Имя материала: Национальная платежная система. Бизнес-энциклопедия

Автор: А.С. Воронин

Глава 8 безопасность и надежность функционирования платежных технологий

 

8.1. ПАРАДИГМА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ НАЦИОНАЛЬНОЙ ПЛАТЕЖНОЙ СИСТЕМЫ

 

информационная безопасность нпс. объекты, предметы, отношения

Под национальной платежной системой в соответствии с определением, данным в Законе о НПС, понимается:

«совокупность операторов по переводу денежных средств (включая операторов электронных денежных средств), банковских платежных агентов (субагентов), платежных агентов, организаций Федеральной почтовой связи при оказании ими платежных услуг в соответствии с законодательством Российской Федерации, операторов платежных систем, операторов услуг платежной инфраструктуры (субъекты национальной платежной системы)».

Как объект защиты НПС представляет собой достаточно сложную и неоднородную структуру, объединенную положениями закона в некую виртуальную единую систему, которой по своей природе она не является . Целый ряд различных категорий субъектов этой виртуальной системы уже давно присутствует на отечественном финансовом рынке и рынке услуг, осуществляя свою деятельность, руководствуясь соответствующим федеральным законодательством: «О банках и банковской деятельности»; «О деятельности по приему платежей физических лиц, осуществляемой платежными агентами»; «О банке развития»; «О почтовой связи»; «О связи»1 (прием платежей операторами мобильной связи)

 

В этой связи положения Закона о НПС призваны в какой-то мере установить основополагающие системные категории, подлежащие учету и единообразной реализации участниками этого рынка, а также подлежащие контролю единым государственным регулятором В подобных условиях крайне затруднительно сформулировать работоспособные, имеющие практическое воплощение, основополагающие понятия для того или иного среза деятельности применительно к НПС, но потребность в этом есть

Руководствуясь основными правилами терминологии и соответствующими нормами, можно дать следующее определение понятию «информационная безопасность национальной платежной системы» (произошло от определения «информационная безопасность» и содержания задач (целей деятельности) объекта защиты):

«Состояние защищенности целей деятельности НПС от угроз в информационной сфере, обеспечивающее реализацию задач эффективности и бесперебойности, а также адекватности национальной платежной системы потребностям экономики, банковского сектора и финансового рынка Российской Федерации».

Приведенное определение понятия «информационная безопасность национальной платежной системы» достаточно абстрактно, но на этом уровне иным оно быть и не может Назначением его может быть определение общего контекста и направления работ всех субъектов системы, деятельность которых будет иметь уже более конкрентое наполнение с учетом его роли в системе и более явное отражение в практике

Для аналогичных целей в 2000 г в документе «Доктрина информационной безопасности Российской Федерации» было приведено определение понятия «информационная безопасность Российской Федерации» :

«Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства».

Совершенно очевидно, что из данного понятия не проистекает система практических задач, но далее в контексте документа формулируется перечень специфичных угроз и мер по противодействию

Ровно для этих же целей было приведено определение понятия «информационная безопасность национальной платежной системы» На практике основу системы мер противодействия угрозам в информационной сфере целям НПС будут составлять решения как в узком — техническом, так и в более широком — технологическом и общеметодологическом плане При этом основным «исполнительным механизмом» системы мер противодействия угрозам в информационной сфере целям ПНС будет организация-участник (пользователь услугами НПС), которая по этим же причинам будет являться и основным объектом контроля и надзора регулятора НПС Физические лица — пользователи услугами системы будут прямо или косвенно охвачены решениями и технологиями организаций-участников (пользователей услугами НПС).

В этой связи далее будет сделан акцент на деятельности и решении на уровне организации — основной категории участников НПС

основные понятия и источники парадигмы информационной безопасности для нпс в современных условиях

Проблема информационной безопасности (ИБ) вообще, а для рассматриваемой предметной области в частности может трактоваться как в узком, так и широком смысле

В узком смысле она известна с момента зарождения социума и процессов целенаправленной деятельности Именно тогда возникают фундаментальные сущности, не имеющие прямого материального выражения, — системы отношений «субъект — объект», «субъект — субъект» ; представление цели деятельности как состояния будущего в виде абстрактных информационных моделей; планов по реализации этих целей в виде тех же моделей

В широком, современном смысле проблема ИБ в России насчитывает не более двадцати лет, так как для ее возникновения необходимо было наличие ряда основных условий, актуализировавшихся в этот период

1          Должно было сформироваться сообщество независимых субъектов, действующих (реализующих свой бизнес, свои цели) самостоятельно, на свой риск .

