На світовому ринку існує маса готових БС. Основною задачею, що стоїть перед службою автоматизації західного банку, є вибір оптимального рішення і підтримка працездатності вибраної системи. У нашій країні ситуація декілька інша. В умовах стрімкого виникнення нової для України банківської сфери питанням автоматизації спочатку надавалося недосить уваги. Більшість банків пішла по шляху створення власних систем. Такий підхід має свої достоїнства і недоліки. До перших слід віднести: відсутність необхідності у великих фінансових вкладеннях в покупку БС, пристосованість БС до умов експлуатації (зокрема до існуючих ліній зв'язку), можливість безперервної модернізації системи. Недоліки такого підходу очевидні: необхідність в змісті цілого комп'ютерного штату, несумісність різних систем, неминуче відставання від сучасних тенденцій і багато що інше. Найбільш популярні сьогодні змішані рішення, при яких частина модулів БС розробляється комп'ютерним відділом банку, а частина купується у незалежних виробників.
Характерний перехід на комп'ютерні платформи, які працюють по моделі "клієнт-сервер" дають змогу створити фінансово-економічні інформаційні системи
Фінансово-економічна інформаційна система (ФЕІС) - це інформаційна система, що використовується для вирішення завдань обміну економічною інформацією. Вона дає змогу отримувати та надсилати інформацію будь-якого характеру. Взагалі, таке поняття є дуже широким, тому для його розуміння потрібно розглянути основні функції, що можуть виконувати фінансово-економічні інформаційні системи:
· Трансфертні платежі;
· Організація та участь на ринку економічної інформації;
· Забезпечення інформаційної безпеки для кінцевих користувачів;
· Забезпечення безпеки всієї інфраструктури інформаційної системи;
· Організація електронної торгівлі;
· Електронна пошта з підвищеним рівнем захисту;
· Перевірка та ідентифікація фінансових документів;
· Здійснення клірингових платежів по міжбанківським рахункам;
· Фінансовий контроль над іншими організаціями.
Дослідження й аналіз численних випадків впливів на інформацію й несанкціонований доступ до неї показують, що їх можна розділити на випадкові й навмисні.
Для створення засобів захисту інформації необхідно визначити природу погроз, форми й шляхи їхнього можливого прояву й здійснення в автоматизованій системі. Для рішення поставленого завдання все різноманіття погроз і шляхів їхнього впливу приведемо до найпростіших видів і форм, які були б адекватні їхній безлічі в автоматизованій системі.
Дослідження досвіду проектування, виготовлення, випробувань і експлуатації автоматизованих систем говорять про те, що інформація в процесі уведення, зберігання, обробки, уведення й передачі піддається різним випадковим впливам.
Причинами таких впливів можуть бути:
· Відмови й збої апаратури
· Перешкоди на лінії зв'язку від впливів зовнішнього середовища
· Помилки людини як ланки системи
· Системні й системотехнічні помилки розроблювачів
· Структурні, алгоритмічні й програмні помилки
· Аварійні ситуації
· Інші впливи.
Частота відмов і збоїв апаратури збільшується при виборі й проектуванні системи, слабкої відносно надійності функціонування апаратури. Перешкоди на лінії зв'язку залежать від правильності вибору місця розміщення технічних засобів АСУ відносно один одного й стосовно апаратури сусідніх систем.
До помилок людини як ланки системи варто відносити помилки людини як джерела інформації, людини-оператора, неправильні дії обслуговуючого персоналу й помилки людини як ланки, що приймає рішення.
Помилки людини можуть підрозділятися на логічні (неправильно ухвалені рішення), сенсорні (неправильне сприйняття оператором інформації) і оперативні, або моторні (неправильна реалізація рішення). Інтенсивність помилок людини може коливатися в широких межах: від 1-2% до 15-40% і вище загального числа операцій при рішеннях завдання.
До погроз випадкового характеру варто віднести аварійні ситуації, які можуть виникнути на об'єкті розміщення автоматизованої системи. До аварійних ситуацій ставляться:
· Відмова від функціонування САУ в цілому, наприклад вихід з ладу електроживлення
· Стихійні лиха: пожежа, повінь, землетрус, урагани, удари блискавки й т.д.
Імовірність цих подій зв'язана насамперед із правильним вибором місця розміщення АСУ, включаючи географічне положення.
Навмисні погрози пов'язані з діями людини, причинами яких можуть бути певне невдоволення своєю життєвою ситуацією, сугубо матеріальний інтерес або простої розвага із самоствердженням своїх здатностей, як у хакерів, і т.д.
