загрузка...

ПАРАДИГМА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ НАЦИОНАЛЬНОЙ ПЛАТЕЖНОЙ СИСТЕМЫ

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ НПС.

ОБЪЕКТЫ, ПРЕДМЕТЫ, ОТНОШЕНИЯ

Под национальной платежной системой в соответствии с определением, дан­ным в Законе о НПС, понимается:

«совокупность операторов по переводу денежных средств (включая операторов элек­тронных денежных средств), банковских платежных агентов (субагентов), платежных агентов, организаций Федеральной почтовой связи при оказании ими платежных услуг в соответствии с законодательством Российской Федерации, операторов платежных си­стем, операторов услуг платежной инфраструктуры (субъекты национальной платежной системы)».

Как объект защиты НПС представляет собой достаточно сложную и неодно­родную структуру, объединенную положениями закона в некую виртуальную единую систему, которой по своей природе она не является . Целый ряд различных категорий субъектов этой виртуальной системы уже давно присутствует на оте­чественном финансовом рынке и рынке услуг, осуществляя свою деятельность, руководствуясь соответствующим федеральным законодательством: «О банках и банковской деятельности»; «О деятельности по приему платежей физических лиц, осуществляемой платежными агентами»; «О банке развития»; «О почтовой связи»; «О связи»1 (прием платежей операторами мобильной связи).

В этой связи положения Закона о НПС призваны в какой-то мере установить основополагающие системные категории, подлежащие учету и единообразной реализации участниками этого рынка, а также подлежащие контролю единым го­сударственным регулятором . В подобных условиях крайне затруднительно сфор­мулировать работоспособные, имеющие практическое воплощение, основопола­гающие понятия для того или иного среза деятельности применительно к НПС, но потребность в этом есть

Руководствуясь основными правилами терминологии и соответствующими нормами, можно дать следующее определение понятию «информационная без­опасность национальной платежной системы» (произошло от определения «ин­формационная безопасность» и содержания задач (целей деятельности) объекта защиты):

«Состояние защищенности целей деятельности НПС от угроз в информационной сфере, обеспечивающее реализацию задач эффективности и бесперебойности, а также адекват­ности национальной платежной системы потребностям экономики, банковского сектора и финансового рынка Российской федерации».

Приведенное определение понятия «информационная безопасность наци­ональной платежной системы» достаточно абстрактно, но на этом уровне иным оно быть и не может . Назначением его может быть определение общего контек­ста и направления работ всех субъектов системы, деятельность которых будет иметь уже более конкрентое наполнение с учетом его роли в системе и более яв­ное отражение в практике

Для аналогичных целей в 2000 г . в документе «Доктрина информационной безопасности Российской Федерации» было приведено определение понятия «информационная безопасность Российской Федерации» :

«Под информационной безопасностью Российской федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства».

Совершенно очевидно, что из данного понятия не проистекает система прак­тических задач, но далее в контексте документа формулируется перечень специ­фичных угроз и мер по противодействию

Ровно для этих же целей было приведено определение понятия «информаци­онная безопасность национальной платежной системы» . На практике основу си­стемы мер противодействия угрозам в информационной сфере целям НПС будут составлять решения как в узком — техническом, так и в более широком — техно­логическом и общеметодологическом плане . При этом основным «исполнитель­ным механизмом» системы мер противодействия угрозам в информационной сфере целям ПНС будет организация-участник (пользователь услугами НПС), ко­торая по этим же причинам будет являться и основным объектом контроля и над­зора регулятора НПС Физические лица — пользователи услугами системы будут



прямо или косвенно охвачены решениями и технологиями организаций-участни- ков (пользователей услугами НПС).

В этой связи далее будет сделан акцент на деятельности и решении на уровне организации — основной категории участников НПС .

основные понятия и источники парадигмы информационной безопасности для нпс в современных условиях

Проблема информационной безопасности (ИБ) вообще, а для рассматривае­мой предметной области в частности может трактоваться как в узком, так и ши­роком смысле

В узком смысле она известна с момента зарождения социума и процессов це­ленаправленной деятельности . Именно тогда возникают фундаментальные сущ­ности, не имеющие прямого материального выражения, — системы отношений «субъект — объект», «субъект — субъект» ; представление цели деятельности как состояния будущего в виде абстрактных информационных моделей; планов по реализации этих целей в виде тех же моделей

В широком, современном смысле проблема ИБ в России насчитывает не бо­лее двадцати лет, так как для ее возникновения необходимо было наличие ряда основных условий, актуализировавшихся в этот период

1. Должно было сформироваться сообщество независимых субъектов, дей­ствующих (реализующих свой бизнес, свои цели) самостоятельно, на свой риск .

2 . Это сообщество должно было быть достаточно многочисленным для того, чтобы между субъектами сложились условия возникновения конфликта интере­сов, связанных с различными аспектами реализации целей их деятельности1

3 . Должен был сформироваться и войти в практику новый тип объектов — информационный объект, а также система отношений «субъект — информаци­онный объект», «множество субъектов — информационный объект» .