. Это сообщество должно было быть достаточно многочисленным для того, чтобы между субъектами сложились условия возникновения конфликта интересов, связанных с различными аспектами реализации целей их деятельности1

. Должен был сформироваться и войти в практику новый тип объектов — информационный объект, а также система отношений «субъект — информационный объект», «множество субъектов — информационный объект»

. Должна была сложиться развитая «операционная среда», обеспечивающая накопление, хранение, обработку, обмен информации между заинтересованными и (или) причастными сторонами

В силу того, что все эти условия должны выполняться одновременно для развитых стран мирового сообщества, проблема ИБ также является новой, пик глобальной информатизации в мировом обществе начался в 1980-е гг .

В жизни проблема ИБ проявляется в виде противоборства вовлеченных сторон (субъектов), в котором каждый стремится поставить каждого под свой контроль, неявно управлять его деятельностью в своих интересах на основе манипуляций с потребляемой ими информацией (информационной сферой) либо как минимум нанести ущерб целям его деятельности, воздействуя на информационную

1 Должно выполняться условие |C| >> |Ц|, т . е . мощность множества субъектов |C| существенно больше мощности множества всех возможных целей |Ц| .

сферу противника . Практически всегда конечной целью противников является получение материального (ресурсного) выигрыша, хотя все основные действия противоборства и осуществляются на «информационном поле» . Указанный тезис иллюстрирует рис . 8 .1.

Как видно из рис . 8 .1, материальная сфера включает совокупность различных объектов, представляющих для субъектов определенную ценность и рассматриваемых ими в качестве ресурсов . Между субъектами возникает конфликт, который выражается в стремлении каждого из них завладеть ресурсами, необходимыми для реализации собственной цели, а также в стремлении воздействовать на реализацию целей противников путем дезорганизации их деятельности и получения контроля над необходимыми им ресурсами . Проблема информационной безопасности в данном конфликте возникает тогда, когда материальные объекты имеют отражение в информационной сфере и большинство субъектов взаимодействует не с реальными ресурсами, а с их информационным отображением Итогом противоборства в информационной сфере будет либо материальное преимущество одного из субъектов перед другим, либо создание ситуации, при которой один из субъектов не сможет достичь целей своей деятельности совсем или достичь целей с наименьшими возможными издержками

В качестве примера подобного противоборства можно привести следующую ситуацию Организация использует критически важный для ее деятельности ресурс, к примеру, оборудование, необходимое для осуществления деятельности Данное оборудование отражено на балансе организации в виде соответствующих записей бухгалтерского учета, которые представляют собой информационное отображение материального объекта . Противник (конкурирующая организация) организует некоторые манипуляции с указанными записями, в результате которых информационное отображение ресурса будет уничтожено или существенно искажено, что создаст неопределенность относительно наличия прав организации на распоряжение оборудованием и его использование Продолжением описываемого информационного нападения могут быть следующие действия различных субъектов, использующие созданную неопределенность и наносящие деятельности организации ущерб:

■          действия банка, в залоге у которого находится оборудование;

■          предъявление прав на оборудование третьим лицом;

■          невозможность проведения разрешительных и контролирующих действий органами власти из-за отсутствия правоустанавливающих документов

При этом используется фундаментальное свойство процесса и результата (реализовавшейся цели) целенаправленной деятельности, а именно их зависимости от качества и количества потребленной информации Действительно, цель как состояние будущего есть не что иное, как прогноз, и он не может быть точным Процесс принятия различных решений, использующий для этих целей информацию о состоянии задействованных активов и среды, наоборот, основывается на информационных образах активов и среды, которые уже неактуальны («устаревшие»). Непрерывная актуализация информационных образов активов и среды для системы принятия решений «поглотит» весь полезный ресурс процесса, а для некоторых видов активов (ресурсов) она вообще нереализуема

Таким образом, процесс целенаправленной деятельности сам по себе без всякого противоборства и злоумышленников содержит риск успешной реализации цели, и это риск информационной природы Теоретически, как предельный случай, существует и безрисковая реализация таких процессов, но для этого необходимо наличие бесконечно большого ресурса и бесконечное время реализации процесса Понятно, что на практике такой процесс нереалистичен

В связи с этим процесс целенаправленной деятельности всегда содержит естественно (natural) присущий ему риск достижения заявленной цели . Этот риск часто называют стохастической составляющей процесса Очевидно, что все происходящие события в пределах этого риска будут восприниматься как правдоподобные, независимо от их настоящей природы Это и создает возможность манипулирования информацией для противоборствующей стороны и поясняет одну из «типовых злоумышленных стратегий» Она состоит в том, чтобы, навязывая ложные представления о состоянии процесса и реализуемой цели, «увести» от нее как можно «дальше» и создать ресурсные сложности, чтобы вывести процесс за интервал времени, когда истинная (задуманная, заявленная) цель еще актуальна, и потратить на ее реализацию как можно больше ресурса То есть понизить его эффективность до уровня, когда естественное «воспроизводство» процесса окажется невозможным, что и приведет в конечном счете к уничтоже-

216 ^ глава 8. безопасность и надежность функционирования платежных технологий

нию противоборствующей стороны и последующему захвату его ресурсов и инфраструктуры

