, ступенем обмеження доступу окремих категорій користувачів та іншими класифікаційними ознаками;

- наявність визначеного (створеного) відповідального підрозділу, якому надаються повноваження щодо організації і впровадження технології захисту інформації, контролю за станом захищеності інформації (далі - служба захисту в АС, СЗІ);

- створення комплексної системи захисту інформації (далі - КСЗІ), яка являє собою сукупність організаційних і інженерно-технічних заходів, програмно-апаратних засобів, спрямованих на забезпечення захисту інформації під час функціонування АС;

- розроблення плану захисту інформації в АС, зміст якого визначено в додатку до НД ТЗІ 1.4-001;

- наявність атестата відповідності КСЗІ в АС нормативним документам із захисту інформації;

- можливість визначення засобами КСЗІ декількох ієрархічних рівнів повноважень користувачів та декількох класифікаційних рівнів інформації;

- обов’язковість реєстрації в АС усіх користувачів та їхніх дій щодо конфіденційної інформації;

- можливість надання користувачам тільки за умови службової необхідності санкціонованого та контрольованого доступу до конфіденційної інформації, що обробляється в АС;

- заборону несанкціонованої та неконтрольованої модифікації конфіденційної інформації в АС;

- здійснення СЗІ обліку вихідних даних, отриманих під час вирішення функціональних задач у формі віддрукованих документів, що містять конфіденційну інформацію, у відповідності з “Інструкцією про порядок обліку, зберігання й використання документів, справ, видань та інших матеріальних носіїв інформації, які містять конфіденційну інформацію, що є власністю держави”;

- заборону несанкціонованого копіювання, розмноження, розповсюдження конфіденційної інформації в електронному вигляді;

- забезпечення СЗІ контролю за санкціонованим копіюванням, розмноженням, розповсюдженням конфіденційної інформації в електронному вигляді;

- можливість здійснення однозначної ідентифікації та автентифікації кожного зареєстрованого користувача;

- забезпечення КСЗІ можливості своєчасного доступу зареєстрованих користувачів АС до конфіденційної інформації.

3. Характеристика типових умов функціонування та вимог із захисту інформації в автоматизованій системі класу 2.

До АС класу 2, згідно з встановленою НД ТЗІ 2.5-005 [22] класифікацією, відносяться автоматизовані системи, створені на базі локалізованого багатомашинного багатокористувачевого комплексу.

До складу АС класу 2 входять обчислювальна система, фізичне середовище, в якому вона знаходиться і функціонує, користувачі АС та оброблювана інформація, у тому числі й технологія її оброблення. Під час забезпечення захисту інформації необхідно враховувати всі характеристики зазначених складових частин, які мають вплив на реалізацію політики безпеки.

4. Характеристика обчислювальної системи

4.1. Метою створення автоматизованих систем класу 2 є надання будь-якому користувачеві, у відповідності із захищеною технологією обробки інформації, потенційної можливості доступу до інформаційних ресурсів усіх комп’ютерів, що об’єднані в обчислювальну мережу.

Узагальнена функціонально-логічна структура обчислювальної системи АС класу 2 включає:

- підсистему обробки інформації;

- підсистему взаємодії користувачів з АС;

- підсистему обміну даними.

4.2. Підсистема обробки інформації реалізує головну цільову функцію АС і складається із засобів обробки інформації, які утворюють основу інформаційно-обчислювальних ресурсів АС, що надаються користувачам (обчислення, пошук, зберігання та оброблення інформації). Принциповими її особливостями є багатофункціональність і можливість доступу до неї для будь-яких робочих станцій АС. Можливі обмеження визначаються тільки специфікою технологій, технічними й організаційними особливостями функціонування АС.

Як компоненти підсистеми можуть використовуватися універсальні високопродуктивні ЕОМ (у тому числі й ПЕОМ), спеціалізовані сервери обробки даних або надання послуг (сервери баз даних, друку тощо).

4.3. Підсистема взаємодії користувачів з АС забезпечує користувачам доступ до засобів підсистеми обробки інформації і подання отриманого від них ресурсу у вигляді результату обчислення, інформаційного масиву або графічного зображення у зручній та зрозумілій для користувача формі.

Компоненти підсистеми у функціональному відношенні є автономно замкненими та, як правило, не передбачається доступ до їх внутрішніх обчислювальних ресурсів зі сторони інших компонентів АС.

Як компоненти підсистеми можуть використовуватися ПЕОМ, що укомплектовані засобами введення та відображення інформації (робочі станції), дисплейні станції.

4.4. Підсистема обміну даними забезпечує взаємодію робочих станцій із засобами підсистеми обробки інформації, а також робочих станцій між собою на основі визначених правил, процедур обміну даними з реалізацією фаз встановлення, підтримання та завершення з’єднання. Підсистема забезпечує інформаційну взаємодію різних компонентів АС і об’єднує їх в єдине ціле як у структурному, так і у функціональному відношенні.

Підсистема обміну даними складається з пасивної мережі для обміну даними (кабельна мережа), активного мережевого обладнання (комутаторів, концентраторів, маршрутизаторів, шлюзів тощо), що об’єднує в єдине ціле пасивну мережу з обладнанням інших підсистем для забезпечення інформаційної взаємодії.

Як різновид підсистеми обміну даними можна розглядати структуровану кабельну систему – набір стандартних комутаційних елементів (кабелів, з’єднувачів, коннекторів, кросових панелей і спеціальних шаф та ін.), які дозволяють створювати регулярні структури передачі даних, що відносно легко розширюються.

4.5. Обчислювальні системи, за допомогою яких реалізуються підсистема обробки інформації та підсистема взаємодії користувачів з АС, укомплектовані:

- засобами обчислювальної техніки;

- периферійним обладнанням - пристроями друку, зберігання інформації тощо;

- комплексом програмного забезпечення обчислювальної системи;

- комплексом програмно-апаратних засобів захисту інформації.

У разі необхідності засоби обчислювальної техніки додатково можуть комплектуватися сумісними периферійними пристроями і відповідними модулями системного програмного забезпечення.

4.6. Комплекс програмного забезпечення обчислювальної системи складають:

- операційні системи серверів;

- операційні системи універсальних високопродуктивних ЕОМ;

- операційні системи робочих станцій;

- операційні системи, що забезпечують виконання мережевих функцій;

- програмні засоби, що підтримують реалізацію протоколів передачі даних обчислювальної мережі;

- програмні засоби активних компонентів мережі, що реалізують спеціальні алгоритми управління мережею;

- системи керування базами даних серверів, високопродуктивних універсальних ЕОМ, робочих станцій;

- програмні засоби забезпечення КЗЗ;

- функціональне програмне забезпечення.

4.7. Наведена функціонально-логічна структура АС може розглядатися як універсальна, в той час як фізична структура автоматизованої системи може мати значно більшу кількість модифікацій в залежності від цілей та завдань, які вона повинна вирішувати, способу розподілу функцій між окремими технічними засобами, видів та можливостей технічних засобів, що застосовуються, інших специфічних особливостей, які враховуються під час проектування конкретної обчислювальної мережі.

5. Характеристика користувачів

5.1. За рівнем повноважень щодо доступу до інформації, характером та складом робіт, які виконуються в процесі функціонування автоматизованих систем, особи, що мають доступ до АС, поділяються на наступні категорії:

- користувачі, яким надано повноваження розробляти й супроводжувати КСЗІ (адміністратор безпеки, співробітники СЗІ);

- користувачі, яким надано повноваження забезпечувати управління АС (адміністратори операційних систем, СКБД, мережевого обладнання, сервісів та ін.);

- користувачі, яким надано право доступу до конфіденційної інформації одного або декількох класифікаційних рівнів;

- користувачі, яким надано право доступу тільки до відкритої інформації;

- технічний обслуговуючий персонал, що забезпечує належні умови функціонування АС;

- розробники та проектувальники апаратних засобів АС, що забезпечують її модернізацію та розвиток;

- розробники програмного забезпечення, які здійснюють розробку та впровадження нових функціональних процесів, а також супроводження вже діючих;

- постачальники обладнання і технічних засобів АС та фахівці, що здійснюють його монтаж, поточне гарантійне й післягарантійне обслуговування;

- технічний персонал, що здійснює повсякденне підтримання життєдіяльності фізичного середовища АС (електрики, технічний персонал з обслуговування будівель, ліній зв’язку тощо).

5.2. Усі користувачі та персонал АС повинні пройти підготовку щодо умов та правил використання технічних та програмних засобів, які застосовуються ними під час виконання своїх службових та функціональних обов’язків.

5.3. Доступ осіб всіх категорій, зазначених у п. 6.3.1, до конфіденційної інформації та її носіїв здійснюється на підставі дозволу, що надається наказом (розпорядженням) керівника організації. Дозвіл надається лише для виконання ними службових та функціональних обов’язків і на термін не більший, ніж той, що цими обов’язками передбачений.

Якщо в АС встановлено декілька класифікаційних рівнів конфіденційної інформації, кожній особі з допущених до роботи в АС мають бути визначені її повноваження щодо доступу до інформації певного класифікаційного рівня.

Дозвіл на доступ до конфіденційної інформації, що обробляється в АС, може надаватися лише користувачам. Як виключення, в окремих випадках (наприклад, аварії або інші непередбачені ситуації) дозвіл може надаватися іншим категоріям осіб на час ліквідації негативних наслідків і поновлення працездатності АС.

5.4. Персонал АС, розробники програмного забезпечення, розробники та проектувальники апаратних засобів, постачальники обладнання та фахівці, що здійснюють монтаж і обслуговування технічних засобів АС, і не мають дозволу на доступ до конфіденційної інформації, можуть мати доступ до програмних та апаратних засобів АС лише під час робіт із тестування й інсталяції програмного забезпечення, встановлення і регламентного обслуговування обладнання тощо, за умови обмеження їх доступу до даних конфіденційного характеру.

Зазначені категорії осіб повинні мати дозвіл на доступ тільки до конфіденційних відомостей, які містяться в програмній і технічній документації на АС або на окремі її компоненти, і необхідні їм для виконання функціональних обов’язків.

5.5. Порядок та механізми доступу до конфіденційної інформації та компонентів АС особами різних категорій розробляються СЗІ та затверджуються керівником організації.

5.6. Для організації управління доступом до конфіденційної інформації та компонентів АС необхідно:

- розробити та впровадити посадові інструкції користувачів та персоналу АС, а також інструкції, якими регламентується порядок виконання робіт іншими особами з числа тих, що мають доступ до АС;

- розробити та впровадити розпорядчі документи щодо правил перепусткового режиму на територію, в будівлі та приміщення, де розташована АС або її компоненти;

- визначити правила адміністрування окремих компонентів АС та процесів, використання ресурсів АС, а також забезпечити їх розмежування між різними категоріями адміністраторів;

- визначити правила обліку, зберігання, розмноження, знищення носіїв конфіденційної інформації;

- розробити та впровадити правила ідентифікації користувачів та осіб інших категорій, що мають доступ до АС.

6. Характеристика оброблюваної інформації

6.1. В АС обробляється конфіденційна інформація, володіти, користуватися чи розпоряджатися якою можуть окремі фізичні та/або юридичні особи, що мають доступ до неї у відповідності до правил, встановлених власником цієї інформації.

6.2. В АС може зберігатися і циркулювати відкрита інформація, яка не потребує захисту, або захист якої забезпечувати недоцільно, а також відкрита інформація, яка у відповідності до рішень її власника може потребувати захисту.

6.3. Конфіденційна й відкрита інформація можуть циркулювати та оброблятися в АС як різними процесами для кожної з категорій інформації, так і в межах одного процесу.

6.4. У загальному випадку в АС, безвідносно до ступеню обмеження доступу, інформація за рівнем інтеграції характеризується як:

- сукупність сильнозв’язаних об’єктів, що вимагають забезпечення своєї цілісності як сукупність;

- окремі слабозв’язані об’єкти, що мають широкий спектр способів свого подання, зберігання й передачі і вимагають забезпечення своєї цілісності кожний окремо.

Незалежно від способу подання об’єкти можуть бути структурованими або неструктурованими.

КСЗІ повинна реалізувати механізми, що забезпечують фізичну цілісність слабозв’язаних об’єктів, окремих складових сильнозв’язаних об’єктів, та підтримку логічної цілісності сильнозв’язаних об’єктів, що розосереджені в різних компонентах АС.

6.5. В АС присутня інформація, яка за часом існування та функціонування:

- є швидкозмінюваною з відносно коротким терміном її актуальності;

- має відносно тривалий час існування при високому ступені інтеграції і гарантуванні стану її незруйнованості за умови приналежності різним користувачам, в рамках сильно- або слабозв’язаних об’єктів.

КСЗІ повинна забезпечити доступність зазначених видів інформації у відповідності до особливостей процесів, що реалізують інформаційну модель конкретного фізичного об’єкта.

6.6. АС повинна забезпечувати підтримку окремих класів сукупностей сильнозв’язаних об’єктів стандартними для галузі системами керування базами даних, іншими функціональними чи системними процесами,
які надають можливість здійснення паралельної обробки запитів і мають засоби, що в тій чи іншій мірі гарантують конфіденційність і цілісність інформації на рівні таблиць, стовпців таблиці, записів таблиці.

АС повинна забезпечувати підтримку окремих класів сукупностей слабозв’язаних об’єктів стандартними для галузі операційними системами, які мають засоби, що в тій чи іншій мірі гарантують конфіденційність і цілісність інформації на рівні сукупності файлів, окремих файлів.

КСЗІ повинна гарантувати забезпечення цілісності, конфіденційності й доступності інформації, яка міститься в сильно- або слабозв’язаних об’єктах і має ступінь обмеження ДСК, згідно з визначеними у цьому документі вимогами до відповідного функціонального профілю захищеності.

7.13 З урахуванням характеристик і особливостей подання оброблюваної інформації, особливостей процесів, що застосовуються для її оброблення, а також порядку роботи користувачів та вимог до забезпечення захисту інформації в АС класу 2 визначаються такі технології обробки інформації:

- обробка без активного діалогу зі сторони користувача слабозв’язаних об’єктів, що вимагають конфіденційності оброблюваної інформації, або конфіденційності й цілісності оброблюваної інформації;

- обробка без активного діалогу зі сторони користувача сильнозв’язаних об’єктів, що вимагають конфіденційності та цілісності оброблюваної інформації;

- обробка в активному діалоговому режимі зі сторони користувача слабозв’язаних об’єктів, що вимагають конфіденційності та доступності оброблюваної інформації, або конфіденційності та цілісності оброблюваної інформації;

- обробка в активному діалоговому режимі зі сторони користувача сильнозв’язаних об’єктів, що вимагають конфіденційності, цілісності та доступності оброблюваної інформації.

Визначені вище технології обробки інформації можуть бути застосовані як до АС в цілому, так і до окремих її компонентів або процесів, що використовуються в АС. Одночасно в АС можуть застосовуватись декілька технологій.

7.14 Обробка без активного діалогу зі сторони користувача слабозв’язаних об’єктів у загальному випадку представляє собою обробку окремого набору даних (або певної їх множини, але послідовно одне за одним) у фоновому режимі, який забезпечується операційними системами (за виключенням однокористувацьких однозадачних), що використовуються на робочих станціях та серверах автоматизованої системи.

Обробка без активного діалогу зі сторони користувача сильнозв’язаних об’єктів являє собою вирішення в фоновому режимі комплексів функціональних задач, які взаємодіють із базами даних, що підтримуються стандартними для галузі СКБД, а також реалізацію будь-яких інших процесів, які здійснюють одночасну обробку певної множини наборів даних, що мають між собою логічні зв’язки.

Обробка в активному діалоговому режимі зі сторони користувача слабозв’язаних об’єктів являє собою обробку окремого набору даних у режимі реального часу в діалозі між користувачем та прикладним процесом, що цю обробку здійснює (наприклад, створення та редагування текстів, і тому подібне).

Обробка в активному діалоговому режимі зі сторони користувача сильнозв’язаних об’єктів являє собою процеси реалізації в режимі реального часу взаємодії між користувачем та базою даних або сильнозв’язаними об’єктами (наприклад, будь-які інформаційні системи, що побудовані з використанням баз даних та СКБД і працюють у реальному часі; будь-які системи автоматизованого проектування тощо).

7.15 Перелік мінімально необхідних рівнів послуг безпеки, які реалізуються КЗЗ (функціональний профіль захищеності), вибирається в залежності від технологій обробки інформації, що застосовуються (відповідно до п. 6.5.13), та з урахуванням типових умов функціонування АС. Для АС класу 2 визначаються такі стандартні функціональні профілі захищеності оброблюваної інформації:

- під час застосування технології, що вимагає підвищених вимог до забезпечення конфіденційності оброблюваної інформації:

2.К.3 = {КД-2, КА-2, КО-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2};

- під час застосування технології, що вимагає підвищених вимог до забезпечення конфіденційності та цілісності оброблюваної інформації:

2.КЦ.3 = {КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2};

- під час застосування технології, що вимагає підвищених вимог до забезпечення конфіденційності та доступності оброблюваної інформації:

2.КД.1а = {КД-2, КА-2, КО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2};

- під час застосування технології, що вимагає підвищених вимог до забезпечення конфіденційності, цілісності та доступності оброблюваної інформації:

2.КЦД.2а = {КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

7.16 У разі необхідності для конкретної АС до визначених цим НД ТЗІ функціональних профілів захищеності можуть вводитися додаткові послуги безпеки, а також підвищуватись рівень будь-якої з наведених послуг.

За певних обставин в КСЗІ вимоги до політики реалізації окремих послуг безпеки можуть частково забезпечуватися організаційними або іншими заходами захисту. Якщо ці заходи у повному обсязі відповідають встановленим НД ТЗІ 2.5-004 специфікаціям для певного рівня послуги безпеки, то рівень такої послуги, що входить до визначених у п. 6.5.15 профілів захищеності, може бути знижений на відповідну величину.

Як виняток, послуга безпеки, що входить до визначених у п. 6.5.15 профілів захищеності, може не реалізовуватись, якщо її політика у повному обсязі відповідно до моделі захисту інформації спрямована на нейтралізацію лише несуттєвих загроз, визначених моделлю загроз для інформації в АС.

7.17 У випадках, коли в АС для окремих компонентів існують відмінності у характеристиках фізичного та інформаційного середовищ, середовища користувачів, технологій оброблення інформації, рекомендується визначати перелік мінімально необхідних рівнів послуг для кожного компонента окремо.

7.18. Політика безпеки інформації в АС повинна поширюватися на об’єкти комп’ютерної системи, які безпосередньо чи опосередковано впливають на безпеку конфіденційної інформації.

До таких об’єктів належать:

- адміністратор безпеки та співробітники СЗІ;

- користувачі, яким надано повноваження інших адміністраторів;

- користувачі, яким надано право доступу до конфіденційної інформації або до інших видів інформації;

- слабо- та сильнозв’язані об’єкти, які містять конфіденційну інформацію або інші види інформації, що підлягають захисту;

- системне та функціональне програмне забезпечення, яке використовується в АС для оброблення інформації або для забезпечення КЗЗ;

- технологічна інформація КСЗІ (дані щодо персональних ідентифікаторів та паролів користувачів, їхніх повноважень та прав доступу до об’єктів, встановлених робочих параметрів окремих механізмів або засобів захисту, інша інформація баз даних захисту, інформація журналів реєстрації дій користувачів тощо);

- засоби адміністрування та управління обчислювальною системою АС та технологічна інформація, яка при цьому використовується;

- окремі периферійні пристрої, які задіяні у технологічному процесі обробки конфіденційної інформації;

- обчислювальні ресурси АС (наприклад, дисковий простір, тривалість сеансу користувача із засобами АС, час використання центрального процесора і т. ін.), безконтрольне використання яких або захоплення окремим користувачем може призвести до блокування роботи інших користувачів, компонентів АС або АС в цілому.

РОЗДІЛ 2

АНАЛІЗ СТРУКТУРИ ТА ЗАХИСТУ ІНФОРМАЦІЙНИХ ПОТОКІВ В АВТОМАТИЗОВАНІЙ БАНКІВСКІЙ СИСТЕМІ (АБС) АКБ «ПРОМІНВЕСТБАНК»

2.1 Характеристика діяльності АТЗТ “АК ПРОМІНВЕСТБАНК” за 2004 – 2009 роки

Український акціонерний комерційний промислово-інвестиційний банк (Промінвестбанк України) створено 26 серпня 1992 року в результаті роздер-жавлення та приватизації республіканської інфраструктури Промстройбанку СРСР в Україні. У процесі акціонування та приватизації до державного бюдже-ту України спрямовані кошти, еквівалентні 1 млрд. дол. США [83].

Станом на 01.01.2008 року статутний капітал банку становив 200 175 000 грн., розподілених на 20 175 000 простих акцій номінальною вартістю 10 грн. за 1 акцію. Згідно з нижченаведеними даними, за результатами 2007 року ніщо не передвіщало миттєве технічне банкрутство банку у 3 кварталі 2008 року, зупинку платіжних операцій та операційної діяльності банку, масовий відток капіталу та неповернення кредитів позичальниками, стабілізаційний кредит НБУ та введення тимчасової адміністрації НБУ, продаж банку новим акціонерам з Росії та відродження його діяльності з початком 2-го кварталу 2009 року після інвестування грошової готівкової маси на рівні 800 млн.доларів США.

Організаційна структура самостійної юридичної особи - акціонерне товариство закритого типу “Акціонерний комерційний промислово-інвестиційний банк” (Україна, 01001, Київ-1, пров. Шевченка, 12) станом на 31.12.2008 року представлене 825 установами, в тому числі [83]:

- ОПЕРУ Промінвестбанку - 1;

- філії - 161;

- безбалансові відділення - 662;

- Представництво в Російській Федерації - 1.

На кінець 2008 року структура Центрального Апарату банку складалася із п’яти Головних регіональних управлінь (Східно-Донбаського, Центрально-Київського, Південно-Індустріального, Харківського та Західно-Українського), 17 департаментів (Генеральний департамент обліку та банківського контролю, Фінансовий департамент, Департамент пасивів, Департамент кредитування, Департамент споживчого кредитування, Планово-аналітичний департамент, Департамент фінансового моніторингу, Департамент безпеки банку, Юридичний департамент, Департамент управління персоналом, Департамент розвитку банку, Департамент капітального будівництва, Департамент внутрішнього аудиту, Господарський департамент, Департамент цінних паперів, Департамент валютних операцій, Департамент касових операцій та інкасації), Центру комп'ютерних та пластикових технологій.

Банк має наступні ліцензії та дозволи на здійснення операцій [83]:

- Ліцензія Національного банку України № 1 від 31.10.2001 року та дозволи на проведення банківських операцій (дозвіл №1-3 від 31.10.01р. та додаток до дозволу №1-3 від 20.01.06р.);

- Ліцензія Державної комісії з цінних паперів та фондового ринку (серія АА №770422 від 13.10.04р. строком дії до 13.10.07р.) на здійснення професійної діяльності на ринку цінних паперів: діяльність по випуску та обігу цінних паперів; депозитарна діяльність зберігача цінних паперів; діяльність щодо ведення реєстру власників іменних цінних паперів;

- Ліцензія Міністерства фінансів України (серія АБ №108675 від 23.05.05р. строком дії до 23.05.10р.) на проведення операцій з торгівлі з купленими у населення та прийнятими під заставу з ювелірними та побутовими виробами з дорогоцінних металів та дорогоцінного каміння.

В Дніпропетровській області Промінвестбанк представлений 7 філіями – балансовими відділеннями Промінвестбанку та 52 безбалансовими відділеннями, які структурно входять до філій [83]:

1. Відділення Промінвестбанку в м.Дніпропетровськ , 49000, м.Днiпpопетpовськ, вул.Ленiна, 17 (+ 12 безбалансових відділень);

2. Відділення Промінвестбанку в м.Жовтi Води Дніпропетровської області , 52204, Дніпропетровська обл., м.Жовтi Води, вул.І.Богуна, 75-а;

3. Центpально-мiське відділення Промінвестбанку в м.Кpивий Рiг Дніпропетровської області, 50000, Дніпропетровська обл., м.Кpивий Piг, пp.К.Маpкса, 5 (+ 24 безбалансових відділень);

4. Відділення Промінвестбанку в м.Hiкополь Дніпропетровської області 53210, Дніпропетровська обл., м.Hiкополь, пp.Тpубникiв, 11-б (+ 7 безбалансових відділень);

5. Відділення Промінвестбанку в м.Hовомосковськ Дніпропетровської області, 51200, Дніпропетровська обл., м.Hовомосковськ, вул.М.Головка, 1;

6. Відділення Промінвестбанку в м.Павлогpад Дніпропетровської області 51400, Дніпропетровська обл., м.Павлогpад, пpов.Музейний, 2 (+ 7 безба-лансових відділень);

7. Відділення Промінвестбанку в м.Днiпpодзеpжинськ Дніпропетровської області , 51929, Дніпропетровська обл., м.Днiпpодзеpжинськ, пp.Ленiна, 4 (+ 2 безбалансових відділення);

Промінвестбанк є універсальним фінансовим інститутом, що надає весь спектр банківських послуг юридичним і фізичним особам. Банк переважно спеціалізується на кредитуванні підприємств промисловості, агропромислового комплексу, розрахунково-касовому обслуговуванні юридичних осіб.

Здійснюється весь спектр валютно-обмінних операцій, а саме: купівля-продаж готівкової іноземної валюти, приймання на інкасо банкнот іноземних держав, виплата валюти за платіжними картками.

У 2006 - 2009 роках Промінвестбанк продовжував співпрацювати з американською компанією MoneyGram Payment Systems, Inc. по здійсненню міжнародних грошових переказів в іноземній валюті за дорученням фізичних осіб по системі MoneyGram. Промінвестбанк є одним із найбільших агентів компанії MoneyGram в Україні та в країнах СНД (враховуючи Росію), які пропонують цю послугу.

Протягом звітного року мережа пунктів обслуговування переказів Промінвестбанку збільшена з 425 до 599 пунктів (в 1,40 раза). В них здійснюються операції по відправленню та виплаті транскордонних термінових грошових переказів з 170 країн світу, в яких діють 100 тис. пунктів MoneyGram.

З 2006 року Промінвестбанк розпочав здійснювати міжнародні грошові перекази в доларах США та євро за дорученням та на користь фізичних осіб по системі CONTACT. Ця система має 29 тис. пунктів обслуговування та дає можливість здійснювати грошові перекази з 81 країни світу.

За рік мережа пунктів обслуговування переказів Промінвестбанку по системі CONTACT зросла до 599 пунктів.

В березні 2006 року Промінвестбанк уклав договір з компанією Travelex Money Transfer, Ltd. (Англія) щодо впровадження в Промінвестбанку міжнародних грошових переказів по системі Travelex, яка дасть можливість здійснювати грошові перекази в доларах США та євро за дорученням та на користь фізичних осіб в 138 країнах світу. Здійснення переказів по системі Travelex планується розпочати в 2007 році.

Протягом 2006 -2008 років банк активно працював на ринку платіжних карток. Загальна кількість випущених платіжних карток для клієнтів банку складала на кінець 2008 року 3407,4 тисяч штук проти 2781,4 тисяч за 2007 рік (приріст 626,0 тисяч, що складає 1,23 раза). Найбільшими темпами зростали картки міжнародних платіжних систем. Їх кількість зросла за рік на 538,8 тисяч (1,35 раза) і склала на 31 грудня 2008 року 2071,1 тисяч. Кількість банкоматів банку збільшилась за рік на 205 одиниць (в 1,2 раза) і складала на кінець року 1380 одиниць. В 2006 році банком запроваджено надання послуг клієнтам через систему “Інтернет-Клієнт-Банк“. Надалі збільшуватимуться обсяги та якість послуг населенню в сфері безготівкових платежів та грошових переказів, зберігання цінностей та продажа банківських металів, надання послуг по відкриттю і веденню пенсійних рахунків [83].

Промінвестбанк має солідну клієнтську базу - майже 4 млн. громадян та суб'єктів господарської діяльності, надає клієнтам понад 300 видів послуг: від розрахунково-касового обслуговування до сучасних електронних послуг та опе-рацій з банківськими металами, постійно вдосконалює форми обслуговування клієнтів.

Промінвестбанк є одним із лідерів ринку пластикових технологій. Банком емітовано більше 4 млн. карток, в тому числі 2,6 млн. карток міжнародних пла-тіжних систем, встановлено 1,7 тис. банкоматів.

Промінвестбанк підтримує відносини з більш ніж 200 провідними інозем-ними фінансовими установами. Клієнти банку здійснюють свої розрахунки через 35 кореспондентських рахунків Промінвестбанку, що відкриті у 22 банках світу.

Банк активно працює в системі банківських телекомунікацій SWIFT та REUTER, здійснює перекази фізичних осіб за міжнародними системами Money Gram та Contact. Маючи 669 пунктів обслуговування переказів в усіх регіонах України, Промінвестбанк є одним з найбільших агентів компанії MoneyGram як в Україні, так і в країнах СНД. За результатами 2006 року Промінвестбанк от-римав нагороду за найбільшу ринкову частку у здійсненні грошових переказів в іноземній валюті за дорученням та на користь фізичних осіб по системі Money-Gram в Україні, а у 2007 році - за успішний початок здійснення грошових переказів за системою Western Union.

В табл.2.1 наведені основні характеристики діяльності АТЗТ “АК Промін-вестбанк” за 2004 – 2007 роки у формі абсолютних значень характеристик та відповідного рейтингового місця банку у банківській системі України по відпо-відній характеристиці. Одночасно в табл.2.1 та на рис.2.1 наведений обсяг рин-ку банківських послуг, який займає АТЗТ “АК Промінвестбанк” в загальних обсягах БС України, поступово втрачаючи позиції під впливом конкурентів.

Як показує аналіз даних табл.2.1 на ринку залучених депозитних коштів, які є предметом дипломного дослідження, Промінвестбанк займав 1(2004) –2(2007) місця по обсягах депозитів юридичних осіб та 3(2004) – 4(2007) місця по обсягах залучення депозитів фізичних осіб, по загальному обсягу валюти балансу банк займав 3 місце у 2004 році та 6 місце у 2007 році.

Спільний аналіз даних табл.2.1 та графіків рис.2.1 – 2.2 дозволяє виявити наступні тенденції внутрішнього розвитку АТЗТ «АК Промінвестбанк» та вплив зовнішнього конкурентного середовища банківської системи України на частку, яку займає банк на ринку банківських капіталів та послуг в Україні.

Так за 2004 – 2007 роки у АТЗТ «АК Промінвестбанк»:

а) абсолютний обсяг валюти балансу збільшився з 10,6 млрд.грн. до 26,1 млрд.грн., тобто зріс в 2,46 раза. Але при цьому ринкова частка обсягу валюти баланса банка в загальному обсягу валюти баланса банківської системи України зменшилась з рівня 8,1% у 2004 році до рівня 4,46% у 2007 році, тобто зменши-лась в 1,81 раза.

В результаті за обсягом валюти балансу банк за 4 роки перемістився з 3 місця в БС України на 6 місце (рис.2.2);

б) абсолютний обсяг власного капіталу збільшився з 1,167 млрд.грн. до 2,683 млрд.грн., тобто зріс в 2,3 раза. Але при цьому ринкова частка обсягу власного капіталу банка в загальному обсягу власного капіталу банківської системи України зменшилась з рівня 6,29% у 2004 році до рівня 3,28% у 2007 році, тобто зменшилась в 1,71 раза.

В результаті за обсягом власного капіталу банк за 4 роки перемістився з 3 місця в БС України на 6 місце;

в) абсолютний обсяг поточних і строкових депозитів фізичних осіб збільшився з 3,466 млрд.грн. до 10,173 млрд.грн., тобто зріс в 2,93 раза. Але при цьому ринкова частка обсягу поточних і строкових депозитів фізичних осіб в загальному обсягу поточних і строкових депозитів фізичних осіб банківської системи України зменшилась з рівня 8,51% у 2004 році до рівня 6,3% у 2007 році, тобто зменшилась в 1,35 раза.

