أمن البيانات الشخصية في البنك

ما هي البيانات الشخصية؟

وفقًا للتعريف الوارد في القانون الفيدرالي ، فإن البيانات الشخصية هي أي معلومات تتعلق بمعلومات محددة أو محددة على أساس هذه المعلومات للفرد (موضوع البيانات الشخصية) ، بما في ذلك الاسم الأخير ، والاسم الأول ، والعائلة ، والسنة ، والشهر ، والتاريخ و مكان الميلاد ، العنوان ، الأسرة ، الحالة الاجتماعية ، حالة الملكية ، التعليم ، المهنة ، الدخل ، معلومات أخرى.

أين تقع البيانات الشخصية؟

تقع البيانات الشخصية (PD) في البنك في الأنظمة التالية:

النظام المصرفي الآلي (ABS) ؛

أنظمة بنك العميل ؛

أنظمة تحويل الأموال الفوري ؛

أنظمة المحاسبة المحاسبية؛

أنظمة محاسبة الموارد البشرية.

نظام معلومات الشركة ؛

بوابة الويب الداخلية.

قد يكون PD موجودًا في مستندات ورقية (عقود ، نماذج ، أوامر ، تعليمات ، استبيانات ، اتفاقيات ، إلخ).

ما هي المستندات التي تحدد متطلبات حماية البيانات الشخصية؟

القوانين الفدرالية

القانون الاتحادي رقم 149-FZ المؤرخ 27 يوليو 2006 "بشأن المعلومات وتكنولوجيا المعلومات وحماية المعلومات" ؛

قرارات الحكومة

مرسوم حكومة الاتحاد الروسي رقم 781 المؤرخ 17 تشرين الثاني / نوفمبر 2007 "بشأن الموافقة على الحكم المتعلق بضمان أمن البيانات الشخصية أثناء معالجتها في نظم المعلوماتبيانات شخصية "؛

مرسوم حكومة الاتحاد الروسي رقم 957 المؤرخ 29 ديسمبر 2007 "بشأن الموافقة على اللوائح الخاصة بترخيص أنواع معينة من الأنشطة المتعلقة بالتشفير (وسائل التشفير)" ؛

قرار حكومة الاتحاد الروسي رقم 687 المؤرخ 15 سبتمبر 2008 "بشأن الموافقة على اللائحة الخاصة بخصائص معالجة البيانات الشخصية التي تتم دون استخدام أدوات الأتمتة."

FSTEC من روسيا

الأمر المشترك الصادر عن FSTEC لروسيا و FSB لروسيا ووزارة تكنولوجيا المعلومات والاتصالات الروسية رقم 55/86/20 بتاريخ 13 فبراير 2008 "بشأن الموافقة على إجراءات تصنيف أنظمة المعلومات الخاصة بالبيانات الشخصية" ؛

وثيقة التوجيه FSTEC لروسيا "النموذج الأساسي للتهديدات لأمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

وثيقة التوجيه FSTEC من روسيا "منهجية لتحديد التهديدات الفعلية لأمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

أمر FSTEC لروسيا بتاريخ 5 فبراير 2010 رقم 58 "بشأن الموافقة على اللائحة المتعلقة بأساليب وأساليب حماية المعلومات في البيانات الشخصية للمعلومات."

FSB من روسيا

أمر FAPSI المؤرخ 13 يونيو 2001 رقم 152 "بشأن الموافقة على التعليمات الخاصة بتنظيم وضمان أمن التخزين والمعالجة والنقل عبر قنوات الاتصال باستخدام الحماية المشفرة للمعلومات من وصول محدودلا تحتوي على معلومات تشكل سرًا من أسرار الدولة "؛

أمر دائرة الأمن الفيدرالي للاتحاد الروسي المؤرخ 9 فبراير 2005 رقم 66 "بشأن الموافقة على اللائحة المتعلقة بتطوير وإنتاج وبيع وتشغيل وسائل التشفير (التشفير) لحماية المعلومات (اللائحة PKZ-2005)" ؛

وثيقة توجيه FSB لروسيا بتاريخ 21 فبراير 2008 رقم 149 / 54-144 "توصيات منهجية لضمان أمان البيانات الشخصية بمساعدة أدوات التشفير أثناء معالجتها في أنظمة معلومات البيانات الشخصية باستخدام أدوات التشغيل الآلي" ؛

وثيقة توجيه FSB لروسيا بتاريخ 21 فبراير 2008 رقم 149/6 / 6-622 "المتطلبات النموذجية لتنظيم وتشغيل التشفير (التشفير) تعني حماية المعلومات التي لا تحتوي على معلومات تشكل سرًا للدولة ، إذا تم استخدامها لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية "؛

معيار بنك روسيا

STO BR IBBS-1.0-2010 " أمن المعلوماتمنظمات النظام المصرفي للاتحاد الروسي. الأحكام العامة "؛

STO BR IBBS-1.1-2007 "ضمان أمن معلومات المنظمات في النظام المصرفي للاتحاد الروسي. تدقيق أمن المعلومات "؛

STO BR IBBS-1.2-2010 "ضمان أمن معلومات المنظمات في النظام المصرفي للاتحاد الروسي. منهجية لتقييم امتثال أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي لمتطلبات STO BR IBBS-1.0-20xx "؛

RS BR IBBS-2.0-2007 "ضمان أمن معلومات المنظمات في النظام المصرفي للاتحاد الروسي. توصيات منهجية للتوثيق في مجال أمن المعلومات وفقًا لمتطلبات STO BR IBBS-1.0 "؛

RS BR IBBS-2.1-2007 "ضمان أمن معلومات المنظمات في النظام المصرفي للاتحاد الروسي. مبادئ توجيهية للتقييم الذاتي لمدى امتثال أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي لمتطلبات STO BR IBBS-1.0 "؛

RS BR IBBS-2.3-2010 “هو صيانة مؤسسات النظام المصرفي للاتحاد الروسي. متطلبات ضمان أمن البيانات الشخصية في أنظمة معلومات البيانات الشخصية لمنظمات النظام المصرفي للاتحاد الروسي "؛

RS BR IBBS-2.4-2010 "هو صيانة مؤسسات النظام المصرفي للاتحاد الروسي. النموذج القطاعي الخاص للتهديدات التي يتعرض لها أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات PD لمؤسسات البنوك في النظام المصرفي للاتحاد الروسي "؛

توصيات منهجية للوفاء بالمتطلبات القانونية عند معالجة البيانات الشخصية في مؤسسات RF BS ، تم تطويرها بشكل مشترك من قبل بنك روسيا و ARB ورابطة البنوك الإقليمية لروسيا (رابطة "روسيا").

كيف يجب حماية البيانات الشخصية؟

وفقًا لمتطلبات المستندات المنهجية لحماية PD ، فإن الأنظمة الفرعية التالية شائعة لجميع أنواع PDIS:

النظام الفرعي للتحكم في الوصول ؛

النظام الفرعي للتسجيل والمحاسبة ؛

النظام الفرعي للنزاهة

النظام الفرعي لجدار الحماية.

إذا كان ISPDN متصلاً بالإنترنت ، فمن الضروري استخدام الأنظمة الفرعية التالية بالإضافة إلى ذلك:

نظام أمان فرعي مضاد للفيروسات ؛

النظام الفرعي لكشف التسلل

النظام الفرعي لتحليل الأمان.

من الضروري أيضًا استخدام الأقفال الإلكترونية و / أو المفاتيح الإلكترونية لتحديد هوية المستخدمين والمصادقة عليهم بشكل موثوق.

إذا تم توزيع ISPD بشكل إضافي لمنع الوصول غير المصرح به عن طريق فصل المعلومات المحمية عن المعلومات العامة ، فمن الضروري استخدام التشفير عند نقل PD عبر قنوات اتصال غير محمية ، وكذلك EDS لتأكيد صحة البيانات.

مثل هذا الانهيار إلى أنظمة فرعية وتشكيل قائمة منتجات لحماية البيانات الشخصية على أساسها مقبول بشكل عام ويستخدم في معظم الحالات.

ما هي الحاجة لحماية البيانات الشخصية؟

إذا كانت المهمة هي ضمان سرية PD فقط ، فمن الضروري تنفيذ التدابير و / أو استخدام الوسائل التقنية التي تهدف إلى منع الوصول غير المصرح به ، ثم يصبح PDIS معيارًا.

إذا تم فرض متطلبات إضافية لضمان خصائص أخرى لأمن المعلومات ، مثل ضمان النزاهة والتوافر ومشتقاتها (عدم التنصل والمساءلة والكفاية والموثوقية ، وما إلى ذلك) ، يصبح هذا ISPD خاصًا. في معظم الحالات ، سيكون أي ISPD خاصًا ، أي بالإضافة إلى فئات PD ، لتحديد آليات الحماية ، يجب أن يسترشد المرء بنموذج التهديد الذي تم إنشاؤه لهذا الغرض.

كيف يتم تقليل فئة PD؟

من أجل تقليل وتبسيط إجراءات حماية البيانات الشخصية ، تلجأ البنوك إلى حيل مختلفة. فيما يلي أقدم الطرق الأكثر شيوعًا لتقليل تكلفة معدات الحماية. ومع ذلك ، فإن مثل هذه "إعادة تشكيل" أنظمة معلومات البنك هي في حد ذاتها مهمة صعبة وتستغرق وقتًا طويلاً.

تقليل عدد المواقع

كما هو موضح أعلاه ، إذا تم توزيع ISPD ، فسيتم فرض متطلبات متزايدة على حمايتها ، لتقليلها ، تحتاج إلى محاولة الابتعاد عن ISPD الموزع.

مع ISPD الموزع ، يكون PD في مواقع مختلفة ، ويتم إرسال PD عبر قنوات الاتصال غير الخاضعة لسيطرة البنك ، وفي الحالة العامة ، هذا يعني أن PD يغادر أو يغادر المنطقة الخاضعة للرقابة. بعد ذلك ، أولاً وقبل كل شيء ، من الضروري توطين PD عن طريق تقليل عدد المواقع التي سيتم تحديد موقعها عليها. في بعض الحالات ، يكون هذا حقيقيًا ، ولكن إذا أخذنا في الاعتبار نظام الوصول وتقاسم المنافع ، فإن مثل هذه الفرصة ، على الأرجح ، لن تكون موجودة.

تقليل عدد الخوادم

إذا كان ISPDN محليًا ، أي أنه يعمل ضمن الشبكة المحلية للبنك ، فإن أبسط طريقة لتقليل تكلفة تكاليف الحماية هي تقليل عدد معدات الخادم التي يوجد عليها PD و / أو تتم معالجتها.

تقليل عدد محطات العمل والأفراد

مع أي نوع من ISPD (في شكل AWP ، محلي ، موزع) ، يتم تنفيذ المعالجة النهائية لـ PD ، كقاعدة ، من قبل موظفي البنك. إذا كنت لا تستخدم الوصول النهائي ، والذي سيتم مناقشته أدناه ، فمن المنطقي تقليل عدد موظفي البنك المشاركين في معالجة PD أو الوصول إليهم.

تقاسم IP مع الاتحاد الدولي للاتصالات

من أجل تقليل مقدار PD ، وبالتالي لتقليل تكلفة وسائل الأمان ، هناك طريقة جيدة لتقسيم شبكات المعلومات إلى أجزاء يتم فيها معالجة PD. لهذا ، من الضروري تثبيت واستخدام جدران الحماية ، إلى المنافذ التي يجب توصيل الأجزاء التي بها PD. غالبًا ما توجد جميع معدات الخادم في منطقة منزوعة السلاح ، أي في أجزاء مفصولة عن الشبكات العامة والمصرفية بجدران الحماية. تتطلب هذه الطريقة أيضًا "إعادة رسم" كبيرة لشبكات المعلومات. هناك طريقة تعتمد على ما يسمى بـ "التشفير الخطي" ، أي تشفير العميل والعميل وخادم العميل وخادم الخادم. يمكن تنفيذ هذا التشفير لحركة مرور الشبكة باستخدام وسائل الحماية الخاصة واستخدام تقنية IPSec القياسية ، ولكن لم يتم اعتماده من قبل FSB في روسيا ، وهو عيب كبير.

طريقة أخرى لتقسيم ISPD عبر الشبكة بأكملها يمكن أن تكون تقنية الشبكات الافتراضية - VLAN ، ولكن في الواقع فإن VLAN ليست سوى معرف في أحد مجالات حزمة الشبكة ، مما يسمح لنا بالتحدث عن هذه التكنولوجيا باسم "IT". لذلك ، فإن فصل الشبكات باستخدام شبكات VLAN لا يعفي من استخدام تقنيات أمن المعلومات.

تقسيم قواعد البيانات إلى أجزاء

افترض أن لديك قاعدة بيانات لآلاف السجلات: الاسم الكامل. ومقدار الوديعة.

لنقم بإنشاء قاعدتي بيانات أخريين. دعنا نقدم معرفًا فريدًا إضافيًا. سنقسم الجدول إلى جزأين ، في الأول سنضع حقلي الاسم واللقب والمعرف ، في المعرف الآخر ومبلغ الإيداع.

وبالتالي ، إذا كان بإمكان كل موظف معالجة واحدة فقط من قواعد البيانات الجديدة هذه ، فسيتم تبسيط حماية البيانات الشخصية إلى حد كبير ، إن لم يتم تقليلها إلى لا شيء. من الواضح أن قيمة قاعدة البيانات هذه أقل بكثير من القيمة الأصلية. سيتم وضع قاعدتي البيانات على الخادم الأكثر أمانًا. في الواقع ، هناك العديد من المجالات في قاعدة البيانات ، لكن هذا المبدأ يمكن أن يعمل في كل حالة تقريبًا ، منذ ذلك الحين عدد الحقول المهمة من وجهة نظر أمن البيانات الشخصية ليس كبيرًا جدًا ، ولكنه محدود للغاية. في الحالة القصوى ، يمكنك تخزين المفاتيح المتطابقة على جهاز كمبيوتر ليس جزءًا من الشبكة المحلية ، أو حتى لا تستخدم المعالجة التلقائية.

إخفاء هوية البيانات الشخصية

وفقًا للتعريف الوارد في 152-FZ ، فإن إلغاء الطابع الشخصي للبيانات الشخصية هو إجراءات يستحيل نتيجة لها تحديد انتماء البيانات الشخصية إلى موضوع معين من البيانات الشخصية. من هذا التعريف يتبع سلسلة من الطرق التي يمكن من خلالها الحصول على PD ، والتي من خلالها يستحيل تحديد هوية PD. على سبيل المثال ، إذا كانت البيانات الدقيقة لحقول معينة غير مهمة لأغراض المعالجة ، فلا يمكنك عرضها أو عرض النطاقات التي تقع فيها فقط. على سبيل المثال ، العمر 20-30 ، 30-40 ، إلخ. يمكن "تقريب" العنوان إلى حي أو حي أو مدينة: Tsaritsyno ، Yuzhny ، موسكو. اعتمادًا على الحاجة ، يمكن أن تكون عملية تبديد الشخصية للبيانات الشخصية قابلة للعكس أو لا رجعة فيها. طرق "التقريب" المذكورة أعلاه لا رجوع فيها ، والتشفير ، على سبيل المثال ، قابل للعكس. من وجهة نظري ، يمكن أن يكون التشفير (الترميز) وسيلة لإخفاء هوية البيانات ويجب استخدامه لهذه الأغراض.

العملاء الرقيقين والوصول إلى المحطة الطرفية

يمكن أن يؤدي استخدام تقنيات "العميل الرقيق" وتقنية الوصول إلى المحطة الطرفية المقابلة على الخوادم إلى تقليل متطلبات حماية البيانات الشخصية بشكل كبير. الحقيقة هي أنه عند استخدام العملاء "الرقيقين" والوصول إلى المحطة الطرفية ، لا تحتاج إلى تثبيت برامج متخصصة على أجهزة الكمبيوتر الخاصة بموظفي البنك ، مثل أجزاء العميل من قواعد البيانات ، وأجزاء العميل من ABS ، وما إلى ذلك. علاوة على ذلك ، ليست هناك حاجة لتثبيت أي وسيلة حماية خاصة على أجهزة الكمبيوتر الخاصة بموظفي البنك. تتيح لك هذه التقنيات عرض المعلومات من قواعد البيانات المخزنة على الخوادم في مكان عملك وإدارة معالجة PD. هذه التقنيات هي آمنة بداهة ، لأن يمكن لسياسات الأجهزة الطرفية أن تحد بسهولة من قدرة العملاء النهائيين (موظفي البنك) على نسخ البيانات الشخصية ، وبالتالي نشرها. يتم تشفير قناة الاتصال بين الخوادم وجهاز كمبيوتر باستخدام "عميل رفيع" بسهولة ، أي بطرق بسيطةيمكنك التأكد من سرية البيانات المرسلة.

سرعة تسرب البيانات المحتملة ستكون محدودة فقط بالقناة المرئية ، والتي تحددها سرعة الكاميرا أو كاميرا الفيديو ، ومع ذلك ، مع إدخال تدابير تنظيمية خاصة ، يصبح مثل هذا النسخ صعبًا للغاية.

كيف يمكن حماية البيانات الشخصية؟

بمعنى واسع ، يُفهم توفير الحماية ضد الوصول غير المصرح به على أنه مجموعة معقدة من التدابير التنظيمية والتقنية. تستند هذه الأنشطة إلى فهم آليات منع الوصول غير المصرح به على مستويات مختلفة:

تحديد الهوية والمصادقة (ثنائي أو قوي أيضًا). يمكن ان تكون ( نظام التشغيل، برامج البنية التحتية ، برامج التطبيقات ، الأجهزة ، مثل المفاتيح الإلكترونية) ؛

التسجيل والمحاسبة. يمكن أن يكون تسجيل (تسجيل ، تسجيل) الأحداث في جميع الأنظمة والبرامج والأدوات المذكورة أعلاه) ؛

ضمان النزاهة. يمكن أن يكون هذا حساب المجاميع الاختبارية للملفات الخاضعة للرقابة ، مما يضمن سلامة مكونات البرنامج ، باستخدام بيئة برمجية مغلقة ، فضلاً عن ضمان التمهيد الموثوق به لنظام التشغيل) ؛

جدار الحماية ، البوابة والمحلية ؛

أمان مضاد للفيروسات (يتم تطبيق ما يصل إلى ثلاثة مستويات من الدفاع ، ما يسمى بالنهج متعدد المستويات أو متعدد البائعين) ؛

التشفير (يتم تطبيقه وظيفيًا على مستويات مختلفة من نموذج OSI (الشبكة ، النقل وأعلى) ، ويوفر وظائف وقائية متنوعة).

هناك العديد من المنتجات المعقدة مع وظائف NSD المتقدمة. تختلف جميعها في أنواع التطبيقات ، ودعم الأجهزة ، ودعم البرامج ، وطوبولوجيا التنفيذ.

عندما يتم توزيع ISPDN أو توصيله بشبكة عامة (الإنترنت ، Rostelecom ، وما إلى ذلك) ، يتم استخدام منتجات تحليل الأمان (MaxPatrol من شركة Positive Technologies ، التي لا يوجد لها منافسون مباشرون في الاتحاد الروسي) ، بالإضافة إلى اكتشاف التسلل والوقاية منه (IDS / IPS) - على مستوى البوابة وكذلك على مستوى العقدة النهائية.

كيف يمكن نقل البيانات الشخصية؟

إذا تم توزيع ISPD ، فهذا يعني الحاجة إلى إرسال PD عبر قنوات اتصال غير محمية. بالمناسبة ، القناة "الجوية" تنتمي أيضًا إلى القناة غير المحمية. لحماية البيانات الشخصية في قنوات الاتصال ، يمكن استخدام طرق مختلفة:

تشفير قناة الاتصال. يمكن توفيره بأي طريقة ، مثل VPN بين البوابات ، و VPN بين الخوادم ، و VPN بين محطات العمل (InfoTecs ViPNet Custom ، Informzaschita APKSh Continent ، إلخ) ؛

تبديل حزم MPLS. يتم إرسال الحزم عبر مسارات مختلفة وفقًا للتسميات التي تم تعيينها بواسطة معدات الشبكة. على سبيل المثال ، تمتلك شبكة MPLS الخاصة بـ Rostelecom شهادة امتثال لشبكة تبديل الحزم مع متطلبات أمن المعلومات الخاصة بـ FSTEC في روسيا ، وهو ضمان للأمان العالي للخدمات المقدمة على أساسها ؛

تشفير المستندات. يمكن استخدام برامج مختلفة لتشفير ملفات البيانات ، وكذلك ملفات الحاويات (ViPNet SafeDisk ، و InfoWatch CryptoStorage ، و True Crypt ، وما إلى ذلك) ؛

تشفير المحفوظات. يمكن استخدام العديد من أرشفة الملفات التي تسمح لك بأرشفة الملفات وتشفيرها باستخدام خوارزميات قوية مشفرة مثل AES. (WinRAR و WinZIP و 7-ZIP وما إلى ذلك).

هل أحتاج إلى استخدام معدات حماية معتمدة؟

يوجد اليوم المطلب الوحيد لـ FSTEC لروسيا من حيث التصديق على وسائل حماية البيانات الشخصية. يتعلق المطلب بتوفير المستوى الرابع من الفرص غير المعلنة ، وبالتالي ، فيما يتعلق بالسؤال الأخير ، سأقدم ثلاث أطروحات فقط:

نظام شهادة معدات الحماية طوعي ؛

يكفي تلبية متطلبات التشريع ؛

ليس من الضروري المصادقة على نظام معلومات البيانات الشخصية ككل.

Shauro Evgeniy

المقدمة

ملاءمة. في العالم الحديث ، أصبحت المعلومات موردا استراتيجيا ، وأحد الثروات الرئيسية للدولة المتقدمة اقتصاديا. أدى التحسن السريع للمعلوماتية في روسيا ، وتغلغلها في جميع مجالات المصالح الحيوية للفرد والمجتمع والدولة ، بالإضافة إلى المزايا التي لا شك فيها ، إلى ظهور عدد من المشاكل الهامة. كان أحدها الحاجة إلى حماية المعلومات. بالنظر إلى أن الإمكانات الاقتصادية في الوقت الحاضر يتم تحديدها بشكل متزايد من خلال مستوى تطوير هيكل المعلومات ، فإن الضعف المحتمل للاقتصاد من تأثيرات المعلومات يتزايد بشكل متناسب.

إن انتشار أنظمة الكمبيوتر ودمجها في شبكات الاتصال يزيد من احتمالات الاختراق الإلكتروني لها. إن مشكلة جرائم الكمبيوتر في جميع دول العالم ، بغض النظر عن موقعها الجغرافي ، تجعل من الضروري جذب المزيد والمزيد من الاهتمام وقوى الجمهور لتنظيم مكافحة هذا النوع من الجرائم. تنتشر بشكل خاص الجرائم في الأنظمة المصرفية الآلية والتجارة الإلكترونية. وبحسب بيانات أجنبية ، فإن الخسائر في البنوك نتيجة جرائم الكمبيوتر تصل إلى عدة مليارات من الدولارات سنويًا. على الرغم من أن مستوى تنفيذ أحدث تقنيات المعلومات في الممارسة العملية في روسيا ليس مهمًا جدًا ، إلا أن جرائم الكمبيوتر كل يوم تزداد الشعور بها ، وأصبحت حماية الدولة والمجتمع منها مهمة عظمى للسلطات المختصة .

لا أحد يشك في أهمية مسألة حماية البيانات الشخصية. بادئ ذي بدء ، يرجع هذا إلى الفترة المحددة لجلب أنظمة معلومات البيانات الشخصية (ISPD) وفقًا للقانون الفيدرالي الصادر في 27 يوليو 2006 رقم 152-FZ "بشأن البيانات الشخصية". هذا الموعد النهائي يقترب بلا هوادة ، وفي نفس الوقت يثير التعقيد الواضح للوفاء بمتطلبات الوثائق التنظيمية للهيئات التنظيمية الكثير من الخلافات والتفسيرات الغامضة. في الوقت نفسه ، لا تساهم الطبيعة المغلقة لبعض وثائق التوجيه ، ووضعها القانوني غير المحدد ، بالإضافة إلى عدد من القضايا الأخرى ، في حل المشكلة. كل هذا يخلق حالة عندما لا يتم تحديد الإطار التنظيمي بشكل نهائي ، ومن الضروري الامتثال لمتطلبات التشريع الآن.

مايو 2009 عقد الاجتماع الأول فريق العملبشأن مسألة البيانات الشخصية في بنك ARB. في هذا الحدث ، خلال مناقشة مفتوحة ، تم تحديد مجالات المشاكل التي تهم المجتمع المصرفي بوضوح. في الأساس ، كانوا معنيين على وجه التحديد بالحماية التقنية للبيانات الشخصية والتفاعل المستقبلي بين المؤسسات المالية و FSTEC. أعلن ممثلو بنك روسيا في حديثهم عن أفضل الممارسات من حيث تنظيم تنفيذ قانون "البيانات الشخصية". جديدة ومهمة بشكل أساسي هي محاولات بنك روسيا لإيجاد حل وسط مع المنظمين فيما يتعلق بصياغة المتطلبات الفنية للمجتمع المصرفي. أود أن أشير بشكل خاص إلى نشاط البنك المركزي للاتحاد الروسي في العمل مع FSTEC لروسيا. مع الأخذ في الاعتبار كل الحجم الهائل من الصعوبات في تلبية متطلبات المبادئ التوجيهية FSTEC ، اتخذ بنك روسيا قرارًا لإعداد وثائقه الخاصة (مسودات الوثائق) ، والتي يتم تنسيقها حاليًا مع FSTEC. يمكن الافتراض أن احتمالية وجود معيار صناعي جديد للمؤسسات المالية بشأن البيانات الشخصية مرتفع.

الهدف من عمل الدورة هو دراسة طرق حماية البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت.

لتحقيق الهدف تم حل المهام التالية:

دراسة المناهج والمبادئ الأساسية للأمن ؛

تحديد طرق ووسائل ضمان السلامة ؛

تحديد ميزات ضمان أمن البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت ؛

تطوير إجراءات لضمان أمن البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت.

الهدف من الدراسة هو نظم المعلومات المصرفية.

موضوع البحث هو أمن المعلومات الشخصية في الأنظمة المصرفية على الإنترنت.

كان الأساس النظري والمنهجي للبحث هو الأحكام النظرية ، وعمل العلماء ، وبحث المتخصصين في قضايا توفير المعلومات.

كان الأساس المنهجي للدورة التدريبية نهجًا منهجيًا لدراسة المشكلات الأمنية.

استخدام التحليل المنطقي والقانوني والنظامي المقارن. بالإضافة إلى ذلك ، فإن طريقة التحليل الهيكلي المستخدمة تجعل من الممكن دراسة المكونات الفردية للظاهرة قيد الدراسة بالدقة اللازمة وتحليل العلاقة بين هذه العناصر مع بعضها البعض ، وكذلك مع الكل العام.

1. الجوانب النظرية لحماية البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت

1.1 المناهج ومبادئ الأمن

يُفهم أمن أنظمة المعلومات على أنها تدابير تحمي نظام المعلومات من التدخل العرضي أو المتعمد في أساليب تشغيله.

هناك طريقتان أساسيتان لأمن الكمبيوتر.

أولهما مجزأ ، في إطاره هناك توجه نحو مواجهة التهديدات المحددة بدقة في ظل ظروف معينة (على سبيل المثال ، أدوات مكافحة الفيروسات المتخصصة ، وأدوات التشفير المستقلة ، وما إلى ذلك). النهج له ميزتان - ينطوي على مستوى عالٍ من الانتقائية فيما يتعلق بمشكلة محددة جيدًا ، وعيوب - مما يعني حماية مجزأة - أي عناصر محددة بدقة.

تتضمن عملية إدارة أمن المعلومات المكونات الموضحة في الشكل. 1.

الطريقة الثانية هي منهجية ، وتتمثل خصوصيتها في أنه في إطارها ، يتم التعامل مع حماية المعلومات على نطاق أوسع - يتم إنشاء بيئة محمية لمعالجة المعلومات وتخزينها ونقلها ، والجمع بين الأساليب والوسائل غير المتجانسة لمواجهة التهديدات: البرمجيات والأجهزة والقانونية والتنظيمية والاقتصادية. عن طريق البيئة الآمنة المحددة ، يمكن ضمان مستوى معين من الأمن لنظام المعلومات الآلي.

يعتمد النهج المنتظم لحماية المعلومات على المبادئ المنهجية التالية:

الهدف النهائي - الأولوية المطلقة للهدف النهائي (العالمي) ؛

الوحدة - النظر المشترك للنظام ككل "وكمجموعة من الأجزاء (العناصر) ؛

الاتصال - النظر في أي جزء من النظام مع اتصالاته بالبيئة ؛

البناء المعياري - تخصيص الوحدات في النظام واعتبارها مجموعة من الوحدات ؛

التسلسل الهرمي - إدخال التسلسل الهرمي للأجزاء (العناصر) وترتيبها ؛

الوظيفة - دراسة مشتركة للهيكل والوظيفة مع إعطاء الأولوية للوظيفة على الهيكل ؛

التطوير - مع الأخذ في الاعتبار تنوع النظام وقدرته على تطوير وتوسيع واستبدال الأجزاء وتجميع المعلومات ؛

اللامركزية - مزيج من المركزية واللامركزية في صنع القرار والإدارة ؛

عدم اليقين - مراعاة حالات عدم اليقين والحوادث في النظام.

