Интернет-банкинг
20 октября 2003
Рубрика: Обзоры и мнения.
Автор: Нурсат Хикматуллаев.

pic

Управление банковскими счетами через Интернет, или интернет-банкинг, является наиболее динамичным и представительным направлением финансовых интернет-решений в силу наиболее широкого спектра финансовых (в данном случае банковских) услуг, представленных в системах интернет-банкинга. Подобные системы могут быть основой систем дистанционной работы на рынке ценных бумаг и удаленного страхования, так как они обеспечивают проведение расчетов и контроль над ними со стороны всех участников финансовых отношений.

Классический вариант системы интернет-банкинга включает в себя полный набор банковских услуг, предоставляемых клиентам — физическим лицам в офисах банка, естественно, за исключением операций с наличными деньгами.
Сегодня c помощью систем интернет-банкинга можно покупать и продавать безналичную валюту, оплачивать коммунальные услуги, платить за доступ в Интернет, оплачивать счета операторов сотовой и пейджинговой связи, проводить безналичные внутри- и межбанковские платежи, переводить средства по своим счетам и, конечно, отслеживать все банковские операции по своим счетам за любой промежуток времени.

Использование систем интернет-банкинга дает ряд преимуществ: во-первых, существенно экономится время за счет исключения необходимости посещать банк лично, во-вторых, клиент имеет возможность 24 часа в сутки контролировать собственные счета и, в соответствии с изменившейся ситуацией на финансовых рынках, мгновенно реагировать на эти изменения (например, закрыв вклады в банке, купив или продав валюту, и т.п.). Системы интернет-банкинга незаменимы и для отслеживания операций с пластиковыми картами — любое списание средств с карточного счета оперативно отражается в выписках по счетам, подготавливаемых системами, что также способствует повышению контроля со стороны клиента за своими операциями.

Возможность работать со счетами пластиковых карт позволяет пользоваться услугами интернет-магазинов на абсолютно безопасном уровне — достаточно перевести с помощью системы интернет-банкинга требуемую сумму средств на карту, а затем с помощью этой карты оплатить какую-либо услугу или товар в интернет-магазине на веб-сайте последнего. При этом в системе будут доступны выписки по карт-счету, из которых можно определить, какая сумма средств списана с карты, за что и т.п. Таким образом, больше, чем стоимость товара или услуги, с карты клиента просто не спишется, и клиент всегда в состоянии отследить подобные операции. Согласно подсчетам компании Jupiter Research, к концу 2002 года 39% пользователей Интернета (54,1 млн. человек) в Европе будут одновременно являться клиентами систем электронного банкинга. Наиболее высока доля пользователей онлайновых банковских систем в странах Северной Европы. Так, в Швеции этот показатель равняется 54%, тогда как в Греции — только 13%. К 2005 году в среднем по Европе данный показатель должен составить 48%, после чего рост немного замедлится, и к 2007 году число пользователей вырастет только до 51%.

Согласно прогнозам компании, число пользователей, оплачивающих свои счета через Интернет, также будет расти довольно медленно в ближайшие годы. К концу 2002 года их доля составит лишь 11% от всех пользователей Сети, а доля использующих Сеть для получения ипотечного кредита — 0,3%.

В Jupiter полагают, что оживление на финансовых рынках приведет к тому, что к концу 2007 года 10% европейских пользователей Интернета станут клиентами онлайновых брокеров1. Рост популярности интернет-банкинга наблюдается не только в Европе. По данным исследования Pew Research Center, в рамках проекта Internet and American Life 37 миллионов американцев делают денежные переводы и оплачивают счета в онлайне2.

pic

Естественно, с ростом интереса к интернет-банкингу со стороны клиентов будут расти и расходы банков на внедрение новых технологий. Так, если в 1999 году расходы европейских банков на внедрение и поддержку интернет-систем составили $362 млн., то, по предположениям Datamonitor, в 2004 году эти расходы составят уже $1,392 млрд. Предполагается, что наибольшие затраты осуществят английские, французские и германские банки3.
Затронув вопрос безопасности финансовых транзакций, и в частности безопасности транзакций в системах интернет-банкинга, можно с уверенностью сказать, что современные технологии программно-аппаратной защиты находятся на высоком уровне, способны обеспечить гарантию конфиденциальности операций и сохранности средств. Но самое главное, в сохранности средств заинтересованы прежде всего банки — поставщики услуг интернет-банкинга, отвечающие не только за сохранность финансов своих клиентов, но и за свои средства и репутацию.
В апреле 2002 года CNews.ru провело небольшое исследование на тему «Информационная безопасность в банковской сфере». Исследователи интересовались, как оценивают защищенность банковских IT-систем поставщики решений и сами банки4.