Таблиця 2.1

Динаміка характеристик та рейтингових місць АТЗТ “АК Промінвестбанк” в банківській системі України

у 2004 –2007 роках

Рис.2.1. – Динаміка конкурентного падіння ринкової частки АТЗТ «АК Промінвестбанк» в загальній валюті активів, власного капіталу та залучених коштів БС України у 2004 -2007 роках

Рис.2.2. – Визначення ринкової частки загальних активів балансу АТЗТ “АК Промінвестбанк” в активах банківської системи України (158 діючих банків) станом на 01.01.2008 року

В результаті за обсягом поточних і строкових депозитів фізичних осіб банк за 4 роки перемістився з 3 місця в БС України на 4 місце;

г) абсолютний обсяг поточних і строкових депозитів юридичних осіб збільшився з 5,599 млрд.грн. до 10,786 млрд.грн., тобто зріс в 1,93 раза. Але при цьому ринкова частка обсягу поточних і строкових депозитів юридичних осіб в загальному обсягу поточних і строкових депозитів юридичних осіб банківської системи України зменшилась з рівня 11,93% у 2004 році до рівня 7,137% у 2007 році, тобто зменшилась в 1,67 раза.

В результаті за обсягом поточних і строкових депозитів юридичних осіб банк за 4 роки перемістився з 1 місця в БС України на 2 місце;

д) абсолютний обсяг чистого прибутку банку збільшився з 0,122 млрд. грн. до 0,234 млрд.грн., тобто зріс в 1,92 раза. Але при цьому ринкова частка обсягу чистого прибутку банку в загальному обсягу чистого прибутку банків-ської системи України зменшилась з рівня 9,31% у 2004 році до рівня 3,64% у 2007 році, тобто зменшилась в 2,55 раза.

В результаті за обсягом чистого прибутку банк за 4 роки перемістився з 2 місця в БС України на 7 місце;

е) рентабельність статутного капіталу банку(ROE) за рахунок стратегії капіталізації дивідендів в спеціальному фонді та постійному рівні статутного капіталу збільшилась з рівня 61,11% у 2004 році (5 рейтингове місце) до рівня 117,1 % у 2007 році (1 рейтингове місце), тобто зросла в 1,92 раза. Але при цьому рентабельність активів банку (ROA) зменшилась з рівня 1,154% у 2004 році (55 рейтингове місце) до рівня 0,898 % у 2007 році (45 рейтингове місце), що, за нормативами НБУ, характеризує банк як низькорентабельний.

Таким чином, фінансовий важель залучених коштів в АТЗТ «АТ Промін-вестбанк» працює з високою ефективністю, але є значні резерви росту рента-бельності статутного капіталу за рахунок підвищення рентабельності роботи активів банку.

Восени 2008 року Промінвестбанк зазнав значних втрат ліквідності внаслідок масового відтоку коштів клієнтів. З метою стабілізації діяльності та відновлення ліквідності банку 7 жовтня 2008 року Національним банком України в Промінвестбанку було призначено Тимчасову адміністрацію.

15 січня 2009 року Державна комісія з цінних паперів та фондового ринку видала Свідоцтво про те, що випуск акцій Промінвестбанку на загальну суму 1 мільярд 300 мільйонів 175 тисяч гривень внесено до Загального реєстру випуску цінних паперів. Реєстраційний номер - №505/1/08, дата реєстрації - 30 грудня 2008 року.

Відповідно до результатів викупу додаткової емісії акцій Державна корпорація "Банк розвитку та зовнішньоекономічної діяльності (Зовнішеконом-банк)" (Росія) отримала контроль над 75 відсотками акцій Акціонерного комерційного промислово-інвестиційного банку (Промінвестбанк). На сьогодні найбільшими акціонерами банку є Державна корпорація "Банк розвитку та зовнішньоекономічної діяльності (Внєшекономбанк)" (Росія) - 75 % акцій, та ТОВ Сігнус (дочірня компанія SLAV AG) - 12,37 % акцій.

19 березня 2009 року призначено новий склад Правління Промінвестбан-ку. Наказом Тимчасового адміністратора Промінвестбанку від 16 березня 2009 року №95-к Головою Правління Промінвестбанку призначено Віктора Башкі-рова. 19 березня 2009 року наказом Тимчасового адміністратора від 16 березня 2009 року №96-к членами Спостережної Ради Промінвестбанку призначено:

Дмітрієва Володимира Олександровича - Голову Правління Державної корпорації "Банк розвитку і зовнішньоекономічної діяльності "Зовнішекономбанк" (Російська Федерація);

Дмітрієва Кирила Олександровича - керуючого Партнера ICON Private Equity;

Глазьєва Сергія Юрійовича - директора Інституту нової економіки Державного університету управління (Російська Федерація);

Мініна Володимира Володимировича - директора Департаменту управління ризиками "Зовнішекономбанку (Росія)";

Гончаренка Михайла Борисовича - Генерального директора ВАТ "Укрпідшипник"

Головою Спостережної Ради призначено Дмітрієва В.О.

Планом фінансового оздоровлення Промінвестбанку, наданим новими акціонерами банку, окрім збільшення статутного капіталу, передбачено додат-кове фінансування на суму понад 7 мільярдів гривень та залучення клієнтів з великими грошовими потоками, що дасть можливість якнайшвидше відновити повноцінну та ефективну роботу Промінвестбанку.

Перший транш, передбачений Планом фінансового оздоровлення, обся-гом 390 мільйонів доларів США надійшов 10 лютого 2009 року, другий транш у сумі 325 мільйонів доларів США - 20 лютого 2009 року. Відповідно до Плану фінансового оздоровлення Промінвестбанку 20 березня 2009 року банк отримав третій транш довгострокових ресурсів від Зовнішекономбанку (Росія) у розмірі 285 мільйонів доларів США.

17 березня 2009 року у зв'язку з тим, що Промінвестбанк працює у зви-чайному режимі, дотримуючись встановлених Національним банком України економічних нормативів, виконується план фінансового оздоровлення та призначені керівні органи Промінвестбанку, Правління Національного банку України прийняло рішення про припинення діяльності Тимчасової адміністрації в Промінвестбанку (постанова Правління НБУ від 17.03.09 №139).

В табл А.1- А.4 Додатку А наведені баланси та звіти про результати фінансової діяльності АК «АКБ Промінвестбанк» за 2008 рік та за 1 квартал 2009 року, аналіз яких показує, що за 3-4 квартали 2008 та 1 квартал 2009 року:

Відток коштів юридичних осіб з банку склав більше 7 млрд.грн.;

Відток коштів фізичних осіб з банку склав більше 1,6 млрд.грн.;

Витрати банку на створення резервів на погіршення кредитного портфелю склали більше 1,8 млрд.грн.;

Збиток діяльності банку за 1 квартал 2009 троку становить -200 млн.грн. при прибутку за 2008 рік +99 млн.грн.;

Віддток коштів компенсований коштами «Зовнішекономбанку».

2.2 Стисла структура АТЗТ «АК Промінвестбанк» та загроз виконання функціональних задач в АБС банку

Банківські послуги АТЗТ «АК Промінвестбанк», які повинна обслуговувати АБС банку, розбиті на наступні сегменти:

Юридичним особам

Фізичним особам

Банкам

Вкладні операції

Валютні операції

Курси валют

Фондовий ринок

Пластикові картки

Банкомати та POS-термінали

Інноваційно-інвестиційна діяльність

В наведених сегментах банком реалізуються наступні посліги

1. Послуги юридичним особам

- Відкриття, переоформлення різних видів рахунків у національній та іноземній валюті

Залучення на депозити коштів юридичних осіб

Проведення операцій по рахунках. Списання та зарахування коштів з використанням систем електронних платежів

Видача довідок про стан рахунків, виписок, дублікатів, бланків різних фінансових документів

Операції з чеками

Касове обслуговування

Відкриття, ведення, переоформлення, закриття акредитивів

Виконання інкасових доручень

Платіжні картки

Система "Клієнт-банк"

Система "Голосова довідкова служба"

Система "Інтернет Клієнт-Банк"

Послуга "Корпоративний контроль"

Дистанційний моніторинг рахунків клієнтів

Кредити та гарантії суб'єктам підприємницької діяльності

Валютні операції

Операції на фондовому ринку

2. Послуги фізичним особам

- Прийом вкладів у різних видах валют: строкові, до запитання

- Виплата заробітної плати, пенсій та грошової допомоги, інших надходжень через поточні рахунки вкладників. Виплата готівки по цих рахунках

- Перерахування коштів з рахунків фізичних осіб на рахунки юридичних осіб

- Безготівкові розрахунки за товари та послуги

- Приймання комунальних та інших платежів

- Експрес-платежі через Інтернет

- Перекази коштів, в т.ч. за кордон:

а) Термінові грошові перекази в системі Промінвестбанку

б) Перекази коштів по системі MoneyGram

в) Перекази коштів по системі CONTACT

г) Перекази коштів по системі Western Union

д) Перекази коштів по системі Coinstar

- Операції з банківськими металами

- Продаж ощадних сертифікатів

- Видача та обслуговування пластикових платіжних карток

- Надання в оренду індивідуальних сейфів для зберігання цінностей

- Кредити фізичним особам на споживчі цілі

- Валютні операції

- Дистанційний моніторинг рахунків клієнтів

- Електронні ваучери

- Картки передплачених послуг міжнародного зв'язку

- Призначення дати співбесіди для отримання віз до Німеччини, Франції, Іспанії та Швейцарії

3. Вкладні операції

- Поточні рахунки фізичних осіб

- Рахунки для отримання адресної матеріальної допомоги та соціально-орієнтованих виплат

- Вклад "Депозитний" оновлений!

- Вклад "Експрес" новий!

- Вклад "Надійний" новий!

- Вклад "Добробут" новий!

- Вклад "Дружині"

- Вклад "Коханій"

- Вклад "Співдружність"

- Вклад "Інвестиційний депозит"

- Вклад "Прогресивний"

- Вклад "Ветеран Плюс"

- Вклад “Ветеран”

- Вклад “Повноліття” оновлений!

- Додаткові послуги

- Депозитні платіжні картки власникам банківських вкладів

4. Валютні операції

- Курси купівлі-продажу готівкової іноземної валюти

- Фінансування експортно-імпортних операцій та інвестиційних проектів за рахунок кредитних ліній іноземних банків

- Здійснення платежів та зарахування надходжень у різних валютах

- Операції з чеками

- Виплати по міжнародних пластикових картках

- Купівля-продаж, обмін валют:

а) Купівля-продаж безготівкової іноземної валюти за гривню

б) Купівля-продаж однієї іноземної валюти за іншу іноземну валюту

в) Валютно-обмінні операції з готівковою іноземною валютою

г) Конвертація готівкової іноземної валюти

д) Приймання на інкасо банкнот іноземних держав

е) Ввезення в Україну та вивезення за межі України готівкової іноземної валюти

- Валютний дилінг

5. Операції на фондовому ринку

- Операції з корпоративними цінними паперами, надання брокерських послуг через біржі

- Послуги з організації випуску та обігу облігацій підприємств

- Операції з векселями

- Реєстраторські послуги:

а) Послуги по формуванню системи реєстру

б) Послуги по веденню системи реєстру

в) Інші послуги

г) Послуги за рахунок зареєстрованих осіб або учасників операції

- Послуги Зберігача цінних паперів

- Надання консалтингових та інформаційних послуг

6.Пластикові картки

6.1 Міжнародні платіжні картки

- Замовлення карток on-line

- Платіжні картки для фізичних осіб

- Особисті платіжні картки

- Пенсійні платіжні картки

- Соціальні платіжні картки

- Картки VISA Platinum та MasterCard Platinum

- Платіжні картки VISA Virtuon для розрахунків в мережі Інтернет

- Депозитні платіжні картки власникам банківських вкладів

- Платіжні картки для суб'єктів підприємницької діяльності (корпоративні картки)

- "Зарплатні" карткові проекти Промінвестбанку

- Додаткові послуги держателям міжнародних платіжних карток

а) Експрес-платежі через Інтернет

б) Кредитування держателів міжнародних пластикових карток

в) Страхування від нещасного випадку та медичних витрат під час поїздки за межі України

г) Дистанційний моніторинг рахунків клієнтів

д) Продаж електронних ваучерів в банкоматах банку

е) Поповнення рахунку за номером мобільного телефону через банкомати банку

ж) Списання та перерахування коштів з карткового рахунку за дорученням держателя платіжної картки

з) Переказ коштів через банкомати банку

і) Встановлення персональних лімітів активності

к) Медична та юридична допомога держателям карток VISA Platinum

- Розрахункове обслуговування операцій з використанням міжнародних платіжних карток

- Довідкова інформація для Держателів міжнародних платіжних карток Промінвестбанку

- Словник карткових термінів

- Банкомати Промінвестбанку міжнародних платіжних систем VISA і MasterCard International

6.2. Внутрішні платіжні картки Промінвестбанку

Промінвестбанк, використовуючи систему процесингу внутрішньої платіжної картки, надає можливість клієнту, у якого відкритий картковий рахунок в національній валюті на основі внутрішньої платіжної картки Промінвестбанку, здійснювати операції в будь-якій філії банку незалежного від того, де відкрито його поточний рахунок. У системі процесингу задіяно понад 100 філій банку. Використання власного емісійного центру забезпечує своєчасний випуск внутрішніх платіжних карток клієнтам - фізичним особам.

Підключення торгових точок до системи процесінгу надає можливість безготівкового обслуговування клієнта-держателя внутрішньої платіжної картки Промінвестбанку. Клієнту достатньо ідентифікувати свою картку в комплексі, а після розрахунків з його особового карткового рахунку автоматично списуються кошти за придбаний товар.

Промінвестбанк пропонує підприємствам - клієнтам банку впровадження зарплатних проектів на основі внутрішньої платіжної картки Промінвестбанку. Обслуговування фізичних осіб, які є працівниками підприємства - клієнта Промінвестбанку, вигідне як підприємству, так і банку. По-перше, зарплатний проект на основі платіжних карток - нагальна необхідність часу, зручність, гарантія збереження коштів, по-друге, розвиваються взаємовигідні стосунки між банком та підприємством.

6.3. Експрес-платежі через Інтернет з застосуванням міжнародних платіжних карток.

Усі власники карток міжнародних платіжних систем VISA International та MasterCard мають можливість з Інтернет-сайту Промінвестбанку через систему Portmone.com здійснити експрес-платежі, сплативши рахунки за:

комунальні послуги в містах Києві та Кременчуці (ГІОЦ КМДА, КП НВФ "ВАС");

послуги місцевого та міжміського телефонного зв'язку ("Укртелеком", "Утел");

аналогового та цифрового телебачення, інтернету ("Воля-Кабель", "FREENET", "IP.net", "Alternet", "Colocall");

мобільного зв'язку ("МТС-Україна", "Київстар", "Beeline", "LIFE", "PEOPLЕnet");

кабельного телебачення ("Інформаційні технології", "КиївТелеСервіс", "Укртелебуд");

поповнення телефонних рахунків для абонентів "СDМА Ukraine",

страхові послуги компаній "АСКА-життя", "Фортіс Страхування життя Україна" та інше.

Оплата рахунків здійснюється шляхом списання коштів із платіжної картки та їх зарахування на рахунок компанії, що надає послуги, протягом одного робочого дня. Для здійснення розрахунків у мережі Інтернет Промінвестбанк пропонує спеціальну платіжну картку VISA Virtuon.

На рис.2.3 наведена структура автоматизованої банківської системи (АБС), яка виконує задачі по ініціалізації, обліку, звітності та збереження банківських операцій за вищенаведеним переліком банківських послуг.

Рис.2.3. – Макрофункціональна схема АБС комерційного банку

Автоматизована банківська система (АБС) — це система, яка функціонує на основі ЕОМ та інших технічних засобів, що забезпечують процеси збору, реєстрації, передачі, обробки, збереження та актуалізації даних для розв’язання завдань управління банківською діяльністю.

Автоматизована банківська система повинна бути інтегрованою. Інтегрована — це така система, що побудована на загальносистемних принципах й охоплює всю сукупність банківських задач. Вона вирішує питання автоматизації комплексно з урахуванням інформаційних і функціональних зв’язків. Як будь-яка система, АБС може бути представлена у вигляді певної сукупності підсистем. До складу АБС входять забезпечуючі та функціональні підсистеми.

Забезпечуючі підсистеми об’єднують в собі всі види ресурсів, необхідні для функціонування системи. До їх складу відносяться такі підсистеми: інфор-маційного, програмного, математичного, технічного, лінгвістичного та орга-нізаційно-правового забезпечення.

Інформаційне забезпечення (позамашинне та внутрімашинне) — це сукупність уніфікованих форм первинних документів, систем класифікації і кодування та методів їх застосування в банківській діяльності, а також файли даних, що зберігаються у базі даних і використовуються для автоматизованого вирішення функціональних задач.

Технічне забезпечення — це комплекс технічних засобів, який включає до свого складу обчислювальну техніку та засоби збору і передачі даних для інформаційного обміну як всередині банку, так і при взаємодії з іншими банками та клієнтами.

Математичне забезпечення являє собою сукупність алгоритмів та економіко-математичних моделей, які характеризують процедури обробки даних та формування бухгалтерської і статистичної звітності.

Організаційно-правове забезпечення — це сукупність нормативно-правових документів та інструктивних і методичних матеріалів, які регламентують права й обов’язки спеціалістів та визначають технологічний порядок функціо-нування АБС.

Лінгвістичне забезпечення включає до свого складу мовні засоби, що використовуються в системі: мови програмування, інформаційно-пошукові мови, мови опису метаданих, мови запитів і спілкування користувачів з системою й інші мовні засоби.

Функціональні підсистеми об’єднують блоки, комплекси та окремі задачі, які реалізують певні банківські функції.

Функціональні підсистеми виокремлюють, виходячи з певних ознак уп-равління. Враховуючи багатоаспектність банківських завдань, виникає проб-лема декомпозиції АБС на функціональні підсистеми. Функціональна підсис-тема — це певна частина загальної системи управління, яка виділена відповідно до спільності функціональних ознак управління. Основою для функціональної декомпозиції можуть бути такі характеристики: функція, період і об’єкт управ-ління.

Автоматизована банківська система повинна забезпечувати:

автоматизацію внутрібанківської діяльності, і насамперед внутрибанкiвських операцій, пов’язаних з обробкою платiжних та інших документів у тих пiдроздiлах банкiвської установи, які працюють безпосередньо з клiєнтами;

автоматизацію виконання мiжбанкiвських розрахунків та інших зов-нiшньобанкiвських операцій;

автоматизацію фінансових операцій в межах міжнародного банківсь-кого бізнесу.

Вивчення структур різних банківських систем та проведене певне їх узагальнення дають змогу виділити такі основні функціональні підсистеми АБС (рис.2.13) :

- операційний день банку (ОДБ),

- управління кредитними ресурсами (Кредити),

- управління валютними операціями (Валютні операції),

- управління депозитами (Депозити),

- управління цінними паперами (Цінні папери),

- управління касою (Каса),

- внутрибанківський облік (Внутрішній облік),

- управління розрахунками з використанням пластикових карток (Карткові операції),

- звітність, аналіз діяльності банку (Аналіз).

АБС — це технологічна система, яка забезпечує функціонування банків-ської установи. Ядром АБС є підсистема ОДБ, яка інформаційно зв’язана з ін.-шими функціональними підсистемами.

Крім внутрішніх інформаційних зв’язків, АБС характеризується великим спектором інформаційних зв’язків із зовнішнім середовищем, в ролі якого виступають клієнти банку, інші банки, фінансові та державні органи. Загальну структурну схему побудови АБС представлено на рис. 2.4.

Рис. 2.4. Структурна схема АБС

На рис.2.5 наведена апаратно-структурна реалізація АБС в багатофілійному досліджуємому АКБ «Промінвестбанк», який у 2009 році після приходу нових російських інвесторів прийняв стратегію підвищення рівня захисту та сертифікованості банківських програмних продуктів, замінює автоматизова-ну банківську систему, засновану на засобах комплексної системи автоматиза-ції фірми SYBASE та програмних продуктах власної розробки банку, на новіт-ню Автоматизовану Банківську систему "БАРС-Millennium" фірми «Уніті-Барс», яка впроваджена в Національному банку України, в Державному ощад-ному банку України та інших великих комерційних банках України.

Автоматизована Банківська Система «Bars Millennium» [61], надалі АБС, являє собою складну потужну й гнучку систему автоматизації банківських процесів. Побудована на модульній основі, що опирається на сучасну СУБД корпорації Oracle та використовуюча інші продукти цієї корпорації, АБС дозволяє реалізувати різнопрофильні рішення для різних фінансових сфер, дозволяє зберігати й обробляти великі обсяги даних, дозволяє проводити аналіз даних будь-якої складності й глибини.

АБС являє собою 2-х рівневу архітектуру доступу до даних. Більша частина бізнес-логіки винесена на рівень схеми й процедур БД. Останнім часом все більше число завдань і нових модулів реалізується в багаторівневій архітектурі з використанням мережних технологій і серверів додатків.

АБС параметризирована, що дозволяє врахувати при настроюванні інди-відуальні особливості банку, оснащена гнучкою системою адміністрування й надійною системою розмежування прав і захисту даних. Багаторівневі системи фінансового візування й верифікації, роздільного доступу до фінансових ресурсів банку забезпечують надійну фінансову безпеку. АБС може взаємодіяти з більшістю сучасних криптографічних засобів захисту. АБС має відкриту систе-му імпорту-експорту, що дозволяє їй інтегруватися в будь-які комплексні рі-шення автоматизації.

Основними концепціями АБС «Bars Millennium» є:

- орієнтація на промислові сервера баз даних Oracle;

- використання архітектури « Клієнт-Сервер»;

- незалежність клієнтської частини від використовуваного сервера;

- транзакційність;

- підтримка цілісності на рівні СУБД;

- набір внутрішніх обмежень цілісності й правил зберігання даних;

- зберігання й обробка великих обсягів інформації;

Рис.2.5. - Архітектура системи АБС АКБ «Промінвестбанк»

Особливості побудови АБС: модульність; мультивалютність; багато- національність (переклад на різні мови); можливість застосування різних офісних додатків для обробки інформації; гнучка система адміністрування; наявність блоків системи захисту даних; багаторівнева система візування; багаторівнева система роздільного доступу до фінансових і технічних ресурсів банку.

Модулі АБС “БАРС-Millennium” [61]:

- Ядро АБС “БАРС-Millennium”.

- Адміністрування системи АБС і її користувачів;

- Безпека;

- База МетаДаних і Система побудови запитів і звітів;

- Головна книга;

- Настроювання операцій;

- Статзвітність;

- Реєстрація клієнтів і рахунків;

- Розрахунково-Касове Обслуговування;

- Web ядро ( Web-Інфраструктура й базовий набір функціональності: реєстрація клієнтів і рахунків, введення документів, РКО);

- Фінансовий моніторинг;

- Депозити фізичних осіб;

- Депозити фізичних осіб ( Web-Інтерфейс);

- Комунальні платежі;

- Комунальні платежі ( Web-Інтерфейс)

- Депозити юридичних осіб;

- Кредити юридичних осіб;

- Кредити фізичних осіб;

- Споживчі кредити ( Web-Інтерфейс);

- Розрахунок резервів;

- Овердрафт;

- Валютний контроль (Експортно-імпортні операції);

- Міжбанківські кредити/депозити;

- Міжфілійні кредити/депозити;

- FOREX-Угоди (Міжбанківський FOREX);

- Міжфілійний FOREX;

- Біржові операції (Клієнтський FOREX);

- Аналітичний модуль (Аналіз кредитного та депозитного портфелів, економічних нормативів, управлінський облік);

- Аналіз клієнтів;

- Аналіз банків;

- Податковий облік;

- Інтерфейс із системою S.W.I.F.T.;

- Портфель гарантій;

- Цінні папери;

- Факторинг;

- Розрахунок фінансового стану клієнта;

- Портфель договорів на абонентські послуги;

- Регулярні платежі;

- Покриття чеків;

- Система поширення ПО (СРПО);

- Модуль власної платіжної систем (МВПС).

АБС «БАРС-Millennium» реалізована як Windows-Додаток, зі зручним інтерфейсом. Всі функції, що виконуються в АБС, розділені в АРМ (Автома-тизоване Робоче Місце) по необхідних наборах. Таких АРМів існує безліч із можливістю за бажанням створювати нові й модифікувати існуючі. Кожний користувач, увійшовши в АБС під своїм ім'ям і паролем, бачить і працює зі своїм набором даних йому АРМів.

Кожна функція в АРМі – це виконання певних дій, робота з певними екранними формами, певні операції. Єдиним способом модифікації фінансових даних в АБС є операція – побудована транзакція, що, доступна для ручного введення або автоматична, у якій можна вказати: рахунки, тип, додаткові реквізити, тип друкованого документа, об'єднати операції в папки по типах (каса, міжбанк і т.д.), указати доступ до операцій користувачів і т.д. Життєвий цикл операції в АБС має на увазі створення (введення), перевірку її легітним-ності довільною кількістю віз і після цього остаточну оплату документа. Така система візування (перевірки) дозволяє уникати безлічі помилок і повернень при помилках. Первинні документи відповідають прийнятим НБУ стандартам.

Ведеться архів документів користувачів АБС, стану рахунків. Користувачам надаються зручні для роботи довідники. Є велика кількість звітів, функція для роботи з якими підтримує інтерфейс із MSOffice. Механізм створення таких звітів досить простий і зручний в обігу, що дозволяє технологам банку самим створювати потрібні звіти. Звітні файли (як НБУ, так і користувача) можна формувати за будь-який період дат.

АБС дозволяє одночасно й повнофункціонально працювати в різних банківських днях. Це особливо корисно, коли необхідно при роботі в системі «електронних платежів» СЕП у поточному дні, одночасно контролювати проводки в минулому дні перед формуванням статистичної звітності НБУ.

АБС «БАРС-Millennium» – гнучка система розвитку автоматизації банка, що дозволяє набудовувати й створювати нові операції, нові запити, нові функ-ції, нові робочі місця й т.д.

Основні загрози безпеки АБС можна розподілити на такі групи: інформаційні, програмно-математичні, фізичні, радіоелектронні, організаційно-правові (див. рис. 2.6) :

Несанкціонований доступ — вид комп’ютерних порушень, який полягає в отриманні користувачем доступу до об'єкта, на який у нього немає санкціонованого дозволу адміністратора системи.

Маніпулювання даними —
це свідома фальсифікація, дезинформація чи приховування даних.

Установка програмних закладок —
цеспеціально розроблена і приховано впроваджена в захищену систему програма, яка дає змогу зловмиснику дістати доступ до захищених ресурсів системи.

Неправильне розмежування прав доступу —
це надання певних повноважень особам, які не є відповідальними за ту чи іншу технологічну операцію. Будь-яка захищена система містить засоби, що використовуються в надзвичайних ситуаціях, коли користувач повинен мати можливість доступу до всіх наборів системи. Звичайно ці засоби використовуються адміністраторами, операторами, системними програмістами та іншими користувачами, що виконують спеціальні функції. Надання цих повноважень більш широкому колу спеціалістів є серйозною загрозою безпеки системи.

Кожний з користувачів системи повинен мати чіткі і обмежені його посадовими функціями права доступу до ресурсів системи. Набори прав доступу повинні охоронятися системою захисту від несанкціонованого (незаконного) їх захоплення.

До основних засобів захисту інформації можна віднести такі: фізичні засоби, апаратні засоби, програмні засоби, апаратно-програмні засоби, криптографічні та адміністративні методи.

Рис.2.6. Загрози безпеці АБС комерційного банку

Фізичні засоби захисту — це засоби, необхідні для зовнішнього захисту ЕОМ, території та об’єктів на базі обчислювальної техніки, які спеціально призначені для створення фізичних перешкод на можливих шляхах проникнення і доступу потенційних порушників до компонентів інформаційних систем та інформації, що захищаються. Спектр сучасних фізичних засобів захисту дуже широкий. Це різного роду замки, які можуть встановлюватись на вході в приміщення та на блоках системи, це системи пожежної сигналізації і т.п. До цієї групи засобів захисту також належать різні засоби екранування робочих приміщень та каналів передачі даних.

Апаратні засоби захисту — це різні електронні, електронно-механічні та інші пристрої, які вмонтовуються в серійні блоки електронних систем обробки і передачі даних для внутрішнього захисту засобів обчислювальної техніки: терміналів, пристроїв введення та виведення даних, процесорів, ліній зв’язку та ін.

Основні функції апаратних засобів захисту:

заборона несанкціонованого (неавторизованого) зовнішнього доступу віддаленого користувача;

заборона несанкціонованого (неавторизованого) внутрішнього доступу до баз даних в результаті випадкових чи зумисних дій персоналу;

захист цілісності програмного забезпечення.

Ці функції реалізуються шляхом:

ідентифікації суб’єктів (користувачів, обслуговуючого персоналу) і об’єктів (ресурсів) системи;

аутентифікації суб’єкта по наданому ним ідентифікатору;

перевірки повноважень, яка полягає в перевірці дозволу на певні види робіт;

реєстрації (протоколювання) при звертаннях до заборонених ресурсів;

реєстрації спроб несанкціонованого доступу.

Програмні засоби захисту необхідні для виконання логічних і інтелектуальних функцій захисту, які вмонтовані до складу програмного забезпечення системи.

За допомогою програмних засобів захисту реалізуються наступні задачі забезпечення безпеки:

- контроль завантаження та входу в систему за допомогою системи паролів;

- розмежування і контроль прав доступу до системних ресурсів, терміналів, зовнішніх ресурсів, постійних та тимчасових наборів даних і т.п.;

- захист файлів від вірусів;

- автоматичний контроль за роботою користувачів шляхом протоколювання їх дій.

Апаратно-програмні засоби захисту — це засоби, які основані на синтезі програмних та апаратних засобів. Ці засоби широко використовуються при аутентифікації користувачів АБС. Аутентифікація — це перевірка ідентифікатора користувача перед допуском його до ресурсів системи.

Апаратно-програмні засоби захисту використовуються також при накладанні електронно-цифрових підписів відповідальних користувачів. Найбільш поширеним в АБС є використання смарт-карт, які вміщують паролі та ключі користувачів.

Криптографічні методи захисту — це методи, основані на криптографічних перетвореннях даних, тобто на їх шифруванні.

Основні криптографічні методи захисту:

- шифрування з допомогою датчика псевдовипадкових чисел, яке полягає в тому, що генерується гамма шифра за допомогою датчика псевдовипадкових чисел і накладається на відкриті дані з врахуванням зворотності процесу;

- шифрування за допомогою криптографічних стандартів шифрування даних (з симетричною схемою шифрування), в основі якого використовуються перевірені і випробовані алгоритми шифрування даних з великою криптостійкістю, наприклад американський стандарт DES;

- шифрування за допомогою пари ключів (з асиметричною системою шифрування), в яких один ключ є відкритим і використовується для шифрування інформації, другий ключ — закритим і використовується для розшифрування інформації. Прикладом може служити метод RSA.

Криптографічні методи захисту інформації дуже широко використовуються в АБС і реалізуються у вигляді апаратних, програмних чи програмно-апаратних методів захисту.

В таблиці 2.2 наведено характеристики алгоритмів криптозахисту [35].

Таблиця 2.2

Основні експлуатаційні характеристики застосування криптозахисту в АБС банка

Характеристика	DES	RSA
Вид алгоритму	Одноключовий	Двоключовий
Швидкість роботи	Швидко	Повільно
Функція, що використовується	Перестановка і підстановка	Піднесення до степеня
Довжина ключа	56 біт	300-600 біт
Найменш затратний криптоаналіз	Перебір по всьому ключовому простору	Розкладання модуля
Стійкість	Теоретична	Практична
Часові витрати на розкриття	Століття	Залежать від довжини ключа
Час генерації ключів	Міллі-секунди	Десятки секунд
Тип ключа	Симетричний	Асиметричний

Порівняльний аналіз алгоритмів криптозахисту дає можливість відмітити такі їх особливості. Алгоритм RSA працює приблизно в тисячу разів повільніше за алгоритм DES і потребує в десять раз довших ключів, його стійкість теоретично не доведена. Але велика перевага RSA полягає у відсутності необхідності організації строго засекреченої процедури обміну ключами.

Тому в АБС потрібно застосовувати гібридні системи, засновані на двох алгоритмах, використовувати їх переваги.

Адміністративні засоби захисту — це заходи організаційного характеру, регламентуючі процеси функціонування АБС, використання її ресурсів, діяльність персоналу і т. д. Мета цих заходів в найбільшій мірі перешкодити та виключити можливість реалізації загроз безпеки. Адміністративно-організаційних заходів багато. Наведемо лише деякі:

- розробка чіткої технології обробки інформації в АБС та контроль за її дотриманням;

- організація захисту від встановлення прослуховуючої апаратури в приміщеннях інформаційних служб;

- ретельний відбір персоналу (перевірка нових співробітників, ознайомлення їх з порядком роботи з конфіденційною інформацією, з мірами відповідальності за порушення правил її обробки).