يميز الباحثون الحديثون المنهجية التالية ،

المبادئ التنظيمية والتنفيذية لأمن المعلومات (بما في ذلك الكمبيوتر).

مبدأ الشرعية. تتكون من اتباع التشريعات الحالية في مجال أمن المعلومات.

ينشأ مبدأ عدم اليقين بسبب غموض سلوك الموضوع ، أي من ومتى وأين وكيف يمكن أن ينتهك أمان الكائن المحمي.

مبدأ استحالة إنشاء نظام حماية مثالي. وهو ينبع من مبدأ عدم اليقين ومحدودية موارد هذه الأموال.

تنبع مبادئ الحد الأدنى من المخاطر والحد الأدنى من الضرر من استحالة إنشاء نظام حماية مثالي. وفقًا لذلك ، من الضروري مراعاة الشروط المحددة لوجود موضوع الحماية في أي لحظة من الزمن.

- مبدأ الوقت الآمن وهو مراعاة الوقت المطلق أي. عندما يكون من الضروري الحفاظ على أشياء الحماية ؛ والوقت النسبي ، أي الفترة الزمنية من لحظة اكتشاف الإجراءات الضارة حتى وصول المهاجم إلى الهدف.

مبدأ "حماية الجميع من الجميع". إنه ينطوي على تنظيم تدابير وقائية ضد جميع أشكال التهديدات التي تتعرض لها أهداف الحماية ، والتي هي نتيجة لمبدأ عدم اليقين.

مبادئ المسؤولية الشخصية. إنه يفترض المسؤولية الشخصية لكل موظف في المؤسسة والمؤسسة والمنظمة عن الامتثال للنظام الأمني ​​في إطار صلاحياتهم وواجباتهم الوظيفية والتعليمات الحالية.

يشير مبدأ تقييد الصلاحيات إلى تقييد صلاحيات الشخص المعني للتعرف على المعلومات التي لا تتطلب الوصول إلى الأداء العادي لواجباته الوظيفية ، فضلاً عن إدخال حظر على الوصول إلى الأشياء والمناطق غير المطلوبة حسب طبيعة النشاط.

مبدأ التفاعل والتعاون. داخليًا ، إنه ينطوي على تنمية علاقة ثقة بين الموظفين المسؤولين عن الأمن (بما في ذلك أمن المعلومات) والموظفين. في المظهر الخارجي - إقامة تعاون مع جميع المنظمات والأفراد المهتمين (على سبيل المثال ، وكالات إنفاذ القانون).

مبدأ التعقيد والفردانية: وهو ينطوي على استحالة ضمان سلامة الكائن المحمي بأي مقياس واحد ، ولكن فقط من خلال مجموعة من التدابير المعقدة والمترابطة والمضاعفة ، والتي يتم تنفيذها بإشارة فردية إلى شروط محددة.

مبدأ خطوط الأمان المتسلسلة. إنه يعني ضمناً الإخطار في أقرب وقت ممكن بحدوث انتهاك على سلامة عنصر حماية معين أو حادث غير مواتٍ آخر من أجل زيادة احتمالية أن الإنذار المبكر لمعدات الحماية سيوفر للموظفين المسؤولين عن السلامة فرصة لتحديد سبب الإنذار في الوقت المناسب وتنظيم إجراءات مضادة فعالة.

مبادئ القوة المتساوية والقوة المتساوية لخطوط الدفاع. القوة المتساوية تعني عدم وجود مناطق غير محمية في خطوط الدفاع. تفترض القوة المتساوية قدرًا متساويًا نسبيًا من الحماية لخطوط الحماية وفقًا لدرجة التهديد على الكائن المحمي.

طرق ضمان حماية المعلومات في المؤسسة هي كما يلي:

العقبة هي طريقة لمنع المهاجم ماديًا من الوصول إلى المعلومات المحمية (إلى المعدات ووسائط التخزين وما إلى ذلك).

التحكم في الوصول هو وسيلة لحماية المعلومات من خلال تنظيم استخدام جميع موارد نظام المعلومات الآلي للمؤسسة. يتضمن التحكم في الوصول ميزات الأمان التالية:

تحديد المستخدمين والموظفين وموارد نظام المعلومات (تعيين معرف شخصي لكل كائن) ؛

المصادقة (المصادقة) على شيء أو موضوع وفقًا للمعرف الذي قدمه ؛

التحقق من التفويض (التحقق من امتثال يوم الأسبوع ، والوقت من اليوم ، والموارد والإجراءات المطلوبة للوائح المعمول بها) ؛

تسجيل المكالمات إلى الموارد المحمية ؛

الاستجابة (التنبيه ، الإغلاق ، التأخير في العمل ، رفض الطلب عند محاولة القيام بأعمال غير مصرح بها).

التنكر هو وسيلة لحماية المعلومات في نظام معلومات آلي لمؤسسة عن طريق إغلاقها المشفر.

التنظيم هو طريقة لحماية المعلومات تخلق ظروفًا للمعالجة الآلية للمعلومات وتخزينها ونقلها ، حيث يتم تقليل إمكانية الوصول غير المصرح به إليها.

الإكراه هو وسيلة لحماية المعلومات ، حيث يُجبر المستخدمون وموظفو النظام على الامتثال لقواعد معالجة ونقل واستخدام المعلومات المحمية تحت تهديد المسؤولية المادية والإدارية والجنائية.

الحافز هو وسيلة لحماية المعلومات التي تشجع المستخدمين وموظفي النظام على عدم انتهاك القواعد المعمول بها من خلال الامتثال للمعايير الأخلاقية والأخلاقية المعمول بها.

يتم تنفيذ الأساليب المذكورة أعلاه لضمان أمن المعلومات باستخدام الوسائل الأساسية التالية: المادية ، والأجهزة ، والبرمجيات ، والأجهزة والبرامج ، والتشفير ، والتنظيمية ، والتشريعية ، والأخلاقية.

تهدف وسائل الحماية المادية إلى الحماية الخارجية لإقليم الأشياء ، وحماية مكونات نظام المعلومات الآلي للمؤسسة ويتم تنفيذها في شكل أجهزة وأنظمة مستقلة.

وسائل حماية الأجهزة هي أجهزة إلكترونية وكهروميكانيكية وغيرها من الأجهزة المدمجة مباشرة في كتل نظام المعلومات الآلي أو مصممة كأجهزة مستقلة ومتفاعلة مع هذه الكتل. وهي مخصصة للحماية الداخلية للعناصر الهيكلية لمنشآت وأنظمة الكمبيوتر: المحطات الطرفية والمعالجات والمعدات الطرفية وخطوط الاتصال وما إلى ذلك.

تم تصميم أدوات حماية البرامج لأداء وظائف الحماية المنطقية والفكرية ويتم تضمينها إما في برنامج نظام المعلومات الآلي ، أو في تكوين الأدوات والمجمعات وأنظمة معدات التحكم.

برمجيات أمن المعلومات هي أكثر أنواع الحماية شيوعًا ، ولها الخصائص الإيجابية التالية: التنوع ، والمرونة ، وسهولة التنفيذ ، والقدرة على التغيير والتطوير. هذا الظرف يجعلها في نفس الوقت العناصر الأكثر ضعفًا لحماية نظام معلومات المؤسسة.

تعني حماية الأجهزة والبرامج أن تكون البرامج (البرامج الثابتة) وأجزاء الأجهزة مترابطة تمامًا وغير قابلة للفصل.

وسائل التشفير - وسائل الحماية عن طريق تحويل المعلومات (التشفير).

الوسائل التنظيمية - التدابير التنظيمية والفنية والتنظيمية والقانونية لتنظيم سلوك الموظفين.

الوسائل التشريعية - الإجراءات القانونية للدولة التي تنظم قواعد استخدام ومعالجة ونقل المعلومات ذات الوصول المحدود والتي تحدد تدابير المسؤولية عن انتهاك هذه القواعد.

الوسائل الأخلاقية والمعنوية - الأعراف والتقاليد في المجتمع ، على سبيل المثال: مدونة قواعد السلوك المهني لأعضاء رابطة مستخدمي الكمبيوتر في الولايات المتحدة.

1.2 طرق ووسائل ضمان السلامة

يتم استخدام آليات تشفير مختلفة لتنفيذ الإجراءات الأمنية ، ما هي هذه الأساليب المستخدمة؟ في البداية ، عند إرسال البيانات (نص أو كلام أو صورة) ، تكون غير محمية ، أو كما يسميها الخبراء مفتوحة. يمكن بسهولة اعتراض البيانات المفتوحة من قبل المستخدمين الآخرين (عمدا أو بذكاء). إذا كان هناك هدف لمنع وصول معلومات معينة إلى أطراف ثالثة ، يتم تشفير هذه البيانات. يقوم المستخدم الذي تستهدفه المعلومات المحددة بفك تشفيرها باستخدام التحويل العكسي للتشفير ، واستلام البيانات بالشكل الذي يحتاجه.

التشفير متماثل (يتم استخدام مفتاح سري واحد للتشفير) وغير متماثل (يتم استخدام مفتاح عام واحد للتشفير وللفك التشفير - آخر غير مترابط - أي أنك تعرف أحدهما لا يمكنك تحديد الآخر).

آليات الأمان هي أيضًا مثل:

) تعتمد آليات التوقيع الإلكتروني الرقمي على خوارزميات التشفير غير المتماثل وتشمل إجراءين: إنشاء التوقيع من قبل المرسل والاعتراف به من قبل المتلقي. يضمن تشكيل التوقيع من قبل المرسل تشفير كتلة البيانات أو استكمالها بمجموع تدقيق تشفير ، وفي كلتا الحالتين ، يتم استخدام المفتاح السري للمرسل. يستخدم المفتاح العمومي لتحديد الهوية.

) تتحقق آليات التحكم في الوصول من سلطة البرامج والمستخدمين للوصول إلى موارد الشبكة. عند الوصول إلى مورد من خلال اتصال ، يتم إجراء التحكم في كل من نقطة البدء والنقاط الوسيطة ، وكذلك عند نقطة النهاية.

) يتم تطبيق آليات سلامة البيانات على الكتلة الفردية وعلى تدفق البيانات. يكمل المرسل الكتلة المرسلة بكمية تشفير ، ويقارنها المستقبل بالقيمة المشفرة المقابلة للكتلة المستلمة. يشير عدم التطابق إلى تشويه المعلومات في الكتلة.

) آليات ضبط حركة المرور. وهي تستند إلى إنشاء الكتل بواسطة كائنات AIS وتشفيرها وتنظيم الإرسال عبر قنوات الشبكة. هذا يحيد إمكانية الحصول على المعلومات من خلال مراقبة الخصائص الخارجية للتدفقات المتداولة عبر قنوات الاتصال.

) تضمن آليات التحكم في التوجيه اختيار المسارات لنقل المعلومات عبر شبكة الاتصالات بطريقة تستبعد نقل المعلومات المصنفة عبر قنوات غير آمنة ماديًا غير موثوق بها.

) توفر آليات التحكيم تأكيدًا لخصائص البيانات المنقولة بين الكائنات بواسطة طرف ثالث. لهذا ، تمر المعلومات المرسلة أو المستلمة من خلال الحكم ، مما يسمح له لاحقًا بتأكيد الخصائص المذكورة.

العيوب الرئيسية لنظام الأمن للأشياء الاقتصادية هي:

-الفهم الضيق وغير المنتظم لمشكلة سلامة الأشياء ؛

-إهمال منع التهديدات ، والعمل وفق مبدأ "هناك تهديد - نبدأ في القضاء عليه" ؛

-عدم الكفاءة في اقتصاديات الأمن ، وعدم القدرة على مقارنة التكاليف والفوائد ؛

-"تكنوقراطية" المتخصصين في الإدارة والأمن ، تفسير جميع المهام بلغة مجال مألوف لديهم.

في ختام الفصل الأول من العمل ، دعونا نحدد ما يلي. يشير أمن أنظمة المعلومات إلى بعض الإجراءات التي تحمي من خلالها نظام المعلومات من التدخل العرضي أو المتعمد في أساليب تشغيله. لضمان الأمن ، تم تصور نهجين رئيسيين: 1) مجزأة ، في إطارها يتم تنفيذ مواجهة تهديدات معينة في ظل ظروف معينة ؛ 2) نظامي ، يتم من خلاله إنشاء بيئة محمية لمعالجة المعلومات وتخزينها ونقلها ، والجمع بين مختلف الأساليب والوسائل لمواجهة التهديدات ، وتستخدم وسائل وآليات مختلفة لحماية المعلومات. تشمل الوسائل: التشفير ، والتسجيل الإلكتروني الرقمي ، والتحكم في الوصول ، وإعداد حركة المرور ، وما إلى ذلك.

أمن النظام المصرفي عبر الإنترنت

2. ميزات ضمان أمن البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت

2.1. الشروط العامة لضمان أمن البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت

حماية المعلومات الشخصية هي حالة حماية المعلومات والبنية التحتية الداعمة لها (أجهزة الكمبيوتر وخطوط الاتصال وأنظمة الإمداد بالطاقة وما إلى ذلك) من التأثيرات العرضية أو المتعمدة المحفوفة بالضرر لمالكي هذه المعلومات أو مستخدميها.

أيضًا ، يُفهم أمن معلومات أوراق الاعتماد على أنه: ضمان موثوقية الكمبيوتر ؛ سلامة أوراق الاعتماد القيمة ؛ حماية المعلومات الشخصية من التغييرات التي تطرأ عليها من قبل أشخاص غير مصرح لهم ؛ الحفاظ على بيانات الاعتماد الموثقة في الاتصالات الإلكترونية.

كائنات أمن المعلومات في المحاسبة موارد إعلاميةتحتوي على معلومات مصنفة على أنها أسرار تجارية ومعلومات سرية ؛ وكذلك وسائل وأنظمة المعلوماتية.

مالك موارد المعلومات وأنظمة المعلومات والتقنيات ووسائل دعمها هو كيان يمتلك ويستخدم الأشياء المحددة ويمارس صلاحيات التصرف ضمن الحدود التي ينص عليها القانون.

مستخدم المعلومات هو الشخص الذي يلجأ إلى نظام معلومات أو وسيط للحصول على المعلومات التي يحتاجها ويستخدمها.

موارد المعلومات هي مستندات فردية ومصفوفات منفصلة من المستندات والوثائق وصفيفات المستندات في أنظمة المعلومات.

يتمثل التهديد لأمن المعلومات في إجراء محتمل محتمل يمكن أن يؤدي ، من خلال التأثير على مكونات النظام الشخصي ، إلى إلحاق الضرر بمالكي موارد المعلومات أو مستخدمي النظام.

يتم تحديد النظام القانوني لموارد المعلومات من خلال القواعد المنشئة لما يلي:

إجراء توثيق المعلومات ؛

ملكية المستندات الفردية والمصفوفات الفردية

المستندات والوثائق ومصفوفات المستندات في أنظمة المعلومات ؛ فئة المعلومات حسب مستوى الوصول إليها ؛ إجراء الحماية القانونية للمعلومات.

المبدأ الرئيسي الذي يتم انتهاكه في تنفيذ تهديد المعلومات في المحاسبة هو مبدأ توثيق المعلومات. يكتسب مستند المحاسبة الذي يتم الحصول عليه من نظام المعلومات المحاسبية الآلي قوة قانونية بعد توقيعه من قبل مسؤول بالطريقة المنصوص عليها في تشريعات الاتحاد الروسي.

يمكن تقسيم كل مجموعة التهديدات المحتملة في المحاسبة حسب طبيعة حدوثها إلى فئتين: طبيعية (موضوعية) ومصطنعة.

تنجم التهديدات الطبيعية عن أسباب موضوعية ، كقاعدة عامة ، خارجة عن سيطرة المحاسب ، مما يؤدي إلى التدمير الكامل أو الجزئي لقسم المحاسبة إلى جانب مكوناته. تشمل هذه الظواهر الطبيعية: الزلازل ، الصواعق ، الحرائق ، إلخ.

ترتبط التهديدات من صنع الإنسان بالأنشطة البشرية. يمكن تقسيمها إلى أخطاء غير مقصودة (غير مقصودة) ناتجة عن قدرة الموظفين على ارتكاب أي أخطاء بسبب عدم الانتباه ، أو التعب ، أو الحالة المؤلمة ، إلخ. على سبيل المثال ، قد يقوم المحاسب ، عند إدخال المعلومات في جهاز الكمبيوتر ، بالضغط على المفتاح الخطأ ، أو ارتكاب أخطاء غير مقصودة في البرنامج ، أو إدخال فيروس ، أو الكشف عن كلمات المرور عن طريق الخطأ.

ترتبط التهديدات المتعمدة (المتعمدة) بالتطلعات الأنانية للأشخاص - المجرمين ، الذين ينشئون عن عمد مستندات غير دقيقة.

من حيث تركيزها ، يمكن تقسيم التهديدات الأمنية إلى المجموعات التالية:

التهديدات لاختراق البيانات وقراءتها من قواعد بيانات الاعتماد وبرامج الكمبيوتر لمعالجتها ؛

التهديدات لسلامة أوراق الاعتماد ، مما يؤدي إما إلى إتلافها أو تغييرها ، بما في ذلك تزوير مستندات الدفع (طلبات الدفع ، والأوامر ، وما إلى ذلك) ؛

تهديدات توفر البيانات التي تنشأ عندما يتعذر على المستخدم الوصول إلى بيانات الاعتماد ؛

التهديد برفض تنفيذ العمليات ، عندما يرسل أحد المستخدمين رسالة إلى آخر ، ثم لا يؤكد البيانات المرسلة.

عمليات المعلومات هي عمليات جمع المعلومات ومعالجتها وتجميعها وتخزينها والبحث عنها ونشرها.

نظام المعلومات هو مجموعة من الوثائق مرتبة تنظيمياً (صفائف من الوثائق وتقنيات المعلومات ، بما في ذلك تلك التي تستخدم تكنولوجيا الكمبيوتر والاتصالات التي تنفذ عمليات المعلومات).

يتم توثيق المعلومات وفقًا للإجراءات التي وضعتها سلطات الدولة المسؤولة عن تنظيم العمل المكتبي ، وتوحيد المستندات ومصفوفاتها ، وأمن الاتحاد الروسي.

اعتمادًا على مصدر التهديدات ، يمكن تقسيمها إلى داخلية وخارجية.

مصدر التهديدات الداخلية هو أنشطة موظفي المنظمة. تأتي التهديدات الخارجية من الخارج من موظفي المنظمات الأخرى ، من المتسللين وغيرهم.

يمكن تصنيف التهديدات الخارجية إلى:

محلي ، والذي يتضمن دخول الدخيل إلى أراضي المنظمة والوصول إلى جهاز كمبيوتر منفصل أو شبكة محلية ؛

تعتبر التهديدات عن بعد نموذجية للأنظمة المتصلة بالشبكات العالمية (الإنترنت ، ونظام تسوية البنوك الدولية SWIFT ، وما إلى ذلك).

غالبًا ما تظهر مثل هذه المخاطر في نظام الدفع الإلكتروني أثناء التسويات بين الموردين والمشترين ، وعند استخدام شبكات الإنترنت في المستوطنات. يمكن أن تكون مصادر مثل هذه الهجمات الإعلامية على بعد آلاف الكيلومترات. علاوة على ذلك ، لا يتم الكشف عن أجهزة الكمبيوتر فحسب ، بل يتم الكشف أيضًا عن المعلومات المحاسبية.

الأخطاء المتعمدة وغير المقصودة في المحاسبة ، والتي تؤدي إلى زيادة المخاطر المحاسبية ، هي كما يلي: أخطاء في تسجيل البيانات المحاسبية ؛ رموز غير صحيحة المعاملات المحاسبية غير المصرح بها ؛ انتهاك حدود الرقابة ؛ حسابات فائتة أخطاء في معالجة البيانات أو إخراجها ؛ أخطاء في تكوين أو تصحيح الكتب المرجعية ؛ حسابات غير مكتملة التخصيص غير الصحيح للسجلات حسب الفترات ؛ تزوير البيانات انتهاك متطلبات التشريعات التنظيمية ؛ انتهاك مبادئ السياسة الشخصية ؛ عدم كفاية جودة الخدمات لاحتياجات المستخدمين.

من الخطورة بشكل خاص المعلومات التي تشكل سرًا تجاريًا والمتعلقة بالمعلومات الشخصية ومعلومات التقارير (بيانات حول الشركاء والعملاء والبنوك والمعلومات التحليلية حول نشاط السوق). من أجل حماية هذه المعلومات وما شابهها ، من الضروري إبرام عقود مع موظفي قسم المحاسبة والخدمات المالية والوحدات الاقتصادية الأخرى ، مع الإشارة إلى قائمة المعلومات التي لا تخضع للدعاية.

تعتمد حماية المعلومات في أنظمة المحاسبة الآلية على المبادئ الأساسية التالية.

ضمان الفصل المادي بين المناطق المخصصة لمعالجة المعلومات السرية وغير المصنفة.

توفير حماية تشفير للمعلومات. تقديم تصديق منشآت المشتركين والمشتركين. توفير التمايز في وصول الموضوعات وعملياتها إلى المعلومات. التأكد من صحة وسلامة الرسائل الوثائقية أثناء نقلها عبر قنوات الاتصال.

ضمان حماية المعدات والوسائل التقنية للنظام والمباني التي توجد بها من تسرب المعلومات السرية عبر القنوات الفنية.

ضمان حماية تكنولوجيا التشفير والمعدات والأجهزة والبرامج من تسرب المعلومات من خلال علامات تبويب الأجهزة والبرامج.

ضمان السيطرة على سلامة البرمجيات وأجزاء المعلومات للنظام الآلي.

باستخدام المحلي فقط

موارد المعلومات الحكومية في الاتحاد الروسي مفتوحة ومتاحة للجمهور. استثناء هو المعلومات الموثقة المصنفة بموجب القانون كفئة وصول مقيد. وفقًا لشروط نظامها القانوني ، يتم تقسيم المعلومات الموثقة ذات الوصول المحدود إلى معلومات مصنفة على أنها من أسرار الدولة وسرية. تم وضع قائمة المعلومات السرية ، ولا سيما المعلومات المتعلقة بالأنشطة التجارية ، بموجب المرسوم الصادر عن رئيس الاتحاد الروسي في 6 مارس 1997 رقم 188 (الملحق رقم) للتطورات.

توفير تدابير الحماية التنظيمية والنظامية. من المستحسن استخدام تدابير إضافية لضمان أمن الاتصالات في النظام.

تنظيم حماية المعلومات حول كثافة ومدة وحركة تبادل المعلومات.

استخدام القنوات والطرق لنقل ومعالجة المعلومات التي تعرقل الاعتراض.

تهدف حماية المعلومات من الوصول غير المصرح به إلى تكوين ثلاث خصائص رئيسية للمعلومات المحمية:

السرية (يجب أن تكون المعلومات السرية متاحة فقط للشخص المقصود بها) ؛

النزاهة (يجب أن تكون المعلومات التي يتم على أساسها اتخاذ القرارات المهمة موثوقة ودقيقة ومحمية تمامًا من التشوهات المحتملة غير المقصودة والخبيثة) ؛

الجاهزية (يجب أن تكون المعلومات وخدمات المعلومات ذات الصلة متاحة وجاهزة لخدمة أصحاب المصلحة كلما دعت الحاجة).

طرق ضمان حماية المعلومات الشخصية هي: عقبات؛ التحكم في الوصول ، الإخفاء ، التنظيم ، الإكراه ، التحفيز.

يجب اعتبار العائق طريقة لمنع المهاجم ماديًا من الوصول إلى المعلومات الشخصية المحمية. يتم تنفيذ هذه الطريقة من خلال نظام الوصول الخاص بالمؤسسة ، بما في ذلك وجود الأمن عند مدخلها ، وعرقلة مسار الأشخاص غير المصرح لهم إلى قسم المحاسبة ، وأمين الصندوق ، وما إلى ذلك.

التحكم في الوصول هو وسيلة لحماية المعلومات الشخصية وإعداد التقارير ، ويتم تنفيذه من خلال:

المصادقة - إثبات أصالة كائن أو موضوع وفقًا للمعرف الذي قدمه (يتم إجراؤه من خلال مقارنة المعرف المدخل بالمعرف المخزن في ذاكرة الكمبيوتر) ؛

فحوصات التفويض - التحقق من امتثال الموارد المطلوبة والعمليات التي يتم إجراؤها على الموارد المخصصة والإجراءات المسموح بها ؛ تسجيل المكالمات إلى الموارد المحمية ؛

الإعلام والرد على محاولات القيام بأعمال غير مصرح بها. (التشفير هو وسيلة للحماية عن طريق تحويل المعلومات (التشفير)).

في مجمع BEST-4 ، يتم التفريق في الوصول إلى المعلومات على مستوى الأنظمة الفرعية الفردية ويتم توفيره عن طريق تعيين كلمات مرور وصول منفصلة. أثناء الإعداد الأولي أو في أي وقت عند العمل مع البرنامج ، يمكن لمسؤول النظام تعيين أو تغيير كلمة مرور واحدة أو عدة كلمات مرور. يتم طلب كلمة المرور في كل مرة تقوم فيها بتسجيل الدخول إلى النظام الفرعي.

بالإضافة إلى ذلك ، تحتوي بعض الوحدات النمطية على نظامها الخاص للتمييز في الوصول إلى المعلومات. يوفر القدرة على حماية كل عنصر من عناصر القائمة بكلمات مرور خاصة. يمكنك أيضًا حماية الوصول إلى مجموعات فرعية فردية من المستندات الأساسية بكلمات مرور: على سبيل المثال ، في محطة العمل "محاسبة المخزونات في المستودع" و "محاسبة السلع والمنتجات" ، من الممكن تعيين كلمات مرور الوصول إلى كل مستودع على حدة ، كل نقد التسجيل ، في محطة العمل الآلية "محاسبة التسويات مع البنك" - الوصول إلى كلمات المرور لكل حساب مصرفي.

وتجدر الإشارة بشكل خاص إلى أنه من أجل تحديد الوصول إلى المعلومات بشكل فعال ، فمن الضروري أولاً وقبل كل شيء الحماية بكلمات المرور لأنماط تحديد كلمات المرور للوصول إلى كتل معينة.

في 1C. Enterprise ، الإصدار 7.7 ، هناك حماية للمعلومات الخاصة بها - حقوق الوصول. من أجل دمج وفصل وصول المستخدمين إلى المعلومات عند العمل مع نظام 1C. مؤسسة في شبكة من أجهزة الكمبيوتر الشخصية ، يسمح لك مُكوِّن النظام لتعيين حقوق كل مستخدم للعمل مع نظام معالجة المعلومات. يمكن تعيين الحقوق في نطاق واسع إلى حد ما - من القدرة على عرض أنواع معينة من المستندات فقط إلى مجموعة كاملةحقوق إدخال أي نوع من البيانات وعرضها وتصحيحها وحذفها.

يتم تخصيص حقوق الوصول للمستخدم على مرحلتين. في المرحلة الأولى ، يتم إنشاء مجموعات قياسية من حقوق التعامل مع المعلومات ، والتي ، كقاعدة عامة ، تختلف في اتساع خيارات الوصول المتوفرة. في المرحلة الثانية ، يتم تعيين واحدة من هذه المجموعات النموذجية من الحقوق للمستخدم.

يتم تنفيذ جميع الأعمال المتعلقة بإنشاء مجموعات قياسية من الحقوق في علامة التبويب "الحقوق" في نافذة "التكوين". يتم استدعاء هذه النافذة على الشاشة عن طريق تحديد عنصر "فتح التكوين" من قائمة "التكوين" في قائمة البرنامج الرئيسية

2.2 مجموعة من الإجراءات لضمان أمن البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت

يتم تنفيذ تبرير مجموعة من الإجراءات لضمان أمن PD في ISPDN مع مراعاة نتائج تقييم خطر التهديدات وتحديد فئة ISPDN على أساس "التدابير الرئيسية للتنظيم والأمن الفني للأفراد البيانات التي تتم معالجتها في أنظمة معلومات البيانات الشخصية ".

في الوقت نفسه ، يجب تحديد التدابير من أجل:

تحديد وإغلاق القنوات الفنية لتسرب PD في ISPDN ؛

حماية البيانات الشخصية من الوصول غير المصرح به والإجراءات غير القانونية ؛

تركيب وتهيئة وتطبيق وسائل الحماية.

تتم صياغة إجراءات تحديد وإغلاق القنوات الفنية لتسرب PD في PDIS على أساس تحليل وتقييم التهديدات لأمن PD.

تشمل تدابير حماية PD أثناء معالجتها في ISPD من الوصول غير المصرح به والإجراءات غير القانونية ما يلي:

صلاحية التحكم صلاحية الدخول؛

التسجيل والمحاسبة

ضمان النزاهة ؛

السيطرة على غياب الفرص غير المعلنة ؛

الحماية من الفيروسات

ضمان التوصيل البيني الآمن لـ ISPDN ؛

تحليل الأمن؛

كشف التسلل.

يوصى بتنفيذ النظام الفرعي للتحكم في الوصول والتسجيل والمحاسبة على أساس برنامج لمنع الإجراءات غير المصرح بها والإشارات والتسجيل. هذه حماية خاصة للبرامج والبرامج والأجهزة لأنظمة التشغيل نفسها ، وقواعد البيانات الإلكترونية للبيانات الشخصية وبرامج التطبيقات ، والتي لا يتم تضمينها في جوهر أي نظام تشغيل. يؤدون وظائف الحماية بشكل مستقل أو بالاشتراك مع وسائل الحماية الأخرى ويهدفون إلى استبعاد أو إعاقة تنفيذ إجراءات المستخدم أو المخالف التي تشكل خطورة على ISPD. وتشمل هذه المرافق الخاصة وأنظمة برمجيات الحماية التي تنفذ وظائف التشخيص والتسجيل والتدمير والإشارة والتقليد.

