USD 101.68
ЕВРО 106.1
Введение
Деятельность современного банка во многом сводится к управлению финансовой
информацией: движение денег и обязательств на счетах, расчёты между кредитными
организациями, торговля на валютном и других финансовых рынках.
Эта финансовая информация создаётся, хранится, изменяется и контролируется
со всё более нарастающим участием информационных систем.
Однако новые технологии, при всей их неоспоримой полезности, приносят в
банковскую деятельность и новые риски. А в ряде случаев происходит
трансформация старых рисков в новые, иногда более масштабные. Таким новым
риском является несанкционированный доступ (НСД) к информационным системам и
информации [i]принадлежащей кредитной
организации.
Наше исследование посвящено анализу данного риска и роли систем
централизованного управления учетными данными и доступом (IAM[ii]) в его
минимизации.
Несанкционированный доступ и
несанкционированные действия
Основная часть рисков, при использовании информационных систем, для
кредитной организации возникает вследствие несанкционированных действий с
финансовой информацией банка, данные действия являются в первую очередь
следствием получения лицом проводящим такие операции несанкционированного
доступа к информационным ресурсам и системам.
Несанкционированными действиями чаще всего являются проведение законченных
банковских операций[iii], а также хищение информации или
изменение ее в нужную злоумышленнику сторону.
Хотя речь идёт, в первую очередь, о рисках связанных с преднамеренными
действиями, не стоит упускать из вида и непреднамеренные ошибки в работе
сотрудников. Такие действия также могут привести к несанкционированному
изменению информации, а следовательно причинить ущерб[iv] крединой организации.
Таким образом, необходимо построить систему информационной безопасности
банка (СИБ[v]) так, чтобы минимизировать
возможность несанкционированного доступа тем самым сократить вероятность
несанкционированных действий как со стороны злоумышленников так и со стороны
сотрудников организации совершающих непреднамеренные, опасные для
информационной безопасности действия.
Вопрос “Как сократить риск несанкционированного доступа?” является
ключевым в данном исследовании. Для ответа на него, мы во первых, рассмотрим
типовые ситуации, в которых происходит несанкционированный доступ, и защитные
меры[vi]
для его пресечения. После этого, мы опишем существующие инструменты реализующие
указанные защитные меры. Далее последует детальный анализ роли каждого
инструмента в снижении риска и механизма его работы.
|
Сценарий угрозы |
Защитная мера |
|
Лицо использует для несанкционированного доступа и действий права, которыми |
Недопущение проникновения в информационную систему банка лиц, выдающих себя Применение мер препятствующих передаче аутентификаторов от одного Быстрый отзыв скомпрометированных аутентификаторов. |
|
Лицо использует для несанкционированного доступа и действий права, которыми Например, сотрудник уже уволен, но его пароль всё ещё действует. Или |
Увеличение степени соответствия между тем, что правомочному пользователю — Любые изменения в — Внедрение новых Для достижения этого соответствия у IT-подразделения банка должны быть Повышение производительности этого процесса важно ещё и с другой стороны: Всё это касается и аутентификаторов, выдаваемых пользователю, как впервые, Также упрощение данных процедур позволяет производить выдачу прав не только |
|
Лицо использует для несанкционированнного доступа и действий свои настоящие
|
Более тонкая настройка прав пользователей. В том числе введение новых прав, Расширенный аудит и возможность быстрого отзыва прав. То есть минимизация |
|
Несанкционированное действие уже случилось или длится. |
Расширенный аудит и возможность быстрого отзыва прав. То есть минимизация |
Роль систем централизованного управления доступом пользователей к
информационным ресурсам и их учетными данными
Для реализации указанных мер противодействия несанкционированному доступу и
действиям в арсенале систем класса IAM существуют и используются следующие
инструменты:
— Современная многофакторная аутентификация пользователя,
значительно снижающая вероятность доступа в информационную систему
неправомочного лица, а также затрудняющая передачу аутентификаторов другим
лицам.
— Система по управлению учётными записями пользователей
(IdM[vii]),
упрощающая и ускоряющая выдачу и отзыв прав пользователя, повышающая контроль
над ними, а также за счёт большей автоматизации позволяющая без ущерба для
эффективности более тонкую настройку прав пользователя.