АБС «BARS Millennium» надає досить великий, але зрозумілий інстру-мент адміністрування самої АБС. Функції, що входять у цей модуль, управ-ляють наступними об'єктами: Користувачі; Функції; Звіти; Довідники; АРМ; Банківські операції; Групи візування операцій; Рахунки, групи доступу до рахунків.

Маніпулюючи доступами до цього об'єктами, адміністратор може ство-рити оптимальну презентативную конфігурацію системи для кожного користувача. Передбачено варіанти передачі прав одного користувача іншому, як тимчасові, так і постійні.

Усяке адміністративне втручання підтверджується користувачем із групи «Безпека», що зменшує ризик зловмисних дій з боку адміністратора АБС.

В обов'язку адміністратора АБС входить також робота із глобальними параметрами системи, анкетою банку, ліцензією на ПО. Крім глобальних параметрів існує великий перелік локальних, які кожний користувач може змінювати самостійно, підбудовуючи інтерфейс системи під себе.

Адміністрування БД, мережних ресурсів і т.п. перекладається на плечі відповідних інструментальних коштів, що поставляються разом із цими прог-рамними продуктами.

Велика увага приділяється в АБС фінансовій безпеці. Існує спеціальний набір функціональності, що об'єднаний в АРМ «Служби безпеки». Серед його функцій:

Підтвердження видачі або анулювання прав доступу, виданих адмі-ністратором;

Керування обліковими картками користувачів (блокування, обмежен-ня доступу й т.п.)

Делегування прав одного користувача іншому;

Взаємодія із зовнішніми охоронними системами (прохідна й т.п.);

Керування доступом до банківських днів;

Перегляд журналу подій комплексу;

Робота з таблицями ключів системи Електронно-Цифрового Підпису;

Робота із профілями користувачів (керування терміном дії пароля, перевірки складності пароля, максимальної кількості використань одного пароля, інших параметрів з'єднання із БД).

Всі дії користувачів детально протоколюються в журналі подій. Він може динамічно обстежитися по заданих ознаках офіцером безпеки. У системі уведене поняття класу користувачів. Клас впливає на можливість виконувати деякі фінансові функції (робота в минулих банківських днях, сторнування фінансових документів). Фінансове візування банківських документів супроводжується накладенням ЕЦП і перевіркою ЕЦП попереднього рівня.

Для фізичного захисту даних розроблений спеціальний комплекс криптографічного захисту. З його допомогою створюється безпечний канал передачі даним між клієнтом і сервером. Комплекс здатний працювати з різними крип-тографічними бібліотеками.

Доступ до рахунків користувачів дозволений по групах, у які їх можна поєднувати за бажанням, з можливістю обмеження (дивитися/дебетувати/кредитувати). Будь-який користувач, крім адміністратора й технолога, бачить і має доступ тільки до наданим йому рахункам, і ніяким іншим.

2.3 Структура та захист інформаційних потоків в центральній автоматизованій системі «Операційний день банку»

Базовою підсистемою, що має обов’язково функціонувати в кожному комерційному банку, є «Операційний день банку» (ОДБ). Основні функції цієї підсистеми такі:

Введення та обробка клієнтських платіжних документів.

Створення та ведення особових рахунків клієнтів та масивів нормативно-довідкової інформації.

Робота з картотеками.

Обробка особових та балансових рахунків.

Ведення аналітичного і синтетичного обліку, формування балансу за кожний банківський день та відповідних вихідних форм.

Сервісні функції: відкриття, закриття та протоколювання банківського дня, встановлення лімітів, бізнес-правил для філій банку тощо.

У структурі будь-якого ОДБ можна виокремити три типи функціональних блоків, існування яких випливає із загальної технології його роботи. Це блоки початку роботи (відкриття ОДБ), блоки роботи протягом робочого дня і блоки закінчення роботи (закриття ОДБ).

Блоки відкриття ОДБ забезпечують обробку паролей та ідентифікацію користувачів, введення дати поточного банківського робочого дня, обробку отриманих з АРМ НБУ файлів початку роботи. При цьому коригується довідник банків — учасників СЕП, визначається значення кореспондентського рахунку банку на початок робочого дня, очищуються відповідні оперативні бази даних тощо. У процесі відкриття ОДБ накопичуються відсотки за попередній день за рахунками з процентними ставками, створюються копії вхідних основних масивів стану особових та балансових рахунків на початок дня. Якщо це день початку місяця, кварталу або року, то за балансовими рахунками формуються відповідні вхідні залишки на початок періоду, обнулюються обороти за місяць, квартал або рік. Водночас для співробітників банку встановлюються повноваження стосовно допуску до особових рахунків; функції та рахунки для обробки перерозподіляються між працівниками банку, змінюється відповідальний виконавець, котрий веде рахунок, і т. ін.

Протягом дня відповідними блоками ОДБ виконуються операції з реєстрації нових клієнтів, відкриття або закриття рахунків, забезпечення вводу первинних платіжних документів клієнтів протягом дня та їх обробки. Прийняті від клієнтів документи поділяються на «внутрішні», в яких платник і одержувач є клієнтами даного банку, та «міжбанківські», в яких одержувачем є клієнт іншого банку. На підставі першої групи документів виконуються внутрішньобанківські проведення (змінюються залишки на рахунках), а на підставі другої формуються файли типу А (початкові міжбанківські платежі для їх передання до СЕП). Проведення «оплата» виконується лише в тому разі, якщо воно не загрожує ситуацією «червоне сальдо» за одним із кореспондуючих рахунків.

Блоки закриття ОДБ забезпечують перевірку наявності балансу, формування та видачу відомостей щодо накопичених оборотів за місяць (квартал, рік), створення копій основних файлів, архівацію платіжних документів, видачу вихідних форм про обороти за день, формування, архівацію і друк виписок. Залежно від дня місяця, кварталу, року блоки закриття формують звітність для НБУ, інформацію для податкових органів та інших служб.

Крім функціональних блоків ОДБ містить і блоки ведення та друку довідково-нормативної інформації, блоки «відновлення», тобто виконання перерахунків з певного моменту часу. Розрізняють «коротке» і «довге» відновлення. Перше використовується для виправлення помилок за тими документами, які ще не відправлені до СЕП. До нього вдаються і в разі отримання «відбійної» квитанції на якийсь раніше відправлений файл А. «Довге» відновлення полягає у відтворенні ситуації на момент закриття якого-небудь минулого дня з послідовним перераховуванням усіх операцій наступних днів.

а) Характеристика підсистеми «Управління кредитними ресурсами банку»

В межах підсистеми «Управління кредитними ресурсами банку» працівники кредитного відділу банку мають можливість виконувати такі основні функції:

аналіз фінансового стану позичальника, визначення його кредитоспроможності та оцінка ризику при кредитуванні;

формування та облік кредитних договорів;

ведення та коригування розпоряджень на оплату кредитів;

ведення та коригування строкових зобов’язань на погашення кредиту;

ведення та коригування процентних ставок та графіків оплати процентів по кредитному договору;

нарахування процентів по кредиту та облік їх сплати;

облік та контроль погашення кредитної заборгованості;

аналіз кредитного портфеля, класифікація кредитів та визначення розміру резервування.

Підсистема «Управління кредитними ресурсами» має бути інтегрована з іншими функціональними підсистемами банку, зокрема з ОДБ, у якій виконують бухгалтерські проведення при наданні кредиту та при погашенні суми основного боргу і відсотків по ньому.

б) Характеристика підсистеми «Управління валютними операціями»

В межах цієї підсистеми обов’язково повинен функціонувати комплекс задач «Валютний операційний день», що забезпечує введення та обробку валютних платіжних документів, відкриття та закриття валютних рахунків, конвертацію валют, ведення рахунків покриття, формування балансу та інші операції з іноземною валютою.

«Валютний операційний день» не обов’язково реалізується окремим прог-рамним комплексом. Операції з валютою можуть бути автоматизованим комп-лексним мультивалютним ОДБ, який здатний працювати як з національною, так і з будь-якою іншою валютою.

Крім комплексу задач «Валютний операційний день», у комерційному банку автоматизовані такі задачі:

прогнозування курсів валют;

облік біржових валютних операцій;

облік ділінгових операцій та оцінка ділінгових контрактів. Для проведення ділінгових операцій банком може використовуватись система міжнародної фінансової інформації, наприклад система Reuters Dealing;

- робота з системою SWIFT, якщо банк є учасником цієї міжнародної міжбанківської телекомунікаційної мережі передачі банківських повідомлень. Використання SWIFT дає змогу обмінюватись фінансовими повідомленнями з банками-нерезидентами та іншими міжнародними фінансовими установами.

в) Характеристика підсистеми «Управління депозитами»

Підсистема «Управління депозитами» забезпечує автоматизацію робіт, пов’язаних з обслуговуванням фізичних та юридичних осіб, що відкрили депозитні (вкладні) рахунки в банку. В ній повинні вестись депозитні (вкладні) рахунки клієнтів банку. Основними завданнями підсистеми є: облік операцій з готівкою, облік безготівкових операцій, облік цінних бланків, нарахування відсотків за депозитними рахунками, а також формування звітних форм щодо роботи з депозитними вкладами.

г) Характеристика підсистеми «Управління цінними паперами»

Комерційні банки виконують такі операції з цінними паперами:

випуск і продаж власних акцій;

купівля, продаж і зберігання цінних паперів (акції, облігації, векселі тощо);

виконання операцій з цінними паперами за дорученням клієнтів.

У підсистемі «
Управління цінними паперами»
виділяються такі основні напрями автоматизації робіт:

1. Автоматизація обліку операцій з власними акціями банку.

2. Автоматизація обліку операцій з державними цінними паперами.

3. Автоматизація обліку операцій з іншими цінними паперами (акціями підприємств, векселями, сертифікатами і т.п.).

4. Автоматизація депозитарної та реєстраторської діяльності.

5. Автоматизація управління портфелем цінних паперів моделювання та прогнозування стану фондового ринку.

г) Характеристика підсистеми «Управління касою»

Підсистема «Каса» необхідна для обліку готівки та організації роботи обмінних пунктів. Ця підсистема являє собою міні-банк, що має свій баланс, рахунки і документацію, у якій відображаються готівкові кошти. В підсистемі виконуються такі основні функції:

ведення довідника касових символів;

ведення та обробка прибуткових касових документів;

ведення та обробка видаткових касових документів;

формування та ведення касового журналу;

формування звітних форм з обліку роботи каси.

Підсистема може працювати в одній локальній мережі з підсистемою «Операційний день банку» або може бути територіально віддаленою і взаємо-діяти з банком за допомогою електронної пошти.

д) Характеристика підсистеми «Внутрібанківський облік»

Підсистема «Внутрібанківський облік» включає до свого складу задачі, пов’язані з обліком у самому банку. До цієї підсистеми належать такі основні задачі: облік праці і нарахування заробітної плати працівникам банку; облік власних основних засобів банку; облік нематеріальних активів; облік амортизації основних засобів та нематеріальних активів; облік господарських і експлуатаційних витрат.

е) Характеристика підсистеми«Звітність банку»

У підсистемі «Звітність банку» формується бухгалтерська, фінансова та статистична звітність про діяльність комерційного банку. Джерелом інформації для цієї підсистеми є база даних, сформована в ОДБ. У кожному комерційному банку встановлено АРМ-Статзвітність, який є програмним продуктом НБУ. За допомогою цього АРМу формується вся статистична звітність комерційних банків у вигляді окремих файлів показників і передається у репозитарій статистичної звітності в НБУ, де ці показники обробляються і де формуються необхідні звітні форми.

д) Характеристика підсистеми«Управління розрахунками з використанням пластикових карток»

Метою роботи цієї підсистеми є автоматизація безготівкових розрахунків з фізичними особами з використанням пластикових карток. Основними напрямами робіт у підсистемі є такі:

обслуговування локальних платіжних карткових систем;

обслуговування міжнародних платіжних карткових систем;

обслуговування національних платіжних карткових систем.

е) Характеристика підсистеми «Аналіз діяльності банку»

Підсистема «Аналіз діяльності банку» акумулює у своєму складі аналітичні задачі, які належать до класу OLAP. До основних аналітичних задач підсистеми можна віднести:

аналіз балансу (агрегованого та в розрізі класів, розділів, груп і балансових рахунків);

аналіз пасивів банку (структура пасивів, структура власних коштів, структура залучених коштів);

аналіз активів банку (структура активів, структура кредитного портфеля);

аналіз нормативів банку (ліквідність, платоспроможність, достатність капіталу тощо);

аналіз доходів, видатків та прибутку банку (нарахування і фактично отримані доходи, рентабельність, доходи від банківських послуг, прибутковість банку);

аналіз виконання фінансового плану доходів та витрат;

аналіз та контроль формування і використання фондів банку.

Усі обліково-операційні роботи банку виконуються в підсистемі «Операційний день банку (ОДБ)». Підсистема ОДБ є ядром АБС. Інформаційно і функціонально вона пов’язана з усіма іншими підсистемами АБС. Основними функціями ОДБ є обробка платіжних документів. У підсистемі можуть оброблятись різні платіжні документи, формуватись інформаційні повідомлення, дебетові та інформаційні запити. Основними первинними документами ОДБ є платіжні та касові документи. До них, зокрема, належать такі платіжні (вимоги) доручення, меморіальні ордери, видаткові та приходні касові ордери.

Платіжні документи, з якими працює ОДБ, можна розподілити на внутрішні, зовнішні та транзитні.

Внутрішні документи — це документи, проведення по яких виконується по особових рахунках банку.

Зовнішні — це міжбанківські документи, проведення по яких виконується між кореспондентськими рахунками та особовими рахунками банку. Зовнішні документи, в свою чергу, ще поділяються на початкові та зворотні. Початкові документи — це документи, сформовані в банку для відправлення в СЕП. Зворотні — це документи, що надійшли з СЕП у банк.

Транзитні — це документи, по яких не виконуються проведення.

Підсистема ОДБ — це багатофункціональна система, яка надає користувачеві широкий спектр функцій. Вона повинна забезпечувати здійснення таких операцій: перегляд, введення і редагування даних про клієнтів; перегляд відомостей про рахунки клієнта, що відкриті в банку; відкриття нових рахунків і закриття вже існуючих; обробка пакетів платіжних документів, які надійшли безпосередньо від клієнтів, чи по системі «Клієнт-банк»; ведення картотек; підтримка реальних залишків по рахунках протягом усього банківського дня; формування актуального балансу банку на будь-який момент часу; формування вихідних повідомлень за поточний і будь-який попередній банківський день; підтримка роботи віддалених виносних робочих місць та безбалансових відділень; забезпечення функціонування банку в СЕП; формування звітності для НБУ та податкових органів.

Усі функції ОДБ можна згрупувати і представити таким чином:

1. Функція ведення рахунків

1.1. Відкриття рахунків.

1.2. Закриття рахунків.

1.3. Арешт рахунку.

1.4. Модифікація параметрів рахунку.

1.5. Перегляд залишку та руху коштів на рахунку за відповідний період.

2. Робота з усіма видами документів (як-то: платіжні доручення, ордери, документи по заключних оборотах щодо прибутків/видатків на позабалансових рахунках і т.д.)

2.1. Введення документа.

2.2. Статистика введення.

2.3. Перегляд документів (отриманих / сплачених / несплачених / вибраних / окремих / за повним макетом чи у вигляді реєстру).

2.4. Друкування документів (отриманих / сплачених / несплачених / вибраних / окремих / за повним макетом чи у вигляді реєстру).

2.5. Відбір документів для передачі у зовнішні системи («Клієнт-банк» і т.п.).

2.6. Модифікація введених документів.

2.7. Вилучення введених документів.

2.8. Обробка (розблокування, оплата тощо) введених документів.

3. Ведення картотеки інформаційно-дебетових документів

3.1. Перегляд дебетових документів.

3.2. Сплата документів (з дозволу / за розпорядженням посадової особи з відповідними повноваженнями).

3.3. Друкування дебетових документів.

3.4. Вилучення з перегляду окремих документів.

4. Робота з документами нез’ясованих сум

4.1. Аналіз нез’ясованих рахунків.

4.2. Сплата з’ясованої суми.

4.3. Повернення нез’ясованої суми.

5. Робота із зовнішними підсистемами

5.1. Робота з документами, що надійшли по системі «Клієнт-Банк».

5.1.1. Перегляд документів (отриманих / сплачених / несплачених / відхилених / повернених / вибраних / окремих за повним макетом чи у вигляді реєстру).

5.1.2. Друкування документів (отриманих / сплачених / несплачених / відхилених / повернених / вибраних / окремих за повним макетом чи у вигляді реєстру).

5.1.3. Оплата документів.

5.1.4. Повернення відхилених документів клієнтові з поясненням причин їх забракування.

6. Формування, перегляд та друкування статистичних відомостей і відомостей нарахування відсотків

6.1. Формування балансу за поточний день (за період, конкретну дату, місяць, квартал, рік).

6.2. Формування відомостей по особових рахунках за поточний день (за період, конкретну дату, за місяць, квартал, рік, по виконавцях, за типами рахунків, вибірково за певними рахунками).

6.3. Формування оборотно-сальдових відомостей за поточний день (за період, конкретну дату, за місяць, квартал, рік, по виконавцях, за типами валют, по національній валюті, по конкретній валюті, за типами рахунків, по всіх рахунках вибірково за певними рахунками, за позабалансовими рахунками).

6.4. Формування відомостей по кореспондентському рахунку банку за поточний день (за період, конкретну дату, по клієнтах, по виконавцях, по валюті).

6.5. Формування згрупованих документів ОДБ (реєстр початкових, реєстр зворотніх, реєстр дебетових сплачених, реєстр дебетових необроблених, реєстр позабалансових, документи для системи «Клієнт-банк», касові документи).

6.6. Формування файлів звітності для НБУ та податкових органів.

7. Перегляд та модифікація довідників

7.1. Довідник банків (МФО).

7.2. Довідник плану рахунків.

7.3. Довідник клієнтів.

7.4. Довідник валют.

7.5. Довідник касових символів.

7.6. Довідник країн.

7.7. Довідник відповідальних працівників банку.

7.8 Довідник секторів економіки.

7.9. Довідник галузей економіки.

7.10. Довідник видів економічної діяльності.

7.11. Довідник видів власності.

7.12. Довідник ознак інсайдера.

7.13. Довідник податкової інспекції.

7.14. Довідник з параметрів нарахування відсотків.

7.15. Довідник з видів кредитів.

7.16. Довідник з емітентів цінних паперів.

7.17. Довідник з видів цінних паперів.

Програмний комплекс ОДБ в переважній більшості випадків складається з таких АРМів:

АРМ операціоніста,

АРМ технолога (адміністратора системи),

АРМ контролера.

Такий розподіл обумовлений необхідністю впорядкування та раціонального розподілу робіт між виконавцями. Іноді АРМ контролера не виділяється як окреме робоче місце, і тоді функції контролера покладаються на АРМ технолога.

2.4 Структура та захист інформаційних потоків в внутрішньобанківській міжфілійній платіжній системі

Мультивалютна Внутрішня Платіжна Система (МВПС) функціонує в АКБ «Промінвестбанк» для організації платіжних потоків між філіями та відділеннями через Розрахункову палату банка та дозволяє (рис.2.7):

- здійснювати транспорт валютних платежів усередині платіжної системи між учасниками МВПС;

- формувати для відправлення в SWIFT початкові платежі головного банку й/або філій МВПС;

- обробляти відповідні платежі й виписки з SWIFT для зарахування на рахунки клієнтів Головного банку або рахунку Головного банку, або пере-давати такі платежі на філії МВПС для зарахування на рахунки клієнтів або рахунку філій.

МВПС складається з модулів:

- Ядро АБС у частині підготовки документів для передачі в Розрахун-кову палату й для аналізу й обробки документів, прийнятих з Розрахункової палати. Використовується як у головному банку так і філії МВПС, що пра-цюють на АБС розробки “УНІТІ_БАРС”;

- Розрахункова палата . Незалежна стосовно АБС, установлена у Головному банку й(або) філіях. Головна вимога - дані АБС повинні забезпечувати відправлення а також квитовку вихідних і вхідних файлів, відповідно до формату, прийнятим у Розрахунковій палаті;

- Інтерфейс із платіжною системою SWIFT. Використовується в Головному банку, що працює на АБС розробки «УНІТІ_БАРС».

Рис.2.7. Структура інформаційних потоків у внутрибанківській платіжній системі (Головний банк – філії –безбалансові відділення)

Система захисту файлів платіжно-інформаційного потоку:

програмно-апаратна з застосуванням зовнішнього носія (таємний ключ криптосистеми) для входу в АРМ міжфілійних платежів;

легітимність та криптозахист сформованого платіжного документа на базі 2-рівневого «електронного цифрового підпису» (ЕЦП) операторів та контроль-бухгалтера міжфілійних платежів;

шифротрафік файлів міжфілійних платежів з застосуванням автоматичних ПЕОМ шифрошлюзів з симетричним типом шифрування потоків, направляємих через ІР-мережі «Укртелекому» (VPN з ІР –адресацією) чи IP-мережі Національного банку України (FOSS-MAIL – технологія).

На сьогодні у Промінвестбанку успішно функціонує єдина система електронних платежів (ЕСЕП), основою якої є власна розрахункова палата. Завдяки цьому, всі платежі між 164 балансовими філіями здійснюються че

рез ЕСЕП, а платежі з іншими комерційними банками - через єдиний корреспондентський рахунок у Центральній розрахунковій палаті НБУ.

Безперебійна робота системи пов'язана з установкою у всіх філіях банку стандартного програмного забезпечення (у кожному в якості СУБД використовується - Sybase ASA 5.5.04 ), захищеного від модифікацій і несанкціонованого доступу й тісно пов'язана із програмним забезпеченням розрахункової палати. У постійному робочому стані перебуває резервна палата ПІБ, що перебуває на відстані 17 км у резервній зоні, що синхронізує дані по оптоволоконному каналі під керуванням Sybase Replication Server 12.5.

Сервер у Розрахунковій палаті щодня обробляє від 500 000 до 1 000 000 банківських проведень. Після обробки в Розрахунковій палаті банківські про-водки попадають (максимальна затримка до 5 мінут) у Центральний OLAP сер-вер (Sybase ASE 12.5) і вже доступні для аналітичних і звітних завдань. За допо-могою реплікації дані із центрального OLAP сервера передаються в 14 регіо-нальних центрів, у комплекси "Регіон" (Sybase ASE 12.5), причому в кожний регіон дані передаються тільки для даного регіону. Комплекси "Регіон" зберіг-ють дані тільки за один рік (у середньому близько 100 Gb даних).

В архівне сховище (Sybase IQ 12.5) дані завантажуються вночі й на даний момент у сховище втримуються дані з 1999 року (всі проводки, всі залишки, всі клієнти). Обсяг даних у сховище завдяки компресії й оптимізованому зберіганню становить більше 500Gb, що відповідає 1.5Tb даних в OLTP. Зі сховищем працюють завдання - "грошові потоки", "міграція клієнтів", а департаментти можуть одержувати консолідовану інформацію з податків, і т.п.

Доступ до даних здійснюється або через MicroStrategy, або через додатки, написані на Sybase PowerBuilder програмістами Промінвестбанку. Для створення нових проектів і зберігання раннє розроблених схем використовується Sybase PowerDesigner.

2.5 Структура та захист інформаційних потоків в міжбанківських платіжних системах в Національній (СЕП НБУ) та іноземній (SWIFT) валютах

Міжбанківські розрахунки — це система виконання та регулювання платежів по платіжних дорученнях і зобов’язаннях, що виникають між банками та їх клієнтами.

Система міжбанківських електронних платежів Національного банку України (СЕП НБУ) — це загальнодержавна платіжна система, яку створено з метою виконання (як за дорученням клієнтів, так і за зобов’язаннями банків один перед одним на території України) розрахунків між банківськими установами в електронній формі.

Розрахунки між банками ведуться на підставі кореспондентських рахунків банків, які відкриваються в регіональних управліннях НБУ.

Система електронних платежів НБУ (далі СЕП) –– це державна платіжна система, що виконує міжбанківські розрахунки і заснована на безпаперовій тех-нології передачі електронних повідомлень засобами електронної пошти НБУ.

Архітектура СЕП та характеристика АРМ-1, АРМ-2, АРМ-3, які входять в состав СЕП.

В СЕП можуть брати участь будь-які кредитно-фінансові підприємства та організації, що мають кореспондентський рахунок у відповідному регіональному управлінні НБУ, задовольняють технічним вимогам роботи в СЕП і являються суб’єктами міжбанківських розрахунків на території України.

СЕП організована як деревоподібна ієрархічна структура (рис. 2.8). На верхньому рівні СЕП знаходиться центральна розрахункова палата, що обслуговується програмно-технічним комплексом АРМ-1, який виконує захист системи від несанкціонованого доступу, перевірку узгодженості та вірності функціонування РРП, а також формування звітної інформації в масштабах України в цілому.

Рис. 2.8. Архітектура СЕП НБУ

Середній рівень СЕП — це регіональні розрахункові палати, які обслуговує програмно-технічний комплекс АРМ-2.

Основні функції АРМ-2:

— прийняття платіжних документів та іншої інформації, що обробляється СЕП, від комерційних банків—учасників розрахунків та від інших РРП;

— передача платіжних документів та іншої інформації, що обробляється СЕП, комерційним банкам—учасникам розрахунків та іншим РРП;

— передача інформації, що не є платіжними документами, але обробляється в СЕП в АРМ-1;

— бухгалтерський та технологічний контроль за проходженням платежів;

— надання звітних документів за підсумками проходження платежів на рівні АРМ-2;

— ведення технічних кореспондентських рахунків банків—учасників СЕП;

— підготовка для відображення проходження платежів через СЕП на реальних кореспондентських рахунках;

— надання довідкової інформації.

АРМ-3 — це комплекс програмно-технічних засобів, що застосовується для підготовки, передачі та прийому банківських повідомлень у вигляді електронних документів між РРП та комерційним банком.

Функції АРМ-3:

— прийняття платіжних документів та іншої інформації, що обробляється СЕП, від РРП;

— передача платіжних документів та іншої інформації, що обробляється СЕП в РРП для обробки в АРМ-2;

— формування протокольного звіту про роботу АРМ-3 за банківський день і відправлення його в РРП;

— відкриття та закриття банківського дня;

— архівація даних за відпрацьований банківський день;

— сервісні функції: друк виписки про стан технічного кореспондентського рахунку та ін.;

— захист інформації, що передається засобами криптографування.

Досліджуємий АКБ «Промінвестбанк» разом з філіями та територіальними без балансовими відділеннями працює в СЕП НБУ за третьою моделлю.

Третя модель. За цією моделлю учасником СЕП є тільки головний банк, що має єдиний кореспондентський рахунок і свою власну платіжну систему.

При роботі за цією моделлю головний банк має засоби повного контролю над роботою філіалів. Всі кошти зосереджені на одному рахунку, що не призводить до їх розпорошення і дозволяє виконувати постійний контроль за ліквідністю (рис.2.9).

Недоліки цієї моделі полягають в тому, що можуть виникати затримки з перерахуванням коштів. В цій моделі необхідно встановлювати якусь пріоритетність на обробку платежів.

Рис.2.9. – Схема роботи банка в СЕП НБУ за 3 моделлю консолідованого кореспондентського рахунку

Філіали є самостійними банківськими закладами, мають свій МФО й знаходяться в списку учасників електронних платежів, але вони не являються самостійними учасниками СЕП, тобто не мають свого АРМ-3 та засобів захисту НБУ. Ця модель вимагає наявності власної повнофункціональної платіжної системи.

Файли інтерфейсу між ОДБ та АРМ-3.

Всі файли, якими обмінюється комерційний банк з СЕП, умовно можна поділити на такі групи:

1. пакети платіжних документів:

vA — файл початкових платежів від банку в РРП;

vB — файл зворотних платежів на банк від банку-отримувача;

2. повідомлення між АРМ про завершення етапів обробки:

vK — кінець сеансу АРМ-2, звіт для АРМ-3 про зміну його коррахунку;

vZ — звіт про кінець дня АРМ-3;

vV — кінець дня АРМ-2, зведений документ для АРМ-3 про змінення його коррахунку;

3. файли-квитанції на пакети платіжних документів та інші файли:

vT — квитанція на vA;

vS — квитанція на vB. Всі перераховані квитанції видаються системою, тобто відповідним АРМ-ом;

4. технологічні файли:

vU — завдання на коректуру списку учасників;

M — файл бізнес -правил.

5. Файли нормативно-довідкової інформації:

· S_VAL — довідник валют;

· S_ER — довідник кодів помилок;

· S_UCH — довідник банків учасників СЕП;

· S_NR — довідник призначень платежу;

· M.UCH — файл інвалютних коррахунків;

· U_SNG — довідник субкорреспондентів шлюзових банків.

Для роботи з бізнес-правилами ОДБ банку повинно мати допоміжний блок, який називається АРМ-М. Він виконує ряд функцій:

а) для головного банку:

- ведення бази даних бізнес-правил для філій;

- зміна бізнес-правил для філій, формування і відправка в СЕП файлів M.A ;

- формування завдань філіям на коригування їх бізнес-правил;

- отримання технологічної інформації з СЕП (файлів M.T) про проходження пакетів бізнес-правил до філії-адресата;

б) для філії:

- ведення бази даних бізнес-правил, що встановлюються для філії;

- прийом з СЕП файлів M.B — завдань на коректування бізнес-правил, виконання відповідної модифікації бази даних, відправка в СЕП технологічної інформації (файлів M.S) про обробку пакета бізнес-правил;

- перевірка початкових платежів філії на відповідність бізнес-правилам і заборону виконання платежів, не відповідних встановленим бізнес-правилам.

Технологія міжбанківських СЕП - платежів у комерційному банку:

а) Робота протягом одного робочого дня виконується за таким режимом:

1. Відкриття нового дня.

2. Початок дня.

3. Передача та прийом пакетів платіжних документів протягом дня.

4. Кінець дня.

5. Сервіс.

При відкритті нового дня встановлюється дата для даного банківського дня. Для неї формується каталог поточного банківського дня для відображення роботи системи протягом дня.

б) Робота в режимі «початок дня»

В режимі «початок дня» від АРМ-2 приймається ціла низка файлів, що забезпечують роботу СЕП. Це такі файли:

· vK.000, що вміщує інформацію про розмір коштів на коррахунку банку на початок робочого дня. Цей файл є обов’язковим, без нього не можна виконувати прийом та передачу платіжних документів.

· vU завдання на корегування списку учасників СЕП. Цей файл є необов’язковим. Він передається лише у випадках появи нових учасників СЕП.

в) Робота в основному режимі

Режим «Передача та прийом пакетів платіжних документів» є основним режимом функціонування СЕП.

В режимі «Передача та прийом пакетів платіжних документів» виконується така робота: передача початкових платіжних документів, прийом та обробка документів, що надійшли електронною поштою.

Підготовка платіжних документів виконується в комерційних банках за допомогою власного пакета «Операційний день банку». При цьому ОДБ має забезпечувати:

· формування всіх реквізитів платіжного документа;

· формування з окремих платіжних документів пакета початкових платежів;

· розміщення сформованого пакета в каталозі обміну ОДБ та АРМ-3.

Документи, сформовані програмою ОДБ, передаються в АРМ-3 у вигляді текстових файлів.

Прийом та передача платіжних документів може виконуватись одноразовим запуском режиму «Передача та прийом пакетів платіжних документів» чи автоматично через певні інтервали часу (цей порядок задається в параметрах налагодження АРМ-3).

АРМ-3 через певний інтервал часу запускає електронну пошту. При цьому він обробляє файли, що знаходяться у вхідних каталогах від ОДБ і АРМ-2, розкладає файли-результати у вихідні каталоги для ОДБ та для електронної пошти.

З кожним файлом, що надійшов до АРМ-3, виконуються такі дії:

1. Перевірка на унікальність імені файла протягом банківського дня.

2. Перевірка файла в цілому (правильність формування імені файла, відповідність його поточній даті роботи, відповідність структурі, обчислення та перевірка контрольних сум).

3. Подокументальна перевірка файла.

Файл, що перевіряється незалежно від результатів, записується в каталог поточного робочого дня.

Якщо перевірений файл не приймається АРМ-3, то формується і надсилається відправнику файла (в ОДБ для файла vA чи в РРП для файла vB) квитанція, що вказує на причини відмови прийняти файл.