تختبر أدوات التشخيص نظام الملفات وقواعد بيانات PD ، وتجمع باستمرار معلومات حول أداء عناصر النظام الفرعي لأمن المعلومات.

تم تصميم أدوات التدمير لتدمير البيانات المتبقية ويمكن أن توفر تدميرًا لبيانات الطوارئ في حالة وجود تهديد بهجوم غير مصرح به لا يمكن للنظام حظره.

تم تصميم وسائل الإشارة لتحذير المشغلين عند وصولهم إلى PDs المحمية ولتحذير المسؤول عند اكتشاف حقيقة الوصول غير المصرح به إلى PD والحقائق الأخرى المتعلقة بانتهاك التشغيل العادي لـ PDIS.

تحاكي أدوات المحاكاة العمل مع المخالفين عند اكتشاف محاولة هجوم غير مصرح به لحماية PD أو البرنامج. يتيح لك التقليد زيادة الوقت لتحديد موقع وطبيعة UAN ، وهو أمر مهم بشكل خاص في الشبكات الموزعة جغرافيًا ، ولإبلاغ المخالف عن موقع PD المحمي.

يتم تنفيذ النظام الفرعي لضمان النزاهة بشكل أساسي من خلال أنظمة التشغيل وأنظمة إدارة قواعد البيانات. تعتمد وسائل زيادة الموثوقية وضمان سلامة البيانات المرسلة وموثوقية المعاملات ، المضمنة في أنظمة التشغيل وأنظمة إدارة قواعد البيانات ، على حساب المجاميع الاختبارية ، والإخطار بفشل في إرسال حزمة رسالة ، وإعادة إرسال حزمة حزمة غير مستلمة.

يتم تنفيذ النظام الفرعي لرصد غياب القدرات غير المعلنة في معظم الحالات على أساس أنظمة إدارة قواعد البيانات وأدوات حماية المعلومات وأدوات حماية المعلومات المضادة للفيروسات.

لضمان أمان البيانات الشخصية وبيئة البرامج والأجهزة الخاصة بـ ISPD التي تعالج هذه المعلومات ، يوصى باستخدام أدوات حماية خاصة لمكافحة الفيروسات تؤدي:

اكتشاف و (أو) منع التأثيرات الفيروسية المدمرة على النظام بأكمله والبرامج التطبيقية التي تنفذ معالجة PD ، وكذلك على PD ؛

كشف وإزالة الفيروسات غير المعروفة ؛

ضمان المراقبة الذاتية (الوقاية من العدوى) لأداة مكافحة الفيروسات هذه عند إطلاقها.

عند اختيار أدوات الحماية من الفيروسات ، يُنصح بمراعاة العوامل التالية:

توافق هذه الأدوات مع برامج ISPD القياسية ؛

درجة الانخفاض في إنتاجية أداء ISPDn للغرض الرئيسي ؛

توافر وسائل السيطرة المركزية على عمل الحماية ضد الفيروسات من مكان عمل مسؤول أمن المعلومات في ISPD ؛

القدرة على إخطار مسؤول أمن المعلومات في ISPD على الفور بجميع الأحداث والحقائق المتعلقة بمظهر التأثيرات البرمجية والرياضية (PMA) ؛

توافر وثائق مفصلة عن تشغيل الحماية ضد الفيروسات ؛

القدرة على الاختبار الدوري أو الاختبار الذاتي للحماية من الفيروسات ؛

إمكانية زيادة تكوين وسائل الحماية ضد سلطة النقد الفلسطينية بوسائل إضافية جديدة دون قيود كبيرة على كفاءة ISPD و "التضارب" مع أنواع أخرى من وسائل الحماية.

يجب وصف إجراءات تثبيت أدوات الحماية من الفيروسات وتكوينها وتكوينها وإدارتها ، وكذلك إجراءات الإجراءات في حالة اكتشاف حقيقة هجوم فيروسي أو انتهاكات أخرى لمتطلبات الحماية من التأثيرات البرمجية والرياضية. أن يتم تضمينها في دليل مسؤول أمن المعلومات في ISPDN.

من أجل التمييز بين الوصول إلى موارد ISPD أثناء التوصيل البيني ، يتم استخدام جدار الحماية ، والذي يتم تنفيذه بواسطة برامج وبرامج وأجهزة جدران الحماية (ME). يتم تثبيت جدار حماية بين الشبكة المحمية ، وتسمى الشبكة الداخلية ، والشبكة الخارجية. يعد جدار الحماية جزءًا من الشبكة المحمية. بالنسبة لها ، من خلال الإعدادات ، يتم تعيين القواعد بشكل منفصل التي تقيد الوصول من الشبكة الداخلية إلى الشبكة الخارجية والعكس صحيح.

لضمان الاتصال البيني الآمن في ISPDN للفئات 3 و 4 ، يوصى باستخدام ME على الأقل من المستوى الخامس من الأمان.

لضمان الاتصال البيني الآمن في ISPD من الفئة 2 ، يوصى باستخدام ME على الأقل من مستوى الأمان الرابع.

لضمان التوصيل البيني الآمن في ISPD من الفئة 1 ، يوصى باستخدام ME بمستوى أمان ثالث على الأقل.

يتم تنفيذ النظام الفرعي لتحليل الأمان على أساس استخدام أدوات الاختبار (التحليل الأمني) والتحكم في أمن المعلومات (التدقيق).

تُستخدم أدوات تحليل الأمان للتحكم في إعدادات الحماية لأنظمة التشغيل على محطات العمل والخوادم وتمكين من تقييم إمكانية قيام المتطفلين بهجمات على معدات الشبكة والتحكم في أمان البرامج. للقيام بذلك ، يقومون بفحص هيكل الشبكة ، والبحث عن اتصالات الشبكة غير الآمنة أو غير المصرح بها ، والتحقق من إعدادات جدار الحماية. يتم إجراء مثل هذا التحليل على أساس الأوصاف التفصيليةنقاط الضعف في إعدادات الأمان (مثل المفاتيح والموجهات والجدران النارية) أو نقاط الضعف في أنظمة التشغيل أو برامج التطبيقات. نتيجة تشغيل أداة تحليل الأمان هي تقرير يلخص المعلومات حول الثغرات الأمنية المكتشفة.

يمكن أن تعمل أجهزة الكشف عن الثغرات الأمنية في طبقة الشبكة (في هذه الحالة ، يطلق عليها "المستندة إلى الشبكة") ونظام التشغيل ("المستندة إلى المضيف") والتطبيق ("المستندة إلى التطبيق"). باستخدام برنامج المسح ، يمكنك بسرعة رسم خريطة لجميع عقد ISPD المتاحة ، وتحديد الخدمات والبروتوكولات المستخدمة في كل منها ، وتحديد إعداداتها الأساسية ووضع افتراضات حول احتمالية تنفيذ خدمة غير مصرح بها.

بناءً على نتائج فحص النظام ، يتم وضع توصيات وتدابير للقضاء على أوجه القصور المحددة.

تُستخدم أنظمة كشف التسلل لتحديد تهديدات كشف التسلل من خلال التوصيل البيني. وقد تم تصميم هذه الأنظمة مع مراعاة خصوصيات تنفيذ الهجمات ومراحل تطورها ، وتعتمد على عدد من الأساليب لاكتشاف الهجمات.

توجد ثلاث مجموعات من طرق اكتشاف الهجوم:

طرق التوقيع

طرق الكشف عن الحالات الشاذة.

طرق مجمعة (باستخدام الخوارزميات المحددة في طرق كشف التوقيع والعيوب).

للكشف عن عمليات التطفل على ISPDN من الفئتين 3 و 4 ، يوصى باستخدام أنظمة الكشف هجمات الشبكةباستخدام طرق تحليل التوقيع.

لاكتشاف عمليات التطفل على مزودي خدمات الإنترنت من الفئتين 1 و 2 ، يوصى باستخدام أنظمة الكشف عن هجمات الشبكة التي تستخدم أساليب الكشف عن الشذوذ جنبًا إلى جنب مع طرق تحليل التوقيع.

لحماية البيانات الشخصية من التسرب من خلال القنوات التقنية ، يتم استخدام التدابير التنظيمية والتقنية للقضاء على تسرب الصوت (الكلام) ، ومعلومات الأنواع ، وكذلك تسرب المعلومات بسبب الإشعاع والتداخل الكهرومغناطيسي الجانبي.

في ختام الفصل الثاني من العمل ، نستخلص الاستنتاجات التالية. حماية المعلومات الشخصية هي حالة حماية المعلومات والبنية التحتية الداعمة لها من التأثيرات العرضية أو المتعمدة ذات الطبيعة الطبيعية أو الاصطناعية ، والمحفوفة بإلحاق الضرر بمالكي أو مستخدمي هذه المعلومات. ويتم تعريف عناصر أمن المعلومات في المحاسبة: المعلومات الموارد التي تحتوي على معلومات مصنفة على أنها أسرار تجارية ووسائل ونظم معلوماتية. الطرق الرئيسية المستخدمة في إطار حماية المعلومات هي: الكشف والحماية المباشرة.

استنتاج

إن مشكلة أمن المعلومات الخاصة بالأشياء الاقتصادية متعددة الأوجه وتحتاج إلى مزيد من التفصيل.

في العالم الحديث ، أصبحت المعلوماتية موردا استراتيجيا وطنيا ، وأحد الثروات الرئيسية للدولة المتقدمة اقتصاديا. أدى التحسن السريع للمعلوماتية في روسيا ، وتغلغلها في جميع مجالات المصالح الحيوية للفرد والمجتمع والدولة ، بالإضافة إلى المزايا التي لا شك فيها ، إلى ظهور عدد من المشاكل الهامة. كان أحدها الحاجة إلى حماية المعلومات. بالنظر إلى أن الإمكانات الاقتصادية في الوقت الحاضر يتم تحديدها بشكل متزايد من خلال مستوى تطوير البنية التحتية للمعلومات ، فإن الضعف المحتمل للاقتصاد أمام تأثيرات المعلومات يتزايد بشكل متناسب.

تنفيذ تهديدات أمن المعلومات هو انتهاك لسرية وسلامة وتوافر المعلومات. من وجهة نظر نهج منظم لحماية المعلومات ، من الضروري استخدام الترسانة الكاملة لوسائل الحماية المتاحة في جميع العناصر الهيكلية لكائن اقتصادي وفي جميع مراحل الدورة التكنولوجية لمعالجة المعلومات. يجب أن تمنع طرق ووسائل الحماية بشكل موثوق الطرق الممكنة للوصول غير المصرح به إلى الأسرار المحمية. تعني فعالية أمن المعلومات أن تكاليف تنفيذه يجب ألا تتجاوز الخسائر المحتملة من تنفيذ تهديدات المعلومات. يتم إنجاز تخطيط أمن المعلومات من خلال وضع خطط مفصلة لأمن المعلومات من قبل كل خدمة. الوضوح مطلوب في ممارسة صلاحيات وحقوق المستخدمين للوصول إلى أنواع معينة من المعلومات ، في ضمان التحكم في معدات الحماية والاستجابة الفورية لفشلها.

فهرس

1.تقنيات المعلومات الآلية في البنوك / محرر. الأستاذ. ج. تيتورينكو. - م: Finstatinform ، 2007

2.تقنيات المعلومات الآلية في الاقتصاد / إد. الأستاذ. ج. تيتورينكو. - م: UNITI ، 2010

.منظمة Ageev AS والأساليب الحديثة لحماية المعلومات. - م: الاهتمام ب "مركز الأعمال بالبنك" ، 2009

.Adzhiev، V. أساطير أمان البرامج: دروس من الكوارث الشهيرة. - الأنظمة المفتوحة ، 199. رقم 6

.ألكسيف و ف. أمن معلومات البلديات. - فورونيج: دار النشر VSTU ، 2008.

.أليكسييف ، ف. المعايير الدولية لتقييم أمن تقنية المعلومات وتطبيقها العملي: كتاب مدرسي. - بينزا: دار النشر بينز. حالة جامعة 2002

.أليكسييف ، ف. الدعم التنظيمي لحماية المعلومات من الوصول غير المصرح به. - بينزا: دار النشر بينز. حالة الجامعة ، 2007

.أليكسييف ، ف. ضمان أمن المعلومات في تطوير البرمجيات. - بينزا: دار النشر بينز. حالة الجامعة ، 2008

.أليشين ، ل. أمن المعلومات وأمن المعلومات: محاضرات يلقيها ل. موسكو حالة un-t للثقافة. - م: موسك. حالة جامعة الثقافة 2010

.Akhramenka، N.F. وغيرها. الجريمة والعقاب في نظام الدفع بالوثائق الإلكترونية // إدارة أمن المعلومات ، 1998

.البنوك والعمليات المصرفية. كتاب / إد. إي. جوكوف. - م: البنوك والبورصات ، UNITI ، 2008

.بارسوكوف ، في. الأمن: التقنيات والوسائل والخدمات. - م: Kudits - صورة ، 2007

.باتورين ، يو. مشاكل قانون الكمبيوتر. - م: جريد. مضاءة ، 1991

.باتورين ، يو. جرائم الكمبيوتر وأمن الكمبيوتر. م: Jur.lit. ، 2009

.بيزروكوف ، ن. مقدمة في علم الفيروسات الحسابي. المبادئ العامة للتشغيل والتصنيف وكتالوج الفيروسات الأكثر شيوعًا في M5-005. ك ، 2005

.Bykov ، V.A. الأعمال الإلكترونية والأمن / ف. أ. بيكوف. - م: الراديو والاتصال 2000

.فارفولومييف ، أ. أمن المعلومات. الأسس الرياضية للتشفير. الجزء 1. - موسكو: MEPhI ، 1995

.فيكوف ، ف. جرائم الحاسوب: طرق ارتكابها وإفشاءها. - م: القانون والقانون ، 1996

.فولوبويف ، S.V. مقدمة لأمن المعلومات. - أوبنينسك: Obninsk. معهد الطاقة الذرية ، 2001

.فولوبويف ، S.V. أمن المعلومات للأنظمة الآلية. - أوبنينسك: Obninsk. معهد الطاقة الذرية ، 2001

.المؤتمر العلمي العملي لعموم روسيا "أمن المعلومات في نظام التعليم العالي" ، 28-29 تشرين الثاني / نوفمبر. 2000 ، NSTU ، نوفوسيبيرسك ، روسيا: IBVSh 2000. - نوفوسيبيرسك ، 2001

23.جالاتينكو ، ف. أمن المعلومات: نهج عملي V. A. Galatenko؛ إد. VB Betelin ؛ ينمو. أكاد. العلوم ، ناوشن. معهد النظم. صدر. - م: نوكا ، 1998

.Galatenko، V.A .. أساسيات أمن المعلومات: دورة محاضرات. - م: Internet-Un-t inform. التقنيات ، 2003

.جيناديفا ، إي. الأسس النظرية لعلوم الحاسب وأمن المعلومات. - م: الراديو والاتصال 2000

.المهوس ، سيباستيان نارتشيس. إخفاء المعلومات في ملفات رسومية من تنسيق BMP Dis. ... كان. تقنية. العلوم: 05.13.19 - SPb. ، 2001

.جيكا ، س. إخفاء المعلومات في ملفات رسومية بتنسيق BMP: Avtoref. ديس. ... كان. تقنية. العلوم: 05.13.19 S.-Petersburg. حالة في توتش. الميكانيكا والبصريات. - SPb. ، 2001

.غولوبيف ، في. إدارة الأمن. - سانت بطرسبرغ: بيتر ، 2004

.جورباتوف ، في. أمن المعلومات. أسس الحماية القانونية. - م: MEPhI (TU) ، 1995

.جورلوفا ، أنا ، أد. حرية المعلومات وأمن المعلومات: مواد دولية. علمي. Conf. ، كراسنودار ، 30-31 أكتوبر. 2001 - كراسنودار ، 2001

.جرينسبيرج ، أ. وغيرها حماية موارد المعلومات للإدارة العامة. - م: UNITI ، 2003

.أمن المعلومات في روسيا في سياق مجتمع المعلومات العالمي "INFORUM-5": Sat. مواد الخامس فسيروس. Conf. ، موسكو ، 4-5 فبراير 2003 - م: OOO إد. زورن. الأعمال والأمن في روسيا ، 2003

.أمن المعلومات: Sat. طريقة. المواد M- في التعليم روس. الاتحاد [وآخرون]. - م: TSNIIATOMINFORM ، 2003

34.تكنولوجيا المعلومات // الاقتصاد والحياة. رقم 25 ، 2001

35.تكنولوجيا المعلومات في التسويق: كتاب مدرسي للجامعات - موسكو: 2003

.تكنولوجيا المعلومات في الاقتصاد والإدارة: كتاب مدرسي / Kozyrev A.A. - M.: دار النشر ميخائيلوف V.A. ، 2005

.لوباتين ، في. أمن المعلومات في روسيا ديس. ... د. جريد. العلوم: 12.00.01

.لوكاشين ، ف. أمن المعلومات. - م: موسك. حالة جامعة الاقتصاد والإحصاء والمعلوماتية

.Luchin ، I.N. ، Zheldakov A.A. ، Kuznetsov N.A. اختراق حماية كلمة المرور // إضفاء الطابع المعلوماتي على أنظمة إنفاذ القانون. م ، 1996

.مكلار ، ستيوارت. قرصنة الويب. الهجمات والدفاع ستيوارت مكلار ، سوميل شاه ، سريري شاه. - م: ويليامز ، 2003

.ماليوك ، أ. الأسس النظرية لإضفاء الطابع الرسمي على التقييم التنبئي لمستوى أمن المعلومات في أنظمة معالجة البيانات. - م: MEPhI ، 1998 SPb. ، 2000

.الكفاءة الاقتصادية لأنظمة أمن المعلومات. P.P. تشيبوتار - أكاديمية مولدوفا للاقتصاد 2003

.ياكوفليف ، ف. أمن المعلومات وحماية المعلومات في شبكات النقل بالسكك الحديدية للشركات. - م ، 2002

.ياروشكين ، ف. أمن المعلومات. - م: مير ، 2003

.ياروشكين ، ف. أمن المعلومات. - م: صندوق "مير" 2003: أكاد. مشروع

.ياسينيف ، في. نظم المعلومات الآلية في الاقتصاد وضمان سلامتها: كتاب مدرسي. - ن. نوفغورود ، 2002

أعمال مماثلة ل - حماية البيانات الشخصية في الأنظمة المصرفية عبر الإنترنت

1. الأساس النظري لأمن البيانات الشخصية

1.1 الأساس القانوني لحماية البيانات الشخصية في الاتحاد الروسي

1.3.1 الخصائص العامةمصادر تهديدات الوصول غير المصرح به في نظام معلومات البيانات الشخصية.

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

1.3.3 الخصائص العامة للتهديدات لأمن البيانات الشخصية المنفذة باستخدام بروتوكولات الترابط

1.4 خصائص البنك وأنشطته

1.5 قواعد بيانات البيانات الشخصية

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

1.6 تصميم وتهديدات شبكة المنطقة المحلية للبنك

1.7 أدوات أمن المعلومات

2.2 حماية البرامج والأجهزة

2.3 نهج الأمان الأساسي

2.3.1 نظام التوعية بأمن المعلومات للموظفين

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

2.3.5 سياسة كلمة المرور الخاصة بالبنك

3. التبرير الاقتصادي للمشروع

استنتاج

التطبيقات.

المقدمة

استمرت الحوسبة في كل مكان ، والتي بدأت في نهاية القرن العشرين ، حتى يومنا هذا. تعمل أتمتة العمليات في المؤسسات على زيادة إنتاجية العمال. يمكن لمستخدمي أنظمة المعلومات الحصول بسرعة على البيانات اللازمة لأداء واجباتهم الوظيفية. في الوقت نفسه ، إلى جانب تسهيل الوصول إلى البيانات ، هناك مشاكل تتعلق بأمان هذه البيانات. من خلال الوصول إلى أنظمة المعلومات المختلفة ، يمكن للمهاجمين استخدامها لأغراضهم الخاصة: جمع البيانات لبيعها في السوق السوداء ، وسرقة الأموال من عملاء المنظمة ، وسرقة الأسرار التجارية للمؤسسة.

لذلك ، فإن مشكلة حماية المعلومات الهامة للمنظمات هي مشكلة حادة للغاية. في كثير من الأحيان يصبح معروفًا من وسائل الإعلام حول التقنيات أو الأساليب المختلفة لسرقة الأموال عن طريق اختراق أنظمة المعلومات الخاصة بالمؤسسات المالية. بعد الوصول إلى أنظمة معلومات البيانات الشخصية ، يمكن للمهاجم سرقة البيانات من عملاء المؤسسات المالية ، ونشر معلومات حول معاملاتهم المالية ، مما يتسبب في إلحاق ضرر مالي وسمعة عميل البنك. بالإضافة إلى ذلك ، بعد معرفة البيانات المتعلقة بالعميل ، يمكن للمحتالين الاتصال بالعميل مباشرة ، والتظاهر بأنهم موظفين في البنك واستخدام تقنيات الهندسة الاجتماعية بطريقة احتيالية لاكتشاف كلمات المرور من الأنظمة المصرفية البعيدة وسحب الأموال من حساب العميل.

في بلدنا ، مشكلة سرقة البيانات الشخصية والتوزيع غير القانوني لها مشكلة حادة للغاية. يوجد عدد كبير من الموارد على الإنترنت التي تحتوي على قواعد بيانات شخصية مسروقة ، وبمساعدتها ، على سبيل المثال ، عن طريق رقم هاتف محمول ، يمكنك العثور على معلومات مفصلة للغاية عن شخص ، بما في ذلك بيانات جواز سفره ، وعناوين إقامته ، الصور وأكثر من ذلك بكثير.

في مشروع الأطروحة هذا ، أستكشف عملية إنشاء نظام حماية البيانات الشخصية في Citibank.

1. أساسيات أمن البيانات الشخصية

1.1 الأساس القانوني لحماية البيانات الشخصية

يوجد اليوم في روسيا لائحة حكومية في مجال ضمان أمن البيانات الشخصية. الإجراءات القانونية الرئيسية التي تحكم نظام حماية البيانات الشخصية في الاتحاد الروسي هي دستور الاتحاد الروسي والقانون الفيدرالي "بشأن البيانات الشخصية" المؤرخ 27 يوليو 2006 رقم 152-FZ. يحدد هذان القانونان الرئيسيان الأطروحات الرئيسية حول البيانات الشخصية في الاتحاد الروسي:

لكل مواطن الحق في حرمة حياته الخاصة ، والأسرار الشخصية والعائلية ، وحماية شرفه وسمعته ؛

لكل فرد الحق في خصوصية المراسلات والمحادثات الهاتفية والرسائل البريدية والبرقية وغيرها. لا يُسمح بتقييد هذا الحق إلا بناءً على قرار من المحكمة ؛

لا يُسمح بجمع وتخزين واستخدام ونشر معلومات عن الحياة الخاصة لأي شخص دون موافقته ؛

يجب أن تتم معالجة البيانات الشخصية على أساس قانوني وعادل ؛

يجب أن تقتصر معالجة البيانات الشخصية على تحقيق أهداف محددة ومحددة مسبقًا وشرعية. لا يُسمح بمعالجة البيانات الشخصية التي لا تتوافق مع أغراض جمع البيانات الشخصية.

لا يجوز الجمع بين قواعد البيانات التي تحتوي على بيانات شخصية ، والتي تتم معالجتها لأغراض لا تتوافق مع بعضها البعض.

فقط البيانات الشخصية التي تلبي أغراض معالجتها تخضع للمعالجة.

عند معالجة البيانات الشخصية ، يجب ضمان دقة البيانات الشخصية ، وكفايتها ، وإذا لزم الأمر ، ملاءمتها فيما يتعلق بأغراض معالجة البيانات الشخصية. يجب على المشغل اتخاذ التدابير اللازمة أو التأكد من اتخاذها لإزالة أو توضيح البيانات غير الكاملة أو غير الدقيقة.

يجب أن يتم تخزين البيانات الشخصية في شكل يتيح تحديد موضوع البيانات الشخصية ، وليس أكثر من الغرض من معالجة البيانات الشخصية ، إذا لم يتم تحديد فترة تخزين البيانات الشخصية بموجب القانون الفيدرالي ، الاتفاق الذي يكون موضوع البيانات الشخصية طرفًا فيه أو مستفيدًا أو ضامنًا. تخضع البيانات الشخصية المعالجة للتدمير أو نزع الشخصية عند تحقيق أهداف المعالجة أو في حالة فقدان الحاجة إلى تحقيق هذه الأهداف ، ما لم ينص القانون الفيدرالي على خلاف ذلك.

اللوائح الأخرى التي لها تأثير قانوني في مجال حماية البيانات الشخصية في مؤسسات القطاع المصرفي في الاتحاد الروسي هي:

القانون الاتحادي للاتحاد الروسي المؤرخ 27 يوليو 2006 رقم 149 منطقة حرة "بشأن المعلومات وتكنولوجيا المعلومات وحماية المعلومات" ؛

قانون العمل في الاتحاد الروسي (الفصل 14) ؛

مرسوم حكومة الاتحاد الروسي بتاريخ 01.11.2012 رقم 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 رقم 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية."

دعونا ننظر في التعريفات الرئيسية المستخدمة في التشريع.

البيانات الشخصية - أي معلومات تتعلق بشكل مباشر أو غير مباشر بفرد محدد أو يمكن التعرف عليه (موضوع البيانات الشخصية).

مشغل البيانات الشخصية - هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) يعالجون البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية لتتم معالجتها ، الإجراءات (العمليات) التي يتم إجراؤها باستخدام البيانات الشخصية ؛

معالجة البيانات الشخصية - أي إجراء (عملية) أو مجموعة إجراءات (عمليات) يتم إجراؤها باستخدام أدوات التشغيل الآلي أو بدون استخدام هذه الأدوات مع البيانات الشخصية ، بما في ذلك التجميع والتسجيل والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) والاستخراج ، استخدام ، نقل (توزيع ، توفير ، وصول) ، تبديد الشخصية ، حظر ، حذف ، إتلاف البيانات الشخصية ؛

المعالجة الآلية للبيانات الشخصية - معالجة البيانات الشخصية باستخدام تكنولوجيا الكمبيوتر ؛

نشر البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لدائرة غير محددة من الأشخاص ؛

توفير البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لشخص معين أو دائرة معينة من الأشخاص ؛

حظر البيانات الشخصية - الإنهاء المؤقت لمعالجة البيانات الشخصية (باستثناء الحالات التي تكون فيها المعالجة ضرورية لتوضيح البيانات الشخصية) ؛

تدمير البيانات الشخصية - الإجراءات التي يصبح من المستحيل نتيجة لذلك استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية و (أو) نتيجة تدمير ناقلات البيانات الشخصية المادية ؛

نزع الطابع الشخصي عن البيانات الشخصية - الإجراءات ، ونتيجة لذلك يصبح من المستحيل تحديد ملكية البيانات الشخصية من قبل موضوع معين من البيانات الشخصية دون استخدام معلومات إضافية ؛

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتوفير معالجتها لتقنيات المعلومات والوسائل التقنية ؛

نقل البيانات الشخصية عبر الحدود هو نقل البيانات الشخصية إلى أراضي دولة أجنبية إلى سلطة دولة أجنبية أو فرد أجنبي أو كيان قانوني أجنبي.

البيانات الشخصية البيومترية - المعلومات التي تميز الخصائص الفسيولوجية والبيولوجية للشخص ، والتي على أساسها يمكن تحديد هويته (البيانات الشخصية البيومترية) والتي يستخدمها المشغل لتحديد هوية موضوع البيانات الشخصية .

أمان البيانات الشخصية - حالة حماية البيانات الشخصية ، والتي تتميز بقدرة المستخدمين والوسائل التقنية وتقنيات المعلومات لضمان سرية وسلامة وتوافر البيانات الشخصية عند معالجتها في أنظمة معلومات البيانات الشخصية

1.2 تصنيف التهديدات لأمن المعلومات من البيانات الشخصية.

يُفهم تهديد أمن المعلومات على أنه تهديد بانتهاك خصائص أمن المعلومات - توافر أو سلامة أو سرية أصول المعلومات الخاصة بالمنظمة.

تعمل قائمة التهديدات ، وتقييم احتمالية تنفيذها ، بالإضافة إلى نموذج الدخيل كأساس لتحليل مخاطر التهديدات وصياغة متطلبات نظام الحماية للنظام الآلي. بالإضافة إلى تحديد التهديدات المحتملة ، من الضروري تحليل التهديدات المحددة بناءً على تصنيفها وفقًا لعدد من العلامات. تتيح لك التهديدات المقابلة لكل خاصية من سمات التصنيف تفصيل المتطلبات التي تعكسها تلك الخاصية.

نظرًا لأن المعلومات المخزنة والمعالجة في AS الحديث تتعرض لعدد كبير جدًا من العوامل ، يصبح من المستحيل إضفاء الطابع الرسمي على مهمة وصف المجموعة الكاملة من التهديدات. لذلك ، بالنسبة للنظام المحمي ، لا يتم تحديد قائمة التهديدات ، ولكن قائمة فئات التهديد.

