Исследования информационного обеспечения и уровня информации реального предприятия

Техническое обеспечение подразумевает применение горячего и холодного резервирования, использования кластерных систем, программ мониторинга состояния элементов информационных систем.При холодном резервировании резервные компоненты находятся в отключенном состоянии и их замена производится в ручном режиме. Для замены необходимо отключить оборудование или программное обеспечение, произвести замену и вывести на рабочий режим. При горячем резервировании резервный блок автоматически подключается в случае выхода из строя оборудования.Решение на основе кластерной технологии имеет следующие преимущества:большая степень масштабируемости – архитектура позволяет создавать кластеры практически любых размеров;устойчивость к сбоям – в случае выхода из строя какого – либо компонента система остается в работоспособном состоянии вследствие дублирования функций.Информационная безопасность предприятия – основные угрозы и риски. Какими техническими и организационными мерами должна быть реализована защита предприятия от угроз информационной безопасности. На основании публикаций по инцидентам, приведшим к отказу в обслуживании - оцените защищенность предприятия, предложите дополнительные меры по повышению защищенности ключевых ИТ сервисов.Так как банки являются важнейшим финансовым институтом современного общества, на них возлагаются особые требования по обеспечению информационной безопасности (ИБ). Обеспечение информационной безопасности необходимо для уменьшения финансовых потерь, повышения доступности и достоверности информации, снижения операционных и репутационных рисков, предотвращения краж и утечек конфиденциальной информации. Информационная безопасность банковской деятельности регламентируется следующими документами(Пискунов, 2014):законом «О банковской деятельности» от 02.12.1990 N 395-1 ФЗ;Федеральным законом «О коммерческой тайне» 29.07.2004 N 98-ФЗ;Федеральным законом «Об информации, информационных технологиях и о защите информации» от 27.07.2006 N 149-ФЗ;Федеральным законом «О Персональных данных» от 27.07.2006 N 152-ФЗ;Пакетом отраслевых стандартов СТО БР ИББС в составе:СТО БР ИББС-1.0-2014. «Общие положения (5 редакция)»;СТО БР ИББС-1.1-2007. «Аудит информационной безопасности»; СТО БР ИББС-1.2-2014. «Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2014 (4 редакция)».Согласно СТО БР ИББС-1.0-2014 (http://www.garant.ru/products/ipo/prime/doc/70567254/) на активы и бизнес – процессы могут воздействовать различные угрозы. Угрозы реализуются через источники, которые могут быть природного, техногенного и антропогенного характера. Последние могут быть злоумышленные и незлоумышленные.Основными источниками угроз ИБ являются:неблагоприятные события природного, техногенного и социального характера;террористы и криминальные элементы;зависимость от поставщиков/провайдеров/партнеров/клиентов;сбои, отказы, разрушения/повреждения программных и технических средств;работники организации БС РФ, реализующие угрозы ИБ с использованием легально предоставленных им прав и полномочий (внутренние нарушители ИБ);работники организации БС РФ, реализующие угрозы ИБ вне легально предоставленных им прав и полномочий, а также субъекты, не являющиеся работниками организации БС РФ, но осуществляющие попытки НСД и НРД (внешние нарушители ИБ);несоответствие требованиям надзорных и регулирующих органов, действующему законодательству.Основными угрозами на физическом, сетевом и уровне сетевых приложений являются:внешние нарушители ИБ: лица, разрабатывающие/распространяющие вирусы и другие вредоносные программные коды; лица, организующие DoS, DDoS и иные виды атак; лица, осуществляющие попытки НСД и НРД;внутренние нарушители ИБ: персонал, имеющий права доступа к аппаратному оборудованию, в том числе сетевому, администраторы серверов, сетевых приложений и т.п.;комбинированные источники угроз: внешние и внутренние нарушители ИБ, действующие совместно и (или) согласованно;сбои, отказы, разрушения/повреждения программных и технических средств.Источники угроз на уровнях операционных систем, систем управления базами данных, банковских технологических процессов:внутренние нарушители ИБ: администраторы ОС, администраторы СУБД, пользователи банковских приложений и технологий, администраторы ИБ и т.д.;комбинированные источники угроз: внешние и внутренние нарушители ИБ, действующие в сговоре.