Потеря информации смерти подобна

Существует ряд мер, выполнение которых является обязательным для обеспечения защиты централизованного хранения данных в банках. Это и использование современных систем хранения, и ночное резервное копирование, и хранение резервных копий, в том числе удаленное, и наличие работающих политик и регламентов доступа к информации и др. Наибольший эффект дает комплексное применение всех этих мер.

СПОСОБЫ ЗАЩИТЫ ДАННЫХ

Потеря информации для банка может означать не только потерю прибыли, но и нести смертельную угрозу для современной кредитной организации. На первый взгляд существует несколько элементарных способов защитить информацию: разграничение доступа, управление изменениями, дублирование информации в режиме «он-лайн», резервное копирование, территориальное разнесение копий информации. Но каждый из этих способов не может быть эффективен по отдельности, уверен заместитель председателя правления банка «Союз» Владимир Смирнов: «Наиболее эффективным является применение всех этих способов в сочетании с четкой регламентацией действий персонала и автоматических операций с информацией».

Руководитель направления защиты баз данных компании «Инфосистемы Джет» Артем Медведев также считает, что наиболее эффективным является комплексный подход к защите данных, состоящий из организационных мер (регламенты, процессы) и технических решений. «Если говорить о технологиях, то необходимо говорить отдельно о защите контура (межсетевые экраны, антивирусы, решения DLP класса) и о защите ядра хранения данных – баз данных (БД). В области защиты БД наиболее эффективны технологии класса DAM – Database Activity Monitoring. Так как основная масса банковских данных (более 80%) хранятся в корпоративных БД, вопросу контроля действий пользователей баз данных, мониторинга транзакций и защиты СУБД необходимо уделять особое внимание. Применение специализированных продуктов позволит увеличить прозрачность транзакций БД и просматривать контекстную информацию вида «кто, что, где, когда и как» по каждой транзакции СУБД, а также использовать соответствующие меры при выявлении несанкционированных действий пользователей», - рассказал Артем Медведев.

Меры по защите данных в банках ничем не отличаются от мер, применяемых любой другой организацией, уверен Михаил Геворков, вице-президент Банка БКФ. Эксперт назвал ряд аксиом, выполнение которых обязательно при защите централизованного хранения данных в банках. Во-первых, использование современных систем хранения, поддерживающих передовые технологии (RAID, дублирование контроллеров, hot-spare и прочее). Во-вторых, ночное резервное копирование. Необходимо также поддерживать в актуальном состоянии антивирусы как на входе в банк, так и на рабочих станциях. Нельзя обойтись и без контроля за устройствами чтения съемных носителей.

Иногда используется удаленное хранение резервных копий. «Еще в 1998 году мы арендовали сейфовую ячейку в другом банке и каждое утро отвозили туда новую ночную копию, - рассказывает Михаил Геворков. - Хлопотно, но зато никакие стихийные бедствия нам были не страшны».

Еще один способ защиты информации - наличие моментальной копии базы данных. Такие копии снимаются в момент завершения регламентных процедур (для банков это обычно процедура смены операционного дня) и позволяют без ущерба для рабочего процесса получить целостный срез данных, отмечает Михаил Геворков.

Необходимо также наличие работающих политик и регламентов доступа к данным.

Генеральный директор компании «Contour Components» Владимир Некрасов считает, что защищать данные нужно в первую очередь от сотрудников, поскольку самые серьезные утечки не обходятся без инсайдеров. «Если данные хранятся в SQL-базе данных, то можно ограничить доступ к ним для всех, кроме администратора. Отсюда вывод: максимально надежная защита – это хранение данных в БД в зашифрованном виде».

Далее, по мнению эксперта, необходимо ограничение административных возможностей, полное закрытие прямого доступа к базам данных, обращение прикладных систем к ним через ПО промежуточного слоя. «Логичным и оправданным является ограничение физического доступа к компьютерам, имеющим административные возможности, а также аутентификация пользователей, дешифрация и шифрация данных не программными, а программно-аппаратными решениями».

