Дипломная работа на тему «Разработка методики аудита рисков в системе дистанционного обслуживания клиентов банка» Студент: Солдатова Е.М. Группа: К-101 Руководитель: Семин В.Г.

Постановка задачи Целью дипломной работы является разработка методики аудита системы обслуживания физических лиц «Интернет-банкинг». Для этого необходимо решить следующие задачи: анализ существующих нормативных методик и программных средств, предназначенных для проведения аудита и управления рисками; моделирование бизнес-процессов совершения и обработки операций в системе «Интернет- банкинг»; исследование подходов к построению таксономии изъянов; разработка формальной модели оценки информационных рисков; разработка метода структурного моделирования угроз информационной безопасности; моделирование процесса управления рисками; разработка модели внутреннего нарушителя для системы «Интернет-банкинг» создание иерархической модели рисков системы дистанционного обслуживания физических лиц «Интернет-банкинг». разработка методики аудита рисков в системе «Интернет-банкинг»

ISO 17799: Code of Practice for Information Security Management ISO 15408: Common Criteria for Information Technology Security Evaluation Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации»

Общая схема системы «Интернет-банкинг»

Моделирование процессов обработки операций в системе «Интернет-банкинг»

Причины существования ИСЗ: 1.Выбор модели политики безопасности, несоответствующей назначению или архитектуре автоматизированной системы. Модель безопасности должна соответствовать как требованиям, предъявляемым к безопасности системы, так и принятой в ней парадигме обработки информации. 2.Функциональная неполнота системы обеспечения безопасности информации, отсутствие основных механизмов защиты (идентификации и аутентификации, контроля доступа, обеспечения целостности, аудита, средств сетевого взаимодействия, средств криптографической защиты данных, средств обнаружения атак и т.д.) или их неадекватность решаемым задачам. 3.Неадекватная реализация системы обеспечения безопасности информации (например, неправильное внедрение модели безопасности). 4.Наличие в системе обеспечения безопасности недокументированных возможностей, средств отладки и тестирования, не выявленных программных ошибок. 5.Ошибки администрирования системы обеспечения безопасности и вычислительной системы в целом.

Модель проблемной области оценки информационных рисков СОБСТВЕННИК/ ВЛАДЕЛЕЦ/ ПОЛЬЗОВАТЕЛЬ ИНФОРМАЦИИ УПРАВЛЯЮЩИЕ ВОЗДЕЙСТВИЯ (СПОСОБЫ ПРОТИВОДЕЙСТВИЯ) ИНФОРМАЦИОННЫЙ РИСК (ПОТЕНЦИАЛЬНЫЙ УЩЕРБ) ИНФОРМАЦИОННЫЙ РИСК (ПОТЕНЦИАЛЬНЫЙ УЩЕРБ) УЯЗВИМОСТИ ВИДОВ ОБЕСПЕЧЕНИЯ ИСТОЧНИКИ УГРОЗ УГРОЗЫ (ПОТЕНЦИАЛЬНЫЕ ВОЗДЕЙСТВИЯ) ОБЪЕКТЫ ИНФОРМАТИЗАЦИИ (СЛУЖЕБНАЯ ИНФОРМАЦИЯ)

В соответствии с моделью проблемной области можно ввести следующие показатели: G = {G i }, (i = 1,…,I) - множество угроз; R = {E j,Q j }, (j = 1,…,J) - множество рисков; U = {U d }, (d = 1,…,D) - множество уязвимостей; S = {S k }, (k = 1,…,K) - множество источников угроз; O = {O b }, (b = 1,…,B) - множество объектов воздействия; Z = {F n,C n }, (n = 1,…,N) - множество способов противодействия; где E j - событие риска, Q j - величина ущерба, F n - реализуемая функция, C n -стоимость реализации.

С точки зрения задачи снижения информационных рисков необходимо осуществить оптимизацию использования средств противодействия в части минимизации уязвимостей системы. Значимость конкретных процессов обработки информации определяет необходимость принятия тех или иных мер по снижению информационных рисков. Эти меры должны реализовываться через придание этим процессам обработки информации определенных свойств и включением в них соответствующих средств противодействия уязвимостям. Таким образом, можно сформулировать оптимизационную задачу следующего вида: где P - консолидированный риск по оцениваемому множеству информационных объектов системы. min max P (1) Z G

Процесс управления рисками в системе «Интернет-банкинг»

Процесс идентификации рисков в системе дистанционного обслуживания клиентов банка «Интернет-банкинг»

Для моделирования процесса консолидации/декомпозиции информационных рисков предлагается использовать специальные конструкции - деревья угроз. Пример дерева угрозы – обобщения.Пример дерева угрозы – агрегация. Пример дерева угрозы – ассоциация.

