44
Рисунок 8 – Состав СОИБ РФ
Регуляторы выпускают свои стандарты и положения. Нужно учитывать,
что они предъявляют требования к построению системы защиты информации,
которые обычно включаются в обеспечивающие информационных систем.
Делая из этого вывод, можно сказать, что на службу информационной
безопасности падает очень много задач, в основном напрямую их не качаясь,
но требуя самого непосредственного участия.
Можно привести пример, практически на всех рабочих местах в
банковской сфере используются операционные системы Windows. Но как всем
известно, в этих системах очень много уязвимостей и учитывая не слишком
сильный уровень компетенций в отделах информационных технологий, то
присутствует еще и ошибки в конфигурации. Смотря за выходом обновлений
на операционную систему Windows – можно сделать тот же самый вывод. Т.к.
обновления выходят постоянно и организации просто физически не успевают
45
протестировать и поставить на все компьютеры в организации пакеты
критичных обновлений. Все это создает довольно большую проблему для
информационной безопасности банковской сферы, в частности [17].
Инженерно-техническое обеспечение системы защиты информации
предназначается для того, чтобы можно было противодействовать средствам
технической разведки пассивным и активным методом, а также формирования
рубежей охраны территории, здания, помещений и оборудования с помощью
комплексов технических средств. При защите информационных систем
данный элемент является одним из главных, но при этом цена таких средств
технической защиты и охраны велика.
Программно-аппаратное обеспечение системы защиты применяется для,
того чтобы защитить ценную информацию, которая в свою очередь хранится
и обрабатывается в серверах, компьютерах и любых рабочих станциях,
обслуживающих локальные сети, а также на разных информационных
системах. Но при этом есть возможность фрагменты такой защиты применять
как сопутствующие средства в инженерно-технической и организационной
защите. Данный элемент может включать в себя:
• антивирусные решения, которые занимаются мониторингом всей сети
организации;
• программы защиты информации;
• Технические средства, типо АМДЗ «Соболь» [18].
Методы и средства обеспечения безопасности информации
Также стоит рассмотреть неформальные методы защиты информации.
Метод препятствие строится на физическом преграждении пути к
защищаемой информации (к аппаратуре, носителям информации и т.д.).
Данные методы могут препятствовать любым возможным путям
незаконного доступа к информации. Кроме этого, данный метод включает в
себя такие функции защиты как:
46
идентификацию всех пользователей, работников и ресурсов
системы (присвоение каждому объекту персонального идентификатора);
аутентификацию для идентификации, установления истинного
пользователя по предъявленному им идентификатору;
проверку пользовательских полномочий;
одобрение и банка всех условий работы в рамках установленного
регламента;
регистрацию обращений к защищаемым ресурсам;
реагирование (сигнализация, отключение, задержка работ, отказ в
запросе и т.п.) при попытках несанкционированных действий [19].
На сегодняшний день для того, чтобы исключить случаи обмана
авторизации пользователей используются следующие методы: пароль плюс
идентификация пользователя по персональному ключу либо по смарт-карте.
Ключом может является смарт карта, она может быть магнитной или со
встроенной микросхемой. Также используется различные устройства для того,
чтобы идентифицировать личность по биометрической информации – по
отпечаткам пальцев рук, размеру кисти руки, радужной оболочке глаза и т.д.
Серверы и сетевые рабочие станции, которые в свою очередь оснащены
устройствами чтения смарт-карт и специальным программным обеспечением,
такие средства значительно увеличивают уровень защиты от неправомерного
доступа [20].
Метод шифрования представляет из себя криптографическое скрытие
информации. Данный метод все чаще применятся при обработке, и при
хранении информации на магнитных носителях. Информация, передается по
каналам связи большой протяженности. На данный момент этот метод
является наиболее надежным.
Метод противодействия атакам вредоносных программ. Представляет из
себя комплекс многочисленных мер организационного характера, также
включает в себя меры по использованию антивирусных программ. Целями
47
принимаемых мер является: снижение случаев вероятности инфицирования
АИС; определение факта заражения системы; снижение последствий
информационных инфекций; локализация или удаление вирусов;
восстановление информации в ИС.