БАНКОВСКАЯ СПЕЦИФИКА

Несмотря на определенное единообразие способов защиты данных в разных организациях, защита систем централизованного хранения в банках имеет ряд особенностей, считает Екатерина ЯБЛОКОВА, заместитель директора по развитию бизнеса Stonesoft в России, СНГ и странах Балтии. Во-первых, применяемые средства защиты кроме высокого уровня защищенности должны обеспечивать высокую производительность – для современных банковских систем это десятки гигабит в секунду. Вторым краеугольным камнем защиты является обеспечение надежности и высокой доступности. «В идеале речь идет о полной отказоустойчивости каждого элемента системы защиты, – говорит Екатерина Яблокова. – Поскольку полное дублирование очень затратное, вместо традиционной кластеризации стали активно применять технологии динамической балансировки нагрузки, которые позволяют одновременно задействовать оба элемента кластера в процессе обработки информации».

Когда идет речь о построении системы защиты централизованного хранения данных, следует упомянуть важность оперативного реагирования на события безопасности. «Сами по себе многомиллионные базы данных журналов событий никому не нужны, если их некому обрабатывать или способ их обработки или хранения представляет больше сложностей, нежели анализ в «оригинальном» виде (прямо на консоли устройства)», – отмечает г-жа Яблокова.

НЕ ДОРОЖE ИНФОРМАЦИИ

Защита централизованного хранения данных – это достаточно дорогостоящие проекты. Стоимость построения защиты зависит от многих параметров, например, таких как объем хранимых данных, количество транзакций в базы данных, уровня критичности хранимых данных и т.д.

Правда, информация стоит дороже, ее стоимость гораздо выше, нежели стоимость затрачиваемых на нее технических средств. Поэтому вряд ли стоит экономить на подобной защите, особенно банкам, которые живут в режиме оn-line. Ведь любая серьезная потеря данных грозит приостановлением действия лицензии, а с этим кредитные организации предпочитают не шутить.

Вопрос стоимости защиты всегда являлся предметом торга ИТ-служб и бизнеса, и, к сожалению, часто решение принимается по принципу «пока гром не грянет ….», - рассказывает Владимир Смирнов (банк «Союз»). - Если говорить серьезно, то наилучшим способом определения справедливой стоимости защиты информации является оценка стоимости потерь от утраты этой информации».

Цена вопроса может варьироваться от нескольких сотен тысяч рублей (элементарная защита с помощью резервного копирования и организационных мер) до миллионов долларов (при организации резервных центров обработки данных, распределенного хранения информации и дублирования в он-лайн режиме).

Для примерной оценки необходимых инвестиций Владимир Смирнов привел такие цифры: стоимость организации резервного центра обработки данных (ЦОД) площадью всего около 100 кв.м., без учета капитального строительства и ремонта, составляет около 10 млн долларов. После постройки такого ЦОДа его еще нужно «населить» техникой, совокупная стоимость которой исчисляется цифрами примерно того же порядка.

И все же в финансовых учреждениях очень серьезно подходят к защите и хранению информации, о чем можно судить хотя бы по тому, что ЦОДы Сбербанка, ММВБ, РТС, Хоум Кредит банка входят в десятку крупнейших в России.

Банк «Союз», например, имеет два территориально разнесенных вычислительных центра, между которыми организовано несколько дублирующих друг друга оптических магистралей. Данные структурированы, упорядочены, распределено хранятся и дублируются в соответствии с их критичностью и требованиями по доступности, отмечает зампредправления банка «Союз» г-н Смирнов.

По мнению Екатерины Яблоковой (Stonesoft), немаловажным является вопрос не только первоначальной стоимости закупки средств защиты, но и стоимости владения системой защиты в целом, куда включается последующая техническая поддержка, эксплуатация, разбор инцидентов, апгрейд оборудования и т.п. «Если рассматривать именно этот параметр, то может оказаться, что продукт, стоящий меньше при первоначальной закупке, в дальнейшем обойдется заказчику значительно дороже», – говорит эксперт.

