Банковская информационная система

 

Технология организации отдаленного доступа в Банковскую информационную систему

Благодаря возможностям коммуникационных сетей многие банки оснащаются системами удаленной работы с платежными (финансовыми) справочно-информационными документами. Подобные системы обеспечивают возможность бесконтактной работы клиента с банками и называются системами «клиент-банк».

Модуль «клиент» должен быть простым и удобным в работе, так как пользователи таких систем не профессионалы, а самые обычные операционисты и бухгалтеры, которым необходимы:

• удобный и простой интерактивный интерфейс пользователя;
• простая инсталляция системы;
• надежные коммуникации;
• автоматические регламентные работы;

« поддержка различных печатающих устройств;

• удобная диагностика движения финансовых документов;
• удобная работа со вспомогательными базами данных, такими, как базы с реквизитами банков России, СНГ, постоянных предприятий-партнеров;
• большое количество поддерживаемых форм финансовых документов и шаблонов их заполнения;
• надежные, способы защиты данных.

Вычислительная система банка представляет собой выделенный сервер, оснащенный устройством передачи данных (УПД) и соответствующими коммуникационными каналами, дающими возможность одновременной работы нескольких клиентов. На этом сервере установлено программное обеспечение, обслуживающее УПД, системное программное обеспечение и модуль «банк» системы «клиент-банк».

Модуль «банк» обеспечивает:

• аутентификацию клиента;
• прием информации от клиента;
• проверку электронной подписи клиента;
• расшифровку принятой информации;
• передачу информационных сообщений в соответствующие службы;
• обработку запросов клиента, формирование по ним запросов к БИС и вспомогательным базам данных, формирование ответа клиенту;
• передачу информации клиентам;
• передачу клиентам обновлений к вспомогательным базам данных;
• передачу клиентам обновлений к программному обеспечению модуля «клиент»

Обязательным условием при построении модуля «банк» является его тесная интеграция с БИС. В то же время необходимо обеспечить дополнительные меры защиты как банковской сети, так и БИС от несанкционированного доступа и вредительства. Банк передает сообщения клиента в соответствующие службы, а финансовые документы направляются для обработки в БИС. [11, c. 24]

Рис. 6. Подсистема «клиент» системы «клиент-банк»

Функционирование подсистем «клиент» и «банк» соответственно в случае использования технологии «клиент-сервер» представлено на рис. 6. и 7.

Рис. 7. Подсистема «банк» системы «клиент-банк»

При использовании технологии «клиент-сервер» для передачи информации можно применять практически любую систему электронной почты, так как в данном случае их возможности (например, роутинг) практически не реализуются и критичными являются только скорость и надежность передачи пакета информации. В качестве коммуникационного средства может быть использовано и терминальное подключение (например, telnet), однако для этого необходимо присутствие оператора на стороне клиента в течение всего сеанса связи.

Достоинствами технологии «клиент-сервер» являются:

• относительная простота программного обеспечения (ПО) на стороне банка;
• высокая степень защиты передаваемой информации;
• возможность интеграции ПО клиента с другими типами программ для автоматизированной генерации платежных документов;
• простота интеграции ПО банка с БИС;
• возможность реализации большого набора дополнительных вспомогательных функций, как на стороне банка, так и на стороне клиента.

К недостаткам такой организации банковских систем «клиент-банк» можно отнести:

• затрудненную диагностику движения финансового документа;
• трудности с вводом новых форм документов;
• необходимость рассылки всем клиентам обновления к ПО «клиент» посредством банка;
• необходимость репликации вспомогательных баз данных банка к клиентам.

Вся информация передается в банк сразу же по мере ввода ее клиентом. Протокол терминала должен обладать возможностью использования каких-либо форм ввода. Наиболее подходящим решением для этой цели является HTTP (Hyper Text Transfer Protocol - протокол передачи гипертекста), служащий для передачи документов в формате языка HTML (Hyper Text Markup Language - язык гипертекстовых меток).

Вид документа в формате языка HTML зависит от марки броузера, но сохраняет неизменным свое содержание и структуру.

Рис. 8. Орган из а и ия информационной системы банка в Интернет.

 

Организация такой системы позволяет воспользоваться преимуществами режима on-line для оперативного получения справочной информации (выписки со счета, курсы валют, ставки по вкладам и пр.).

Для защиты получаемой информации от перехвата в этой подсистеме используется модуль кодирования информации SSL v3.0. В качестве программного обеспечения у клиента желательно использовать последние версии программ - броузеров фирм Microsoft и Netscape.

 Технология реализации банковских процессов через сеть интернет

Для работы банка в сети Интернет необходимо использовать выделенный канал с пропускной способностью 64 Кбит/с или более. Требования к необходимому оборудованию, как правило, определяются исходя из предполагаемого количества документов в день. Основную нагрузку несет на себе сервер (возможно, несколько серверов), на котором устанавливается соответствующее программное обеспечение.

Определенным оптимизационным критерием интернет-банкинга является удешевление цены одной транзакции в сети - порядка нескольких центов, а это значит, что перевод даже части клиентов в Интернет приведет к значительному снижению расходов, в том числе к сокращению числа банковских филиалов. [17, c.115]

Прямой банкинг в Интернете сейчас осуществляют около ста банков (подавляющее большинство из них — американские). В перечень их услуг могут входить удаленное управление счетом (набором счетов), включая проверку состояния счета, оплату счетов и перевод средств с одного счета на другой (например, со срочного депозита на текущий «карточный» счет и обратно), а также предоставление клиенту информационной поддержки и сопутствующих услуг.