При организации интернет-банкинга большое значение имеет обеспечение сетевой безопасности по мировым стандартам.
Примером такой организации сетевой безопасности может служить корпорация Cisco Systems Inc.
Цель сетевой безопасности заключается в защите сетей и их приложений от атак, обеспечении доступности, конфиденциальности и целостности информации. Не все сети и сопутствующие приложения несут одинаковые риски компании с точки зрения атак, поэтому при разработке архитектуры сетевой безопасности каждая компания должна проанализировать, как инвестиции в различные технологии и компоненты сетевой защиты скажутся на эффективности ее деятельности.

Политика безопасности

Стратегически выверенная политика безопасности является основой для реализации комплекса мер по сетевой защите в компании. Политика безопасности — это официальный документ, разработанный при активном участии руководства компании и включающий правила, обязательные для выполнения сотрудниками, имеющими доступ к корпоративному ресурсу. Этот документ зачастую включает в себя политику аутентификации, определяющую уровни паролей и права для каждого типа пользователей (корпоративные, удаленные, виртуальные частные сети, администраторы и т.д.). Поскольку требования бизнеса и технологии безопасности постоянно развиваются, политика безопасности также должна быть динамичным, регулярно обновляемым документом.

Архитектура безопасности

Архитектура безопасности разрабатывается совместно группой проектирования сети и группой безопасности информационных технологий. Обычно она интегрирована в существующую сеть предприятия и определяется набором услуг в области информационных технологий, предлагаемых через сетевую инфраструктуру. Требования каждой услуги в области информационных технологий к доступу и безопасности должны определяться до деления сети на модули с четко определенными уровнями доверия. Каждый модуль должен рассматриваться отдельно и иметь собственную модель безопасности. Цель такого деления заключается в том, чтобы иметь такие уровни безопасности, при которых доступ нарушителя был бы ограничен лишь определенной частью сети. Кроме того, архитектура должна определять общие службы безопасности, которые должны внедряться в сети. Обычно эти службы включают:

• аутентификацию, авторизацию и учет (ААА)
• конфиденциальность, обеспечиваемую виртуальными частными сетями (VPN)
• доступ (модель доверия)
• мониторинг безопасности с использованием систем обнаружения вторжений (IDS).

После принятия ключевых решений архитектура безопасности должна развертываться поэтапно, начиная от самых критичных областей.
Структура сетевой безопасности требует от корпорации определения уровня инвестиций на внедрение и общие издержки сетевых атак. При определении адекватного потребностям компании уровня сетевой защиты необходимо учитывать приведенные ниже пять компонентов сетевой безопасности.

pic

1. Идентичность

Идентичность — это точная и позитивная идентификация сетевых пользователей, хостов, приложений, служб и ресурсов. Механизмы идентичности важны, поскольку они обеспечивают получение авторизованными пользователями доступа к нужным им вычислительным ресурсам предприятия, в то время как неавторизованные пользователи получают отказ в доступе. Например, сети Cisco Systems используют возможности ААА сервера Cisco Secure Access Control Server (ACS), обеспечивающего базу для аутентификации пользователей, определения привилегий доступа и ведения журналов учета.