Источники угроз на уровне бизнес – процессов:внутренние нарушители ИБ: авторизованные пользователи и операторы АБС, представители менеджмента организации и пр.;комбинированные источники угроз: внешние нарушители ИБ (например, конкуренты) и внутренние, действующие в сговоре;несоответствие требованиям надзорных и регулирующих органов, действующему законодательству.ИБ реализуется техническими и организационными мероприятиями.К организационным мероприятиям относятся (Нестеров, 2004):создание и утверждение политик безопасности, ознакомление с ними персонала банка;внедрение эффективной системы мотивации персонала;четкое разделение функций между структурными подразделениями;постоянный контроль за соблюдением режима и соответствующих нормативных документов;создание службы безопасности;организация хранения и использования документов и электронных носителей;регулярное проведение аудита и контроль соблюдения мер по защите информационных активов.К техническим мероприятиям относятся:уровень физической защиты: физическое ограничение доступа к ресурсам системы – защита помещений, внедрение систем контроля и управления доступом, систем видеонаблюдения, средства защиты мобильных устройств, биометрическая идентификация сотрудниковуровень защиты периметра – установка межсетевых экранов, систем обнаружения вторжений, систем защиты от утечек конфиденциальной информации (DLP) и проактивных технологий защиты (HIPS);уровень защиты внутренней сети – создание VLAN при помощи коммутаторов, применение протокола IPSec, средства контентной фильтрации, использование протокола Kerberos;уровень защиты узлов – настройки ОС, повышающие безопасность, своевременная установка обновлений и противовирусных средств, обеспечение надежной аутентификации пользователей, применение цифровых сертификатов;уровень защиты приложений – защита от атак, направленных на конкретные приложения (SQL–инъекции, внедрение вредоносного ПО), путем установки соответствующих обновлений и правильной настройки приложений, уровень защиты данных – разграничение доступа к данным методами СУБД, ОС, шифрование при хранении, использование ЭЦП.Проблемой Сбербанка являются частые отказы в обслуживании банкоматов (http://www.banki.ru/services/responses/bank/response/7199888/) вследствие неисправностей или отсутствия денежной наличности. Для повышения эффективности данного сервиса целесообразно установить программу мониторинга и управления банкоматной сетью, в ключевых пунктах поставить несколько аппаратов, своевременно проводить профилактические мероприятия с целью выявления возможных неисправностей, оптимизировать бизнес-процессы, связанные с пополнением наличности для минимизации времени простоя. ИТ-стратегия на ближайшие годы. Проанализируйте потребности ИС предприятия и предложите 3 ключевых решения, которые могли бы обеспечить развитие предприятия, в части повышения производительности ИС, эффективности использования, соответствия ИС будущим потребностям бизнеса, снижения стоимости предоставления ИТ сервисов.ИТ стратегия Сбербанка направлена на трансформацию банка в высокотехнологическую сервисную компаниюи переход от качества информационных систем к качеству бизнес – процессов. Новые сервисы («Базовый продукт», «Сбербанк ОнЛ@йн», «Сбербанк бизнес ОнЛ@йн») создаются на новых платформах. Старые системы для обеспечения требуемого уровня доступности необходимо модернизировать в условиях постоянного развития инфраструктуры. Основной проблемой является децентрализованная структура информационных систем и выполнение большого количества проектов. Предлагается провести централизацию ИС и всего ИТ- ландшафта на базе единой АБС, создать единый ЦОД и центр управления инфраструктурой, внедрить единую систему управления содержанием банкоматной сети, так как внедрять новые банковские продукты без объединения сетей бесполезно. Необходимо продолжать работы по созданию сервисов в области мобильных приложений на базе ОС Android и iOS, прокладке оптоволоконных каналов связи до всех пунктов продаж услуг банка. В области бизнес – проектов надо развивать удаленные каналы обслуживания, создать аналитическую и BPM – систему, биллинговые технологии.Кроме того, требуется подготовка высококвалифицированных аналитиков и руководителей ИТ – подразделений, повышение мотивации сотрудников путем привязки оплаты к результатам работы, разработка матриц компетенций и ключевых показателей эффективности ИТ – подразделений.