Реферат: Проблемы информационной безопасности банков

Проблема состоит в том, что даже весьма опыт­ные работники кадровых подразделений не всегда мо­гут правильно, достоверно и быстро оценить подлин­ное психическое состояние лиц, пришедших на собеседо­вание. Этому способствуют повышенное волнение, склонность отдельных кандидатов к предвзятым оцен­кам характера деятельности некоторых коммерческих структур, но особенно широкое и зачастую бесконт­рольное самолечение различных психосоматических расстройств с использованием в ряде случаев весьма сильных психотропных препаратов. В этой связи веду­щие московские коммерческие банки требуют от кан­дидатов предоставления справок о состоянии здоровья либо сами выдают направления в определенные поликлиники с рекомендацией прохождения полной диспан­серизации (за счет кандидата).

С точки зрения обеспечения страте­гических интересов коммерческой структуры являются обязательными следующие функции службы безопас­ности:

- определение степени вероятности формирования у кандидата преступных наклонностей в случаях воз­никновения в его окружении определенных благопри­ятных обстоятельств (персональное распоряжение кре­дитно-финансовыми ресурсами, возможность контро­ля за движением наличных средств и ценных бумаг, доступ к материально-техническим ценностям, работа с конфиденциальной информацией и пр.);

- выявление имевших место ранее преступных на­клонностей, судимостей, связей с криминальной сре­дой (преступное прошлое, наличие конкретных суди­мостей, случаи афер, махинаций, мошенничества, хи­щений на предыдущем месте работы кандидата и уста­новление либо обоснованное суждение о его возмож­ной причастности к этим преступным деяниям).

Для добывания подобной информации использу­ются возможности различных подразделений банковских структур, в первую очередь службы безопасности, отдела кадров, юридического отдела, под­разделений медицинского обеспечения, а также не­которых сторонних организаций, например, детек­тивных агентств, бюро по занятости населения, диспансеров и пр.

Очевидно также, что представители банковских структур должны быть абсолютно уверены в том, что проводят тесты, собеседования и встречи именно с те­ми лицами, которые выступают в качестве кандидатов на работу. Это подразумевает тщательную проверку паспортных данных, иных документов, а также получе­ние фотографий кандидатов без очков, контактных линз, парика, макияжа.

Рекомендуется настаивать на получении набора цветных фотографий кандидата, которые могут быть использованы в случае необходимости для предъявле­ния жильцам по месту его проживания или коллегам по работе. Использование в кадровой работе цветных фотографий, соответствующих паспортным данным, предпочтительнее также в связи с тем, что они четко и без искажений передают цвет волос, глаз, кожи, возраст и характерные приметы кандидата.

В практике уже известны случаи, когда для допол­нительного анализа анкеты кандидата и его фотогра­фий руководители банковских структур приглашали высокопрофессиональных юристов, графологов, из­вестных психоаналитиков с целью обеспечения максимальной полноты формулировок окончательного заключения и выявления возможных скрытых противоречий в характере проверяемого лица.

В том случае, если результаты указанных проверок, тестов и психологического изучения не противоречат друг другу и не содержат данных, которые бы препят­ствовали приему на работу данного кандидата, с ним заключается трудовое соглашение, в большинстве слу­чаев предусматривающее определенный испытатель­ный срок (1-3 месяца).

Необходимо также подчеркнуть следующее важное обстоятельство - лица, принима­емые на ответственные вакантные должности в ком­мерческих структурах (члены правлений, главные бух­галтеры, консультанты, начальники служб безопасно­сти и охраны, руководители компьютерных центров и цехов, помощники и секретари первых лиц) сегодня подвергаются, как правило, следующей стандартной проверке, включающей:

·    достаточно продолжительные процедуры сбора и верификации установочно-биографических сведений с их последующей аналитической обработкой;

·    предоставление рекомендательных писем от извест­ных предпринимательских структур с их последующей проверкой;

·    проверки по учетам правоохранительных органов; установки по месту жительства и по предыдущим местам работы;

·    серии собеседований и тестов с последующей пси­хоаналитической обработкой результатов.

По мнению экспертов, даже каждый, взятый в от­дельности из упомянутых методов проверки доста­точно эффективен. В совокупности же достигается весьма высокая степень достоверности информации о профессиональной пригодности и надежности ка­ндидата, его способностях к творческой работе на конкретном участке в соответствующем коммерческом предприятии.