يمكن تصنيف التهديدات المحتملة لأمن المعلومات لمحطة الطاقة النووية وفقًا للمعايير الأساسية التالية:

حسب طبيعة الحدوث:

التهديدات الطبيعية الناتجة عن التأثيرات على NPP من العمليات الفيزيائية الموضوعية أو الكوارث الطبيعية ؛

التهديدات الاصطناعية لسلامة NPP الناجمة عن النشاط البشري.

حسب درجة قصد المظهر:

التهديدات الناجمة عن أخطاء أو إهمال الموظفين ، على سبيل المثال ، الاستخدام غير السليم لمعدات الحماية ، والإهمال عند التعامل مع البيانات ؛

التهديدات المتعمدة ، مثل اختراق نظام آلي من قبل المتسللين ، وتدمير البيانات من قبل موظفي المنظمة من أجل الانتقام من صاحب العمل.

حسب المصدر المباشر للتهديدات:

التهديدات الطبيعية ، مثل الكوارث الطبيعية والكوارث من صنع الإنسان ؛

التهديدات البشرية ، على سبيل المثال: إتلاف المعلومات ، والكشف عن البيانات السرية ؛

البرامج والأجهزة المسموح بها ، مثل عطل مادي في الأجهزة وأخطاء البرامج وتعارضات البرامج ؛

أدوات البرمجيات والأجهزة غير المصرح بها ، على سبيل المثال ، إدخال إشارات مرجعية للأجهزة ، وإشارات مرجعية للبرامج.

حسب موقع مصدر التهديدات:

خارج المنطقة الخاضعة للرقابة ، على سبيل المثال ، اعتراض البيانات المنقولة عبر قنوات الاتصال ؛

O داخل المنطقة الخاضعة للرقابة ، على سبيل المثال ، النسخ غير المصرح به للمعلومات ، والوصول غير المصرح به إلى المنطقة المحمية ؛

O مباشرة في نظام آلي ، على سبيل المثال ، الاستخدام غير الصحيح لموارد التيار المتردد.

حسب درجة الاعتماد على نشاط الاتحاد الافريقي:

بغض النظر عن نشاط الاتحاد الأفريقي ، على سبيل المثال ، السرقة المادية لشركات نقل المعلومات ؛

فقط أثناء معالجة البيانات ، مثل الإصابة بالبرامج الضارة.

حسب درجة التأثير على الاتحاد الافريقي:

التهديدات السلبية التي ، عند تنفيذها ، لا تغير أي شيء في هيكل ومحتوى الاتحاد الأفريقي ، على سبيل المثال ، التهديد بنسخ البيانات السرية ؛

التهديدات النشطة التي ، عند كشفها ، تُجري تغييرات على هيكل ومحتوى الاتحاد الأفريقي ، على سبيل المثال ، حذف البيانات وتعديلها.

حسب مراحل وصول المستخدم أو البرنامج إلى الموارد:

التهديدات التي ظهرت في مرحلة الوصول إلى موارد NPP ، على سبيل المثال: تهديدات الوصول غير المصرح به إلى NPPs ؛

التهديدات التي تظهر بعد السماح بالوصول إلى موارد الاتحاد الأفريقي ، على سبيل المثال ، الاستخدام غير الصحيح لموارد الاتحاد الأفريقي.

عن طريق الوصول إلى موارد الاتحاد الأفريقي:

تم تنفيذ التهديدات باستخدام المسار القياسي للوصول إلى موارد NPP

تم تنفيذ التهديدات باستخدام مسار وصول مخفي غير قياسي إلى موارد الاتحاد الأفريقي ، على سبيل المثال: الوصول غير المصرح به إلى موارد الجامعة باستخدام القدرات غير الموثقة للبرنامج المثبت.

في الموقع الحالي للمعلومات المخزنة والمعالجة في الاتحاد الأفريقي:

تهديدات الوصول إلى المعلومات الموجودة على أجهزة التخزين الخارجية ، على سبيل المثال: نسخ المعلومات السرية من وسائط التخزين ؛

تهديدات الوصول إلى المعلومات في ذاكرة الوصول العشوائي ، على سبيل المثال: قراءة المعلومات المتبقية من ذاكرة الوصول العشوائي ، والوصول إلى منطقة نظام ذاكرة الوصول العشوائي عن طريق برامج التطبيق ؛

تهديدات الوصول إلى المعلومات المتداولة في خطوط الاتصال ، على سبيل المثال: الاتصال غير القانوني بخطوط الاتصال من أجل إزالة المعلومات ، وإرسال البيانات المعدلة ؛

تنقسم التأثيرات الخطيرة على نظام آلي إلى عرضي ومتعمد.

يمكن أن تكون أسباب التأثيرات العرضية أثناء تشغيل محطة الطاقة النووية:

حالات الطوارئ بسبب الكوارث الطبيعية وانقطاع التيار الكهربائي ؛

الحرمان من الخدمة

أخطاء في البرمجيات ؛

أخطاء في عمل موظفي الخدمة والمستخدمين ؛

التدخل في خطوط الاتصال بسبب التأثيرات البيئية.

يعد استخدام الأخطاء في البرامج الطريقة الأكثر شيوعًا لانتهاك أمن المعلومات لأنظمة المعلومات. اعتمادًا على مدى تعقيد البرنامج ، يزداد عدد الأخطاء. يمكن للمهاجمين العثور على نقاط الضعف هذه ومن خلالها يمكنهم الوصول إلى نظام معلومات المنظمة. لتقليل هذه التهديدات ، تحتاج إلى تحديث إصدارات البرامج لديك.

ترتبط التهديدات المتعمدة بالأفعال المستهدفة للمهاجمين. يصنف المهاجمون إلى نوعين: مهاجم داخلي ومهاجم خارجي. يرتكب المهاجم الداخلي إجراءات غير قانونية أثناء تواجده داخل المنطقة الخاضعة للرقابة من النظام الآلي ويمكنه استخدام الصلاحيات الرسمية للوصول المصرح به إلى النظام الآلي. لا يستطيع المهاجم الخارجي الوصول إلى المنطقة الخاضعة للرقابة ، ولكن يمكنه العمل في وقت واحد مع مهاجم داخلي لتحقيق أهدافه.

هناك ثلاثة تهديدات رئيسية لأمن المعلومات ، تهدف مباشرة إلى المعلومات المحمية:

خرق السرية - معلومات سريةلا يتغير ، ولكنه يصبح متاحًا لأطراف ثالثة غير معترف بها بهذه المعلومات. عندما يتم تنفيذ هذا التهديد ، هناك احتمال كبير للكشف عن المعلومات المسروقة من قبل المهاجم ، مما قد يؤدي إلى ضرر مالي أو سمعة. انتهاك سلامة المعلومات المحمية - تشويه المعلومات أو تعديلها أو إتلافها. لا يجوز انتهاك سلامة المعلومات عمدًا ، ولكن نتيجة عدم كفاءة أو إهمال أحد موظفي الشركة. أيضًا ، يمكن للمهاجم انتهاك النزاهة لتحقيق أهدافه الخاصة. على سبيل المثال ، تغيير تفاصيل الحسابات في نظام مصرفي آلي من أجل تحويل الأموال إلى حساب مهاجم أو استبدال البيانات الشخصية لعميل المؤسسة من أجل الحصول على معلومات حول تعاون العميل مع المنظمة.

يعد انتهاك توفر المعلومات المحمية أو رفض الخدمة إجراءات لا يستطيع فيها المستخدم المصرح له الوصول إلى المعلومات المحمية لأسباب مثل: فشل الأجهزة أو البرامج أو فشل شبكة المنطقة المحلية.

بعد النظر في تهديدات الأنظمة الآلية ، يمكنك المتابعة لتحليل التهديدات التي يتعرض لها نظام معلومات البيانات الشخصية.

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتقنيات المعلومات والوسائل التقنية التي تضمن معالجتها.

أنظمة معلومات البيانات الشخصية هي مزيج من المعلومات وعناصر الأجهزة والبرامج ، بالإضافة إلى تقنيات المعلومات المستخدمة في معالجة البيانات الشخصية.

العناصر الرئيسية لـ ISPD هي:

البيانات الشخصية الموجودة في قواعد البيانات ؛

تقنيات المعلومات المستخدمة في معالجة PD ؛

الوسائل التقنية لمعالجة البيانات الشخصية (أجهزة الكمبيوتر ، ومجمعات وشبكات المعلومات والحوسبة ، ووسائل وأنظمة إرسال واستقبال ومعالجة البيانات الشخصية ، ووسائل وأنظمة تسجيل الصوت ، وتقوية الصوت ، واستنساخ الصوت ، ووسائل الإنتاج ، ونسخ المستندات و الوسائل التقنية الأخرى لمعالجة الكلام والرسوم والفيديو والمعلومات الأبجدية الرقمية) ؛

أدوات البرمجيات (أنظمة التشغيل ، وأنظمة إدارة قواعد البيانات ، وما إلى ذلك) ؛

تعني حماية المعلومات ISPDn ؛

الوسائل والأنظمة التقنية المساعدة - الوسائل والأنظمة التقنية ، اتصالاتها ، غير المخصصة لمعالجة البيانات الشخصية ، ولكنها موجودة في المباني التي يوجد بها ISPD.

التهديدات لأمن البيانات الشخصية - مجموعة من الشروط والعوامل التي تخلق خطر غير المصرح به ، بما في ذلك الوصول العرضي إلى البيانات الشخصية ، والتي يمكن أن تكون نتيجة تدمير البيانات الشخصية أو تعديلها أو حظرها أو نسخها أو نشرها ، مثل بالإضافة إلى الإجراءات الأخرى غير المصرح بها أثناء معالجتها في نظام البيانات الشخصية للمعلومات.

تشمل خصائص نظام معلومات البيانات الشخصية التي تحدد ظهور UBPD فئة وحجم البيانات الشخصية التي تتم معالجتها في نظام المعلومات ، وهيكل نظام معلومات البيانات الشخصية ، ووجود اتصالات ISPD بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ، وخصائص أمن النظام الفرعي للبيانات الشخصية المعالجة في ISPD ، وأنماط معالجة البيانات الشخصية ، وأنماط التمايز في حقوق الوصول لمستخدمي ISPD ، والموقع والشروط الخاصة بوضع الوسائل التقنية لـ ISPD.

تتميز خصائص وسيط الانتشار للإشارات الإعلامية التي تحتوي على المعلومات المحمية بنوع الوسيط المادي الذي يتم فيه توزيع PD ، ويتم تحديدها عند تقييم إمكانية تنفيذ UBPD. تعود قدرات مصادر UBPD إلى مجموعة من طرق الوصول غير المصرح به و (أو) العرضي إلى PD ، ونتيجة لذلك انتهاك السرية (النسخ والتوزيع غير القانوني) والسلامة (التدمير والتعديل) وإمكانية الوصول (الحظر) من PD ممكن.

يتحقق التهديد لأمن البيانات الشخصية نتيجة لتشكيل قناة لتنفيذ UBPD بين مصدر التهديد وناقل (مصدر) البيانات الشخصية ، مما يخلق ظروفًا لانتهاك أمن البيانات الشخصية .

العناصر الرئيسية لقناة تنفيذ UBPDn (الشكل 1) هي:

مصدر UBPD - موضوع أو كائن مادي أو ظاهرة فيزيائية تخلق UBPD ؛

بيئة نشر البيانات الشخصية أو التأثيرات التي يمكن أن ينتشر فيها مجال مادي أو إشارة أو بيانات أو برامج والتأثير على الخصائص المحمية للبيانات الشخصية ؛

حامل البيانات الشخصية هو كائن فردي أو مادي ، بما في ذلك المجال المادي ، حيث تنعكس البيانات الشخصية في شكل رموز وصور وإشارات وحلول وعمليات تقنية وخصائص كمية للكميات المادية.

الشكل 1. مخطط معمم للقناة لتنفيذ التهديدات لأمن البيانات الشخصية

قد تحتوي شركات نقل البيانات الشخصية على معلومات مقدمة في الأشكال التالية:

المعلومات الصوتية (الكلام) الواردة مباشرة في الكلام المنطوق لمستخدم ISPD عندما يؤدي وظيفة الإدخال الصوتي لـ PD في نظام معلومات البيانات الشخصية ، أو يتم إعادة إنتاجها بواسطة الوسائل الصوتية لـ ISPD (إذا تم توفير هذه الوظائف لـ بواسطة تقنية معالجة PD) ، وكذلك الواردة في المجالات الكهرومغناطيسية والإشارات الكهربائية التي تنشأ بسبب تحويل المعلومات الصوتية ؛

معلومات النوع (VI) ، المقدمة في شكل نصوص وصور لأجهزة عرض المعلومات المختلفة ، وأجهزة الكمبيوتر ، وأنظمة المعلومات والحوسبة ، والوسائل التقنية لمعالجة المعلومات الرسومية والفيديو والأبجدية الرقمية التي تشكل جزءًا من ISPDN ؛

المعلومات المعالجة (المتداولة) في ISPDn في شكل إشارات كهربائية ، كهرومغناطيسية ، بصرية ؛

المعلومات المعالجة في ISPDN ، المقدمة في شكل بتات ، بايت ، ملفات وهياكل منطقية أخرى.

من أجل تكوين قائمة منهجية لـ UBPD أثناء معالجتها في ISPD وتطوير النماذج الخاصة على أساسها فيما يتعلق بنوع معين من ISPD ، يتم تصنيف التهديدات وفقًا للمعايير التالية (الشكل 2):

حسب نوع المعلومات المحمية من UBPD ، التي تحتوي على PD ؛

حسب أنواع المصادر المحتملة لـ UBPDn ؛

حسب نوع ISPD ، الذي يتم توجيه تنفيذ UBPD إليه ؛

عن طريق تنفيذ UBPDn ؛

حسب نوع خاصية المعلومات المنتهكة (نوع الإجراءات غير المصرح بها التي يتم تنفيذها مع PD) ؛

من خلال الضعف المستخدم ؛

من موضوع التأثير.

وفقًا لأنواع المصادر المحتملة لـ UBPD ، يتم تمييز ما يلي

فئات التهديد:

التهديدات المتعلقة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي نظام معلومات البيانات الشخصية ، وتنفيذ التهديدات مباشرة في ISPD (المخالف الداخلي) ؛

التهديدات المتعلقة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين ليس لديهم إمكانية الوصول إلى ISPDN ، وتحقيق التهديدات من شبكات الاتصالات العامة الخارجية و (أو) شبكات تبادل المعلومات الدولية (الدخيل الخارجي).

بالإضافة إلى ذلك ، يمكن أن تنشأ التهديدات من إدخال أخطاء الأجهزة والبرامج الضارة.

حسب نوع ISPD ، الذي يهدف إلى تنفيذ UBPD ، يتم تمييز الفئات التالية من التهديدات:

معالجة UBPDn في ISPDn على أساس محطة عمل آلية مستقلة (AWP) ؛

UBPD ، معالج في ISPD على أساس AWP متصل بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

UBPD ، الذي تتم معالجته في ISPD على أساس أنظمة المعلومات المحلية دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

UBPD ، الذي تتم معالجته في ISPD على أساس أنظمة المعلومات المحلية المتصلة بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

UBPD ، تتم معالجتها في ISPD على أساس أنظمة المعلومات الموزعة دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

UBPD ، تتم معالجتها في ISPD على أساس أنظمة المعلومات الموزعة مع الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية).

يتم تمييز فئات التهديدات التالية وفقًا لأساليب تنفيذ UBPD:

التهديدات المتعلقة بالوصول غير المصرح به إلى البيانات الشخصية (بما في ذلك تهديدات إدخال البرامج الضارة) ؛

تهديدات تسرب البيانات الشخصية من خلال قنوات تسرب المعلومات التقنية ؛

تهديدات التأثيرات الخاصة على ISPD.

حسب نوع الإجراءات غير المصرح بها التي يتم تنفيذها باستخدام البيانات الشخصية ، يتم تمييز فئات التهديدات التالية:

التهديدات التي تؤدي إلى انتهاك سرية PD (النسخ أو التوزيع غير المصرح به) ، والتي لا يؤثر تنفيذها بشكل مباشر على محتوى المعلومات ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك العرضي ، على محتوى المعلومات ، مما يؤدي إلى تغيير PD أو إتلافه ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك التأثير العرضي ، على البرامج أو الأجهزة وعناصر البرامج الخاصة بـ ISPD ، ونتيجة لذلك يتم حظر PD.

بناءً على الثغرة الأمنية المستخدمة ، يتم تمييز فئات التهديد التالية:

التهديدات المنفذة باستخدام ثغرات برمجيات النظام ؛

التهديدات التي يتم تنفيذها باستخدام نقاط الضعف في برامج التطبيقات ؛

التهديدات الناشئة عن استغلال الثغرات الأمنية الناتجة عن وجود جهاز في الاتحاد الأفريقي ؛

التهديدات المنفذة باستخدام نقاط الضعف في بروتوكولات اتصالات الشبكة وقنوات نقل البيانات ؛

التهديدات الناشئة عن استغلال نقاط الضعف الناجمة عن العيوب في تنظيم TZI من NSD ؛

التهديدات المنفذة باستخدام نقاط الضعف التي تؤدي إلى وجود قنوات تقنية لتسرب المعلومات ؛

التهديدات التي يتم تنفيذها باستخدام نقاط الضعف في نظام أمن المعلومات.

وفقًا لهدف التأثير ، يتم تمييز فئات التهديدات التالية:

التهديدات لأمن PD التي تتم معالجتها على AWS ؛

التهديدات الأمنية للبيانات الشخصية التي تتم معالجتها في أدوات معالجة مخصصة (الطابعات ، الراسمات ، الراسمات ، الشاشات عن بعد ، أجهزة عرض الفيديو ، مرافق استنساخ الصوت ، إلخ) ؛

التهديدات لأمن البيانات الشخصية المنقولة عبر شبكات الاتصال ؛

التهديدات لبرامج التطبيق التي يتم من خلالها معالجة PD ؛

التهديدات التي يتعرض لها برنامج النظام الذي يضمن عمل ISPD.

يمكن أن يؤدي تنفيذ أحد UBPD للفئات المدرجة أو دمجها إلى الأنواع التالية من العواقب على موضوعات PD:

عواقب سلبية كبيرة على موضوعات PD ؛

عواقب سلبية على موضوعات PD ؛

عواقب سلبية غير مهمة على موضوعات PD.

يتم وصف تهديدات تسرب البيانات الشخصية من خلال القنوات التقنية بشكل لا لبس فيه من خلال خصائص مصدر المعلومات ووسيلة التوزيع ومستقبل الإشارة الإعلامية ، أي أنها تحددها خصائص القناة التقنية لتسرب البيانات الشخصية.

يتم تقديم التهديدات المرتبطة بالوصول غير المصرح به (UA) في شكل مجموعة من الفئات المعممة للمصادر المحتملة لتهديدات UA ، ونقاط الضعف في البرامج والأجهزة ISPD ، وطرق تنفيذ التهديدات ، وأهداف التأثير (وسائط المعلومات المحمية ، والأدلة ، والأدلة والملفات التي تحتوي على PD أو PD) والإجراءات المدمرة المحتملة. يتم وصف هذا التمثيل من خلال السجل الرسمي التالي (الشكل 2).

1.3 الخصائص العامة لمصادر التهديدات في أنظمة معلومات البيانات الشخصية

يتم تنفيذ التهديدات بالوصول غير المصرح به في ISPD باستخدام البرامج والبرامج والأجهزة عندما يتم الوصول غير المصرح به ، بما في ذلك الوصول العرضي ، ونتيجة لذلك يتم انتهاك سرية البيانات الشخصية وسلامتها وتوافرها ، وتشمل:

تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر باستخدام البرامج القياسية (أدوات نظام التشغيل أو برامج التطبيقات العامة) ؛

تعني التهديدات المتمثلة في إنشاء أوضاع تشغيل غير طبيعية للبرامج (البرامج والأجهزة) بسبب التغييرات المتعمدة في بيانات الخدمة ، وتجاهل القيود المفروضة على تكوين وخصائص المعلومات المعالجة المقدمة في الظروف القياسية ، والتشويه (التعديل) للبيانات نفسها ، وما إلى ذلك ؛

الشكل 2 تصنيف الشكل 2 معالجة UBPD في نظم معلومات البيانات الشخصية

تهديدات إدخال البرامج الخبيثة (الأثر البرنامجي والرياضي).

يظهر تكوين عناصر وصف التهديدات على المعلومات في ISPDN في الشكل 3.

بالإضافة إلى ذلك ، فإن التهديدات المركبة ممكنة ، وهي مزيج من هذه التهديدات. على سبيل المثال ، نظرًا لإدخال البرامج الضارة ، يمكن تهيئة الظروف للوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر ، بما في ذلك من خلال تكوين قنوات وصول غير تقليدية إلى المعلومات.

تنقسم تهديدات الوصول غير المصرح به إلى بيئة تشغيل ISPD باستخدام برنامج قياسي إلى تهديدات الوصول المباشر والبعيدة. يتم تنفيذ تهديدات الوصول المباشر باستخدام إدخال / إخراج كمبيوتر يعتمد على البرامج والأجهزة. يتم تنفيذ تهديدات الوصول عن بعد باستخدام بروتوكولات الشبكات.

يتم تنفيذ هذه التهديدات فيما يتعلق بـ ISPD على أساس محطة عمل مؤتمتة غير مدرجة في شبكة الاتصالات العامة ، وفيما يتعلق بجميع ISPD التي لها اتصال بشبكات الاتصالات العامة وشبكات تبادل المعلومات الدولية.

الشكل 3 تصنيف UBPD المعالج في أنظمة معلومات البيانات الشخصية

1.3.1 الخصائص العامة لمصادر تهديدات الوصول غير المصرح به في نظام معلومات البيانات الشخصية.

يمكن أن تكون مصادر التهديدات في نظام معلومات البيانات الشخصية:

دخيل

حامل البرنامج الضار ؛

إشارة مرجعية للأجهزة.

يتم تحديد تهديدات أمان البيانات الشخصية المرتبطة بتنفيذ علامات تبويب الأجهزة وفقًا للوائح خدمة الأمن الفيدرالية في الاتحاد الروسي بالطريقة التي تحددها.

من خلال الحصول على حق الوصول الدائم أو الوصول لمرة واحدة إلى المنطقة الخاضعة للرقابة من ISPD ، يتم تقسيم المخالفين إلى نوعين:

المخالفون الذين ليس لديهم وصول إلى ISPD ، الذين يدركون التهديدات من شبكات الاتصال العامة الخارجية و (أو) شبكات تبادل المعلومات الدولية ، هم مرتكبون خارجيون ؛

المخالفون الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي ISPD ، الذين ينفذون التهديدات مباشرة في ISPD ، هم منتهكون داخليون.

يمكن أن يكون الجناة الخارجيون:

المنظمات المتنافسة ؛

شركاء عديمي الضمير

الجهات الخارجية (الأفراد).

الدخيل الخارجي لديه القدرات التالية:

إجراء وصول غير مصرح به إلى قنوات الاتصال التي تتجاوز مباني المكتب ؛

إجراء وصول غير مصرح به من خلال محطات العمل المتصلة بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ؛

إجراء وصول غير مصرح به إلى المعلومات باستخدام إجراءات برمجية خاصة من خلال فيروسات البرامج أو البرامج الضارة أو الإشارات المرجعية الخوارزمية أو البرامج ؛

إجراء وصول غير مصرح به من خلال عناصر البنية التحتية للمعلومات عن طريق نظام معلومات البيانات الشخصية ، والتي تنتهي في مسار دورة حياتها (التحديث ، الصيانة ، الإصلاح ، التخلص) خارج المنطقة الخاضعة للرقابة ؛

إجراء وصول غير مصرح به من خلال أنظمة المعلومات الخاصة بالإدارات والمنظمات والمؤسسات المتفاعلة عندما تكون متصلة بـ ISPD.

يتم تقسيم المخالفين المحتملين الداخليين إلى ثماني فئات حسب طريقة الوصول وصلاحية الوصول إلى PD.

تشمل الفئة الأولى الأشخاص الذين أذن لهم بالوصول إلى PDIS ، لكن ليس لديهم حق الوصول إلى PD. يشمل هذا النوع من المخالفين المسؤولين الذين يضمنون الأداء الطبيعي لـ ISPD.

الوصول إلى أجزاء من المعلومات التي تحتوي على PD ونشرها من خلال قنوات الاتصال الداخلية ISPD ؛

الحصول على أجزاء من المعلومات حول طوبولوجيا ISPD وبروتوكولات الاتصال المستخدمة وخدماتها ؛

التخلص من الأسماء وإجراء تحديد لكلمات مرور المستخدمين المسجلين ؛

تغيير تكوين الوسائل التقنية لـ ISPD ، وإضافة علامات تبويب البرامج والأجهزة إليها وتوفير استرجاع المعلومات باستخدام الاتصال المباشر بالوسائل التقنية لـ ISPD.

لديه كل إمكانيات الأشخاص من الفئة الأولى ؛

يعرف اسم وصول قانوني واحد على الأقل ؛

يمتلك جميع السمات الضرورية التي توفر الوصول إلى مجموعة فرعية معينة من PD ؛

لديه بيانات سرية يمكنه الوصول إليها.

يجب أن يتم تنظيم حقوق الوصول والمصادقة والوصول إلى مجموعة فرعية معينة من PD بواسطة قواعد التحكم في الوصول المناسبة.

لديه كل إمكانيات الأشخاص من الفئتين الأولى والثانية ؛

لديه معلومات حول طوبولوجيا ISPD على أساس نظام معلومات محلي و (أو) موزع يتم من خلاله الوصول ، وحول تكوين الوسائل التقنية لـ ISPD ؛

لديه القدرة على الوصول المباشر (المادي) إلى أجزاء من الوسائل التقنية ISPD.

لديه معلومات كاملة عن النظام والبرامج التطبيقية المستخدمة في المقطع (جزء) ISPDN ؛

يمتلك معلومات كاملة حول الوسائل التقنية وتكوين قطاع ISPD (جزء) ؛

لديه حق الوصول إلى أدوات أمن المعلومات والتسجيل ، وكذلك العناصر الفرديةالمستخدمة في المقطع (جزء) ISPDN ؛

لديه إمكانية الوصول إلى جميع الوسائل التقنية لقطاع ISPD (جزء) ؛

لديه حقوق التكوين و الإعدادات الإداريةمجموعة فرعية معينة من الوسائل التقنية لشريحة (جزء) ISPDN.

صلاحيات مسؤول النظام ISPDN.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة عن النظام وبرمجيات التطبيق ISPDN ؛

يمتلك معلومات كاملة عن الوسائل التقنية وتكوين ISPDn ؛

لديه حق الوصول إلى جميع الوسائل التقنية لمعالجة المعلومات وبيانات ISPD ؛

لديه الحق في تكوين وإدارة الوسائل التقنية لـ ISPD.

يقوم مسؤول النظام بتكوين وإدارة البرامج والمعدات ، بما في ذلك المعدات المسؤولة عن أمان الكائن المحمي: وسائل حماية المعلومات المشفرة ، والمراقبة ، والتسجيل ، والأرشفة ، والحماية من العبث.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة حول ISPDN ؛

لديه إمكانية الوصول إلى أدوات أمن المعلومات والتسجيل وبعض العناصر الرئيسية لـ ISPD ؛

لايمكن الوصول إلى التهيئة الفنية للوسائل الخاصة بالشبكة ، باستثناء الرقابة (التفتيش).

يمتلك معلومات حول الخوارزميات وبرامج معالجة المعلومات على ISPDN ؛

لديه القدرة على إدخال أخطاء ، وميزات غير معلن عنها ، وأخطاء برمجية ، وبرامج خبيثة في برامج ISPD في مرحلة تطويرها وتنفيذها وصيانتها ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة وحماية PD التي تتم معالجتها في ISPD.

لديه القدرة على إضافة إشارات مرجعية إلى الوسائل التقنية لـ ISPD في مرحلة تطويرها وتنفيذها وصيانتها ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة المعلومات وحمايتها في ISPD.

يمكن أن يكون حامل البرنامج الضار عنصرًا في جهاز الكمبيوتر أو حاوية برامج. إذا لم يكن البرنامج الضار مرتبطًا بأي تطبيق برنامج، ثم باعتبارها الناقل لها تعتبر:

الوسائط القابلة للامتلاك ، مثل القرص المرن ، القرص الضوئي ، ذاكرة فلاش ؛

وسائط التخزين المدمجة (الأقراص الصلبة ، الدوائر الدقيقة لذاكرة الوصول العشوائي ، المعالج ، الدوائر الدقيقة للوحة الأم ، الدوائر الدقيقة للأجهزة المدمجة في وحدة النظام - محول الفيديو ، بطاقة الشبكة ، بطاقة الصوت ، المودم ، أجهزة الإدخال / الإخراج للأقراص الصلبة والبصرية المغناطيسية ، مصدر الطاقة ، إلخ. ص ، الدوائر الدقيقة للوصول المباشر للذاكرة ، وحافلات نقل البيانات ، ومنافذ الإدخال / الإخراج) ؛

شرائح للأجهزة الخارجية (شاشة ، لوحة مفاتيح ، طابعة ، مودم ، ماسح ضوئي ، إلخ).

إذا كان أحد البرامج الضارة مرتبطًا ببرنامج تطبيق ، بملفات ذات امتدادات معينة أو سمات أخرى ، مع الرسائل المنقولة عبر الشبكة ، فإن شركات تشغيلها تكون:

حزم الرسائل المنقولة عبر شبكة الكمبيوتر ؛

الملفات (نصوص ، رسومات ، ملفات قابلة للتنفيذ ، إلخ).