Для отримання довідки про відправлені та прийняті файли необхідно користуватись режимом «Сервіс».

На кожний відправлений в РРП файл vA обов’язково має прийти квитанція, по якій можна визначити, пройшли чи ні файли в СЕП. Якщо протягом деякого інтервалу (1-2 годин) довідка не отримана, то це свідчить, що файл взагалі не надійшов у СЕП. В такому разі необхідно його шукати в статистиці роботи електронної пошти чи зв’язуватись по телефону з РРП.

РРП обслуговується комплексом АРМ-2, що працює циклічно в автоматичному режимі. За сеанс електронної обробки вважається один цикл обробки файлів, прийнятих в момент початку циклу.

В сеансі обробляються файли платіжних документів типу vA і vB, а також файли квитанцій типу vT і vS. Після закінчення сеансу РРП надсилає тим комерційним банкам, від яких в даному сеансі були отримані файли типу vA та vS, файл з інформацією про динамічний стан технічного кореспондентського рахунку — файл типу vK. Ця інформація дає змогу формувати пакети платіжних документів для передачі у СЕП таким чином, щоб не допустити овердрафт.

АРМ-3 приймає від ОДБ тільки файли поточного банківського дня.

АРМ-3 передає в ОДБ всі файли незалежно від їх банківської дати, крім файлів vB.

ОДБ повинен обробляти незалежно від дати файли V і U. При надходженні в ОДБ більше одного файла U вони повинні бути оброблені в хронологічному порядку.

Єдиний тип файлів СЕП, який може прийматись і оброблятися за різні банківські дні — це файл B. У день формування пакета «функціональний підтип файла СЕП» формується рівним «0». Якщо в день формування пакета платежу файл не був проведений по технічному коррахунку банку, то він переночує на спеціальному рахунку в РРП, який дістав умовну назву «нічного», і на наступний банківський день АРМ-2 привласнює даному пакету нове ім’я і знову відправляє його банку.

При цьому:

· склад і вміст платіжних документів пакета (тобто інформаційних рядків пакета) не змінюється,

· день і місяць в імені файла (і в заголовному рядку) змінюється — заноситься дата нового банківського дня,

· до «функціонального підтипу» імені файла додається одиниця.

Таким чином, непідтверджені файли B відправляються одержувачу протягом 9 банківських днів (в день формування vB «функціональний підтип» рівний 0, в подальші дні змінюється відповідно на «1», «2», ..., «9»). СЕП не зберігає файли vB більше 10 днів. Файли, не підтверджені протягом цього терміну, підлягають примусовій квітовці в РРП.

г) Робота в режимі «Кінець дня»

Режим «Кінець дня» складається з кількох етапів. Необхідними умовами завершення дня є:

· отримання квитанції від РРП на всі відправлені банком файли початкових платежів;

· отримання квитанцій від ОДБ на всі отримані банком від РРП і надіслані до ОДБ файли зворотних платежів.

АРМ-3 виконує перевірку, чи на всі відправлені в РРП файли vA отримано з РРП файли-квитанції vT. Якщо в РРП відправлені файли типу vA і виконано закриття банківського дня раніше, ніж прийшли квитанції на них, то це вважається порушенням технології роботи в СЕП. АРМ-3 контролює цю ситуацію й видає повідомлення про те, що закривати день ще не можна з тієї причини, що в системі залишились несквітовані файли vA.

Формується й відправляється в АРМ-2 файл vZ, що містить звіт про роботу системи за даний банківський день.

Протокольний звіт використовується для архівування в РРП, обліку, звітності та для вирішення спірних питань. Відправка цього файла обов’язкова. Відправити файл vZ наступного дня неможливо.

Виконується архівування журналу програми криптографування. Після закриття дня створюється архів закритого дня. При спробі заархівувати незакритий день буде видано відповідне повідомлення.

Система безпеки СЕП розроблена з урахуванням таких вимог:

- система захисту охоплює всі етапи розробки, впровадження та експлуатації програмно-технічного комплексу СЕП;

- система безпеки включає організаційні, технічні, апаратні і програмні засоби захисту;

- в системі чітко розподілена відповідальність за різні етапи обробки та виконання платежів.

В системі виділені такі основні задачі захисту СЕП:

- захист від зловживань (несанкціоноване розшифрування повідомлень, поява фальсифікованих повідомлень);

- автоматичне протоколювання використання банківської мережі з метою локалізації порушників технології роботи в СЕП;

- захист від технічних пошкоджень та збоїв в роботі обладнання (вихід з ладу апаратних та програмних засобів, поява перешкод в каналах зв’язку).

Система безпеки СЕП є багатоступеневою. Вона не тільки включає засоби шифрування інформації на різних її рівнях, а й вміщує цілий комплекс технологічних та бухгалтерських засобів контролю за проходженням платежів у СЕП. Технологічний та бухгалтерський контроль забезпечується програмно на всіх рівнях, що дає змогу персоналу РРП і учасникам СЕП слідкувати за порядком проходження платежів як на протязі дня, так і за підсумками його завершення.

а) Технологічні засоби контролю включають:

- механізм обміну квитанціями, що дозволяє однозначно ідентифікувати отримання адресатом конкретного пакета документів і достовірність отриманої в ньому інформації;

- механізм інформування банків-учасників про поточний стан його кореспондентського рахунку за підсумками кожного технологічного сеансу, що дозволяє банку простежити відповідність змін коррахунку після сеансу прийому/передачі пакетів платіжних документів;

- обмін банку та РРП підсумковими документами в кінці дня, програмне зведення підсумкових документів як в РРП, так і в банку;

- програмний комплекс самодіагностики, що дозволяє виявити порушення цілісності та узгодженості баз даних АРМ-2, що можуть виникнути в результаті збою функціонування системи, спроб несанкціонованого доступу (НДС) до баз даних АРМ-2 чи їх фізичного пошкодження;

- обмін АРМ-2 та АРМ-1 звітними повідомленнями про функціонування РРП в цілому;

- механізм контролю програмних засобів на предмет несанкціонованої модифікації виконавчих модулей.

Всі технологічні засоби контролю вмонтовані в програмне забезпечення. У випадках виникнення нестандартної ситуації чи підозри на НДС оператору АРМ-2 видається відповідне повідомлення з наданням йому можливості оперативного втручання, а також автоматично дублюється повідомлення про виникнення нестандартної ситуації на АРМ-1.

б) Бухгалтерські засоби контролю включають:

- низку звітних документів, отриманих як від АРМ-2, так і від АРМ-3, що вміщують повну технологічну та бухгалтерську інформацію, перехресні посилання та аналіз балансу;

- низку звітних форм АРМ-1, що вміщують інформацію про стан СЕП в Україні;

- засоби вивірення взаємодій РРП в АРМ-1, що дозволяють виявити неузгодженість в звітній інформації, що надана в РРП;

- засоби аналізу причин відсутності балансу в масштабах України.

Використання тільки технологічних та бухгалтерських методів контролю є недостатнім для забезпечення захисту від зловживань при передачі платіжних документів в СЕП. Тому необхідне автоматичне ведення протоколу виконуваних дій в системі платежів, що має також забезпечувати захист цього протоколу від підробки та модифікацій. Всі ці вимоги можуть бути виконані тільки за допомогою програмних та апаратних засобів захисту.

в) Програмні та апаратні засоби захисту інформації

Захист банківської інформації в СЕП включає комплекс дій, пов’язаних з шифруванням інформації, що циркулює в платіжній системі. Шифруванню підлягають усі файли СЕП: початкові і зворотні платіжні файли, файли квитанцій, файли звітів, файли лімітів, файли стану коррахунку, файли нормативно-довідкової інформації.

Усі платіжні документи СЕП перед відправленням з банку обробляються апаратно-програмними засобами захисту інформації, що забезпечують виконання таких вимог з точки зору безпеки інформації:

- інформація, що передається, має бути закритою, тобто повідомлення може бути прочитане лише тим, кому воно адресоване;

- цілісність — випадкове чи навмисне пошкодження повідомлення на етапі його передачі буде виявлене під час його прийому;

- аутентичність відправника (під час прийому повідомлення можна однозначно визначити, хто його відправив).

Крім перерахованих основних вимог, необхідно виконувати низку допоміжних, що дає змогу більш детально аналізувати можливі нестандартні ситуації:

- засобами захисту інформації ведеться шифрований арбітражний журнал, в якому зберігається протокол обробки інформації, а також вміст файлів, що обробляються;

- у шифроване повідомлення включені поля дати та часу обробки.

В основу роботи засобів захисту інформації в СЕП покладено алгоритм шифрування із закритими ключами відповідно до ДЕСТУ 28147-89. Цей метод характеризується високою надійністю з точки зору його дешифрування, але ставить дуже високі вимоги до процедури транспортування та зберігання закритих ключів, секретність яких забезпечує на практиці стійкість системи шифрування.

Основними засобами захисту інформації в СЕП є апаратні засоби. Секретність ключів у них забезпечується технологічно:

- ключі зберігаються в спеціальній електронній картці, прочитати їх можна тільки за допомогою спеціального блоку, що виконує процес шифрування інформації. Прочитати ключі іншими засобами неможливо;

- електронна картка видається банку з попередньою прив’язкою її до конкретного блоку шифрування цього ж банку; втрачена чи викрадена картка не буде працювати в іншому шифро-блоці (наприклад, в апаратурі іншого банку);

- у випадку крадіжки одночасно блоку і картки у конкретного банку передбачено режим виключення цієї апаратури зі списку користувачів СЕП; банк може продовжити роботу в СЕП після вирішення юридичних та фінансових питань, пов’язаних з втратою апаратури та отриманням нового комплексу.

Найбільш слабким місцем з точки зору безпеки є ділянка підготовки платежів персоналом банку—учасника СЕП. Всі зареєстровані більш-менш успішні спроби НДС були з боку представників банків, що призводило до крадіжки коштів у власного банку, а не в держави чи в інших банках. В усіх цих випадках особи, які робили спроби НДС, мали легальний доступ до системи підготовки та захисту платіжної інформації, причому їх повноваження були перевищені (доступ до багатьох чи навіть до всіх банківських ресурсів системи).

З метою гарантування безпеки інформації на цій ділянці від учасників СЕП вимагається виконання низки організаційних вимог [ ]:

- допуск тільки довірених осіб до ключових операцій підготовки платіжних документів;

- виконання відповідальними особами банку постійного, реального та достатнього контролю за станом бухгалтерського балансу та кореспондентського рахунку банку;

Всі повноваження щодо доступу до програмно-апаратних засобів банку недоцільно зосереджувати в особі одного співробітника банку: за кожну ділянку обробки платежів має відповідати окремо уповноважений (адміністратор локальної мережі, адміністратор електронної пошти, відповідальний за роботу АРМ-3 СЕП і т.ін.).

Для гарантування безпеки інформації на рівні банків—учасників СЕП пропонується впровадження перехресного накладення електронного підпису на платіжні документи.

Банкам пропонується використання програмних засобів, що реалізують цифровий підпис, реалізований на основі алгоритму RSA.

Алгоритм RSA належить до асиметричних алгоритмів шифрування. Кожний учасник обміну електронними документами має два ключі: секретний, що повинен ретельно оберігатися від сторонніх осіб і бути відомим тільки його власнику, та відкритий, що розповсюджений в системі і може бути відомим кожному учаснику системи.

Суть алгоритму RSA зводиться до того, що в основу електронного цифрового підпису покладено оброблене спеціальним алгоритмом саме повідомлення, яке підписується, причому шифрування цього прототипу електронного цифрового підпису виконується за допомогою секретного ключа відправника і відкритого ключа отримувача повідомлення. При цьому саме повідомлення може не шифруватись (цей варіант реалізовано в програмному комплексі НБУ), але спробу модифікувати підписане повідомлення (навіть один біт) буде відразу виявлено при перевірці підпису отриманого повідомлення. Під час перевірки електронного цифрового підпису програмним комплексом отримувача формується прототип електронного підпису отриманого повідомлення. Отриманий цифровий підпис дешифрується відкритим ключем відправника і секретним ключем отримувача повідомлення і вираховується прототип електронного цифрового підпису. Отриманий прототип порівнюється з обрахованим прототипом електронного цифрового підпису. Збіг цих двох прототипів підпису (отриманого та обчисленого) показує, що повідомлення було підписане зазначеним відправником інформації та отримане у тому ж вигляді, в якому воно було підписане.

Схему використання електронного цифрового підпису представлено на рис.2.10.

Рис. 2.10. Схема накладення електронного цифрового підпису в СЕП

Виходячи з технології обробки платежів для СЕП, ОДБ має забезпечувати чітке виконання двох операцій для різних робочих місць.

1. На робочому місці операціоніста має виконуватись накладення електронного цифрового підпису на адресу АРМ-3, яке в подальшому буде включатися до файлу початкових платежів банку (тип А). При цьому треба використовувати секретний ключ операціоніста та відкритий ключ АРМ-3 банку.

2. На робочому місці АРМ-бухгалтера після формування файла початкових платежів має виконуватись операція накладення електронного цифрового підпису на адресу АРМ-2 на файл типу A. При цьому використовується секретний ключ бухгалтера і відкритий ключ АРМ-2.

При отриманні зворотного файла типу B на АРМ-бухгалтера виконується перевірка електронного цифрового підпису АРМ-2 на адресу АРМ-бухгалтера. При цьому використовується відкритий ключ оператора АРМ-2 та секретний ключ бухгалтера.

Секретні ключі кожного учасника локальної мережі ОДБ мають бути записані на дискету чи інший апаратний засіб зберігання ключів і ретельно зберігатися господарем секретного ключа від крадіжок та втрат.

Згідно «Правил організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України» [ ], в СЕП НБУ банки використовують наступні принципи побудови системи фізичного та програмно-технічного захисту інформації:

1. Система захисту електронних банківських документів Національного банку складається з комплексу апаратно-програмних засобів захисту інформації та ключової інформації до них, а також технологічних й організаційних заходів.

2. Система захисту електронних банківських документів охоплює всі етапи розроблення, упровадження й експлуатації програмно-технічного забезпечення СЕП та інформаційних задач автоматизації банківської діяльності. Ця система визначає чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання електронних банківських документів на всіх рівнях.

3. Службові особи організації, які відповідають за захист електронних банківських документів, зобов'язані надавати письмові або усні відомості про стан засобів захисту та їх використання, а також про стан захисту інформації в програмному забезпеченні САБ (у тому числі системи "клієнт-банк", а також інших систем, на які поширюються вимоги Національного банку щодо інформаційної безпеки), технологію оброблення електронних банківських документів в організації та систему захисту інформації під час їх оброблення на вимогу територіального управління / Центральної розрахункової палати Національного банку.

4. Організація, яка отримала засоби захисту, не має права передавати їх іншим організаціям або особам, у тому числі й іншим організаціям однієї юридичної особи.

5. Організація, яка отримала засоби захисту, не має права використову-вати їх в інших платіжних системах банків, у територіально відокремлених відділеннях (філіях) банків, якщо ці відділення (філії) не є безпосередніми учасниками СЕП та/або інформаційних задач, зокрема, якщо їх працівники працюють у САБ банку (філії), системах "клієнт-банк" тощо.

6. Організація, яка використовує засоби захисту, зобов'язана мати приміщення, у яких обробляються електронні банківські документи, використовуються та зберігаються в неробочий час засоби захисту, які відповідають вимогам цієї глави.

7. Організація зобов'язана розмістити АРМ-СЕП у спеціально виділеному для цього приміщенні з обмеженим доступом, двері якого повинні бути оснащені кодовим або автоматичним замком і місцем для опечатування або систе-мою доступу, яка забезпечуватиме персоніфіковану реєстрацію входу/виходу осіб у спеціальному електронному журналі.

Організація має право розміщувати АРМ-НБУ в приміщенні з АРМ-СЕП або в окремому приміщенні з обмеженим доступом, за винятком приміщення адміністратора захисту інформації, двері якого повинні бути оснащені кодовим або автоматичним замком і місцем для опечатування або системою доступу, яка забезпечуватиме персоніфіковану реєстрацію входу/виходу осіб у спеціальному електронному журналі.

Організація має право розміщувати АРМ-СЕП та АРМ-НБУ на одній ПЕОМ. Організація має право розміщувати ПЕОМ з АРМ-СЕП та АРМ-НБУ в серверному приміщенні, якщо цей програмно-апаратний комплекс працює в автоматичному режимі. У цьому разі адміністратор АРМ-СЕП зобов'язаний реагувати на інформаційні повідомлення, які надсилаються на АРМ-СЕП.

8. Організація зобов'язана оснастити вікно (вікна) у приміщенні АРМ-СЕП ґратами.

9. Організація зобов'язана обладнати приміщення з АРМ-СЕП/АРМ-НБУ системою охоронної сигналізації з двома рубежами захисту:

- перший - установлення сигналізації по периметру;

- другий - установлення відповідного обладнання для стеження за переміщенням об'єктів у приміщенні.

10. Організація зобов'язана встановити в приміщенні з АРМ-СЕП/АРМ-НБУ сейфи (металеві шафи), призначені для зберігання в неробочий час засобів захисту і документів до них.

11. Організація зобов'язана призначати працівників, які мають допуск до приміщення з АРМ-СЕП/АРМ-НБУ, розпорядчим документом, у якому повинні зазначатися всі відповідальні особи і засоби захисту, які вони використовують.

Адміністратор захисту інформації обліковує призначених осіб у журналі обліку адміністратора захисту інформації (розділ 4 додатка 3).

12. Працівники організації, які мають право на допуск до приміщення з АРМ-СЕП/АРМ-НБУ, зобов'язані перебувати в приміщенні з АРМ-СЕП/АРМ-НБУ тільки під час виконання своїх обов'язків, що пов'язані з роботою АРМ-СЕП/АРМ-НБУ, і лише в присутності адміністратора АРМ-СЕП/АРМ-НБУ, який заступив на зміну.

Працівники організації мають право на допуск до приміщення з АРМ-СЕП/АРМ-НБУ на підставі усного розпорядження керівника організації (або особи, яка виконує його обов'язки) лише в присутності адміністратора АРМ-СЕП/АРМ-НБУ для вирішення окремих питань.

13. Організація зобов'язана розміщувати АРМ-СЕП та АРМ бухгалтера САБ в окремих приміщеннях з обмеженим доступом.

14. Організація зобов'язана розмістити робоче місце адміністратора захисту інформації в окремому приміщенні з обмеженим доступом та обладнати його сейфом для зберігання засобів захисту, справ і журналу обліку адміністратора захисту інформації тощо. Це приміщення повинно обладнуватися системою охоронної сигналізації з одним рубежем захисту та в неробочий час опечатуватися.

15. Організація зобов'язана обладнати робоче місце адміністратора захисту інформації ПЕОМ, яка не підключена до локальної мережі організації, для копіювання ПМГК і генерування ключів відповідальними особами.

16. Організація зобов'язана розмістити інші робочі місця САБ, на яких використовуються засоби захисту, у приміщеннях з обмеженим доступом, які обладнані сейфом оператора робочого місця для зберігання ТК.

17. Організація має право розміщувати АРМ бухгалтера САБ у будь-якому приміщенні організації з обмеженим доступом, за винятком кімнати з АРМ-СЕП і приміщення адміністратора захисту інформації.

18. Організація зобов'язана обладнати сейфи, які використовуються для зберігання засобів захисту, місцем для опечатування.

Сейф з кодовим замком також має обладнуватися місцем для опечатуван-ня, що дасть змогу виявляти спроби його несанкціонованого відкривання.

19. Принципи побудови криптографічного захисту інформації

19.1. Система захисту інформації Національного банку створена для забезпечення конфіденційності та цілісності електронної інформації, а також суворої автентифікації учасників СЕП, учасників інформаційних задач і фахівців організацій, які беруть участь у підготовці й обробленні електронних документів.

19.2. У засобах захисту інформації для СЕП та інших інформаційних задачах використовуються механізми суворої автентифікації та формування/ перевірки ЕЦП на базі несиметричного алгоритму RSA. Організація отримує від територіального управління / Центральної розрахункової палати Національного банку персональний ПМГК із убудованим ідентифікатором цієї організації для забезпечення роботи цього алгоритму.

19.3. АРМ-СЕП/АРМ-НБУ забезпечує конфіденційність електронних банківських документів, що містять конфіденційну інформацію, за допомогою апаратного/програмного шифрування всіх файлів/пакетів, які обробляються.

АРМ-СЕП і АРМ-НБУ є єдиними програмно-апаратними комплексами, які забезпечують обмін електронною інформацією в СЕП та інформаційних задачах.

Організація зобов'язана виконувати системні вимоги до ПЕОМ та інструкції щодо налаштування комплексів АРМ-СЕП і АРМ-НБУ.

19.4. АРМ-СЕП уключає вбудовані засоби захисту, що забезпечують конфіденційність і цілісність інформації під час її пересилання каналами зв'язку. Убудовані засоби захисту інформації забезпечують два режими роботи АРМ-СЕП - з використанням апаратних і програмних засобів захисту.

19.5. АРМ-НБУ включає вбудовані програмні засоби захисту, які забезпечують програмне шифрування.

19.6. Використання стандартизованих криптографічних алгоритмів у вбудованих засобах захисту гарантує задану криптостійкість. Криптографічні алгоритми не становлять таємниці. Криптостійкість засобів захисту забезпечується криптостійкістю алгоритмів та ключової інформації і ключів, тому інформація про це належить до інформації з обмеженим доступом, яка має гриф "Банківська таємниця" і розголошенню не підлягає.

19.7. Національний банк виконує побудову ключової системи криптографічного захисту. Ця система складається з ключів програмних засобів захисту, що генеруються в організаціях за допомогою наданих ПМГК, і ключів апаратних засобів захисту, які генеруються безпосередньо за допомогою АРМ-СЕП.

19.8. Організація, яка використовує засоби захисту, зобов'язана виконувати організаційні вимоги щодо їх отримання, використання та зберігання і своєчасної заміни відповідних ключів до них.

Територіальне управління / Центральна розрахункова палата Національного банку має право вилучати з організації засоби захисту в разі невиконання вимог щодо використання та зберігання засобів захисту і режимних вимог до приміщень.

19.9. Організація забезпечує захист електронних документів за допомогою таких засобів захисту:

а) апаратні засоби захисту для СЕП:

АКЗІ;

СК;

програмне забезпечення керування АКЗІ (убудоване в АРМ-СЕП і не може бути вилучене);

б) програмні засоби захисту для СЕП та інформаційних задач:

програмний модуль для шифрування (убудований в АРМ-СЕП та АРМ-НБУ);

ПМГК (з відповідними незаповненими ТВК);

бібліотеки накладання/перевірки ЕЦП (Національний банк надає безкоштовно всім організаціям, які використовують засоби захисту, для вбудовування в програмне забезпечення САБ або інше відповідне програмне забезпечення).

19.10. Основними засобами захисту в АРМ-СЕП є АКЗІ.

Адміністратор АРМ-СЕП зобов'язаний здійснити перехід до роботи з програмними засобами захисту в разі виходу з ладу АКЗІ.

19.11. Територіальне управління / Центральна розрахункова палата Національного банку надає організації АКЗІ разом із СК та/або ПМГК відповідно до встановленого порядку (глава 5 цих Правил).

19.12. ПМГК генерує пару ключів одночасно, яка складається з ТК і ВК.

Таблиця 2.3

Перелік засобів захисту інформації в СЕП НБУ (комерційний банк)

N з/п	Найменування засобів захисту	Кількість
1	2	3
1	АКЗІ	1
2	СК	2
3	ПМГК	1
4	Копія ПМГК	1
5	ТК АРМ-СЕП	1
6	ТК АРМ-НБУ	1
7	ТК АРМ бухгалтера САБ	За кількістю відповідальних осіб, але не більше 5
8	ТК технолога	За кількістю відповідальних осіб, але не більше 5
9	ТК операціоністів	За кількістю відповідальних осіб
10	ТК інших робочих та технологічних місць для інформаційних задач	За вказівками Департаменту інформатизації Національного банку

Міжнародна міжбанківська платіжна телекомунікаційна система (SWIFT) — одна з найвідоміших комп’ютерних мереж, які було створено з ініціативи фінансових організацій.

Системи обробки банківських операцій можна поділити на два типи. До першого типу належать системи, в яких виконується оперативне пересилання та зберігання міжбанківських документів, а до другого — системи, в яких виконуються також функції, безпосередньо пов’язані з виконанням взаємних вимог і зобов’язань банків.

Система СВІФТ належить до першого типу, оскільки вона забезпечує лише передавання та доставляння банківських повідомлень різного типу між банками — учасниками системи, але не виконує жодних розрахункових чи інших операцій з банківської обробки цих повідомлень.

Прикладом систем другого типу може бути система електронних міжбанківських розрахунків (СЕП) Національного банку України, яка не лише забезпечує приймання та передавання банківських повідомлень, а й виконує операції з кореспондентськими рахунками банків — учасників розрахунків.

Головна мета створення СВІФТ і її основна функція полягають у тому, щоб надавати своїм користувачам цілодобовий доступ до високошвидкісної мережі передавання банківської інформації за умови високого ступеня контролю та захисту від несанкціонованого доступу.

Система СВІФТ базується на використанні єдиної мови, забезпечуючи єдину організацію обробки інформації, її захист і швидке передавання. Вона працює 24 год на добу і 365 днів у році. У разі, коли відправник і одержувач повідомлення працюють у мережі одночасно, то доставляння повідомлення виконується не більш як протягом 20 с.

Система СВІФТ — типовий приклад використання мережі пакетної комутації. Дані передаються по мережі у вигляді структурованих повідомлень, кожне з яких призначено для виконання певної фінансової операції. Для кожного підімкненого вузла та банку система індивідуально підтверджує приймання повідомлення та його обробку.

Особливістю СВІФТ є використання єдиних для всіх користувачів правил і понять. Єдина ділова мова поряд із можливістю ввімкнення користувачів у єдину всесвітню мережу телекомунікацій перетворюють цю систему на важливий інтеграційний чинник сучасного фінансового світу. Розроблені типи повідомлень охоплюють сферу переміщення платежів клієнтів, міжбанківський рух платежів, дані про торгівлю грошима та валютою, виписки з поточних рахунків банків тощо.

Усі платіжні повідомлення вводяться в систему в стандартному форматі, який спрощує автоматизовану обробку повідомлень та їх розуміння одержувачем, виключаючи можливість різного тлумачення повідомлень відправником і одержувачем. Переваги стандартизації настільки очевидні, що стандартні тексти повідомлень СВІФТ стають стандартами «де-факто» для фінансових повідомлень.

Для забезпечення єдності підходу всі повідомлення поділено на 11 (0, 1, ..., 9, n) категорій, які охоплюють понад 130 типів повідомлень. До категорії 0 належать системні повідомлення, які дають змогу взаємодіяти системі з користувачем. Такі повідомлення застосовуються для запитів щодо певних дій і отримання спеціальних звітів, для пошуку повідомлень у базі даних, для навчальних і тренувальних цілей. СВІФТ може надсилати запити й очікувати відповіді на них користувача або інформувати його про стан системи, про її оновлення, появу нових послуг тощо.

До категорій 1—9 належать типи повідомлень, які призначено для визначення операцій, безпосередньо пов’язаних із банківською діяльністю. Категорії мають таке призначення: 1 — операції з обслуговування клієнтів; 2 — міжбанківські операції; 3 — валютні операції; 4 — акредитиви; 5 — цінні папери; 6 – операції з дорогоцінними металами, 7 — документальний кредит, 8 — дорожні чеки і 9 — спеціальні повідомлення, пов’язані з банківськими операціями (запит, звіт, підтвердження тощо). Категорія n містить повідомлення загальної групи.

Будь-яке повідомлення в системі СВІФТ утворюється з чотирьох складових: заголовок, текст, посвідчення і закінчення.

Заголовок містить адресну інформацію, необхідну для доставляння повідомлення, зокрема код одержувача (11 знаків), код термінала-відправника, (поточний п’ятисимвольний номер, який виконує контрольну та захисну функції), трисимвольний код типу повідомлення і т. ін.

Тип повідомлення в системі визначається його трицифровим номером, в якому перша цифра визначає номер категорії, а останні дві — номер типу в категорії. Наприклад, код повідомлення 100 означає операцію «переказ за дорученням клієнта»; 200 — переказ за рахунок коштів банку; 300 — підтвердження валютної угоди тощо. Код Х99 у всіх категоріях означає вільний формат.

Кожна категорія має свою групу типів повідомлень. Кількість типів повідомлень за категоріями різна. Наприклад, категорії 5 відповідає група в 16 типів повідомлень, а категорії 4 — 18 типів повідомлень.

Текст банківського повідомлення складається з послідовності полів, які заздалегідь пронумеровані двоцифровими кодами. Скажімо, 32 — сума, 70 — призначення платежу, 71 — за чий рахунок комісія, її сума тощо. Залежно від типу повідомлення поля можуть бути обов’язково заповнюваними або заповнюваними за вибором.

Посвідчення має гарантувати, що текст повідомлення не буде спотворений у процесі передавання. Фактично посвідчення відіграє роль «контрольної суми» і є, по суті, електронним підписом повідомлення.

Остання складова повідомлення — закінчення, слугує для визначення кінця повідомлення.

Безпека обміну повідомленнями дуже важлива для нормальної банківської діяльності. Саме тому їй приділяється велика увага і в системі СВІФТ. Високий рівень безпеки роботи системи досягається організаційними, програмними, технічними й технологічними засобами.

Організаційну гарантію безпеки та надійності роботи системи бере на себе Генеральна Інспекція — група спеціалістів, до обов’язків якої входить перевірка діяльності всієї компанії та її підрозділів. Ця структура підпорядкована безпосередньо лише Раді директорів, яка є виконавчим органом СВІФТ.

Для всіх приміщень існує режим обмеженого та контрольованого доступу. Крім того, співробітники центрів працюють і переміщуються в обмежених їхніми обов’язками робочих зонах. Існують також спеціальні інструкції на випадок пожежі, терористичних актів, витікання газу, збоїв у живленні і т. ін.

На програмному рівні спеціальна система автоматично виявляє випадки несанкціонованого доступу або необґрунтованого проникнення в роботу регіонального процесора. Автоматично фіксуються й аномалії та відхилення від норм параметрів системи.

Крім того, кожному повідомленню при його вводі в систему автоматично присвоюється послідовний вхідний номер, а при виводі — вихідний. Повідомлення, які вводяться до системи з порушенням послідовності цих номерів, з відхиленнями від чинного стандарту, протоколу або формату, відкидаються.

Усі пересилання повідомлень на міжнародних лініях зв’язку кодуються СВІФТ з використанням шифрів (вони діють і змінюються через випадкові проміжки часу) та спеціальних криптографічних пристроїв. Високий рівень безпеки забезпечується також системою контролю доступу до мережі, яка включає в себе місцеві паролі для вузлів, журнальні файли, в яких зберігається інформація про кожне підімкнення до мережі тощо. За час існування системи не було зареєстровано жодного випадку її «злому».

2.6 Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт

Пластикова картка — це загальний термін, яким називають всі види карток, які можуть відрізнятись технічними можливостями, призначенням та видами наданих ними послуг. Пластикові картки набули широкого застосування в банківських системах. Пластикова картка — це ключ клієнта для отримання електронних банківських послуг. З точки зору банку — це можливість персоніфікувати картку і таким чином ідентифікувати клієнта і визначити, які послуги може надати йому банк.

Розпізнання картки чи її персоналізація виконуються за допомогою PIN-коду (персонального ідентифікаційного коду). PIN-код відповідно до стандартів ISO вміщує від 4 до 6 символів, іноді до 12 символів. Цей код призначається клієнту під час придбання ним картки і служить засобом безпеки і захисту інформації від несанкціонованого доступу в тих випадках, якщо картка загублена чи викрадена у клієнта. Тобто, перш ніж дати згоду на обслуговування, система спочатку розпізнає PIN-код клієнта і проводить ідентифікацію клієнта. Процес ідентифікації клієнта з використанням PIN-коду називається авторизацією платежу. При авторизації платежу виконується не лише ідентифікація клієнта, а й перевірка наявності відповідної суми на рахунку клієнта в банку та перевірка по стоп-файлу. Стоп-файл — це файл, до якого заноситься інформація про втрачені чи викрадені картки, згідно із заявами їхніх власників.

Існує два способи перевірки PIN-коду: алгоритмічний та неалгоритмічний. Суть алгоритмічного способу перевірки полягає в тому, що введений з клавіатури код обробляється з допомогою секретного ключа по певному алгоритму і звіряється з PIN-кодом, який зберігається на картці. Перевага цього способу полягає у відсутності PIN-коду в базі даних системи, що виключає розкриття його персоналом банку.