Усложненная модель внутреннего нарушителя ПО и аппаратура ВТ обладают следующими свойствами: в аппаратуре ВТ могут присутствовать аппаратные закладки; в программном обеспечении могут присутствовать ПЗ, оказывающие постоянное воздействие; BIOS ВТ аппаратно гарантированно не защищен от перезаписи; информация на диске не защищена методом стойкого шифрования. нарушителю известны: тип используемого оборудования; система защиты информации; нарушитель обладает: всеми исходными текстами ПО (включая и средства защиты), работающего на данной ВТ; полной технологической документацией на атакуемый комплекс; рабочим экземпляром комплекса. нарушитель имеет возможность: перехватывать, подменять и удалять передаваемые по телекоммуникациям данные; получить доступ к включенной ВТ на неограниченное время под контролем легальных пользователей; получить доступ к включенной незаблокированной ВТ на ограниченное время, достаточное для хищения всей обрабатываемой информации; получить доступ к выключенной ВТ на неограниченное время; получить бесконтрольный доступ к включенной незаблокированной ВТ на короткое время, достаточное для запуска одной программы со съемного накопителя; получать кратковременный доступ к незаблокированной включенной ВТ в любое удобное для себя время; осуществлять атаку путем всевозможного сочетания функций вызова и команд, заложенных в криптографическом интерфейсе, вместе с подачей на вход произвольных наборов данных с целью получения доступа к ключам; кратковременно вскрывать корпус ВТ. нарушитель не может: нарушить целостность технических устройств, выполняющих криптографические функции; преодолеть средства физической защиты для считывания хранящегося там долговременного ключа; быть «офицером безопасности» или любым другим лицом, имеющим доступ по долгу службы к паролям или компонентам секретных ключей. нарушитель не имеет: ключевой информации.

В результате проведенного анализа и исследований причин нарушения информационной безопасности, методов оценки и управления рисками и стандартов информационной безопасности, можно предложить следующую методику для проведения аудита, учитывающую особенности технологии системы дистанционного обслуживания физических лиц «Интернет-банкинг» 1.Цели и задачи проведения аудита. 2.Назначение и основные функции системы. 3.Группы задач, решаемых в системе. 4.Утвержденная документация (политика безопасности, концепция ИБ, порядки, регламенты, инструкции и т.д. ). 5.Классификация пользователей. 6.Организационная структура обслуживающего персонала. 7.Структура и состав комплекса программно-технических средств. 8.Виды информационных ресурсов, хранимых и обрабатываемых в системе. 9.Структура информационных потоков. 10.Характеристика каналов взаимодействия с другими системами и точек входа. 11.Оценка обеспечения информационной безопасности на всем этапе жизненного цикла системы. 12.Границы проведения аудита. 13.Компоненты и подсистемы «Интернет-банкинг», попадающие в границы проведения аудита. 14.Размещение комплекса программно-технических средств системы по площадкам (помещениям). 15.Основные классы угроз безопасности, рассматриваемых в ходе проведения аудита. 16.Критерии оценки величины возможного ущерба, связанного с осуществлением угроз безопасности. 17.Оценка критичности информационных ресурсов. 18.Классификация информационных ресурсов. 19.Оценка критичности технических средств. 20.Оценка критичности программных средств. 21.Анализ рисков, связанных с осуществлением угроз безопасности в отношении ресурсов системы. 22.Модель внутреннего нарушителя. 23.Модель внешнего нарушителя. 24.Модель угроз безопасности и уязвимостей информационных ресурсов. 25.Угрозы безопасности, направленные против информационных ресурсов. 26.Угрозы несанкционированного доступа к информации при помощи программных средств. 27.Угрозы, осуществляемые с использованием штатных технических средств. 28.Угрозы, связанные с утечкой информации по техническим каналам. 29.Угрозы безопасности, направленные против программных средств. 30.Угрозы безопасности направленные против технических средств. 31.Оценка серьезности угроз. 32.Оценка величины уязвимостей. 33.Оценка рисков для каждого класса угроз и группы ресурсов. 34.Выводы по результатам проведенного аудита. 35.Рекомендуемые контрмеры организационного уровня. 36.Рекомендуемые контрмеры программно-технического уровня.