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

ترتبط تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر والوصول غير المصرح به إلى البيانات الشخصية بالوصول إلى:

المعلومات والأوامر المخزنة في نظام الإدخال / الإخراج الأساسي ISPDN ، مع القدرة على اعتراض التحكم في حمل نظام التشغيل والحصول على حقوق مستخدم موثوق به ؛

في بيئة التشغيل ، أي في بيئة تشغيل نظام التشغيل المحلي لوسائل تقنية منفصلة ISPDN مع القدرة على أداء الوصول غير المصرح به عن طريق استدعاء البرامج القياسية لنظام التشغيل أو إطلاق برامج مطورة خصيصًا لتنفيذ مثل هذه الإجراءات ؛

بيئة تشغيل برامج التطبيقات (على سبيل المثال ، إلى النظام المحليإدارة قاعدة البيانات)؛

معلومات المستخدم مباشرة (للملفات والنصوص والمعلومات الصوتية والرسومية والحقول والسجلات في قواعد البيانات الإلكترونية) ولاحتمال انتهاك سريتها وسلامتها وتوافرها.

يمكن إدراك هذه التهديدات في حالة الوصول المادي إلى ISPD أو ، على الأقل ، إلى وسائل إدخال المعلومات في ISPD. يمكن دمجها وفقًا لشروط التنفيذ في ثلاث مجموعات.

تتضمن المجموعة الأولى التهديدات التي يتم تنفيذها أثناء تمهيد نظام التشغيل. تهدف هذه التهديدات لأمن المعلومات إلى اعتراض كلمات المرور أو المعرفات ، وتعديل برنامج نظام الإدخال / الإخراج الأساسي ، واعتراض التحكم في التنزيل مع تغيير المعلومات التكنولوجية اللازمة لتلقي NSD في بيئة تشغيل ISPD. في أغلب الأحيان ، يتم تنفيذ مثل هذه التهديدات باستخدام وسائل الإعلام المنفردة.

تتضمن المجموعة الثانية التهديدات التي يتم تنفيذها بعد تحميل بيئة التشغيل ، بغض النظر عن برنامج التطبيق الذي يتم تشغيله بواسطة المستخدم. تهدف هذه التهديدات عادةً إلى الوصول المباشر غير المصرح به إلى المعلومات. عند الوصول إلى بيئة التشغيل ، يمكن للمتطفل استخدام كل من الوظائف القياسية لنظام التشغيل أو أي برنامج تطبيق عام (على سبيل المثال ، نظام إدارة قاعدة البيانات) ، والبرامج المصممة خصيصًا لأداء الوصول غير المصرح به ، على سبيل المثال:

برامج عارض التسجيل والتعديل ؛

برامج البحث عن نصوص في ملفات نصية عن طريق الكلمات الرئيسية والنسخ ؛

برامج خاصة لعرض ونسخ السجلات في قواعد البيانات ؛

برامج للعرض السريع لملفات الرسوم وتحريرها أو نسخها ؛

برامج الدعم لإعادة تكوين بيئة البرامج (إعداد ISPD لصالح الجاني).

أخيرًا ، تشتمل المجموعة الثالثة على التهديدات ، والتي يتم تحديد تنفيذها من خلال أي من برامج التطبيق يتم تشغيله من قبل المستخدم ، أو حقيقة أن أيًا من برامج التطبيق قد تم إطلاقه. معظم هذه التهديدات هي تهديدات حقن البرامج الضارة.

1.3.3 الخصائص العامة للتهديدات لأمن البيانات الشخصية المنفذة باستخدام بروتوكولات الترابط

إذا تم تنفيذ ISPDN على أساس نظام معلومات محلي أو موزع ، فيمكن تنفيذ التهديدات لأمن المعلومات فيه باستخدام بروتوكولات الاتصال البيني. في هذه الحالة ، يمكن التلاعب بالبيانات الشخصية أو يمكن إدراك التهديد برفض الخدمة. تكون التهديدات خطيرة بشكل خاص عندما يكون ISPDN عبارة عن نظام معلومات موزع متصل بالشبكات العامة و (أو) شبكات تبادل المعلومات الدولية. يظهر مخطط تصنيف التهديدات المنفذة عبر الشبكة في الشكل 4. وهو يعتمد على ميزات التصنيف الأساسية السبعة التالية.

الشكل 4 مخطط تصنيف التهديدات باستخدام بروتوكولات الإنترنت

1. طبيعة التهديد. على هذا الأساس ، يمكن أن تكون التهديدات سلبية ونشطة. التهديد السلبي هو تهديد لا يؤثر بشكل مباشر على تشغيل ISPDN ، ولكن قد يتم انتهاك القواعد المعمول بها للتمييز بين الوصول إلى PD أو موارد الشبكة. مثال على هذه التهديدات هو تهديد تحليل حركة مرور الشبكة ، والذي يهدف إلى التنصت على قنوات الاتصال واعتراض المعلومات المرسلة. التهديد النشط هو تهديد مرتبط بالتأثير على موارد ISPD ، والذي يؤثر تنفيذه بشكل مباشر على تشغيل النظام (تغيير التكوين ، عطل ، إلخ) ، وينتهك القواعد المعمول بها للتمييز بين الوصول إلى PD أو الشبكة مصادر. مثال على هذا التهديد هو تهديد رفض الخدمة ، والذي يتم تنفيذه كعاصفة طلب TCP.

2. الغرض من تنفيذ التهديد. على هذا الأساس ، يمكن أن تهدف التهديدات إلى انتهاك سرية وسلامة وتوافر المعلومات (بما في ذلك تعطيل أداء ISPD أو عناصره).

3. شرط البدء بتنفيذ عملية تنفيذ التهديد. على هذا الأساس ، يمكن إدراك التهديد:

بناءً على طلب من كائن يتم تنفيذ التهديد بشأنه. في هذه الحالة ، يتوقع المتسلل إرسال طلب من نوع معين ، والذي سيكون شرطًا لبدء الوصول غير المصرح به ؛

عند وقوع الحدث المتوقع في المنشأة ، والذي يتم تنفيذ التهديد من أجله. في هذه الحالة ، يراقب الدخيل باستمرار حالة نظام تشغيل ISPD ، وعند حدوث حدث معين في هذا النظام ، يبدأ الوصول غير المصرح به ؛

تأثير غير مشروط. في هذه الحالة ، تكون بداية الوصول غير المصرح به غير مشروطة فيما يتعلق بهدف الوصول ، أي أن التهديد يتحقق على الفور وبغض النظر عن حالة النظام.

4. توافر ردود الفعل من ISPDN. على هذا الأساس ، يمكن أن تتم عملية تنفيذ التهديد مع أو بدون تغذية مرتدة. يتميز التهديد الذي يتم تنفيذه في ظل وجود ردود فعل مع نظام معلومات البيانات الشخصية بحقيقة أن المخالف يحتاج إلى تلقي إجابة على بعض الطلبات المرسلة إلى ISPD. وبالتالي ، هناك تغذية مرتدة بين المخالف ونظام معلومات البيانات الشخصية ، مما يسمح للمخالف بالرد بشكل مناسب على جميع التغييرات في ISPDN. على عكس التهديدات التي يتم تنفيذها في ظل وجود ردود فعل من نظام معلومات البيانات الشخصية ، عند تنفيذ التهديدات دون ردود فعل ، لا يلزم الرد على أي تغييرات تحدث في ISPDN.

5. مكان الجاني فيما يتعلق ISPDN. وفقًا لهذه الميزة ، يتحقق التهديد على حد سواء داخل المقطع والتقاطع.

مقطع الشبكة عبارة عن ارتباط فعلي للمضيفين (الوسائل التقنية لـ ISPD أو عناصر الاتصال بعنوان الشبكة). على سبيل المثال ، يشكل جزء من نظام معلومات البيانات الشخصية مجموعة من المضيفين المتصلين بخادم وفقًا لنظام "ناقل مشترك". في حالة وجود تهديد داخل المقطع ، يكون لدى الدخيل وصول مادي إلى عناصر الأجهزة في ISPD. إذا كان هناك تهديد بين القطاعات ، فإن الدخيل يقع خارج ISPDN ، مدركًا تهديدًا من شبكة أخرى أو من قطاع آخر بواسطة نظام معلومات البيانات الشخصية.

6. مستوى النموذج المرجعي لربط الأنظمة المفتوحة (ISO / OSI) الذي يتم فيه تنفيذ التهديد. على هذا الأساس ، يمكن تنفيذ التهديد على المستوى المادي ، والقناة ، والشبكة ، والنقل ، والجلسة ، والممثل ، والتطبيق لنموذج ISO / OSI.

7. نسبة عدد المخالفين وعناصر ISPDN التي يتم تنفيذ التهديد بالنسبة لهم. وفقًا لهذا المعيار ، يمكن تصنيف التهديد كفئة من التهديدات التي ينفذها متطفل واحد فيما يتعلق بوسائل تقنية واحدة من ISPD (التهديد "واحد لواحد") ، في وقت واحد فيما يتعلق بالعديد من الوسائل التقنية لـ ISPD (التهديد "واحد إلى العديد ") أو بواسطة عدة متسللين من أجهزة كمبيوتر مختلفة فيما يتعلق بواحدة أو عدة وسائل تقنية من ISPD (التهديدات الموزعة أو المجمعة).

مع الأخذ في الاعتبار التصنيف الذي تم تنفيذه ، دعونا نحدد الأنواع الرئيسية للهجمات على نظام معلومات البيانات الشخصية:

1- تحليل حركة مرور الشبكة.

يتم تنفيذ هذا التهديد باستخدام برنامج محلل حزم خاص ، والذي يعترض جميع الحزم المرسلة عبر مقطع الشبكة ، ويميز بينها تلك التي يتم فيها إرسال معرف المستخدم وكلمة المرور الخاصة به. أثناء تنفيذ التهديد ، يدرس الدخيل منطق تشغيل الشبكة - أي أنه يسعى للحصول على مراسلات لا لبس فيها بين الأحداث التي تحدث في النظام والأوامر المرسلة مع كل هذا من قبل المضيفين في وقت ظهور هذه الأحداث . في المستقبل ، يسمح هذا للمهاجم ، على أساس تحديد الأوامر المناسبة ، بالحصول على حقوق الامتياز للإجراءات في النظام أو لتوسيع صلاحياته فيه ، لاعتراض تدفق البيانات المرسلة التي تتبادلها مكونات الشبكة العاملة لاستخراج المعلومات السرية أو المعلومات التعريفية واستبدالها وتعديلها.

2. فحص الشبكة.

يتمثل جوهر عملية تنفيذ التهديد في نقل الطلبات إلى خدمات الشبكة لمضيفي ISPDN وتحليل الاستجابات منهم. الهدف هو تحديد البروتوكولات المستخدمة ، والمنافذ المتاحة لخدمات الشبكة ، وقوانين تشكيل معرفات الاتصال ، وتعريف خدمات الشبكة النشطة ، واختيار معرفات المستخدم وكلمات المرور.

3. التهديد بالكشف عن كلمة السر.

الغرض من تنفيذ التهديد هو الحصول على وصول غير مصرح به من خلال التغلب على حماية كلمة المرور. يمكن للمهاجم تنفيذ تهديد باستخدام مجموعة متنوعة من الأساليب ، مثل هجمات القوة الغاشمة ، وهجمات القوة الغاشمة باستخدام قواميس خاصة ، وتثبيت برامج ضارة لاعتراض كلمات المرور ، وانتحال كائن شبكة موثوق به ، واعتراض الحزم. في الأساس ، يتم استخدام تنفيذ التهديد برامج خاصةالذين يحاولون الوصول إلى المضيف عن طريق التخمين المتسلسل لكلمات المرور. في حالة نجاحه ، يمكن للمهاجم إنشاء نقطة دخول لنفسه للوصول إليها في المستقبل ، والتي ستكون صالحة حتى إذا تم تغيير كلمة مرور الوصول على المضيف.

4. استبدال كائن شبكة موثوق به ونقل الرسائل من خلال قنوات الاتصال نيابة عنه مع تخصيص حقوق الوصول الخاصة به.

يتم تنفيذ مثل هذا التهديد بشكل فعال في الأنظمة حيث يتم استخدام خوارزميات غير مستقرة لتحديد وتوثيق المضيفين والمستخدمين. الكائن الموثوق به هو كائن شبكة (كمبيوتر ، وجدار حماية ، وجهاز توجيه ، وما إلى ذلك) متصل قانونيًا بالخادم. يمكن التمييز بين نوعين من عملية تنفيذ هذا التهديد: مع إنشاء اتصال افتراضي وبدون إنشاء اتصال افتراضي. تتكون عملية التنفيذ مع إنشاء اتصال افتراضي في تعيين حقوق موضوع تفاعل موثوق به ، مما يسمح للمهاجم بإجراء جلسة مع كائن الشبكة نيابة عن الكيان الموثوق به. يتطلب تنفيذ هذا النوع من التهديد التغلب على نظام التعرف على الرسائل والتوثيق. يمكن أن تتم عملية تنفيذ تهديد دون إنشاء اتصال افتراضي في الشبكات التي تحدد الرسائل المرسلة فقط من خلال عنوان شبكة المرسل. يكمن الجوهر في إرسال رسائل الخدمة نيابة عن أجهزة التحكم في الشبكة (على سبيل المثال ، نيابة عن أجهزة التوجيه) حول تغيير بيانات التوجيه والعنوان.

نتيجة لتنفيذ التهديد ، يحصل الدخيل على حقوق الوصول التي حددها المستخدم للمشترك الموثوق به إلى الوسائل التقنية لـ ISPDN.

5. فرض مسار خاطئ على الشبكة.

يتم تنفيذ هذا التهديد بإحدى طريقتين: عن طريق الفرض داخل الجزء أو بين القطاعات. ترجع إمكانية فرض مسار خاطئ إلى العيوب المتأصلة في خوارزميات التوجيه (على وجه الخصوص ، بسبب مشكلة تحديد أجهزة التحكم في الشبكة) ، ونتيجة لذلك يمكنك الحصول عليها ، على سبيل المثال ، على مضيف أو شبكة دخيل ، حيث يمكنك إدخال بيئة تشغيل جهاز تقني كجزء من ISDN ... يعتمد تنفيذ التهديد على الاستخدام غير المصرح به لبروتوكولات التوجيه وإدارة الشبكة لتعديل جداول التوجيه. في هذه الحالة ، يجب على المهاجم إرسال رسالة تحكم نيابة عن جهاز التحكم في الشبكة (على سبيل المثال ، جهاز توجيه).

6. إدراج كائن شبكة زائف.

يعتمد هذا التهديد على استغلال العيوب في خوارزميات البحث عن بعد. في حالة عدم احتواء كائنات الشبكة في البداية على معلومات عنوان عن بعضها البعض ، يتم استخدام بروتوكولات بحث عن بعد مختلفة ، والتي تتكون من إرسال الطلبات الخاصة عبر الشبكة وتلقي الإجابات عليها بالمعلومات المطلوبة. في هذه الحالة ، هناك احتمال للاعتراض من قبل الدخيل استعلام بحثوإصدار رد خاطئ عليه يؤدي استخدامه إلى التغيير المطلوب في بيانات عنوان التوجيه. في المستقبل ، سيمر التدفق الكامل للمعلومات المرتبطة بكائن الضحية عبر كائن الشبكة الخاطئ

7. الحرمان من الخدمة.

تستند هذه التهديدات إلى عيوب في برامج الشبكة ، ونقاط ضعفها ، مما يسمح للمهاجمين بتهيئة الظروف عندما يكون نظام التشغيل غير قادر على معالجة الحزم الواردة. يمكن تمييز عدة أنواع من هذه التهديدات:

الرفض الكامن للخدمة الناجم عن مشاركة جزء من موارد ISPD لمعالجة الحزم المرسلة من قبل المهاجم مع انخفاض في عرض النطاق الترددي لقنوات الاتصال ، وأداء أجهزة الشبكة ، وانتهاك متطلبات وقت معالجة الطلبات. ومن أمثلة هذه التهديدات: عاصفة موجهة من طلبات ارتداد ICMP ، وعاصفة من الطلبات لإنشاء اتصالات TCP ، ومجموعة من الطلبات إلى خادم FTP ؛

رفض صريح للخدمة بسبب استنفاد موارد ISPD عند معالجة الحزم المرسلة من قبل مهاجم (تشغل النطاق الترددي الكامل لقنوات الاتصال ، وتفيض في قوائم انتظار طلبات الخدمة) ، حيث لا يمكن إرسال الطلبات القانونية عبر الشبكة بسبب عدم إمكانية الوصول إلى الإرسال متوسط ​​أو تم رفض الصيانة بسبب تجاوز قوائم انتظار الطلبات ومساحة قرص الذاكرة وما إلى ذلك. تتضمن أمثلة هذا النوع من التهديد عاصفة من طلبات ارتداد ICMP الإذاعية ، والعاصفة الموجهة ، وعاصفة الرسائل إلى خادم البريد ؛

الرفض الصريح للخدمة الناجم عن انتهاك الاتصال المنطقي بين الوسائل التقنية لـ ISPD عندما يرسل المخالف رسائل تحكم نيابة عن أجهزة الشبكة ، مما يؤدي إلى تغيير في بيانات عنوان التوجيه أو معلومات التعريف والمصادقة ؛

رفض صريح للخدمة ناتج عن مهاجم يرسل حزمًا ذات سمات غير قياسية أو يتجاوز طولها الحد الأقصى للحجم المسموح به ، مما قد يؤدي إلى فشل أجهزة الشبكة المشاركة في معالجة الطلبات ، بشرط وجود أخطاء في البرامج التي تنفذ بروتوكولات تبادل الشبكة . قد تكون نتيجة تنفيذ هذا التهديد خللًا في الخدمة المقابلة لتوفير الوصول عن بُعد إلى PD في ISPDN ، والإرسال من عنوان واحد من هذا العدد من الطلبات للاتصال بجهاز تقني كجزء من ISPDN ، والذي يمكنه التعامل مع حركة المرور قدر الإمكان ، مما يستلزم تجاوز قائمة انتظار الطلبات ورفض أحدها من خدمات الشبكة أو التوقف الكامل للكمبيوتر بسبب عدم قدرة النظام على فعل أي شيء بخلاف معالجة الطلبات.

8. إطلاق التطبيقات عن بعد.

يكمن التهديد في الرغبة في التشغيل على مضيف ISPD العديد من البرامج الضارة المضمنة سابقًا: برامج الإشارات المرجعية ، والفيروسات ، و "برامج التجسس الشبكية" ، والغرض الرئيسي منها هو انتهاك السرية والنزاهة وتوافر المعلومات والسيطرة الكاملة على تشغيل المضيف. بالإضافة إلى ذلك ، يمكن الإطلاق غير المصرح به لبرامج تطبيقات المستخدم من أجل الحصول غير المصرح به على البيانات اللازمة للمتطفل ، ولإطلاق العمليات التي يتحكم فيها برنامج تطبيق ، وما إلى ذلك. هناك ثلاث فئات فرعية من هذه التهديدات:

توزيع الملفات التي تحتوي على كود قابل للتنفيذ غير مصرح به ؛

الإطلاق عن بعدالتطبيقات عن طريق تجاوز سعة المخزن المؤقت لتطبيقات الخادم ؛

تشغيل التطبيق عن بعد باستخدام إمكانيات التحكم عن بعد في النظام ، والتي توفرها علامات تبويب البرامج والأجهزة المخفية أو المستخدمة بالوسائل القياسية.

تعتمد التهديدات النموذجية من أول هذه الفئات الفرعية على تنشيط الملفات القابلة لإعادة التوزيع عند الوصول إليها عن طريق الخطأ. ومن أمثلة هذه الملفات: الملفات التي تحتوي على تعليمات برمجية قابلة للتنفيذ في شكل وحدات ماكرو (مستندات مايكروسوفت وورد، Excel) ، مستندات html تحتوي على كود قابل للتنفيذ في شكل عناصر تحكم ActiveX ، تطبيقات Java الصغيرة ، نصوص مفسرة (على سبيل المثال ، JavaScript البرامج الضارة) ؛ الملفات التي تحتوي على أكواد البرامج القابلة للتنفيذ.

يمكن استخدام خدمات البريد الإلكتروني ونقل الملفات ونظام ملفات الشبكة لتوزيع الملفات.

تستغل تهديدات الفئة الفرعية الثانية أوجه القصور في البرامج التي تنفذ خدمات الشبكة (على وجه الخصوص ، عدم وجود التحكم في تجاوز سعة المخزن المؤقت). من خلال ضبط سجلات النظام ، من الممكن أحيانًا تبديل المعالج بعد مقاطعة ناتجة عن تجاوز سعة المخزن المؤقت لتنفيذ التعليمات البرمجية الموجودة خارج حدود المخزن المؤقت.

في حالة وجود تهديدات من الفئة الفرعية الثالثة ، يستخدم الدخيل قدرات التحكم عن بعد في النظام التي توفرها المكونات المخفية أو الوسائل القياسية للتحكم وإدارة شبكات الكمبيوتر. نتيجة لاستخدامها ، من الممكن تحقيق التحكم عن بعد في المحطة في الشبكة. من الناحية التخطيطية ، فإن المراحل الرئيسية لعمل هذه البرامج هي كما يلي: التثبيت في الذاكرة ؛ انتظار طلب من مضيف بعيد يعمل عليه برنامج العميل ، وتبادل رسائل الاستعداد معه ؛ نقل المعلومات التي تم اعتراضها إلى العميل أو منحه السيطرة على الكمبيوتر المهاجم. النتائج المحتملة من تنفيذ التهديدات من مختلف الفئات مبينة في الجدول 1.

الجدول 1. النتائج المحتملة لتنفيذ التهديدات من مختلف الفئات

№ ص / ص	نوع الهجوم		العواقب المحتملة
1	تحليل حركة مرور الشبكة		التحقيق في خصائص حركة الشبكة ، واعتراض البيانات المرسلة ، بما في ذلك معرفات المستخدم وكلمات المرور
2	فحص الشبكة		تحديد البروتوكولات والمنافذ المتاحة لخدمات الشبكة وقوانين تشكيل معرفات الاتصال وخدمات الشبكة النشطة ومعرفات المستخدم وكلمات المرور
3	هجوم كلمة المرور		القيام بأي عمل هدام مرتبط بالحصول على وصول غير مصرح به
4	انتحال كائن شبكة موثوق به		تغييرات في مسار الرسائل ، تغييرات غير مصرح بها في بيانات التوجيه والعنوان. الوصول غير المصرح به إلى موارد الشبكة ، وفرض معلومات خاطئة
5	فرض طريق خاطئ		التغيير غير المصرح به لبيانات التوجيه والعنوان ، وتحليل البيانات المرسلة وتعديلها ، وفرض رسائل كاذبة
6	الحقن الكاذب لكائن الشبكة		اعتراض ومراقبة حركة المرور. الوصول غير المصرح به إلى موارد الشبكة ، وفرض معلومات خاطئة
7	الحرمان من الخدمة	استنفاد جزئي للموارد	تقليل عرض النطاق الترددي لقنوات الاتصال وأداء أجهزة الشبكة. انخفاض أداء تطبيقات الخادم.
		نضوب كامل للموارد	عدم القدرة على نقل الرسائل بسبب عدم الوصول إلى وسيط الإرسال ، ورفض إنشاء اتصال. رفض تقديم الخدمة.
		انتهاك الترابط المنطقي بين السمات والبيانات والأشياء	عدم القدرة على نقل الرسائل بسبب نقص بيانات التوجيه والعنوان الصحيحة. عدم القدرة على تلقي الخدمات بسبب التعديل غير المصرح به للمعرفات وكلمات المرور وما إلى ذلك.
		استخدام الخلل في البرامج	انتهاك أداء أجهزة الشبكة.
8	تشغيل التطبيق عن بعد	عن طريق إرسال ملفات تحتوي على تعليمات برمجية مدمرة قابلة للتنفيذ ، عدوى بالفيروسات.	انتهاك السرية والنزاهة وتوافر المعلومات.
		عن طريق تجاوز المخزن المؤقت لتطبيق الخادم
		باستخدام إمكانيات التحكم عن بعد في النظام ، والتي توفرها علامات تبويب البرامج والأجهزة المخفية أو المستخدمة بالوسائل القياسية	السيطرة الخفية على النظام.

بشكل عام ، تتكون عملية تنفيذ التهديد من أربع مراحل:

جمع المعلومات؛

الاقتحامات (اختراق بيئة التشغيل) ؛

تنفيذ الوصول غير المصرح به ؛

القضاء على آثار الوصول غير المصرح به.

في مرحلة جمع المعلومات ، قد يكون المخالف مهتمًا بمعلومات مختلفة حول ISPD ، بما في ذلك:

حول هيكل الشبكة التي يعمل فيها النظام. في هذه الحالة ، يمكن التحقيق في المنطقة المحيطة بالشبكة (على سبيل المثال ، قد يكون المهاجم مهتمًا بعناوين المضيفين الموثوق بهم ولكن الأقل أمانًا). هناك أدوات مساعدة تقوم بتحديد موازٍ لمدى توفر الأجهزة المضيفة ، والتي تكون قادرة على مسح مساحة كبيرة من مساحة العنوان لتوافر المضيفين في فترة زمنية قصيرة.

حول نوع نظام التشغيل (OS) في ISPDN. يمكن الإشارة إلى طريقة تحديد نوع نظام التشغيل على أنها أبسط طلب لإنشاء اتصال عبر بروتوكول الوصول عن بُعد Telnet ، ونتيجة لذلك يمكن تحديد نوع نظام التشغيل المضيف من خلال "مظهر" الاستجابة. يمكن أن يكون وجود خدمات معينة أيضًا بمثابة مؤشر إضافي لتحديد نوع نظام التشغيل المضيف ؛

حول الخدمات التي تعمل على المضيفين. يعتمد تعريف الخدمات التي تعمل على مضيف على طريقة "المنافذ المفتوحة" لجمع معلومات حول توفر مضيف.

في مرحلة الغزو ، يتم التحقيق في وجود نقاط ضعف نموذجية في خدمات النظام أو أخطاء في إدارة النظام. عادةً ما يؤدي الاستغلال الناجح للثغرات الأمنية إلى اكتساب العملية المخالفة وضع التنفيذ المميز (الوصول إلى وضع تنفيذ المعالج المميز) ، أو الدخول إلى حساب المستخدم المارق في النظام ، أو الحصول على ملف كلمة المرور ، أو تعطيل المضيف المهاجم.

عادة ما تكون هذه المرحلة من تطوير التهديد متعددة المراحل. يمكن أن تشمل مراحل عملية تنفيذ التهديد ، على سبيل المثال: إقامة اتصال مع المضيف ، فيما يتعلق بتنفيذ التهديد ؛ تحديد نقاط الضعف ؛ إدخال برنامج ضار لصالح التمكين ، إلخ.

يتم تصنيف التهديدات التي تم تنفيذها أثناء مرحلة التطفل حسب مستويات مكدس بروتوكول TCP / IP ، حيث يتم إنشاؤها في طبقة الشبكة أو النقل أو التطبيق ، اعتمادًا على آلية التطفل المستخدمة. تشمل التهديدات النموذجية التي يتم تنفيذها على طبقات الشبكة والنقل ما يلي:

تهديد يهدف إلى استبدال كائن موثوق به ؛

تهديد يهدف إلى خلق مسار خاطئ في الشبكة ؛

التهديدات التي تهدف إلى إنشاء كائن مزيف باستخدام عيوب خوارزميات البحث عن بعد ؛

تهديدات رفض الخدمة.

تشمل التهديدات النموذجية التي يتم تنفيذها على مستوى التطبيق التهديدات التي تهدف إلى الإطلاق غير المصرح به للتطبيقات ، والتهديدات ، والتي يرتبط تنفيذها بإدخال إشارات مرجعية للبرامج ، مع تحديد كلمات المرور للوصول إلى شبكة أو إلى مضيف معين ، إلخ. إذا لم يجلب تنفيذ التهديد للمنتهك أعلى حقوق وصول في النظام ، فمن الممكن محاولة توسيع هذه الحقوق إلى أقصى مستوى ممكن. لهذا ، لا يمكن استخدام نقاط الضعف في خدمات الشبكة فحسب ، بل يمكن أيضًا استخدام نقاط الضعف في برنامج النظام لمضيفي ISPdn.

في مرحلة تنفيذ الوصول غير المصرح به ، يتحقق الهدف من تنفيذ التهديد:

انتهاك السرية (النسخ ، التوزيع غير القانوني) ؛

انتهاك النزاهة (تدمير ، تغيير) ؛

انتهاك الوصول (الحظر).

في نفس المرحلة وبعد هذه الإجراءات ، كقاعدة عامة ، يتم تكوين ما يسمى بـ "الباب الخلفي" على شكل إحدى الخدمات التي تخدم منفذًا معينًا وتنفذ أوامر المخالف. يتم ترك "الباب الخلفي" في النظام من أجل ضمان: القدرة على الوصول إلى المضيف ، حتى لو قام المسؤول بإزالة الثغرة الأمنية المستخدمة لتنفيذ التهديد بنجاح ؛ القدرة على الوصول إلى المضيف خلسة قدر الإمكان ؛ القدرة على الوصول إلى المضيف بسرعة (دون تكرار عملية تنفيذ التهديد مرة أخرى). يسمح Backdoor للمهاجم بحقن برامج ضارة في شبكة أو مضيف معين ، على سبيل المثال ، "محلل كلمة المرور" - وهو برنامج يستخرج معرفات المستخدم وكلمات المرور من حركة مرور الشبكة عند تشغيل بروتوكولات عالية المستوى). يمكن أن تكون كائنات حقن البرامج الضارة برامج المصادقة والتعريف ، وخدمات الشبكة ، ونواة نظام التشغيل ، ونظام الملفات ، والمكتبات ، وما إلى ذلك.