НПС позиционируется как совокупность очень большого количества относительно независимых субъектов-участников (операторов по переводу, банковских и небанковских платежных агентов (субагентов), организаций Федеральной почтовой связи при оказании ими платежных услуг, операторов платежных систем, операторов услуг платежной инфраструктуры), предоставляющих пользователям достаточно ограниченный набор сервисов (услуг) и функционирующих фактически на рыночных принципах . Такое устройство изначально предполагает сильный конфликт интересов между участниками и, как следствие, высокий уровень противоборства сторон

Информационный в основном характер их деятельности автоматически переводит противоборство в информационную сферу . Для этого у них имеются все необходимые предпосылки и возможности, а также глубокие знания предметной области

Исходя из этого теперь можно сформулировать в общем виде стратегию поведения и критерий успеха для противоборствующих сторон . Очевидно, что необходимо хорошо прогнозировать не только собственные цели и состояние «своих» процессов, но также и «чужих», тех, которые состоят в «конфликте интересов» с собственными целями и процессами; своевременно и адекватно реагировать на выявляемые изменения; уметь «извлекать пользу» из этих изменений

Соответственно можно сформулировать и критерии успеха в противоборстве Действительно, успех будет достигнут той стороной, которая лучше реализует заявленные цели деятельности, т . е . лучше (точнее и на больший интервал времени) прогнозирует, лучше (быстрее и адекватнее) приспосабливается (адаптируется) к сложившимся условиям

 

информационная безопасность субъекта нпс

Основой (платформой) для лучшего соответствия требованиям критериев успеха деятельности организации — субъекта национальной платежной системы является, с одной стороны, способность к извлечению (добыванию) полезной информации, ее систематизации, накоплению и анализу, а с другой — способность к ее обобщению, формированию сильного знания Именно знания и являются основанием для уверенности в качестве и точности реализации целей деятельности Но необходимы не просто знания, а знания, обобщенные до уровня хорошей (лучшей) практики (goodpractice), пригодные к прямому их использованию в конкретных условиях (рис . 8 . 2).

Естественно, возникает вопрос о том, какие знания нужны, в какой сфере, в рамках каких моделей и процедур они могут быть получены, каким образом они должны использоваться . Ответы на эти вопросы фактически и определяют основной состав и содержание деятельности службы информационной безопасности организации

Подпись: Прогнозирование
Подпись: Собственные цели

 

Чужие цели

 

"J

Возможный конфликт интересов

 

 

Контроль изменений

Выявление изменений

Реагирование на изменения

Использование выгод от изменений

 

Контроль ситуации

Оценка ситуации

Адаптация к ситуации

 

Добыча полезной информации

Систематизация, накопление

и анализ полезной информации

Обобщение, формирование знания

Знание в форме «лучшей практики»

 

Рис. 8.2. стратегия действий собственника

 

Чтобы на них ответить, рассмотрим изначально уже «классическое» определение понятия ИБ для организаций банковской системы (БС) России .

информационная безопасность: состояние защищенности целей деятельности организации от угроз в ее информационной сфере. Отметим, что ИБ есть состояние, т е она рассматривается как процесс, состояние которого может изменяться, может быть «лучше» предыдущего, «хуже» предыдущего или вообще «плохим» Предполагается, что оно может быть измерено и что процессом можно управлять, переводя его из «плохого» состояния в «хорошее», воздействуя на различные параметры процесса . Такое предположение является на самом деле довольно сильным допущением, так как прямые измерения безопасности даже теоретически невозможны в силу сформулированных выше критериев

Другими словами, проблемой измерений в сфере безопасности является задача измерения отсутствия инцидентов Сегодня их нет, и через неделю, и через месяц . Так адекватна ли ИБ объекта (организации, вида бизнеса и т . п . ), оперативна ли, функциональна ли?

Понять, какая у вас реально безопасность, можно только по факту нападения и нанесения объекту ущерба . В связи с этим всегда, когда говорят об оценках безопасности, надо понимать, что речь идет о некоторых косвенных оценках большого количества измеряемых параметров (их метриках и шкалах) с последующим их агрегированием в общую оценку, основанную на методах (методиках) с сильной экспертной составляющей

Учитывая существенную значимость оценки для проблемы обеспечения ИБ, она является одной из областей накопления знаний и по мере их накопления пересматривается для большей ее адекватности реальному состоянию дел.

Следующая используемая в определении ИБ сущность — защищенность (обратное ей — уязвимость) — способность противостоять (противодействовать) действиям противоборствующей стороны — наиболее просто объясняется через величину ущербов, наносимых действиями противной стороны .

Каждый раз, когда реализуется негативно влияющее событие на наши цели деятельности, мы пытаемся понять величину нанесенного нам или ожидаемого в ближайшем будущем ущерба Не вдаваясь в детали этого понятия (рассмотрим далее), отметим, что каждый раз мы оцениваем потенциально возможный в данной конкретной ситуации ущерб и реально нанесенный . Пусть Уп — потенциально возможный ущерб, а Ур — реальный .

