1.2 Законодательство рф в абс
В настоящий момент деятельность банков в сфере защиты информации регламентируется Федеральным закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных»
Данный закон в первоначальной редакции включал 26 статей, последняя редакция данного закона датируется декабрем 2009 года.
Согласно «Статье 1» ФЗ152-Ф3
Статья 1. Сфера действия настоящего Федерального закона
Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.
Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.
Следовательно, деятельность АБС банков попадает под действие ФЗ 152-Ф3. В настоящий момент этот закон является основным для систем безопасности банков и обязателен к исполнению во всех банках России, без исключений. Основной проблемой, которую выделяют специалисты – это широкая сфера применения данного закона, как для компаний занимающимися регистрациями доменов, так и для крупнейших банков РФ.
Закон, регламентирующий банковскую деятельность должен соответствовать современным реалиям информационной безопасности, и не терпит обобщенных формулировок, должен содержать полный перечень стандартов и постоянно дорабатываться компетентным органом. Скорее - всего, именно эти проблемы и послужили причиной создания комплекса документов Банка России, описывающий единый подход к построению системы обеспечения ИБ организаций банковской сферы с учётом требований российского законодательства, или Стандарт Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС).
Июльская поправка 2010 (261-ФЗ) к 152-ФЗ "О персональных данных" наделила Банк России правами на разработку отраслевых нормативных документов по отдельным вопросам, касающимся обработки персональных данных, что узаконило СТО БР ИББС в качестве отраслевого стандарта обеспечения безопасности персональных данных. Кроме того, было так же утверждено право Банка России на разработку отраслевой модели угроз безопасности.
По данным на февраль 2011 года 66% от общего количества кредитных организаций России приняли стандарт либо планируют это сделать. Общая доля кредитных организаций, принявших стандарт, ожидается на уровне 75-80%. Отказались внедрять стандарт 5-10% кредитных организаций. Заняли выжидательную позицию 10-15% (в основном, малые банки)
В настоящий момент приняты и введены в действие распоряжением Банка России следующие стандарты (совокупность указанных документов принято называть Комплексом БР ИББС):
СТО БР ИББС-1.0-2010. Общие положения (4 редакция);
СТО БР ИББС-1.1-2007. Аудит информационной безопасности;
СТО БР ИББС-1.2-2010. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-20хх (3 редакция).
Кроме того, Банком России разработаны и введены следующие рекомендации в области стандартизации:
РС БР ИББС-2.0-2007. Методические рекомендации по документации в области обеспечения информационной безопасности в соответствие с требованиями СТО БР ИББС-1.0;
РС БР ИББС-2.1-2007. Руководство по самооценке соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0;
РС БР ИББС-2.2-2009. Методика оценки рисков нарушения информационной безопасности;
РС БР ИББС-2.3-2010. Требования по обеспечению безопасности персональных данных в информационных системах персональных данных организаций банковской системы Российской Федерации;
РС БР ИББС-2.4-2010. Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации.
Методика оценки соответствия (СТО БР ИББС-1.2-2010) включает в себя 423 частных показателя ИБ, сгруппированных в 34 групповых показателя. Кроме того, Методика содержит 34 уточняющих вопроса Приложения В (69 с учётом подвопросов), связанных с защитой персональных данных. Результатом оценки является 8 оценок степени выполнения требований Стандарта по направлениям ИБ и итоговая оценка R. Значения всех групповых показателей ИБ и оценок по направлениям ИБ должны быть отображены на итоговой диаграмме соответствия. Выделяют 5 уровней соответствия стандарту. Банком России рекомендованы уровни 4 и 5.
Существует ряд программ предназначенных для определения соответствия СТО БР ИББС, одну из них я буду использовать при построении программно-аппаратного комплекса, обеспечивающего защиту АБС.
Основными же органами, контроля и регламентирования и сертификации согласно закону 152-ФЗ являются Федеральная служба по техническому и экспортному контролю (ФСТЭК России) и Федеральная Служба Безопасности РФ (ФСБ)
ФСБ России организует сертификацию СЗИ и аккредитацию испытательных лабораторий.
