Применение технологий электронного банкинга: риск-ориентированный подход

Наиболее общий вариант предусматривает формирование DMZ (рис. 5.6) в вычислительных сетях с двумя брандмауэрами, разделяющими сетевые сегменты с возможностями внешнего доступа и доступа исключительно «изнутри». Граничный маршрутизатор фильтрует пакеты данных и обеспечивает защиту серверов во внешней зоне, тогда как первый брандмауэр предназначается для контроля доступа и защиты на случай, если эти сервера будут атакованы. Те сервера, которые требуется защищать от НСД и из внешней среды и из внутренней вычислительной сети, логично располагать между двумя брандмауэрами. Обычно DMZ реализуется с помощью сетевых коммутаторов, помещаемых между брандмауэрами или между брандмауэром и граничным маршрутизатором, при этом считается, что сервера удаленного доступа и точки входа в VPN лучше размещать в сетях с DMZ. Это позволяет уменьшить вероятность того, что внешние атаки смогут достичь внутренних сегментов, а с помощью брандмауэров будет усилен контроль доступа пользователей сети. В то же время управление конфигурациями такого рода и настройкой сетевых компонентов желательно документировать и контролировать «четырьмя глазами» в силу их значимости для кредитной организации как упоминавшихся ранее «виртуальных ворот» к ее СЭБ, БАС и информационным активам.

В базовой конфигурации брандмауэры работают с малым числом сетевых уровней, усовершенствованные брандмауэры охватывают большее их число. В терминах функциональности последние более эффективны и предпочтительны. «Охват дополнительного уровня повышает „гранулярность“ конфигурации брандмауэра, т. е. он может осуществлять более детальный контроль и работать с большим числом прикладных программ и сетевых протоколов, а также стать клиент-ориентированным, выполняя проверку аутентичности». Брандмауэры, работающие только на уровнях 2 и 3, обычно для этого не пригодны, но более совершенные брандмауэры — прокси-шлюзы — могут обеспечивать опознавание и реагировать на шаблоны событий, ассоциируемых с клиентом. В кредитной организации целесообразно документально обосновать и установить уровни контроля сетевого трафика, распределив ответственность за настройку сетевых средств контроля и защиты и зафиксировав внутрибанковские документы, регламентирующие такие настройки и порядок их использования. К слову сказать, настройка брандмауэров является достаточно «тонкой» задачей, схожей с программированием, и для этого используются специалисты, обладающие необходимыми знаниями; их работу следует контролировать, поскольку неточности в такой настройке (допущенные случайно или намеренно) образуют «дыры» в сетевой защите кредитной организации, из-за чего ей и ее клиентам может быть нанесен значительный ущерб.

В современных условиях использования сетевых технологий в обеспечение банковской деятельности необходимой процедурой стало тестирование возможностей проникновения[151] в БАС и СЭБ кредитной организации (о чем упоминалось в главе 3 в связи с анализом жизненных циклов внутрибанковских процессов и автоматизированных систем). Такие процедуры целесообразно организовывать на основе официально принятых и документированных решений в кредитной организации, после чего для них специалистами службы ИТ и СБ при участии представителей ВК разрабатываются собственно тесты, контрольные примеры, программы и методики проведения тестирования, а также составляются итоговые документы (протоколы и акты). Для проведения таких тестов целесообразно использовать стендовые средства, аналогичные операционным в кредитной организации, с тем чтобы можно было отлаживать прикладные программы и проводить дополнительные испытания без вмешательства в текущую банковскую деятельность и ее приостановки для проведения очередных функциональных проверок.

Также следует отметить, что определение содержания, этапов, методик, средств тестирования и содержания итоговой отчетности по ним не должно оставаться неизменным на протяжении ЖЦ банковских автоматизированных систем и внутрибанковских процессов. Изменения в них обусловлены рядом причин: устареванием и компрометацией АЛО, внедрением новых технологий и систем электронного банкинга, возникновением нетипичных угроз надежности компьютеризованной банковской деятельности и т. д. Ввиду того что такие угрозы могут при неудачном стечении обстоятельств реализоваться в крупномасштабные инциденты информационной безопасности, сопоставимые по ущербу с форс-мажорными обстоятельствами, всей информации, которая имеет отношение к тестированию (особенно к его результатам), целесообразно официально придать статус сведений ограниченного распространения.