Понимая под защищенностью З отношение

У

3 = ^-, У >У ,

* п

видим, что З находится в пределах 0 < З < 1.

Два предельных случая, когда З = 0 и З = 1 интерпретируются как случаи сильной и ничтожной защищенности соответственно

Говоря далее о целях деятельности организации и ущербе, который может быть нанесен целям деятельности, необходимо прежде всего отметить проблему измерений и оценки как цели, так и ущерба Она практически аналогична уже рассмотренной проблеме оценки ИБ с той разницей, что оценка целей основывается на ее формализации как минимум до уровня, пригодного до оценки; ущерб же — это экономическая категория и требует более точных и «тонких» моделей . Наиболее опасными (значимыми) видами нанесенного ущерба являются различные неисполненные обязательства . Важно то, что ущерб является для ИБ фундаментальным понятием, система безопасности для того и создается, чтобы избежать ущербов в ситуации противоборства В связи с этим до тех пор, пока не формализована эта сущность (ущерб), говорить о возможности создания системы безопасности (или об оценке уже существующей системы) затруднительно .

Также фундаментальным понятием является и понятие угрозы . В общем случае к угрозам должны быть отнесены все факторы и обстоятельства, способные оказать ощутимое негативное влияние на реализацию цели Их описывают, классифицируют по разным признакам Например, могут быть угрозы, связанные с внешним злоумышленником, а могут быть угрозы со стороны собственного персонала, угрозы, связанные со стихийными бедствиями, терроризмом и т д

Говоря об угрозах, необходимо прежде всего отметить их информационный аспект, о них нужно знать, и тем более о тех, которые могут нанести существенный ущерб Причем это знание для возможности его практического использования должно быть достаточно детальным Существуют различные классификаторы (перечни) угроз, и они достаточно стабильны, однако факторы, обусловливающие проявление и влияние этих угроз на конкретные процессы и объекты, равно как и сами объекты, непрерывно изменяются, поэтому требуется постоянная актуализация связанных с этими источниками данных, их анализ и идентификация новых рисков (факторов рисков) целям деятельности организации в связи с выявленными изменениями Такому исследованию должна подвергаться как информация внутри объекта, так и вне его . Цель — добыть (извлечь) полезную информацию для обеспечения безопасности объекта Реально это представляет целенаправленный процесс поиска различных закономерностей в больших неструктурированных объемах данных с последующим документированием выводов и предположений, подтверждающих или уточняющих имевшиеся сценарии (модели) «хорошего» и «плохого»

И наконец, последняя сущность, определяющая понятие ИБ, — информационная сфера организации . К ней относится все, что используется организацией в информационном виде для достижения ее целей, а также инфраструктура, обеспечивающая информационные процессы организации . Один из компонентов информационной среды — описание (информация относительно) объектов материального мира, задействованных в процессах организации Кроме того, она включает нормативную базу, соглашения и договоры с вовлеченными сторонами, отчетность, как внутреннюю, так и внешнюю, системы документооборота, планы и т д

АСПЕКТЫ ИЗМЕНЧИВОСТИ ИНФОРМАТИКИ

И МАТЕРИАЛЬНОЙ СРЕДЫ ОРГАНИЗАЦИИ В ЗАДАЧАХ

ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НПС

Очевидно то, что информационный мир зачастую существенно сложнее, шире и глубже, чем материальный, и для успешной деятельности организации материальный мир и информационный мир должны быть максимально адекватны друг другу

Понятно, что если материальный объект реально существует, но его отображение в информационном мире отсутствует, то объект может быт «изъят» из оборота собственника без всяких последствий Тем самым будет нанесен ущерб Такая ситуация может быть создана искусственно, так как для операций с описанием реальных объектов их фактическое наличие при этом не требуется1

Это один из инструментов противоборства субъектов Обычно процесс противоборства рассматривают с позиций одной из взаимодействующих сторон Как правило, один из субъектов — это собственник, а другой — злоумышленник,

 

1 Примерами материальных объектов в платежной системе могут быть «физические деньги», ценные бумаги, любые обязательства, представленные в виде документов, драгоценные металлы, драгоценные камни, материальные объекты платежей и т д стремящийся получить контроль над активами собственника в своих целях . Хотя конфликт интересов, разрешающийся в форме противоборства, является самым опасным, современные представления об ИБ этим не исчерпываются и охватывают все возможные виды и источники ущербов целям организации, включая непреднамеренные