Метод регламентация определяется в создании условий, при которых
нормы и стандарты по защите выполняются в наибольшей степени при
автоматизированной обработке, хранения и передачи защищаемой
информации,
Метод принуждение. При данном методе зашиты пользователи, и
сотрудники ИС вынуждены соблюдать все правила обработки, передачи и
использования защищаемой информации при этом отвечая перед
материальной, административной или уголовной ответственностью [22].
Метод побуждение. Данный метод защиты побуждает пользователей и
сотрудников ИС соблюдать установленные порядки за счет подчинения,
сложившихся этических и моральных норм [22].
Все технические средства подразделяются на аппаратные или
физические:
Аппаратные средства — это различные технические устройства,
системы и сооружения, предназначенные для защиты информации от
разглашения, утечки и несанкционированного доступа [23].
Физические средства - это разнообразные устройства, приспособления,
конструкции, аппараты, изделия, предназначенные для создания препятствий
на пути движения злоумышленников. Включают в себя системы СКУД
(системы контроля и управления доступом), системы видеонаблюдения,
двери, системы пожаротушения, датчики задымления и т.д. Также на
компьютерах работников коммерческого банка установлены специальные
аппаратные считыватели, по ним происходит вход во внутреннюю систему
банка. В случае, если карточку вытаскивают из считывателя, компьютер
принудительно блокируется.
48
Организационные средства включаю в себя регламентирующие
документы, которые должны быть подписаны каждым сотрудником банка, в
том числе, при трудоустройстве на работу, кандидату дают перечень
документов. Если хоть один документ не будет подписан, его не допускают до
работы во внутренней системе банка.
49
Выводы
Проведя анализ и оценку эффективности системы межбанковских
расчетов РФ на примере ООО КБ «РОСАВТОБАНК», можно сделать вывод о
том, что ООО КБ «РОСАВТОБАНК» является успешным финансовым
учреждением. С 2016 года Банк входит в финансовую группу ВТБ. Банк
обслуживает юридические и физические лица. ООО КБ «РОСАВТОБАНК»
постоянно улучшает качество предоставляемых услуг.
Статистика проведения межбанковских платежей в ООО КБ
«РОСАВТОБАНК» за 2018 год значительное место занимают платежи через
РКЦ. Проведя анализ структуры межбанковских платежей ООО КБ
«РОСАВТОБАНК» в 2018 году, видно, что больше всего платежей (38%) было
проведено в середине страны, межбанковские расчеты между странами
составляют 23% от общего числа межбанковских расчетов.
ООО КБ «РОСАВТОБАНК» сотрудничает с системой S.W.I.F.T. Каждое
предприятие, которое хочет стать участником системы S.W.I.F.T. есть ряд
установленных критериев. Претенденты, которые не соответствуют данным
критериям, не могут быть участниками системы.
50
Глава 3. Автоматизация межбанковских расчетов ООО КБ
«РОСАВТОБАНК»
3.1. Описание режимов программного обеспечения ООО КБ
«РОСАВТОБАНК»
Современное развитие бизнеса финансовых услуг подразумевает
постоянное улучшение способов обслуживания клиентов с использованием
новейших научно-технических достижений. Внедрение программного
обеспечения информационных технологий, дает возможность
воспользоваться разными финансовыми предложениями, находясь не только
в помещении кабинетов банка, но и из всех других помещений
инфраструктуры [28].
Созданное с использованием информационных технологий
программное обеспечение позволяет производить межбанковские расчеты и
проводить всевозможные финансовые операции в удаленном доступе из
любой точки страны и мира.
В состав информационного обеспечения банковских систем входят
информационной базы, основы классификации и кодировки информации,
информационная модель банка [5].
Автоматизированную банковскую систему согласно с функциональным
предназначением принято разделять на четыре подсистемы:
1) Front-line – система обеспечивает коммуникацию финансового
учреждения с его клиентами. Она построена для ввода первичной информации
о сделках, операциях РКО, кредитных и депозитных договорах, хозяев ячеек и
т.п.;
2) Middle-line – система создана для контроля корректности ввода
первичной информации, сопровождения депозитных, кредитных операций, а
так же сделок с ценными бумагами, векселями и прочими обязательствами.