КОНСОЛИДИРУЙТЕ, ДУБЛИРУЙТЕ, РАСПРЕДЕЛЯЙТЕ ИНФОРМАЦИЮ!

Для того чтобы обеспечить эффективную защиту информации банка, необходимо придерживаться нескольких принципов. Во-первых, информация должна быть упорядочена, хаос невозможно эффективно защитить, уверен Владимир Смирнов (банк «Союз»). «Разделяйте информацию по типам и направления бизнеса, определяйте ее критичность для организации, строго разграничивайте доступ к информации не только со стороны сотрудников, но и со стороны администраторов, выбирайте способ и регламент защиты индивидуально для каждого вида информации».

Во-вторых, все элементы инфраструктуры хранения и обработки информации должны быть надежны, производительны и дублированы. Достаточно иметь одно слабое звено в системе, и она вся становится не надежной и/или не производительной, говорит Владимир Смирнов. Необходимо строго регламентировать процесс внесения изменений в структуру данных, создание новых информационных ресурсов.

В-третьих, необходимо консолидировать информацию, поскольку довольно проблематично защищать разрозненно хранящиеся части информации, да и при этом невозможно ими эффективно управлять. «Консолидируйте хранение информации на высокопроизводительных и надежных системах хранения, не храните данные на локальных дисках серверных систем. Гибкость в управлении данными даст вам лишний козырь в организации их защиты, кроме того, в конечном счете, так выйдет дешевле», - говорит Владимир Смирнов.

Следующий способ, о котором рассказал эксперт банка «Союз», это дублирование и распределение информации: «Не нужно хранить все яйца в одной корзине – для особенно критичных данных применяйте дублирование между территориально разнесенными ЦОДами на лету, для менее критичных данных достаточно асинхронной репликации». Кроме того, распределив хранилища информации по различным ЦОДам, в момент выхода из строя одного из центров банк избежит необходимости проводить мероприятия по переходу на резервные системы хранения для значительной части своих информационных ресурсов. Важно отметить, что недопустимо консолидировать данные без их дублирования – делать это нужно обязательно комплексно, подчеркивает Владимир Смирнов.

Следующая рекомендация от зампредправления банка «Союз» - «защищайте тылы, никогда не забывайте о резервном копировании». «Именно (и только) периодическое копирование информации на отчуждаемые носители, которые хранятся отдельно от ЦОДа, может дать гарантию сохранности ваших данных. В случае, когда по ошибке персонала данные будут искажены, они будут также искажены на всех резервных системах, и только резервная копия будет хранить верную информацию».

По мнению Михаила Геворкова (Банк БКФ) очень важна защита информации от несанкционированного доступа. Здесь огромное значение имеет четкость исполнения внутренних нормативных регламентов банка, которые нередко нарушаются. Зачастую самыми злостными нарушителями правил являются непосредственно руководители организации.

Важно подчеркнуть, что защита информации должна заключаться не только в защите ее от уничтожения, но и от компрометации.

«ИТ-службам совместно с информационной безопасностью необходим тщательный анализ групповых политик и ролей доступа. Работа, в большей части, аналитическая, но позволяющая минимизировать риски уничтожения и/или компрометации информации», - говорит Михаил Геворков.

НЕТЕХНИЧЕСКИЕ ПРОБЛЕМЫ

Когда мы задали вопрос о том, какие проблемы чаще всего возникают при организации защиты централизованного хранения данных, банковские специалисты, как ни странно, в первую очередь называли проблемы, в основном не связанные с техникой. Так, ИТ-подразделения в банках нередко сталкиваются, прежде всего, с проблемой финансирования. Особенно в небольших организациях руководство не понимает или не хочет понимать необходимость серьезных финансовых вложений на создание и поддержание системы защиты.