Важно лишь то, что нанесенный ущерб имел «информационную природу», был связан с различными аспектами создания и применения информационной сферы Так, например, некий субъект, реализовав свою цель, может тем самым существенно повлиять на цели других субъектов, вследствие чего у последних существенно вырастут издержки . В силу того, что такие издержки не прогнозировались, они будут рассматриваться как ущерб То есть субъекты, реализуя свои цели, могут наносить ущерб друг другу, государству (если деятельность осуществляется в зоне ответственности государства), государство может нанести ущерб субъектам, изменяя условия лицензирования и надзора, изменяя гражданско-правовую систему, и наконец, субъект может нанести ущерб «сам себе», некорректно приняв неадекватный риск Все указанные аспекты связаны с целеполаганием и процедурами принятия решений и поэтому имеют информационную природу

Одна из основных причин такого расширенного толкования ИБ связана с существенным качественным и количественным увеличением информационной сферы, увеличением ее сложности, а также степенью ее влияния на цели деятельности любого субъекта . Это привело к тому, что если ранее успех или неуспех дела связывался с различного рода ресурсными ограничениями, то сейчас все более связывается с качеством и номенклатурой сущностей информационной составляющей процессов

Одним из последствий такого положения является то, что зачастую затруднительно идентифицировать прямых и косвенных выгодоприобретателей от результатов операций в информационной сфере, в том числе и платежных Вас могут вынудить осуществить платеж анонимному лицу, когда вы не имеете таких намерений, или же, обратно, вы намерены осуществить платеж и выполнили все необходимые от вас операции, но возникают непредвиденные и неизвестные вам обстоятельства, которые не позволяют завершить операцию успешно . В итоге получатель не располагает сведениями о приходе от вас платежных средств, и это может привести к конкретному ущербу (штрафам, пеням и т . д . ).

В общем случае предметом ИБ становится любая деятельность в рамках информационной сферы, способная порождать риски целям деятельности Учитывая то, что, как уже отмечалось ранее, этот риск нельзя сделать пренебрежительно малым, необходимо создать систему, способную контролировать этот риск и удерживать его на уровне, приемлемом для успеха реализации целей деятельности Понятно, что система должна представлять собой комплекс различных взаимоувязанных мер противодействия риску

Однако создать систему безопасности можно с одним на самом деле очень сильным допущением Оно состоит в том, что созданная система безопасности неизбежно будет отражать наше же понимание пределов возможного (допустимого) поведения субъектов в информационном мире Однако информационный мир сам есть отображение сущностей, которые изначально не могут быть строго регламентированы Так, например, отношения «субъект — субъект» могут быть любыми и определяться взаимными обязательствами практически любых форм и природы Здесь важно лишь то, что эти обязательства признаются взаимодействующими субъектами . Можно лишь говорить о соответствии этих обязательств целям взаимодействия субъектов, но и цели могут быть самыми разнообразными . Эти аспекты относятся к естественно (natural) присущим правам субъектов . Их нельзя (невозможно) директивно (законодательно) отменить, за исключением достаточно очевидных и идентифицируемых на основе простых и однозначно всеми интерпретируемых критериев ситуаций (случаев) заведомого нанесения ущерба (вреда) другим субъектам . В остальных случаях все эти «нюансы», отображаясь на информационную сферу и ее инструменты, будут порождать «серую» (быть может, бессмысленную) для стороннего наблюдателя систему реализующихся видов деятельности, на самом деле целенаправленную

В указанном смысле построить изначально корректную (непротиворечивую) систему правил поведения субъектов в информационной сфере не представляется возможным Практически же любые действия приходится признавать допустимыми, т е это среда без существенных ограничений, в которой «все средства хороши» . А это значительное преимущество противоборствующей стороны, так как злоумышленник продумывает конкретную атаку (вторжение) в конкретных условиях, в то время как собственник пытается построить систему безопасности от всех, в том числе и заранее ему неизвестных, атак С этими же особенностями связано еще одно важное обстоятельство . Оно состоит в том, что собственник для идентификации действий противоборствующей стороны должен обязательно накопить некоторый объем информации, т е в течение некоторого интервала времени (времени идентификации) он не видит уже предпринятой против него атаки Если это новая атака, то, скорее всего, она будет идентифицирована после нанесения ущерба То есть собственник приобретает знание «в обмен» на понесенный ущерб Это его «плата» за знание

У собственника и злоумышленника существенно разные подходы к проблеме накопления и обобщения знаний Так, злоумышленник, разрабатывая свою атаку (вторжение), вынужден изучать систему безопасности собственника, в том числе и путем ее исследования, т е эксперимента на реальном объекте Это особо ценное знание

В свою очередь задача собственника состоит в том, чтобы, во-первых, воспрепятствовать процессу изучения, удлинить во времени этот процесс и, во-вторых, своевременно его идентифицировать, задокументировать и исследовать Задача данного исследования — установить цель атаки злоумышленника и в конечном счете нейтрализовать ее, приняв соответствующие превентивные меры

Понятно, что процесс накопления знаний собственника о злоумышленнике содержит существенное ограничение Оно состоит в том, что собственник не может сам поставить «чистый» эксперимент на злоумышленнике . Его возможности ограничиваются имитацией злоумышленника, как правило, им самим же придуманной Ценность такого знания существенно ниже