— Единая точка доступа (SSO[viii]) во все информационные
системы, к которым подключён пользователь, консолидирующая контроль действий
пользователя, упрощающая процедуры аутентификации для пользователя, а также в
целом снижающая возможность компрометации аутентификаторов пользователя.
— Введение новых прав, изначально не предусмотренных
информационной системой. Например, когда сумма операции превышает некое
пороговое значение, пользователю необходимо пройти повторную или дополнительную
аутентификацию. Другими словами, два пользователя могут иметь одинаковое право
создавать платёжные поручения, но только один из них сможет создавать платёжные
поручения больше некоторой суммы.
— Расширенный аудит, повышающий отслеживаемость
несанкционированных действий, как в реальном времени, так и пост-фактум. Это
достигается за счёт централизации контроля действий пользователя, а также более
подробного описания этих действий (вплоть до имени IT-администратора, выдавшего
данные права данному сотруднику). То есть осуществляется не только аудит
доступа (использования прав), но и аудит выдачи и изменения прав.
Далее мы рассмотрим данные инструменты более подробно, отдельно отмечая
влияние каждого инструмента и практики на снижение операционных рисков в
деятельности финансового института.
Аутентификация[ix]
Для доказательства своей личности пользователь использует один или несколько
аутентификаторов. Наиболее известный аутентификатор — это пароль. Также, это
может быть карта доступа, отпечаток пальца и многое другое. Всего в отрасли
активно исользуется более двадцати видов аутентификаторов.
Одним из важных элементов усиления системы аутентификации является так
называемая многофакторная аутентификация, позволяющая значительно снизить
вероятность прохождения аутентификации лицом, не являющимся настоящим
пользователем.
Многофакторной аутентификацией является одновременное использование
аутентификаторов из разных, групп аутентификаторов:
— то что пользователь знает (например, пароль,
пин-код)
— то чем пользователь владеет (например, банковская карта,
карта доступа)
— то что является неотемлемой характеристикой пользователя
(например, отпечаток пальца)
— то где пользователь находится (используя, например,
данные из СКУД[x])
|
Подходы к аутентификации |
Как это снижает риски? |
|
Многофакторная аутентификация. Например, пароль и карта, или пароль и отпечаток пальца. |
Увеличивает для злоумышленника сложность прохождения процедуры |
|
Сокращение количества аутентификаторов, которые необходимо знать/обладать Достигается путём применения SSO. Также стоит рассмотреть и вариант введения единой карты доступа, как для |
Снижает риск компрометации аутентификаторов. Например, пользователь может запомнить один пароль, или следить за |
|
Упрощение процедуры аутентификации для пользователя. Достигается с помощью SSO. Также, например, приложить палец к сканеру проще, чем ввести пароль. Кроме |
Упрощает для пользователя следование политикам безопасности. Снижает |
|
Быстрый отзыв и перевыпуск аутентификаторов в случае компрометации. |
Быстрое пресечение несанкционированного доступа. |
Система управления учетными
записями (IdM)
Сотрудник банка может иметь доступ одновременно к нескольким информационным
системам банка (приложения, базы данных, веб-сайты и т.д.). IdM позволяет с
помощью коннекторов к этим системам автоматически создавать и изменять учётные
записи в них из центральной консоли, а также изменять права пользователя в них.
Это минимизирует операционные риски следующим образом:
|
Что делает IdM? |
Как это снижает риски? |
|
Ускорение создания, изменения и удаления учётных записей пользователя, а |
Повышение степени соответствия между реальными правами пользователя и теми, |
|
Упрощение создания, изменения и удаления учётных записей пользователя, а |
Возможность более точной настройки прав пользователя. Уменьшение количества IT-сотрудников, имеющих права изменять права Возможность сотрудникам, например, из отдела кадров или отдела безопасности, |
|
Централизация создания, изменения и удаления учётных записей пользователя, а |
Повышение эффективности контроля за учётными записями, правами пользователей |
|
Быстрый отзыв прав пользователя вплоть до удаления его учётной записи. |
Быстрое пресечение несанкционированного действия. |
Если IdM централизирует и автоматизирует управления учётными записями и
правами пользователей, то SSO добавляет к этому централизацию доступа
пользователей ко всем информационным системам.