4 . Должна была сложиться развитая «операционная среда», обеспечивающая накопление, хранение, обработку, обмен информации между заинтересованны­ми и (или) причастными сторонами .

В силу того, что все эти условия должны выполняться одновременно для раз­витых стран мирового сообщества, проблема ИБ также является новой, пик гло­бальной информатизации в мировом обществе начался в 1980-е гг .

В жизни проблема ИБ проявляется в виде противоборства вовлеченных сто­рон (субъектов), в котором каждый стремится поставить каждого под свой кон­троль, неявно управлять его деятельностью в своих интересах на основе манипу­ляций с потребляемой ими информацией (информационной сферой) либо как ми­нимум нанести ущерб целям его деятельности, воздействуя на информационную



сферу противника . Практически всегда конечной целью противников является получение материального (ресурсного) выигрыша, хотя все основные действия противоборства и осуществляются на «информационном поле» . Указанный тезис иллюстрирует рис . 8.1.


Рис. 8.1. Противоборство субъектов в информационной сфере

Как видно из рис . 8.1, материальная сфера включает совокупность различ­ных объектов, представляющих для субъектов определенную ценность и рассма­триваемых ими в качестве ресурсов . Между субъектами возникает конфликт, который выражается в стремлении каждого из них завладеть ресурсами, необхо­димыми для реализации собственной цели, а также в стремлении воздействовать на реализацию целей противников путем дезорганизации их деятельности и по­лучения контроля над необходимыми им ресурсами . Проблема информационной безопасности в данном конфликте возникает тогда, когда материальные объекты имеют отражение в информационной сфере и большинство субъектов взаимо­действует не с реальными ресурсами, а с их информационным отображением Итогом противоборства в информационной сфере будет либо материальное пре­имущество одного из субъектов перед другим, либо создание ситуации, при кото­рой один из субъектов не сможет достичь целей своей деятельности совсем или достичь целей с наименьшими возможными издержками

В качестве примера подобного противоборства можно привести следующую ситуацию . Организация использует критически важный для ее деятельности ре­сурс, к примеру, оборудование, необходимое для осуществления деятельности Данное оборудование отражено на балансе организации в виде соответствующих



записей бухгалтерского учета, которые представляют собой информационное отображение материального объекта . Противник (конкурирующая организация) организует некоторые манипуляции с указанными записями, в результате кото­рых информационное отображение ресурса будет уничтожено или существенно искажено, что создаст неопределенность относительно наличия прав организа­ции на распоряжение оборудованием и его использование Продолжением опи­сываемого информационного нападения могут быть следующие действия раз­личных субъектов, использующие созданную неопределенность и наносящие деятельности организации ущерб:

■ действия банка, в залоге у которого находится оборудование;

■ предъявление прав на оборудование третьим лицом;

■ невозможность проведения разрешительных и контролирующих действий органами власти из-за отсутствия правоустанавливающих документов

При этом используется фундаментальное свойство процесса и результата (ре­ализовавшейся цели) целенаправленной деятельности, а именно их зависимости от качества и количества потребленной информации . Действительно, цель как состояние будущего есть не что иное, как прогноз, и он не может быть точным Процесс принятия различных решений, использующий для этих целей информа­цию о состоянии задействованных активов и среды, наоборот, основывается на информационных образах активов и среды, которые уже неактуальны («устарев­шие»). Непрерывная актуализация информационных образов активов и среды для системы принятия решений «поглотит» весь полезный ресурс процесса, а для некоторых видов активов (ресурсов) она вообще нереализуема .

Таким образом, процесс целенаправленной деятельности сам по себе без вся­кого противоборства и злоумышленников содержит риск успешной реализации цели, и это риск информационной природы Теоретически, как предельный слу­чай, существует и безрисковая реализация таких процессов, но для этого необ­ходимо наличие бесконечно большого ресурса и бесконечное время реализации процесса Понятно, что на практике такой процесс нереалистичен

В связи с этим процесс целенаправленной деятельности всегда содержит естественно (natural) присущий ему риск достижения заявленной цели . Этот риск часто называют стохастической составляющей процесса . Очевидно, что все происходящие события в пределах этого риска будут восприниматься как прав­доподобные, независимо от их настоящей природы . Это и создает возможность манипулирования информацией для противоборствующей стороны и поясняет одну из «типовых злоумышленных стратегий» . Она состоит в том, чтобы, навя­зывая ложные представления о состоянии процесса и реализуемой цели, «уве­сти» от нее как можно «дальше» и создать ресурсные сложности, чтобы вывести процесс за интервал времени, когда истинная (задуманная, заявленная) цель еще актуальна, и потратить на ее реализацию как можно больше ресурса То есть по­низить его эффективность до уровня, когда естественное «воспроизводство» процесса окажется невозможным, что и приведет в конечном счете к уничтоже­



нию противоборствующей стороны и последующему захвату его ресурсов и ин­фраструктуры .