В общем случае в безопасности рассматриваются две разновидности знаний — знание информационное и знание эмпирическое Информационное знание получается на абстрактных информационных моделях, либо это знание, полученное от других лиц (субъектов). Такой тип знания может быть получен быстро и в больших объемах . Однако это «слабое» знание . Эмпирическое знание, напротив, — это обобщение собственной практики . Оно основано на реальной фактуре, реально произошедших событиях в конкретных условиях Однако это очень «медленное» знание На практике необходимо использовать оба вида знаний Во многих случаях чужой опыт может принести пользу, «напрямую» им практически никогда не удается воспользоваться, так как контекст (условия, факторы и обстоятельства), в котором знание было получено, не совпадает с собственным контекстом, в котором оно будет применено Наилучшей с точки зрения информационного противоборства можно считать ситуацию, когда примерно 70\% знания составляет эмпирическое знание, а остальные 30\% — информационное .

Этим в основном и определяются как востребованные в безопасности источники знаний, так и процедуры их накопления и обобщения

В связи с этим, возвращаясь к подходам накопления знаний собственника и злоумышленника, знания собственника о злоумышленнике в основном информационные . Чтобы их усилить, собственник, как правило, привлекает экспертов, осуществляет экспертизы принятых им решений, стремится использовать в своей системе безопасности лучшую практику

Однако недостаточно только создать систему ИБ Необходимо также уметь ее пересматривать и совершенствовать, притом так, чтобы обеспечить ее высокую и (или) надлежащую эффективность в «фарватере» осознаваемых рисков Очевидно, что система, которая стоит дороже, чем суммарный видимый ущерб, который она потенциально способна предотвратить (как правило, не полностью), никому не нужна

Проблема пересмотра и совершенствования системы безопасности — одна из самых сложных Практически приходится разрешать коллизию, состоящую в том, что система безопасности, с одной стороны, консервативна по своей природе, а с другой — деградирует во времени

Консерватизм системы связан со спецификой ее оценки, а деградация обусловлена процессами накопления знаний и естественной изменчивостью объекта защиты и его внешней среды Для национальной платежной системы проблема преодоления «проклятия изменчивости» особенно актуальна Области информационной сферы организации и источники изменчивости иллюстрирует рис 8 3

Источники изменчивости

Услуги

Развитие пространственное и функциональное

Персонал

Развитие процессов управления

Технологии

Новые требования

к технологиям поддержки бизнеса

 

Информационные системы

Изменения структуры и функций

Жизненный цикл информационных систем

Накопление знаний

 

Компоненты инфраструктуры

Изменения компонентов инфраструктуры

Человеческий фактор

 

Подпись: иной сферы организаРис. 8.3. Области информацией

ции и источники изменчивости

 

В примере, приведенном на рис . 8 . 3, выделяются пять элементов информационной сферы организации . К ним относятся:

информационно-технологические (ИТ) услуги, предоставляемые организацией;

информационные технологии организации;

информационные системы, реализующие технологии и обеспечивающие предоставление ИТ-услуг;

технические и программные компоненты информационных систем;

персонал организации, как использующий ИТ-услуги, так и обеспечивающий их предоставления

На каждом уровне действуют свои факторы изменчивости, в результате чего вся информационная сфера может претерпеть значительные изменения Необходимость изменений на одном из уровней информационной среды порождает необходимость изменений на всех нижележащих уровнях информационной сферы . Лавинообразный рост количества изменений, требующих реагирования, и их источников — так называемое проклятье изменчивости порождает «разрывы» в информационной сфере и ведет к деградации системы безопасности, становится серьезной проблемой для менеджмента организации

На уровне ИТ-услуг необходимость изменений порождается потребностью основной деятельности в их функциональном (создание нового функционала и совершенствование существующего) и пространственном (расширение количества и географии потребителей услуг) развитии Изменение бизнеса влечет изменение технологии деятельности организации, в том числе информационных технологий Это источники изменчивости на верхнем уровне

Изменение структуры и функций информационной системы может быть вызвано не только изменениями на более высоких уровнях, но и особенностями ее жизненного цикла, влекущими необходимость обновления технических и программных средств и их компонентов, реинжиниринг структуры и функционала системы, интеграцию с новыми системами

Персонал организации может стать источником изменчивости на любом из перечисленных уровней Источниками изменчивости на уровне персонала являются развитие процессов управления (планирования, организации, координации, контроля и др . ), накопление знаний (например, новые знания могут сделать ненужными часть функций системы или упростить процессы эксплуатации), а также другие факторы, связанные с деятельностью персонала, включая особенности личности и группового поведения (ошибки, халатность, отсутствие должной координации работ, высокая активность и т д )

