Система забезпечення безпеки інформаційних ресурсів повинна передбачати комплекс організаційних, технічних, програмних і криптографічних засобів і заходів по захисту інформації в процесі традиційного документообігу при роботі виконавців з конфіденційними документами і відомостями, при обробці інформації в автоматизованих системах різного рівня і призначення, при передачі по каналах зв'язку, при веденні конфіденційних переговорів.

При цьому основними напрямами реалізації технічної політики забезпечення інформаційної безпеки в цих сферах діяльності є:

захист інформаційних ресурсів від розкрадання, втрати, знищення, розголошування, витоку, спотворення і підробки за рахунок несанкціонованого доступу (НСД) і спеціальних дій;

захист інформації від витоку унаслідок наявності фізичних полів за рахунок акустичних і побічних електромагнітних випромінювань і наведень (ПЕМІН) на електричні цілі, трубопроводи і конструкції будівель.

В рамках вказаних напрямів технічної політики забезпечення інформаційної безпеки необхідна:

· реалізація дозвільної системи допуску виконавців (користувачів) до робіт, документів і інформації конфіденційного характеру;

· обмеження доступу виконавців і сторонніх осіб в будівлі, приміщення, де проводяться роботи конфіденційного характеру, у тому числі на об'єкти інформатики, на яких обробляється (зберігається) інформація конфіденційного характеру;

· розмежування доступу користувачів до даних автоматизованих систем різного рівня і призначення;

· облік документів, інформаційних масивів, реєстрація дій користувачів інформаційних систем, контроль за несанкціонованим доступом і діями користувачів;

· криптографічне перетворення інформації, оброблюваної і передаваної засобами обчислювальної техніки і зв'язку;

· зниження рівня і інформативності ПЕМІН, що створюються різними елементами технічних засобів забезпечення виробничої діяльності і автоматизованих інформаційних систем;

· зниження рівня акустичних випромінювань;

· електрична розв'язка ланцюгів живлення, заземлення і інших ланцюгів технічних засобів, що виходять за межі контрольованої території;

· активне зашумление в різних діапазонах;

· протидія оптичним і лазерним засобам спостереження;

· перевірка технічних засобів і об'єктів інформатизації на предмет виявлення включених в них заставних пристроїв;

· запобігання впровадженню в автоматизовані інформаційні системи програм вірусного характеру.

Захист інформаційних ресурсів від несанкціонованого доступу повинен передбачати:

· обгрунтованість доступу, коли виконавець (користувач) повинен мати відповідну форму допуску для ознайомлення з документацією (інформацією) певного рівня конфіденційності і йому необхідне ознайомлення з даною інформацією або необхідні дії з нею для виконання виробничих функцій;

· персональну відповідальність, що полягає в тому, що виконавець (користувач) повинен нести відповідальність за збереження довірених йому документів (носіїв інформації, інформаційних масивів), за свої дії в інформаційних системах;

· надійність зберігання, коли документи (носії інформації, інформаційні масиви) зберігаються в умовах, що виключають несанкціоноване ознайомлення з ними, їх знищення, підробку або спотворення;

· розмежування інформації по рівню конфіденційності, що полягає в попередженні свідчення відомостей більш високого рівня конфіденційності в документах (носіях інформації, інформаційних масивах) з нижчим рівнем конфіденційності, а також попередження передачі конфіденційної інформації по незахищених лініях зв'язку;

· контроль за діями виконавців (користувачів) з документацією і відомостями, а також в автоматизованих системах і системах зв'язку;

· очищення (обнулення, виключення інформативності) оперативної пам'яті, буферів при звільненні користувачем до перерозподілу цих ресурсів між іншими користувачами;

· цілісність технічного і програмного середовища, оброблюваної інформації і засобів захисту, що полягає у фізичному збереженні засобів інформатизації, незмінності програмного середовища, визначуваною передбаченою технологією обробки інформації, виконанні засобами захисту передбачених функцій, ізольованості засобів захисту від користувачів.

Вимога обгрунтованості доступу реалізується в рамках дозвільної системи допуску до робіт, документів і відомостей, в якій встановлюється: хто, кому, відповідно до яких повноважень, які документи і відомості (носії інформації, інформаційні масиви) для яких дій або для якого вигляду доступу може надати і за яких умов, і яка передбачає визначення для всіх користувачів автоматизованих систем інформаційних і програмних ресурсів, доступних їм для конкретних операцій (читання, запис, модифікація, видалення, виконання) за допомогою заданих програмно-технічних засобів доступу.