НПС позиционируется как совокупность очень большого количества отно­сительно независимых субъектов-участников (операторов по переводу, банков­ских и небанковских платежных агентов (субагентов), организаций Федеральной почтовой связи при оказании ими платежных услуг, операторов платежных си­стем, операторов услуг платежной инфраструктуры), предоставляющих пользо­вателям достаточно ограниченный набор сервисов (услуг) и функционирующих фактически на рыночных принципах . Такое устройство изначально предполагает сильный конфликт интересов между участниками и, как следствие, высокий уро­вень противоборства сторон

Информационный в основном характер их деятельности автоматически перево­дит противоборство в информационную сферу . Для этого у них имеются все необхо­димые предпосылки и возможности, а также глубокие знания предметной области

Исходя из этого теперь можно сформулировать в общем виде стратегию по­ведения и критерий успеха для противоборствующих сторон . Очевидно, что необ­ходимо хорошо прогнозировать не только собственные цели и состояние «своих» процессов, но также и «чужих», тех, которые состоят в «конфликте интересов» с собственными целями и процессами; своевременно и адекватно реагировать на выявляемые изменения; уметь «извлекать пользу» из этих изменений .

Соответственно можно сформулировать и критерии успеха в противобор­стве . Действительно, успех будет достигнут той стороной, которая лучше реали­зует заявленные цели деятельности, т . е . лучше (точнее и на больший интервал времени) прогнозирует, лучше (быстрее и адекватнее) приспосабливается (адап­тируется) к сложившимся условиям

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ СУБЪЕКТА НПС

Основой (платформой) для лучшего соответствия требованиям критериев успеха деятельности организации — субъекта национальной платежной системы является, с одной стороны, способность к извлечению (добыванию) полезной ин­формации, ее систематизации, накоплению и анализу, а с другой — способность к ее обобщению, формированию сильного знания . Именно знания и являются основанием для уверенности в качестве и точности реализации целей деятельно­сти . Но необходимы не просто знания, а знания, обобщенные до уровня хорошей (лучшей) практики (goodpractice), пригодные к прямому их использованию в кон­кретных условиях (рис . 8.2).

Естественно, возникает вопрос о том, какие знания нужны, в какой сфере, в рамках каких моделей и процедур они могут быть получены, каким образом они должны использоваться . Ответы на эти вопросы фактически и определяют основ­ной состав и содержание деятельности службы информационной безопасности организации



Чтобы на них ответить, рассмотрим изначально уже «классическое» опреде­ление понятия ИБ для организаций банковской системы (БС) России .

информационная безопасность: состояние защищенности целей деятель­ности организации от угроз в ее информационной сфере. Отметим, что ИБ есть состояние, т е она рассматривается как процесс, состояние которого может из­меняться, может быть «лучше» предыдущего, «хуже» предыдущего или вообще «плохим» . Предполагается, что оно может быть измерено и что процессом мож­но управлять, переводя его из «плохого» состояния в «хорошее», воздействуя на различные параметры процесса . Такое предположение является на самом деле довольно сильным допущением, так как прямые измерения безопасности даже теоретически невозможны в силу сформулированных выше критериев .

Другими словами, проблемой измерений в сфере безопасности является за­дача измерения отсутствия инцидентов . Сегодня их нет, и через неделю, и через месяц . Так адекватна ли ИБ объекта (организации, вида бизнеса и т . п . ), оператив­на ли, функциональна ли?

Понять, какая у вас реально безопасность, можно только по факту нападе­ния и нанесения объекту ущерба . В связи с этим всегда, когда говорят об оцен­ках безопасности, надо понимать, что речь идет о некоторых косвенных оценках большого количества измеряемых параметров (их метриках и шкалах) с последу­



ющим их агрегированием в общую оценку, основанную на методах (методиках) с сильной экспертной составляющей .

Учитывая существенную значимость оценки для проблемы обеспечения ИБ, она является одной из областей накопления знаний и по мере их накопления пе­ресматривается для большей ее адекватности реальному состоянию дел.

Следующая используемая в определении ИБ сущность — защищенность (об­ратное ей — уязвимость) — способность противостоять (противодействовать) действиям противоборствующей стороны — наиболее просто объясняется через величину ущербов, наносимых действиями противной стороны .

Каждый раз, когда реализуется негативно влияющее событие на наши цели деятельности, мы пытаемся понять величину нанесенного нам или ожидаемого в ближайшем будущем ущерба . Не вдаваясь в детали этого понятия (рассмотрим далее), отметим, что каждый раз мы оцениваем потенциально возможный в дан­ной конкретной ситуации ущерб и реально нанесенный . Пусть Уп — потенциаль­но возможный ущерб, а Ур — реальный .