Неалгоритмічний спосіб перевірки полягає в тому, що введений з клавіатури PIN-код порівнюється з його копією, яка зберігається в базі даних. Такий спосіб звичайно менш захищений, ніж алгоритмічний, особливо це стосується карток з магнітною смужкою. Не виключене розкриття PIN-коду не лише в середині банку, а і зовні, якщо картка буде загублена чи викрадена, адже сучасні технічні можливості дають змогу досить легко виконати несанкціоноване читання інформації з магнітної смужки.

Картки з магнітною смугою — це пластикові картки, на зворотній стороні яких є магнітна смуга, де може вміщуватися близько 100 байт інформації, яка може бути прочитана спеціальним пристроєм. Інформація на магнітній смузі збігається з даними на титулі: ім’ям, номером рахунку власника картки, датою закінчення дії картки. Картки цього типу використовуються як кредитні (типу VISA, Master Card, EuroCard, American Express), як банківські дебетові картки, картки для банкоматів.

Незважаючи на масове розповсюдження цього типу карток, вузьким місцем у їх використанні як платіжного засобу є недостатній рівень захисту від підробок.

Картки з кодування на чіпах поділяються на картки пам’яті та смарт-карти.

Картки пам’яті — це картки з мікросхемою, яка вміщує лише запам’ятовуючий пристрій. Обсяг пам’яті для звичайних карток становить близько 256 байт, є картки з пам’яттю від 32 байт до 8 Кбайт. Рівень захисту в таких картках не дуже високий, тому вони використовуються в системах, в яких не ставляться високі вимоги щодо захисту. У деяких європейських країнах такі картки використовуються як телефонні.

Смарт-карти зовні дуже схожі на картки пам’яті, але мікросхема цих карток містить мікропроцесор, який може виконувати операції обробки даних. Тому ці картки називають «смарт-картками» (smart — інтелектуальна чи розумна). Мікропроцесор — це, по суті, маленький комп’ютер, запрог-рамований на взаємодію з іншими комп’ютерними системами. Він може вміщувати інформацію про банк-емітент, що видав цю картку, термін дії картки, інформацію про клієнта та про суму коштів, яку може використовувати клієнт для розрахунків.

Мікропроцесор може не тільки зберігати інформацію, а й шифрувати і захищати її. Він має систему захисту, яка при спробах проникнути в «чіп» здійснює його саморуйнування. Мікропроцесор може містити близько 65 Кбайт інформації.

За функціональною ознакою картки поділяються на кредитні та дебетні картки, а також картки типу «електронний гаманець» і «електронні гроші».

Схему взаємодії учасників платіжної системи з використанням пластикових карток наведено на рис. 2.11.

Є два режими взаємодії банку-емітента і процесингового центру off-line і on-line.

Режим off-line є найбільш простим і недорогим для банку-емітента та процесингового центру. Банк дозволяє процесинговому центру ведення бази даних по картках, рахунках і лімітах клієнтів банку. У встановлені домовленістю сеанси зв’язку банк передає в процесинговий центр доручення на внесення змін в базу даних процесингового центру. В свою чергу з процесингового центру банк отримує звіти щодо операцій клієнтів банку, виконаних по картках. Відповідальність за авторизацію по лімітах клієнтів банку лежить на процесинговому центрі. Доступ до рахунку клієнт має тільки за допомогою картки, а час від моменту внесення коштів на рахунок клієнта до моменту їх надходження в базу.

Рис. 2.11. Схема взаємодії учасників карткового проекту

Дуги на рис. 2.21 позначають такі інформаційні процеси:

1 — оформлення і видача картки клієнту;

2 — надання картки для оформлення покупки чи оплати послуг;

3-4 — запит на авторизацію;

5-6 — результати авторизації;

7 — передача товару та чека на нього власнику картки;

8 — передача чеків на куплені товари;

9 — зарахування коштів за куплені товари на рахунок торговельного закладу;

10—13 — розрахунки банка-емітента з банком-еквайром за проведені трансакції;

14 — надання виписки про проведені трансакції;

15 — розрахунки власника картки з банком-емітентом.

При взаємодії банку з процесинговим центром в режимі on-line банк устатковується спеціальним обладнанням та програмним забезпеченням і підключається до мереж передачі даних або з’єднується з процесинговим центром виділеним каналом. Банк самостійно веде базу даних карток, рахунків та лімітів і виконує процес авторизації платежів. У цьому випадку банк має можливість керувати рахунками клієнтів і здійснювати їх дебетування в режимі реального часу. Крім того, банк оперативно може виконувати блокування карток і рахунків.

Банк-еквайр може взаємодіяти з процесинговою компанією також у двох режимах: off-line і on-line.

Смарт-картка — це пластикова картка з мікросхемою та мікропроцес-сором. На сьогодні використовуються п’ять основних типів мікросхем для пластикових карток.

До цих мікросхем належать такі:

1. Мікросхеми пам’яті, які підтримують операції запису та читання одиниць інформації. Ці мікросхеми можуть бути використані здебільшого в картках контролю доступу, картках-посвідченнях, медичних картках, електронних гаманцях та в картках, що використовуються в транспортних системах.

2. Мікросхеми захищеної пам’яті, які на відміну від попередніх, мають лічильник одиниць інформації. Вони використовуються переважно в телефонних картках.

3. Мікроконтролери — це мікросхеми з центральним процесором, які можуть самостійно проводити обчислення. Використовуються дуже широко в різних карткових проектах, зокрема в банківських системах.

4. Криптоконтролери відрізняються від мікроконтролерів наявністю співпроцесора, який підтримує криптографічні функції. Найбільш захищені на сьогодні пристрої для збереження та обробки інформації.

5. Безконтактні мікросхеми призначені для обміну інформацією з читаючим пристроєм без безпосереднього контакту. Безконтактні мікросхеми дають змогу не лише зчитування, а й запису інформації. Використовуються в транспортних системах та системах контролю доступу (зокрема автоматизованих прохідних та ін.). Безконтактна картка може бути багатофункціональною і використовуватись для кількох цілей, наприклад для контролю за доступом співробітників, для сплати за харчування в офісних автоматах та для фіксації в ній нарахованої заробітної плати.

У разі використання карток з магнітною смужкою для авторизації платежу необхідно в режимі on-line або по телефону зв’язатися з банком чи процесинговим центром для отримання дозволу на виконання трансакції. Основна проблема, що постає при цьому, — це забезпечення надійного, захищеного і недорогого зв’язку, що не завжди є можливим.

Перевагу тут мають смарт-картки, у яких для отримання дозволу на проведення платежу не потрібно зв’язуватись з банком-емітентом чи процесинговим центром. Дозвіл на платіж дає сама картка при її контакті з терміналом торговельного закладу. При цьому різко скорочуються витрати на забезпечення виконання платежів, оскільки в цьому разі засоби зв’язку не відіграють такої ролі, як у випадку з картками з магнітною смужкою. Схему розрахунків з використанням смарт-карток наведено на рис. 2.12.

Рис.2.12. Схема розрахунків з використанням смарт-картки (СК) типу «електронний гаманець»

Для захисту інформації при картковій системі розрахунків застосовується повний набір апаратних, програмних і організаційних засобів для забезпечення керування всіма складовими системи, у тому числі інтелектуальними картками, терміналами, інкасацією трансакцій, клірингом, а також інтерфейсом та інтеграцією з банківськими системами.

Для технічного керування роботою системи використовуються два системних списки: так звані «зелений листок» та «стоп-листок».

«Зелений листок» містить список банків-емітентів учасників системи. Він є у всіх банках і терміналах. Коригує цей список і поширює його в системі ГПЦ.

«Стоп-листки» містять картки, які заборонені для обробки в системі.

Картки включаються в «стоп-листки» у разі втрати або крадіжок на підставі заяв клієнтів (письмових або телефоном). Іноді (у разі підозри щодо підробки) самі банки чи процесингові центри вдаються до таких дій.

«Стоп-листки» бувають двох видів: «стоп-листок» операцій, які виконуються в режимі прямого («он-лайн») доступу, та «стоп-листок» операцій непрямого («оф-лайн») доступу. Перший потрібен, щоб система емітента перевіряла картки під час їх завантаження та платежів із банківських рахунків. Він, по суті, захищає поточні рахунки клієнтів. Картки практично ніколи не вилучаються з цього списку (окрім випадків коли власник знаходить втрачену картку).

«Стоп-листок» непрямого доступу використовується при платіжних операціях у терміналах і захищає залишки на ЕГ та ЕЧ.

Захист даних у системі базується на використанні криптографічних методів при їх обробці, зберіганні та передаванні і передбачає розмежування доступу до інформації службових осіб.

Криптографічні методи захисту інформації гарантують незмінність її змісту та обмеження доступу до неї.

При захисті даних використовується також ключова система, яка передбачає наявність і використання системних і банківських ключів. Банки-учасники генерують свої ключі, самостійно застосовуючи модулі безпеки, які встановлюються під час запуску АКС.

У картках записують відразу кілька версій ключів (системних та банківських). Картка і система можуть переходити на іншу (старшу) версію ключів у плановому або позаплановому порядку.

Згідно « Положення про захист інформації в Національній системі масових карткових електронних платежів» [ ] в внутрішній картковій платіжній системи АКБ «Промінвестбанк» ВСКП застосовані основні принципи побудови захисту інформації :

1. Система захисту ВСКП «ПРОМІНВЕСТ» складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту інформації в ВСКП «ПРОМІНВЕСТ».

2. Питання захисту інформації в ВСКП «ПРОМІНВЕСТ» розглядаються на всіх етапах розроблення, впровадження та експлуатації програмно-техніч-ного забезпечення ВСКП «ПРОМІНВЕСТ» і включають чіткий розподіл відпо-відальності на кожному етапі підготовки, оброблення та виконання електрон-них банківських документів на всіх рівнях.

4. Частина інформації, що використовується та обробляється в ВСКП «ПРОМІНВЕСТ», відповідно до статті 61 Закону України "Про банки і банківську діяльність" є "банківською таємницею".

5. Основною метою криптографічного захисту інформації в ВСКП «ПРОМІНВЕСТ» є забезпечення конфіденційності та цілісності (захисту від несанкціонованої модифікації) електронної інформації, а також суворої автентифікації всіх учасників платіжних операцій, підготовки та оброблення електронних документів.

6. Для забезпечення захисту інформації від модифікації система захисту ВСКП «ПРОМІНВЕСТ» включає механізми формування/перевірки МАС на базі симетричного алгоритму DES із застосуванням режиму використання унікального сесійного ключа для кожного повідомлення.

7. Для забезпечення конфіденційності інформації, що циркулює в ВСКП «ПРОМІНВЕСТ», усі інформаційні пакети (телеграми), що містять конфідент-ційну інформацію, шифруються за допомогою симетричного алгоритму TDES із застосуванням того самого режиму використання сесійного ключа.

8. Для шифрування та обчислення МАС використовується програмно-апаратний модуль безпеки серверів ВСКП «ПРОМІНВЕСТ» та самі смарт-картки (як службові, так і платіжні).

9. Використання стандартизованих криптографічних алгоритмів у системі захисту інформації ВСКП «ПРОМІНВЕСТ», реалізованих апаратно, гарантує задану криптостійкість. Ключі, які використовуються для захисту інформації ВСКП «ПРОМІНВЕСТ», зберігаються в картках та МБ ВСКП «ПРОМІН-ВЕСТ», із гарантією їх захищеності.

10. За своїм функціональним призначенням та місцем використання всі ключі ВСКП «ПРОМІНВЕСТ» можна розбити на три різні типи: транспортні, системні та банківські ключі.

Побудову транспортних та системних ключів виконує управління захисту інформації Промінвестбанку. Побудову банківських ключів виконують банки-учасники та/або БПЦ ВСКП «ПРОМІНВЕСТ» за допомогою спеціального програмного забезпечення БЦГКІ, яке надається управлінням захисту інформації Промінвестбанку.

11. Для підвищення рівня захищеності ВСКП «ПРОМІНВЕСТ» відповідно до регламенту ВСКП «ПРОМІНВЕСТ» та/або за рішенням Платіжної організації ВСКП «ПРОМІНВЕСТ» здійснюється перехід на нові версії системних та банківських ключів. Періодичність зміни версії системних ключів - не рідше одного разу на рік.

12. Транспортні ключі генеруються системним ЦГКІ окремо для кожного учасника ВСКП «ПРОМІНВЕСТ» та використовуються для безпечного транспортування апаратно-програмних засобів захисту інформації карткової системи (модулі безпеки, платіжні та службові картки) від одного до іншого учасника ВСКП «ПРОМІНВЕСТ» відповідно до технології ВСКП «ПРОМІНВЕСТ».

13. Системні ключі є єдиними ключами для всієї емітентної ВСКП «ПРОМІНВЕСТ».

14. Банківські ключі генеруються окремо кожною філією-учасником та/або БПЦ ВСКП «ПРОМІНВЕСТ» та використовуються лише в межах цього учасника. Одразу після генерації офіцер безпеки АКС відповідно до Керівництва користувача програмно-апаратного комплексу банківського центру генерації ключової інформації (версія 2.01) повинен створити архіви криптопакетів банківських ключів та передати їх із забезпеченням захисту від компрометації для зберігання в управління захисту інформації Промінвестбанку.

15. Криптографічний захист електронних документів членами/учасни-ками ВСКП «ПРОМІНВЕСТ», які обслуговують АКС, виконується за допо-могою таких засобів криптозахисту:

а) для обміну інформацією з іншими членами та учасниками ВСКП «ПРОМІНВЕСТ» - системний МБ СА ВСКП «ПРОМІНВЕСТ»;

б) для обміну інформацією всередині АКС (ПЦ) ВСКП «ПРОМІНВЕСТ»:

- МБ серверів ВСКП «ПРОМІНВЕСТ»;

- платіжна та/або службова смарт-картки ВСКП «ПРОМІНВЕСТ»;

програмне забезпечення БЦГКІ, яке:

- генерує систему банківських ключів;

- персоналізує технологічні банківські МБ;

- розсилає в захищеному вигляді банківські ключі в БЦГКІ та на технологічні банківські МБ;

в) для обміну інформацією між АКС та САБ філії-учасника:

- засоби електронного цифрового підпису, які надаються управлінням захисту інформації Промінвестбанку для захисту інформації і використовуються в системі електронних платежів та інших інформаційних задачах Промінвестбанку.

2.7 Структура та захист інформаційних потоків в телекомунікаційній системі віддаленого управління рахунками клієнтів «Клієнт-Банк», «Інтернет- Банкінг»

Електронна система передавання документів «Клієнт — банк» призначена для того, аби віддалені клієнти банку — користувачі цієї системи мали змогу отримувати банківські послуги через канали зв’язку.

Такі системи називають ще системами електронних платежів «Клієнт/Офіс — Банк» — СЕПКОБ. Така система не підмінює, а лише доповнює традиційну систему платежів електронною безпаперовою технологією обміну платіжними документами та інформацією між клієнтом і банком. За допомогою зазначеної системи клієнт банку заповнює платіжний документ на комп’ютері у своєму офісі, а програмне забезпечення системи надсилає його до банку, де цей документ далі обробляють відповідні елементи системи. Отже, СЕПКОБ — це система передавання даних, яка замінює такі традиційні засоби зв’язку, як пошта, телеграф, телекс, даючи клієнтові змогу скористатися потрібною послугою, не відвідуючи операційного залу банку. При цьому зв’язок здійснюється, як правило, по існуючих некомутованих телефонних каналах.

Робота в СЕПКОБ надає клієнтові чимало переваг порівняно з традиційною технологією платежів.

По-перше, кожний клієнт може зі свого офісу за допомогою комп’ютера керувати власним розрахунковим рахунком. Більш того, якщо він має портативний комп’ютер, то може скористатися такою послугою не лише з офісу.

По-друге, обслуговування клієнтів здійснюється цілодобово.

По-третє, скорочуються операційні витрати порівняно з телеграфним або телексним зв’язком, дешевшими стають підготовка й оформлення платіжних документів.

І нарешті, по-четверте, існує можливість безпосередньої взаємодії СЕПКОБ з АІС клієнта і організації безпаперової обробки даних при розв’язуванні її задач.

За спостереженнями спеціалістів, активне підприємство звертається в банк до 15 раз за операційний день, на що витрачається до трьох годин робочого часу. Система «Клієнт — банк» дозволяє зекономити і час і гроші.

Доцільність використання системи для клієнта пов’язана також з проблемою визначення часу виникнення податкових зобов’язань при оплаті або отриманні коштів.

Підвищується також загальний рівень культури роботи клієнта, оскільки йому немає тепер потреби возити платіжні доручення до операційного залу банку. Усі операції виконуються на робочому місці в офісі клієнта.

Клієнт отримує збільшення швидкості проводок грошей і отримання виписок по рахунках. Більше того, виникає можливість однієї людини працювати з декількома рахунками (субрахунками), які можуть знаходитися в різних кінцях країни.

До інших переваг можна віднести зменшення кількості помилок під час вводу й підготовки фінансових документів і захист від типових банківських ризиків (помилкові направлення платежів, загублення документів, їх фальсифікація та спотворення тощо).

Клієнт, працюючи в системі, може не лише відправляти платежі, а й користуватися іншими банківськими послугами (діставати інформацію про операції на своєму рахунку, про зміни його поточного стану протягом доби, курси валют тощо).

У найзагальнішому вигляді система складається з двох головних структурних елементів. Перший елемент — автоматизоване робоче місце «клієнта» — АРМ_К — розташоване безпосередньо в клієнтів, які по каналах зв’язку обмінюються інформацією з банком. Другий елемент — АРМ «БАНК» — АРМ_Б — міститься в банку, що обслуговує клієнтів, котрі мають АРМ_К.

АРМ_К працює в режимі реального часу і, як правило, ввімкнене в ЛОМ клієнта. Інтегруючись (на рівні обміну файлів платіжних та інших документів) із прикладними задачами автоматизованої інформаційної системи клієнта, АРМ_К може розглядатися і як її елемент.

АРМ «БАНК» призначений для обробки пакетів платіжних документів, запитів та інших повідомлень клієнтів, які є учасниками СЕПКОБ. Він інформаційно взаємодіє (на рівні обміну даними) з ПТК ОДБ банку.

СЕПКОБ працює в режимі електронної пошти, і в разі великого числа клієнтів з АРМ_К (понад 10) до її складу включають додатковий структурний елемент «концентратор повідомлень» клієнтів (КПК). Він, розвантажуючи АРМ_Б, забезпечує ідентифікацію, приймання, передавання й перевірку повідомлень від клієнтів, концентрацію та передавання таких повідомлень. На КПК формуються пакети документів як для передавання й обробки на АРМ_Б, так і для АРМ_К.

Основне технічне забезпечення АРМ_К і АРМ_Б таке: комп’ютер, модеми і засоби ідентифікації користувача. Технічне забезпечення КПК додатково містить файл-сервер і поштовий сервер. Зв’язок КПК з АРМ_Б відбувається, як правило, по виділених лініях, а з АРМ_К — комутованих.

В АРМ_К крім основних є сервісні операції, що призначені для зміни пароля, видачі довідок і т. ін. Технологія обробки платежів за допомогою СЕПКОБ передбачає поетапне виконання відповідних процесів.

Етап підготовки оператором пакета ПД на АРМ_К і проставляння «електронного підпису» другої та першої осіб. Ця операція може здійснюватися або на комп’ютері оператора, якщо АРМ_К базується на окремому автономному ПК, або на відповідних РС, якщо АРМ_К працює в ЛОМ.

Наступний етап технології полягає в автоматичному проставленні коду ідентифікації самого клієнта (код АРМ_К), формуванні пакета ПД, який далі відправляється по каналах зв’язку до банку або до концентратора повідомлень.

Подальші дії виконуються в банку на АРМ_Б: розшифрову- ється отриманий пакет ПД, автоматично перевіряється код ідентифікації АРМ_К і передається ПД до ОДБ тому операціоністу, який веде рахунок відповідного клієнта.

Нарешті за допомогою АРМ_Б перевіряються в ПД підписи директора й головного бухгалтера, проставляється код операціоніста про прийняття документа в обробку. Заключні дії такі: перевіряється правильність коду операціоніста банку, проставляється код головного його технолога і виконується квитування (підтвердження оплати або відмова від неї) ПД з подальшим передаванням цієї інформації по всіх етапах аж до клієнта (АРМ_К).

У банку обробка ПД супроводжується відповідними бухгалтерськими проведеннями. При потребі здійснюються міжбанківські платежі з використанням СЕП НБУ.

Інформація в СЕПКОБ з метою її захисту передається лише в зашифрованому вигляді. Дані, які обробляються й передаються, захищені завдяки шифруванню та використанню системи паролів. Найчастіше пароль вибирає та встановлює сам клієнт, змінюючи його з часом. Пароль містить здебільшого від 1 до 10 символів (разом зі знаками псевдографіки). Якщо пароль загубиться, то його не можуть відновити навіть розробники системи та обслуговуючий персонал, тобто це загрожує блокуванням доступу до всієї нагромадженої інформації.

Для ідентифікації користувача застосовують системи запиту й перевірки введеного з клавіатури паролю, системи контролю «парольних», або «ключових», дискет, магнітних та інтелектуальних пластмасових карток.

Захист інформації забезпечує й система накладання на ПД «електронного підпису» особами, які мають право розпоряджатися грошовими коштами. Це означає, що машинне зображення ПД доповнюється спеціальним набором символів, залежним як від особистого коду особи, котра має право на підпис, так і від змісту самого документа. Не підписані документи не можуть бути передані до банку, а із внесенням будь-яких змін до підписаного документа змінюється принаймні один електронний підпис на документі, що негайно виявляється системою.

Система керування банківським рахунком через Інтернет ELPay (версія 2.0) - ЗАТ "Сайфер" являє собою якісно нове рішення в класі продуктів " Клієнт-Банк", націлених на надання послуг Банку выддаленому Клієнтові за допомогою мережі Інтернет. Клієнт Банку, використовуючи стандартний веб-браузер і традиційні способи виходу в Інтернет, одержує захищений доступ до свого рахунку в банку й можливість керування фінансами з будь-якої точки світу. Дана технологія має розповсюджену назву «Internet Banking» і дозволяє одержати нові принципові якості:

- доступ Клієнта до свого рахунку за допомогою Інтернет з будь-якої крапки миру без використання спеціального програмного забезпечення;

- оперативність відстеження стану свого рахунку й проведення операцій за рахунок онлайновой технології;

- одержання інформації про стан рахунку й платіжних документів на мобільний телефон у вигляді SMS-Повідомлення або у вигляді листа по електронній пошті;

- відсутність необхідності яких-небудь операцій по установці, настрою-ванню й модифікації програмного забезпечення в офісі в Клієнта.

Структурна схема системи ELPay зображена на рис.2.23. Система скла-дається з наступних елементів:

- сервісів, надаваних клієнтові: "Клієнт ELPay" і "Модуль SMS/ E-mail";

- сервера додатків, розташованого в банку, що обробляє дані запитів клієнта й забезпечує взаємодію із Системою Автоматизації Банку (САБ);

- сервера баз даних, який утримує дані про стан рахунків і платежів клієнтів, нормативно-довідкову й іншу інформацію.

- АРМ Адміністратора, АРМ "Валюта" і API ELPay, розташованих на стороні банку й забезпечуючих оперативне керування системою й взаємодію інтерфейсного модуля з базою даних ELPay;

- Карт-інтерфейсу, що забезпечує взаємодію із процесінговим центром у режимі on-line для платежів з карткового рахунку й актуалізації балансу платіж-ної картки, а також є файловим шлюзом для одержання виписок і документів виписок по карткових рахунках.

Рис. 2.13. – Структурна схема інформаційних потоків в платіжно-інформаційній системі «Internet Banking»

Клієнт ELPay – це сервіс, розрахований на мобільного користувача, що з будь-якої точки підключення до Інтернет може управляти своїм рахунком. Для роботи сервісу використовується постійне з'єднання з Банком під час сеансу роботи. Спрощено технологію роботи даного сервісу можна описати в такий спосіб. Клієнт системи одержує доступ до свого рахунку за допомогою веб-браузера з будь-якого комп'ютера, що має доступ у мережу Internet. При цьому з веб-сервера на робочу станцію клієнта автоматично завантажується програмне забезпечення у вигляді апплета, реалізуючи технологію "тонкого клієнта". Апплет, завантажений з веб-сервера, забезпечує безпосередню (минаючи веб-сервер) взаємодію клієнта із серверами додатків і баз даних, що розтало-вуються в банку.

У системі ELPay використовуються наступні методи захисту:

цифровий підпис платіжного доручення (один або два підписи);

шифрування даних на прикладному рівні, переданих на ділянці "клієнт-сервер додатків";

аутентифікація при підключенні клієнта до сервера додатків;

контроль цілісності й аутентифікації завантаженого клієнтові прог-рамного забезпечення.

У системі використовуються сертифіковані кошти криптографічного захисту інформації "Шифр", зареєстровані 24.09.2007 р. у реєстрі Укрсепро №UA.1.112.0129807-07, що реалізують:

шифрування на основі алгоритму криптографічного перетворення за ДСТУ 28147-89;

процедури вироблення й перевірки електронного цифрового підпису на базі асиметричного криптографічного алгоритму ДЕРЖСТАНДАРТ 34.310-95;

процедури хеширування інформації з ДЕРЖСТАНДАРТ 34.311-95;

процедури генерації й керування ключами відповідно до затвердженого технічним завданням (UA/23154898/ 00001-01 90 01-ЛУ).

При установці серверів ELPay у банку й підключенні сервера додатків до Інтернет найбільш важливим є визначення політикиі безпеки. Реалізація політи-ки безпеки дозволить уникнути можливих атак з Інтернет, що мають метою одержати доступ до конфіденційних даних або вивести з ладу інформаційні ресурси банку. При цьому особлива небезпека укладається в можливій атаці на інформаційні сервера автоматизованої банківської системи.

Політика безпеки визначається для всіх мережних ресурсів банку, для яких можливе зіткнення з Інтернет. До їхнього числа ставляться (рис.2.24):

1. Сегмент мережі із Системою Автоматизації Банку (САБ). Даний об'єкт політики безпеки є найбільш важливим, що не допускає ніяких вхідних мереж-них з'єднань, ініціалізованих поза сегментом САБ.

2. Сервери ELPay (сервер додатків і сервер баз даних). Інформація, утримувана на цих серверах також вимагає відповідних технічних і організаційних заходів безпеки. Тут також неприпустимі ніякі вхідні з'єднання, крім передба-чених регламентом роботи сервера додатків.

3. WEB-Сервер. Даний елемент містить завантажуєме клієнтові програмне забезпечення (ПО), що, у свою чергу критично до модифікації. Захист ПО від модифікації здійснюється незалежними від веб-сервера засобами, тому вимоги до рівня безпеки веб-сервера обумовлюють лише надійністю роботи самого сервера.

Рис. 2.14. Схема основних захищаємих елементів системи «Internet Banking»

Мережні сегменти в банку, відображені на рис.2.14, фізично розділяються з допомогою межмережевого екрана (Firewall) або розподільного маршрути за-тора. База правил доступу для кожного елемента системи створюється окремо.

Таким чином, створюються наступні мережні зони:

Найбільш захищений сегмент САБ, що включає сервер САБ, АРМ Адміністратора й Интерфейсный модуль із САБ;

Сегмент ELPay, що включає Сервер Додатків і Сервер Баз Даних;

Вільно доступний веб-сервер.

На точці входу в систему з Internet перебуває межсетевой екран (firewall), що реалізує базу правил політики безпеки для кожного сегмента окремо.

Для електронного цифрового підпису (ЕЦП) платіжних документів використовуються спеціальні асиметричні криптографічні алгоритми, засновані на використанні ключової пари: секретного й відкритого ключів. Секретний ключ використовується для підпису документа, а відповідний йому відкритий ключ - для перевірки підпису в банку.

Секретний ключ перебуває тільки в клієнта й він повністю відповідає за його схоронність.

У процесі заповнення анкети клієнта банку, після визначення посадових осіб, маючих права 1-й або 2-й підписів, система провадить генерацію ключової пари, при цьому відкритий ключ передається в банк у вигляді спеціально сформованого запиту.

Даний запит містить всю уведену клієнтом інформацію й відкриті ключі, з допомогою яких будуть перевірятися цифрові підписи під платіжними доку-ментами.

Одержання відгуку на даний запит провадиться в реальному часі й свід-чить про успішний обробці запиту й завершенні процесу реєстрації.

Секретні ключі клієнта в банк не передаються й містяться на індивіду-альний носій разом з відповідними їм відкритими ключами. За схоронність секретногоключа несе відповідальність тільки його власник.

2.8 Структура та захист інформаційних потоків в системах «електронної пошти» (міжбанківська пошта НБУ, внутрішньобанківська пошта Проінвестбанку, глобальна Інтернет-пошта)

Електронна пошта — ЕП — складається загалом із вузлів — комп’ютерів, які мають змогу встановлювати один з одним з’єднання для передавання електронних листів (повідомлень) своїх абонентів. Вузли поділяються на абонентські пункти АП 1-го типу (АП-1) та абонентські пункти 2-го типу (АП-2) (поштамти).

Кожний АП-1 передає в інші вузли лише ті повідомлення, які були підготовлені його абонентами, і приймає від решти АП лише адресовані його абонентам повідомлення. На відміну від АП-1, АП-2 передає на інший поштамт або на АП-1 будь-які повідомлення.

Усяке повідомлення ЕП має бути адресованим, тобто мати свою електронну поштову адресу. Із погляду логіки для того, щоб адреса була інформативною, необхідно, аби вона включала в себе ідентифікатор абонента (кінцевого користувача — КК) і поштові координати, які визначають місцезнаходження КК. Правила адресації в різних системах ЕП відрізняються одне від одного, але ці логічні елементи присутні завжди.

Електронна пошта НБУ являє собою програмно-технічну та адміністративно-технологічну мережу, яка забезпечує обмін даними в банківській системі України. Вона призначена для надійного та якісного приймання і передавання електронних повідомлень. Джерелами та одержувачами останніх можуть бути як різні програмні продукти (зокрема й прикладні програми), так і фізичні особи. Вони є кінцевими користувачами системи. Систему ЕП НБУ створюють поштові вузли. Розрізняють Центральний, регіональні та абонентські вузли — АВ.

Центральний і регіональні вузли є абонентськими пунктами 2-го типу, а решта вузлів — АП 1-го типу. До них належать вузли, що розміщені в комерційних банках України, а також в урядових і державних установах, які взаємодіють з банківською системою. Організаційно вузли ЕП, за винятком АВ, є структурними підрозділами системи НБУ, котрі у своїй діяльності керуються чинним законодавством України, ухвалами НБУ, відповідними положеннями про ці підрозділи та положеннями про ЕП НБУ.

Центральний вузол — ЦВ — це підрозділ Центрального управління НБУ, а регіональні вузли — РВ — підрозділи відповідних територіальних управлінь НБУ.

Абонентський вузол може входити до складу будь-якої установи (КБ і т. ін.), що виконує всі умови, які ставляться в разі підімкнення абонентів до ЕП, і бере участь у роботі системи. Вузли можуть бути зв’язані між собою за допомогою виділених чи комутованих телефонних і телеграфних каналів зв’язку або через радіоканал і супутникові системи передавання даних.

Система ЕП НБУ дає змогу інтегрувати локальні обчислювальні мережі — ЛОМ, які існують в її вузлах. Використовуючи ЕП, кожний користувач робочої станції — РС — ЛОМ її вузла може відправити повідомлення у вигляді текстового файла, підготовленого з використанням довільного текстового редактора; графічного файла, що містить графічні конструкції будь-якого вигляду; файла бази даних типу .DBF; файла табличного процесора. Інший абонент, який перебуває в іншому регіоні і є користувачем ЛОМ свого вузла, може приймати ці повідомлення на свою РС.

Переваги ЕП НБУ такі: висока швидкість доставляння повідомлень та можливість автоматизувати в установі процес обробки документації, починаючи з її отримання.