Положення про персональну відповідальність реалізується з допомогою:

· розписі виконавців в журналах, картках обліку, інших дозвільних документах, а також на самих документах;

· індивідуальної ідентифікації користувачів і ініційованих ними процесів в автоматизованих системах;

· перевірки достовірності (аутентифікації) виконавців (користувачів) на основі використання паролів, ключів, магнітних карт, цифрового підпису, а також біометричних характеристик особи як при доступі в автоматизовані системи, так і у виділені приміщення (зони).

Умова надійності зберігання реалізується з допомогою:

· сховищ конфіденційних документів, обладнаних технічними засобами охорони відповідно до встановлених вимог, доступ в яких обмежений і здійснюється в установленому порядку;

· виділення приміщень, в яких вирішується робота з конфіденційною документацією, обладнаних сейфами і металевими шафами, а також обмеження доступу в ці приміщення;

· використання криптографічного перетворення інформації в автоматизованих системах.

Правило розмежування інформації по рівню конфіденційною реалізується з допомогою:

· заздалегідь врахованих зошитів для ведення конфіденційних записів або носіїв інформації, призначених для інформації певного рівня секретності.

Система контролю за діями виконавців реалізується з допомогою:

організаційних заходів контролю при роботі виконавців з конфіденційними документами і відомостями;

· реєстрації (протоколювання) дій користувачів з інформаційними і програмними ресурсами автоматизованих систем з вказівкою дати і часу, ідентифікаторів того, що запрошує і запрошуваних ресурсів, виду взаємодії і його результату, включаючи заборонені спроби доступу;

· сигналізації про несанкціоновані дії користувачів.

Очищення пам'яті здійснюється організаційними і програмними заходами, а цілісність автоматизованих систем забезпечується комплексом программно-технічних засобів і організаційних заходів.

У свою чергу, апаратні засоби захисту (АЗЗ) застосовуються для вирішення таких завдань:

перешкодження візуальному спостереженню і дистанційному підслуховуванню;

нейтралізація паразитних електромагнітних випромінювань і наводок;

виявлення технічних засобів підслуховування і магнітного запису, несанкціоновано встановлених або таких, які принесено до установ фірми, підприємства, банку;

захист інформації, що передається засобами зв'язку і міститься в системах автоматизованої обробки даних.

Рис. 1.5 Застосування ТЗЗІ

Захист інформації від витоку за рахунок побічних електромагнітних випромінювань і наведень (ПЕМІН).

Основним напрямом захисту інформації від витоку за рахунок ПЕМІН є зменшення відношення інформативного сигналу до перешкоди до межі, визначуваної "Нормами ефективності захисту АСОВІ і ЕОМ від просочування інформації за рахунок ПЕМІН", при якому відновлення повідомлень стає принципово неможливим. Рішення цієї задачі досягається як зниженням рівня випромінювань інформаційних сигналів, так і збільшенням рівня перешкод у відповідних частотних діапазонах.

Перший спосіб реалізується вибором системно-технічних і конструкторських рішень при створенні технічних засобів ЕВТ в "захищеного виконання", а також раціональним вибором місця розміщення технічних засобів відносно напрямів можливого перехоплення інформативного сигналу.

Другий спосіб реалізується в основному за рахунок вживання активних засобів захисту у вигляді "генераторів шуму" і спеціальної системи антен.

Захист інформації в лініях зв'язку.

До основних видів ліній зв'язку, використовуваних для передачі інформації, можна віднести дротяні (телефонні, телеграфні), радіо і радіорелейні, тропосферні і космічні лінії зв'язку.

При необхідності передачі по ним конфіденційній інформації основним напрямом захисту інформації, передаваній по всіх видах ліній зв'язку, від перехоплення, спотворення і нав'язування помилковій інформації є використання крипто-логического перетворення інформації, а на невеликих відстанях, крім того, використання захищених волоконно-оптичних ліній зв'язку.

Для захисту інформації повинні використовуватися засоби криптографічного захисту даних гарантованої стійкості для певного рівня конфіденційності передаваної інформації і відповідна ключова система, що забезпечує надійний обмін інформацією і аутентифікацію (підтвердження достовірності) повідомлень.

Безпечне використання технічних засобів інформатизації.