 Системы для Интернет-банкинга базируются на Web-технологиях, то есть у клиента размещается обычный Web-броузер (Microsoft Internet Explorer или Netscape Navigator), в банке - Web-сервер, в рамках которого исполняется Web- приложение, которое, с одной стороны, динамически формирует HTML- странички для клиентов (то есть, компьютер пользователя несет ответственность только за правильное отображение HTML-страниц броузером. HTML-страницы формируются динамически в ответ на запрос пользователя), а с другой стороны - общается с сервером БД. Протокол HTTP, на котором www- сервер выдает HTML-страницы в ответ на запрос, использует SSL. Защищенный протокол связи SSL - это стандартный криптографический протокол для обеспечения конфиденциальности и аутентичности обмена данными по протоколам Интернет высокого уровня, таким как http и ftp. SSL широко используется для защиты передачи таких данных, как информация о клиенте и его финансовых реквизитах при онлайновых сделках.

Рис. 9. Взаимодействие клиента и банка с использованием защищенного канала Web - броузера

Платформами для создания таких Web-приложений являются: Apache, Microsoft Internet Information Server, Netscape Enterprise Server, Oracle Application Server и др. Подавляющее большинство систем для Интернет- банкинга построено именно по такой схеме (рис. 9.).

Рис. 10. Трехзвенная архитектура взаимодействия клиента и банка

 

Определенным решением вышеприведенных проблем явилась Java- технология и трехзвенная архитектура: клиент - сервер приложения - сервер БД. Примером здесь может служить система «iBank2», приведенная на рис. 10.

Специальный Java-апплет выделяет от ОС и аппаратной части клиентского компьютера специальную среду, содержащую разветвленные библиотеки на все случаи жизни и, в принципе, Java-апплет является виртуальной машиной, исполняемой на клиентской компьютере. «Клиент» и его Java-апплет в системе «iBank2» отвечают за: интерфейс пользователя, формы документов, механизм электронно-цифровой подписи, защита трафика, протокол взаимодействия с сервером приложения.

Сервер приложения в банке отвечает за: бизнес-логику, многопоточный сервер, механизм электронно-цифровой подписи, защиту трафика, вспомогательный web-сервер, протокол взаимодействия с клиентом.

Сервер БД в банке отвечает за: хранение документов, ключей клиентов, все проводки для формирования выписок, все справочники.

Вышеописанное можно рассмотреть на примере системы «iBank2» (рис. 11.) На рисунке АРМ - автоматизированное рабочее место, БИС - банковские информационные системы: DiasoftBank, RS-Bank, Новая Афина, Ва-Банк, Инверсия, Кворум и ПрограмБанк.

Рис. 11. Работа в подсистеме банк-клиент в системе «iBank2»

 

Глава 3 Проблемы и перспективы развития банковских информационных технологий в банковской деятельности

3.1 Организация защиты информации в банковской информационной системе

 

Наряду с преимуществами информационные системы таят в себе и опасности, среди которых возможность несанкционированного доступа к информации и даже осуществления операций. Информационная безопасность является важнейшим аспектом информационных технологий и направлена на защиту как клиентской, так и внутренней информации от несанкционированных действий.

Развитие информационных технологий в кредитных организациях привело к тому, что в настоящее время информационные системы стали частью организации в целом, ее кровеносной и нервной системой. Любой сбой в движении информационных потоков или нарушение правил доступа к ним приводят к проблемам в работе всей организации и, как следствие, к дополнительным расходам или упущенной выгоде. Сохранение информационной системы в рабочем состоянии и полный контроль ее использования - главная задача ИТ-департамента организации. Для этого создаются системы информационной безопасности. Их цель - предотвращение и устранение исключительных ситуаций в работе информационных систем.

Рассматривая информационную безопасность, следует иметь в виду именно единую систему, включающую в себя на только комплекс мер по предотвращению и выявлению нарушений, но и механизмы восстановления работоспособности и снижения ущерба, полученного в результате исключительного события. Данный параграф рассматривает основные правила построения такой системы. В ней обсуждаются причины различных сбоев и нарушений в системе, методы защиты и восстановления, а также предлагается методика оценки затрат на создание системы информационной безопасности.

Остановимся на основных группах таких событий более подробно. В моей классификации их три: нарушения конфиденциальности, изменения в системе, утрата работоспособности.

Нарушения конфиденциальности

Причиной возникновения проблем данной группы является нарушение движения информационных потоков или ошибки в системе доступа. Из-за того, что данные виды нарушений никак не влияют на состояние системы, выявить их очень сложно. Только небольшое число подобных нарушений можно вычислить в результате анализа файлов протокола доступа к отдельным объектам системы.

Для иллюстрации рассмотрим наиболее часто встречающиеся примеры нарушения доступа к информации:

* ошибки администрирования:

- неправильное формирование групп  пользователей и определение  прав их доступа;

- отсутствие политики формирования  паролей пользователей. При этом  до 50% пользователей используют простые, легко подбираемые пароли, такие, как "123456", "qwerty" или собственное имя;

- ошибки в формировании итоговых  и агрегированных отчетов и  доступа к ним. Примером может  являться отчет по выпискам  из счетов банка или сводный  бухгалтерский журнал, которые хранят  всю информацию по операциям  кредитной организации и формируются в бухгалтерии, где за доступом к данным отчетам часто не ведется контроль;

- наличие открытого доступа  для представителей сторонней  организации, выполняющей какие-либо  подрядные работы;

* ошибки проектирования информационной  системы:

- использование недостаточно защищенной  среды для разработки информационной  системы. Очень часто, особенно для  систем, располагаемых на локальных  компьютерах, доступ к информации  можно получить не через интерфейс  программы, который требует пароля, а напрямую читая из таблиц базы данных;

- ошибки алгоритмов доступа  к данным. Особенно это касается  разработки систем криптозащиты, где часто вместо дорогостоящих  систем в целях экономии используются  собственные разработки, только  эмитирующие систему защиты;