Pewne jak w banku

Bank to instytucja, dla której termin "bezpieczeństwo" jest równie ważny, jak "zaufanie". Bez tych dwóch czynników nikt nie powierzy swoich pieniędzy takiej instytucji. Jako że zaufanie zależy bardziej od działów marketingu i public relations, skoncentruję się na bezpieczeństwie.

Publikacja: 30.01.2004 12:15

Bezpieczeństwo to termin bardzo pojemny. Zależy nam na bezpieczeństwie ulokowanych w banku środków, na bezpiecznych transakcjach między bankami, a także na bezpiecznym dostępie do swoich pieniędzy. Kiedyś głównym czynnikiem zabezpieczania banku były wymyślne systemy alarmowe, wyszkoleni strażnicy, szafy pancerne i tysiące informacji o rachunkach spisane na papierze. Wzrost liczby rachunków, coraz więcej transakcji wymusiły stosowanie coraz bardziej zaawansowanych środków do ich księgowania i przechowywania.

Dlatego też nikogo nie dziwi, że to właśnie banki są awangardą nowoczesnej myśli technicznej. Z biegiem czasu coraz więcej operacji bankowych wykonywanych jest wyłącznie poprzez elektroniczne kanały komunikacji i informacja przestaje być przechowywana w formie innej niż elektroniczna. Banki internetowe są w tej ewolucji przykładem instytucji, która nie posiada oddziałów i wszystkie transakcje są zawierane elektronicznie.

Tak, więc obecnie to już nie tylko strażnicy, systemy alarmowe, sejfy stanowią o bezpieczeństwie wkładów zgromadzonych w banku. Coraz częściej to działy informatyki stają się najważniejszym ogniwem w łańcuchu ochrony danych. Dlatego też to tutaj koncentrują się działania mające zabezpieczyć informację - najcenniejszą, obok pieniędzy, wartość w banku. Walka odbywa się na wielu polach: zabezpieczenie danych, zabezpieczenie kanałów ich transmisji, dostępu oraz zapewnienie jak najwyższej ich dostępności.

Pierwszym i najważniejszym krokiem jest stworzenie spójnego i pewnego systemu ochrony danych. W przypadku katastrofy może okazać się, że system komputerowy został zniszczony i tylko posiadanie kopii danych umożliwia przywrócenie działalności firmy. Całkowita lub nawet częściowa utrata danych w banku praktycznie prowadzi do jego natychmiastowego upadku, bo niemożliwe jest prowadzenie banku bez pełnej informacji o stanie kont, liście kredytobiorców i stanie jego aktywów. Dlatego też system ochrony danych musi składać się z kilku wzajemnie powiązanych elementów. Najważniejszą jego częścią jest system komputerowy odpowiedzialny za tworzenie kopii bezpieczeństwa, odzyskiwanie z nich danych w wypadku awarii, a także za zarządzanie nośnikami danych. Aby system zapewniał jak najlepszą ochronę danych, należy zaprojektować i wdrożyć odpowiednie procedury ochrony danych, zwane polityką backupową. Polega ona na określeniu stopnia krytyczności poszczególnych danych. Na tej podstawie definiowane jest, jak często powinna być wykonywana ich kopia bezpieczeństwa i jak długo powinna być przechowywana. W przypadku dużej ilości danych polityka backupowa staje się bardzo rozbudowanym harmonogramem i najlepszym rozwiązaniem jest posiadanie jak najbardziej zautomatyzowanego systemu backupu, który potrafi nie tylko wykonać kopie bezpieczeństwa, ale także zarządzać nośnikami danych.