Понимая под защищенностью З отношение


Говоря далее о целях деятельности организации и ущербе, который может быть нанесен целям деятельности, необходимо прежде всего отметить пробле­му измерений и оценки как цели, так и ущерба . Она практически аналогична уже рассмотренной проблеме оценки ИБ с той разницей, что оценка целей ос­новывается на ее формализации как минимум до уровня, пригодного до оценки; ущерб же — это экономическая категория и требует более точных и «тонких» мо­делей . Наиболее опасными (значимыми) видами нанесенного ущерба являются различные неисполненные обязательства . Важно то, что ущерб является для ИБ фундаментальным понятием, система безопасности для того и создается, чтобы избежать ущербов в ситуации противоборства В связи с этим до тех пор, пока не формализована эта сущность (ущерб), говорить о возможности создания систе­мы безопасности (или об оценке уже существующей системы) затруднительно .

Также фундаментальным понятием является и понятие угрозы . В общем слу­чае к угрозам должны быть отнесены все факторы и обстоятельства, способные оказать ощутимое негативное влияние на реализацию цели . Их описывают, клас­сифицируют по разным признакам Например, могут быть угрозы, связанные с внешним злоумышленником, а могут быть угрозы со стороны собственного пер­сонала, угрозы, связанные со стихийными бедствиями, терроризмом и т д

Говоря об угрозах, необходимо прежде всего отметить их информационный аспект, о них нужно знать, и тем более о тех, которые могут нанести существен­



ный ущерб . Причем это знание для возможности его практического использова­ния должно быть достаточно детальным . Существуют различные классификато­ры (перечни) угроз, и они достаточно стабильны, однако факторы, обусловлива­ющие проявление и влияние этих угроз на конкретные процессы и объекты, равно как и сами объекты, непрерывно изменяются, поэтому требуется постоян­ная актуализация связанных с этими источниками данных, их анализ и идентифи­кация новых рисков (факторов рисков) целям деятельности организации в связи с выявленными изменениями . Такому исследованию должна подвергаться как информация внутри объекта, так и вне его . Цель — добыть (извлечь) полезную информацию для обеспечения безопасности объекта . Реально это представляет целенаправленный процесс поиска различных закономерностей в больших не­структурированных объемах данных с последующим документированием выво­дов и предположений, подтверждающих или уточняющих имевшиеся сценарии (модели) «хорошего» и «плохого» .

И наконец, последняя сущность, определяющая понятие ИБ, — информаци­онная сфера организации . К ней относится все, что используется организацией в информационном виде для достижения ее целей, а также инфраструктура, обе­спечивающая информационные процессы организации . Один из компонентов информационной среды — описание (информация относительно) объектов мате­риального мира, задействованных в процессах организации . Кроме того, она вклю­чает нормативную базу, соглашения и договоры с вовлеченными сторонами, отчет­ность, как внутреннюю, так и внешнюю, системы документооборота, планы и т д

аспекты изменчивости информатики и материальной среды организации в задачах обеспечения информационной безопасности нпс

Очевидно то, что информационный мир зачастую существенно сложнее, шире и глубже, чем материальный, и для успешной деятельности организации материальный мир и информационный мир должны быть максимально адекват­ны друг другу

Понятно, что если материальный объект реально существует, но его отобра­жение в информационном мире отсутствует, то объект может быт «изъят» из оборота собственника без всяких последствий Тем самым будет нанесен ущерб Такая ситуация может быть создана искусственно, так как для операций с описа­нием реальных объектов их фактическое наличие при этом не требуется1 .

Это один из инструментов противоборства субъектов . Обычно процесс про­тивоборства рассматривают с позиций одной из взаимодействующих сторон Как правило, один из субъектов — это собственник, а другой — злоумышленник,



стремящийся получить контроль над активами собственника в своих целях . Хотя конфликт интересов, разрешающийся в форме противоборства, является самым опасным, современные представления об ИБ этим не исчерпываются и охватыва­ют все возможные виды и источники ущербов целям организации, включая не­преднамеренные

Важно лишь то, что нанесенный ущерб имел «информационную природу», был связан с различными аспектами создания и применения информационной сферы . Так, например, некий субъект, реализовав свою цель, может тем самым су­щественно повлиять на цели других субъектов, вследствие чего у последних суще­ственно вырастут издержки .

В силу того, что такие издержки не прогнозировались, они будут рассматриваться как ущерб То есть субъекты, реализуя свои цели, могут наносить ущерб друг другу, государству (если деятельность осуществляется в зоне ответственности государства), государство может нанести ущерб субъектам, изме­няя условия лицензирования и надзора, изменяя гражданско-правовую систему, и наконец, субъект может нанести ущерб «сам себе», некорректно приняв неадек­ватный риск . Все указанные аспекты связаны с целеполаганием и процедурами принятия решений и поэтому имеют информационную природу

Одна из основных причин такого расширенного толкования ИБ связана с су­щественным качественным и количественным увеличением информационной сферы, увеличением ее сложности, а также степенью ее влияния на цели деятель­ности любого субъекта . Это привело к тому, что если ранее успех или неуспех дела связывался с различного рода ресурсными ограничениями, то сейчас все бо­лее связывается с качеством и номенклатурой сущностей информационной со­ставляющей процессов

Одним из последствий такого положения является то, что зачастую затруд­нительно идентифицировать прямых и косвенных выгодоприобретателей от ре­зультатов операций в информационной сфере, в том числе и платежных . Вас мо­гут вынудить осуществить платеж анонимному лицу, когда вы не имеете таких намерений, или же, обратно, вы намерены осуществить платеж и выполнили все необходимые от вас операции, но возникают непредвиденные и неизвестные вам обстоятельства, которые не позволяют завершить операцию успешно . В итоге по­лучатель не располагает сведениями о приходе от вас платежных средств, и это может привести к конкретному ущербу (штрафам, пеням и т . д . ).