Одним з методів технічної розвідки і промислового шпигунства є впровадження в конструкцію технічних засобів інформатизації заставних пристроїв перехоплення, трансляції інформації або виведення технічних засобів з буд.

В цілях протидії такому методу дії на об'єкти інформатики, для технічних засобів інформатизації, призначених для обробки конфіденційної інформації, в обов'язковому порядку проводиться перевірка цих засобів, здійснювана спеціалізованими організаціями за допомогою спеціальних установок і устаткування, як правило, в стаціонарних умовах відповідно до встановлених вимог.

Захист мовної інформації при проведенні конфіденційних переговорів.

Виходячи з можливості перехоплення мовної інформації при проведенні розмов конфіденційного характеру за допомогою впровадження заставних пристроїв, акустичних, віброакустичних і лазерних технічних засобів розвідки, протидія цим погрозам повинна здійснюватися всіма доступними засобами і методами.

У зв'язку з інтенсивним впровадженням в діяльність КБ автоматизованих систем організаційно-фінансового управління, технічного і іншого призначення, використовуваних для обробки конфіденційної інформації, для обліку фінансових коштів, локальних, регіональних і глобальних обчислювальних мереж і інтеграції в них значних за об'ємом і важливих за змістом інформаційних ресурсів, проблемі безпеки інформації, що обробляється і передаваної засобами і системами обчислювальної техніки і зв'язку, слід приділити особливу увагу.

Забезпечення якості в системі безпеки.

Необхідної складової системи безпеки має бути забезпечення якості робіт і використовуваних засобів і заходів захисту, нормативною базою якого є система стандартів і інших керівних нормативно- технічних і методичних документів по безпеці, затверджених федеральними органами державного управління відповідно до їх компетенції і визначальні норми захищеності інформації і вимоги в різних напрямах захисту інформації.

Відповідно до вимог цим НТД повинні проводитися передпроектне обстеження і проектування інформаційних систем, замовлення засобів захисту інформації і контролю, передбачуваних до використання в цих системах, атестація об'єктів інформатики, а також контроль захищеності інформаційних ресурсів.

В сукупності з системою стандартизації єдину систему забезпечення якості продукції і послуг з вимог безпеки інформації складають:

сертифікація засобів і систем обчислювальної техніки і зв'язку по вимогах безпеки інформації;

ліцензування діяльності по наданню послуг в області захисту інформації;

атестація об'єктів інформатики по вимогах безпеки інформації.

Відповідно до вимог цих систем право надавати послуги стороннім організаціям в області захисту інформації надане лише організаціям, що мають на цей вид діяльності дозвіл (ліцензію). Засоби і системи обчислювальної техніки і зв'язку, призначені для обробки (передачі) секретної інформації, засоби захисту і контролю ефективності захисту такої інформації підлягають обов'язковій сертифікації по вимогах безпеки інформації, а об'єкти інформатики, призначені для обробки секретної і іншої конфіденційної інформації, власністю держави, що є, а також для ведення секретних переговорів підлягають обов'язковій атестації по вимогах безпеки інформації.

При розробці системи комплексного захисту інформації об'єкту автоматизації необхідно максимально використовувати наявні сертифіковані по вимогах безпеки інформації засобу обчислювальної техніки і зв'язку, засоби захисту і контролю захищеності, розробляючи або замовляючи оригінальні технічні або програмні засоби захисту лише у випадках, коли наявними засобами не можна досягти необхідних результатів. Виходячи з цього при розробці автоматизованих систем різного рівня і призначення серйозну увагу слід приділити вибиранню технічних засобів і загальносистемного матзабезпечення. Цими ж обставинами слід керуватися при виборі стратегії розвитку систем інформатизації.

На підставі викладеного можна зробити висновок, що отримання інформації спецслужбами, конкурентами та зловмисниками здебільшого здійснюється через технічні засоби, які використовуються на фірмах, підприємствах, у банках, та через їхніх співробітників. Тобто в основу інформаційної безпеки має бути покладено заходи захисту інформації в засобах і мережах її передання та обробки, а також створення відповідної нормативної бази, яка б регулювала порядок доступу, зберігання і використання інформації фірми, банку, підприємства.

Заходи захисту інформації в засобах і мережах її передавання та обробки в основному передбачають використання апаратних, програмних та криптографічних засобів захисту.

