Введение
Актуальность темы настоящей выпускной квалификационной работы
обусловлена следующими аспектами.
Одной из важнейших задач современных информационных систем
является надёжность в обеспечение конфиденциальности, целостности, и
сохранности информации. Еще в недавнем прошлом задачу защиты
компьютерных систем можно было решить достаточно эффективно с помощью
Два десятилетия лет назад задача защиты информации могла быть эффективно
решена с помощью средств шифрования и разграничения доступа, а также ряда
организационных мер. Тем не менее появление спутниковых каналов связи,
средств технической разведки, персональных ЭВМ, глобальных и локальных
сетей, сильно обостряет проблему информационной безопасности. В настоящее
время, несмотря на активное внедрение блокчейн технологий, основой
финансово-кредитной системы и самым важным финансовым институтом
являются банки. В связи с этим на них возлагаются особые требования к
обеспечению информационной безопасности.
Главной целью защиты информации является предотвращение
потенциального ущерба владельцу собственнику или пользователю. Для
достижения поставленной цели необходимо разработать комплексную систему
защиты информации.
Такого рода система должна в первую очередь удовлетворять следующим
требованиям:
иметь развитую систему идентификации пользователей;
обеспечивать проведение учета фактов нарушения безопасности;
использовать как организационные так и технические меры по защите
информации и информационных систем.
Несмотря на существующие продукты по защите компьютеров от
вирусов, тем не менее полной и стопроцентной защиты достичь невозможно.
Проблема «гонки вооружений» между антивирусными компаниями и кибер
преступниками обостряется год за годом, и большинство антивирусных
программ уже не в состоянии обеспечить надёжный уровень защиты
пользователей. Можно даже говорить о кризисе антивирусной индустрии и о
связанных с ним проблемах обеспечения надёжной защиты пользователей.
Целью выпускной квалификационной работы является разработка путей
модернизации антивирусной защиты ПАО «ВТБ-24».
Исходя из цели, определим задачи работы:
рассмотрение теоретических аспектов организации антивирусной
защиты;
проведение анализа комплекса антивирусной защиты ПАО «ВТБ-24»;
разработка направлений модернизации комплекса антивирусной защиты
ПАО «ВТБ-24».
Объектом исследования является ПАО «ВТБ-24».
Предмет исследования – комплекс антивирусной защиты в банке.
Методологическую основу исследования составляют следующие методы:
анализ, обобщение, абстрагирование и др.
Структура выпускной квалификационной работы соответствует цели и
задачам исследования. ВКР состоит из введения, трех глав, заключения и
списка литературы.
Глава 1. Теоретические аспекты организации информационной
безопасности
1.1. Понятие и сущность информационной безопасности.
1.1.1. Общая характеристика предметной области.
В настоящее время, несмотря на активное внедрение блокчейн
технологий, основой финансово-кредитной системы и самым важным
финансовым институтом являются банки. В связи с этим на них возлагаются
особые требования к обеспечению информационной безопасности. До момента
появления отечественных отраслевых стандартов информационной
безопасности СТО БР ИББС банки управляли безопасностью, основываясь на
положениях внутренних нормативных документов. Но и после принятия этих
документов осталось много вопросов, требующих своего решения. Некоторые
рассматриваемые в статье вопросы связаны с разрешением «узких мест»
системы ИБ банков и адаптации политики безопасности под новые требования
с учетом уже имеющегося «багажа» в области защиты информации.
Информационную безопасность можно трактовать как отсутствие
недопустимого риска, связанного с причинением прямого или косвенного
имущественного (финансового) ущерба предприятию (физическому лицу),
который вызван нарушением конфиденциальности, целостности и доступности
информации.
Большая часть информации банка находится в компьютерных системах.
А обязанности отдела ИТ руководством банка определялись просто. Если что-
то связано с компьютером — значит этим занимается ИТ-отдел. Поэтому
никаких сомнений, кто должен заниматься информационной безопасностью не
возникало. Конечно — специалисты по ИТ.
В принципе это не вызывало возражений. Все равно, кроме ИТ-
специалистов, в ИБ никто ничего не понимал. Службой безопасности
традиционно руководили выходцы из силовых структур — МВД или КГБ. Они
хорошо разбирались в вопросах физической охраны, получения всяких
охранных лицензий, защиты периметра здания, но владение компьютерной
грамотностью у них, как правило, ограничивалось уровнем пользователя
текстового редактора.