Серьезное влияние на вопросы безопасности ком­мерческих предприятий оказывают процедуры уволь­нения сотрудников. К сожалению, отдельных руково­дителей порой мало интересуют чувства и пережива­ния персонала, который по тем или иным причинам попадает под сокращение или самостоятельно изъяв­ляет желание покинуть банк или акционерное обще­ство. Как показывает опыт, такой подход приводит, как правило, к серьезным негативным последствиям.

Современные психологические подходы к процессу увольнения позволяют выработать следующую при­нципиальную рекомендацию: каковы бы ни были причи­ны увольнения сотрудника, он должен покидать коммер­ческую организацию без чувства обиды, раздражения и мести.

Только в этом случае можно надеяться на то, что увольняемый сотрудник не предпримет необдуманных шагов и не проинформирует правоохранительные ор­ганы, налоговую инспекцию, конкурентов, криминаль­ные структуры об известных ему аспектах работы банка. Кроме того, известны случаи мести бывших сотрудников с использованием компьютерного проникновения.

Таким образом, представители кадровых подраз­делений и служб безопасности должны быть четко ориентированы на выяснение истинных мотивов уво­льнения всех категорий сотрудников. Зачастую причи­ны, на которые ссылается сотрудник при увольнении, и подлинные мотивы, побудившие его к такому шагу, существенно отличаются друг от друга. Обычно лож­ный защитный мотив используется потому, что со­трудник в силу прежних привычек и традиций опасает­ся неправильной интерпретации своих действий со сто­роны руководителей и коллег по работе.

Наряду с этим весьма часто имеют место случаи, когда сотрудник внутренне сам уверен в том, что увольняется по откровенно называемой им причине, хотя его решение сформировано и принято под влия­нием совершенно иных, порой скрытых от него обсто­ятельств. Так, в практике уже известны случаи весьма тонких и тайных комбинаций оказания влияния на высококвалифицированных специалистов с целью их переманивания на другое место работы.

В этой связи принципиальная задача состоит в том, чтобы определить истинную причину увольнения со­трудника, попытаться правильно ее оценить и решить, целесообразно ли в данной ситуации предпринимать попытки к искусственному удержанию данного лица в коллективе либо отработать и реализовать процеду­ру его спокойного и бесконфликтного увольнения. Ре­шение рекомендуется принимать на основе строго объективных данных в отношении каждого конкрет­ного сотрудника.

При поступлении устного или письменного заявле­ния об увольнении рекомендуется во всех без исключе­ниях случаях провести с сотрудником беседу с участи­ем представителя кадрового подразделения и кого-ли­бо из руководителей коммерческой структуры. Однако до беседы целесообразно предпринять меры по сбору следующей информации об увольняющемся сотруднике:

- характер его взаимоотношений с коллегами в кол­лективе; отношение к работе; уровень профессиональной подготовки; наличие конфликтов личного или служебного хара­ктера;

- ранее имевшие место высказывания или пожелания перейти на другое место работы;

- доступ к информации, в том числе составляющей коммерческую тайну;

- вероятный период устаревания сведений, составля­ющих коммерческую тайну для данного предприятия; предполагаемое в будущем место работы увольня­ющегося (увольняемого) сотрудника.

Беседа при увольнении проводится лишь только после того, когда собраны все необходимые сведения. Конечно, предварительно руководитель коммерческой структуры отрабатывает принципиальный подход к вопросу о том, целесообразно ли предпринимать попытки склонить сотрудника изменить его первона­чальное решение либо санкционировать оформление его увольнения. В любом случае рекомендуется дать собеседнику высказаться и в развернутой форме объяс­нить мотивы своего решения. При выборе места про­ведения беседы предпочтение отдается, как правило, служебным помещениям.

В зависимости от предполагаемого результата беседа может проводиться в официальном тоне либо иметь форму доверительной беседы, задушевного разговора, обмена мнениями. Однако каковы бы ни были планы в отношении данного сотрудника, раз­говор с ним должен быть построен таким образом, чтобы последний ни в коей мере не испытывал чувства униженности, обиды, оскорбленного достоинства. Для этого следует сохранять тон беседы предельно кор­ректным, тактичным и доброжелательным, даже не­смотря на любые критические и несправедливые заме­чания, которые могут быть высказаны сотрудником в адрес банковской структуры и ее конкретных менеджеров.

Если менеджером банка, отделом кадров и службой безопасности все же принято решение не препятствовать увольнению сотрудника, а по своему служебному положению он располагал доступом к конфиденциальной информации, то в этом случае от­рабатывается несколько вариантов сохранения в тайне коммерческих сведений (оформление официальной подписи о неразглашении данных, составляющих ком­мерческую тайну, либо устная «джентльменская» до­говоренность о сохранении увольняемым сотрудником лояльности к «своему банку или фирме»).