За своїм призначенням АЗЗ поділяються на засоби виявлення і засоби захисту від несанкціонованого доступу. Слід зазначити, що універсального засобу, який би давав змогу виконувати всі функції, немає, тому для виконання кожної функції, відповідно до виду засобів несанкціонованого доступу існують свої засоби пошуку та захисту. За таких умов заходи щодо протидії незаконному вилученню інформації за допомогою АЗЗ досить трудомісткі та дорогі і вимагають спеціальної підготовки фахівців безпеки.

На практиці всі заходи щодо використання АЗЗ поділяються на три групи: організаційні, організаційно-технічні, технічні.

Заходи банку щодо захисту об'єктів від витоку інформації можна відобразити слідуючим чином (рис.6):

Рис.1.6 Пошукові заходи на об'єкті

Організаційні заходи апаратного захисту -- це заходи обмежувального характеру, які передбачають регламентацію доступу і використання технічних засобів передавання і обробки інформації.

Організаційно-технічні заходи забезпечують блокування можливих каналів витоку інформації через технічні засоби забезпечення виробничої і трудової діяльності за допомогою спеціальних технічних засобів, які встановлюються на елементи конструкцій споруд і будівель, приміщень і технічних засобів, потенційно створюючи канали витоку інформації.

Технічні заходи -- це заходи, які забезпечують використання в процесі виробничої діяльності спеціальних, захищених від побічних випромінювань технічних засобів передавання й обробки конфіденційної інформації.

Рис.1.7 Заходи банку щодо захисту об'єктів

Під програмними засобами захисту розуміють систему спеціальних програм, включених до складу програмного забезпечення комп'ютерів та інформаційних систем, які реалізують функції захисту конфіденційної інформації від неправомірних дій і програми їх обробки.

Програмні засоби забезпечують захист інформації від несанкціонованого доступу до неї, копіювання її або руйнування.

Під час захисту від несанкціонованого доступу (НСД) за допомогою програмних засобів здійснюється:

ідентифікація об'єктів і суб'єктів;

розмежування доступу до інформаційних ресурсів;

контроль і реєстрація дій з інформацією і програмами.

Захист інформації від копіювання забезпечується виконанням таких функцій:

ідентифікація середовища, з якого буде запускатись програма;

аутентифікація середовища, із якого запущена програма;

реакція на запуск із несанкціонованого середовища;

реєстрація санкціонованого копіювання;

протидія вивченню алгоритмів роботи системи.

Заходи захисту від руйнування інформації, враховуючи велику різноманітність причин руйнування (несанкціоновані дії, помилки програм і обладнання, комп'ютерні віруси та ін.), передбачають обов'язкові страхувальні дії, які спрямовані на попередження і профілактику можливих причин руйнування інформації. Програмні засоби захисту у таких випадках бувають як спеціалізованими, так і універсальними.

Під криптографічними заходами розуміють використання спеціальних пристроїв, програм, виконання відповідних дій, які роблять сигнал, що передається, абсолютно незрозумілим для сторонніх осіб. Тобто криптографічні заходи забезпечують такий захист інформації, за якого у разі перехоплення її і обробки будь-якими способами, вона може бути дешифрована тільки протягом часу, який потрібен їй для втрати своєї цінності. Для цього використовуються різноманітні спеціальні засоби шифрування документів, мови, телеграфних повідомлень. Оскільки в правовому субінституті банківської таємниці функціонують такі цивільно-правові категорії, як договори, як право власності на інформацію, як особисте немайнове право на конфіденційність персональних даних тощо, особи, відповідні цивільні права яких порушені, мають змогу притягнути порушників до цивільно-правової відповідальності на загальних засадах договірної або позадоговірної відповідальності.

До посадових і службових осіб, а також до працівників банків, державних органів, інших підприємств, установ, організацій можуть бути застосовані заходи дисциплінарної відповідальності (див.рис.8) згідно з загальним трудовим законодавством, або спеціальним законодавством, яке визначає правовий статус тих чи інших категорій осіб.

Так само на загальних підставах можуть бути застосовані цивільно-правові чи дисциплінарні санкції до працівників суб'єктів грошового переказу, які несуть відповідальність за неналежне використання та зберігання засобів захисту інформації, що застосовуються при здійсненні переказів. Самі ж суб'єкти переказу можуть бути притягнуті до спеціального виду відповідальності, передбаченого правилами тієї чи іншої платіжної системи з урахуванням вимог законодавства України.