أخيرًا ، في مرحلة إزالة آثار إدراك التهديد ، يتم إجراء محاولة لتدمير آثار أفعال الجاني. يؤدي هذا إلى إزالة السجلات المقابلة من جميع سجلات التدقيق المحتملة ، بما في ذلك سجلات حقيقة أنه تم جمع المعلومات.

1.4 خصائص البنك وأنشطته

PJSC Citibank هي مؤسسة مالية وائتمانية تابعة للنظام المصرفي في الاتحاد الروسي تقوم بإجراء معاملات مالية باستخدام الأموال والأوراق المالية. يقدم البنك خدمات مالية للأفراد والكيانات القانونية.

المجالات الرئيسية للنشاط هي الإقراض للكيانات القانونية والأفراد ، وخدمة حسابات العملاء من الشركات ، وجذب الأموال من السكان في الودائع ، والعمليات في أسواق الصرف الأجنبي والأسواق بين البنوك ، والاستثمارات في السندات والسندات الإذنية.

يمارس البنك أنشطته المالية منذ 1 أغسطس 1990 على أساس الترخيص العام لبنك روسيا للأنشطة المصرفية رقم 356.

لدى البنك ثلاثة أنظمة لمعلومات البيانات الشخصية:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك - يسمح بتحديد 243 موضوعًا من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة - يسمح لك بتحديد 243 موضوعًا للبيانات الشخصية ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي - يسمح لك بتحديد 9681 موضوع بيانات شخصية.

1.5 قواعد بيانات البيانات الشخصية

يحتاج البنك إلى حماية العديد من البيانات الشخصية في وقت واحد ، وهي:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك.

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي.

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

يستخدم ISPDn لموظفي البنك لحساب رواتب موظفي البنك ، وأتمتة عمل موظفي قسم شؤون الموظفين ، وأتمتة عمل قسم المحاسبة بالبنك ، وحل قضايا الموظفين والمحاسبة الأخرى. يتكون من قاعدة بيانات 1C "إدارة الرواتب والموظفين" ، الموجودة على محطة عمل آلية منفصلة مع إمكانية الاتصال بمحطة العمل عبر الشبكة. يقع AWP في مكتب قسم الموارد البشرية. محطة العمل لديها نظام تشغيل مايكروسوفت ويندوز XP. لا يوجد اتصال بالإنترنت في محطة العمل.

الاسم بالكامل؛

تاريخ الولادة؛

سلسلة ورقم جواز السفر ؛

رقم الهاتف؛

الحق في العمل مع برنامج 1C "إدارة الرواتب والموظفين" وقاعدة بيانات البيانات الشخصية لهما:

رئيس الحسابات؛

مساعد محاسب رئيسي ؛

رئيس قسم الموارد البشرية؛

الموظف المسؤول عن احتساب رواتب موظفي البنك.

تغيير البيانات اليدوي ؛

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

يستخدم نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته لتخزين البيانات الشخصية لموظفي وزوار البنك الذين يمكنهم الوصول إلى مختلف مباني البنك. يتم استخدام ISPDN لنظام التحكم في الوصول والإدارة من قبل قسم الأمن في البنك. يتمركز بيانات ISPDمثبتة على AWP الموجودة في غرفة الأمن التابعة لقسم الأمن. يتم تثبيت نظام التشغيل Microsoft Windows 7 على AWS ISPDN ، ويتم استخدام Microsoft SQL Server 2012 DBMS كنظام إدارة قاعدة بيانات.لا يمتلك AWS ISPDN إمكانية الوصول إلى الشبكة المحلية ، كما أنه لا يتمتع بإمكانية الوصول إلى الإنترنت.

يتم تخزين البيانات الشخصية التالية في ISPD:

الاسم بالكامل؛

صورة للموظف.

تتمتع أنظمة التحكم في الوصول والإدارة بالحق في العمل مع ISPD:

رئيس دائرة الأمن بالبنك.

نائب رئيس دائرة الأمن بالبنك.

موظفو إدارة الأمن بالبنك.

الوصول إلى مكان العمل الآلي لنظام التحكم في الوصول والإدارة متاح من أجل:

مسؤولو النظام ، لإدارة محطة العمل الآلية والبرمجيات 1C "إدارة الرواتب والموظفين" وقاعدة بيانات البيانات الشخصية ؛

موظفو التقسيم المسؤولون عن أمن معلومات البنك لإدارة نظام أمن المعلومات AWP.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الحذف اليدوي للبيانات الشخصية ؛

تغيير البيانات اليدوي ؛

إضافة البيانات الشخصية يدويًا ؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تسمح بتحديد هوية 243 موظفًا بالبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

تم تصميم نظام معلومات البيانات الشخصية للنظام المصرفي الآلي لأتمتة عمل معظم موظفي البنك. يسمح لك بزيادة إنتاجية الموظفين. يتم استخدام مجموعة منتجات البرمجيات "CFT-Bank" التي تنتجها مجموعة شركات "Center for Financial Technologies" كنظام مصرفي آلي. يستخدم برنامج أوراكل كنظام لإدارة قواعد البيانات. يتم نشر ISPDN على خادم البنك ، ونظام التشغيل المثبت على الخادم هو Microsoft Windows Server 2008 R2. ISPDN للنظام المصرفي الآلي متصل بشبكة الكمبيوتر المحلية للبنك ، ولكن لا يمكنه الوصول إلى الإنترنت. يتصل المستخدمون بقاعدة بيانات ISPDN باستخدام منتجات برامج CFT-Bank من محطات افتراضية مخصصة. لكل مستخدم اسم المستخدم وكلمة المرور الخاصة به في ISPDN.

البيانات الشخصية المعالجة في ISPD:

الاسم بالكامل؛

تاريخ الولادة؛

سلسلة ورقم جواز السفر ؛

رقم الهاتف؛

يحق للأشخاص التالية أسماؤهم العمل مع برنامج CFT-Bank وقاعدة البيانات الشخصية:

موظفو المحاسبة

موظفو قسم الائتمان ؛

موظفو قسم إدارة المخاطر ؛

موظفو قسم الضمانات ؛

المديرين الشخصيين

مديري العملاء

موظفي قسم الأمن.

الوصول إلى محطة العمل الآلية متاح لـ:

مسؤولو النظام لإدارة الخادم وقاعدة بيانات البيانات الشخصية وبرامج CFT-Bank ؛

موظفو القسم المسؤولون عن أمن معلومات البنك لإدارة الخادم وقاعدة البيانات الشخصية وبرامج CFT-Bank.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الحذف اليدوي للبيانات الشخصية ؛

إضافة البيانات الشخصية يدويًا ؛

تغيير البيانات اليدوي ؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تسمح بتحديد هوية 243 موظفًا بالبنك و 9438 عميلًا للبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.6 تصميم وتهديدات شبكة المنطقة المحلية للبنك

قام البنك بنشر شبكة خادم العميل. اسم المجال الذي توجد فيه محطات عمل المستخدمين هو vitabank.ru. إجمالاً ، يمتلك البنك 243 محطة عمل آلية للمستخدم ، بالإضافة إلى 10 خوادم افتراضية و 15 محطة عمل افتراضية. تتم مراقبة الشبكة من قبل قسم إدارة النظام. تم إنشاء الشبكة بشكل أساسي على معدات شبكة شركة Cisco. يتم دعم الاتصال بمكاتب إضافية باستخدام قنوات VPN باستخدام الإنترنت من خلال القنوات الحالية والنسخ الاحتياطي لمزود الإنترنت. يتم تبادل المعلومات مع البنك المركزي من خلال قناة مخصصة ، وكذلك من خلال قنوات الاتصال العادية.

يتمتع جميع المستخدمين في محطات العمل المحلية بإمكانية الوصول إلى الإنترنت ، ولكن العمل مع المستندات وأنظمة المعلومات الخاصة بالبنك يتم فقط باستخدام محطات العمل الافتراضية ، حيث يكون الوصول إلى الإنترنت محدودًا ويتم تحميل الموارد المحلية للبنك فقط.

يتم تحديد الوصول إلى الإنترنت من محطات العمل المحلية بواسطة مجموعات الوصول:

الحد الأدنى من الوصول - الوصول فقط إلى موارد الخدمات الفيدرالية ، إلى الموقع الإلكتروني لبنك روسيا ؛

الوصول العادي - يُسمح بجميع الموارد باستثناء وسائل الترفيه والشبكات الاجتماعية ومشاهدة الفيديو وتنزيل الملفات.

الوصول الكامل - يُسمح بجميع الموارد وتحميلات الملفات ؛

يتم تنفيذ تصفية الموارد حسب مجموعات الوصول بواسطة الخادم الوكيل.

يوجد أدناه رسم تخطيطي لشبكة Citibank (الشكل 5).

1.7 أدوات أمن المعلومات

وسائل أمن المعلومات هي مجموعة من الأجهزة والأجهزة الهندسية والكهربائية والإلكترونية والبصرية وغيرها ، والأجهزة والأنظمة التقنية ، إلى جانب العناصر الأخرى المستخدمة في حل مختلف مهام أمن المعلومات ، بما في ذلك منع التسرب وضمان أمن المعلومات المحمية. .

يمكن تقسيم أدوات حماية المعلومات من حيث منع الإجراءات المتعمدة ، اعتمادًا على طريقة التنفيذ ، إلى مجموعات:

الوسائل التقنية (الأجهزة). هذه أجهزة من أنواع مختلفة (ميكانيكية ، كهروميكانيكية ، إلكترونية ، إلخ) تعمل على حل مشكلات أمن المعلومات مع الأجهزة. يمنعون الوصول إلى المعلومات ، بما في ذلك عن طريق إخفاءها. تشمل الأجهزة: مولدات الضوضاء ، وأدوات الحماية من زيادة التيار ، وأجهزة المسح الضوئي ، والعديد من الأجهزة الأخرى التي "تمنع" قنوات تسرب المعلومات المحتملة أو تسمح باكتشافها. ترتبط مزايا الوسائل التقنية بموثوقيتها ، واستقلالها عن العوامل الذاتية ، ومقاومتها العالية للتعديل. نقاط الضعف - نقص المرونة ، الحجم والوزن الكبيرين نسبيًا ، التكلفة العالية.

الشكل 5 رسم تخطيطي لشبكة PJSC Citibank

تشمل أدوات البرمجيات برامج لتحديد المستخدم ، والتحكم في الوصول ، وتشفير المعلومات ، وحذف المعلومات المتبقية (العاملة) مثل الملفات المؤقتة ، واختبار التحكم في نظام الحماية ، وما إلى ذلك. وتتمثل مزايا البرنامج في تعدد الاستخدامات ، والمرونة ، والموثوقية ، وسهولة التثبيت ، القدرة على التعديل والتطوير. العيوب - وظائف الشبكة المحدودة ، استخدام بعض موارد خادم الملفات ومحطات العمل ، الحساسية العالية للتغييرات العرضية أو المتعمدة ، الاعتماد المحتمل على أنواع أجهزة الكمبيوتر (أجهزتها).

تقوم الأجهزة / البرامج المختلطة بتنفيذ نفس وظائف الأجهزة والبرامج بشكل منفصل ولها خصائص وسيطة.

يتم التحكم في جميع مباني مكاتب البنك من قبل خدمة الأمن باستخدام نظام مراقبة الدخول والمراقبة ، بالإضافة إلى نظام المراقبة بالفيديو. يتم الدخول إلى مكاتب البنك بالأذونات المناسبة في نظام التحكم في الوصول والإدارة. يتم إصدار بطاقات تقارب بدون تلامس للموظف ، عند التقدم لوظيفة ، أو زائر للبنك ، إذا كان من الضروري الوصول إلى مباني مكتب البنك ، يتم تسجيل هوية المستخدم عليها وعند محاولة الوصول إلى مباني المكتب ، يكون هذا المعرف هو نقلها إلى نظام التحكم في الوصول والإدارة. يقارن النظام قائمة الغرف التي يُسمح لمستخدم البطاقة بالدخول إليها مع الغرفة التي يريد الدخول إليها ويسمح أو يقيد مرور الغرفة.

يتم تثبيت برنامج مكافحة الفيروسات Kaspersky Endpoint Security 10 على محطات عمل البنك ، والتي لديها شهادة المطابقة FSTEC لروسيا رقم 3025 ، صالحة حتى 25 نوفمبر 2019 ، يتم تحديث قواعد بيانات توقيع الفيروسات مركزيًا بواسطة جزء الخادم من برنامج مكافحة الفيروسات المثبت على الخادم الموجود في البنك.

لتنظيم تداول المستندات إلكترونيًا مع البنك المركزي ، يوجد لدى السلطات في البنك خط اتصال مخصص.

لتنظيم تدفق المستندات الإلكتروني مع الخدمات الفيدرالية (خدمة الضرائب الفيدرالية ، وصندوق المعاشات التقاعدية لروسيا ، وخدمة المراقبة المالية ، وما إلى ذلك) ، يتم استخدام التوقيع الإلكتروني. للعمل بالتوقيع الإلكتروني على محطات العمل المحلية للمنفذين المسؤولين عن تدفق المستندات مع الخدمات الفيدرالية ، يتم تثبيت برنامج متخصص:

Crypto Pro CSP ؛

محطة عمل التشفير

SKZI Verba-OW ؛

التحقق من صحة SKZI ؛

Signal-COM CSP.

يعتمد استخدام برامج معينة من قبل المقاول على متطلبات وكالة فيدرالية معينة.

على حدود الشبكة المحلية للبنك ، تم تثبيت جدار حماية Cisco ASA 5512 ، الذي تصنعه شركة Cisco Corporation. أيضًا ، تم فصل الأنظمة المصرفية الهامة (AWP of the Bank of Russia Client ، SWIFT ، ISPDN Bank) بشكل إضافي عن الشبكة المحلية للبنك بواسطة جدران حماية Cisco. يتم تنظيم أنفاق VPN للاتصال بالمكتب الفرعي باستخدام جدران حماية Cisco.

1.8 الضمانات التنظيمية

وفقًا لدراسة عام 2014 من قبل شركة التدقيق والاستشارات البريطانية Ernst & Yong ، فإن 69٪ من الشركات التي شملها الاستطلاع تشير إلى أن موظفي الشركة هم المصدر الرئيسي لتهديدات أمن المعلومات.

يمكن لموظفي الشركة ، من خلال الجهل أو عدم كفاءتهم في مجال أمن المعلومات ، الكشف عن المعلومات الهامة اللازمة لتنفيذ هجمات مستهدفة على المنظمة. يرسل مجرمو الإنترنت أيضًا رسائل تصيد باستخدام برامج ضارة مضمنة تسمح للمهاجمين بالتحكم في مكان عمل الموظف ومن مكان العمل هذا لمهاجمة أنظمة معلومات البنك.

لذلك ، فإن إدارة أمن المعلومات بالبنك ملزمة بتدريب موظفي البنك على المبادئ الأساسية لأمن المعلومات ، ومراقبة الامتثال لمتطلبات الأمن عند العمل في أماكن العمل ، وإبلاغ موظفي البنك بشأن التهديدات الجديدة لأمن المعلومات التي قد يواجهونها.

في Citibank ، يخضع جميع الموظفين للتدريب التمهيدي عند التقدم لوظيفة. أيضًا ، يخضع الموظفون الجدد والموظفون المنقولون من الأقسام الهيكلية الأخرى إلى موجز أولي في قسم أمن المعلومات ، يتم خلاله شرح قواعد أمن المعلومات الأساسية للموظفين عند العمل مع أنظمة معلومات البنك ، وقواعد الأمان عند العمل على الإنترنت ، وقواعد الأمان عند التعامل مع البريد الإلكتروني للبنك ، سياسة كلمة المرور الخاصة بالبنك.

يشارك موظفو إدارة أمن المعلومات بالبنك في تطوير وتنفيذ أنظمة المعلومات الجديدة بالبنك على جميع مستويات تطوير الأنظمة.

في مرحلة تصميم النظام وإعداد المواصفات الفنية لتطوير نظام المعلومات ، يضع قسم أمن المعلومات المتطلبات الأمنية للنظام.

في مرحلة تطوير نظام المعلومات ، يدرس موظفو قسم أمن المعلومات الوثائق الحالية ، ويختبرون البرنامج بحثًا عن نقاط الضعف المحتملة في رمز البرنامج.

في مرحلة اختبار نظام المعلومات وتشغيله ، يشارك قسم أمن المعلومات بنشاط في اختبار نظام المعلومات ، وإجراء اختبارات اختراق في نظام المعلومات واختبارات لرفض الخدمة ، وكذلك توزيع حقوق الوصول إلى نظام المعلومات.

في مرحلة تشغيل نظام المعلومات الذي تم تشغيله بالفعل ، يقوم قسم أمن المعلومات بمراقبة وكشف النشاط المشبوه.

في مرحلة الانتهاء من نظام المعلومات ، يقوم قسم أمن المعلومات ، بناءً على البيانات التي تم الحصول عليها أثناء تشغيل نظام المعلومات ، ببناء متطلبات جديدة لنظام المعلومات.

يقوم قسم أمن المعلومات في Citibank بتنسيق جميع طلبات الوصول إلى موارد الإنترنت ، وكذلك إلى الموارد الداخلية للبنك.

1.9 دورة معالجة البيانات الشخصية

لا يتم الحصول على البيانات الشخصية المخزنة في البنك إلا بالوسائل القانونية.

تتم معالجة البيانات الشخصية المستلمة لموظف البنك فقط لكي يفي البنك بالتزاماته بموجب الاتفاقية المبرمة مع الموظف. تم الحصول على البيانات الشخصية لموظف البنك من الموظف نفسه. جميع موظفي البنك على دراية بوثائق البنك ، والتي تحدد إجراءات معالجة البيانات الشخصية لموظفي البنك ، وكذلك حقوقهم والتزاماتهم في هذا المجال.

تهدف البيانات الشخصية لموظفي البنك ، المخزنة في ISPDN لنظام التحكم في الوصول والإدارة ، إلى قبول الموظف في مكان العمل.

تتم معالجة البيانات الشخصية لعملاء البنك المخزنة في ISDN للنظام المصرفي الآلي فيه فقط لكي يفي البنك بالتزاماته بموجب الاتفاقية المبرمة مع عميل البنك. أيضًا ، تتم معالجة البيانات الشخصية للأشخاص الذين لم يبرموا اتفاقية مع البنك ، ولكن تم الحصول عليهم بطريقة قانونية ، في ISPDN للنظام المصرفي الآلي ، على سبيل المثال ، البيانات الشخصية التي يتم تلقيها ومعالجتها بناءً على طلب القانون الفيدرالي رقم 115-FZ المؤرخ 7 أغسطس 2001 "بشأن مكافحة تقنين (غسل) الدخل المتحصل عليه جنائياً وتمويل الإرهاب".

بعد تحقيق أهداف معالجة البيانات الشخصية ، يتم إتلافها أو إبطال مفعولها.

2. تطوير إجراءات حماية البيانات الشخصية في البنك

في PJSC Citibank ، يخضع نظام حماية البيانات الشخصية للقوانين على مستوى الدولة واللوائح المحلية (على سبيل المثال ، "قواعد الخدمات المصرفية عن بُعد للكيانات القانونية ورجال الأعمال الأفراد في PJSC CITIBANK" في الملحق 1).

تم تثبيت نظام حماية البيانات الشخصية في Citibank بدرجة كافية لتجنب الهجمات البسيطة مثل التصيد الاحتيالي وإصابة محطات العمل بفيروسات الفدية ، ولكنه غير قادر على مقاومة الهجمات المستهدفة التي تهدف إلى سرقة البيانات الشخصية.

لقد قمت بعمل لإعادة بناء وتحديث نظام حماية البيانات الشخصية.

2.1 إجراءات حماية شبكة الكمبيوتر المحلية للبنك ونظام معلومات البيانات الشخصية

كشفت شبكة Citibank عن نقاط ضعف ، حيث يمكن للمهاجمين الوصول بشكل كامل إلى شبكة البنك واعتراض السيطرة عليها ، وبعد ذلك يمكنهم سرقة أو تغيير أو حذف البيانات الشخصية للعملاء أو موظفي البنك بحرية.

نظرًا لأن شبكة البنك هي قطاع واحد ، فمن أجل تقليل مخاطر دخول المتطفلين إلى شبكة البنك ، يجب تقسيمها إلى عدة قطاعات باستخدام تقنية الشبكة الافتراضية.

يتمثل مفهوم تقنية إنشاء الشبكات الافتراضية (VLAN) في أنه يمكن لمسؤول الشبكة إنشاء مجموعات منطقية من المستخدمين فيها ، بغض النظر عن جزء الشبكة الذي يتصلون به. يمكنك دمج المستخدمين في مجموعات عمل منطقية ، على سبيل المثال ، على أساس العمل المشترك المنجز أو مشكلة تم حلها بشكل مشترك. في هذه الحالة ، يمكن أن تتفاعل مجموعات المستخدمين مع بعضها البعض أو تكون غير مرئية تمامًا لبعضها البعض. يمكن تغيير عضوية المجموعة ويمكن للمستخدم أن يكون عضوًا في مجموعات منطقية متعددة. تشكل الشبكات الافتراضية مجالات بث منطقية ، مما يقيد مرور حزم البث عبر الشبكة ، مثل أجهزة التوجيه التي تعزل حركة البث بين مقاطع الشبكة. بهذه الطريقة ، تمنع الشبكة الافتراضية حدوث عواصف البث ، حيث تقتصر رسائل البث على أعضاء الشبكة الافتراضية ولا يمكن أن يتلقاها أعضاء الشبكات الافتراضية الأخرى. يمكن للشبكات الافتراضية أن تسمح بالوصول إلى أعضاء شبكة افتراضية أخرى في الحالات التي يكون فيها من الضروري الوصول إلى الموارد المشتركة ، مثل خوادم الملفات أو خوادم التطبيقات ، أو عندما تتطلب المهمة المشتركة تفاعل الخدمات المختلفة ، مثل إدارات الائتمان والتسوية. يمكن إنشاء الشبكات الافتراضية على أساس منافذ التبديل والعناوين المادية للأجهزة المضمنة في الشبكة والعناوين المنطقية لبروتوكولات الطبقة الثالثة لنموذج OSI. تتمثل ميزة الشبكات الافتراضية في السرعة العالية للمفاتيح ، حيث تحتوي المفاتيح الحديثة على مجموعة متخصصة من الدوائر المتكاملة المصممة خصيصًا لحل مشكلات التبديل في المستوى الثاني من نموذج OSI. من السهل جدًا تثبيت الشبكات الافتراضية من المستوى الثالث ، إذا لم تكن بحاجة إلى إعادة تكوين عملاء الشبكة ، فمن الصعب إدارتها ، لأن أي إجراء مع عميل الشبكة يتطلب إما إعادة تكوين العميل نفسه أو جهاز التوجيه ، وهو الأقل مرونة ، لأن الاتصال بالشبكات الافتراضية يتطلب التوجيه ، مما يزيد من تكلفة النظام ويقلل من أدائه.

وبالتالي ، فإن إنشاء شبكات افتراضية في البنك سيمنع هجمات انتحال ARP. لن يتمكن المهاجمون من اعتراض مرور المعلومات بين الخادم والعميل. عند اختراق الشبكة ، لن يتمكن المهاجمون من فحص شبكة البنك بالكامل ، ولكن فقط جزء الشبكة الذي تمكنوا من الوصول إليه.

عند الدخول إلى شبكة البنك ، سيقوم المهاجمون أولاً بفحص الشبكة للعثور على عقد الشبكة الهامة. هذه العقد هي:

وحدة تحكم المجال؛

مخدم بروكسي؛

خادم البريد؛

خادم الملفات

خادم التطبيقات.

نظرًا لأنه سيتم تنظيم الشبكة المحلية للبنك باستخدام تقنية الشبكة الافتراضية ، فلن يتمكن المهاجمون من اكتشاف هذه العقد دون إجراءات إضافية. من أجل جعل الأمر أكثر صعوبة على المهاجمين في العثور على العقد الحرجة للشبكة المحلية وإرباكها ، وفي المستقبل لدراسة استراتيجية المهاجمين عند تنفيذ هجوم على الشبكة ، من الضروري استخدام كائنات خاطئة من شأنها جذب المهاجمين. تسمى هذه الكائنات مواضع الجذب.

تتمثل مهمة Honeypot في الخضوع لهجوم أو تحقيق غير مصرح به ، مما سيسمح لاحقًا بدراسة استراتيجية المهاجمين وتحديد قائمة الوسائل التي يمكن من خلالها تنفيذ هجمات على عناصر أمنية حقيقية. يمكن أن يكون تطبيق Honeypot إما خادمًا مخصصًا أو خدمة شبكة واحدة تتمثل مهمتها في جذب انتباه المهاجمين.

موضع الجذب هو مورد لا يفعل شيئًا دون التأثير عليه. يجمع موقع honeypot كمية صغيرة من المعلومات ، بعد التحليل الذي يبني إحصائيات حول الأساليب التي يستخدمها المتسللون ، كما يحدد وجود أي حلول جديدة سيتم استخدامها لاحقًا في مكافحتهم.

على سبيل المثال ، خادم الويب الذي لا يحمل اسمًا ويكون غير معروف فعليًا لأي شخص لا يجب أن يدخل إليه ضيوف ، لذا فإن جميع الأشخاص الذين يحاولون اختراقه هم قراصنة محتملون. تجمع مواضع الجذب معلومات حول سلوك هؤلاء المهاجمين وطرقهم في التأثير على الخادم. بعد ذلك ، يقوم المتخصصون في قسم أمن المعلومات بجمع معلومات حول هجوم مجرمي الإنترنت على المورد ووضع استراتيجيات لصد الهجمات في المستقبل.

للتحكم في المعلومات الواردة من الإنترنت واكتشاف تهديدات أمن المعلومات في مرحلة نقلها عبر الشبكة ، وكذلك لاكتشاف نشاط المتسللين الذين دخلوا الشبكة المحلية للبنك ، من الضروري تثبيت نظام منع التطفل في حدود الشبكة.

نظام منع التطفل هو نظام برمجي أو جهاز لأمن الشبكات والكمبيوتر الذي يكتشف عمليات التطفل أو الخروقات الأمنية ويحميها تلقائيًا.

يمكن النظر إلى أنظمة منع التطفل على أنها امتداد لأنظمة كشف التسلل ، حيث تظل مهمة تتبع الهجمات كما هي. ومع ذلك ، فإنهم يختلفون في أن نظام منع التطفل يراقب النشاط في الوقت الفعلي وينفذ الإجراءات بسرعة لمنع الهجمات.

تنقسم أنظمة كشف ومنع التسلل إلى:

أنظمة منع اختراق الشبكة - لتحليل حركة المرور الموجهة إلى شبكة المؤسسة ، أو المرور عبر الشبكة نفسها ، أو الموجهة إلى جهاز كمبيوتر معين. يمكن تنفيذ أنظمة الكشف عن التسلل والوقاية منه باستخدام طرق البرامج أو الأجهزة ، المثبتة على محيط شبكة الشركة وفي بعض الأحيان داخلها.

أنظمة منع التطفل الشخصي هي برامج يتم تثبيتها على محطات العمل أو الخوادم وتسمح لك بمراقبة نشاط التطبيق ، فضلاً عن مراقبة نشاط الشبكة بحثًا عن الهجمات المحتملة.

تم اختيار نظام منع التطفل على الشبكة لنشره في شبكة البنك.

اعتبر أنظمة الشبكاتعمليات الاقتحام الخاصة بشركات IBM و Check Point و Fortinet و Palo Alto ، حيث أن الوظيفة المعلنة لمصنعي هذه الأنظمة كانت مناسبة لمتطلبات قسم أمن المعلومات بالبنك.

بعد نشر مقاعد الاختبار واختبار أنظمة منع التطفل ، تم اختيار نظام Check Point حيث أظهر أفضل أداء وأفضل نظام فرعي لاكتشاف برامج الفيروسات المنقولة عبر الشبكة المحلية وأفضل الأدوات لتسجيل الأحداث المهمة وتسجيلها وسعر الشراء. .

تم رفض نظام منع التطفل الخاص بشركة IBM بسبب تكلفة الأجهزة التي تتجاوز ميزانية قسم أمن المعلومات لنظام منع التطفل.

تم رفض نظام منع التطفل في Fortinet بسبب عدم اكتمال تشغيل موظفي الأمن السيبراني لاختبارات نقل الملفات المصابة وأدوات التسجيل غير المفيدة بشكل كاف للأحداث المهمة.

تم رفض نظام Palo Alto لمنع التطفل بسبب عدم كفاية أدوات التسجيل للأحداث المهمة والتعقيد المفرط للنظام والعمل مثل جهاز التوجيه.

تم اختيار نظام منع اختراق نقطة التفتيش للتنفيذ في الشبكة المحلية. أظهر هذا النظام مستوى عالٍ من الكشف عن تهديدات أمن المعلومات ، وإعدادات مرنة ، والقدرة على توسيع الوظائف عن طريق شراء وحدات برمجية إضافية ، ولديه نظام تسجيل قوي للأحداث المهمة وأدوات قوية لتقديم تقارير الحوادث ، والتي يكون الأمر أسهل بكثير. للتحقيق في حوادث أمن المعلومات التي حدثت.