«Обоснование затрат на защиту инфраструктуры хранения станет намного проще, если представить на рассмотрение комплексное видение всего проекта, затраты на который и результаты которого ясны и понятны бизнесу. Наличие у организации плана непрерывности бизнеса сильно облегчает решение задачи обоснования финансирования», - считает Владимир Смирнов (банк «Союз»).

Второй проблемой является несоблюдение разработанных политик безопасности. В банках, где многие вопросы решаются в обход официальных отношений, возникают ситуации, когда операционист имеет неограниченный доступ к информации только потому, что дружит с системным администратором, рассказывает Михаил Геворков (Банк БКФ). Решить эту проблему можно, только выделив отдельно службу информационной безопасности, вычленив ее из состава ИТ.

Весьма ощутимой проблемой, по мнению Владимира Смирнова (банк «Союз»), является патологическая нелюбовь персонала документировать свои действия, работать по инструкциям и т.д. Здесь, конечно, свою роль должна сыграть внимательная кадровая политика.

«Только внедрив четкие правила управления изменениями и разграничив доступ к системам между обслуживающим персоналом, можно добиться того, что сотрудники станут заинтересованными в появлении регламентов и инструкций, - говорит г-н Смирнов. - Они станут не только их исполнять, но даже предложат способы их улучшения».

Еще одной проблемой, которую необходимо решать, является структурирование информации и бизнес-данных. «Зачастую исторические наслоения информации различной степени актуальности, критичности и направленности хранятся в одной большой куче», - отмечает Владимир Смирнов. Решить эту проблему можно, заинтересовав пользователей в самостоятельной реорганизации информации и разборке «завалов». Так, вместо того, чтобы увеличивать ресурсы старого файлового хранилища, можно подготовить новое, которое будет производительнее старого.

По мнению Артема Медведева («Инфосистемы Джет»), наиболее часто встречающиеся проблемы при организации защиты централизованного хранения данных в банках связаны с архитектурой хранения и использования данных. Так, в последнее время набирает популярность трехзвенная архитектура работы с данными. «Пользователей приложений становиться невозможно идентифицировать и понять, кто конкретно к каким данных в БД обращается, - говорит эксперт компании «Инфосистемы Джет». - Эту проблему можно решить с помощью наложенных средств контроля действий пользователей БД. Они позволяют сделать все транзакции пользователей прозрачными и вести контроль действий не только пользователей приложений, но и привилегированных пользователей».

ПЕРСПЕКТИВНЫЕ НАПРАВЛЕНИЯ

С учетом современных тенденций развития ИТ в мире, таких как SOA, Cloud computing, технологии защиты информации имеют несколько перспективных направлений своего развития, считает Владимир Смирнов (банк «Союз»). Первое - будут развиваться средства географически распределенного хранения информации с обеспечением избыточности и самовосстановления. Второе направление - организация централизованно управляемых инфраструктур хранения, т.е. осуществление сквозного управления всеми средствами ресурсов хранения и резервного копирования организации. Третье - виртуализация ресурсов хранения. Четвертое - увеличение емкости и производительности средств резервного копирования и хранения информации. Еще одно направление – это развитие твердотельных устройств хранения информации.

Новые задачи возникают при изменении самой парадигмы хранения данных, считает Владимир Некрасов («Contour Components»), а именно переходе к технологии database in memory, когда все данные находятся в оперативной памяти, их защита от потери осуществляется кластеризацией ресурсов, дублированием. «Это потребует серьезного пересмотра стратегий защиты. По всей видимости, возникнет технология хранения зашифрованных данных с принципиально новыми методами индексации и поиска», - считает г-н Некрасов.

Усложнение ИТ-систем, всеобщая мобилизация, виртуализация, «облачные» вычисления – все эти тренды, безусловно, окажут свое влияние на системы защиты централизованного хранения данных, отмечает Екатерина Яблокова (Stonesoft). «Решения по защите должны стать более гибкими, масштабируемыми, управляемыми, для того чтобы сочетать в себе высокую производительность и успешно противостоять современным угрозам».