Система ЕП НБУ реалізована як ІР-мережа транспорту криптографованих файлів (алгоритм RSA – системи закритих та відкритих ключів), не є системою діалогової взаємодії і має такі особливості:

формування й приймання поштових повідомлень — процеси, що розділені в часі і виконуються незалежно від процесів встановлення з’єднань між вузлами та передаванням даних;

система ЕП використовує архітектуру, коли повідомлення запам’ятовується на одному вузлі, а далі передається за маршрутом до іншого вузла доти, доки воно не буде доставлене адресатові. Така архітектура забезпечує передавання даних навіть у разі можливих відказів засобів зв’язку;

ЕП НБУ дає змогу передавати повідомлення одночасно багатьом користувачам завдяки введенню спеціального механізму «група вузлів» і вказуванню кількох адресатів при формуванні «поштового конверта». Таким чином передаються повідомлення, що стосуються багатьох або всіх абонентів, наприклад, загальні дані типу коригувань списку учасників, адрес вузлів ЕП тощо;

система ЕП НБУ допомагає організовувати взаємодію між програмними комплексами автоматизації банківської діяльності, які містяться в різних вузлах. При цьому забезпечується весь сервіс щодо зберігання, документування й надійності доставляння кореспонденції;

В ЕП ведеться довідник вузлів ЕП, який міститься в кожному вузлі системи у вигляді файла з іменем «SPRUSNBU.DBF». Цей довідник фактично описує адресний простір вузлів ЕП. Він ведеться в ЦВ, служби якого забезпечують актуалізацію довідника й готують коректури для розсилання по всіх інших вузлах ЕП НБУ. Кожний вузол має належне лише йому поштове ім’я.

Для АВ, які містяться в банківських установах, ім’я вузла складається з чотирьох знаків, де перший знак є постійним (латинська буква «U»), другий — латинська буква, яка визначає регіон (область) України (наприклад, «А» — Вінницька область, «В» — Волинська і т. д.), третій знак задає код типу або множини банківських установ, а четвертий — номер вузла в даному типі чи множині банківських установ.

Система має суто ієрархічну трирівневу структуру. На 1-му рівні перебуває ЦВ, на 2-му містяться регіональні вузли, а на 3-му — абонентські вузли. Кожний АВ входить лише до одного регіонального, а регіональні вузли входять до ЦВ. Завдяки тому, що РЕВ — це, як правило, обласні вузли (крім Київського), забезпечується охоплення всієї території країни.

На множині вузлів пошти для забезпечення передавання повідомлень визначається набір маршрутів, де описуються шляхи доступу від одного вузла до іншого. Ці маршрути використовуються при транспортуванні поштових повідомлень. З огляду на ієрархічну структуру ЕП доставляння поштового повідомлення — ПОП — між двома РЕВ можливе лише через ЦВ. Ясна річ, що і ПОП АВ одного РЕВ до АВ іншого РЕВ іде транзитом через ЦВ. Можливі маршрути в ЕП можна записати у вигляді:

АВ(а) ® РЕВ ® АВ(б), АВ(а) ® РЕВ(а) ® ЦВ ® РЕВ(б) ® АВ(б).

Поштові повідомлення, або «поштові конверти», є тими одиницями інформації, які передаються між вузлами системи ЕП. Отже, передавання інформації відбувається не безперервним потоком, а певними порціями (пакетами, файлами), які називають конвертами.

Важливою функцією в ЕП є забезпечення й підтвердження факту доставлення конверта. Тому в ЕП є функція генерації та обліку підтверджень доставлення поштових повідомлень. Такі підтвердження формуються лише в кінцевому вузлі-одержувачі. Підтвердження формується як файл-квитанція про доставлення ПОП у момент, коли воно потрапляє до вхідного каталогу у вузлі-адресаті. Квитанція формується автоматично програмами АК, якщо в заголовку ПОП, яке надійшло, установлено ознаку видачі підтвердження доставлення.

Зрозуміло, що це дає змогу використовувати ЕП для розв’язування найрізноманітніших функціональних задач і операцій банківської та фінансової діяльності. Насамперед ЕП НБУ використовується для забезпечення можливості виконання міжбанківських розрахунків. Саме на базі ЕП НБУ створена й функціонує система електронних міжбанківських платежів (СЕП) банків України.

Перспективою розвитку ЕП крім поліпшення якісних показників її роботи (скорочення строку доставляння повідомлень, зменшення кількості відказів, можливість підімкнення нових вузлів, збільшення обсягів передавання тощо) є також розробка часткових шлюзів передавання та приймання даних із інших мереж, зокрема й із мережі ІНТЕРНЕТ. Зрозуміло, що при цьому постає проблема додаткових облікових і контрольних функцій, оскільки ЕП НБУ є системою закритого типу й такою, що забезпечує виконання специфічних завдань і послуг. Аналогічні проблеми пов’язані зі створенням шлюзу ЕП НБУ на інші поштові системи.

Основні засоби захисту банквської інформації в каналах електронної пошти НБУ є наступними:

захист цілісності та конфіденційності за рахунок спеціального структурування та криптозахисту вихідного повідомлення (конверта);

застосування системи антивірусного программного забезпечення на робочих станціях ЛОМ банку, а також на транзитно-транспортних ПЕОМ «електронної пошти НБУ»;

застосування захисних шлюзів між мережею «електронної пошти НБУ» та глобальною мережею Інтернет і мережами комерційних банків;

впровадження контрольної системи ідентифікації та аутентефікації користувачів мережі «електронної пошти»;

застосування поіменної маршрутизації «поштових конвертів» за унікальною ІР-адресою;

застосування автоматів зашифрування та розшифрування потоків «електронної пошти».

РОЗДІЛ 3

ПОБУДОВА МОДЕЛІ СИСТЕМНОЇ ІНТЕГРАЦІЇ МОДУЛІВ ЗАХИСТУ ІНФОРМАЦІЙНИХ ПОТОКІВ В АБС АКБ «ПРОМІНВЕСТБАНК» ТА ОЦІНКА РІВНЯ ВРАЗЛИВОСТІ БАНКІВСЬКОЇ ІНФОРМАЦІЇ

3.1 Постановка алгоритму задачі формування та опис елементів матриці контролю комплексної системи захисту інформації (КСЗІ) інформаційних об’єктів комерційного банку

В дипломному дослідженні матриця контролю стану побудови та експлуатації комплексної системи захисту інформації в комерційному банку представлена у вигляді 7-рівневої структурної матриці (табл.3.1), на кожному рівні в якої є 5 визначальних сегментів (напрямів захисту інформації в банку).

Основні структурні рівні сегментів КСЗІ банку (табл.3.1, рис.3.1):

1. Перший рівень (100) матриці контролю КСЗІ банку - «Визначення банківської інформації та її носіїв, які підлягають захисту»

2. Другий рівень (200) матриці контролю КСЗІ банку - «Виявлення джерел загроз інформації та каналів витоку, модифікації чи знищення банківської інформації»

3. Третій рівень (300) матриці контролю КСЗІ банку - «Проведення дослідження технології функціонування АБС банку, оцінка уязвимості та ризиків»

4. Четвертий рівень (400) матриці контролю КСЗІ банку - «Визначення вимог до елементів КСЗІ»

5. П’ятий рівень (500) матриці контролю КСЗІ банку - «Здійснення вибору заходів та засобів захисту інформації»

Таблиця 3.1

Матриця контролю комплексної системи захисту інформаційних об’єктів комерційного банку

<<< Структурні рівні сегментів КСЗІ банку	010				020				030				040				050
Сегменти КСЗІ банку >>>	Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)				Захист обчислювальних мереж, баз даних і програм АБС				Захист міжфілійних корпоративних мереж та каналів зв’язку				Захист від витоку ПЕВМІН				Оперативне управління моніторами системи захисту інформації
Основні етапи побудови структурного рівня КСЗІ банку >>>	Документальне забезпечення	Структурно-кадрове забезпечення	Алгоритмічна розробка заходів	Вровадження программно-апаратних засобів	Документальне забезпечення	Структурно-кадрове забезпечення	Алгоритмічна розробка заходів	Вровадження программно-апаратних засобів	Документальне забезпечення	Структурно-кадрове забезпечення	Алгоритмічна розробка заходів	Вровадження программно-апаратних засобів	Документальне забезпечення	Структурно-кадрове забезпечення	Алгоритмічна розробка заходів	Вровадження программно-апаратних засобів	Документальне забезпечення	Структурно-кадрове забезпечення	Алгоритмічна розробка заходів	Вровадження программно-апаратних засобів
011	012	013	014	021	022	023	024	031	032	033	034	041	042	043	044	051	052	053	054
100	Визначення банківської інформації та її носіїв, які підлягають захисту	111	112	113	114	121	122	123	124	131	132	133	134	141	142	143	144	151	152	153	154
200	Виявлення джерел загроз інформації та каналів витоку, модифікції чи знищення банківської інформації	211	212	213	214	221	222	223	224	231	232	233	234	241	242	243	244	251	252	253	254
300	Проведення дослідження технології функціонування АБС банку, оцінка уязвимості та ризиків	311	312	313	314	321	322	323	324	331	332	333	334	341	342	343	344	351	352	353	354
400	Визначення вимог до елементів КСЗІ	411	412	413	414	421	422	423	424	431	432	433	434	441	442	443	444	451	452	453	454
500	Здійснення вибору заходів та засобів захисту інформації	511	512	513	514	521	522	523	524	531	532	533	534	541	542	543	544	551	552	553	554
600	Впровадження та експлуатація вибраних засобів та технологій захисту інформації	611	612	613	614	621	622	623	624	631	632	633	634	641	642	643	644	651	652	653	654
700	Контроль та управління сегментом захисту інформації	711	712	713	714	721	722	723	724	731	732	733	734	741	742	743	744	751	752	753	754

Рис.3.1. Структурна схема сегментів КСЗІ банку (в нумерації матриці контролю)

6. Шостий рівень (600) матриці контролю КСЗІ банку - «Впровадження та експлуатація вибраних засобів та технологій захисту інформації»

7. Сьомий рівень (700) матриці контролю КСЗІ банку - «Контроль та управління сегментом захисту інформації»

На кожному с структурних рівнів матриці розташована інформація по 5 характерним сегментам КСЗІ комерційного банку:

а) сегмент 010 - «Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

б) сегмент 020 - «Захист обчислювальних мереж, баз даних і програм АБС»

в) сегмент 030 - «Захист міжфілійних корпоративних мереж та каналів зв’язку»

г) сегмент 040 - «Захист від витоку ПЕВМІН»

д) сегмент 050 - «Оперативне управління моніторами системи захисту інформації»

При побудові алгоритму задачі створення інтегрованого контролю за поточним станом створення та експлуатації КСЗІ комерційного банку в ячейках матриці, наведеної в табл.3.1, використані наступні комплексні показники:

1. Посегментне змістовне значення параметрів в першій строці (100)

матриці контролю КСЗІ банку - «Визначення банківської інформації та її носіїв, які підлягають захисту»

а) сегмент100-010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

1.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають перелік банківської інформації на об'єктах АБС, яка підлягають захисту й порядок визначення такої банківської інформації.

1.1.2 Опис функцій органів, відповідальних за визначення банківської інформації, що підлягають захисту на об'єктах АБС

1.1.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення переліку банківської інформації, яка підлягає захисту на об'єктах АБС.

1.1.4 Опис набору засобів для забезпечення оперативності і якості визначення інформації, що підлягає захисту на об'єктах АБС.

б) сегмент 100-020

«Захист обчислювальних мереж, баз даних і програм АБС»

1.2.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають перелік банківської інформації, яка використовується в процесах і програмах АБС, що підлягають захисту й порядок визначення такої банківської інформації.

1.2.2 Опис функцій органів, відповідальних за визначення банківської інформації, що підлягає захисту при використанні її у процесах і програмах АБС.

1.2.3 Опис політики безпеки, що забезпечують своєчасне і якісне визначення переліку банківської інформації, яка підлягає захисту при використанні її у процесах і програмах АБС.

1.2.4 Опис набору засобів для забезпечення оперативності і якості визначення інформації, що підлягає захисту при використанні її у процесах і програмах АБС .

в) сегмент 100-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

1.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначає перелік банківської інформації, передаваємої по каналах зв'язку АБС, яка підлягає захисту й порядок визначення такої банківської інформації.

1.3.2 Опис функцій органів, відповідальних за визначення банківської інформації, , передаваємої по каналах зв'язку АБС, яка підлягає захисту.

1.3.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення переліку банківської інформації, яка підлягає захисту при передачі її по каналах зв'язку.

1.3.4 Опис набору засобів для забезпечення оперативності і якості визначення інформації, що підлягає захисту при передачі їх по каналах зв'язку.

г) сегмент 100-040

«Захист від витоку ПЕВМІН»

1.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають перелік банківської інформації, яка витікає за рахунок ПЕМІН, підлягає захисту й порядок визначення таких банківської інформації.

1.4.2 Опис функцій органів, відповідальних за визначення банківської інформації, яка витікає за рахунок ПЕМІН та підлягає захисту.

1.4.3 Опис політики безпеки, що забезпечують своєчасне і якісне визначення переліку банківської інформації, яка підлягає захисту в умовах можливого витоку за рахунок ПЕМІН.

1.4.4. Опис набору засобів для забезпечення оперативності і якості визначення інформації, що підлягає захисту в умовах можливого витоку її за рахунок ПЕМІН.

д) сегмент 100-050

«Оперативне управління моніторами системи захисту інформації»

1.5.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають перелік банківської інформації, яка підлягає захисту в процесі керування системою захисту й порядок визначення такої банківської інформації.

1.5.2 Опис функцій органів, відповідальних за визначення банківської інформації, що підлягає захисту в процесі керування системою захисту.

1.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення переліку банківської інформації, яка підлягає захисту в процесі керування системою захисту.

1.5.4 Опис набору засобів для забезпечення оперативності і якості визначення інформації, що підлягає захисту в процесі керування системою захисту.

2. Посегментне змістовне значення параметрів в другійстроці (200) матриці контролю КСЗІ банку - «Виявлення джерел загроз інформації та каналів витоку, модифікції чи знищення банківської інформації»

а) сегмент 200-010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

2.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок виявлення потенційних каналів витоку інформації на об'єктах АБС .

2.1.2 Опис функцій органів, відповідальних за виявлення потенційних каналів витоку інформації на об'єктах АБС .

2.1.3 Опис політики безпеки, що забезпечує своєчасне і якісне виявлення потенційних каналів витоку інформації на об'єктах АБС .

2.1.4 Опис набору засобів для забезпечення оперативності і якості виявлення потенційних каналів витоку інформації на об'єктах АБС .

б) сегмент 200-020

«Захист обчислювальних мереж, баз даних і програм АБС»

2.2.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок виявлення потенційних каналів витоку інформації в процесах і програмах АБС .

2.2.2 Опис функцій органів, відповідальних за виявлення потенційних каналів витоку інформації в процесах і програмах АБС .

2.2.3 Опис політики безпеки, що забезпечує своєчасне і якісне виявлення потенційних каналів витоку інформації в процесах і програмах АБС .

2.2.4 Опис набору засобів для забезпечення оперативності і якості виявлення потенційних каналів витоку інформації в процесах і програмах АБС.

в) сегмент 200-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

2.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають виявлення потенційних каналів витоку банківської інформації, передаваємої по каналах зв'язку АБС.

2.3.2 Опис функцій органів, відповідальних за виявлення потенційних каналів витоку банківської інформації, передаваємої по каналах зв'язку АБС.

2.3.3 Опис політики безпеки, що забезпечує своєчасне і якісне виявлення потенційних каналів витоку банківської інформації, при передачі її по каналах зв'язку.

2.3.4 Опис набору засобів для забезпечення оперативності і якості виявлення потенційних каналів витоку інформації, що підлягає захисту при передачі її по каналах зв'язку.

г) сегмент 200-040

«Захист від витоку ПЕВМІН»

2.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок виявлення потенційних каналів витоку банківської інформації за рахунок ПЕМІН.

2.4.2 Опис функцій органів, відповідальних за виявлення потенційних каналів витоку інформації за рахунок ПЕМІН.

2.4.3 Опис політики безпеки, що забезпечує своєчасне і якісне виявлення потенційних каналів витоку інформації за рахунок ПЕМІН.

2.4.4 Опис набору засобів для забезпечення оперативності і якості виявлення потенційних каналів витоку інформації за рахунок ПЕМІН.

д) сегмент 200-050

«Оперативне управління моніторами системи захисту інформації»

2.5.1 Викладення у законодавчих, нормативних і методичних документах питань, виявлення потенційних каналів витоку інформації в процесі керування системою захисту й порядок дій при цьому.

2.5.2 Опис функцій органів, відповідальних за виявлення потенційних каналів витоку інформації в процесі керування системою захисту.

2.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне виявлення потенційних каналів витоку інформації в процесі керування системою захисту.

2.5.4 Опис набору засобів для забезпечення оперативності виявлення потенційних каналів витоку інформації в процесі керування системою захисту.

3. Посегментне змістовне значення параметрів в третій строці (300) матриці контролю КСЗІ банку - «Проведення дослідження технології функціонування АБС банку, оцінка уязвимості та ризиків»

а) сегмент 300- 010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

3.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають проведення оцінки уразливості й ризиків для інформації на об'єктах АБС, які підлягають захисту й порядок визначення такої банківської інформації.

3.1.2 Опис функцій органів, відповідальних за проведення оцінки уразливості й ризиків для інформації на об'єктах АБС.

3.1.3 Опис політики безпеки, що визначає проведення оцінки уразливості й ризиків для інформації на об'єктах АБС.

3.1.4 Опис набору засобів для проведення оцінки уразливості й ризиків для інформації на об'єктах АБС.

б) сегмент 300- 020

«Захист обчислювальних мереж, баз даних і програм АБС»

3.2.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають проведення оцінки уразливості й ризиків для інформації в процесах і програмах АБС.

3.2.2 Опис функцій органів, відповідальних за проведення оцінки уразливості й ризиків для інформації в процесах і програмах АБС.

3.2.3 Опис політики безпеки, що забезпечує своєчасне і якісне проведення оцінки уразливості й ризиків для інформації в процесах і програмах АБС.

3.2.4 Опис набору засобів для забезпечення оперативності і якості проведення оцінки уразливості й ризиків для інформації в процесах і програмах АБС.

в) сегмент 300-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

3.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок проведення оцінки уразливості й ризиків для банківської інформації, передаваємої по каналах зв'язку АБС.

3.3.2 Опис функцій органів, відповідальних за проведення оцінки уразливості й ризиків для банківської інформації, передаваємої по каналах зв'язку АБС.

3.3.3 Опис політики безпеки, що забезпечує проведення оцінки уразливості й ризиків для інформації при передачі її по каналах зв'язку.

3.3.4 Опис набору засобів для забезпечення оперативності і якості проведення оцінки уразливості й ризиків для інформації, що підлягає захисту при передачі її по каналах зв'язку.

г) сегмент 300-040

«Захист від витоку ПЕВМІН»

3.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок проведення оцінки уразливості й ризиків для інформації, підданій витоку за рахунок ПЕМІН.

3.4.2 Опис функцій органів, відповідальних за проведення оцінки уразливості й ризиків для інформації, підданій витоку за рахунок ПЕМІН.

3.4.3 Опис політики безпеки, що забезпечує своєчасне і якісне проведення оцінки уразливості й ризиків для інформації, підданій витоку за рахунок ПЕМІН.

3.4.4 Опис набору засобів для забезпечення оперативності і якості проведення оцінки уразливості й ризиків для інформації, підданій витоку за рахунок ПЕМІН.

д) сегмент 300-050

«Оперативне управління моніторами системи захисту інформації»

3.5.1 Викладення у законодавчих, нормативних і методичних документах питань, проведення оцінки уразливості й ризиків для інформації в процесі керування системою захисту й порядок дій при цьому.

3.5.2 Опис функцій органів, відповідальних за проведення оцінки уразливості й ризиків для інформації в процесі керування системою захисту.

3.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне проведення оцінки уразливості й ризиків для інформації в процесі керування системою захисту.

3.5.4 Опис набору засобів для забезпечення якості й оперативності проведення оцінки уразливості й ризиків для інформації в процесі керування системою захисту.

4. Посегментне змістовне значення параметрів в четвертій строці (400) матриці контролю КСЗІ банку - «Визначення вимог до елементів КСЗІ»

а) сегмент 400-010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

4.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають перелік вимог до КСЗІ на об'єктах АБС.

4.1.2 Опис функцій органів, відповідальних за визначення переліку вимог до КСЗІ на об'єктах АБС.

4.1.3 Опис політики безпеки, що забезпечує визначення переліку вимог до КСЗІ на об'єктах АБС.

4.1.4 Опис набору засобів для визначення переліку вимог до КСЗІ на об'єктах АБС.

б) сегмент 400-020

«Захист обчислювальних мереж, баз даних і програм АБС»

4.2.1 Викладення у законодавчих, нормативних і методичних документах питань визначення вимог до КСЗІ в процесах і програмах АБС.

4.2.2 Опис функцій органів, відповідальних за визначення вимог до КСЗІ в процесах і програмах АБС.

4.2.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення вимог до КСЗІ в процесах і програмах АБС.

4.2.4 Опис набору засобів для забезпечення оперативності і якості визначення вимог до КСЗІ в процесах і програмах АБС.

в) сегмент 400-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

4.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок визначення вимог до КСЗІ для банківської інформації, передаваємої по каналах зв'язку АБС.

4.3.2 Опис функцій органів, відповідальних за визначення вимог до КСЗІ для банківської інформації, передаваємої по каналах зв'язку АБС.

4.3.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення вимог до КСЗІ при передачі її по каналах зв'язку.

4.3.4 Опис набору засобів для забезпечення оперативності і якості проведення визначення вимог до КСЗІ, при передачі даних по каналах зв'язку.

г) сегмент 400-040

«Захист від витоку ПЕВМІН»

4.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок формування вимог до КСЗІ для інформації, підданій витоку за рахунок ПЕМІН.

4.4.2 Опис функцій органів, відповідальних за формування вимог до КСЗІ для інформації, підданій витоку за рахунок ПЕМІН.

4.4.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення вимог до КСЗІ для інформації, підданій витоку за рахунок ПЕМІН.

4.4.4 Опис набору засобів для забезпечення оперативності і якості визначення вимог до КСЗІ для інформації, підданій витоку за рахунок ПЕМІН.

д) сегмент 400-050

«Оперативне управління моніторами системи захисту інформації»

4.5.1 Викладення у законодавчих, нормативних і методичних документах питань формування вимог до процесів контролю стану й керування системою захисту інформації.

4.5.2 Опис функцій органів, відповідальних за формування вимог до процесів контролю стану й керування системою захисту інформації.

4.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне визначення вимог до процесів контролю стану й керування системою захисту інформації.

4.5.4 Опис набору засобів для забезпечення якості й оперативності формування вимог до процесів контролю стану й керування системою захисту інформації.

5. Посегментне змістовне значення параметрів в п’ятій строці (500) матриці контролю КСЗІ банку - «Здійснення вибору заходів та засобів захисту інформації»

а) сегмент 500-010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

5.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають здійснення вибору засобів захисту на об'єктах АБС.

5.1.2 Опис функцій органів, що визначають здійснення вибору засобів захисту об'єктах АБС.

5.1.3 Опис політики безпеки, що визначає здійснення вибору засобів захисту, на об'єктах АБС.

5.1.4 Опис набору засобів для здійснення вибору засобів захисту на об'єктах АБС.

б) сегмент 500-020

«Захист обчислювальних мереж, баз даних і програм АБС»

5.2.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають здійснення вибору засобів захисту для інформації в процесах і програмах АБС.

5.2.2 Опис функцій органів, відповідальних за здійснення вибору засобів захисту для інформації в процесах і програмах АБС.

5.2.3 Опис політики безпеки, що забезпечує своєчасне і якісне здійснення вибору засобів захисту для інформації в процесах і програмах АБС.

5.2.4 Опис набору засобів для забезпечення оперативності і якості здійснення вибору засобів захисту для інформації в процесах і програмах АБС.

в) сегмент 500-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

5.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок здійснення вибору засобів захисту для банківської інформації, передаваємої по каналах зв'язку АБС.

5.3.2 Опис функцій органів, відповідальних за здійснення вибору засобів захисту для банківської інформації, передаваємої по каналах зв'язку АБС.

5.3.3 Опис політики безпеки, що забезпечує здійснення вибору засобів захисту для інформації при передачі її по каналах зв'язку.

5.3.4 Опис набору засобів для забезпечення оперативності і якості здійснення вибору засобів захисту для інформації при передачі її по каналах зв'язку.

г) сегмент 500-040

«Захист від витоку ПЕВМІН»

5.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок здійснення вибору засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

5.4.2 Опис функцій органів, відповідальних здійснення вибору засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

5.4.3 Опис політики безпеки, що забезпечують своєчасне і якісне здійснення вибору засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

5.4.4 Опис набору засобів для забезпечення оперативності і якості здійснення вибору засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

д) сегмент 500-050

«Оперативне управління моніторами системи захисту інформації»

5.5.1 Викладення у законодавчих, нормативних і методичних документах питань, здійснення вибору засобів захисту для процесів керування системою захисту й порядок дій при цьому.

5.5.2 Опис функцій органів, відповідальних за здійснення вибору засобів захисту для процесів керування системою захисту.

5.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне здійснення вибору засобів захисту для процесів керування системою захисту.

5.5.4 Опис набору засобів для забезпечення якості й оперативності здійснення вибору засобів захисту для процесів керування системою захисту.

6. Посегментне змістовне значення параметрів в шостій строці (600) матриці контролю КСЗІ банку - «Впровадження та експлуатація вибраних засобів та технологій захисту інформації»

а) сегмент 600-010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

6.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок впровадження й використання обраних заходів і засобів захисту на об'єктах АБС.

6.1.2 Опис функцій органів, що визначають порядок впровадження й використання обраних заходів і засобів захисту на об'єктах АБС.

6.1.3 Опис політики безпеки, що визначає порядок впровадження й використання обраних заходів і засобів захисту на об'єктах АБС.

6.1.4 Опис набору засобів, визначення порядку впровадження й використання обраних мір і засобів захисту на об'єктах АБС.

б) сегмент 600-020

«Захист обчислювальних мереж, баз даних і програм АБС»

6.2.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок впровадження й використання обраних заходів і засобів захисту для інформації в процесах і програмах АБС.

6.2.2 Опис функцій органів, відповідальних за впровадження й використання обраних заходів і засобів захисту для інформації в процесах і програмах АБС.

6.2.3 Опис політики безпеки, що забезпечує своєчасне і якісне впровадження й використання обраних способів і засобів захисту для інформації в процесах і програмах АБС.

6.2.4 Опис набору засобів для забезпечення оперативності і якості впровадження й використання обраних заходів і засобів захисту для інформації в процесах і програмах АБС.

в) сегмент 600-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

6.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок впровадження й використання обраних мір і засобів захисту для банківської інформації, передаваємої по каналах зв'язку АБС.

6.3.2 Опис функцій органів, відповідальних за впровадження й використання обраних мір і засобів захисту для банківської інформації, передаваємої по каналах зв'язку АБС.

6.3.3 Опис політики безпеки, що забезпечує впровадження й використання обраних способів і засобів захисту для інформації при передачі її по каналах зв'язку.

6.3.4 Опис набору засобів для забезпечення оперативності і якості впровадження й використання обраних заходів і засобів захисту для інформації при передачі її по каналах зв'язку.

г) сегмент 600-040

«Захист від витоку ПЕВМІН»

6.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок впровадження й використання обраних мір і засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

6.4.2 Опис функцій органів, відповідальних впровадження й використання обраних мір і засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

6.4.3 Опис політики безпеки, що забезпечує своєчасне і якісне впровадження й використання обраних мір і засобів захисту для інформації, підданій витоку за рахунок ПЕМІН.

6.4.4 Опис набору засобів для забезпечення оперативності і якісного впровадження й використання обраних мір і засобів захисту для інформації, підданим витоку за рахунок ПЕМІН.

д) сегмент 600-050

«Оперативне управління моніторами системи захисту інформації»

6.5 1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок впровадження й використання обраних мір і засобів захисту для процесів керування системою захисту.

6.5.2 Опис функцій органів, відповідальних за впровадження й використання обраних мір і засобів захисту для процесів керування системою захисту.

6.5.3 Опис політики безпеки, що забезпечує своєчасне і якісне впровадження й використання обраних способів і засобів захисту для процесів керування системою захисту.

6.5.4 Опис набору засобів для забезпечення якості й оперативності впровадження й використання обраних мір і засобів захисту для процесів керування системою захисту.

7. Посегментне змістовне значення параметрів в сьомій строці (700) матриці контролю КСЗІ банку - «Контроль та управління сегментом захисту інформації»

а) сегмент 700 - 010

«Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС)»

7.1.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок контролю цілісності й керування захистом на об'єктах АБС.

7.1.2 Опис функцій органів, що визначають порядок контролю цілісності й керування захистом на об'єктах АБС.

7.1.3 Опис політики безпеки, що визначає порядок контролю цілісності й керування захистом на об'єктах АБС.

7.1.4 Опис набору засобів визначення порядку контролю цілісності й керування захистом на об'єктах АБС.

б) сегмент 700-020

«Захист обчислювальних мереж, баз даних і програм АБС»

7.2 1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок контролю цілісності й керування захистом для інформації в процесах і програмах АБС.

7.2.2 Опис функцій органів, відповідальних за здійснення контролю цілісності й керування захистом для інформації в процесах і програмах АБС.

7.2.3 Опис політики безпеки, що забезпечують своєчасний і якісний контроль цілісності й керування захистом для інформації в процесах і програмах АБС.

7.2.4 Опис набору засобів для забезпечення оперативності і якості контролю цілісності й керування захистом для інформації в процесах і програмах АБС.

в) сегмент 700-030

«Захист міжфілійних корпоративних мереж та каналів зв’язку»

7.3.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок здійснення контролю цілісності й керування захистом для банківської інформації, передаваємої по каналах зв'язку АБС.

7.3.2 Опис функцій органів, відповідальних за здійснення контролю цілісності й керування захистом для банківської інформації, передаваємої по каналах зв'язку АБС.

7.3.3 Опис політики безпеки, що забезпечує здійснення контролю цілісності й керування захистом для інформації при передачі її по каналах зв'язку.

7.3.4 Опис набору засобів для забезпечення оперативності і якості контролю цілісності й керування захистом для інформації при передачі її по каналах зв'язку.

г) сегмент 700-040

«Захист від витоку ПЕВМІН»

7.4.1 Викладення у законодавчих, нормативних і методичних документах питань, що визначають порядок здійснення контролю цілісності й керування захистом для інформації, підданій витоку за рахунок ПЕМІН.

7.4.2 Опис функцій органів, відповідальних за здійснення контролю цілісності й керування захистом для інформації, підданій витоку за рахунок ПЕМІН.

7.4.3 Опис політики безпеки, що забезпечує своєчасне і якісне здійснення контролю цілісності й керування захистом для інформації, підданій витоку за рахунок ПЕМІН.

7.4.4 Опис набору засобів для забезпечення оперативності і якості контролю цілісності й керування захистом для інформації, підданій витоку за рахунок ПЕМІН.

д) сегмент 700-050

«Оперативне управління моніторами системи захисту інформації»

7.5.1 Викладення у законодавчих, нормативних і методичних документах питань, організації контролю цілісності й керування комплексною системою захисту інформації.

7.5.2 Опис функцій органів, відповідальних за здійснення контролю цілісності й керування комплексною системою захисту інформації.

7.5.3 Опис політики безпеки, що забезпечують своєчасне і якісне здійснення контролю цілісності й керування комплексною системою захисту інформації.

7.5.4 Опис набору засобів для забезпечення якості контролю цілісності й керування комплексною системою захисту інформації.

3.2 Інформаційне та програмне забезпечення систем захисту інформації в інформаційних блоках АБС банку

Програмно-апаратне забезпечення систем захисту інформації в АБС «Промінвестбанку» має наступну структуру:

1 рівень – апаратно-програмний захист від несанкціонованого входу на робочу станцію комп’ютерної мережі банка, який забезпечується:

а) застосуванням комплексу засобів захисту (КСЗ) інформації з обмеженим доступом (ІОД), від несанкціонованого доступу (НСД) « Гриф-Мережа» версії 2.01 призначений для забезпечення захисту ІОД, оброблюваної в локальних обчислювальних мережах (ЛОМ). До складу ЛОМ можуть входити файлові сервери, що функціонують під керуванням ОС MS Windows 2000 Server/ MS Windows 2003 Server, і робочі станції, що функціонують під керуванням ОС MS Windows 2000 Professional/ MS Windows XP Professional.