Для обчислювальних систем характерні наступні штатні канали доступу до інформації:
· Термінали користувачів
· Термінал адміністратора системи
· Термінал оператора функціонального контролю
· Засоби відображення інформації
· Засоби завантаження програмного забезпечення
· Засоби документування інформації
· Носії інформації
· Зовнішні канали зв'язку.
Маючи на увазі, що при відсутності захисту порушник може скористатися як штатними, так і іншими фізичними каналами доступу, назвемо можливі канали несанкціонованого доступу (ВКНСД) в обчислювальній системі, через які можливо одержати доступ до апаратури, ПО й здійснити розкрадання, руйнування, модифікацію інформації й ознайомлення з нею:
· Всі перераховані штатні засоби при їхньому використанні законними користувачами не по призначенню й за межами своїх повноважень
· Всі перераховані штатні засоби при їхньому використанні сторонніми особами
· Технологічні пульти керування
· Внутрішній монтаж апаратури
· Лінії зв'язку між апаратними засобами даної обчислювальної системи
· Побічне електромагнітне випромінювання апаратури системи
· Побічні наведення по мережі електроживлення й заземлення апаратури
· Побічні наведення на допоміжних і сторонніх комунікаціях
· Відходи обробки інформації у вигляді паперових і магнітних носіїв.
Очевидно, що при відсутності законного користувача, контролю й розмежування доступу до термінала кваліфікований порушник легко скористається його функціональними можливостями для несанкціонованого доступу до інформації шляхом уведення відповідних запитів і команд. При наявності вільного доступу в приміщення можна візуально спостерігати інформацію на засобах відображення й документування, а на останні викрасти паперовий носій, зняти зайву копію, а також викрасти інші носії з інформацією: лістинги, магнітні стрічки, диски й т.д.
Особливу небезпеку являє собою безконтрольне завантаження програмного забезпечення в ЕОМ, у якій можуть бути змінені дані, алгоритми або уведений програма “троянський кінь”, що виконує додаткові незаконні дії: запис інформації на сторонній носій, передачу в канали зв'язку іншого абонента обчислювальної мережі, внесення в систему комп'ютерного вірусу й т.д.
Небезпечної є ситуація, коли порушником є користувач системи, що по своїх функціональних обов'язках має законний доступ до однієї частини інформації, а звертається до іншої за межами своїх повноважень.
З боку законного користувача існує багато способів порушити роботу обчислювальної системи, зловживати нею, витягати, модифікувати або знищувати інформацію. Вільний доступ дозволить йому звертатися до чужих файлів і банок даних і змінювати їх випадково або навмисно.
При технічному обслуговуванні (профілактиці й ремонті) апаратури можуть бути виявлені залишки інформації на магнітній стрічці, поверхнях дисків і інших носіїв інформації. Звичайне стирання інформації не завжди ефективно. Її залишки можуть бути легко прочитані. При транспортуванні носія по неохоронюваній території існує небезпека його перехоплення й наступного ознайомлення сторонніх осіб із секретною інформацією.
Не має змісту створення системи контролю й розмежування доступу до інформації на програмному рівні, якщо не контролюється доступ до пульта керування ЕОМ, внутрішньому монтажу апаратури, кабельним з'єднанням.
Спрацьовування логічних елементів обумовлено високочастотною зміною рівнів напруг і струмів, що приводить до виникнення в ефірі, ланцюгах харчування й заземлення, а також у паралельно розташованих ланцюгах і індуктивностях сторонньої апаратури, електромагнітних полів і наведень, що несуть в амплітуді, фазі й частоті своїх коливань ознаки оброблюваної інформації. Зі зменшенням відстані між приймачем порушника й апаратних засобів імовірність прийому сигналів такого роду збільшується.
За останнім часом у різних країнах проведена велика кількість дослідницьких робіт з метою виявлення потенційних каналів несанкціонованого доступу до інформації в обчислювальних мережах. При цьому розглядаються не тільки можливості порушника, що получили законний доступ до мережного встаткування, але й впливу, обумовлені помилками програмного забезпечення або властивостями використовуваних мережних протоколів. Незважаючи на те, що вивчення каналів НСД триває дотепер, уже на початку 80-их років були сформульовані п'ять основних категорій погроз безпеки даних в обчислювальних мережах:
1. Розкриття змісту переданих повідомлень
2. Аналіз трафіку, що дозволяє визначити приналежність відправника й одержувача даних до однієї із груп користувачів мережі, зв'язаних загальним завданням
3. Зміна потоку повідомлень, що може привести до порушення режиму роботи якого-небудь об'єкта, керованого з вилученої ЕОМ