pic

2. Безопасность сетевого периметра

Решения в области безопасности периметра управляют доступом к критичным сетевым приложениям, данным и службам таким образом, что только авторизованные пользователи и информация могут передвигаться по сети. Управление доступом осуществляется маршрутизаторами и коммутаторами со списками контроля доступа (ACL) и выделенными межсетевыми экранами. Межсетевой экран ставит барьер, не позволяющий трафику выходить за «периметр» сети, и разрешает проход лишь авторизованному трафику в соответствии с политикой безопасности. Контролировать периметр сети также помогают и дополнительные средства, включая сканеры вирусов и фильтры содержания. Межсетевые экраны обычно становятся первыми средствами защиты, устанавливаемыми организациями для совершенствования процедур безопасности. Хорошо зарекомендовали себя на рынке межсетевые экраны компании Cisco: Cisco PIX® Firewall является наиболее распространенным межсетевым экраном, предоставляющим сетевым клиентам всех уровней беспрецедентную надежность, масштабируемость и функциональность; Cisco IOS® Firewall обеспечивает встроенные возможности межсетевого экрана в инфраструктурах маршрутизации и коммутации.

3. Безопасность сетевых соединений

Конфиденциальность информации, защита ее от прослушивания или помех при передаче данных может быть эффективно обеспечена посредством виртуальных частных сетей (VPN). Они позволяют установить конфиденциальную защищенную связь в открытой сети, которой обычно является Интернет, и расширять границы корпоративных сетей до удаленных офисов, мобильных пользователей, домашних пользователей и партнеров по бизнесу. Технология шифрования устраняет возможность перехвата сообщений, передаваемых по виртуальной частной сети, или их прочтения лицами, отличными от авторизованных получателей, за счет применения передовых математических алгоритмов шифрования сообщений и приложений к ним. Концентраторы серии Cisco VPN 3000 многими признаются лучшим в своей категории решением удаленного доступа по виртуальным частным сетям. Концентраторы Cisco VPN 3000, обладающие самыми передовыми возможностями с высокой надежностью и уникальной, целенаправленной архитектурой. Позволяют корпорациям создавать инфраструктуры высокопроизводительных, наращиваемых и мощных виртуальных частных сетей для поддержки ответственных приложений удаленного доступа. Идеальным орудием создания виртуальных частных сетей от одного сетевого объекта к другому служат маршрутизаторы Cisco, оптимизированные для построения виртуальных частных сетей, к которым относятся маршрутизаторы Cisco 800, 1700, 2600, 3600, 7100 и 7200.

4. Мониторинг безопасности

Чтобы обеспечить постоянную безопасность своих сетей, компании должны вести непрерывный мониторинг атак и регулярно тестировать инфраструктуры безопасности. Сканеры уязвимости сетей могут в упреждающем порядке находить слабые места, а системы обнаружения вторжений — вести контроль и реагировать на подозрительные признаки по мере их возникновения.
Системы обнаружения вторжений и сканеры уязвимости создают дополнительный уровень сетевой безопасности. Хотя межсетевые экраны пропускают или задерживают трафик в зависимости от источника, точки назначения, порта или прочих критериев, они фактически не анализируют трафик на атаки и не ведут поиск уязвимых мест в системе. Кроме того, межсетевые экраны обычно не борются с внутренними угрозами, исходящими от «своих». Система обнаружения вторжений Cisco Intrusion Detection System (IDS) может защитить сеть по периметру, сети взаимодействия с бизнес-партнерами и все более уязвимые внутренние сети в режиме реального времени. Система использует агенты, представляющие собой высокопроизводительные сетевые устройства, для анализа отдельных пакетов с целью обнаружения подозрительной активности. Если в потоке данных в сети проявляется несанкционированная активность или сетевая атака, агенты могут обнаружить нарушение в реальном времени, послать сигналы тревоги администратору и заблокировать доступ нарушителя в сеть. Помимо сетевых средств обнаружения вторжений компания Cisco также предлагает серверные системы обнаружения вторжений, обеспечивающие эффективную защиту конкретных серверов в сети пользователя, в первую очередь серверов WEB и электронной коммерции. Cisco Secure Scanner представляет собой программный сканер промышленного уровня, позволяющий администратору выявлять и устранять уязвимости в сетевой безопасности, прежде чем их найдут хакеры.