Комплекс дозволяє створити на базі ЛОМ спеціалізовану АС класу 2 для обробки ІОД і забезпечити захист оброблюваної ІОД від погроз порушення цілісності, конфіденційності й доступності при реалізації політики адміністра-тивного керування доступом до інформації [ ].

Комплекс « Гриф-Мережа» реалізує наступні функції:

ідентифікацію й аутентификацию користувачів на підставі ім'я, па-роля й персонального електронного ідентифікатора (Flash Drive) при заванта-женні ОС робочої станції до завантаження яких-небудь програмних засобів з дисків, що дозволяє заблокувати використання робочої станції сторонньою особою, а також пізнати конкретного легального користувача й надалі реагу-вати на запити цього користувача відповідно до його повноважень;

блокування устроїв інтерфейсу користувача (клавіатури, миші, мо-нітора) на час його відсутності;

контроль цілісності й самотестування КСЗ при старті й по запиті адміністратора, що дозволяє забезпечити стійке функціонування КСЗ і не до-пустити обробку ІОД у випадку порушення його працездатності;

розмежування обов'язків користувачів і виділення декількох ролей адміністраторів, які можуть виконувати різні функції по адмініструванню (реєс-трацію ресурсів, що захищаються, реєстрацію користувачів, призначення прав доступу, обробку протоколів аудита й т.п.).

розмежування доступу користувачів до обраних каталогів (папкам), розміщеним на робочих станціях і файлових серверах ЛВС, що дозволяє органі-зувати одночасну спільну роботу декількох користувачів ЛВС, що мають різні службові обов'язки й права по доступі до ІОД;

керування потоками інформації й блокування потоків інформації, що приводять до зниження її рівня конфіденційності;

контроль за видачею інформації на друкування;

контроль за експортом/імпортом інформації на змінні носії;

гарантоване видалення інформації шляхом затирання вмісту файлів, що містять ІОД, при їхньому видаленні;

розмежування доступу прикладних програм до обраних каталогів і файлів, що перебуває в них, що дозволяє забезпечити захист ІОД від випадкового видалення, модифікації й дотримати технології її обробки;

контроль цілісності прикладного ПО й ПО КСЗ, а також блокування завантаження програм, цілісність яких порушена, що дозволяє забезпечити захист від вірусів і дотримання технології обробки ИсОД;

контроль за використанням користувачами дискового простору файлових серверів (квоти), що виключає можливість блокування одним з користувачів можливості роботи інших;

відновлення функціонування КСЗ після збоїв, що гарантує доступність інформації із забезпеченням дотримання правил доступу до неї;

безперервну реєстрацію, аналіз і обробку подій (входу користувачів в ОС, спроб несанкціонованого доступу, фактів запуску програм, роботи з ІОД, видачу на друкування й т.п.) у спеціальних протоколах аудита, що дозволяє ад-міністраторам контролювати доступ до ИсОД, стежити за тим, як використовується КСЗ, а також правильно його конфігурувати;

негайне оповіщення адміністратора безпеки про всі виявлені порушення встановлених правил розмежування доступу (ПРД);

ведення архіву зареєстрованих даних і даних аудита.

До складу комплексу « Гриф-Мережа» входять:

засоби розмежування доступу й реєстрації даних аудита, установлювані на робочих станціях і файлових серверах ЛВС;

автоматизоване робоче місце (АРМ) адміністратора засобів захисту. Основні функції: реєстрація користувачів, генерація паролів ідентифікації й аутентификации зі збереженням їх на мобільні флеш-пристрої; реєстрація ресурсів, що захищаються; керування розмежуванням доступу користувачів до обраних каталогів; контроль цілісності й самотестування КСЗ по запиті адміністратора; керування розмежуванням доступу прикладних програм до обраних каталогів; керування квотами користувачів; установка контролю програмного забезпечення (заборона запуску незареєстрованних програм);

АРМ адміністратора безпеки. Основні функції: настроювання й керування параметрами аудита захищених ресурсів; керування параметрами оповіщення й прийом оповіщень про критичні для безпеки подіях у реальному режимі часу; можливість перегляду, аналізу й обробки протоколів аудита; робота з архівом даних аудита.

У термінах НД ТЗИ 2.5–004–99 «Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу» КСЗ « Гриф-Мережа» реалізує наступний функціональний профіль:

2.КДЦ.4. = (КА-2, ДО-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-5, НІ-3, НК-1, АЛЕ-2, НЦ-2, НТ-2)

Розробка виконана відповідно до вимог до рівня гарантій Г-4.

Відповідно до експертного висновку ДСТЗИ СБ України № 96 від 18.12.2006 р. реалізований функціональний профіль, політика функціональних послуг безпеки й рівень гарантій відповідають вимогам НД ТЗИ 2.5-008-2002 «Вимоги по захисту конфіденційної інформації від несанкціонованого доступу під час обробки в автоматизованих системах класу 2» при використанні технології обробки інформації, що висуває підвищені вимоги до забезпечення конфіденційності, цілісності й доступності інформації й за умови відсутності необхідності реалізації довірчого керування доступом користувачів до інформаційних об'єктів.

б) застосуванням доменної структури управління користувачами докальної мережі на базі сервера управління Windows -2003 (Рис.3.2, 3.3 3.4), яка дозволяє адміністратору безпеки регулювати:

- час доступу користувача в мережу та пароль доступу;

- конкретну ПЕОМ, з якої дозволяється доступ користувача в мережу;

- програму початкової загрузки спец програм профілю безпеки користувача згідно політики безпеки в ЛОМ.

Рис.3.2. Управління адміністратором безпеки кодом ПЕОМ, з якої дозволяється загрузка локальної ПЕОМ з ідентифікатором та паролем користувача в мережу

Рис.3.3. Управління адміністратором безпеки часом входу в мережу ПЕОМ, з якої дозволяється загрузка локальної ПЕОМ з ідентифікатором та паролем користувача в мережу

Рис.3.4. Управління адміністратором безпеки загрузкою початкових програм профілю мережевої безпеки на ПЕОМ, з якої дозволяється загрузка локальної ПЕОМ з ідентифікатором та паролем користувача в мережу

2 рівень –програмні модулі мережевого сканування ПЕОМ, які ввійшли в мережу, для виявлення несанкціонованого застосування не легалізованих ПЕОМ в мережі, появи нестандартних процесів, загружених в оперативну пам’ять ПЕОМ, наявності несанкціонованого програмного забезпечення сканування мережі, розгортання програм виходу в глобальну мережу з робочих станцій мережі з застосуванням мобільних телефонів чи радіоплат 3G, Novatel, MTC-connect (рис.3.5, 3.6, 3.7), який забезпечується:

а) програмним АРМ WhatsUP – IP- сканування мереж та побудови схем компьютерного контролю за включенням та виходом ПЕОМ з мережі (рис.3.5, 3.6).

Рис.3.5 Результати сканування сегмента віртуальної мережі програмним АРМ WhatsUP

Рис.3.6 Результати контрольного сканування однієї з незареєстрованих ПЕОМ, виявлених при скануванні сегмента віртуальної мережі програмним АРМ WhatsUP (код ПЕОМ – 1 не відповідає легалізованій номенклатурі відділу захисту інформації)

б) мережевим сканером адміністратора безпеки DameWare – IP- сканування мереж , складу процесів в оперативній пам’яті ПЕОМ, повний контроль складу файлів на дисках ПЕОМ, контроль роботи користувача (дзеркало монітора), примусова зупинка роботи ПЕОМ в мережі (рис.3.7, 3.8).

Рис.3.7. Результати контрольного сканування мережі ПЕОМ комплексом DameWare (контроль складу програмного забезпечення та директорій на «жорстких» дисках)

Рис.3.8. Результати сканування ПЕОМ в мережі комплексом DameWare в режимі Remote Control (контроль дій користувача –дзеркало монітора)

в) мережевим сканером адміністратора безпеки GFILanGuard – IP- сканування структури та складу мереж , складу процесів в оперативній пам’яті ПЕОМ, повний контроль складу файлів на дисках ПЕОМ (рис.3.9, 3.10).

Рис.3.9. Результати сканування ПЕОМ в мережі комплексом GFILanGuard

Рис.3.10. Результати сканування ПЕОМ в мережі комплексом GFILanGuard в режимі контролю процесів в оперативній пам'яті ПЕОМ

г) спеціальним мережевим сканером адміністратора безпеки Xpider7 – IP- сканування структури та складу мереж , складу уязвимості ПЕОМ на проникнення та управління з боку мережевого порушника (рис.3.11, 3.12).

Рис.3.11. Ддослідження уязвимості ПЕОМ в мережі комплексом Xpider7 в режимі контролю процесів несанкціонованого проникнення

Рис.3.12. Результати дослідження уязвимості ПЕОМ в мережі комплексом Xpider7 в режимі контролю процесів несанкціонованого проникнення

Рис.3.13. Результати дослідження уязвимості ПЕОМ в мережі комплексом Xpider7 в режимі контролю процесів несанкціонованого проникнення

Рис.3.14. Результати дослідження уязвимості ПЕОМ в мережі комплексом Xpider7 в режимі контролю процесів несанкціонованого проникнення

	Количество уязвимостей разного уровня опасности
высокая	55
высокая (подозрение)	23
средняя	57
средняя (подозрение)	53
низкая	0

	Самые уязвимые хосты
хост	уязвимостей	интегральная уязвимость
10.4.202.121 [s10486941.dpa04.tax]	92	254
10.4.202.123 [s10486855.dpa04.tax]	13	51
10.4.202.131 [s10486980.dpa04.tax]	9	39
10.4.202.114 [s10486649.dpa04.tax]	7	27
10.4.202.100 [s10486703.dpa04.tax]	6	24
10.4.202.102 [s10486688.dpa04.tax]	6	24
10.4.202.104 [s10486142.dpa04.tax]	6	24
10.4.202.111 [s10486074.dpa04.tax]	6	24
10.4.202.120 [s10486902.dpa04.tax]	6	24
10.4.202.122 [s10486956.dpa04.tax]	6	24
10.4.202.130 [s10486905.dpa04.tax]	6	24
10.4.202.132 [s10486922.dpa04.tax]	6	24
10.4.202.109 [s10486663.dpa04.tax]	5	21
10.4.202.134 [s10486605.dpa04.tax]	5	21
10.4.202.136 [s10486874.dpa04.tax]	5	21
10.4.202.108 [s10486905.dpa04.tax]	2	8
10.4.202.101 [s10486870.dpa04.tax]	1	5
10.4.202.106 [s10486211.dpa04.tax]	1	5

Рис.3.15. Статистичні результати дослідження уязвимості групи ПЕОМ в мережі комплексом Xpider7 в режимі контролю процесів несанкціонованого проникнення

д) виявлення скануванням реєстрів мережевих ПЕОМ розгортання Wireless – радіомереж доступу в Інтернет за допомогою мобільних телефонів з використанням USB-каналів ПЕОМ (рис.3.16 – 3.17)

Рис.3.16 Сканування звітних файлів мережевим комплексом CHECKCFG

Рис.3.17 Виявлення ПЕОМ –порушника з встановленням радіомереж виходу в Інтернет з мобільних телефонів (комплекс CHECKCFG)

3 рівень – серверна платформа управління та програмні клієнтські модулі системою антивірусного захисту DrWEB(рис.3.18-3.21):

Рис.3.18. Результати роботи мережевого антивірусного комплексу захисту DrWEB (центральний монітор управління мережею антивірусних комплексів на локальних ПЕОМ)

Рис.3.19. Результати роботи мережевого антивірусного комплексу захисту DrWEB (оперативний аналіз протоколів вірусних атак на ПЕОМ мережі)

Рис.3.20. Результати роботи мережевого антивірусного комплексу захисту DrWEB (детальний аналіз джерела появи нового віруса на ПЕОМ)

Рис.3.21. Результати роботи мережевого антивірусного комплексу захисту DrWEB (системний аналіз структури найбільш заражених ПЕОМ в мережі)

4 рівень – аналіз доступу користувачів до бази ОДБ ORACLE адміністратором безпеки з використанням комплексу прямої обробки баз даних SQL Navigator 5 (рис.3.22-3.23):

Рис.3.22 Формування запитів SQL Navigator 5до протоколів безпеки СУБД ORACLE для виявлення несанкціонованих спроб «скачування» на локальну ПЕОМ всієї клієнтської бази банку

Рис.3.23 Деталізація аналізу несанкціонованого запиту 5до СУБД ORACLE при виявлення несанкціонованих спроб «скачування» інформації

5 рівень – криптозахист файлів «електронної пошти» та системи «Клієнт-Банк», «Безбалансове відділення – Балансова Філія банку»:

Комплекс PostCrypt-Mail версії 2.04 призначений для забезпечення захисту повідомлень, переданих по електронній пошті, від несанкціонованого доступу з використанням механізмів криптографічного захисту (електронний цифровий підпис (ЭЦП), шифрування, вироблення кодів аутентификации повідомлень - імітовставок).

Ідентифікація й аутентификація користувачів комплексу здійснюється на основі пропонованого електронного ідентифікатора (записаного на устрої зберігання) і уведеного псевдоніма й пароля доступу. Як устрої зберігання ефектронних ідентифікаторів і секретних ключів ЭЦП користувачів у даній версії PostCrypt-Mail застосовуються:

жорсткий диск персонального комп'ютера (ПК);

електронний брелок eToken.

Користувачі комплексів Barrier-98 або «Клієнт-Банк» «Україна-Клієнт» можуть використовувати брелоки eToken, що поставляються в складі цих комплексів.

Комплекс PostCrypt-Mail допускає роботу на одному комп'ютері декелькох користувачів з різними електронними ідентифікаторами. Для декількох електронних ідентифікаторів користувачів може використовуватися одне й теж устрій зберігання. Максимальна кількість користувачів комплексу, зареєстро-ваних на одному ПК - 1024.

До складу комплексу PostCrypt-Mail входять:

АРМ керування комплексом;

модуль захисту, що виконується, інформації PostCrypt-Mail;

модуль, що підключається, ( plug-in) захисту інформації PostCrypt-Mail для Microsoft Outlook 97/98/2000, що дозволяє автоматично обробляти вхідні/вихідні повідомлення електронної пошти разом із вкладеннями;

модуль, що підключається, ( plug-in) для командної оболонки Microsoft Windows, що дозволяє викликати виконується модуль, що, захисту інформації PostCrypt-Mail безпосередньо зі спливаючі меню Провідника Microsoft Windows;

модуль, що підключається, ( plug-in) захисту інформації PostCrypt-Mail для Lotus Notes, що дозволяє автоматично обробляти вхідні/вихідні повідомлення електронної пошти разом із вкладеннями.

Для шифрування повідомлень електронної пошти й файлів, що зберігаються на жорсткому диску ПК, застосовується криптографічний алгоритм, що відповідає ДЕРЖСТАНДАРТ 28147-89. Вироблення ЭЦП повідомлень електронної пошти й файлів, що зберігаються на жорсткому диску ПК, здійснюється відповідно до вимог ДЕРЖСТАНДАРТ 34.310-95 і ГОСТ 34.311-95. Розподіл ключів здійснюється за схемою Диффи-Хеллмана.

Всі дії користувачів комплексу протоколюються в журнальних файлах.

Для відновлення працездатності комплексу після можливих збоїв передбачена можливість створення/відновлення службових баз комплексу з архівних копій.

Згідно НД ТЗИ 2.5-004-99 «Критерії оцінки захищеності комп'ютерних систем від несанкціонованого доступу» комплекс PostCrypt-Mail реалізує наступний функціональний профіль:

КД-2, ДО-1, КВ-1, ЦВ-1, НІ-2, НР-2, НК-1, НА-2, АЛЕ-1, НЦ-1, НТ-2

Розробка виконана відповідно до вимог до рівня гарантій Г-3.

3.3 Пропозиції по впровадженню програмного продукту «Модель системної інтеграції модулів захисту інформації в АБС банку»

Програмний продукт «Модель системної інтеграції модулів захисту інформації в АБС банку» представляє собою експертно–управляючу систему, основану на реалізації алгоритма матриці контролю стану побудови та експлуатації комплексної системи захисту інформації в комерційному банку, викладеного в розділі 3.1 диплому.

Програмний продукт представляє комплекс виконуємого модуля Protect.exe та баз даних, який повністю працездатний при запуску з контрольної дискети, USB –носія на ПЕОМ з операційною системою Windows XP SP2-3 при інсталяції на ПЕОМ оболонки бібліотек Borland ( BDE 5.1) для підтримки ODBC – інтерфейса.

Зовнішній вигляд екранного інтерфейсу наданий на рис.3.24:

Рис.3.24 Програмного продукту «Модель системної інтеграції модулів захисту інформації в АБС банку»

В інтерактивному режимі в кожну з чарунків матриції вноситься досягнутий рівень виконання проектного рівня документації, дослідження, вибору та впровадження засобів і систем захисту інформації (рис.3.25-3.26):

Рис.3.25 Використання маніпулятора «миш» для встановлення рівня виконання заходів захисту інформації в підматриці «100» (пункт 1.1.1)

Рис.3.26 Використання маніпулятора «миш» для встановлення рівня виконання заходів захисту інформації в підматриці «100» (пункт 2.1.2)

З використанням меню задачі (рис.3.27) виконується побудова графічного рівня виконання пунктів матриці КСЗІ (рис.3.28).

Рис.3.27 Використання маніпулятора «миш» для управління режимами меню задачі

Рис.3.28 Графічне представлення результатів роботи модуля аналіза задачі (повноекранний режим графіків)

3.4 Оцінка рівня вразливості банківської інформації за результатами тестової роботи моделі системної інтеграції модулів захисту інформації в АБС АКБ „Промінвестбанк”

Стандартні функціональні профілі захищеності в КС, що входять до складу АС класу 2 (локальна та корпоративна мережі АБС «Промінвестбанку»), з підвищеними вимогами до забезпечення конфіденційності(К), цілісності(Ц) і доступності(Д) оброблюваної інформації розподіляються на 5 рівнів профілів захищенності із зростанням обсягів витрат на забезпечення кожного наступного рівня:

Формат = <<клас КС>>.<K>,<Д>,<Ц>.<рівень>

1 рівень - 2.КЦД.1 = { КД-2, КО-1, ЦД-1, ЦО-1, ДР-1, ДВ-1, НР-2, НИ-2, НК-1, НО-2, НЦ-2, НТ-2 }

2 рівень - 2.КЦД.2 = { КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, ДР-1, ДВ-1, НР-2, НИ-2, НК-1, НО-2, НЦ-2, НТ-2 }

3 рівень - 2.КЦД.3 = { КД-2, КА-2, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-2, ДС-1, ДЗ-1, ДВ-2, НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 }

4 рівень - 2.КЦД.4 = { КД-3, КА-3, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-3, ДС-2, ДЗ-2, ДВ-2, НР-4, НИ-2, НК-1, НО-3, НЦ-3, НТ-2 }

5 рівень - 2.КЦД.5 = { КД-4, КА-4, КО-1, КК-2, ЦД-4, ЦА-4, ЦО-2, ДР-3, ДС-3, ДЗ-3, ДВ-3, НР-5, НИ-2, НК-2, НО-3, НЦ-3, НТ-2 }

На графіках рис.3.29 – 3.33 представлна оцінка стану виконання та експлуатації КСЗІ АКБ «Промінвестбанк», виконана з використанням запропонованої моделі системної інтеграції модулів захисту інформації в АБС АКБ „Промінвестбанк” (оцінки на графіках – умовно-тестові в зв’язку з тим, що на документі по реальному рівню захисту КСЗІ в банку стоїть гриф «Банківська таємниця»).

Робота запропонованого модуля системної інтеграції та оцінки рівня ефективності КСЗІ банку спирається на обробку інформації з фактично розгор-нутих в АБС «Промінвестбанку» комплексів програмно-апаратного захисту.

Проведені дослідження оцінки стану захищеності інформації з використанням побудованої моделі та данних, отриманих з сегментів системи захисту інформації банку, показали, що фактичний профіль захищеності інформації суттєво не відповідає нормативному в наступних елементах загроз та систем захисту інформації:

відсутність серверів сертифікатів в корпоративній мережі банку, що дозволяє проникнення мобільних Note-book та їх несанкціоноване підключення в мережі банку (маскування та підміна легалізованого комп’ютера в мережі);

Відсутність програмно-апаратних засобів боротьби з підключенням мобільних телефонів в локальні станції мережі та несанкціонованим виходом в глобальну мережу Інтернет без шлюзів безпеки (створення каналів витоку банківської інформації та каналів проникнення компьютерних вірусів із Інтернет- мережі в локальну мережу банку);

Відсутність сертифікованих програмних комплексів захисту локальних та корпоративної мережі банку від доступу «хакерів» із глобальної мережі Інтернет;

Недостатній рівень резервування банківської інформації в спеціальних «сховищах даних транзакцій», серед яких тільки на головному рівні є територіально відділене сховище. Фактично в банку використовується тільки вбудована технологія фірми SYBASE по багатократній реплікації кожної банківської транзакції на системі серверів по RAID-5 технології.

З врахуванням вищезазначених недоліків інтегрований показник профілю захисту становить 0,73 від нормативного, тобто банку необхідно посилити увагу для побудови додаткових систем захисту інформації в виявлених напрямках.

Аналіз даних показує що банк досягнув рівня Г-3 гарантій безпеки захисту інформації (по 5 бальній шкалі), що еквівалентно формулі [ ]:

3 рівень - 2.КЦД.3 = { КД-2, КА-2, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-2, ДС-1, ДЗ-1, ДВ-2, НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 }

Рис.3.29 Графічне представлення результатів роботи модуля аналіза блока матриці контролю КСЗІ банку - сегмент 010 - «Захист об’’єктів інформаційної діяльності банку (територіально-апаратна інфраструктура АБС )

Рис.3.30 Графічне представлення результатів роботи модуля аналіза блока матриці контролю КСЗІ банку - сегмент 020 - «Захист обчислювальних мереж, баз даних і програм АБС»

Рис.3.31 Графічне представлення результатів роботи модуля аналіза блока матриці контролю КСЗІ банку - сегмент 030 - «Захист міжфілійних корпоративних мереж та каналів зв’язку»

Рис.3.32 Графічне представлення результатів роботи модуля аналіза блока матриці контролю КСЗІ банку - сегмент 040 - «Захист від витоку ПЕВМІН»

Рис.3.33 Графічне представлення результатів роботи модуля аналіза блока матриці контролю КСЗІ банку - сегмент 050 - «Оперативне управління моніторами системи захисту інформації»

ВИСНОВКИ

Аналіз законодавчих та нормативних документів по приналежності бан-ківської інформації до конфіденційної показав, що згідно з главою 10 стаття 60 Закону України «Про банки та банківську діяльність» («Банківська таємниця та конфіденційність») - інформація щодо діяльності та фінансового стану клієнта, яка стала відомою банку у процесі обслуговування клієнта та взаємовідносин з ним чи третім особам при наданні послуг банку і розголошення якої може зав-дати матеріальної чи моральної шкоди клієнту, є банківською таємницею.

Банківською таємницею, зокрема, є:

1) відомості про банківські рахунки клієнтів, у тому числі кореспон-дентські рахунки банків у Національному банку України;

2) операції, які були проведені на користь чи за дорученням клієнта, здійснені ним угоди;

3) фінансово-економічний стан клієнтів;

4) системи охорони банку та клієнтів;

5) інформація про організаційно-правову структуру юридичної особи - клієнта, її керівників, напрями діяльності;

6) відомості стосовно комерційної діяльності клієнтів чи комерційної таємниці, будь-якого проекту, винаходів, зразків продукції та інша комерційна інформація;

7) інформація щодо звітності по окремому банку, за винятком тієї, що підлягає опублікуванню;

8) коди, що використовуються банками для захисту інформації.

Таким чином, в комерційних банках захист інформації в автоматизованих системах накоплення, обробки та передачі банківської інформації повинен бути побудований за стандартами обробки конфіденційної інформації обмеженого користування :

- ДСТУ 3396.2-97 - ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ „Захист інфор-мації. Технічний захист інформації. Терміни та визначення”;

- НД ТЗІ СБУ 2.5-004-99 - Критерії оцінки захищенності інформації в комп’ютерних системах від несанкціонованого доступу;

- НД ТЗІ СБУ 2.5-005-99 - Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу.

Згідно цим нормативним документам профіль захищеності інформації в комплексній системі захисту інформації (КСЗІ) комерційного банку повинен бути не нижче визначаємого формулою:

2.КЦД.2а = {КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

Тобто мати функції - ДВ-1 - ручне відновлення; ДЗ-1 – модернізація; ДР-1 – розподіл квот; ДС-1 - стійкість при обмежених відмовах; КА-2 - базову адміністративну конфіденційність; КД-2 - базову довірчу конфіденційність; КО-1 - повторне використання об'єктів; НИ-2 - одиночну ідентифікація та автентифікація; НК-1 - однонаправлений достовірний канал; НО-2 - розподіл обов'язків адміністраторів; НТ-2 - самотестування при старті; НР-2 - захищений журнал; НЦ-2 – прострої системи захисту інформації з гарантованою цілісністю; ЦА-2 – базова адміністративна цілісність; ЦД-1 - мінімальна довірча цілісність; ЦО-1 - обмежений відкат.

Організаційна структура досліджує мого банку - акціонерне товариство закритого типу “Акціонерний комерційний промислово-інвестиційний банк” (Україна, 01001, Київ-1, пров. Шевченка, 12) станом на 31.12.2008 року представлене 825 установами, в тому числі:

- ОПЕРУ Промінвестбанку - 1;

- філії - 161;

- безбалансові відділення - 662;

- Представництво в Російській Федерації - 1.

В Дніпропетровській області Промінвестбанк представлений 7 філіями – балансовими відділеннями Промінвестбанку та 52 безбалансовими відділеннями, які структурно входять до філій.

Промінвестбанк є універсальним фінансовим інститутом, що надає весь спектр банківських послуг юридичним і фізичним особам. Банк переважно спеціалізується на кредитуванні підприємств промисловості, агропромислового комплексу, розрахунково-касовому обслуговуванні юридичних осіб.

Здійснюється весь спектр валютно-обмінних операцій, а саме: купівля-продаж готівкової іноземної валюти, приймання на інкасо банкнот іноземних держав, виплата валюти за платіжними картками.

У 2006 - 2009 роках Промінвестбанк продовжував співпрацювати з американською компанією MoneyGram Payment Systems, Inc. по здійсненню міжнародних грошових переказів в іноземній валюті за дорученням фізичних осіб по системі MoneyGram. Промінвестбанк є одним із найбільших агентів компанії MoneyGram в Україні та в країнах СНД (враховуючи Росію), які пропонують цю послугу.

Протягом звітного року мережа пунктів обслуговування переказів Промінвестбанку збільшена з 425 до 599 пунктів (в 1,40 раза). В них здійснюються операції по відправленню та виплаті транскордонних термінових грошових переказів з 170 країн світу, в яких діють 100 тис. пунктів MoneyGram.

З 2006 року Промінвестбанк розпочав здійснювати міжнародні грошові перекази в доларах США та євро за дорученням та на користь фізичних осіб по системі CONTACT. Ця система має 29 тис. пунктів обслуговування та дає можливість здійснювати грошові перекази з 81 країни світу.

За рік мережа пунктів обслуговування переказів Промінвестбанку по системі CONTACT зросла до 599 пунктів.

В березні 2006 року Промінвестбанк уклав договір з компанією Travelex Money Transfer, Ltd. (Англія) щодо впровадження в Промінвестбанку міжнародних грошових переказів по системі Travelex, яка дасть можливість здійснювати грошові перекази в доларах США та євро за дорученням та на користь фізичних осіб в 138 країнах світу. Здійснення переказів по системі Travelex розпочато в 2007 році.

Протягом 2006 -2008 років банк активно працював на ринку платіжних карток. Загальна кількість випущених платіжних карток для клієнтів банку складала на кінець 2008 року 3407,4 тисяч штук проти 2781,4 тисяч за 2007 рік (приріст 626,0 тисяч, що складає 1,23 раза). Найбільшими темпами зростали картки міжнародних платіжних систем. Їх кількість зросла за рік на 538,8 тисяч (1,35 раза) і склала на 31 грудня 2008 року 2071,1 тисяч. Кількість банкоматів банку збільшилась за рік на 205 одиниць (в 1,2 раза) і складала на кінець року 1380 одиниць. В 2006 році банком запроваджено надання послуг клієнтам через систему “Інтернет-Клієнт-Банк“. Надалі збільшуватимуться обсяги та якість послуг населенню в сфері безготівкових платежів та грошових переказів, зберігання цінностей та продажа банківських металів, надання послуг по відкриттю і веденню пенсійних рахунків.

Промінвестбанк має солідну клієнтську базу - майже 4 млн. громадян та суб'єктів господарської діяльності, надає клієнтам понад 300 видів послуг: від розрахунково-касового обслуговування до сучасних електронних послуг та операцій з банківськими металами, постійно вдосконалює форми обслуговування клієнтів.

Промінвестбанк підтримує відносини з більш ніж 200 провідними іноземними фінансовими установами. Клієнти банку здійснюють свої розрахунки через 35 кореспондентських рахунків Промінвестбанку, що відкриті у 22 банках світу.

Банк активно працює в системі банківських телекомунікацій SWIFT та REUTER, здійснює перекази фізичних осіб за міжнародними системами Money Gram та Contact, а у 2007 році - розчате здійснення грошових переказів за системою Western Union.

Функціональний аналіз структури системи автоматизації в досліджує-мому комерційному банку показав, що банківські послуги АТЗТ «АК Промінвестбанк», які повинна обслуговувати АБС банку, розбиті на наступні сегменти послуг:

Юридичним особам

Фізичним особам

Банкам

Вкладні операції

Валютні операції

Курси валют

Фондовий ринок

Пластикові картки

Банкомати та POS-термінали

Інноваційно-інвестиційна діяльність

Відповідно, Автоматизована банківська система (АБС) забезпечує:

автоматизацію внутрібанківської діяльності, і насамперед внутрибан-кiвських операцій, пов’язаних з обробкою платiжних та інших документів у тих пiдроздiлах банкiвської установи, які працюють безпосередньо з клiєнтами, включаючи територіально віддалені філії та без балансові відділення;

автоматизацію виконання мiжбанкiвських розрахунків та інших зов-нiшньобанкiвських операцій;

автоматизацію фінансових операцій в межах міжнародного банківсь-кого бізнесу.

Вивчення структур різних банківських систем та проведене певне їх уза-гальнення дають змогу виділити такі основні функціональні підсистеми АБС :

- операційний день банку (ОДБ),

- управління кредитними ресурсами (Кредити),

- управління валютними операціями (Валютні операції),

- управління депозитами (Депозити),

- управління цінними паперами (Цінні папери),

- управління касою (Каса),

- внутрибанківський облік (Внутрішній облік),

- управління розрахунками з використанням пластикових карток (Карткові операції),

- звітність, аналіз діяльності банку (Аналіз).

Досліджуєма в дипломному проекті АБС(Автоматизована банківська сис-тема) — це технологічна система, яка забезпечує функціонування банківської установи. Ядром АБС є підсистема ОДБ (Операційний день банку), яка інфор-маційно зв’язана з іншими функціональними підсистемами.

Крім внутрішніх інформаційних зв’язків, АБС характеризується великим спектором інформаційних зв’язків із зовнішнім середовищем, в ролі якого вис-тупають клієнти банку, інші банки, фінансові та державні органи.

Апаратно-структурна реалізація АБС в багатофілійному досліджуємому АКБ «Промінвестбанк», який у 2009 році після приходу нових російських інвесторів прийняв стратегію підвищення рівня захисту та сертифікованості банківських програмних продуктів, замінює автоматизовану банківську систему, засновану на засобах комплексної системи автоматизації фірми SYBASE та програмних продуктах власної розробки банку, спирається на новітню Автоматизовану Банківську систему "БАРС-Millennium" фірми «Уніті-Барс», яка впроваджена в Національному банку України, в Державному ощадному банку України та інших великих комерційних банках України.

Основні загрози безпеці банківській інформації в дослідженій АБС та засоби захисту інформації можна розподілити на такі групи: інформаційні, програмно-математичні, фізичні, радіоелектронні, організаційно-правові:

Несанкціонований доступ — вид комп’ютерних порушень, який полягає в отриманні користувачем доступу до об'єкта, на який у нього немає санкціонованого дозволу адміністратора системи.

Маніпулювання даними —
це свідома фальсифікація, дезинформація чи приховування даних.