Так, например, проводя аналогии с платежной системой Банка России, можно утверждать, что инфраструктура национальной платежной системы будет содержать несколько сотен тысяч компьютеров разного назначения Компьютер полностью амортизируется и подлежит замене через четыре года эксплуатации

Таким образом, ежегодно должна производиться замена нескольких десятков тысяч компьютеров (скорее всего, более ста тысяч), и это только в порядке поддержки жизненного цикла без учета функционального и пространственного развития системы . Причем все это должно будет осуществляться в рамках деятельности сотен и тысяч организаций, вовлеченных в операции системы на фоне перманентной эволюции платежного инструментария, доступного на рынке для миллионов пользователей услуг национальной платежной системы

Внешняя среда, и прежде всего нормативная база, не менее изменчива . Отображаясь на прикладной программный продукт как наиболее чувствительный для подобного рода изменений, она породит десятки тысяч изменений в год Учитывая, что изменения «один в один» невозможны (через четыре года точно такого же компьютера, как старый, уже не найти), они будут создавать риски и, быть может, значимые Так как для систем большой размерности и сложности характерны различные неоднородности, т е изменчивость может концентрироваться на ограниченных пространственно-временных и функциональных областях, то при слабом управлении (менеджменте) ИБ будут образовываться и достаточно долго существовать «черные дыры», которые могут быть использованы для вторжения и установления контроля над активами В связи с этим без постоянных локальных изменений системы безопасности, без все более тонкой ее «привязки» к объекту не обойтись При этом основополагающие принципы построения системы, ее организационно-техническое устройство и менеджмент остаются достаточно стабильными

Как очевидно следует из изложенного, эффективная система обеспечения ИБ должна непременно содержать сильный центр и мобильный ресурс (в организационном смысле) Сильный центр компетенции кроме проблем реагирования должен обеспечивать наработку хорошей практики и ее распространение . Его деятельность должна быть хорошо интегрирована в общий менеджмент, так как она затрагивает и обеспечивает интересы всех организаций и клиентов

Особое положение служб безопасности организаций заключается в том, что они (ее сотрудники) накапливают высокочувствительные знания об уязвимостях процессов деятельности организаций, а также в том, что они используют для этого «специфический информационный ресурс» и инструменты, поэтому очевидно, что как сами знания, так и информация и инструменты должны быть хорошо (в организационном и техническом смысле) изолированы

В силу специфики своей деятельности безопасность в любой организации является основным организатором деятельности по внедрению высокой информационной культуры . Фактически это выработка и внедрение в практику деятельности системы правил, определяющих модель «безопасного» поведения в условиях агрессивной среды Они включают в себя правила и рекомендации по идентификации опасных состояний и реагированию на них, в том числе и эскалации (информированию вышестоящей инстанции и передаче ей ответственности) модель и принципы обеспечения информационной безопасности для нпс

Другой фундаментальной задачей, лежащей в сфере внимания безопасности, является контроль работоспособности процедур «синхронизации» изменений в информационной сфере с изменениями в материальном мире (изменениями в активах и т. п . ). Каждая транзакция в информационном поле платежных технологий имеет отражение в изменении материального мира (рис . 8 . 4).

О Операции

і; Границы организаций — участников платежной технологии

 

Рис. 8.4. Общая информационно-логическая модель платежной технологии

В современном мире центром притяжения злоумышленников все чаще становится информационная сфера, посредством манипуляции в которой они пытаются присвоить некие сущности материального мира .

Информационная культура очень значима . Она совместно с регламентацией основной деятельности в виде ролей и ответственностей участвующих сторон позволяет существенно сузить стохастическую составляющую процессов деятельности и упростить проблему обеспечения ИБ . В ситуации, когда, наоборот, порядок в основной деятельности слаб и она представляется как слабодетерминированный (плохо предсказуемый) процесс, говорить о возможности адекватного и эффективного обеспечения ИБ нельзя, так как нельзя разделить «плохое» и «хорошее» и непонятно, чему же нужно противодействовать, что является риском, а что нет

Весьма чувствительным для системы безопасности является вопрос о том, в рамках каких организационных форм она должна быть обеспечена Если мы говорим о какой-либо сущности как о системе, то первым ее признаком, по крайней мере с точки зрения безопасности, является наличие в ней развитого менеджмента Говорить о системе как о множестве независимых субъектов, действующих на основе соглашений, тем более юридически не обязывающих, крайне сложно, и если можно, то с очень сильными ограничениями, потому что какие-то, хотя бы и слабые, обязательства всеми субъектами должны быть приняты

Должен существовать эталон этих обязательств, например, в виде стандарта (системы взаимоувязанных стандартов) безопасности Должны быть организованы контрольные механизмы соблюдения всеми обязательств, действующие на принципах доверия и прежде всего независимости и незаинтересованности контролера, например, в форме аудита безопасности Должно быть понимание того, что слабое звено у одного субъекта есть слабость всех участвующих субъектов и любому из них может быть нанесен ущерб . Одним из способов обеспечения ИБ может быть также перенос риска на третьих лиц (страхование риска безопасности) или же самостоятельное формирование такого фонда самострахования системы В рамках национальной платежной системы в зависимости от того, как она будет развиваться, потребуется разработка стратегии обеспечения ИБ как одного из важнейших ее аспектов