В этой связи необходимо подчеркнуть, что личное обращение к чувству чести и достоинства увольняемых лиц наиболее эффективно в отношении тех индивиду­умов, которые обладают темпераментом сангвиника и флегматика, высоко оценивающих, как правило, до­верие и доброжелательность.

Что касается лиц с темпераментом холерика, то с этой категорией сотрудников рекомендуется завер­шать беседу на официальной ноте. В ряде случаев объявление им принятого решения об увольнении вы­зывает бурную негативную реакцию, связанную с по­пытками спекулировать на своих истинных, а порой и мнимых профессиональных достоинствах. Поэтому с сотрудниками такого темперамента и склада харак­тера целесообразно тщательно оговаривать и обуслов­ливать в документах возможности наступления для них юридических последствий раскрытия коммерчес­кой тайны.

Несколько иначе рекомендуется действовать в тех случаях, когда увольнения сотрудников происходят по инициативе самих коммерческих структур. В этих об­стоятельствах не следует поспешно реализовывать принятое решение. Если увольняемое лицо располага­ет какими-либо сведениями, составляющими коммерческую тайну, то целесообразно предварительно и под соответствующим предлогом перевести его на другой участок работы, например в такое подразделение, в ко­тором отсутствует подобная информация.

Кроме того, таких лиц традиционно стремятся со­хранить в структуре банка или фирмы (их дочерних предприятий, филиалов) до тех пор, пока не будут приняты меры к снижению возможного ущерба от разглашения ими сведений, составляющих коммерчес­кую тайну, либо найдены адекватные средства защиты конфиденциальных данных (технические, администра­тивные, патентные, юридические, финансовые и пр.).

Только лишь после реализации этих мер рекомен­дуется приглашать на собеседование подлежащего уво­льнению сотрудника и объявлять конкретные причи­ны, по которым коммерческая организация отказыва­ется от его услуг. Желательно при этом, чтобы эти причины содержали элементы объективности, достове­рности и проверяемости (перепрофилирование произ­водства, сокращение персонала, ухудшение финансово­го положения, отсутствие заказчиков и пр.). При моти­вации увольнения целесообразно, как правило, воздер­живаться от ссылок на негативные деловые и личные качества данного сотрудника.

После объявления об увольнении рекомендуется внимательно выслушивать контрдоводы, аргументы и замечания сотрудника в отношении характера рабо­ты, стиля руководства компанией и т. п. Обычно уво­льняемый персонал весьма критично, остро и правдиво освещает ситуацию в коммерческих структурах, вскры­вая уязвимые места, серьезные недоработки, кадровые просчеты, финансовые неурядицы и т. п.

Если подходить не предвзято и объективно к подо­бной критике, то эти соображения могут быть исполь­зованы в дальнейшем весьма эффективно в интересах самого банка. В ряде случаев увольняемому со­труднику вполне серьезно предлагают даже изложить письменно свои рекомендации, конечно, за соответст­вующее вознаграждение.

При окончательном расчете обычно рекомендуется независимо от личностных характеристик увольняемых сотрудников брать у них подписку о неразглашении конфиденциальных сведений, ставших известными в процессе работ.

В любом случае после увольнения сотрудников, осведомленных о сведениях, составляющих коммер­ческую тайну, целесообразно через возможности служ­бы безопасности банка или фирмы (частного детектив­ного агентства) проводить оперативную установку по их новому месту работы и моделировать возможности утечки конфиденциальных данных.

Кроме того, в наиболее острых и конфликтных ситуациях увольнения персонала проводятся оператив­ные и профилактические мероприятия по новому месту работы, жительства; также в окружении носителей коммерческих секретов.

Персонал оказывает су­щественное, а в большинстве случаев даже решающее влияние на информационную безопасность банка. В этой связи подбор кадров, их изучение, рас­становка и квалифицированная работа при увольнени­ях в значительной степени повышают устойчивость коммерческих предприятий к возможному стороннему негативному влиянию и агентурному проникновению противоправных элементов.

Регулярное изучение всех категорий персонала, по­нимание объективных потребностей сотрудников, их ведущих интересов, подлинных мотивов поведения и выбор соответствующих методов объединения от­дельных индивидуумов в работоспособный коллек­тив — все это позволяет руководителям в итоге ре­шать сложные производственные и коммерческо-финансовые задачи, в том числе связанные с обеспечением экономической безопасности.