На практике ИТ-отдел проводил резервное копирование, обновлял
антивирусные программы (как и сейчас, в 1990-х наиболее популярными
антивирусными программами были DrWeb и Kaspersky) и занимался
разграничением прав доступа. Пользователям раздавались права на сетевом
уровне (особое внимание уделялось ограничению прав на комплекс расчета
зарплаты) и на уровне отдельных приложений.
В современных условиях злоумышленнику нет необходимости получать
физический доступ к тем ресурсам, которыми он хочет завладеть, ему в помощь
приходят многочисленные вирусные и троянские. В связи с тем, что таких
вирусов, постоянно модифицирующихся, существует бесконечное множество,
а количество компьютерных сетей растет – вероятность заражения также
существенно увеличивается. Постоянно растут скорость и масштабы
распространения компьютерных вирусов, которые при широкомасштабном и
стремительном размножении могут приводить к эпидемиям. Следовательно,
проблема защиты персональной ЭВМ становится менее актуальной, нежели
защита от вирусной эпидемии компьютерной сети в целом.
Конечно, можно рассматривать эпидемию компьютерного вируса в
пределах одной ЭВМ, например, эпидемию файлового вируса, заражающего
файловые директории. Однако исторически сложилось ассоциировать
эпидемии с точки зрения распространения по компьютерной сети какого-либо
сетевого вируса, представляющего наибольшую опасность распространения.
Эпидемический процесс заключается в непрерывном распространении
сетевого вируса от одной ЭВМ к другой по компьютерной сети. Однако не
всякое распространение сетевого вируса носит название эпидемии. Заражение
одной ЭВМ компьютерной сети от другой, а другой от третьей - это еще не
эпидемия. Процесс можно назвать эпидемией только в том случае, если он
обладает следующими свойствами:
массовость - в процесс заражения вовлечено большое количество ЭВМ в
компьютерной сети. Данное свойство носит условный характер, так как
нельзя определить четких границ при отнесении процесса к
эпидемическому;
непрерывность - процесс заражения ЭВМ в компьютерной сети
осуществляется постоянно во времени;
высокая интенсивность заражения - суммарное количество зараженных
ЭВМ в компьютерной сети в единицу времени находится на высоком
уровне и, как правило, со временем возрастает. Данное свойство так же,
как и первое, носит условный характер.
В современных крупных финансовых структурах, к коим мы относим
рассматриваемую организацию, необходимо учесть существующую широко
распространенную сеть банкоматов по выдаче наличных средств. в случае, если
вирус попадает в один банкомат, то в связи со своей автономностью, он может
поразить множество банкоматов в кратчайшие сроки.
1.1.2. Организационно-функциональная структура.
Банк ВТБ 24 (публичное акционерное общество) (далее по тексту - ВТБ24,
Банк) - один из крупнейших участников российского рынка банковских услуг.
Банк входит в состав международной финансовой группы ВТБ и
специализируется на обслуживании физических лиц, индивидуальных
предпринимателей и предприятий малого бизнеса.
ВТБ24 предлагает широкий спектр продуктов и услуг для частных лиц и
предприятий малого бизнеса: выпуск банковских карт, потребительское и
ипотечное кредитование, услуги дистанционного управления счетами, срочные
вклады, денежные переводы, программы кредитования и расчетно-кассового
обслуживания субъектов малого бизнеса.
На сегодняшний день ВТБ24 - второй по величине розничный банк в
России. Сеть Банка на конец 2017 года достигла 1 066 отделений в 354 городах
в 72 регионах, что обеспечивает покрытие 79% городского населения
Российской Федерации.
Основным источником привлечения средств для российских банков
остаются вклады физических лиц. В 2017 году сохранились позитивные
тенденции наращивания банками депозитной базы. Так, прирост портфеля
вкладов физических лиц за 2017 год составил 9,4% (в 2016 году 19,0%), а
прирост средств, привлеченных от организаций, составил 40,6% (в 2016 году
13,3%). В результате доля средств населения в банковских пассивах
уменьшилась с 29,5% на конец 2016 года до 23,9% пассивов на конец 2017 года.
