Комментарии 26
Доступ к данным организован по ролевой модели. То есть сотрудник не пользуется информацией, которая не связана с его текущей задачей.
Это была бы уже не ролевая модель, а атрибутная. С учётом того, что вы пишете далее, тут правильнее было бы написать «типовые задачи», а не «текущая задача».
Возможно, будет интересно: https://en.m.wikipedia.org/wiki/XACML
Берем кредит в банке.
Данные передаются в спарк. На следующий день все в стране знают ваш телефон и начинают обзвон с предложениями.
Судя по многочисленным утечкам — никак.
Все это херня… Все эти сказки про то, что ограничен доступ и все отслеживается и блокируется. Оно только в отчетах для инвесторов присутствует.
В любой организации работают целые департаменты it, котоые, на минуточку разрабатывают ну очень много разного софта и большинство это интеграции с внешними или внутр системами. Как организованы обмены между микросервисами одному богу микросервисов известно. Как работают госконторы, с цифровизацией и нанотехнологиями в воображении их руководства тоже известно. Достаточно посетить оные очно или онлайн.
Откуда эти старые представления о том, что злоумышленник скопирует базу данных на флюшку!? Клюква какая то и профанация.
Зачем злоумышленнику подставлять себя, если он имеет дрступ к вполне себе годным ресурсам для разработки, тестирования и прочим отчетам?
С ростом количества микросервисов в качестве технологий обмена информацией и межсистемными интеграциями растёт степень уязвимости. Это проблема экосистем. Когда вовне стоит заслон а сбоку открыта дверь. Так как никто не проверяет, да и физически не сможет проверить весь зоопарк связей внешних и внутренних. И их количество все множится.
Помножим на качество кода и получим то, что есть.
И винить разработчиков тут нельзя полностью. Да. Они совешают ошибки.
Но ошибки эти от того, что такие как автор и прочий бизнес постоянно куда то скачут. Постоянно все в аврале. Начали одно, бросили, срочно другое надо еще вчера, потом третье и т.д. Про первое уже забыли и отдали на доработку какому нибудь студенту. В итоге получаем дыры, баги и корявый функционал.
Зато мы блокировали usb и скриншоты (бред)
Не все здесь херня, но частично. Рассчитано на тех, кто не работал в финтехе.
Да все херня. Ещё раз повторюсь.
Никто не в состоянии отследить все интеграционные связи. Эт я только про боевой контур. А есть еще аналитический и девопс… Там как правило, суточные клоны… На которых экспериментируют… Наворачивают какие нибудь модные блокчейны., ага…
И другие типа песочницы. Ясен пень, рядовому клерку просто так не слить данные.
Но инсайдеру какому нибудь…
И чем больше контора, тем больше бесхзных ресурсов типа виртуалок… За которыми никто не следит.
Большинству народа хоть что рассказывай, а они как слали пароли почтой, так и шлют…
Все эти "суперпупер" методы защиты не будут значить ничего, например, в случае слияния банков или интеграций на системном уровне… Дыра на дыре.
Рядовому клерку может быть и никак, но рядовому прогеру — нефик делать.
Несмотря на 152ФЗ и иже с ним сопоставить базу с базой и таблицу с таблицей и затем накатить на результат ключ расшифровки — тоже нефик делать.
Даже если конкретному прогеру по плану защиты нефик делать вот та том-то серваке — а на нем лежит то, над чем он работает и что должен получать для решения задачи.
Сисадмины еще проще. Пароль от базы — дак он ее недавно бэкапил или восстанавливал. Файлы базы — дак вот они.
Начальник прогеров — ну тут все понятно.
Начальник начальника — он скорее всего не технарь вообще и два запроса не вяжет, но у него есть телефонное право и право формировать/реформировать ИТ-отдел.
А если пожар и его нужно еще вчера потушить — держи доступ и давай быстрее.
Так что да, дыра на дыре.
Во-вторых, результаты запроса не «вынести». Все рабочие станции защищены от создания скриншотов и оборудованы системой контроля периферийных портов, которая блокирует подключение любого стороннего устройства и отслеживает копирование на незаблокированные. Данные даже на печать нельзя отправить без разрешения и внешнего контроля.
Как всегда самые изощренные методы защиты абсолютно бесполезны для защиты информации от
Утечки изредка все же происходят. Но события, отмеченные Центральным Банком, связаны в основном с работой подрядчиков, которые не соблюдали требования безопасности.Людям чьи данные были скомпрометированны вот как то глубоко пох кто это сделал- банк который скопировал их паспорт или подрядчик которому этот банк его отдал. Результат -один, так же как и ''виновный''. И бороться в такой ситуации можно только наказывая всю цепочку одинаково, вне зависимости от того кто виноват.
один из крупных банков вполне себе интересовался «специальной вебкамерой», которая бы автономно определяла, что манагер пытается щёлкнуть мобилой экран и слала предупреждение СБшникамУже есть подобные работающие решения. Распознавание образов, бигдата и вот это все. Главное, что требуется — хорошее покрытие офисов внутренними камерами наблюдения в HD. Т.е. задействована не вебкамера на рабочей станции, а внутренняя СВН.
Ну, о степени осведомленности ЦБ и достоверности информации об инцидентах мы можем судить по реакции на последние утечки, когда после утечки данных тысяч клиентов того же Сбера официально было заявлено лишь о компрометации данных 200+ клиентов. Зато вся страна потом получала звонки от мошенников по информации из утекшей базы.
То есть сотрудник не пользуется информацией, которая не связана с его текущей задачей. Например, операционист в клиентском зале не сможет запросить информацию о клиенте из другого филиала, даже получив в руки его паспорт.То есть сценарий «клиент с паспортом пришел за услугой в другой филиал» вы считаете фантастическим?
Но банки вполне успешно борются с таким мошенничеством через партнерство с крупными мобильными операторами.
Отлично, но почему при этом отказываться от двуфакторной авторизации БЕЗ этих унылых мобильных телефонов? У банкстеров кого-то держат в заложниках и требуют всё привязывать к телефонному номеру??
И да, не обязательно перевыпускать SIM карту — можно поставить рядом с «клиентом» более мощную «базу» MITM
Например, операционист в клиентском зале не сможет запросить информацию о клиенте из другого филиала, даже получив в руки его паспорт..
Прям Сбербанк №2 какой-то… Т.е, уехал я из своего региона в поездку, случилась неприятность, и мне не помогут в другом филиале?
история несколько другая, но тем не менее
занесло меня в Крым в 2016
предварительно у местных уточнял, есть ли филиалы, какие особенности, могу ли платить или снимать наличку с карт банка ТОП5
ответы были, что филиалы хотя и есть, снять нет, не сможешь, но переводы без проблем
но проблемы таки возникли, при первой же попытке использовать Интернет-банк карту и счет мне заблокировали
милые сотрудницы банка и колл-центра любезно сообщили, что судя по моему IP, была попытка входа в личный кабинет из Крыма и поэтому я должен явиться лично в отделение банка в родном городе с паспортом
Вы можете никуда не уезжать.
Например Альфа прекрасно умеет самостоятельно менять кодовое слово юзера, в результате чего юзер лишается поддержки (если повезет), или доступа к своим деньгам (если не повезет).
Например, операционист в клиентском зале не сможет запросить информацию о клиенте из другого филиала, даже получив в руки его паспорт.
Где карту открывали, туда и идите?
В итоге клиент был просто послан банком в пешее путешествие.
Так что не все описанное в той статье соответствует истине.
Защита персональной информации клиентов банка: как она работает?