System backupu zapewnia bezpieczeństwo danych, ale ich odzyskanie w razie awarii może zająć wiele godzin. Pełne przywrócenie systemu do prawidłowego działania w skrajnym przypadku może być możliwe nawet po kilku dniach. Dla instytucji finansowej zaś każda minuta przestoju powoduje ogromne straty, które w przypadku kilkudniowego przestoju mogą doprowadzić ją do bankructwa lub utraty rynku i klientów. Sprzęt komputerowy nawet najwyższej klasy może czasem ulec awarii. W takich przypadkach przestój jest nieunikniony... chyba że został on zduplikowany, a aplikacja potrafi przenieść się na zapasową maszynę. Aby uzyskać taką funkcjonalność buduje się klastry. Jest to specjalne oprogramowanie, które pozwala połączyć dwa lub więcej serwerów w jeden system. Każdy z jego elementów jest nazywany węzłem i w razie awarii głównego węzła, zapasowy przejmuje jego funkcję nie powodując przerwy w działaniu systemu. W przypadku rozbudowanych systemów zdarza się, że trzeba stworzyć kilka niezależnych klastrów. Oczywiście, znacząco zwiększa to koszty, ale niektóre systemy klastrów pozwalają poważnie je zmniejszyć poprzez budowę klastrów wielowęzłowych. W takim przypadku każdy z węzłów obsługuje pojedynczą aplikację, a jeden zapasowy serwer w razie awarii któregokolwiek z nich przejmuje jego funkcję.

Poważnym zagrożeniem łączonym bardzo często niesłusznie tylko z Internetem są osoby pragnące uzyskać nieautoryzowany dostęp do systemu, zwane potocznie hackerami. Przeważają wśród nich amatorzy, którzy nie są w stanie spowodować strat ani nawet uzyskać takiego dostępu. Ale istnieje niewiele osób posiadających dużą wiedzę i praktykę nie tylko informatyczną, ale także psychologiczną. Próbują one czy to dla sprawdzenia siebie, czy też dla korzyści materialnych uzyskać dostęp do systemów informatycznych. Aby przeciwdziałać takim sytuacjom należy bezwzględnie oddzielać wewnętrzne systemy komputerowe zaporami ogniowymi (ang. firewalls), ograniczać do niezbędnego minimum liczbę usług sieciowych, które mogą być udostępnione pracownikom. Ponadto należy wymusić regularną zmianę haseł do systemów komputerowych. Dobrze sprawdzają się także systemy aktywnego wykrywania włamań i prób włamań (ang. IDS - Intrusion Detection Systems).

Aby mieć pewność, że w razie awarii system zadziała według założeń, a pracownicy będą wiedzieli, jakie działania należy podjąć, niezbędne jest regularne testowanie systemu oraz planów awaryjnych, stworzonych na takie okazje. Każdy system od momentu zaprojektowania podlega ewolucji i rozbudowie. Ważne jest więc, aby wszystkie zmiany w nim dokonane miały swoje odzwierciedlenie w działaniach przygotowanych na wypadek awarii i aby każdy dodatkowy element systemu został gruntownie przetestowany przed oddaniem go do użytku.

Reasumując, ochrona danych to działanie, które rozpoczyna się już na etapie projektowania systemu i jest wciąż aktualizowane oraz kontrolowane na każdym poziomie od pojedynczej stacji roboczej zaczynając, a na głównych serwerach kończąc. Jest to przygotowanie się do zapobiegania skutkom wypadków losowych, przeciwdziałanie zewnętrznym i wewnętrznym czynnikom dążącym do zniszczenia lub modyfikacji danych. I jest to aktywne śledzenie nowo powstających zagrożeń i opracowywanie metod walki z nimi.

IT
Technologie
Huuuge: „skupy akcji nie są priorytetem”. Mamy komentarz analityka
Materiał Partnera
Zasadność ekonomiczna i techniczna inwestycji samorządów w OZE
Technologie
Creotech dzieli biznes. Kwanty wejdą na giełdę
Technologie
Ruszyła karuzela nazwisk kandydatów na nowego prezesa UKE
Technologie
Miliardy na cyberochronę
Technologie
Co daje siłę walorom Orange Polska
Technologie
Podmiot z Francji chce zainwestować w DataWalk. Akcje drożeją