В 2017 году продолжился активный рост кредитного портфеля банков. Так,
портфель кредитов, предоставленных физическим лицам, за 2017 год вырос на
13,8% (в 2016 году прирост составил 28,7%) и составил по состоянию на
01.01.2015 г. 11 329,5 млрд руб. Объем портфеля кредитов, предоставленных
нефинансовым организациям, за год увеличился на 31,3% и составил 29 536,0
млрд руб. (прирост за 2016 год 12,7%). При этом, доля кредитов,
предоставленных физическим лицам, в активах банков снизилась с 17,3% на
конец 2017 года до 14,6% на конец 2016 года, а доля кредитов,
предоставленных нефинансовым организациям, снизилась с 39,2% на конец
2016 года до 38,0% на конец 2017 года.
Одновременно с ростом портфеля кредитов, предоставленных физическим
лицам, в году выросла доля просроченной задолженности в портфелях банков
по кредитам физическим лицам с 4,4% на конец 2016 г. до 5,9% на конец 2017
г. По кредитам, предоставленным нефинансовым организациям, доля
просроченной задолженности увеличилась с 4,1% на конец 2016 года до 4,2%
на конец 2017 года.
Несмотря на снижение темпов роста экономики и возросшую
конкуренцию, как со стороны крупнейших универсальных банков, так и
активно развивавшихся банков-монолайнеров, ВТБ24 заметно увеличил объем
розничного кредитного портфеля, портфеля привлеченных средств физических
лиц и свою долю на соответствующих рынках.
Приоритетным направлением деятельности ВТБ24 является предложение
широкого спектра банковских розничных продуктов и услуг населению и
субъектам малого предпринимательства.
В 2017 году Банком была продолжена реализация стратегии розничного
бизнеса, в основе которой лежит клиентоориентированный подход к развитию
бизнеса, направленный на рост качества обслуживания клиентов.
В группе ВТБ действует матричная система управления, согласно
которой управление осуществляется по двум направлениям:
Административное управление представляет собой координацию и
контроль юридических лиц в виде дочерних компаний, функционирующих в
организационной структуре группы компаний ВТБ. С целью
административного управления в банке используется инструмент
корпоративного управления.
Функциональное управление представляет собой управление в рамках
бизнес-направлений и направлений контроля и поддержки в рамках группы
ВТБ в целом. Это является дополнительным механизмом управления, который
обеспечивает достаточно серьезную проработку решений на экспертном уровне
еще в рамках их подготовки.
Службы внутреннего аудита и внутреннего контроля являются в банке
основными контрольными службами. С учетом специфичности решаемых
задач, эти службы имеют статус высшего исполнительного органа и находятся
в ведении наблюдательного органа управления акционерным обществом. При
этом в любом случае служба внутреннего аудита должна находится в
подчинении первых руководителей этих органов управления.
Организационная структура предприятия представлена в Приложении 1.
Основные технико-экономические показатели компании представлены в
таблице 1.
Таблица 1.
Основные технико-экономические показатели компании.
№
п/п
Наименование характеристики
(показателя)
Значение показателя
1
Персонал
97000 сотрудников на
на начало2018 года
2
Чистая прибыль за 2017 год
120 млрд. рублей
3
Количество офисов обслуживания
14000 точек
присутствия
4
Активы
13 трлн. рублей
5
Банкоматы
20 тысяч устройств
6
Кредитный рейтинг
ruAAA
7
Клиентов физических лиц
38 млн.
8
Зарплатных клиентов
6,1 млн.
11
Клиентов удаленных каналов
6,7 млн.
1.2. Анализ рисков информационной безопасности.
1.2.1. Идентификация и оценка информационных активов.
Анализ информационных потоков банка позволил сгруппировать данные
об информационных активах по следующим приоритетам.
Таблица 2.
Перечень видов информации в ПАО «ВТБ-24»
№
п/п
Обрабатываемая информация
Отдел,
отвечающий за
обработку и
хранение
информации
Носитель
информации
1
Информация, предоставленная
клиентами, содержащая
конфиденциальную информацию.