51
Кроме того, система осуществляет контроль будущего исполнения
обязательств по заключенным сделкам;
3) Back-line – система создана для контроля общебанковской и
общехозяйственной деятельности. Эта система аналогична CRM системам
обычных коммерческих организаций, выполняющих задачи управленческого
учета;
4) Accounting - показывает своевременную и корректную деятельность
банка в рамках имеющихся операций бухгалтерского учета [19].
Ускоренное развитие финансового рынка, характерное для 90-х годов,
потребовало от банков дальнейшего повышения эффективности
обслуживания клиентов, гибкого экономического маневрирования,
предотвращения снижения прибылей за счет принятия правильных, с точки
зрения минимизации рисков, решений. Поэтому чрезвычайно актуальной
стала проблема интеграции и обеспечения целостности оперативно
используемой информации, что можно было достичь только при условии
применения эффективных средств распределенной обработки данных и связи.
Для обеспечения деятельности финансовых организаций в новых условиях
нужны были интегрированные системы, в которых результаты всех
банковских транзакций могли бы незамедлительно отражаться и учитываться
в операциях всех входящих в них подразделений.
Только такая автоматизированная обработка банковской информации
могла обеспечивать руководству банков согласованное управление рисками,
ликвидностью, активами и обязательствами.
Однако перестройка действующих автоматизированных систем
обработки данных оказывалась очень дорогой, требовался новый подход к
созданию систем, который был найден в сотрудничестве крупнейших банков
и организаций, специализирующихся в области банковских технологий и
способных предложить комплексное решение проблемы.
52
При организации работы специализированный депозитарий ООО КБ
«РОСАВТОБАНК» использует самые ведущие технологии и программное
обеспечение, существующие на этот момент на рынке, и гарантирует
комплексный подход к работе благодаря современным системам учета и
передачи информации.
Программное обеспечение, применяемое в специализированном
депозитарии банка, объединяет депозитарный и контрольный модули. Это
разрешает в кратчайшие сроки и с высокой эффективностью отображать в
системе все операции, держать под контролем состав и структуру имущества
и оперативно откликаться на отклонения от норм, предусмотренных
действующим законодательством.
Для уменьшения временных и трудовых затрат специализированного
депозитария учтена передача первичных документов и другой информации по
электронным каналам связи с использованием сертифицированных
программных средств электронной цифровой подписи.
Малый уровень кредитного риска характеризует использование RTGS-
механизма расчетов в системах перевода больших сумм платежей,
обслуживающих «оптовый» сектор финансового рынка (межбанковский
рынок и рынок капиталов) [24].
Рассмотрим общий межбанковский перевод SWIFT MT 202, который
применяется в ООО КБ «РОСАВТОБАНК» (Приложение Б) [41].
Сообщение данного вида направляется Банком-Плательщиком либо по
его поручению, непосредственно или через корреспондента
(корреспондентов), в финансовую компанию, обслуживающую счет Банка-
Бенефициара.
Роль сообщения состоит в передаче инструкций о переводе средств в
пользу Банка-Бенефициара.
Сообщение данного вида имеет возможность также отправляться в
финансовую компанию, обслуживающую более одного счета Отправителя,
53
для передачи руководств о переводе средств с одного из данных счетов на
другой, или о дебетовании счета, обслуживаемого Получателем, и
кредитовании кого-то из счетов Отправителя в финансовой организации,
обозначенной в поле 57а.
Для выполнения платежа с использованием платежной системы Банка
России сообщение SWIFT MT 202 может преобразовываться в один из видов
распоряжений: Платежное поручение (форма 0401060) или Поручение банка
(форма 0401070).
Поручение Банка ограничено применением при переводе денег с
использованием сервиса срочного перевода зарубежным кредитным
организациям, информация о которых включена в Справочник БИК РФ, а
также Банком России при переводе денег кредитным организациям (их
отделениям) на основании постановлений, поступивших от указанных
зарубежных кредитных организаций согласно с условиями договоров счета.
При расчетах с CLS Bank International требования к указанию
информации для полей 52а, 56а, 57а, 58а сообщения МТ202 устанавливаются
соглашением (договором корреспондентского счета).
Описание формата сообщения МТ 202 представлено в таблице 3.
Таблица 3
MT 202 Общий межбанковский перевод (формат SWIFT-RUR)