Таким образом доступ пользователей к приложениям проходит не напрямую
в конкретное приложение, а через агента SSO. Пользователь аутентифицируется
один раз в агенте SSO, после чего агент SSO сам аутентифицирует пользователя в
необходимых информационных системах. Причём пользователь знает только свой
аутентификатор в агенте SSO (например, пароль), но не знает свои пароли в
конкретных информационных системах, к которым он получает доступ через агента
SSO.
|
Что делает SSO? |
Как это снижает риски? |
|
Доступ к любой информационной системе проходит через сервер SSO и Дополнительная, аутентификация критичных действий пользователей в |
Повышает уровень контроля за действиями пользователей, как в реальном |
|
Централизация выдачи, отзыва и перевыпуска в случае компрометации |
Быстрое пресечение несанкционированного доступа. Быстрый перевыпуск аутентификаторов. |
|
Аутентификация проводится один раз. |
Пользователю достаточно безопасно хранить один аутентификатор. Например, |
|
Автоматическое, регулярное изменение паролей пользователя в целевых |
Гарантирует исполнение регламентов информационной безопасности в части |
|
Применение надежных методов шифрования аутентификационной информации, |
Обеспечивает защищенность хранимой информации. В случае использования PKI, |
|
Стандартизация процедуры аутентификации. |
Возможность поддержания единой корпоративной политики по отношению к Пользователь привыкает к единой стандартной процедуре аутентификации, и |
Инструменты из арсенала IAM, которые мы описали выше, значительно расширяют
возможности аудита, как действий пользователя, так и изменений его
прав.[xi]
Это в значительной степени упрощает осуществление контроля за соблюдением
принципов управления операционными рисками и выявлением факторов такого риска в
части организации работы информационных систем кредитных организаций.
В отдельных случаях, подробное журналирование действий пользователей
компонентами IAM может использоваться не только для целей аудита и
предотвращения возможных утечек информации, но и как доказательная база при
проведении расследований инцидентов связанных с инцидентами в области
информационной безопасности.
|
Инструмент IAM |
Как это расширяет аудит? |
|
Система по управлению учётными записями (IdM). |
Создание, изменение и удаление учётных записей пользователя, а также Также в нём регистрируется, кто и когда осуществлял создание, изменение и |
|
Единая точка доступа (SSO). |
Доступ к любой информационной системе проходит через сервер SSO и также |
|
Аутентификация. |
Интеграция со СКУД позволяет регистрировать в едином журнале дополнительный |
|
IAM в целом. |
Наличие центральной консоли и единого журнала позволяет сотрудникам, не |
Заключение
Как видно из детального рассмотрения инструментов и практик IAM,
выполненного нами выше, использование этих инструментов и практик, ключевыми из
которых являются:
— многофакторная и строгая аутентификациия
пользователей,
— использование единой точки доступа к информационным
системам,
— управления учетными данными пользователей,
в значительной степени снижают возможность несанкционированного доступа и
несанкционированных действий при использовании информационных систем, тем самым
повышают общий уровень информационной безопасности кредитной организации.
В связи с этим можно сделать вывод о том что:
— внедряя инструменты и практики IAM, финансовая
организация добивается значительного сокращения рисков возникновения
ущерба от инцидентов информационной безопасности;[xii]
— инструменты IAM являются важной частью инфраструктуры
обеспечивающей информационную безопасность современного банка.[xiii]
[xiv] [xv]
Перечисленные нами в обзоре инструменты IAM дополняют и усиливают друг
друга, и применение их в комплексе приносит наибольший положительный эффект.
Однако, практика внедрения и эксплуатации подобных систем показала, что путь
поэтапного внедрения является оптимальным.
Так же стоит отметить, что реализацию каждого этапа внедрения инструментов
IAM следует проводить имея выработанную стратегию действий, а одной из первых
задач является сокращение источников учетных записей пользователей используемых
организаций до минимума и аудит всех существующих учетных записей.
При подготовке обзора
использовались следующие документы:
«Рекомендации по организации управления операционным риском в кредитных
организациях» — Приложение к письму Банка России от 24 мая 2005 г. № 76-Т «Об
организации управления операционным риском в кредитных организациях».
Стандарт Банка России СТО БР ИББС-1.0-2010 «Обеспечение информационной
безопасности организаций банковской системы Российской Федерации. Общие
положения».
Sound Practices for the Management and Supervision of Operational Risk.