Установка програмних закладок —
цеспеціально розроблена і приховано впроваджена в захищену систему програма, яка дає змогу зловмиснику дістати доступ до захищених ресурсів системи.

Неправильне розмежування прав доступу —
це надання певних повноважень особам, які не є відповідальними за ту чи іншу технологічну операцію.

Технічні збої та пошкодження - порушення функціонування компью-терно-телекомунікаційної техніки, носіїв електронної інформації, систем електропостачання, стихійні лиха, пожежі та техногенні катастрофи;

Свідоме нанесення персоналом чи зовнішніми зловмисниками пошкоджень чи кража компьютерно-телекомунікаційної техніки та носіїв інформації.

Фізичні засоби захисту — це засоби, необхідні для зовнішнього захисту ЕОМ, території та об’єктів на базі обчислювальної техніки, які спеціально призначені для створення фізичних перешкод на можливих шляхах проник-нення і доступу потенційних порушників до компонентів інформаційних систем та інформації, що захищаються.

Апаратні засоби захисту — це різні електронні, електронно-механічні та інші пристрої, які вмонтовуються в серійні блоки електронних систем обробки і передачі даних для внутрішнього захисту засобів обчислювальної техніки: терміналів, пристроїв введення та виведення даних, процесорів, ліній зв’язку та ін.

Програмні засоби захисту необхідні для виконання логічних і інтелектуальних функцій захисту, які вмонтовані до складу програмного забезпечення системи.

Апаратно-програмні засоби захисту — це засоби, які основані на синтезі програмних та апаратних засобів. Ці засоби широко використовуються при аутентифікації користувачів АБС.

Криптографічні методи захисту — це методи, основані на криптографічних перетвореннях даних, тобто на їх шифруванні.

Адміністративні засоби захисту — це заходи організаційного характеру, регламентуючі процеси функціонування АБС, використання її ресурсів, діяль-ність персоналу і т. д.

Основні потоки інформації в дослідженій АБС «Промінвестбанку» функ-ціонують в наступних основних напрямках:

сегмент АБС головного банка – сегменти АБС обласних філій – сегмен-ти АБС територіальних безбалансових відділень (Внутрішньобанківська платіжна система);

сегмент автоматів самообслуговування (Транзакційний центр – банко-мати + POS-термінали);

сегмент виділених систем «Клієнт-банк», «Безбалансове територіальне відділення – балансова філія банку»

сегмент Інтернет-платіжних систем «Клієнт-банк», «Система грошових переказів»;

сегмент «Електронна пошта НБУ» + «Система електронних міжбанків-ських платежі НБУ»

сегмент міжнародної системи передачі валютних платіжних повідом-лень «Комерційний банк – банки-нерезиденти»;

сегмент електронної пошти та послуг глобальної мережі Інтернет.

В дипломному дослідженні запропонована та реалізована у програмному комплексі розрахунків матриця контролю стану побудови та експлуатації комплексної системи захисту інформації в комерційному банку, яка представлена у вигляді 7-рівневої структурної матриці , на кожному рівні в якої є 5 визначальних сегментів (напрямів захисту інформації в банку).

Основні структурні рівні сегментів КСЗІ банку:

1. Перший рівень (100) матриці контролю КСЗІ банку - «Визначення банківської інформації та її носіїв, які підлягають захисту»

2. Другий рівень (200) матриці контролю КСЗІ банку - «Виявлення дже-рел загроз інформації та каналів витоку, модифікації чи знищення банківської інформації»

3. Третій рівень (300) матриці контролю КСЗІ банку - «Проведення дос-лідження технології функціонування АБС банку, оцінка уязвимості та ризиків»

4. Четвертий рівень (400) матриці контролю КСЗІ банку - «Визначення вимог до елементів КСЗІ»

5. П’ятий рівень (500) матриці контролю КСЗІ банку - «Здійснення вибо-ру заходів та засобів захисту інформації»

6. Шостий рівень (600) матриці контролю КСЗІ банку - «Впровадження та експлуатація вибраних засобів та технологій захисту інформації»

7. Сьомий рівень (700) матриці контролю КСЗІ банку - «Контроль та управління сегментом захисту інформації»

На кожному з структурних рівнів матриці розташована інформація по 5-ти характерним сегментам КСЗІ комерційного банку:

а) сегмент 010 - «Захист об’єктів інформаційної діяльності банку (тери-торіально-апаратна інфраструктура АБС)»

б) сегмент 020 - «Захист обчислювальних мереж, баз даних і програм АБС»

в) сегмент 030 - «Захист міжфілійних корпоративних мереж та каналів зв’язку»

г) сегмент 040 - «Захист від витоку інформації по каналам ПЕВМІН»

д) сегмент 050 - «Оперативне управління моніторами системи захисту інформації».

Робота запропонованого модуля системної інтеграції та оцінки рівня ефективності КСЗІ банку спирається на обробку інформації з фактично розгор-нутих в АБС «Промінвестбанку» комплексів програмно-апаратного захисту.

Проведені дослідження оцінки стану захищеності інформації з використанням побудованої моделі та данних, отриманих з сегментів системи захисту інформації банку, показали, що фактичний профіль захищеності інформації суттєво не відповідає нормативному в наступних елементах загроз та систем захисту інформації:

відсутність серверів сертифікатів в корпоративній мережі банку, що дозволяє проникнення мобільних Note-book та їх несанкціоноване підключення в мережі банку (маскування та підміна легалізованого комп’ютера в мережі);

Відсутність програмно-апаратних засобів боротьби з підключенням мобільних телефонів в локальні станції мережі та несанкціонованим виходом в глобальну мережу Інтернет без шлюзів безпеки (створення каналів витоку банківської інформації та каналів проникнення компьютерних вірусів із Інтернет-мережі в локальну мережу банку);

Відсутність сертифікованих програмних комплексів захисту локальних та корпоративної мережі банку від доступу «хакерів» із глобальної мережі Інтернет;

Недостатній рівень резервування банківської інформації в спеціальних «сховищах даних транзакцій», серед яких тільки на головному рівні є територіально відділене сховище. Фактично в банку використовується тільки вбудована технологія фірми SYBASE по багатократній реплікації кожної банківської транзакції на системі серверів по RAID-5 технології.

Аналіз даних показує що банк досягнув рівня Г-3 гарантій безпеки захисту інформації (по 5 бальній шкалі), що еквівалентно формулі:

3 рівень - 2.КЦД.3 = { КД-2, КА-2, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-2, ДС-1, ДЗ-1, ДВ-2, НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 }

Тобто нормативний рівень КСЗІ для банків 2.КЦД.2а (рівень гарантій Г-2а – для наявності в автоматизованій банківських таємних документів, що не є власністю держави і знаходяться на рівні «для службового користування») перевищений на 0,5 бала.

З врахуванням вищезазначених недоліків інтегрований показник профілю захисту становить 0,63 від нормативного, тобто банку необхідно посилити увагу для побудови додаткових систем захисту інформації в виявлених напрямках.

Практична цінність отриманих результатів дипломного дослідження полягає в отриманні об’єктивних показників необхідності та ефективності впровадження комплексної системи захисту інформації в автоматизованих системах АКБ «Промінвестбанк».

Впровадження пропозицій і рекомендацій проведеного дипломного дослідження в комерційному банку дозволить:

суттєво підвищити якість моніторингу роботи систем захисту інформації (криптозахист, антивірусний захист, захист доступу до інформації, технічний захист обладнання мережі класу АС-2, програмний захист комп’ютерів мережі класу АС-2 від неліцензійного пограмного забезпечення та технологічних збоїв т інш.) на базі комплексної системи захисту інформації в автоматизованих системах банку;

підготувати банк до масового впровадження автоматів банківського самообслуговування та зменшити ризик несанкціонованого втручання в роботу систем обробки банківської інформації;

побудувати систему ієрархічних резервних сховищ банківської інформації, які дозволяють на протязі 1-2 суток відновити роботу аби-якого зруйнованого відділення банку без втрат клієнтської та банківської інформації;

побудувати систему розподілених серверів обробки інформації та розподілених баз транзакцій, що дозволить на протязі робочого «Операційного дня» автоматично використовувати інформаційну систему банка територіальним філіям та відділенням при виході з ладу одного з найближчих серверів обробки інформації;

побудувати систему розподілених серверів обробки інформації та розподілених баз транзакцій, що дозволить цілодобово банкоматам, POS-терміналам та системам грошових переказів автоматично використовувати інформаційну систему банка при виході з ладу одного з найближчих серверів обробки інформації;

побудувати надійну систему захисних міжмережевих шлюзів між комп’ютерними мережами банку класу АС-2 та клієнтськими терміналами системи «Клієнт-банк» та «Інтернет-банкінг», які працюють через глобальну мережу класу АС-3;

побудувати надійну систему антивірусного захисту в комп’ютерній мережі банка класа АС-2;

здійснювати надійну авторизацію та аутентифікацію користувачів та комп’ютерів в мережі класу АС-2, а також своєчасно сповіщати про появу в мережі несанкціонованого обладнання з’єднання мереж АС-2 та АС-3 за радіоканалами мобільних операторів зв’язку;

контролювати появу на локальних станціях мережі АС-2 нових пристроїв та програм несанкціонованого доступу до інформації та її витоку;

СПИСОК ВИКОРИСТАНИХ ДЖЕРЕЛ

1. ЗАКОН УКРАЇНИ „Про інформацію” від 2 жовтня 1992 року N 2658-XII // Із змінами і доповненнями, внесеними Законами України станом від 23 червня 2005 року N 2707-IV

2. Закон України „Про захист інформації в інформаційно-телекомуні-каційних системах” (Законом України від 31 травня 2005 року N 2594-IV цей Закон викладено у новій редакції) // Із змінами і доповненнями, внесеними Законами України станом від 15 січня 2009 року N 879-VI

3. Закон України „Про Державну службу спеціального зв'язку та захисту інформації України” від 23 лютого 2006 року N 3475-IV // Із змінами і допов-неннями, внесеними Законами України станом від 15 січня 2009 року N 879-VI

4. Закон України „Про науково-технічну інформацію” від 25 червня 1993 року N 3322-ХII //Із змінами і доповненнями, внесеними Законами України станом від 20 листопада 2003 року N 1294-IV

5. Закон України „Про банки і банківську діяльність” від 7 грудня 2000 року N 2121-III // Із змінами і доповненнями, внесеними Законами України станом від 12 грудня 2008 року N 661-VI

6. Закон України „ Про електронні документи та електронний доку-ментообіг „ від 22 травня 2003 року N 851-IV // Із змінами і доповненнями, внесеними Законом України від 31 травня 2005 року N 2599-IV

7. Закон України «Про електронний цифровий підпис» від 22 травня 2003 року N 852-IV // Із змінами і доповненнями, внесеними Законом України ста-ном від 15 січня 2009 року N 879-VI

8. Закон України „ Про платіжні системи та переказ коштів в Україні” від 5 квітня 2001 року N 2346-III // Із змінами і доповненнями, внесеними Закона-ми України станом від 27 квітня 2007 року N 997-V

9. Закон України „Про телекомунікації” від 18 листопада 2003 року N 1280-IV // Із змінами і доповненнями, внесеними Законами України станом від 11 січня 2007 року N 580-V

10. Про затвердження Правил забезпечення захисту інформації в інфор-маційних, телекомунікаційних та інформаційно-телекомунікаційних системах // Постанова Кабінету Міністрів України від 29 березня 2006 р. N 373 (Із змінами і доповненнями, внесеними постановою Кабінету Міністрів України від 8 груд-ня 2006 року N 1700)

11. Про затвердження Правил організації захисту електронних банківсь-ких документів з використанням засобів захисту інформації Національного банку України // Постанова Правління Національного банку України від 2 квітня 2007 року N 112

12. Про затвердження Правил з технічного захисту інформації для при-міщень банків, у яких обробляються електронні банківські документи // Пос-танова Правління Національного банку України від 4 липня 2007 року N 243 (Із змінами і доповненнями, внесеними постановою Правління Національного банку України від 29 грудня 2007 року N 493)

13.Положення про захист інформації в Національній системі масових електронних платежів // Національний банк України, Платіжна організація Національної системи електронних масових платежів - протокол Ради Платіжної організації Національної системи масових електронних платежів від 2 червня 2008 р. N 119

14. Про затвердження Інструкції про міжбанківський переказ коштів в Україні в національній валюті // Постанова Правління Національного банку України від 16 серпня 2006 року N 320 ( Із змінами і доповненнями, внесеними постановами Правління Національного банку України станом від 5 червня 2008 року N 165)

15. Про затвердження Правил зберігання, захисту, використання та розкриття банківської таємниці // Постанова Правління Національного банку Украї-ни від 14 липня 2006 року N 267 (Із змінами і доповненнями, внесеними поста-новою Правління НБУ від 9 листопада 2006 року N 428)

16. Про затвердження Положення про організацію операційної діяльності в банках України // Постанова Правління Національного банку України від 18 червня 2003 року N 254 (Із змінами і доповненнями, внесеними постановами Правління НБУ станом від 6 листопада 2006 року N 422)

17. ДСТУ 3396.2-97 - ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ „Захист інформації. Технічний захист інформації. Терміни та визначення” // Чинний від 01.01.1998 р.

18. НД ТЗІ 3.7-001-99 - „Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі”// Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 28 квітня 1999 р. № 22

19. НД ТЗІ 1.1-002-99 - Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу // Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 28 квітня 1999 р. № 22

20. НД ТЗІ 1.1-003-99 - Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованого доступу // Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 28 квітня 1999 р. № 22

21. НД ТЗІ 2.5-004-99 - Критерії оцінки захищенності інформації в комп’ютерних системах від несанкціонованого доступу // Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 28 квітня 1999 р. № 22

22. НД ТЗІ 2.5-005-99 - Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу // Наказ Департаменту спеціальних телекомуні-каційних систем та захисту інформації Служби безпеки України від 28 квітня 1999 р. № 22

23. НД ТЗІ 2.5-008-2002- Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2 // Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 13 грудня 2002 р. № 84

24. НД ТЗІ 2.5-010-03 - Вимоги до захисту інформації WEB-сторінки від несанкціонованого доступу // наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 02 квітня 2003 № 33

25. НД ТЗІ 2.1-001-2001 - Створення комплексів технічного захисту інформації. Атестація комплексів. Основні положення // наказом Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 9 лютого 2001 р. № 2

26. ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования

27. ГОСТ Р 34.10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма

28. ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функция хеширования

29. ISO/IEC 11166-94 - "Банковское дело. Управление ключами посредством асимметричного алгоритма". Часть 1. Принципы процедуры и форматы. Часть 2. Принятые алгоритмы, использующие криптосистему RSA;

30. Про затвердження Інструкції про порядок складання та оприлюднення фінансової звітності банків України //Постанова Правління Національного бан-ку України від 7 грудня 2004 року N 598 (Із змінами і доповненнями, внесеними постановами Правління Національного банку України від 21 грудня 2005 року N 484)

32. Про затвердження Правил організації статистичної звітності, що подається до Національного банку України // Постанова Правління Національного банку України від 19 березня 2003 року N 124 ( Із змінами і доповненнями, внесеними постановами Правління Національного банку України станом від від 16 червня 2005 року N 223)

33. Аналіз банківської діяльності: Підручник / А.М.Герасимович та ін.; За ред. А.М.Герасимовича. — К.: КНЕУ, 2003.— 599 с.

34. Андрей Винокуров (avin@chat.ru), Эдуард Применко Сравнение стандарта шифрования РФ (ГОСТ 28147-89) и нового стандарта шифрования США (Rijndael) // Журнале «Системы безопасности», издательства «Гротэк»,

№№1 и 2 за 2001 год

35. Андрей Винокуров (avin@chat.ru) Алгоритм шифрования ГОСТ 28147-89, его использование и реализация для компьютеров платформы Intel x86 // «Монитор» №1- 5, 1995

36. Банківські операції:Підручник/За ред.Міщенка В.І., Слав"янської Н.Г.- Київ:Знання-Прес,2006 .-727 с.

37. Банківський нагляд:Навчальний посібник / Міщенко В.І.;Яценюк А.П.; Коваленко В.В.;Коренєва О.Г.- К.: Знання, 2004.- 406 с.-(Вища освіта ХХI століття)

38. Банківський нагляд:Навчальний посібник / Мін-во освіти і науки України; Ун-т економіки та права "Крок";Грушко В.І.;Лаптєв С.М.; Любунь О.С.; Раєвський К.Є.- К.: ЦНЛ, 2004.- 264 с.

9. Баpичев С.С., Гончаров В.В., Серов Р.Е. Основы современной кpиптогpафии. М.: Мир, 1997. 176 с.

39. Береза А.М. Основи створення інформаційних систем: Навч. посібник. 2 видання,перероблене і доповнене – К.: КНЕУ, 2001. – 215 с.

40. Васюренко О.В. Банківські операції : Навчальний посібник . – 4-те вид., перероблене і доповнене – Київ: Знання, 2004. – 324 с. – (Вища освіта ХХІ століття)

41. Васюренко О.В. Банківський менеджмент:
Навчальний посібник . – Київ: Академія, 2001. – 313 с.

42. Васюренко О.В., Сердюк Л.В., Сидоренко О.М., Карасьова З.М., Каднічанська В.М., Федоренко Н.С. Облік і аудит у банках: Навчальний посібник.– К.: Знання, 2003. – 524 с.

43. Домарев В.В. Защита информации и безопасность компьютерных систем. – К.: ДиаСофт,Методология создания систем защиты. – К.: ТИД Диа Софт, 2002. –688 с.

44. Домарев В.В. Безопасность информационных технологий. Системный подход. – К.: ООО ТИД Диа Софт, 2004. –992 с. 45. Єрьоміна Н. В. Банківські інформаційні системи: Навч. посібник. — К.: КНЕУ, 2000. — 220 с.

46. Коломієць В.Ф. Міжнародні інформаційні системи- К.: КНЕУ, 2003 – 405 с.

47. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ // ГОСТ Р ИСО/МЭК 15408-1-2002 - ГОСУДАРСТВЕННЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ, ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

48. Нікітін А.В. Маркетинг у банку: Навчальний посібник/ А.В. Нікітін, Г.П. Бортніков, А.В. Федорченко. - К.: КНЕУ, 2006. - 432 с. - (До 100-річчя Київського національного економічного університету)

49. Облік і аудит у банках: Навчальний посібник/ Л.В. Сердюк, О.М. Сидоренко; Ред. О.В. Васюренко. - К.: Знання, 2006. - 596 с. - (Вища освіта XXI століття)

50. Раєвський К.Є., Конопатська Л.В., Домрачев В.М. Банківський нагляд: Навчально-методичний посібник / Мін-во освіти і науки України; КНЕУ/ Раєвський К.Є., Конопатська Л.В., Домрачев В.М.- К.: КНЕУ, 2003.- 174 с.

51. Рогач І. Ф., Сендзюк М. А., Антонюк В. А. Інформаційні системи у фінансово-кредитних установах: Навч. посібник. — 2-ге вид., перероб. і доп. — К.: КНЕУ, 2001. — 239 с.

52. Скородумов Б.И. Безопасность информации кредитно-финансовых автоматизированных систем. Учебное пособие. – М.: МИФИ, 2002. – 164 с.

53. Скородумов Б.И. Информационная безопасность современных коммерческих банков // Информационное общество, 2004, вып. 6, с. 41-45.

54. Управление деятельностью коммерческого банка (банковский менеджмент) / Под ред. доктора экон. наук, профессор О.И. Лаврушина. – М: Юристь, 2003 – 688 с.

55. Щетинін А.І. Гроші та кредит: Підручник для студ. вищих навчальних закладів/ А.І. Щетинін. - К.: Центр навчальної літератури, 2005. - 432 с

56. Щибиволок, Зіновій Іванович. Аналіз банківської діяльності: Навчальний посібник/ З.І. Щибиволок; Відп. за вип. С.І. Шкарабан. - К.: Знання, 2006. - 312 с

57. Офіційний Інтернет-сайт НБУ – HTTP://www.bank.gov.ua

58. Офіційний Інтернет-сайт Асоціації банків України – HTTP:// WWW.AUB.COM.UA

59. Офіційний Інтернет-сайт АТЗТ «АК Промінвестбанк» - http://www.prominvest.com.ua/, 2007

60. Законодавчо-довідкова система законодавства України – HTTP:// WWW.LIGA-ZAKON.COM.UA

61. Автоматизована Банківська Система «Bars Millennium»

Додаток А

Таблиця A.1

Балансовий звіт Промінвестбанку за 2008 р., тис. грн.

Найменування статті	На кінець поточного фінансового року	На кінець попереднього фінансового року
АКТИВИ
Кошти в Національному банку України та готівкові кошти банку	1 548 799	1 965 673
Цінні папери, що рефінансуються Національним банком України	0	90 759
Резерви під знецінення боргових цінних паперів, що рефінансуються Національним банком України	0	0
Резерви у відсотках до активу	0	0
Кошти в інших банках	391 385	1 551 658
Резерви під заборгованість інших банків	(23 371)	(20 269)
Резерви у відсотках до активу	5,97	1,31
Цінні папери в торговому портфелі банку	0	0
Цінні папери в портфелі банку на продаж	423 603	316 691
Резерви під знецінення цінних паперів у портфелі банку на продаж	(27 088)	(2 137)
Резерви у відсотках до активу	6,39	0,67
Кредити, що надані	24 093 128	21 177 209
Юридичним особам	21 075 722	18 615 763
Фізичним особам	3 017 406	2 561 446
Резерви під заборгованість за кредитами	(2 285 172)	(1 136 774)
Резерви у відсотках до активу	9,48	5,37
Цінні папери, що утримуються до погашення	397	397
Резерви під знецінення цінних паперів, що утримуються до погашення	(397)	(397)
Резерви у відсотках до активу	100	100
Інвестиції в асоційовані й дочірні компанії	16 303	14 187
Основні засоби	2 938 668	1 984 522
Нематеріальні активи	16 563	13 438
Нараховані доходи до отримання	307 364	28 990
У тому числі прострочені нараховані доходи	174 439	1 433
У тому числі сумнівні нараховані доходи	0	17 519
Резерви під заборгованість за нарахованими доходами	(122 006)	(17 819)
Резерви у відсотках до активу	69,94	94,02
Відстрочений податковий актив	51 341	0
Інші активи	168 428	126 631
Резерви під інші активи	(8 719)	(2 433)
Резерви у відсотках до активу	39,14	8,32
Довгострокові активи, призначені для продажу	257	0
Резерви під зменшення корисності інвестицій в асоційовані й дочірні компанії, що утримуються з метою продажу	0	0
Резерви у відсотках до активу	0	0
Усього активів	27 489 483	26 090 326
ЗОБОВ`ЯЗАННЯ
Кошти банків	6 986 562	1 799 849
Кошти юридичних осіб	5 864 508	10 786 288
Кошти фізичних осіб	9 177 599	10 172 942
Ощадні (депозитні) сертифікати, емітовані банком	166 583	170 954
Боргові цінні папери, емітовані банком	0	0
Нараховані витрати, що мають бути сплачені	240 563	49 936
Відстрочені податкові зобов'язання	574 828	348 671
Інші зобов'язання	1 216 517	78 444
Усього зобов`язань	24 227 160	23 407 084
ВЛАСНИЙ КАПІТАЛ
Статутний капітал	200 175	200 175
Власні акції (частки, паї), що викуплені в акціонерів (учасників)	0	0
Емісійні різниці	0	0
Резерви, капіталізовані дивіденди та інші фонди банку	1 227 328	1 214 974
Резерви переоцінки основних засобів, у тому числі:	1 715 027	996 663
Резерви переоцінки нерухомості	1 711 425	992 636
Резерви переоцінки нематеріальних активів	0	0
Резерви переоцінки цінних паперів	19 726	36 403
Прибуток/збиток минулих років	764	634
Прибуток/збиток поточного року	99 303	234 393
Усього власного капіталу	3 262 323	2 683 242
Усього пасивів	27 489 483	26 090 326

Таблиця A.2

Звіт про фінансові результати за 2008 р., тис. грн.

Найменування статті	На звітну дату
поточного фінансового року	попереднього фінансового року
Чистий процентний дохід	1 354 699	1 000 387
Процентний дохід	3 441 703	2 474 154
Процентні витрати	(2 087 004)	(1 473 767)
Чистий комісійний дохід	724 300	651 371
Комісійний дохід	784 710	687 969
Комісійні витрати	(60 410)	(36 598)
Торговельний дохід	905 734	66 388
Дохід у вигляді дивідендів	40	45
Дохід від участі в капіталі	2 118	541
Інший дохід	131 615	72 811
Усього доходів	3 118 506	1 791 543
Загальні адміністративні витрати	(484 145)	(410 623)
Витрати на персонал	(860 068)	(658 828)
Втрати від участі в капіталі	(2)	0
Інші витрати	(159 717)	(121 860)
Прибуток від операцій	1 614 574	600 232
Чисті витрати на формування резервів	(1 478 419)	(252 571)
Дохід / Збиток від довгострокових активів, призначених для продажу	0	0
Прибуток до оподаткування	136 155	347 661
Витрати на податок на прибуток	(37 388)	(113 429)
Прибуток після оподаткування	98 767	234 232
Чистий прибуток / збиток від продажу довгострокових активів, призначених для продажу	536	161
Чистий прибуток / збиток банку	99 303	234 393

Таблиця A.3

Балансовий звіт Промінвестбанку за I квартал 2009 р., тис. грн.

Найменування статті	На звітну дату поточного кварталу	На кінець попереднього фінансового року
АКТИВИ
Грошові кошти та їх еквіваленти	7 807 206	1 768 791
Торгові цінні папери	0	0
Інші фінансові активи, що обліковуються за справедливою вартістю з визначенням результату переоцінки у фінансових результатах	0	0
Кошти в інших банках, у тому числі:	649 818	171 559
В іноземній валюті	478 833	136 232
Резерви під знецінення коштів в інших банках	(24 261)	(23 372)
Резерви у відсотках до активу	3,73	13,62
Кредити та заборгованість клієнтів, у тому числі:	23 452 009	24 395 081
Кредити та заборгованість юридичних осіб, у тому числі:	20 590 076	21 353 002
В іноземній валюті	5 655 851	7 094 326
Кредити та заборгованість фізичних осіб, у тому числі:	2 861 933	3 042 079
В іноземній валюті	1 563 514	1 927 385
Резерви під знецінення кредитів	(2 715 658)	(2 406 530)
Резерви у відсотках до активу	11,58	9,86
Цінні папери в портфелі банку на продаж	377 916	427 786
Резерви під знецінення цінних паперів у портфелі банку на продаж	(27 276)	(27 088)
Резерви у відсотках до активу	7,22	6,33
Цінні папери в портфелі банку до погашення	397	397
Резерви під знецінення цінних паперів у портфелі банку до погашення	(397)	(397)
Резерви у відсотках до активу	100,0	100,0
Інвестиції в асоційовані й дочірні компанії	16 340	16 349
Інвестиційна нерухомість	32 977	32 042
Дебіторська заборгованість щодо поточного податку на прибуток	89 011	94 138
Відстрочений податковий актив	60 990	51 341
Основні засоби та нематеріальні активи	2 890 769	2 923 188
Інші фінансові активи	30 347	37 826
Резерви під інші фінансові активи	(7 579)	(6 903)
Резерви у відсотках до активу	24,98	18,25
Інші активи	31 954	37 528
Резерви під інші активи	(2 442)	(2 465)
Резерви у відсотках до активу	7,64	6,57
Довгострокові активи, призначені для продажу, та активи групи вибуття	257	257
Резерви під зменшення корисності інвестицій в асоційовані й дочірні компанії, що утримуються з метою продажу	0	0
Резерви у відсотках до активу	0	0
Усього активів, у тому числі:	32 662 378	27 489 528
В іноземній валюті	13 391 491	8 755 290
ЗОБОВ'ЯЗАННЯ
Кошти банків, у тому числі:	15 285 696	7 144 412
В іноземній валюті	8 285 696	392 087
Кошти юридичних осіб, у тому числі:	3 670 674	5 541 226
В іноземній валюті	1 521 104	2 365 998
Кошти юридичних осіб на вимогу, у тому числі:	1 480 605	3 044 632
В іноземній валюті	527 046	1 294 464
Кошти фізичних осіб, у тому числі:	8 516 980	9 194 307
В іноземній валюті	3 117 223	3 557 606
Кошти фізичних осіб на вимогу, у тому числі:	1 443 222	1 638 840
В іноземній валюті	199 929	279 542
Боргові цінні папери, емітовані банком, у тому числі:	157 280	172 239
В іноземній валюті	16 078	14 629
Інші залучені кошти	128 933	279 250
Зобов'язання щодо поточного податку на прибуток	0	90
Відстрочені податкові зобов'язання	562 492	574 828
Резерви за зобов'язаннями	31 043	37 377
Інші фінансові зобов'язання	151 481	164 636
Інші зобов'язання	29 711	1 118 794
Субординований борг	0	0
Зобов'язання, що пов'язані з довгостроковими активами, призначеними для продажу, чи групами вибуття	0	0
Усього зобов'язань, у тому числі:	28 534 290	24 227 159
В іноземній валюті	13 113 572	6 668 833
ВЛАСНИЙ КАПІТАЛ
Статутний капітал	1 300 175	200 175
Власні акції (частки, паї), що викуплені в акціонерів (учасників)	0	0
Емісійні різниці	0	0
Резерви, капіталізовані дивіденди та інші фонди банку	1 227 328	1 227 328
Резерви переоцінки необоротних активів, у тому числі:	1 715 027	1 715 027
Резерви переоцінки нерухомості	1 711 429	1 711 425
Резерви переоцінки нематеріальних активів	0	0
Резерви переоцінки цінних паперів	5 492	19 726
Резерви переоцінки за операціями хеджування	0	0
Прибуток/Збиток минулих років	100 113	764
Прибуток/Збиток поточного року	(220 047)	99 349
Усього власного капіталу	4 128 088	3 262 369
Усього пасивів	32 662 378	27 489 528

Таблиця A.4

Звіт про фінансові результати за I квартал 2009 р., тис. грн.

Найменування статті	На звітну дату кварталу поточного року	На звітну дату кварталу попереднього фінансового року
Чистий процентний дохід/(Чисті процентні витрати)	283 268	289 814
Процентні доходи	930 959	755 924
Процентні витрати	(647 691)	(466 110)
Чистий комісійний дохід/(Чисті комісійні витрати)	77 672	177 972
Комісійний дохід	87 077	192 508
Комісійні витрати	(9 405)	(14 536)
Результат від торгових операцій з цінними паперами в торговому портфелі банку	0	0
Результат від операцій з хеджування	0	0
Результат від переоцінки інших фінансових інструментів, які обліковуються за справедливою вартістю з визнанням результату переоцінки у фінансових результатах	0	0
Результат від торгівлі іноземною валютою	(1 039)	18 276
Прибуток/(Збиток), який виникає під час первісного визнання фінансових активів за процентною ставкою, вищою або нижчою, ніж ринкова	0	0
Прибуток/(Збиток), який виникає під час первісного визнання фінансових зобов'язань за процентною ставкою, вищою або нижчою, ніж ринкова	0	0
Результат від переоцінки об'єктів інвестиційної нерухомості	960	0
Результат від переоцінки іноземної валюти	(59 862)	8 597
Резерви під заборгованість за кредитами	(268 426)	5 145
Знецінення цінних паперів у портфелі банку на продаж	(210)	(189)
Результат від продажу цінних паперів у портфелі банку на продаж	33 279	20 835
Знецінення цінних паперів у портфелі банку до погашення	(39 025)	0
Резерви за зобов'язаннями	3 626	526
Інші операційні доходи	6 393	9 738
Доходи/(Витрати) від дострокового погашення заборгованості	0	0
Адміністративні та інші операційні витрати	(273 150)	(334 900)
Результат від участі в капіталі	0	0
Дохід від участі в капіталі	0	0
Втрати від участі в капіталі	0	0
Дохід/(Збиток) від довгострокових активів, призначених для продажу	0	0
Прибуток/(Збиток) до оподаткування	(236 514)	195 814
Витрати на податок на прибуток	16 467	(47 549)
Прибуток/(Збиток) після оподаткування	(220 047)	148 265
Чистий прибуток/(збиток) від продажу довгострокових активів, призначених для продажу	0	89
Чистий прибуток/(збиток) банку	(220 047)	148 354

1
Термiн "комп'ютерна система" аналогічний таким термінам: "computer system", що використовується в "Оранжевій книзі"; "computer product" — у Канадских Критеріях; "target of evaluation" (TОЕ) — в Європейських Критеріях

?