В общем случае предметом ИБ становится любая деятельность в рамках ин­формационной сферы, способная порождать риски целям деятельности . Учиты­вая то, что, как уже отмечалось ранее, этот риск нельзя сделать пренебрежитель­но малым, необходимо создать систему, способную контролировать этот риск и удерживать его на уровне, приемлемом для успеха реализации целей деятель­ности . Понятно, что система должна представлять собой комплекс различных взаимоувязанных мер противодействия риску

Однако создать систему безопасности можно с одним на самом деле очень сильным допущением . Оно состоит в том, что созданная система безопасности



неизбежно будет отражать наше же понимание пределов возможного (допусти­мого) поведения субъектов в информационном мире . Однако информационный мир сам есть отображение сущностей, которые изначально не могут быть строго регламентированы . Так, например, отношения «субъект — субъект» могут быть любыми и определяться взаимными обязательствами практически любых форм и природы . Здесь важно лишь то, что эти обязательства признаются взаимодей­ствующими субъектами . Можно лишь говорить о соответствии этих обязательств целям взаимодействия субъектов, но и цели могут быть самыми разнообразными . Эти аспекты относятся к естественно (natural) присущим правам субъектов . Их нельзя (невозможно) директивно (законодательно) отменить, за исключением до­статочно очевидных и идентифицируемых на основе простых и однозначно всеми интерпретируемых критериев ситуаций (случаев) заведомого нанесения ущерба (вреда) другим субъектам . В остальных случаях все эти «нюансы», отображаясь на информационную сферу и ее инструменты, будут порождать «серую» (быть может, бессмысленную) для стороннего наблюдателя систему реализующихся видов деятельности, на самом деле целенаправленную

В указанном смысле построить изначально корректную (непротиворечивую) систему правил поведения субъектов в информационной сфере не представля­ется возможным . Практически же любые действия приходится признавать допу­стимыми, т. е . это среда без существенных ограничений, в которой «все средства хороши» . А это значительное преимущество противоборствующей стороны, так как злоумышленник продумывает конкретную атаку (вторжение) в конкретных условиях, в то время как собственник пытается построить систему безопасности от всех, в том числе и заранее ему неизвестных, атак . С этими же особенностя­ми связано еще одно важное обстоятельство . Оно состоит в том, что собственник для идентификации действий противоборствующей стороны должен обязатель­но накопить некоторый объем информации, т е в течение некоторого интервала времени (времени идентификации) он не видит уже предпринятой против него атаки . Если это новая атака, то, скорее всего, она будет идентифицирована после нанесения ущерба То есть собственник приобретает знание «в обмен» на поне­сенный ущерб . Это его «плата» за знание .

У собственника и злоумышленника существенно разные подходы к проблеме накопления и обобщения знаний Так, злоумышленник, разрабатывая свою атаку (вторжение), вынужден изучать систему безопасности собственника, в том числе и путем ее исследования, т. е . эксперимента на реальном объекте . Это особо цен­ное знание

В свою очередь задача собственника состоит в том, чтобы, во-первых, воспре­пятствовать процессу изучения, удлинить во времени этот процесс и, во-вторых, своевременно его идентифицировать, задокументировать и исследовать Задача данного исследования — установить цель атаки злоумышленника и в конечном счете нейтрализовать ее, приняв соответствующие превентивные меры



Понятно, что процесс накопления знаний собственника о злоумышленнике содержит существенное ограничение . Оно состоит в том, что собственник не мо­жет сам поставить «чистый» эксперимент на злоумышленнике . Его возможности ограничиваются имитацией злоумышленника, как правило, им самим же приду­манной . Ценность такого знания существенно ниже .

В общем случае в безопасности рассматриваются две разновидности зна­ний — знание информационное и знание эмпирическое . Информационное зна­ние получается на абстрактных информационных моделях, либо это знание, полу­ченное от других лиц (субъектов). Такой тип знания может быть получен быстро и в больших объемах . Однако это «слабое» знание . Эмпирическое знание, напро­тив, — это обобщение собственной практики . Оно основано на реальной факту­ре, реально произошедших событиях в конкретных условиях . Однако это очень «медленное» знание . На практике необходимо использовать оба вида знаний . Во многих случаях чужой опыт может принести пользу, «напрямую» им практи­чески никогда не удается воспользоваться, так как контекст (условия, факторы и обстоятельства), в котором знание было получено, не совпадает с собственным контекстом, в котором оно будет применено Наилучшей с точки зрения инфор­мационного противоборства можно считать ситуацию, когда примерно 70% зна­ния составляет эмпирическое знание, а остальные 30% — информационное .

