А.М. Рыбников
Платежные системы
Учебное пособие – Симферополь: ТНУ, 2011. – 228 с.

Глава 4. Мероприятия защиты информационной безопасности платежных систем

4.1. Основные понятия и этапы создания системы защиты

Защита информации – это совокупность организационно-технических средств и правовых норм для предотвращения нанесения вреда интересам собственника информации автоматизированной системы и лицам, которые пользуются ею. Информационная безопасность ПС означает возможность противостоять преднамеренным или непреднамеренным попыткам нанесения ущерба владельцам или пользователям этой платежной системы.

При создании платежных систем необходимо уделять как можно больше внимания защите и обеспечению их безопасности. Обычно различается внутренняя и внешняя безопасность. Внутренняя безопасность должна обеспечивать целостность программ и данных, надежную и корректную работу всей системы. Внешняя безопасность включает  защиту от любых проникновений злоумышленников извне, угрожающих сбоем, воровством или выведением системы из строя, а также от утрат или модификации информации системой при стихийных бедствиях. Это предполагает создание надежных и удобных механизмов регламентирования деятельности всех пользователей и обслуживающего персонала, поддержки дисциплины доступа к ресурсам системы.

В настоящее время существует два подхода к построению защиты платежных систем:

• комплексный подход — объединяет разнообразные методы противодействия угрозам;

• фрагментарный подход — противодействие определенным угрозам (антивирусные средства и т. п.). Его главной позитивной чертой является мощная защита от конкретной угрозы, а основной недостаток – локальность действия и отсутствие единой защищенной среды для обработки информации.

Комплексный подход применяется для защиты крупных платежных систем (например, международные межбанковские сети). В 1985г. Национальным центром компьютерной безопасности Министерства обороны США была опубликована «Оранжевая книга», в которой был приведен свод правил и норм, а также основные понятия защищенности информационно-вычислительных систем. В дальнейшем эта книга превратилась в настоящее «руководство к действию» для специалистов по защите информации. В ней определяются описанные ниже понятия.

Политика безопасности, т. е. совокупность норм, правил и методик, на основе которых в дальнейшем строится деятельность информационной системы в области обращения, хранения, распределения информации. Политика безопасности определяет:

1. Цели, задачи, приоритеты системы безопасности.

2. Гарантированный минимальный уровень защиты.

3. Обязанности персонала по обеспечению защиты.

4. Санкции за нарушение защиты.

5. Области действия отдельных подсистем.

Субъектами отношений, связанными с обработкой информации в автоматизированной системе являются:

* Собственники информации или уполномоченные ими особы.

* Собственники автоматизированной системы или уполномоченные ими особы.

* Пользователи информации.

* Пользователи автоматизированной системы.

Анализ риска, который состоит из нескольких этапов:

1. Описание состава системы (т. е. документация, аппаратные средства, данные, персонал и т. д.).

2. Определение по каждому элементу системы уязвимых мест.

3. Оценка вероятности реализации угроз.

4. Оценка ожидаемых размеров потерь.

5. Анализ методов и средств защиты.

6. Оценка оптимальности предлагаемых мер.

Окончательно анализ риска выливается в стратегический план обеспечения безопасности, важным при этом является разбивка информации на категории. Наиболее простой метод такого разграничения информации следующий:

• конфиденциальная информация, доступ к которой строго ограничен;

• открытая информация, доступ к которой посторонних не связан с материальными и другими потерями.

Для коммерческой деятельности такой градации вполне достаточно.

Создание надежной системы защиты можно разделить на четыре основных этапа:

1. Анализ возможных угроз.

2. Разработка (планирование) системы защиты.

3. Реализация системы защиты.

4. Сопровождение системы защиты во время эксплуатации платежной системы.

Анализ возможных угроз  - это выбор из всего множества возможных влияний на систему только таких, которые реально могут возникнуть и нанести значительные убытки. Все угрозы можно разделить в соответствии с их характеристиками на следующие классы:

1. По целям реализации угрозы:

- нарушение конфиденциальности информации;

- нарушение целостности (полная или частичная компрометация информации; дезинформация; несанкционированное уничтожение или модификация информации или программного обеспечения);

- нарушение (частичное или полное) трудоспособности системы.

2. По принципу влияния на систему:

- с помощью доступа к объектам системы (файлов, данных, каналов связи);

- с помощью скрытых каналов (в том числе через работу с памятью).

3. По характеру влияния на систему:

- активное влияние – выполнение пользователями некоторых действий за пределами своих обязанностей, которые нарушают систему защиты и изменяют состояние системы;

- пассивное влияние – наблюдение побочных эффектов работы системы и их анализ, которые не изменяют состояние системы, но дают возможность получения конфиденциальной информации.

4. По причинам появления ошибок в системе защиты:

- некорректность системы защиты, приводящая к действиям, которые можно рассматривать как несанкционированные, но система защиты не рассчитана на их приостановку или недопущение;

- ошибки администрирования системы;

- ошибки в алгоритмах программ, связях между ними, возникающие на этапе проектирования;

- ошибки в реализации алгоритмов, возникающие на этапе реализации или тестирования программного обеспечения.

5. По способам влияния на объект атаки:

- непосредственное влияние на объект атаки (в том числе с помощью использования привилегий);

- влияние на систему привилегий (в том числе захват привилегий) и доступ к системе, который система считает санкционированным;

- опосредованное влияние через других пользователей.

6. По способу влияния на систему:

- во время работы в интерактивном режиме;

- во время работы в пакетном режиме.