Отдел
проектирования
Бумажный и
электронный
2
Расходы и доходы банка
Безналичные расчеты
Заработная плата сотрудников
Отдел бухгалтерии
Бумажный и
электронный
3
Список потенциальных клиентов банка
Информация о договорах
Отдел продаж
Бумажный и
электронный
4
Наименование закупаемого
оборудования и материалов для
клиентов банка
Список ТМЦ, хранящихся в банке
Отдел закупок
Бумажный и
электронный
5
Учетные записи сотрудников
Журнал протоколирования действий
сотрудников на АРМ
Сведения об программно-аппаратных
средствах банка
Отдел
информационных
технологий
Электронный
6
Информация об имидже банка
Информация об исследовании рынка
Отдел маркетинга
Электронный,
бумажный
После этого необходимо провести оценку информационных активов ПАО
«ВТБ-24», результаты оценки приведем в таблице 3.
Таблица 3.
Оценка информационных активов
Вид
деятельн
ости
Наименование
актива
Форма
представле
ния
Владелец
актива
Критерии
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(ед. изм.)
Качестве
нная
Информационные активы
Работа с
клиентам
и
Информация о
клиентах
Документ на
бумажном и
электронном
носителе
Отдел
проектирова
ния
Прибыль,
репутация
Высокая
Информация о
договорах
Документ на
бумажном и
электронном
носителе
Отдел
продаж
Прибыль,
репутация
Средняя
Информация о
выполненной
работе
Документ на
бумажном и
электронном
носителе
Отдел
монтажных
работ
Доверие
клиентов,
репутация
Средняя
Настройка
системы
клиента
Документ на
бумажном и
электронном
носителе
Отдел
информацио
нных
технологий
Доверие
клиентов,
репутация
Высокая
Внутренн
яя
деятельно
сть
Экономическая
информация
Документ на
бумажном и
электронном
носителе
Отдел
бухгалтерии
Выплата
зарплаты,
налогов
Средняя
Информация об
имидже банка
Документ на
бумажном и
электронном
носителе
Отдел
маркетинга
Репутация
Средняя
Настройка
локальной сети
банка
Документ на
бумажном и
электронном
носителе
Отдел
информацио
нных
технологий
Простой в
производст
ве
Средняя
Данные
сотрудников
Документ на
бумажном и
электронном
носителе
Отдел
бухгалтерии
Штрафные
санкции
Средняя
Информация о
программно-
аппаратном
обеспечении
банка
Документ на
бумажном и
электронном
носителе
Отдел
информацио
нных
технологий
Выполнени
е
требований
политики
безопаснос
ти
Низкая
Вид
деятельн
ости
Наименование
актива
Форма
представле
ния
Владелец
актива
Критерии
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(ед. изм.)
Качестве
нная
Активы программного обеспечения
Работа с
клиентам
и
База данных
клиентов
Электронный
носитель
Отдел
продаж
Прибыль
Высокая
Внутренн
яя
деятельно
сть
1С: бухгалтерия
Электронный
носитель
Отдел
бухгалтерии
Выплата
зарплаты,
налогов
Высокая
Настройка
локальной сети
Электронный
носитель
Отдел
информацио
нных
технологий
Простой в
производст
ве
Средняя
Физические активы
Сервер базы
данных
клиентов
Материальны
й объект
Банк
Простой в
производст
ве
Высокая
Сервер 1С
Материальны
й объект
Банк
Простой в
производст
ве
Низкая
Файловый
сервер
Материальны
й объект
Банк
Простой в
производст
ве
Низкая
Почтовый
сервер
Материальны
й объект
Банк
Простой в
производст
ве
Низкая
АРМ
пользователей
Материальны
й объект
Банк
Простой в
производст
ве
Низкая
Сетевое
оборудование
Материальны
й объект
Банк
Простой в
производст
ве
Низкая
В ПАО «ВТБ-24» существует режим обеспечения коммерческой тайны.
Сведения любого характера (производственные, технические, экономические,
организационные и другие), в том числе о результатах интеллектуальной
деятельности в научно-технической сфере, а также сведения о способах
осуществления профессиональной деятельности, которые имеют
действительную или потенциальную коммерческую ценность в силу
неизвестности их третьим лицам, к которым у третьих лиц нет свободного
доступа на законном основании и в отношении которых обладателем таких
сведений введен режим коммерческой тайны.