February 2003. Basel Committee on Banking Supervision.
Minimizing the Risk of Internal Fraud in Challenging Times. May 2009.
Datamonitor.
Magic Quadrant for Enterprise Single Sign-On. September 2009. Gregg
Kreizman. Gartner Research.
Identity Management Market Forecast 2007 To 2014. Andras Cser and Jonathan
Penn. February 2008. Forrester research.
Enterprise Single Sign-On: The Fast Lane To Identity And Access Management.
Andras Cser. November, 2010. Forrester research.
[i]
Информационный актив (в терминах СТО БР ИББС): Информация с реквизитами,
позволяющими ее идентифицировать; имеющая ценность для организации банковской
системы Российской Федерации; находящаяся в распоряжении организации
банковской системы Российской Федерации и представленная на любом
материальном носителе в пригодной для ее обработки, хранения или передачи
форме.
[ii]
Identity and Access Management
[iii]
Главной целью злоумышленника является получение контроля над информационными
активами на уровне бизнес процессов. Прямое нападение на уровне
бизнес–процессов, например, путем раскрытия конфиденциальной банковской
аналитической информации, более эффективно для злоумышленника и опаснее для
собственника, чем нападение, осуществляемое через нижние уровни, требующее
специфических опыта, знаний и ресурсов (в т.ч. временных) и поэтому менее
эффективное по соотношению “затраты / получаемый результат” (СТО БР ИББС,
пункт 6.4)
[iv]
Ущерб: Утрата активов, повреждение (утрата свойств) активов и (или)
инфраструктуры организации или другой вред активам и (или) инфраструктуре
организации банковской системы Российской Федерации, наступивший в
результате реализации угроз ИБ через уязвимости ИБ. (СТО БР ИББС, пункт
3.45.)
[v]
Система информационной безопасности (в терминах СТО БР ИББС): Совокупность
защитных мер, защитных средств и процессов их эксплуатации, включая ресурсное и
административное (организационное) обеспечение.
[vi]
Защитная мера: Сложившаяся практика, процедура или механизм, которые
используются для уменьшения риска нарушения ИБ организации банковской системы
Российской Федерации. (СТО БР ИББС, пункт 3.42.)
[vii]
Identity Management
[viii]
Single Sign-On
[ix]
Аутентификация (в терминах СТО БР ИББС): Проверка принадлежности субъекту
доступа предъявленного им идентификатора (подтверждение подлинности).
[x]
Система контроля и управления физическим доступом
[xi]
Должны быть документально определены и выполняться процедуры сбора и хранения
информации о действиях работников организации БС РФ, событиях и параметрах,
имеющих отношение к функционированию защитных мер. (СТО БР ИББС, пункт
8.12.3.)
[xii]
Инцидент информационной безопасности; инцидент ИБ (в терминах СТО БР ИББС):
Событие, указывающее на свершившуюся, предпринимаемую или вероятную реализацию
угрозы ИБ.
Угроза информационной безопасности; угроза ИБ (в
терминах СТО БР ИББС): Угроза нарушения свойств ИБ — доступности, целостности
или конфиденциальности информационных активов организации банковской системы
Российской Федерации.
[xiii]
В составе АБС должны применяться встроенные защитные меры, а также
рекомендуются к использованию сертифицированные или разрешенные руководством
организации БС РФ к применению средства защиты информации от НСД и НРД. (СТО БР
ИББС, пункт 7.4.2.)
[xiv]
В организации БС РФ должны быть документально определены и утверждены
руководством, выполняться и контролироваться процедуры идентификации,
аутентификации, авторизации; управления доступом; контроля целостности;
регистрации событий и действий. (СТО БР ИББС, пункт 7.4.3.)
[xv] В
организации БС РФ должны применяться защитные меры, направленные на обеспечение
защиты от НСД и НРД, повреждения или нарушения целостности информации,
необходимой для регистрации, идентификации, аутентификации и (или) авторизации
клиентов и работников организации БС РФ. Все попытки НСД и НРД к такой
информации должны регистрироваться. При увольнении или изменении должностных
обязанностей работников организации БС РФ, имевших доступ к указанной
информации, необходимо выполнить документированные процедуры соответствующего
пересмотра прав доступа. (СТО БР ИББС, пункт 7.4.11.)