7. По объекту атаки:

- на систему в целом;

- на объекты системы с нарушением конфиденциальности, целостности или функционирования объектов системы (данные, программы, оборудование системы, каналы передачи данных);

- на субъекты системы (процессы, пользователей);

- на каналы передачи данных, в том числе и на пакеты передаваемых данных.

8. По используемым способам атаки:

- с помощью штатного программного обеспечения;

- с помощью специально разработанного программного обеспечения.

9. По состоянию объекта атаки:

- во время сохранения объекта (на диске, в оперативной памяти) в пассивном состоянии;

- во время передачи;

- во время обработки, т.е. объектом атаки есть сам процесс пользователя или системы.

Наиболее распространенными угрозами безопасности являются:

• несанкционированный доступ, т. е. получение пользователем доступа к объекту без соответствующего разрешения;

• «взлом системы», т. е. умышленное проникновение (основную нагрузку защиты в этих случаях несет программа входа);

• «маскарад», т. е. выполнение каких-либо действий одним пользователем банковской системы от имени другого;

• вирусные программы, т. е. воздействие на систему специально созданными программами, которые сбивают процесс обработки информации, и т. д.

Проблема обеспечения своей информационной безопасности выходит за рамки одной страны. Ни один из пользователей сети не защищен на все 100%. Вырабатываются новые программы защиты, но рано или поздно находится «умник», который проходит через все хитроумные преграды. Одно из самых крупных проникновений в банковскую сеть за последние годы — попытка снять более $ 12 млн. из Ситибанка (крупнейший банк Америки и крупнейший в мире торговец валютой) российским гражданином Левиным в 1994г. Больше четверти миллиона этой суммы до сих пор не найдено, и перспектив найти и вернуть деньги их законному владельцу пока нет. Все чаще и чаще средства массовой информации сообщают о хакерах, взламывающих защиту в виртуальных магазинах и делающих покупки по чужим кредитным карточкам. Идет своего рода состязание между «взломщиками» и «защитниками», и кто кого одолеет, пока неизвестно.

В зависимости от существующих угроз, различают следующие направления защиты электронных систем:

1. Защита аппаратуры и носителей информации от повреждения, похищения, уничтожения.

2. Защита информационных ресурсов от несанкционированного использования.

3. Защита информационных ресурсов от несанкционированного доступа.

4. Защита информации в каналах связи и узлах коммутации (блокирует угрозу «подслушивания»),

5. Защита юридической значимости электронных документов.

6. Защита систем от вирусов.

Существуют различные программно-технические средства защиты. К классу технических средств относятся: средства физической защиты территорий, сети электропитания, аппаратные и аппаратно-программные средства управления доступом к персональным компьютерам, комбинированные устройства и системы.

К классу программных средств защиты относятся: проверка паролей, программы шифрования (криптографического преобразования), программы цифровой подписи, средства антивирусной защиты, программы восстановления и резервного хранения информации. Например, разработчики платежной системы Webmoney Transfer предприняли повышенные меры безопасности для всех сообщений в системе с помощью их кодировки. Использование специального алгоритма защиты информации (похожего на алгоритм RSA, где длина ключа более 1024 бит) и использование специальных ключей при каждом сеансе передачи информации позволяет защитить информацию о назначении и сумме платежа от чужого любопытства.

На этапе разработки (планирования) система защиты формируется в виде множества мероприятий различного плана для противодействия возможным угрозам, которые включают:

- правовые меры: законы, указы и другие нормативные документы, которые регламентируют правила работы с обрабатываемой,  накапливаемой и сохраняемой платежной информацией, и ответственность за нарушение этих правил;

- морально-этические меры: нормы поведения участников расчетов и обслуживающего персонала;

- административные меры: меры организационного характера, регламентирующие процесс функционирования системы обработки платежной информации, использование ее ресурсов, а также деятельность персонала;

- физические средства защиты, включающие охрану помещений, техники и персонала платежной системы;

- технические (аппаратно-программные и программные) средства защиты, которые самостоятельно или в комплексе с другими средствами обеспечивают функции защиты.

На этапе реализации системы защиты изготавливаются, оборудуются, устанавливаются и настраиваются средства защиты, запланированные на предыдущем этапе. Важно знать, что защита информации обеспечивается субъектами перевода средств путем обязательного внедрения и использования соответствующей системы защиты, которая состоит из:

- законодательных актов Украины и других нормативно-правовых актов, а также внутренних нормативных актов субъектов переводов, регулирующих порядок доступа и работы с соответствующей информацией, а также ответственность за нарушение этих правил;

- средств охраны помещений, технического оборудования соответствующей платежной системы и персонала субъекта перевода;

- технологических и программно-аппаратных средств криптографической защиты обрабатываемой в платежной системе информации.

Система защиты информации должна обеспечивать:

1) целостность передаваемой в платежной системе информации и компонентов платежной системы;

2) конфиденциальность информации во время ее обработки, передачи и сохранения в платежной системе;

3) невозможность отказа инициатора от факта передачи и получателем от факта принятия документа на перевод, документа по операциям с использование средств идентификации, документа на отзыв;

4) обеспечение постоянного и беспрепятственного доступа к компонентам платежной системы особам, которые имеют на это право или полномочия, определенные законодательством Украины, а также установленные договором.

 Разработка средств охраны, технологических и программно-аппаратных средств криптографической защиты выполняется платежной организацией соответствующей платежной системы, ее членами или другой организацией по ее заказу.