يظهر الرسم التخطيطي لشبكة Citibank مع الهندسة المعمارية المعاد تصميمها في الشكل 6.

2.2 حماية البرامج والأجهزة

نظرًا لأن حماية البيانات الشخصية لا يمكن ضمانها إلا من خلال حماية الشبكة ، لأن المهاجمين ، على الرغم من جميع التدابير المتخذة لحماية الشبكة ، يمكنهم الوصول إلى شبكة البنك.

الشكل 6 مخطط شبكة Citibank مع أنظمة أمان إضافية

لمزيد من المقاومة للهجمات ، يجب إضافة الحماية إلى الأجهزة المصممة لحماية الشبكة والبرامج والأجهزة لحماية محطات العمل المحلية ومحطات العمل الافتراضية والخوادم الافتراضية والعادية.

كما تعلم ، لا توفر برامج مكافحة الفيروسات حماية كاملة ضد البرامج الضارة ، لأنها تعمل على مبدأ تحليل التوقيع. توظف شركة برامج مكافحة الفيروسات خبراء يراقبون نشاط الفيروسات على الإنترنت ، ويدرسون سلوك برامج الفيروسات في محطات الاختبار وينشئون تواقيع يتم إرسالها لاحقًا إلى أجهزة كمبيوتر المستخدمين عن طريق تحديث قواعد بيانات توقيع برامج مكافحة الفيروسات. برنامج مكافحة الفيروسات ، بعد تلقيه قاعدة بيانات محدثة لتوقيعات برنامج مكافحة الفيروسات ، يقوم بمسح الملفات على محطة عمل المستخدم ويبحث عن علامات البرامج الضارة ؛ إذا تم العثور على مثل هذه العلامات أثناء الفحص ، فإن برنامج مكافحة الفيروسات يشير إلى ذلك ويعمل وفقًا للإعدادات التي حددها المستخدم أو مسؤول مكافحة الفيروسات. وبالتالي ، إذا لم يتم اكتشاف البرامج الضارة وتحليلها من قبل خبراء شركة برامج مكافحة الفيروسات ، فلن يتمكن برنامج مكافحة الفيروسات من التعرف على البرامج الضارة ولن يتخذ أي إجراء ، مع اعتبار الملف الممسوح آمنًا. لذلك ، من أجل تقليل احتمالية الدخول إلى الشبكة وإطلاق البرامج الضارة ، قام البنك بتركيب دائرة حماية ثانية من الفيروسات. نظرًا لأن معظم شركات برامج مكافحة الفيروسات تعمل بشكل منفصل عن بعضها البعض ، يمكن اكتشاف البرامج الضارة التي لم تكتشفها إحدى شركات برامج مكافحة الفيروسات من قبل شركة مطورة أخرى ويمكن بالفعل إنشاء التوقيعات للتهديد المكتشف.

لتنفيذ مثل هذا المخطط ، تم إنشاء محطة عمل افتراضية تم تثبيت بدلة أمان Doctor WEB Enterprise عليها ، والتي تحمل شهادة المطابقة FSTEC من روسيا رقم 2446 ، صالحة حتى 20 سبتمبر 2017. جميع الملفات التي قام موظفو البنك بتحميلها أثناء عملهم تذهب إلى هذه المحطة ويتم فحصها بواسطة برنامج مكافحة الفيروسات. في حالة اكتشاف برامج ضارة ، يرسل برنامج مكافحة الفيروسات خطابًا إلى قسم أمن المعلومات مع اسم التهديد والمسار حيث يتم تخزين الملف المصاب. يتخذ موظفو أمن المعلومات خطوات لإزالة البرامج الضارة. إذا تم فحص الملفات التي تم تحميلها بواسطة المستخدمين بواسطة برنامج مكافحة الفيروسات ، يقوم المستخدم الذي قام بتحميل الملف بتقديم طلب إلى قسم أمن المعلومات ويقوم موظفو القسم بنقل الملف الذي تم تنزيله إلى المستخدم.

كما يتم إرسال كمية كبيرة من البرامج الضارة إلى موظفي البنك عن طريق البريد الإلكتروني. يمكن أن تكون فيروسات برامج الفدية الشائعة والبرامج الضارة التي تسمح للمتطفلين باختراق الكمبيوتر المصاب لموظف البنك باستخدام اتصال عن بعد.

لتقليل مخاطر مثل هذه التهديدات ، تم تثبيت برنامج ClamAW لمكافحة الفيروسات على خادم البريد الخاص بالبنك ، وهو مصمم لحماية خوادم البريد.

للحماية من الوصول غير المصرح به من قبل المهاجمين الداخليين الذين تعلموا بطريقة ما كلمة مرور مستخدم محطة محلية لديها وصول إلى أنظمة معلومات البيانات الشخصية ، من الضروري تثبيت نظام حماية المعلومات ضد الوصول غير المصرح به إلى محطات العمل المحلية للمستخدمين الذين يعملون مع شخصي نظم معلومات البيانات.

.

يتم تدريب موظفي البنك من قبل متخصص في إدارة أمن المعلومات.

موظف في إدارة أمن المعلومات يتدرب في التقسيمات الفرعية للبنك المحددة في الخطة. بعد التدريب ، يجتاز موظفو القسم الاختبارات التي يؤكدون فيها المعرفة المكتسبة أثناء التدريب.

تنظم السياسة الأمنية الأساسية إجراء التدريب في كل وحدة أربع مرات على الأقل في السنة.

أيضًا ، بالتوازي مع تدريب الموظفين ، يلتزم موظفو إدارة أمن المعلومات بإرسال رسائل معلومات إلى جميع موظفي البنك مرة واحدة على الأقل شهريًا ، والتي تصف قواعد الأمان الرئيسية ، والتهديدات الجديدة لأمن المعلومات بالبنك. ، لو اي.

2.3.2 الإجراء الخاص بوصول الموظفين إلى موارد الإنترنت

أنشأ البنك ثلاث مجموعات من الوصول إلى الإنترنت ، ولكن هذا التقسيم للوصول غير فعال ، حيث قد يحتاج الموظف ، من أجل أداء واجبات وظيفته ، إلى الحصول على معلومات من مورد شبكة مدرج في مجموعة الوصول الكامل ، ثم سيتعين عليك منح الوصول الكامل إلى الإنترنت غير الآمن.

المجموعة 6: تنزيل المحفوظات - لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 7: تنزيل الملفات القابلة للتنفيذ - لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 8: الوصول الكامل إلى الإنترنت - الوصول الكامل إلى موارد الإنترنت ، وتنزيل أي ملفات.

للوصول إلى موارد الإنترنت ، يقوم الموظف بإنشاء تطبيق من خلال نظام ServiceDesk وبعد موافقة رئيس القسم أو القسم وموظف قسم أمن المعلومات ، يتم منح الموظف إمكانية الوصول إلى موارد الإنترنت وفقًا للمجموعة المطلوبة.

2.3.3 الإجراء الخاص بوصول الموظفين إلى الموارد داخل البنك

توجد المستندات الرئيسية الخاصة بعمل الموظف في مكان العمل المحلي أو في النظام الآلي الذي يعمل فيه. أيضًا ، يحتوي كل قسم فرعي للبنك على قسم على خادم ملفات البنك يقوم بتخزين المعلومات الضرورية للعديد من موظفي التقسيم الفرعي والتي تكون كبيرة الحجم لإرسالها عبر البريد الإلكتروني للبنك.

عندما يحصل موظف جديد على وظيفة في البنك ، يرسل مديره المباشر طلبًا من خلال نظام ServiceDesk إلى إدارة النظام لتوفير الوصول إلى مورد البنك الداخلي ، وبعد الموافقة على الطلب من قبل مسؤول أمن المعلومات ، موظف يفتح قسم إدارة النظام وصول الموظف الجديد إلى المورد المطلوب.

غالبًا ما تنشأ المواقف التي يتداخل فيها عمل العديد من أقسام البنك ، ومن أجل تبادل المعلومات ، تحتاج هذه الأقسام إلى قسم منفصل على خادم الملفات الخاص بالبنك.

لإنشاء هذا القسم ، يقوم مدير المشروع ، رئيس أحد الأقسام المشاركة في عملية العمل في المشروع ، بإنشاء تطبيق من خلال نظام ServiceDesk لإنشاء مورد مشترك والوصول إلى هذا المورد لبعض موظفي إدارته الذين يعملون على مشروع مشترك ورئيس الدائرة الذي يتعاون معه ضمن المشروع ... بعد موافقة موظف قسم المعلومات ، يقوم موظف قسم إدارة النظام بإنشاء المورد المطلوب ويوفر الوصول إلى الموظفين المصرح بهم. يطلب كل رئيس قسم مشارك في المشروع الوصول فقط للموظفين التابعين له.

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

في السابق ، قبل إنشاء سياسة الأمان الأساسية ، كان كل موظف بنفسه يحدد درجة خطورة الرسائل والملفات التي يتلقاها البريد الإلكتروني من خوادم البريد الخارجية.

بعد إنشاء سياسة أمان أساسية ، يتم تكليف كل مستخدم بالالتزام بإرسال كل ملف يتم استلامه عن طريق البريد الإلكتروني من خوادم البريد الخارجية إلى قسم أمن المعلومات للتحقق من وجود برامج ضارة ، ويحدد الموظف درجة خطورة الرسائل بشكل مستقل. إذا اشتبه أحد موظفي البنك في أن رسالة واردة تحتوي على بريد عشوائي أو تصيد احتيالي ، فإنه ملزم بإرسال الرسالة كاملة ، أي تحتوي على جميع معلومات الخدمة الخاصة بالمرسل وصندوق بريده وعنوان IP الخاص به ، إلى إدارة أمن المعلومات. بعد تحليل الخطاب المشبوه وتأكيد التهديد الوارد في هذا الخطاب ، تقوم إدارة أمن المعلومات بإرسال عنوان مرسل الخطاب إلى إدارة النظام ، ويقوم موظف إدارة النظام بإضافة عنوان المرسل إلى القائمة السوداء.

احجب دائمًا مكان العمل عند طردك كنسياً.

2.3.6 قواعد وصول الموظف إلى البيانات الشخصية

وفقًا للمادة 89 من الفصل 14 من قانون العمل للاتحاد الروسي ، يحق لموظف البنك الوصول إلى بياناته الشخصية ، ولكن يُسمح له بمعالجة البيانات الشخصية لموظفي البنك الآخرين أو عملاء البنك فقط من أجل أداء مهامه الرسمية.

لضمان التحكم في الوصول إلى أنظمة معلومات البيانات الشخصية ، وضع البنك القواعد التالية للوصول إلى أنظمة معلومات البيانات الشخصية:

فقط الموظفين الذين في واجبات العمليتضمن معالجة البيانات الشخصية الوصول إلى ISPD ؛

لا يُسمح بالوصول إلى ISPD إلا من مكان العمل المحلي للموظف الذي يعمل مع البيانات الشخصية ؛

أنشأ البنك وثيقة تحدد أسماء الموظفين المسموح لهم بالوصول إلى البيانات الشخصية لموظفي وعملاء البنك ، مع الإشارة إلى نظام معلومات البيانات الشخصية وقائمة بالبيانات الشخصية المسموح للموظف معالجتها.

3. التبرير الاقتصادي للمشروع

لتنفيذ نظام حماية البيانات الشخصية ، من الضروري شراء:

معدات حماية شبكة البنك.

أجهزة أمن المعلومات ؛

برمجيات أمن المعلومات.

لإعادة بناء شبكة المؤسسة ، من الضروري شراء 3 محولات Cisco Catalyst 2960. يلزم وجود مفتاح واحد للعمل في قلب شبكة البنك ، ومفتاحان آخران للعمل على مستوى التوزيع. كما سيتم استخدام معدات الشبكة التي كانت تعمل في البنك قبل إعادة هيكلة الشبكة.

التكلفة الإجمالية (فرك) 9389159613

بدلة أمن Doctor WEB Enterprise155005500

التكلفة الإجمالية 1371 615

استنتاج

في مشروع أطروحتي ، قمت بمراجعة الإطار القانوني لحماية البيانات الشخصية. لقد فحصت المصادر الرئيسية للتهديدات لأمن البيانات الشخصية.

بناءً على التهديدات الشخصية المدروسة ، قمت بتحليل نظام حماية البيانات الشخصية الحالي في Citibank وتوصلت إلى استنتاج مفاده أنه يحتاج إلى مراجعة جادة.

خلال مشروع التخرج ، تم اكتشاف نقاط ضعف في الشبكة المحلية للبنك. مع الأخذ في الاعتبار نقاط الضعف التي تم الكشف عنها في الشبكة المحلية للبنك ، تم تحديد الإجراءات لتقليل مخاطر أمن المعلومات لشبكة البنك.

كما تم النظر واختيار الأجهزة والبرمجيات لحماية أماكن العمل المحلية للموظفين الذين يقومون بمعالجة البيانات الشخصية لموظفي وعملاء البنك.

بمشاركتي تم إنشاء نظام لتوعية الموظفين بقضايا أمن المعلومات.

تمت مراجعة إجراءات الوصول إلى الإنترنت لموظفي البنك بشكل عميق ، كما تمت مراجعة مجموعات الوصول إلى الإنترنت. تتيح مجموعات الوصول إلى الإنترنت الجديدة تقليل مخاطر أمن المعلومات إلى حد كبير نظرًا لقدرة المستخدمين المحدودة على تنزيل الملفات والوصول إلى الموارد غير الموثوق بها.

يتم تقديم حسابات تكلفة إعادة بناء شبكة وإنشاء نظام قابل للتطبيق لحماية البيانات الشخصية قادر على صد معظم تهديدات أمن المعلومات.

قائمة الأدبيات المستخدمة

1. "دستور الاتحاد الروسي" (المعتمد بالتصويت الشعبي في 12/12/1993) (مع مراعاة التعديلات التي أدخلتها قوانين الاتحاد الروسي بشأن التعديلات على دستور الاتحاد الروسي بتاريخ 30/12/2008 N 6- FKZ ، بتاريخ 30.12.2008 N 7-FKZ ، بتاريخ 05.02.2014 N 2-FKZ ، بتاريخ 21.07.2014 N 11-FKZ) // تم نشر النص الرسمي لدستور الاتحاد الروسي بصيغته المعدلة في 21.07.2014 في بوابة الإنترنت الرسمية للمعلومات القانونية http://www.pravo.gov.ru، 01.08.2014

2. "النموذج الأساسي للتهديدات التي يتعرض لها أمان البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مستخرج) (تمت الموافقة عليه بواسطة FSTEC RF 15.02.2008)

3. القانون الاتحادي الصادر في 27 يوليو 2006 N 149-FZ (بصيغته المعدلة في 6 يوليو 2016) "بشأن المعلومات وتقنيات المعلومات وحماية المعلومات" // لم يتم نشر المستند بهذا النموذج. (ز) تم نشر النص الأصلي للوثيقة في Rossiyskaya Gazeta، No. 165، 29.07.2006

4. "قانون العمل في الاتحاد الروسي" بتاريخ 30.12.2001 N 197-FZ (بصيغته المعدلة والمكملة ، دخل حيز التنفيذ في 03.10.2016) // لم يتم نشر الوثيقة بهذا النموذج ، تم نشر النص الأصلي للوثيقة في "Rossiyskaya Gazeta" ، العدد 256 ، 31/12/2001

5. مرسوم حكومة الاتحاد الروسي بتاريخ 01.11.2012 N 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" // "Rossiyskaya Gazeta"، N 256، 07.11.2012

6. أمر FSTEC لروسيا بتاريخ 02/18/2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في الوزارة قاضي روسيا 14/05/2013 ن 28375) // "جريدة روسية" ، ن 107 ، 22/05/2013

7. "معيار بنك روسيا" ضمان أمن المعلومات لمنظمات النظام المصرفي للاتحاد الروسي. الأحكام العامة "STO BR IBBS-1.0-2014" (تم اعتمادها ودخلت حيز التنفيذ بأمر من بنك روسيا بتاريخ 05.17.2014 N R-399) // نشرة بنك روسيا ، رقم 48-49 ، 05/30/2014

8. "اللوائح المتعلقة بمتطلبات ضمان حماية المعلومات عند إجراء تحويلات الأموال وإجراءات تنفيذ مصرف روسيا للرقابة على الامتثال لمتطلبات ضمان حماية المعلومات عند إجراء عمليات تحويل الأموال" (تمت الموافقة عليه بواسطة بنك روسيا في 09.06.2012 N 382-P) (تمت المراجعة من 14.08.2014) (مسجلة في وزارة العدل الروسية بتاريخ 14.06.2012 N 24575) // لم يتم نشر المستند في هذا النموذج ، تم نشر النص الأصلي للوثيقة في "نشرة بنك روسيا" ، العدد 32 ، 22.06.2012

9- "اللوائح المتعلقة بإجراءات تقديم المؤسسات الائتمانية إلى الهيئة المخولة المعلومات المنصوص عليها في القانون الاتحادي" بشأن مكافحة تقنين (غسل) الدخل المحصل جنائياً وتمويل الإرهاب "(وافق عليه بنك روسيا في 29 آب / أغسطس ، 2008 N 321-P) (المراجعة بتاريخ 15.10.2015) (جنبًا إلى جنب مع "إجراءات ضمان أمن المعلومات أثناء إرسال واستقبال منظمة التعاون الاقتصادي" ، "قواعد تشكيل منظمة التعاون الاقتصادي وملء حقول معينة من سجلات منظمة التعاون الاقتصادي" ) (مسجل في وزارة العدل الروسية بتاريخ 16.09.2008 N 12296) // في هذا النموذج ، لم يتم نشر المستند ، تم نشر النص الأصلي للوثيقة في "Bulletin of the Bank of Russia" ، لا .54 ، 26 سبتمبر 2008

10. أمر FSTEC لروسيا بتاريخ 02/18/2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في الوزارة قاضي روسيا 14/05/2013 ن 28375) // "جريدة روسية" ، ن 107 ، 22/05/2013

11. Averchenkov V.I. ، Rytov M.Yu ، Gainulin T.R. حماية البيانات الشخصية في المنظمات. موسكو: فلينتا ، 2018

12.Agapov A. B. أساسيات الإدارة العامة في مجال المعلوماتية في الاتحاد الروسي. م: يوريست ، 2012

13. Kostin A. A. ، Kostina A. A. ، Latyshev D. M. ، Moldovyan A. A. مجمعات برمجية من سلسلة "AURA" لحماية أنظمة معلومات البيانات الشخصية // Izv. الجامعات. الأجهزة. 2012 المجلد 55 ، العدد 11

14.Moldovyan AA التشفير لحماية معلومات الكمبيوتر (الجزء 1) // لا يتجزأ. 2014. No. 4 (18)

15. Romanov O.A.، Babin S.A، Zhdanov S.G. الدعم التنظيمي لأمن المعلومات. - م: الأكاديمية ، 2016

16. Shultz V.L.، Rudchenko A.D.، Yurchenko A.V. سلامة العمل. موسكو: دار يورايت للنشر ، 2017

التطبيقات (متوفرة في الأرشيف مع العمل).

مارينا بروخوروفا ،محرر مجلة "البيانات الشخصية"

ناتاليا سامويلوفامحامي شركة "InfoTechnoProekt"

الإطار القانوني الذي تم تطويره حتى الآن في مجال معالجة البيانات الشخصية ، والمستندات التي لم يتم اعتمادها بعد من أجل تنظيم عمل أكثر فعالية بشأن حماية البيانات الشخصية في المنظمات ، والجوانب التقنية لإعداد نظم المعلومات لمشغلي البيانات الشخصية. البيانات - هذه هي الموضوعات التي تم التطرق إليها مؤخرًا في العديد من منشورات الصحف والمجلات المخصصة لمشكلة البيانات الشخصية. في هذه المقالة ، أود أن أتطرق إلى جانب من جوانب تنظيم عمل المؤسسات المصرفية والائتمانية مثل الحماية "غير الفنية" للبيانات الشخصية التي تتم معالجتها في هذه المنظمات.

لنبدأ بمثال ملموس

نحن نتحدث عن المراجعة القضائية لقضية حماية البيانات الشخصية المرفوعة ضد سبيربنك في يونيو 2008. وكان جوهر الدعوى كما يلي. تم إبرام اتفاقية ضمان بين المواطن والبنك ، يتحمل المواطن بموجبه واجب الرد أمام البنك على أداء التزامات المقترض بموجب اتفاقية القرض. لم يف هذا الأخير بالتزاماته خلال الفترة المحددة بموجب اتفاقية القرض ، وتم إدخال المعلومات المتعلقة بالضامن كعميل غير موثوق به في نظام المعلومات الآلي للبنك "قائمة الإيقاف" للبنك ، والتي كانت بدورها أساس رفض تقدم له قرضًا. في الوقت نفسه ، لم يقم البنك حتى بإخطار المواطن بشأن عدم وفاء المقترض بالتزاماته بموجب اتفاقية القرض. بالإضافة إلى ذلك ، لا تشير اتفاقية الضمان إلى أنه في حالة الأداء غير السليم من قبل المقترض لالتزاماته ، يحق للبنك إدخال معلومات حول الضامن في نظام معلومات قائمة الإيقاف. وبالتالي ، قام البنك بمعالجة البيانات الشخصية للمواطن من خلال تضمين معلومات عنه في نظام معلومات قائمة الإيقاف دون موافقته ، مما ينتهك متطلبات الجزء 1 من الفن. 9 من القانون الاتحادي رقم 152-FZ الصادر في 27 يوليو 2006 "بشأن البيانات الشخصية" ، والذي بموجبه يقرر موضوع البيانات الشخصية تقديم بياناته الشخصية ويوافق على معالجتها بإرادته الخاصة ولصالحه. بالإضافة إلى ذلك ، بالطريقة المنصوص عليها في الجزء 1 من الفن. 14 من القانون نفسه ، تقدم مواطن بطلب إلى البنك لإتاحة الفرصة له للتعرف على المعلومات التي تم إدخالها عنه في نظام معلومات قائمة الإيقاف ، وكذلك لحجب هذه المعلومات وإتلافها. رفض البنك استيفاء متطلبات المواطن.

بناءً على نتائج النظر في القضية ، استوفت محكمة مقاطعة لينينسكي في فلاديفوستوك مطالبات إدارة روسكومنادزور لإقليم بريمورسكي ضد سبيربنك لروسيا لحماية حقوق المواطن المنتهكة وأمرت البنك بتدمير المعلومات حول مواطن من نظام معلومات قائمة الإيقاف.

كيف هذا المثال يدل؟ تقوم البنوك بتخزين البيانات الشخصية لعدد كبير من عملائها ، دون تردد ، ونقلها من قاعدة بيانات إلى أخرى ، وفي أغلب الأحيان دون إخطار موضوع البيانات الشخصية بهذا الشأن ، ناهيك عن الحصول على موافقته على مثل هذه الإجراءات مع شخصيته. البيانات. بالطبع ، للخدمات المصرفية عدد من الميزات ، وغالبًا ما يتم استخدام البيانات الشخصية للعملاء ليس فقط للوفاء بالاتفاقيات التي يبرمها البنك ، ولكن أيضًا لمراقبة البنك على وفاء العميل بالتزاماته ، ولكن هذا يعني أن أي تلاعب ببيانات شخصية تتطلب بالفعل موافقة موضوعها. ...

الصعوبات في تفسير الأحكام

لماذا لا تجعل أي معاملات مع البيانات الشخصية قانونية؟ بالطبع ، سيتطلب هذا على الأرجح مشاركة متخصصين من أطراف ثالثة ، نظرًا لأن محامي الأقسام القانونية في البنوك الكبيرة هم محترفون من الدرجة الأولى فقط في منطقة معينة ، وعليهم التعرف على تفاصيل العمل في مجال البيانات الشخصية عمليا من الصفر. لذا فإن أفضل طريقة للخروج هي إشراك الشركات المتخصصة في تقديم خدمات لتنظيم العمل بالبيانات الشخصية ، بما في ذلك تلك القادرة على إجراء تدقيق للامتثال لإجراءات الحماية غير الفنية التي تتخذها مع متطلبات المشرع ، العمل على تنظيم نظام حماية البيانات الشخصية.

تسمح لنا نتائج الدراسات التحليلية باستنتاج أن تفسير أحكام القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية" يسبب أكبر الصعوبات.

وفقًا للجزء 1 من المادة 22 من هذه الوثيقة التنظيمية ، يلتزم المشغل بإخطار الهيئة المخولة بشأن معالجة البيانات الشخصية. من بين الاستثناءات الحالة التي يتم فيها الحصول على البيانات الشخصية المعالجة فيما يتعلق بإبرام اتفاقية يكون موضوع البيانات الشخصية طرفًا فيها ... ويستخدمها المشغل فقط لتنفيذ هذه الاتفاقية على أساس من البند 2 من الجزء 2 من المادة 22 من القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية". من خلال العمل مع هذا الشرط بالذات ، لا تقدم بعض البنوك إخطارًا بشأن معالجة البيانات الشخصية ، ولا يعتبر الكثيرون أنفسهم مشغلين ، وهذا خطأ جوهري.

أيضًا ، هناك خطأ شائع آخر للبنوك ، كمشغلين للبيانات الشخصية ، المرتبطة بالعقد ، على النحو التالي. حسب الفن. 6 من القانون المذكور أعلاه ، قد تتم معالجة البيانات الشخصية من قبل المشغل بموافقة موضوعات البيانات الشخصية ، باستثناء الحالات ، بما في ذلك المعالجة لغرض الوفاء باتفاق ، أحد أطراف وهو موضوع البيانات الشخصية. لذلك ، تشرح العديد من المؤسسات المصرفية عدم موافقتها على موضوع البيانات الشخصية على وجه التحديد من خلال حقيقة إبرام مثل هذه الاتفاقية.

لكن دعنا نفكر في الأمر ، ألا يستخدم البنك ، كمشغل ، البيانات الشخصية للموضوع التي تم الحصول عليها عند إبرام العقد ، على سبيل المثال ، لإرسال إشعارات حول الخدمات الجديدة ، وللحفاظ على "قوائم الإيقاف"؟ هذا يعني أن معالجة البيانات الشخصية تتم ليس فقط لغرض الوفاء بالعقد ، ولكن أيضًا لأغراض أخرى ، يكون تحقيقها ذا فائدة تجارية للبنوك ، وبالتالي:

• تلتزم البنوك بتقديم إخطار حول معالجة البيانات الشخصية إلى الجهة المرخصة ؛
• يجب على البنوك معالجة البيانات الشخصية فقط بموافقة الموضوع.

هذا يعني أنه يجب على البنوك تنظيم نظام للعمل مع البيانات الشخصية لعملائها ، أي لضمان الحماية غير الفنية لهذه البيانات.

موافقة خطية على معالجة البيانات الشخصية

بالنسبة لموافقة موضوع البيانات الشخصية على معالجة البيانات الشخصية ، يُلزم القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية" المشغلين بالحصول على موافقة كتابية لمعالجة البيانات الشخصية فقط في الحالات التي يحددها القانون. في نفس الوقت ، وفقًا للجزء 3 من الفن. 9- الالتزام بإثبات استلام موافقة الشخص الخاضع لمعالجة بياناته الشخصية يقع على عاتق المشغل. من أجل ، إذا لزم الأمر ، عدم إضاعة الوقت في جمع مثل هذه الأدلة (على سبيل المثال ، البحث عن شهود) ، في رأينا ، من الأفضل في أي حال الحصول على موافقة كتابية من الأشخاص المعنيين.

دعنا نعطي حجة أخرى للشكل المكتوب لمعالجة البيانات الشخصية. غالبًا ما تنص أنشطة البنوك على نقل البيانات (بما في ذلك البيانات الشخصية) إلى أراضي دولة أجنبية. بهذه المناسبة ، الجزء 1 من الفن. ينص رقم 12 من القانون الفيدرالي رقم 152-FZ "بشأن البيانات الشخصية" على أنه قبل بدء نقل البيانات الشخصية عبر الحدود ، يجب على المشغل التأكد من أن الدولة الأجنبية ، التي يتم نقل البيانات الشخصية إلى أراضيها ، يوفر حماية كافية لحقوق الأشخاص المعنيين بالبيانات الشخصية. إذا لم يتم توفير هذه الحماية ، فلا يمكن نقل البيانات الشخصية عبر الحدود إلا بموافقة خطية من موضوع البيانات الشخصية. يمكن الافتراض أنه من الأسهل على موظف البنك الحصول على موافقة خطية من العميل لمعالجة البيانات الشخصية بدلاً من تحديد درجة كفاية حمايتهم في دولة أجنبية.

نلفت انتباهك إلى حقيقة أن المعلومات التي يجب أن تتضمنها الموافقة الكتابية مدرجة في الجزء 4 من الفن. 9 من القانون الاتحادي المذكور أعلاه ، وهذه القائمة شاملة. والتوقيع تحت العبارة ، على سبيل المثال ، في اتفاقية القرض: "أوافق على استخدام بياناتي الشخصية" ، وفقًا للقانون الفيدرالي رقم 152-FZ "بشأن البيانات الشخصية" ، لا يعني الموافقة على معالجتها!

يبدو أنه لا يوجد سوى عدد قليل من النقاط في القانون ، وعدد المضاعفات ، حتى التقاضي ، التي يمكن أن تسبب سوء تفسيرها. بالإضافة إلى ذلك ، اليوم ، عندما تصبح البيانات الشخصية للأفراد سلعة في منافسة الهياكل المختلفة ، يصبح الحل الناجح لقضايا حمايتها ، وضمان أمن أنظمة المعلومات الخاصة بالمؤسسات المصرفية والائتمانية ، ضمانًا للحفاظ على السمعة و اسم صادق لأي منظمة.