ФСТЭК решает следующие вопросы:
1) обеспечения безопасности (некриптографическими методами) информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере, в том числе в функционирующих в составе критически важных объектов Российской Федерации информационных системах и телекоммуникационных сетях, деструктивные информационные воздействия на которые могут привести к значительным негативным последствиям;
2) противодействия иностранным техническим разведкам на территории Российской Федерации;
3) обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;
4) защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;
5) осуществления экспортного контроля.
Стоит отметить, что в данном разделе рассматриваются только те структуры, с которыми наиболее активно приходится взаимодействовать банкам, в общей же структуре защиты информации гораздо больше организаций, осуществляющих подобный контроль, но вступающих в действие только в случае утечки данных, или взломов, краж.
- Содержание
- Обозначения и сокращения
- 1 Аналитическая часть
- 1 Технико-экономическая характеристика предприятия
- 1.1 Характеристика подразделений банка и видов их деятельности
- 1.2 Законодательство рф в абс
- 1.3 Концепция построения и типизации Средств Защиты Информации
- 1.3.1 Виды угроз безопасности в телекоммуникационной системе
- 1.3.2 Атаки на уровне субд
- 1.3.3 Атаки на уровне ос
- 1.3.4 Атаки класса “отказ в обслуживании”
- 1.3.5 Возможные атаки на уровне сети
- 1.3.6 Методы защиты от атак
- 1.4 Банк-Клиент
- 1.4.1 Классификация
- 1.4.4 Эцп
- 1.4.5 Usb-Token
- 1.4.6 Кардинг
- 1.4.7 Уязвимости по
- 1.4.8 Дбо Атаки
- 1.6 Инсайдеры
- 1.7 Сетевые угрозы
- 1.7.1 Типы сетевых атак
- 1.7.2 Угрозы сетевой безопасности исходящие от беспроводных сетей
- 1.7.3 Системы сетевой безопасности Cisco 2011
- 1.7.4 Средства обеспечения сетевой безопасности
- 1.7.5 Межсетевой экран
- 1.8 Антивирус
- 1.8.1 Технологии обнаружения вирусов
- 1.8.2 Режимы работы антивирусов
- 1.8.3 Антивирусный комплекс
- 1.9 Криптография и скзи
- 1.9.1 Методология с использованием ключа
- 1.9.1.1 Симметричная (секретная) методология
- 1.9.1.2 Асимметричная (открытая) методология
- 1.9.2 Распространение ключей
- 1.9.3 Алгоритмы шифрования
- 1.9.3.2 Асимметричные алгоритмы
- 1.9.4 Хэш-функции
- 1.9.5 Механизмы аутентификации
- 1.9.6 Электронные подписи и временные метки
- 1.9.7 Криптопровайдер
- 1.9.8 Рутокен Pinpad
- 2 Проектная часть
- 2.1 Программно-аппаратное обеспечение
- 2.2 Схема взаимодействия эшелонов защиты
- 2.2.1 Подробные схемы взаимодействия эшелонов защиты скуд
- 2.1.2 Подробная схема безопасности сети банка.
- 2.2 Bsat – комплекс проверки соответствия сто бр иббс
- 2.3 Характеристика программно-аппаратного комплекса
- 3 Расчет затрат на создание программного продукта
- 1. Расчет на составление синтезированной схемы взаимодействия
- 3.1.1 Расчет длительности этапов проектировки
- 3.1.2 Расчет материальных затрат
- 3.1.3 Расчет фонда оплаты труда (фот) проектировщиков системы
- 3.1.4 Расчет величины страховых взносов во внебюджетные фонды
- 3.1.5 Расчет затрат на амортизацию оборудования, используемого при проектировке системы
- 3.1.6 Расчет затрат на электроэнергию, используемую оборудованием в процессе проектировки схемы
- 3.1.7 Расчет прочих расходов