Понятно, что система, в которой часто происходят крупные инциденты ИБ, будет иметь очень низкий уровень доверия В этом случае риски ИБ будут очень сильно влиять на риски основной деятельности, так же как потеря доверия к банку со стороны его клиентов практически всегда приводит к катастрофическим последствиям для банка В связи с этим высокие риски ИБ опасны не только «сами по себе», но более как сильный источник влияния на риски основной деятельности

Для национальной платежной системы, видимо, технологии безопасности сформируют один из основных инструментов обеспечения доверия, поэтому особенно важно с самого начала обеспечить приемлемый ее уровень, иначе потом придется длительное время и с большими затратами восстанавливать статус-кво системы

В этой связи большое значение будет иметь организационно-техническое устройство национальной платежной системы Если исходить из того, что в нее окажутся вовлечены тысячи независимых субъектов, предоставляющих инфраструктуру и инструменты пользователям, то проблема менеджмента в такой «аморфной» среде окажется центральной проблемой Единственная подходящая форма, предусмотренная в отечественной гражданско-правовой системе, — это саморегулируемая организация (СРО). Она предполагает возможность применения достаточно сильных мер при аккредитации субъекта в организации, развитые возможности по контролю деятельности субъекта со стороны организации, механизмы оперативного рассмотрения и урегулирования коллизий, ответствен-

228 • глава 8. безопасность и надежность функционирования платежных технологий

ность за результаты деятельности В отдельных случаях в соответствии с законодательством исключение субъекта из соответствующей СРО тождественно запрету на легальную профессиональную деятельность .

Если реализуется такой или подобный этому алгоритм устройства общего менеджмента НПС, то в этих рамках после соответствующей адаптации вполне могут быть реализованы основные принципы корпоративного устройства системы обеспечения ИБ . Адаптация при этом сведется в основном к эквивалентной замене директивного управления на независимый аудит (аудит третьей стороной) и последующее реагирование организации в виде управления допустимыми полномочиями субъекта (через ограничение возможностей) на основе риск-ориентированных моделей Очевидно, что для этого должна быть создана соответствующая инфраструктура Она должна содержать механизмы подготовки и аккредитации достаточного количества аудиторов и аналитиков, необходимое нормативно-методическое и информационное обеспечение и инструментарий

При этом очень важно иметь в виду, что ИБ не самодостаточная область деятельности, а всего лишь часть общего менеджмента

Цели и задачи обеспечения ИБ, если они прямо не предусмотрены законом (например, Федеральный закон от 27 июля 2006 г . № 152-ФЗ «О персональных данных»), формируются общим менеджментом на основе того, какие процедурные и иные гарантии пользователям будут предоставляться функционалом НПС Данные цели и задачи должны быть обращены на то, чтобы кому-нибудь, например, не был «продан» несуществующий товар или оказана несуществующая услуга либо заблокированы активы пользователей вследствие, например, «информационных разборок» конкурирующих операторов НПС и т д

Все это — предмет серьезной проработки в конкретных практических условиях

Реально складывающиеся условия в большей или меньшей степени отличны от теоретически предполагаемых, поэтому не всегда возможно предвидеть каждую реальную ситуацию и отразить это в форме системы точных требований В этом случае формулируется система принципов1, отражающая основное содержание и модель восприятия, а также ожидаемые действия в некоторой предметной области

Это утверждение справедливо не только для бизнес-уровня, где, например, КПРС Банка международных расчетов сформулировано 14 принципов для международной гармонизации процесса разработки и развития национальных платежных систем в разных странах Накопленный за последние два десятилетия опыт, подкрепленный широкой практикой, нашел отражение и в области безопасности В числе авторитетных руководств, отражающих принципы безопасности для различных видов деятельности, можно выделить как универсальные

 

международные стандарты, такие как ISO/IEC 270001, так и отраслевые решения, например, изложенные в Руководстве ЕРС (European Payment Council) ЕРС397-08v1.1 по хорошим практикам безопасности дистанционного банковского обслуживания

Использование принятой в профессиональном сообществе системы принципов обеспечения информационной безопасности позволит сформировать условия для взвешенного и рационального решения практических задач

 

Страница: | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 | 21 | 22 | 23 | 24 | 25 | 26 | 27 | 28 | 29 | 30 | 31 | 32 | 33 | 34 | 35 | 36 | 37 | 38 | 39 | 40 | 41 | 42 | 43 | 44 | 45 | 46 | 47 | 48 | 49 | 50 | 51 | 52 | 53 | 54 | 55 | 56 |