كل يوم ، يتزايد وعي المواطنين بالعواقب السلبية المحتملة لنشر بياناتهم الشخصية ، وهو ما يسهله ظهور المنشورات المتخصصة. هناك أيضًا مصادر معلومات لشركات مختلفة. يغطي بعضها عمومًا مجموعة واسعة من القضايا المتعلقة بمفهوم "أمن المعلومات" ، والبعض الآخر مخصص لمراجعات تدابير ووسائل الحماية التقنية ، بينما يركز شخص ما ، على العكس من ذلك ، على المشكلات المرتبطة بالحماية غير التقنية . بمعنى آخر ، أصبح الوصول إلى المعلومات المتعلقة بحماية البيانات الشخصية أكثر وأكثر ، مما يعني أن المواطنين سيكونون أكثر ذكاءً في مجال حماية حقوقهم.

موقع

بشأن حماية البيانات الشخصية

العملاء (المشتركون)

في شركة ذات مسؤولية محدودة "Ortes-Finance"

المصطلحات والتعريفات

1.1. معلومات شخصية- أي معلومات تتعلق بفرد (موضوع بيانات شخصية) تم تحديده أو تحديده على أساس هذه المعلومات ، بما في ذلك اسمه الأخير ، واسمه الأول ، واسم الأب ، والسنة ، والشهر ، وتاريخ ومكان الميلاد ، والعنوان ، وعنوان البريد الإلكتروني ، رقم الهاتف ، والأسرة ، والاجتماعية ، وحالة الملكية ، والتعليم ، والمهنة ، والدخل ، ومعلومات أخرى.

1.2. معالجة البيانات الشخصية- الإجراءات (العمليات) مع البيانات الشخصية ، بما في ذلك الجمع ، والتنظيم ، والتراكم ، والتخزين ، والتوضيح (التحديث ، والتغيير) ، والاستخدام ، والتوزيع (بما في ذلك النقل) ، وتبديد الشخصية ، والحظر.

1.3. سرية البيانات الشخصية- شرط إلزامي للامتثال للشخص المسؤول المعين الذي تمكن من الوصول إلى البيانات الشخصية ، شرط منع نشرها دون موافقة الموضوع أو أي أساس قانوني آخر.

1.4. نشر البيانات الشخصية- الإجراءات التي تهدف إلى نقل البيانات الشخصية إلى دائرة معينة من الأشخاص (نقل البيانات الشخصية) أو التعرف على البيانات الشخصية لعدد غير محدود من الأشخاص ، بما في ذلك الكشف عن البيانات الشخصية في وسائل الإعلام والنشر في شبكات المعلومات والاتصالات أو توفير الوصول إلى البيانات الشخصية التي - بطريقة أخرى.

1.5. استخدام البيانات الشخصية- الإجراءات (العمليات) باستخدام البيانات الشخصية التي يتم إجراؤها من أجل اتخاذ قرارات أو تنفيذ إجراءات أخرى تؤدي إلى عواقب قانونية فيما يتعلق بموضوعات البيانات الشخصية أو تؤثر بطريقة أخرى على حقوقهم وحرياتهم أو حقوق الآخرين وحرياتهم.

1.6. حجب البيانات الشخصية- الوقف المؤقت لجمع البيانات الشخصية وتنظيمها وتجميعها واستخدامها ونشرها ، بما في ذلك نقلها.

1.7. إتلاف البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية أو نتيجة تدمير ناقلات المواد للبيانات الشخصية.

1.8. إخفاء هوية البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها تحديد ملكية البيانات الشخصية لموضوع معين دون استخدام معلومات إضافية.

1.9. البيانات الشخصية المتاحة للجمهور- البيانات الشخصية ، الوصول إلى عدد غير محدود من الأشخاص الذين يتم توفيرهم بموافقة الموضوع أو الذين ، وفقًا للقوانين الفيدرالية ، لا ينطبق شرط السرية.

1.10... معلومة- المعلومات (الرسائل ، البيانات) بغض النظر عن شكل عرضها.

1.11. العميل (موضوع البيانات الشخصية)- مستهلك فردي لخدمات شركة "Ortes-Finance" ذات المسؤولية المحدودة ، المشار إليها فيما يلي باسم "المنظمة".

1.12. المشغل أو العامل- هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) ينفذون معالجة البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية البيانات المراد معالجتها ، الإجراءات (العمليات) التي تتم باستخدام البيانات الشخصية. في إطار هذه اللوائح ، يكون المشغل هو شركة Ortes-Finance Limited ذات المسؤولية المحدودة ؛

2. أحكام عامة.

2.1. تم تطوير هذه اللائحة الخاصة بمعالجة البيانات الشخصية (المشار إليها فيما يلي باسم اللائحة) وفقًا لدستور الاتحاد الروسي والقانون المدني للاتحاد الروسي والقانون الفيدرالي "بشأن المعلومات وتقنيات المعلومات وحماية المعلومات "، القانون الفيدرالي 152-FZ" بشأن البيانات الشخصية "، والقوانين الفيدرالية الأخرى.

2.2. الغرض من تطوير اللائحة هو تحديد إجراءات معالجة وحماية البيانات الشخصية لجميع عملاء المنظمة ، والتي تخضع بياناتها للمعالجة ، على أساس صلاحيات المشغل ؛ ضمان حماية حقوق وحريات الشخص والمواطن عند معالجة بياناته الشخصية ، بما في ذلك حماية حقوق الخصوصية والأسرار الشخصية والعائلية ، وكذلك تحديد مسؤولية المسؤولين الذين لديهم إمكانية الوصول إلى البيانات الشخصية لعدم الامتثال لمتطلبات القواعد التي تحكم معالجة البيانات الشخصية وحمايتها.

2.3 إجراءات دخول اللائحة حيز التنفيذ وتغييرها.

2.3.1. تدخل هذه اللائحة حيز التنفيذ من لحظة الموافقة عليها من قبل المدير العام للمنظمة وهي سارية إلى أجل غير مسمى ، حتى يتم استبدالها بلائحة جديدة.

2.3.2. يتم إجراء التغييرات على اللوائح على أساس أوامر المدير العام للمنظمة.

3. تكوين البيانات الشخصية.

3.1 البيانات الشخصية للعملاء ، بما في ذلك:

3.1.1. الاسم بالكامل.

3.1.2. سنة الولادة.

3.1.3. شهر الولادة.

3.1.4. تاريخ الولادة.

3.1.5. مكان الولادة.

3.1.6. بيانات جواز السفر

3.1.7. عنوان البريد الإلكتروني.

3.1.8. رقم الهاتف (المنزل ، الخلية).

3.2 يمكن للمؤسسة إنشاء (إنشاء وجمع) وتخزين المستندات والمعلومات التالية ، بما في ذلك في شكل إلكتروني ، تحتوي على بيانات حول العملاء:

3.2.1. طلب إجراء مسح حول إمكانية ربط فرد.

3.2.2. اتفاقية (عرض عام).

3.2.3. تأكيد الانضمام إلى العقد.

3.2.5. نسخ من وثائق الهوية ، بالإضافة إلى المستندات الأخرى المقدمة من العميل والتي تحتوي على بيانات شخصية.

3.2.6. بيانات عن مدفوعات الطلبات (البضائع / الخدمات) التي تحتوي على الدفع وتفاصيل أخرى عن العميل.

4. الغرض من معالجة البيانات الشخصية.

4.1 الغرض من معالجة البيانات الشخصية هو تنفيذ مجموعة من الإجراءات التي تهدف إلى تحقيق الهدف ، بما في ذلك:

4.1.1. تقديم الاستشارات وخدمات المعلومات.

4.1.2. المعاملات الأخرى التي لا يحظرها القانون ، بالإضافة إلى مجموعة من الإجراءات المتعلقة بالبيانات الشخصية اللازمة لتنفيذ المعاملات المذكورة أعلاه.

4.1.3. من أجل الامتثال لمتطلبات تشريعات الاتحاد الروسي.

4.2 شرط إنهاء معالجة البيانات الشخصية هو تصفية المنظمة ، وكذلك طلب العميل المقابل.

5. جمع ومعالجة وحماية البيانات الشخصية.

5.1 إجراءات الحصول على (جمع) البيانات الشخصية:

5.1.1. يجب الحصول على جميع البيانات الشخصية للعميل منه شخصيًا بموافقته الخطية ، باستثناء الحالات المحددة في البندين 5.1.4 و 5.1.6 من هذه اللائحة وفي الحالات الأخرى المنصوص عليها في قوانين الاتحاد الروسي.

5.1.2. يتم تخزين موافقة العميل على استخدام بياناته الشخصية في المنظمة في شكل ورقي و / أو إلكتروني.

5.1.3. موافقة الخاضع لمعالجة البيانات الشخصية صالحة طوال مدة العقد ، وكذلك لمدة 5 سنواتمن تاريخ إنهاء العلاقة التعاقدية بين العميل والمنظمة. بعد انتهاء الفترة المحددة ، يتم تمديد الموافقة كل خمس سنوات قادمة في حالة عدم وجود معلومات حول إلغائها.

5.1.4. إذا كان لا يمكن الحصول على البيانات الشخصية للعميل إلا من طرف ثالث ، فيجب إخطار العميل بذلك مسبقًا ويجب الحصول على موافقة كتابية منه. يجب أن يحصل الطرف الثالث الذي يقدم البيانات الشخصية للعميل على موافقة الشخص المعني لنقل البيانات الشخصية للمؤسسة. تلتزم المنظمة بالحصول على تأكيد من الطرف الثالث الذي يقوم بنقل البيانات الشخصية للعميل بأن البيانات الشخصية يتم نقلها بموافقته. تلتزم المنظمة ، عند التعامل مع أطراف ثالثة ، بإبرام اتفاقية معهم بشأن سرية المعلومات المتعلقة بالبيانات الشخصية للعملاء.

5.1.5. تلتزم المنظمة بإبلاغ العميل عن الأغراض والمصادر المقصودة وطرق الحصول على البيانات الشخصية ، فضلاً عن طبيعة البيانات الشخصية التي سيتم تلقيها وعواقب رفض العميل للبيانات الشخصية لإعطاء موافقة خطية لتلقيها .

5.1.6. تتم معالجة البيانات الشخصية للعملاء دون موافقتهم في الحالات التالية:

5.1.6.1. البيانات الشخصية متاحة للجمهور.

5.1.6.2. بناء على طلب الجهات الحكومية المختصة في الحالات التي ينص عليها القانون الاتحادي.

5.1.6.3. تتم معالجة البيانات الشخصية على أساس القانون الفيدرالي ، الذي يحدد الغرض منه ، وشروط الحصول على البيانات الشخصية ومجموعة الموضوعات التي تخضع بياناتها الشخصية للمعالجة ، وكذلك تحديد صلاحيات المشغل.

5.1.6.4. تتم معالجة البيانات الشخصية من أجل إبرام وتنفيذ اتفاقية ، يكون أحد الأطراف موضوع البيانات الشخصية - العميل.

5.1.6.5. تتم معالجة البيانات الشخصية للأغراض الإحصائية ، مع مراعاة عدم التخصيص الإلزامي للبيانات الشخصية.

5.1.6.6. في الحالات الأخرى التي ينص عليها القانون.

5.1.7. لا يحق للمنظمة تلقي ومعالجة البيانات الشخصية للعميل حول العرق أو الجنسية أو الآراء السياسية أو المعتقدات الدينية أو الفلسفية أو الحالة الصحية أو الحياة الحميمة.

5.2 إجراءات معالجة البيانات الشخصية:

5.2.1. موضوع البيانات الشخصية يزود المنظمة بمعلومات موثوقة عن نفسه.

5.2.2. يمكن فقط لموظفي المنظمة المسموح لهم بالعمل مع البيانات الشخصية للعميل والذين وقعوا اتفاقية عدم إفشاء البيانات الشخصية للعميل الوصول إلى معالجة البيانات الشخصية للعملاء.

5.2.3. يتمتع الحق في الوصول إلى البيانات الشخصية للعميل في المنظمة بما يلي:

مدير عام المنظمة.

الموظفون المسؤولون عن إجراء الحسابات المالية (مدير ، محاسب).

موظفو قسم خدمة العملاء (رئيس قسم المبيعات مدير).

 العاملين في مجال تكنولوجيا المعلومات (المدير الفني ، مسئول النظام).

 العميل كموضوع للبيانات الشخصية.

5.2.3.1. يتم تحديد قائمة موظفي المنظمة الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء بأمر من المدير العام للمنظمة.

5.2.4. يمكن إجراء معالجة البيانات الشخصية للعميل حصريًا للأغراض التي تحددها اللائحة والامتثال للقوانين والإجراءات القانونية التنظيمية الأخرى للاتحاد الروسي.

5.2.5. عند تحديد حجم ومحتوى البيانات الشخصية المعالجة ، تسترشد المنظمة بدستور الاتحاد الروسي وقانون البيانات الشخصية والقوانين الفيدرالية الأخرى.

5.3 حماية المعلومات الشخصية:

5.3.1. تُفهم حماية البيانات الشخصية للعميل على أنها مجموعة من التدابير (التنظيمية والإدارية والفنية والقانونية) التي تهدف إلى منع الوصول غير المصرح به أو العرضي إليها ، أو إتلافها أو تعديلها أو حظرها أو نسخها أو نشرها للبيانات الشخصية للمواضيع ، وكذلك ضد الإجراءات غير القانونية الأخرى.

5.3.2. تتم حماية البيانات الشخصية للعميل على حساب المنظمة بالطريقة المنصوص عليها في القانون الفيدرالي للاتحاد الروسي.

5.3.3. تتخذ المنظمة ، عند حماية البيانات الشخصية للعملاء ، جميع التدابير التنظيمية والإدارية والقانونية والفنية اللازمة ، بما في ذلك:

 الحماية من الفيروسات.

 التحليل الأمني.

 كشف التسلل والوقاية منه.

صلاحية التحكم صلاحية الدخول.

 التسجيل والمحاسبة.

 ضمان النزاهة.

 تنظيم الإجراءات المحلية التنظيمية والمنهجية التي تنظم حماية البيانات الشخصية.

5.3.4. يتولى المدير العام للمنظمة التنظيم العام لحماية البيانات الشخصية للعملاء.

5.3.5. يمكن لموظفي المنظمة الذين يحتاجون إلى بيانات شخصية فيما يتعلق بأداء واجبات عملهم الوصول إلى البيانات الشخصية للعميل.

5.3.6. يلتزم جميع الموظفين المرتبطين باستلام ومعالجة وحماية البيانات الشخصية للعملاء بالتوقيع على اتفاقية عدم إفشاء البيانات الشخصية للعملاء.

5.3.7. يتضمن إجراء الوصول إلى البيانات الشخصية للعميل ما يلي:

إطلاع الموظف على هذه اللوائح مقابل التوقيع عليها. إذا كانت هناك لوائح أخرى (أوامر ، أوامر ، تعليمات ، وما إلى ذلك) تنظم معالجة وحماية البيانات الشخصية للعميل ، تتم مراجعة هذه الأفعال أيضًا ضد التوقيع.

 الطلب من الموظف (باستثناء المدير العام) التزامًا كتابيًا بالحفاظ على سرية البيانات الشخصية للعملاء والامتثال لقواعد معالجتها وفقًا للإجراءات المحلية الداخلية للمنظمة التي تنظم أمن معلومات سرية.

5.3.8. موظف المؤسسة الذي لديه حق الوصول إلى البيانات الشخصية للعملاء فيما يتعلق بأداء واجبات العمل:

 يوفر تخزين المعلومات التي تحتوي على البيانات الشخصية للعميل ، باستثناء الوصول إليها من قبل أطراف ثالثة.

 في حالة عدم وجود موظف في مكان عمله ، يجب ألا تكون هناك مستندات تحتوي على بيانات شخصية للعملاء.

 عند الذهاب في إجازة وأثناء رحلة عمل وفي حالات أخرى من الغياب الطويل للموظف في مكان عمله ، فإنه ملزم بنقل المستندات والوسائط الأخرى التي تحتوي على بيانات شخصية للعملاء إلى شخص سيُعهد إليه بتنفيذ من خلال قانون محلي من مسؤوليات الوظيفة للشركة (طلب ، طلب).

 إذا لم يتم تعيين مثل هذا الشخص ، فسيتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام للمنظمة.

 عند فصل موظف لديه حق الوصول إلى البيانات الشخصية للعملاء ، يتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام .

 من أجل إكمال المهمة المعينة وعلى أساس مذكرة بقرار إيجابي من المدير العام ، قد يتم توفير الوصول إلى البيانات الشخصية للعميل إلى موظف آخر. يُحظر الوصول إلى البيانات الشخصية للعميل من قبل الموظفين الآخرين في المنظمة الذين ليس لديهم وصول رسمي بشكل صحيح.

5.3.9. يوفر مدير الموارد البشرية:

تعريف الموظفين مقابل التوقيع على هذه اللوائح.

 طلب التزام كتابي من الموظفين باحترام سرية البيانات الشخصية للعميل (اتفاقية عدم الإفشاء) والامتثال لقواعد معالجتها.

 الرقابة العامة على امتثال الموظفين لتدابير حماية البيانات الشخصية للعميل.

5.3.10. يتم ضمان حماية البيانات الشخصية للعملاء المخزنة في قواعد البيانات الإلكترونية للمنظمة من الوصول غير المصرح به ، وتشويه المعلومات وتدميرها ، وكذلك من الإجراءات غير القانونية الأخرى. مدير النظام.

5.4. تخزين البيانات الشخصية:

5.4.1. يتم تخزين البيانات الشخصية للعملاء على الورق في الخزائن.

5.4.2. يتم تخزين البيانات الشخصية للعملاء في شكل إلكتروني في شبكة الكمبيوتر المحلية للمنظمة ، في مجلدات وملفات إلكترونية في أجهزة الكمبيوتر الشخصية للمدير العام والموظفين المقبولين لمعالجة البيانات الشخصية للعملاء.

5.4.3. يتم تخزين المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن (خزائن) ، والتي توفر الحماية ضد الوصول غير المصرح به. في نهاية يوم العمل ، يتم وضع جميع المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن (خزائن) ، والتي توفر الحماية ضد الوصول غير المصرح به.

5.4.4. يتم ضمان حماية الوصول إلى قواعد البيانات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء من خلال:

 استخدام برامج مكافحة الفيروسات والقرصنة المرخصة التي لا تسمح بالدخول غير المصرح به إلى الشبكة المحلية للمنظمة.

 التفريق بين حقوق الوصول باستخدام حساب.

 نظام كلمات المرور من خطوتين: على مستوى شبكة الكمبيوتر المحلية وعلى مستوى قواعد البيانات. يتم تعيين كلمات المرور من قبل مسؤول النظام في المؤسسة ويتم توصيلها بشكل فردي للموظفين الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء.

5.4.4.1. يتم حظر الوصول غير المصرح به إلى أجهزة الكمبيوتر التي تحتوي على بيانات شخصية للعملاء بواسطة كلمة مرور يحددها مسؤول النظام ولا تخضع للكشف.

5.4.4.2. جميع المجلدات والملفات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء محمية بكلمة مرور ، يتم تعيينها من قبل موظف المؤسسة المسؤول عن الكمبيوتر الشخصي وإرسالها إلى مسؤول النظام.

5.4.4.3. يقوم مسؤول النظام بتغيير كلمات المرور مرة واحدة على الأقل كل 3 أشهر.

5.4.5. يُسمح بنسخ البيانات الشخصية للعميل وعمل مقتطفات منها للأغراض الرسمية حصريًا بإذن كتابي من المدير العام للمنظمة.

5.4.6. لا يتم تقديم الردود على الطلبات المكتوبة من المنظمات والمؤسسات الأخرى حول البيانات الشخصية للعملاء إلا بموافقة كتابية من العميل نفسه ، ما لم ينص القانون على خلاف ذلك. تتم الإجابات كتابيًا ، على ورق يحمل رأسية المنظمة ، وإلى الحد الذي يسمح بعدم الكشف عن كمية زائدة من البيانات الشخصية للعميل.

6. حظر وتبديد الشخصية وإتلاف البيانات الشخصية

6.1 إجراء حظر وإلغاء حظر البيانات الشخصية:

6.1.1. يتم حظر البيانات الشخصية للعملاء من خلال طلب مكتوب من العميل.

6.1.2. يعني حظر البيانات الشخصية:

6.1.2.2. حظر نشر البيانات الشخصية بأي وسيلة (البريد الإلكتروني ، الاتصالات الخلوية ، وسائل الإعلام المادية).

6.1.2.4. إزالة المستندات الورقية المتعلقة بالعميل والتي تحتوي على بياناته الشخصية من تدفق المستندات الداخلية للمؤسسة وحظر استخدامها.

6.1.3. يمكن إزالة حظر البيانات الشخصية للعميل مؤقتًا إذا كان ذلك مطلوبًا للامتثال لتشريعات الاتحاد الروسي.

6.1.4. يتم إلغاء حظر البيانات الشخصية للعميل بموافقته الخطية (إذا كانت هناك حاجة للحصول على موافقة) أو طلب العميل.

6.1.5. تستلزم موافقة العميل المتكررة على معالجة بياناته الشخصية (إذا لزم الأمر ، للحصول عليها) إلغاء حظر بياناته الشخصية.

6.2 إجراءات إخفاء الهوية وإتلاف البيانات الشخصية:

6.2.1. يحدث إخفاء هوية البيانات الشخصية للعميل بناءً على طلب مكتوب من العميل ، بشرط أن تكون جميع العلاقات التعاقدية قد اكتملت ومرت 5 سنوات على الأقل منذ تاريخ انتهاء العقد الأخير.

6.2.2. عند نزع الشخصية ، يتم استبدال البيانات الشخصية في أنظمة المعلومات بمجموعة من الرموز ، والتي من خلالها يستحيل تحديد انتماء البيانات الشخصية لعميل معين.

6.2.3. يتم إتلاف حاملات المستندات الورقية أثناء نزع الطابع الشخصي عن البيانات الشخصية.

6.2.4. تلتزم المنظمة بضمان السرية فيما يتعلق بالبيانات الشخصية ، إذا لزم الأمر ، لاختبار أنظمة المعلومات على أراضي المطور وإلغاء الطابع الشخصي للبيانات الشخصية في أنظمة المعلومات المنقولة إلى المطور.

6.2.5. تدمير البيانات الشخصية للعميل يعني إنهاء أي وصول إلى البيانات الشخصية للعميل.

6.2.6. عندما يتم إتلاف البيانات الشخصية للعميل ، لا يمكن لموظفي المنظمة الوصول إلى البيانات الشخصية للموضوع في أنظمة المعلومات.

6.2.7. عند إتلاف البيانات الشخصية ، يتم إتلاف حاملات المستندات الورقية ، ويتم نزع الطابع الشخصي عن البيانات الشخصية الموجودة في أنظمة المعلومات. لا يمكن استعادة البيانات الشخصية.

6.2.8. لا يمكن التراجع عن عملية تدمير البيانات الشخصية.

6.2.9. يتم تحديد الفترة التي يمكن بعدها عملية إتلاف البيانات الشخصية للعميل بنهاية الفترة المحددة في البند 7.3 من هذه اللوائح.

7. نقل وتخزين البيانات الشخصية

7.1 نقل البيانات الشخصية:

7.1.1. يُفهم أن نقل البيانات الشخصية لموضوع ما يعني نشر المعلومات من خلال قنوات الاتصال وعلى وسائل الإعلام الملموسة.

7.1.2. عند نقل البيانات الشخصية ، يجب على موظفي المؤسسة الامتثال للمتطلبات التالية:

7.1.2.1. لا تقدم بيانات شخصية للعميل لأغراض تجارية.

7.1.2.2. عدم الكشف عن البيانات الشخصية للعميل لطرف ثالث دون موافقة كتابية من العميل ، باستثناء الحالات التي ينص عليها القانون الفيدرالي للاتحاد الروسي.

7.1.2.3. تحذير الأشخاص الذين يتلقون البيانات الشخصية للعميل من أنه لا يمكن استخدام هذه البيانات إلا للأغراض التي تم إبلاغهم من أجلها ، واطلب من هؤلاء الأشخاص تأكيد مراعاة هذه القاعدة ؛

7.1.2.4. السماح بالوصول إلى البيانات الشخصية للعملاء فقط للأشخاص المصرح لهم بشكل خاص ، بينما يجب أن يكون لهؤلاء الأشخاص الحق في تلقي فقط تلك البيانات الشخصية للعملاء الضرورية لأداء وظائف محددة.

7.1.2.5. نقل البيانات الشخصية للعميل داخل المنظمة وفقًا لهذه اللائحة والوثائق التنظيمية والتكنولوجية ووصف الوظائف.

7.1.2.6. تزويد العميل بإمكانية الوصول إلى بياناته الشخصية عند الاتصال أو عند تلقي طلب العميل. تلتزم المنظمة بإبلاغ العميل بتوافر البيانات الشخصية عنه ، فضلاً عن إتاحة الفرصة للتعرف عليها في غضون عشرة أيام عمل من تاريخ الاتصال.

7.1.2.7. نقل البيانات الشخصية للعميل إلى ممثلي العميل بالطريقة المنصوص عليها في القانون والوثائق التنظيمية والتكنولوجية وقصر هذه المعلومات فقط على تلك البيانات الشخصية للموضوع الضرورية للممثلين المحددين لأداء وظائفهم.

7.2 تخزين واستخدام البيانات الشخصية:

7.2.1. يُفهم تخزين البيانات الشخصية على أنه وجود سجلات في أنظمة المعلومات وفي وسائط ملموسة.

7.2.2. تتم معالجة البيانات الشخصية للعملاء وتخزينها في أنظمة المعلومات ، وكذلك على الورق في المنظمة. يتم أيضًا تخزين البيانات الشخصية للعملاء في شكل إلكتروني: في شبكة الكمبيوتر المحلية للمنظمة ، في مجلدات وملفات إلكترونية في جهاز الكمبيوتر الخاص بالمدير العام ويتم قبول الموظفين لمعالجة البيانات الشخصية للعملاء.

7.2.3. لا يمكن تنفيذ تخزين البيانات الشخصية للعميل أكثر مما يتطلبه الغرض من المعالجة ، ما لم تنص القوانين الفيدرالية للاتحاد الروسي على خلاف ذلك.

7.3. فترات تخزين البيانات الشخصية:

7.3.1. فترة التخزين للعقود المدنية التي تحتوي على البيانات الشخصية للعملاء ، وكذلك تلك المصاحبة لإبرامها ، وتنفيذ المستندات - 5 سنوات من تاريخ انتهاء العقود.

7.3.2. خلال فترة التخزين ، لا يمكن إخفاء هوية البيانات الشخصية أو إتلافها.

7.3.3. بعد انتهاء فترة التخزين ، يمكن نزع الطابع الشخصي عن البيانات الشخصية في أنظمة المعلومات وإتلافها على الورق بالطريقة المنصوص عليها في اللوائح والتشريعات الحالية للاتحاد الروسي. (قانون مرفق بشأن إتلاف البيانات الشخصية)

8. حقوق مشغل البيانات الشخصية

يحق للمنظمة:

8.1 دافع عن مصالحك في المحكمة.

8.2 تقديم البيانات الشخصية للعملاء إلى جهات خارجية ، إذا كان ذلك منصوصًا عليه بموجب القانون المعمول به (الضرائب ، ووكالات إنفاذ القانون ، وما إلى ذلك).

8.3 رفض تقديم البيانات الشخصية في الحالات التي ينص عليها القانون.

8.4 استخدام البيانات الشخصية للعميل دون موافقته ، في الحالات المنصوص عليها في تشريعات الاتحاد الروسي.

9. حقوق العميل

للعميل الحق في:

9.1 طلب توضيح بياناتك الشخصية ، أو حظرها أو إتلافها إذا كانت البيانات الشخصية غير مكتملة ، أو قديمة ، أو غير دقيقة ، أو تم الحصول عليها بشكل غير قانوني أو غير ضرورية للغرض المعلن للمعالجة ، وكذلك اتخاذ التدابير التي ينص عليها القانون لحماية حقوقهم ؛

9.2. طلب قائمة بالبيانات الشخصية التي تمت معالجتها والمتاحة في المؤسسة ومصدر استلامها.

9.3 تلقي معلومات حول توقيت معالجة البيانات الشخصية ، بما في ذلك توقيت تخزينها.

9.4 طلب إخطار جميع الأشخاص الذين سبق أن تم تزويدهم ببيانات شخصية غير صحيحة أو غير كاملة حول جميع الاستثناءات أو التصحيحات أو الإضافات التي تم إجراؤها عليهم.

9.5 مناشدة الهيئة المخولة لحماية حقوق الأشخاص المعنيين بالبيانات الشخصية أو في إجراء قضائي ضد الإجراءات غير القانونية أو الإغفالات في معالجة بياناته الشخصية.

10. المسؤولية عن انتهاك القواعد التي تحكم معالجة وحماية البيانات الشخصية

10.1. يتحمل موظفو المنظمة المذنبون بانتهاك القواعد التي تحكم استلام ومعالجة وحماية البيانات الشخصية مسؤولية تأديبية أو إدارية أو مدنية أو جنائية وفقًا للتشريعات الحالية للاتحاد الروسي والإجراءات المحلية الداخلية للمنظمة.