Этим в основном и определяются как востребованные в безопасности источ­ники знаний, так и процедуры их накопления и обобщения

В связи с этим, возвращаясь к подходам накопления знаний собственника и злоумышленника, знания собственника о злоумышленнике в основном инфор­мационные . Чтобы их усилить, собственник, как правило, привлекает экспертов, осуществляет экспертизы принятых им решений, стремится использовать в сво­ей системе безопасности лучшую практику

Однако недостаточно только создать систему ИБ . Необходимо также уметь ее пересматривать и совершенствовать, притом так, чтобы обеспечить ее высо­кую и (или) надлежащую эффективность в «фарватере» осознаваемых рисков . Очевидно, что система, которая стоит дороже, чем суммарный видимый ущерб, который она потенциально способна предотвратить (как правило, не полностью), никому не нужна

Проблема пересмотра и совершенствования системы безопасности — одна из самых сложных Практически приходится разрешать коллизию, состоящую в том, что система безопасности, с одной стороны, консервативна по своей при­роде, а с другой — деградирует во времени

Консерватизм системы связан со спецификой ее оценки, а деградация обу­словлена процессами накопления знаний и естественной изменчивостью объек­та защиты и его внешней среды . Для национальной платежной системы проблема преодоления «проклятия изменчивости» особенно актуальна . Области информа­ционной сферы организации и источники изменчивости иллюстрирует рис . 8.3 .




В примере, приведенном на рис . 8.3, выделяются пять элементов информаци­онной сферы организации . К ним относятся:

1) информационно-технологические (ИТ) услуги, предоставляемые органи­зацией;

2) информационные технологии организации;

3) информационные системы, реализующие технологии и обеспечивающие предоставление ИТ-услуг;

4) технические и программные компоненты информационных систем;

5) персонал организации, как использующий ИТ-услуги, так и обеспечива­ющий их предоставления

На каждом уровне действуют свои факторы изменчивости, в результате чего вся информационная сфера может претерпеть значительные изменения Необ­ходимость изменений на одном из уровней информационной среды порожда­ет необходимость изменений на всех нижележащих уровнях информационной сферы . Лавинообразный рост количества изменений, требующих реагирования, и их источников — так называемое проклятье изменчивости порождает «разры­вы» в информационной сфере и ведет к деградации системы безопасности, ста­новится серьезной проблемой для менеджмента организации

На уровне ИТ-услуг необходимость изменений порождается потребностью основной деятельности в их функциональном (создание нового функционала и совершенствование существующего) и пространственном (расширение коли­чества и географии потребителей услуг) развитии Изменение бизнеса влечет изменение технологии деятельности организации, в том числе информационных технологий . Это источники изменчивости на верхнем уровне .

Изменение структуры и функций информационной системы может быть вы­звано не только изменениями на более высоких уровнях, но и особенностями ее жизненного цикла, влекущими необходимость обновления технических и про­граммных средств и их компонентов, реинжиниринг структуры и функционала системы, интеграцию с новыми системами

Персонал организации может стать источником изменчивости на любом из перечисленных уровней Источниками изменчивости на уровне персонала яв­ляются развитие процессов управления (планирования, организации, координа­ции, контроля и др . ), накопление знаний (например, новые знания могут сделать ненужными часть функций системы или упростить процессы эксплуатации), а также другие факторы, связанные с деятельностью персонала, включая особен­ности личности и группового поведения (ошибки, халатность, отсутствие долж­ной координации работ, высокая активность и т д )

Так, например, проводя аналогии с платежной системой Банка России, мож­но утверждать, что инфраструктура национальной платежной системы будет со­держать несколько сотен тысяч компьютеров разного назначения Компьютер полностью амортизируется и подлежит замене через четыре года эксплуатации



Таким образом, ежегодно должна производиться замена нескольких десятков ты­сяч компьютеров (скорее всего, более ста тысяч), и это только в порядке поддерж­ки жизненного цикла без учета функционального и пространственного развития системы . Причем все это должно будет осуществляться в рамках деятельности со­тен и тысяч организаций, вовлеченных в операции системы на фоне перманент­ной эволюции платежного инструментария, доступного на рынке для миллионов пользователей услуг национальной платежной системы

Внешняя среда, и прежде всего нормативная база, не менее изменчива . Ото­бражаясь на прикладной программный продукт как наиболее чувствительный для подобного рода изменений, она породит десятки тысяч изменений в год . Учи­тывая, что изменения «один в один» невозможны (через четыре года точно такого же компьютера, как старый, уже не найти), они будут создавать риски и, быть мо­жет, значимые Так как для систем большой размерности и сложности характер­ны различные неоднородности, т е изменчивость может концентрироваться на ограниченных пространственно-временных и функциональных областях, то при слабом управлении (менеджменте) ИБ будут образовываться и достаточно долго существовать «черные дыры», которые могут быть использованы для вторжения и установления контроля над активами . В связи с этим без постоянных локаль­ных изменений системы безопасности, без все более тонкой ее «привязки» к объ­екту не обойтись При этом основополагающие принципы построения системы, ее организационно-техническое устройство и менеджмент остаются достаточно стабильными