Приложение 1. Архитектура информационных систем Сбербанка на 01.01.2014Приложение 2. Целевая архитектура приложений СбербанкаПриложение 3. Схема взаимодействия приложений СбербанкаСписок использованной литературыФедеральный закон «О банковской деятельности» от 02.12.1990 N 395-1 ФЗ. [Электронный ресурс]. Режим доступа:http://ivo.garant.ru/SESSION/PILOT/main.htmФедеральный закон «О коммерческой тайне» 29.07.2004 N 98-ФЗ. [Электронный ресурс]. Режим доступа:http://ivo.garant.ru/SESSION/PILOT/main.htmФедеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 N 149-ФЗ. [Электронный ресурс]. Режим доступа:http://ivo.garant.ru/SESSION/PILOT/main.htmФедеральный закон «О Персональных данных» от 27.07.2006 N 152-ФЗ. [Электронный ресурс]. Режим доступа:http://ivo.garant.ru/SESSION/PILOT/main.htmСТО БР ИББС-1.0-2014. «Общие положения (5 редакция)». [Электронный ресурс]. Режим доступа:http://www.consultant.ru/document/cons_doc_LAW_163762/;СТО БР ИББС-1.1-2007. «Аудит информационной безопасности». [Электронный ресурс]. Режим доступа:http://www.garant.ru/products/ipo/prime/doc/487314/; СТО БР ИББС-1.2-2014. «Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2014 (4 редакция)». [Электронный ресурс]. Режим доступа:http://www.cbr.ru/credit/Gubzi_docs/main.asp?Prtid=Stnd.Будкова Л., Журавлев Р. ITSM в банках. [Электронный ресурс]. Режим доступа: http://www.cleverics.ru/ru/subject-field/articles/182-itsm-in-banks-diary.Власов И., Крылов Е. ITIL. ITSM. Введение. [Электронный ресурс]. Режим доступа:http://www.inot.biz/itil/DEMO_ITIL_ITSM_Introduction.pdfДунаев Г. Е., Михалев В.А. Особенности внедрения методологии ITSM, журнал «Открытые системы», № 1, 2004 г. [Электронный ресурс]. Режим доступа:http://www.osp.ru/os/2004/01/044.htmДунаев Г. Е. «Как оценить результаты внедрения ITSM?», журнал «Директор ИС», № 4, 2004 г. [Электронный ресурс]. Режим доступа:http://www.osp.ru/cio/2004/04/076.htmЗнаменский С. Здравый смысл ITIL.//Банковское обозрение. 2012. № 5. [Электронный ресурс]. Режим доступа:http://bosfera.ru/bo/zdravyj-smysl-itilИнгланд Р. Овладевая ITIL. Скептическое руководство для ответственных лиц. [Электронный ресурс]. Режим доступа:http://aleka.org.ua/book/7165-ovladevaya-itil-skepticheskoe-rukovodstvo-dlya-otvetstvennyx-lic-ingland-r-2011.htmlКРОК организовал работу ИТ-службыМДМ-Банка согласно концепции ITIL. [Электронный ресурс]. Режим доступа:http://consulting.ru/214997Кудрявцева Н.Н., Куликова М.А. Теория и практика решения задач минимизации операционного риска.// Вопросы современной науки и практики, 2012, № 4. – с.249-258Нестеров С.А. Анализ и управление рисками в информационных системах на базе операционных систем Microsoft. [Электронный ресурс]. Режим доступа:http://bezopasnik.org/article/book/7.pdfНефедова Л. ITIL на практике: чего ждать и к чему стремиться.// Корпоративные системы, 2008, № 2. [Электронный ресурс]. Режим доступа:http://www.kuprava.ru/journal/itil.htmlОрловский В. Мы создаем тенденции.// Банковские технологии. -2011.- № 4, с. 20-28Определение, моделирование и расчет стоимости ИТ сервисов. [Электронный ресурс]. Режим доступа: http://www.inframanager.ru/upload/article_ITIL.pdfО техническом сбое в процессинговом центре Сбербанка. [Электронный ресурс]. Режим доступа: http://www.sberbank.ru/tomsk/ru/press_center/tb_all/?id114=11014498Отзывы о работе Сбербанка. [Электронный ресурс]. Режим доступа: http://www.banki.ru/services/responses/bank/response/7199888/Пискунов И. Особенности обеспечения информационной безопасности в банковской системе. [Электронный ресурс]. Режим доступа:http://daily.sec.ru/2014/11/12/Osobennosti-obespecheniya-informatsionnoy-bezopasnosti-v-bankovskoy-sisteme.htmlСтандарты банка России в области информационной безопасности. [Электронный ресурс]. Режим доступа:http://www.iso27000.ru/standarty/sto-br-ibbs-standarty-banka-rossii-v-oblasti-informacionnoi-bezopasnostiСтратегия развития Сбербанка на период 2014 – 2018 г.г. [Электронный ресурс]. Режим доступа: http://sarvesti.ru/wp-content/uploads/2013/11/SberbankDevelopmentStrategyFor2014-2018.pdfТютюнник А.В., Шевелев А.С. Информационные технологии в банке - Издательская группа "БДЦ-пресс", 2003 г. – 342 с.Управление ИТ – проектами: мода или необходимость. [Электронный ресурс]. Режим доступа:http://www.itexpert.ru/rus/biblio/articles/200406222006/200406241326/Хлызов А. Мы построили систему управления ИТ-сервисами и сертифицировали ее по стандарту. [Электронный ресурс]. Режим доступа:http://www.iemag.ru/clouds/opinions/detail.php?ID=16883Цигельский И. ITIL: практика применения. [Электронный ресурс]. Режим доступа:http://www.inot.biz/itil/DEMO_ITIL_for_top_managers.pdf