Проактивная защита в сети интернет для пользователей

⇐ ПредыдущаяСтр 9 из 9

Пользователь чтобы соблюдать меры безопасности в сети интернет должен использовать антивирусное программное обеспечение с проактивной защитой. По последним данным независимая лаборатория AV-Comparatives опубликовала результаты за март 2013 года динамического тестирования комплексных антивирусных решений (Real World Protection Test)просмотрев результаты теста на таблице 3 пользователь может выбрать для себя подходящее решение.

Таблица 3. Динамическое тестирование комплексных антивирусных решений [41].

Антивирус	Заблокировано	Требует решения	Пропущено
AhnLab	90.3%	0%	9.7%
avast!	98.6%	1.4%	0%
AVG	95.3%	4.3%	0.4%
AVIRA	98.3%	0%	1.7%
Bitdefender	99.8%	0%	0.2%
BullGuard	99.8%	0.2%	0%
Emsisoft	100%	0%	0%
eScan	99.8%	0%	0.2%
ESET	99.1%	0%	0.9%
F-Secure	100%	0%	0%
Fortinet	99.8%	0%	0.2%
G DATA	100%	0%	0%
Kaspersky	100%	0%	0%
Kingsoft	97.6%	0%	2.4%
McAfee	99.3%	0%	0.7%
Panda	97.9%	0%	2.1%
Qihoo	100%	0%	0%
Sophos	96.9%	0%	3.1%
Tencent QQ	93.8%	5.9%	0.3%
ThreatTrackVipre	98.3%	0%	1.7%
TrendMicro	99.5%	0%	0.5%

Рекомендации для банка

Обязательные средства защиты на предприятии

Система ограничения доступа:

· Позволяет ограничить количество посещаемых ресурсов до необходимого минимума, что минимизирует риск заражения с сайтов, содержащих вредоносные объекты.

· Позволяет исключить возможность отключения пользователями средств защиты.

Система проверки интернет-трафика. Позволяет исключить использование уязвимостей клиентского ПО за счет проверки трафика до его поступления в приложения.

Система поверки интернет-ссылок. Позволяет исключить возможность перехода на зараженные и мошеннические ресурсы.

Антивирусный монитор. Позволяет исключить заражение с помощью вредоносных объектов, проникших на машину пользователя без проверки — в том числе в запароленных архивах или с помощью специальных протоколов передачи данных.

Антивирусный сканер. Периодическая проверка дает возможность обнаружения ранее неизвестных вирусов, находящихся в неактивированном виде.

Персональный брандмауэр. Исключение возможности проникновения через открытые порты.

Для обеспечения защищенности и целостности системы при работе в сети Интернет рекомендуется:

· своевременно устанавливать все обновления системы безопасности и актуальные версии браузеров по мере их появления;

· использовать стойкие пароли;

· ограничить права пользователей;

· не работать в системе с правами администратора;

· разрешить выход в Интернет только с отдельных компьютеров сети, не содержащих конфиденциальной информации;

· использовать операционные системы, для которых создано меньшее количество вредоносных программ.

Перечисленные меры защиты должны быть приняты на всех компьютерах, на которых производится работа с финансовыми средствами. А также на компьютерах и мобильных устройствах, функционирующих на ОС Windows и Android и на всех смартфонах [15].

Мероприятия, позволяющие влиять на уровень существующих рисков

Анализ существующих факторов риска поможет выявить процессы, влияющие на их уровень. Этот анализ должен включать:

- разработку и поддержание в актуальном состоянии нормативно распорядительных документов;

- поддержание требуемого уровня информационной безопасности, включая:

- управление жизненным циклом автоматизированных систем (от разработки до окончания эксплуатации);

- администрирование вычислительной сети и телекоммуникационного оборудования;

- управление идентификацией и доступом пользователей к информационным ресурсам;

- внедрение новых технологий повышающих безопасность эксплуатации систем ДБО;

- мониторинг сетевого трафика с целью обнаружения вредоносного кода и вторжений.

Для своевременного реагирования на существующие риски кредитным организациям необходимо обеспечить выполнение комплекса организационных и технических мероприятий, направленных на обеспечение безопасного функционирования системы ДБО. Обеспечение удобства работы клиентов в системе, при выполнении такого комплекса, может явиться дополнительным конкурентным преимуществом [10].

Организационные мероприятия

Рассмотрим как организовать технологический процесс выработки клиентом своих криптографических ключей и обеспечить получение сертификата ключа подписи (далее СКП).

Ограничения для клиента, обычно накладываемые бизнес-подразделениями это однократное посещение клиентом кредитной организации. При этом подразделение безопасности требует от него самостоятельной генерации своих криптографических ключей.

Предположим, что безопасность системы ДБО опирается на использование инфраструктуры открытых ключей, а в предоставлении клиенту доступа к системе ДБО участвуют следующие действующие лица: сам клиент, менеджер филиала, оператор удостоверяющего центра. Обратите внимание, что клиент получает в банке только технологические закрытый ключ и СКП, которые не позволяют производить никаких действий в системе, кроме формирования запроса на новый СКП. Однако при этом клиент обязан сверить бумажную копию технологического СКП с его электронной версией и при совпадении заверить бумажную копию СКП заверить это действие собственноручной подписью.