Как очевидно следует из изложенного, эффективная система обеспечения ИБ должна непременно содержать сильный центр и мобильный ресурс (в органи­зационном смысле). Сильный центр компетенции кроме проблем реагирования должен обеспечивать наработку хорошей практики и ее распространение . Его де­ятельность должна быть хорошо интегрирована в общий менеджмент, так как она затрагивает и обеспечивает интересы всех организаций и клиентов

Особое положение служб безопасности организаций заключается в том, что они (ее сотрудники) накапливают высокочувствительные знания об уязвимостях процессов деятельности организаций, а также в том, что они используют для это­го «специфический информационный ресурс» и инструменты, поэтому очевид­но, что как сами знания, так и информация и инструменты должны быть хорошо (в организационном и техническом смысле) изолированы .

В силу специфики своей деятельности безопасность в любой организации является основным организатором деятельности по внедрению высокой ин­формационной культуры . Фактически это выработка и внедрение в практику деятельности системы правил, определяющих модель «безопасного» поведения в условиях агрессивной среды . Они включают в себя правила и рекомендации по идентификации опасных состояний и реагированию на них, в том числе и эскалации (информированию вышестоящей инстанции и передаче ей ответ­ственности)



МОДЕЛЬ И ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ НПС

Другой фундаментальной задачей, лежащей в сфере внимания безопасности, является контроль работоспособности процедур «синхронизации» изменений в информационной сфере с изменениями в материальном мире (изменениями в активах и т. п . ). Каждая транзакция в информационном поле платежных техно­логий имеет отражение в изменении материального мира (рис . 8.4).


В современном мире центром притяжения злоумышленников все чаще ста­новится информационная сфера, посредством манипуляции в которой они пыта­ются присвоить некие сущности материального мира .

Информационная культура очень значима . Она совместно с регламентацией основной деятельности в виде ролей и ответственностей участвующих сторон по­зволяет существенно сузить стохастическую составляющую процессов деятельно­сти и упростить проблему обеспечения ИБ . В ситуации, когда, наоборот, порядок в основной деятельности слаб и она представляется как слабодетерминированный (плохо предсказуемый) процесс, говорить о возможности адекватного и эффектив­ного обеспечения ИБ нельзя, так как нельзя разделить «плохое» и «хорошее» и не­понятно, чему же нужно противодействовать, что является риском, а что нет



Весьма чувствительным для системы безопасности является вопрос о том, в рамках каких организационных форм она должна быть обеспечена . Если мы го­ворим о какой-либо сущности как о системе, то первым ее признаком, по крайней мере с точки зрения безопасности, является наличие в ней развитого менеджмен­та . Говорить о системе как о множестве независимых субъектов, действующих на основе соглашений, тем более юридически не обязывающих, крайне сложно, и если можно, то с очень сильными ограничениями, потому что какие-то, хотя бы и слабые, обязательства всеми субъектами должны быть приняты

Должен существовать эталон этих обязательств, например, в виде стандар­та (системы взаимоувязанных стандартов) безопасности . Должны быть органи­зованы контрольные механизмы соблюдения всеми обязательств, действующие на принципах доверия и прежде всего независимости и незаинтересованности контролера, например, в форме аудита безопасности Должно быть понимание того, что слабое звено у одного субъекта есть слабость всех участвующих субъек­тов и любому из них может быть нанесен ущерб . Одним из способов обеспечения ИБ может быть также перенос риска на третьих лиц (страхование риска безопас­ности) или же самостоятельное формирование такого фонда самострахования системы В рамках национальной платежной системы в зависимости от того, как она будет развиваться, потребуется разработка стратегии обеспечения ИБ как одного из важнейших ее аспектов

Понятно, что система, в которой часто происходят крупные инциденты ИБ, будет иметь очень низкий уровень доверия В этом случае риски ИБ будут очень сильно влиять на риски основной деятельности, так же как потеря доверия к бан­ку со стороны его клиентов практически всегда приводит к катастрофическим последствиям для банка В связи с этим высокие риски ИБ опасны не только «сами по себе», но более как сильный источник влияния на риски основной дея­тельности

Для национальной платежной системы, видимо, технологии безопасности сформируют один из основных инструментов обеспечения доверия, поэтому осо­бенно важно с самого начала обеспечить приемлемый ее уровень, иначе потом придется длительное время и с большими затратами восстанавливать статус-кво системы

В этой связи большое значение будет иметь организационно-техническое устройство национальной платежной системы Если исходить из того, что в нее окажутся вовлечены тысячи независимых субъектов, предоставляющих инфра­структуру и инструменты пользователям, то проблема менеджмента в такой «аморфной» среде окажется центральной проблемой . Единственная подходящая форма, предусмотренная в отечественной гражданско-правовой системе, — это саморегулируемая организация (СРО). Она предполагает возможность примене­ния достаточно сильных мер при аккредитации субъекта в организации, разви­тые возможности по контролю деятельности субъекта со стороны организации, механизмы оперативного рассмотрения и урегулирования коллизий, ответствен­



ность за результаты деятельности . В отдельных случаях в соответствии с законо­дательством исключение субъекта из соответствующей СРО тождественно за­прету на легальную профессиональную деятельность .

