Кибербезопасность в условиях электронного банкинга. Практическое пособие

– РС БР ИББС-2.9-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации» [41], введение: «Наибольшими возможностями для нанесения ущерба, в том числе неумышленного, организации БС РФ и (или) ее клиентам в части возможного нарушения конфиденциальности обрабатываемой информации обладают работники организации БС РФ и (или) иные лица, обладающие легальным доступом к информации, – возможные внутренние нарушители информационной безопасности»;

– РС БР ИББС-2.9-2016, раздел 8: «Организации БС РФ рекомендуется рассматривать следующие категории возможных внутренних нарушителей:… Категория А. Пользователи АБС и приложений…, Категория Б. Эксплуатационный персонал., Категория В. Технический и вспомогательный персонал – лица, в том числе не являющиеся работниками организации БС РФ, не обладающие полномочиями по доступу к информации конфиденциального характера, но осуществляющие непосредственный физический доступ в помещения, в которых осуществляется обработка такой информации»;

– РС БР ИББС-2.5-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Менеджмент инцидентов информационной безопасности» [40], раздел 6: «Основными источниками угроз ИБ являются. работники организации БС РФ, реализующие угрозы ИБ с использованием легально предоставленных им прав и полномочий (внутренние нарушители ИБ)».

2. Согласно базовой модели нарушителя для СКЗИ, внутренний нарушитель из числа лиц, имеющих право постоянного или разового доступа в контролируемую зону, который не имеет права доступа к средствам вычислительной техники с СКЗИ и самостоятельно осуществляет создание способов атак, подготовку и проведение атак, относится к типу Н2.

Внутренние нарушители более высокого типа обладают более широким набором возможностей.

3. Следствие из п. 1 и 2: при эксплуатации СКЗИ в ИС организаций банковской системы Российской Федерации следует рассматривать нарушителя как минимум типа Н2.

4. Приказом ФСБ России от 10.07.2014 № 378 [29] и Рекомендациями по стандартизации Р 1323565.1.012-2017 установлено, что:

– СКЗИ всех классов должны противостоять атакам, проводимым из-за пределов контролируемой зоны;

– СКЗИ классов KC2 и выше должны противостоять атакам, проводимым из пределов контролируемой зоны.

5. Следствие из п. 1–4: в ИС организаций банковской системы Российской Федерации должны использоваться СКЗИ классов КС2 и выше. И в целом нормативными документами ФСБ России установлено, что при отнесении заказчиком нарушителя к типу Н2 СКЗИ должно обеспечить криптографическую защиту по уровню КС2. Если тип нарушителя выше Н2, выше и уровень СКЗИ.

6. Согласно п. 6.1.3 Рекомендаций по стандартизации Р 1323565.1.0122017, в качестве составной части СКЗИ классов KC2 и выше должна быть реализована система защиты от несанкционированного доступа к защищаемой СКЗИ информации.

7. Согласно п. 6.1.9е Рекомендаций по стандартизации Р 1323565.1.0122017, до начала обработки информации, безопасность которой должна обеспечиваться СКЗИ, следует проводить, в частности, контроль целостности СКЗИ.

8. Следствие из п. 6 и 7: система защиты от несанкционированного доступа к защищаемой СКЗИ информации должна реализовывать механизм контроля целостности до загрузки ОС СВТ. Из этого, в свою очередь, следует, что в составе системы защиты от несанкционированного доступа к защищаемой СКЗИ информации для класса КС2 и выше должно использоваться средство доверенной загрузки.

9. Согласно п. 4.8 Рекомендаций по стандартизации Р 1323565.1.0122017, СКЗИ должны отвечать требованиям по безопасности информации, устанавливаемым в соответствии с законодательством Российской Федерации. Приказом ФСБ России от 10.07.2014 № 378 [29] установлено, что для обеспечения защищенности необходимо использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

10. Следствие из п. 6–9: для СКЗИ классов КС2 и выше должно использоваться средство доверенной загрузки, сертифицированное ФСБ России.