В течении срока действия технологического СКП клиент обязан произвести генерацию своих криптоключей, сформировать запрос на свой рабочий СКП и, получив его, зарегистрировать в системе. После выполнения этих операций пользователь получает право на совершение финансовых операций. Если пользователь не обладает достаточными навыками или знаниями для выполнения этих действий, ему на возмездной основе может быть оказана помощь со стороны сотрудников банка. Для этого на территории кредитной организации может быть развёрнуто рабочее место, за которым клиент, в соответствии с полученными консультациями, может выполнить все необходимые операции.

Безусловно, данный сценарий можно усилить с помощью дополнительных мер безопасности, после выпуска СКП клиенту может быть направлен акт или сообщение о выполненных работах, на которое он должен определённым образом отреагировать. Такая мера может обезопасить клиента от лишних неприятностей. В полную силу данная схема будет работать только при наличии выверенного комплекта нормативной документации. Как показывают лучшие практики, в состав такого комплекта обычно входят следующие документы:

- Правила пользования системой ДБО;

- Регламент управления СКП в системе ДБО банка;

- Описание технологического процесса использования СКП в системе ДБО;

- Соглашение об организации обслуживания Клиента через систему ДБО Банка и присоединении к Правилам пользования системой;

- Соглашение об организации системы электронного документооборота Клиента через систему ДБО Банка и присоединении к Правилам пользования системой ДБО Банка;

- Руководство администратора системы ДБО;

- Инструкции должностным лицам, осуществляющим обслуживание системы ДБО.

Такой комплект документов позволяет достаточно подробно описать взаимодействие всех субъектов системы ДБО, их права и обязанности, а также построить достаточно работоспособную юридическую схему [10].

Технические мероприятия

Есть мнение, что необходимость дополнительных расходов за обеспечение безопасности всегда негативно воспринимается клиентами и ведёт к снижению их числа. Как показывает опыт передовых банков, если клиентам правильно и доходчиво объясняются существующие риски и возможные последствия, то, при наличии выбора механизма защиты, практически всегда выбор делается в пользу более высокого уровня безопасности. Поэтому внедрение новых безопасных аппаратных средств защиты идентификационной информации является насущной необходимостью. Безусловно, стоимость и эффективность внедряемых технологий должна соответствовать тем объёмам финансовых операций, которые совершает клиент. В случае небольших объёмов, для физических лиц чаще используются технологии одноразовых паролей, которые наряду с применением «запоминаемого» пароля, дают существенное увеличение безопасности совершаемых операций, при относительно небольшой стоимости. Использование инфраструктуры открытых ключей наряду с ключевыми носителями, способными надёжно сохранять идентификационную информацию о клиенте, по-прежнему остаётся практически безальтернативным вариантом для юридических лиц.

В последнее время появились довольно интересные решения в области повышения безопасности. Для технологии ЭЦП на рынке предлагаются смарт-карты на базе платформы Java, которые способны выполнить ЭЦП по алгоритму ГОСТ 34-10 2001 г., без использования криптопровайдера. При этом все криптографические операции с секретным ключом выполняются внутри смарт-карты, секретный ключ её никогда не покидает. Эта технология сводит к нулю вероятность кражи секретного ключа пользователя. Доступ к самой смарт-карте защищается PIN-кодом и, если она попадёт в посторонние руки, злоумышленнику не удастся ей воспользоваться. Кроме того, данная технология не требует установки, какого либо клиентского программного обеспечения на рабочем месте клиента. Совокупность всех этих факторов предоставляет клиентам высокую степень безопасности, удобство в работе и, главное, мобильность (клиент может получить доступ к системе практически с любого компьютера).

Ещё одной новинкой является технология, расширяющая возможности применения средств аутентификации для обеспечения защищенного удаленного доступа к информационным ресурсам. Она основана на жесткой фиксации адреса сервера ДБО внутри смарт-карты. При этом сама смарт-карта имеет «загрузчик» который позволяет в доверенном режиме скачать с сервера необходимое для работы в системе ДБО программное обеспечение. Клиент, использующий данную технологию, не может быть перенаправлен на какой либо другой сервер, при этом доступ к информационным ресурсам организуется с использованием SSL-протокола, но без установки клиентского программного обеспечения. Эта технология делает практически невозможными фишинг-атаки и перехват критически важной информации [10].

Краткие выводы

Своевременный учёт и анализ реально существующих факторов риска позволяет разработать, а затем реализовать комплекс организационных и технических мероприятий, значительно снижающих вероятность реализации угроз информационной безопасности. Недооценка важности тех- или орг- составляющих одинаково негативно отражается на безопасности систем ДБО.

Затраты на развитие и модернизацию технологий защиты систем ДБО, оправдывают себя, поскольку с одной стороны позволяют избежать значительных финансовых потерь, а с другой способствуют улучшению условий работы клиента. Кроме того, если смотреть на вопрос с позиции экономики: эти затраты, по сути, являются инвестициями в развитие конкурентных преимуществ банковских технологий [10].

⇐ Предыдущая 1 2 3 4 5 6 7 89