Обобщая основные рекомендации, представляется, что программа работы с персоналом в коммерческой структуре могла бы быть сформулирована следующим образом:

- добывание в рамках действующего российского за­конодательства максимального объема сведений о ка­ндидатах на работу, тщательная проверка представ­ленных документов как через официальные, так и опе­ративные возможности, в том числе службы безопас­ности банка или частного детективного агент­ства, системность в анализе информации, собранной на соответствующие кандидатуры;

- проведение комплекса проверочных мероприятий в отношении кандидатов на работу, их родственников, бывших сослуживцев, ближайшего окружения в тех случаях, когда рассматривается вопрос об их приеме на руководящие должности или допуске к информа­ции, составляющей коммерческую тайну;

- использование современных методов, в частности собеседований и тестирований, для создания психоло­гического портрета кандидатов на работу, который бы позволял уверенно судить об основных чертах харак­тера и прогнозировать их вероятные действия в раз­личных экстремальных ситуациях;

- оценка с использованием современных психологи­ческих методов разноплановых и разнопорядковых фа­кторов, возможно препятствующих приему кандида­тов на работу или их использованию на конкретных должностях;

- определение для кандидатов на работу в коммер­ческих структурах некоторого испытательного срока с целью дальнейшей проверки и выявления деловых и личных качеств, иных факторов, которые бы могли препятствовать зачислению на должность;

- введение в практику регулярных и неожиданных комплексных проверок персонала, в том числе через возможности служб безопасности;

- обучение сотрудников кадровых подразделений и служб безопасности современным психологическим подходам к работе с персоналом, социальным, психо­аналитическим, этико-моральным методам, навыкам использования современных технических средств для фиксирования результатов интервью и собеседований, приемам проведения целевых бесед «втемную» и про­цедурам информационно-аналитической работы с до­кументами кандидатов;

- выделение из числа первых руководителей ком­мерческих структур куратора кадровой работы для осуществления контроля за деятельностью кадровых подразделений и служб безопасности при работе с пе­рсоналом.

Можно сделать определенный вывод о том, что российские предприниматели во все возрастающей степени меняют свое отношение к «человеческому фак­тору», ставят на вооружение своих кадровых подраз­делений и служб безопасности современные методы работы с персоналом. Очевидно, что дальнейшее раз­витие в этой области связано с активным использова­нием значительного потенциала методов психоанали­за, психологии и этики управления, конфликтологии и ряда других наук и более полного интегрирования соответствующих специалистов в коммерческие пред­приятия.

Угрозы безопасности автоматизированных систем.

Не будет преувеличением сказать, что проблема умышленных нарушений функционирования АСОИБ различного назначения в настоящее время является одной из самых актуальных. Наиболее справедливо это утверждение для стран с сильно развитой информационной инфраструктурой, о чем убедительно свидетельствуют приводимые ниже цифры.

По данным, приведенным в [2], в 1992 году ущерб от компьютерных преступлений составил $555 млн., 930 лет рабочего времени и 15.3 года машинного времени. По другим данным ущерб финансовых организаций составляет от $173 млн. до $41 млрд. в год [3].

В настоящей главе приводится классификация умышленных угроз безопасности АСОИБ и их краткое описание. Классификация не является исчерпывающей. Она предназначена для того, чтобы выделить основные типы угроз и методы защиты от них.

Современная АСОИБ — сложный механизм, состоящий из большого количества компонентов различной степени автономности, связанных между собой и обменивающихся данными. Практически каждый из них может выйти из строя или подвергнуться внешнему воздействию.

Под угрозой безопасности понимается потенциально возможное воздействие на АСОИ, которое может прямо или косвенно нанести урон пользователям или владельцам АСОИБ.

Приводимая ниже классификация охватывает только умышленные угрозы безопасности АСОИБ, оставляя в стороне такие воздействия как стихийные бедствия, сбои и отказы оборудования и др. Реализацию угрозы в дальнейшем будем называть атакой.