В Україні не встановлено спеціальної кримінальної чи адміністративної відповідальності за правопорушення у сфері банківської таємниці (в той час як комерційну таємницю діючий кримінальний закон охороняє відповідальністю аж за два склади злочинів). В Кримінальному Кодексі України також не передбачено злочинів, безпосереднім об'єктом яких була би банківська таємниця. Хоч інформація, яка містить банківську таємницю, перебуває у власності певної особи, протиправне заволодіння нею, на думку окремих дослідників, неможливо кваліфікувати як злочин проти власності, оскільки, нажаль, доктрина кримінального права не визнає інформацію в якості можливого предмета розкрадань, з чим погодитись важко.

Має бути встановлена адміністративна, матеріальна та кримінальна відповідальність за розголошення банківської таємниці, незаконне збирання чи привласнення відомостей та предметів, які складають банківську таємницю, гарантії та порядок відшкодування (у судовому порядку) збитків, заподіяних власникові банківської таємниці в результаті неправомірних дій, порядок визначення особи, на яку покладається відшкодування збитків (особа, яка розголосила інформацію, особа, на чию користь ця інформація була розголошена, особа, яка здійснювала незаконне збирання та привласнення інформації).

З урахуванням викладеного можна зробити загальний висновок про те, що є всі підстави стверджувати про існування в системі інформаційного права України комплексного правового субінституту банківської таємниці інституту конфіденційності комерційної діяльності, який утворюють не тільки норми спеціального банківського законодавства, а й норми інших галузей права, що визначають загальні питання складу й обсягу банківської таємниці, гарантій дотримання суб'єктивних прав у цій сфері, а також регулюють суспільні відносини з приводу збереження банківської таємниці, процедури розкриття конфіденційних відомостей тощо. Водночас розвиток цього субінституту в сучасних умовах потребує не лише наукових пошуків, а й вдосконалення чинного законодавства з урахуванням вимог міжнародних стандартів, та його адаптації до правових еталонів Європейського Союзу у сфері банківської таємниці.

В Україні не встановлено спеціальної кримінальної чи адміністративної відповідальності за правопорушення у сфері банківської таємниці (в той час як комерційну таємницю діючий кримінальний закон охороняє відповідальністю аж за два склади злочинів). В Кримінальному Кодексі України також не передбачено злочинів, безпосереднім об'єктом яких була би банківська таємниця. Хоч інформація, яка містить банківську таємницю, перебуває у власності певної особи, протиправне заволодіння нею, на думку окремих дослідників, неможливо кваліфікувати як злочин проти власності, оскільки, нажаль, доктрина кримінального права не визнає інформацію в якості можливого предмета розкрадань, з чим погодитись важко. [126] Біленчук П.Д., Диннік О.Г., Лютий І.О., Скороход О.В. “Банківське право: українське та європейське”. Навчальний посібник. Київ: Атіка, 1999р.

Має бути встановлена адміністративна, матеріальна та кримінальна відповідальність за розголошення банківської таємниці, незаконне збирання чи привласнення відомостей та предметів, які складають банківську таємницю, гарантії та порядок відшкодування (у судовому порядку) збитків, заподіяних власникові банківської таємниці в результаті неправомірних дій, порядок визначення особи, на яку покладається відшкодування збитків (особа, яка розголосила інформацію, особа, на чию користь ця інформація була розголошена, особа, яка здійснювала незаконне збирання та привласнення інформації).

З урахуванням викладеного можна зробити загальний висновок про те, що є всі підстави стверджувати про існування в системі інформаційного права України комплексного правового субінституту банківської таємниці інституту конфіденційності комерційної діяльності, який утворюють не тільки норми спеціального банківського законодавства, а й норми інших галузей права, що визначають загальні питання складу й обсягу банківської таємниці, гарантій дотримання суб'єктивних прав у цій сфері, а також регулюють суспільні відносини з приводу збереження банківської таємниці, процедури розкриття конфіденційних відомостей тощо. Водночас розвиток цього субінституту в сучасних умовах потребує не лише наукових пошуків, а й вдосконалення чинного законодавства з урахуванням вимог міжнародних стандартів, та його адаптації до правових еталонів Європейського Союзу у сфері банківської таємниці.

Розділ 2. Організація режиму охорони банківської діяльності

2.1 Обладнання та технічна укріпленість банків