Базы данных Дальневосточного филиала МТС Банка под защитой МФИ Софт

- Как обстоят дела с защитой персональных данных в банковской сфере? Для чего нужно усиливать систему защиты ПДн?
Евгений Тетенькин: Банковская сфера всегда шла в ногу с развитием информационных технологий. Требования к безопасности у банков особенные - кроме персональных данных, необходимо сохранять еще и банковскую тайну. В последние годы конкуренция среди банков обязывает постоянно повышать качество услуг - кто предлагает более высокотехнологичные услуги по более низким ценам, тот и побеждает. Но у прогресса есть и оборотная сторона - чем плотнее современные технологии входят в нашу жизнь, тем больше соблазна у злоумышленников использовать новые возможности для обогащения. Случаи мошенничества с персональными данными учащаются, появляются новые виды и подвиды мошенников, которые так или иначе пытаются, к примеру, получать кредиты по чужим данным или производить махинации с дистанционным обслуживанием. Выявление, регистрация и локализация таких рисков - одна из наиболее важных задач службы информационной безопасности банка. В связи с этим вложения в надежную систему защиты данных своих клиентов помогают банкам увеличить свою инвестиционную привлекательность и укрепить репутацию.

- Расскажите, пожалуйста, чем была обусловлена необходимость внедрения в Дальневосточном филиале МТС Банка системы контроля доступа к данным?
Константин Щепилов: Как показывает мировая практика, большую часть проблем в области ИБ создают сами сотрудники компании. По результатам исследований крупнейших консалтинговых компаний, источник большинства проблем с безопасностью находится внутри компании. К ним относятся, в частности, риски утери сведений, составляющих банковскую и коммерческую тайну, а также персональных данных. Поэтому контроль доступа к данным в автоматизированной банковской системе (АБС) - это один из наиболее эффективных способов снижения таких рисков.

На момент реализации проекта (тогда еще в Далькомбанке), у нас уже был опыт использования систем аудита доступа к базам данных. Используемая АБС позволяла контролировать операции, производимые в системе. Но, учитывая территориальную удаленность от ЦОД операторов системы и большой объем производимых ими операций в течение одного операционного дня (от нескольких десятков до сотен тысяч), это создавало большую нагрузку на инфраструктуру СУБД. Поэтому использование возможностей контроля, "встроенных" в АБС, могло периодически создавать проблемы в ее эксплуатации. Кроме этого, возможность непосредственного доступа к такой информации администраторов СУБД создавала риск внесения несанкционированных изменений в журналы протоколируемых событий.

В итоге мы пришли к пониманию, что, внедрив комплексную систему мониторинга работы с базами данных, мы сможем снизить упомянутые риски и реагировать на возможные инциденты в режиме реального времени.

- На что в первую очередь вы обращали внимание при выборе поставщика решения для контроля баз данных? Почему выбор пал на компанию "МФИ Софт" и комплекс "Гарда БД" в частности?
К.Щ.: Первостепенную роль при выборе играли качество продукта и возможность быстрого внедрения в существующие АБС банка. Простота эксплуатации и качественная техническая поддержка продукта помогли в максимально короткие сроки внедрить систему и начать работать с ней. Конечно же, более привлекательная по сравнению с зарубежными аналогами стоимость продукта и его соответствие нормативным и законодательным актам РФ тоже были важны при выборе. Проведенная нами оценка представленных на отечественном рынке систем показала, что комплекс "Гарда БД" компании "МФИ Софт" в наибольшей степени отвечает этим требованиям. Дополнительным преимуществом стало и то, что производитель располагается на территории РФ и имеет большой опыт в реализации подобных проектов.

Е.Т.: Нужно сказать, что подобных узконаправленных решений на рынке не так много. Есть дополнительные модули АБС, которые тормозят работу системы. Есть функциональные модули обычных DLP-систем, которые обладают ограниченным функционалом. Хотя система "Гарда БД" принадлежит к группе DLP-решений "Гарда", она изначально разрабатывалась как самостоятельный продукт для контроля доступа к базам данных, способный выдерживать большие нагрузки в СУБД и решать нестандартные задачи. Высокая скорость и расширенный функционал делают решение практически уникальным.

- Легко ли и в какие сроки проходило внедрение системы защиты баз данных Тарда БД"?
К.Щ.: В ходе подготовительных работ мы плотно взаимодействовали с представителями подрядчика, чтобы реализовать проект с небольшими временными затратами и минимальным привлечением человеческих ресурсов. Важную роль сыграло то, что на этапе подготовки проекта сотрудники "МФИ Софт" оказывали своевременную консультационную поддержку. В результате уже в процессе проектирования мы смогли встроить систему в существующую инфраструктуру банка, не изменяя топологию сети и настройки используемого коммуникационного оборудования. После подготовительного этапа всего за два дня мы установили систему и ввели ее в опытную эксплуатацию. Еще один день заняло обучение персонала. Все возникшие за этот период времени вопросы оперативно решались совместными усилиями. В общем, скорость внедрения комплекса очень порадовала.

Е.Т.: Комплекс "Гарда БД" изначально создавался для того, чтобы максимально быстро и просто интегрироваться в инфраструктуру систем безопасности компании, не перегружая ее лишним и дорогим оборудованием. Это дает возможность в максимально сжатые сроки настроить работу комплекса и сохранить огромное количество трудовых ресурсов, а также быстро привести деятельность компании в соответствие с законом о защите персональных данных.

- Можно ли уже сейчас оценить эффект от внедрения решения для контроля доступа к базам данных? Довольны ли вы результатом?
К.Щ.: С момента внедрения системы "Гарда БД" прошел почти год, и я считаю, что это был очень успешный проект. Благодаря тому что система достаточно гибкая, мы смогли на порядок увеличить оперативность принятия решений при предотвращении инцидентов нарушения политик информационной безопасности. Наше аналитическое подразделение оценило открывающиеся возможности для работы служб внутреннего контроля и внутренней безопасности. За прошедшее с момента запуска системы время мы смогли выявить риски несанкционированного доступа к конфиденциальной информации и минимизировать их. Таким образом, мы получили реальную отдачу от работы системы.

- Есть ли планы по развитию данной системы на ближайшее будущее?
Е.Т.: Совершенствование и развитие наших продуктов происходит постоянно. Отдел разработок нашей компании сейчас обладает такими ресурсами, что может выпускать обновления к существующим решениям не реже, чем каждые два месяца.

К.Щ.: В рамках развития системы безопасности банка мы продолжаем плотно сотрудничать с "МФИ Софт". Результатами такого сотрудничества уже явились новые возможности системы "Гарда БД", реализованные в ее функционале, такие как внедрение методики контроля соблюдения правил парольной защиты в банке. В перспективе мы планируем оснастить подключенный комплекс матрицей критериев по контролю более 20 тыс. объектов, существующих в АБС, а также масштабировать его в головной офис в Москве, поэтому для нас важна своевременная и грамотная техническая поддержка специалистов.