Если реализуется такой или подобный этому алгоритм устройства общего менеджмента НПС, то в этих рамках после соответствующей адаптации вполне могут быть реализованы основные принципы корпоративного устройства систе­мы обеспечения ИБ . Адаптация при этом сведется в основном к эквивалентной замене директивного управления на независимый аудит (аудит третьей сторо­ной) и последующее реагирование организации в виде управления допустимы­ми полномочиями субъекта (через ограничение возможностей) на основе риск­ориентированных моделей . Очевидно, что для этого должна быть создана соот­ветствующая инфраструктура. Она должна содержать механизмы подготовки и аккредитации достаточного количества аудиторов и аналитиков, необходимое нормативно-методическое и информационное обеспечение и инструментарий При этом очень важно иметь в виду, что ИБ не самодостаточная область дея­тельности, а всего лишь часть общего менеджмента .

Цели и задачи обеспечения ИБ, если они прямо не предусмотрены законом (например, Федеральный закон от 27 июля 2006 г . № 152-ФЗ «О персональных данных»), формируются общим менеджментом на основе того, какие процедур­ные и иные гарантии пользователям будут предоставляться функционалом НПС Данные цели и задачи должны быть обращены на то, чтобы кому-нибудь, напри­мер, не был «продан» несуществующий товар или оказана несуществующая ус­луга либо заблокированы активы пользователей вследствие, например, «инфор­мационных разборок» конкурирующих операторов НПС и т д

Все это — предмет серьезной проработки в конкретных практических усло­виях

Реально складывающиеся условия в большей или меньшей степени отличны от теоретически предполагаемых, поэтому не всегда возможно предвидеть каж­дую реальную ситуацию и отразить это в форме системы точных требований В этом случае формулируется система принципов1, отражающая основное содер­жание и модель восприятия, а также ожидаемые действия в некоторой предмет­ной области

Это утверждение справедливо не только для бизнес-уровня, где, например, КПРС Банка международных расчетов сформулировано 14 принципов для меж­дународной гармонизации процесса разработки и развития национальных пла­тежных систем в разных странах Накопленный за последние два десятилетия опыт, подкрепленный широкой практикой, нашел отражение и в области без­опасности В числе авторитетных руководств, отражающих принципы безопас­ности для различных видов деятельности, можно выделить как универсальные



международные стандарты, такие как ISO/IEC 270001, так и отраслевые решения, например, изложенные в Руководстве ЕРС (European Payment Council) ЕРС397- 08v1.1 по хорошим практикам безопасности дистанционного банковского обслу­живания

Использование принятой в профессиональном сообществе системы принци­пов обеспечения информационной безопасности позволит сформировать усло­вия для взвешенного и рационального решения практических задач

<< | >>

Еще по теме ПАРАДИГМА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ НАЦИОНАЛЬНОЙ ПЛАТЕЖНОЙ СИСТЕМЫ:

  1. ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НАЦИОНАЛЬНОЙ ПЛАТЕЖНОЙ СИСТЕМЫ
  2. ГЛАВА 3 НАЦИОНАЛЬНЫЕ ПЛАТЕЖНЫЕ СИСТЕМЫ И МЕЖДУНАРОДНЫЕ КАРТОЧНЫЕ ПЛАТЕЖНЫЕ СИСТЕМЫ
  3. понятие и структура национальной платежной системы
  4. термин «национальная платежная система»
  5. ИСПОЛЬЗОВАНИЕ SWIFT В НАЦИОНАЛЬНЫХ ПЛАТЕЖНЫХ СИСТЕМАХ
  6. Глава 5. НАДЗоР и НАБАЮДЕНиЕ В Национальной платежной системе
  7. глава 1 банк международных расчетов о национальных платежных системах
  8. глава 11 развитие национальной платежной системы в долгосрочной перспективе
  9. развитие национальных платежных систем
  10. ГЛАВА 2 НАЦИОНАЛЬНЫЕ ПЛАТЕЖНЫЕ СИСТЕМЫ И SWIFT
  11. Глава 3. сУБЪЕКтЫ Национальной платежной системы и тРЕБо­вания к их деятельности
  12. Ред.-сост. А.С. Воронин. национальная платежная система. бизнес-энциклопедия, 2012
  13. платежные системы для крупных сумм
  14. Принцип развития платежных систем для крупных сумм
  15. Глава 18. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ В ГЛОБАЛЬНОМ ИНФОРМАЦИОННОМ ПРОСТРАНСТВЕ
  16. 1. Понятие информационной безопасности