Угрозы безопасности АСОИБ можно классифицировать по следующим признакам [3]:

1. По цели реализации угрозы. Реализация той или иной угрозы безопасности АСОИБ может преследовать следующие цели:

- нарушение конфиденциальности информации. Информация, хранимая и обрабатываемая в АСОИБ, может иметь большую ценность для ее владельца. Ее использование другими лицами наносит значительный ущерб интересам владельца;

- нарушение целостности информации. Потеря целостности информации (полная или частичная, компрометация, дезинформация) -угроза близкая к ее раскрытию. Ценная информация может быть утрачена или обесценена путем ее несанкционированного удаления или модификации. Ущерб от таких действий может быть много больше, чем при нарушении конфиденциальности,

- нарушение (частичное или полное) работоспособности АСОИБ (нарушение доступности). Вывод из строя или некорректное изменение режимов работы компонентов АСОИБ, их модификация или подмена могут привести к получению неверных результатов, отказу АСОИБ от потока информации или отказам при обслуживании. Отказ от потока информации означает непризнание одной из взаимодействующих сторон факта передачи или приема сообщений. Имея в виду, что такие сообщения могут содержать важные донесения, заказы, финансовые согласования и т.п., ущерб в этом случае может быть весьма значительным. Так как диапазон услуг, предоставляемых современными АСОИБ, весьма широк, отказ в обслуживании может существенно повлиять на работу пользователя.

2. По принципу воздействия на АСОИБ:

- с использованием доступа субъекта системы (пользователя, процесса) к объекту (файлу данных, каналу связи и т.д.);

- с использованием скрытых каналов.

Под доступом понимается взаимодействие между субъектом и объектом (выполнение первым некоторой операции над вторым), приводящее к возникновению информационного потока от второго к первому.

Под скрытым каналом (covert channel) понимается путь передачи информации, позволяющий двум взаимодействующим процессам обмениваться информацией таким способом, который нарушает системную политику безопасности. Скрытые каналы бывают двух видов:

а. Скрытые каналы с памятью (covert storage channel), позволяющие осуществлять чтение или запись информации другого процесса непосредственно или с помощью промежуточных объектов для хранения информации (временной памяти);

б. Скрытые временные каналы (covert timing channel), при которых один процесс может получать информацию о действиях другого, используя интервалы между какими-либо событиями (например, анализ временного интервала между запросом на ввод-вывод и сообщением об окончании операции позволяет судить о размере вводимой или выводимой информации).

Коренное различие в получении информации с помощью доступа и с помощью скрытых каналов заключается в том, что в первом случае осуществляется взаимодействие субъекта и объекта АСОИБ и, следовательно, изменяется ее состояние. Во втором случае используются лишь побочные эффекты от взаимодействия двух субъектов АСОИБ, что не оказывает влияния на состояние системы.

Отсюда следует, что воздействие, основанное на первом принципе, проще, более информативнее, но от него легче защититься. Воздействие на основе второго принципа отличается трудностью организации, меньшей информативностью и сложностью обнаружения и устранения.

3. По характеру воздействия на АСОИБ. По этому критерию различают активное и пассивное воздействие.

Активное воздействие всегда связано с выполнением пользователем каких-либо действий, выходящих за рамки его обязанностей и нарушающих существующую политику безопасности. Это может быть доступ к определенным наборам данных, программам, вскрытие пароля и т.д. Активное воздействие ведет к изменению состояния системы и может осуществляться либо с использованием доступа (например, к наборам данных), либо как с использованием доступа, так и с использованием скрытых каналов.

Пассивное воздействие осуществляется путем наблюдения пользователем каких-либо побочных эффектов (от работы программы, например) и их анализе. На основе такого рода анализа можно иногда получить довольно интересную информацию. Примером пассивного воздействия может служить прослушивание линии связи между двумя узлами сети. Пассивное воздействие всегда связано только с нарушением конфиденциальности информации в АСОИБ, так как при нем никаких действий с объектами и субъектами не производится. Пассивное воздействие не ведет к изменению состояния системы.

4. По причине появления используемой ошибки защиты.

Реализация любой угрозы возможна только в том случае, если в данной конкретной системе есть какая-либо ошибка или брешь защиты.

Такая ошибка может быть обусловлена одной из следующих причин:

а. Неадекватностью политики безопасности реальной АСОИБ. Это означает, что разработанная для данной АСОИБ политика безопасности настолько не отражает реальные аспекты обработки информации, что становится возможным использование этого несоответствия для выполнения несанкционированных действий. Все системы в той или иной степени имеют несоответствия подобного рода (модель никогда не может точно соответствовать реальной системе), но в одних случаях это не может привести к нарушениям, а в других — может. С другой стороны такие действия нельзя назвать несанкционированными, поскольку защита от них не предусмотрена политикой безопасности и система защиты в принципе не способна их предотвратить. Если такое несоответствие является опасным, то необходимо разработать новую политику безопасности, в которой оно будет не столь явным и сменить средства защиты для реализации новой политики безопасности.

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14