pic

5. Управление политикой безопасности

По мере роста и усложнения сетей первостепенное значение приобретает требование наличия централизованных средств управления политикой безопасности, которые могли бы управлять элементами безопасности. Интеллектуальные средства, которые могут обозначать состояние политики безопасности, управлять ею и выполнять аудит, повышают практичность и эффективность решений в области сетевой безопасности. Решения Cisco в этой области предполагают стратегический подход к управлению безопасностью. Cisco Secure Policy Manager (CSPM) поддерживает элементы безопасности Cisco в корпоративных сетях, обеспечивая комплексную и последовательную реализацию политики безопасности. С помощью CSPM клиенты могут определять соответствующую политику безопасности, внедрять ее в действие и проверять принципы безопасности в работе сотен межсетевых экранов Cisco Secure PIX и Cisco IOS Firewall Feature Set и агентов IDS. CSPM также поддерживает стандарт IPsec для построения виртуальных частных сетей VPN. Кроме того, CSPM является составной частью широко распространенной корпоративной системы управления CiscoWorks2000/VMS.

Комплексное решение Cisco по обеспечению безопасности корпоративных сетей — архитектура Cisco SAFE

SAFE — комплексная, интегрированная архитектура безопасности, разработанная для архитектуры голосовой связи, видео- и интегрированных данных Cisco AVVID. Архитектура SAFE состоит из модулей, удовлетворяющих различные потребности каждой сетевой области. Используя архитектуру SAFE, менеджеры по безопасности могут не думать о перепланировке всей архитектуры безопасности каждый раз, когда к сети добавляется новая служба. Благодаря модульным шаблонам защита каждой новой службы по мере возникновения необходимости в ней и ее интеграция в общую архитектуру сети становятся проще и экономичнее.
SAFE — первая в индустрии архитектура, содержащая рекомендации в отношении того, какие именно решения безопасности должны включаться в определенные сегменты сети и почему они должны быть включены. Каждый модуль архитектуры SAFE обеспечивает максимальную эффективность электронного бизнеса, позволяя предприятиям поддерживать безопасность и целостность данных и сервисов.

Программы SAFE включают:

• партнеров по службам безопасности Cisco, обладающих опытом в переводе требований бизнеса на язык рабочих принципов безопасности
• программы сертификации Cisco для технологии и продуктов безопасности, чтобы партнеры Cisco могли планировать, проектировать и внедрять архитектуры безопасности для своих клиентов
• спектр опций безопасности от комплексных услуг внешних организаций до консультационных услуг по разработке плана операций и выполнению регулярных оценок статуса безопасности (SPA)5.

Высокий интерес к интернет-банкингу со стороны клиентов обусловлен прежде всего более привлекательными условиями по сравнению с предлагаемыми в традиционных банках. Поскольку затраты на организацию банковского обслуживания через Интернет считались несоизмеримо малыми, западные онлайн-банки изначально предложили своим будущим клиентам очень высокие процентные ставки по депозитам.

Современные банковские организации успешно осваивают современные финансовые технологии. В качестве примера можно привести WАР-банкинг — удаленное управление счетами посредством мобильного телефона, оснащенного специальным программным обеспечением на базе протокола беспроводной передачи данных. Однако пока банки не выделяют WАР-банкинг в отдельный вид услуг. Таким образом, клиенту, желающему проводить банковские операции только по мобильному телефону, все же придется подключиться к системе интернет-банкинга.
Учитывая все преимущества взаимодействия с клиентом через Интернет, некоторые банки предлагают усеченный вариант интернет-банкинга. Например, только просмотр выписок по счету. Эта бесплатная услуга предоставляется клиентам через сайт банка. Если же клиент еще не имеет доступа в Интернет, банк может за сумму, существенно меньшую по сравнению с тарифами обычных провайдеров, предоставить клиенту возможность посещения сайта банка, а также подключить к электронной почте.

Все это говорит о том, что в ближайшее будущее для банков Узбекистана развитие интернет-банкинга станет одним из приоритетных видов деятельности.

1 Jupiter Research (www.jup.com).
2 SiliconValley.com.
3 Михаил Рамзаев. Интернет-банкинг: медленно, но верно. 2002. CNews.ru.
4 CNews.ru.
5 Copyright Cisco Systems Inc.
http://www.cisco.com/go/security

Orphus system
Подписывайтесь на канал infoCOM.UZ в Telegram, чтобы первыми узнавать об ИКТ новостях Узбекистана
В Telegram
В WhatsApp
В Одноклассники
ВКонтакте