DeviceLock в ВТБ24

28 октября 2013 года компания DeviceLock сообщила о приобретении банком ВТБ24 одноимённого решения (DeviceLock) для минимизации утечки информации и предотвращения внедрения деструктивных программ.

Ход проекта

В Банке применяется подход, который позволяет минимизировать риски, связанные с нарушением информационной безопасности, на всех стадиях жизненного цикла информационной системы и на всех уровнях информационного взаимодействия.

«Порты и внешние устройства ввода/вывода информации являются одним из основных источников угроз утечки информации и внедрения деструктивных программ в любую информационную систему. Для минимизации указанных угроз необходимо использовать средства управления и контроля использования портов и устройств ввода/вывода. До внедрения DeviceLock контроль несанкционированного использования портов и устройств ввода/вывода требовал значительных усилий и был недостаточно эффективен,- - поведал Дмитрий Шпонько, начальник отдела защиты информации УИБ ДБ Банка ВТБ24. - На момент приобретения Банком системы DeviceLock на российском рынке не было альтернативных решений с похожим функционалом. В ходе эксплуатации DeviceLock в Банке система зарекомендовала себя как функциональное и надежное решение для централизованного управления доступом и контроля использования внешних устройств».

Оценка и контроль состояния информационной безопасности и защищенности информационных систем Банка является неотъемлемой частью общего процесса контроля функционирования информационной системы Банка. При проведении оценки состоянии информационной безопасности Банк ориентируется на положения национальных стандартов Российской Федерации, стандартов Банка России, международных стандартов по обеспечению информационной безопасности, а также на требования и рекомендации по обеспечению информационной безопасности таких федеральных органов как ФСБ РФ и ФСТЭК.

Ежегодно в рамках общего аудита в Банке проводится аудит и оценка состоянии информационной безопасности внешними аудиторскими компаниями.

Для поддержки на должном уровне состояния информационной безопасности в Банке применяется комплексный подход, который позволяет минимизировать риски, связанные с нарушением информационной безопасности, на всех стадиях жизненного цикла информационной системы и на всех уровнях информационного взаимодействия.

«Мы используем риско-ориентированный и процессно-ориентированный подходы к функционированию и совершенствованию системы обеспечения информационной безопасности в Банке. Порты и внешние устройства ввода/вывода информации являются одним из основных источников угроз утечки информации и внедрения деструктивных программ в любую информационную систему. Для минимизации указанных угроз необходимо использовать средства управления и контроля использования портов и устройств ввода/вывода. До внедрения DeviceLock блокировка возможности несанкционированного использования портов и устройств ввода/вывода осуществлялась путем или физического отключения тех или и иных интерфейсов, или блокированием их на уровне BIOS. В связи с ростом парка компьютерной техники и их территориальной удаленностью, а также в связи с появлением периферийных устройств (принтеры, сканеры, WEB-камеры и прочие), имеющих USB-интерфейс, управлять процессами подключения и отключения устройств такими способами стало практически невозможно. Соответственно выросла актуальность угроз, связанных с утечкой информации, и остро встал вопрос о необходимости введения в ИС Банка системы централизованного управления, мониторинга и контроля внешних устройств.» - рассказывает Андрей Геннадьевич Долговых, заместитель начальника отдела защиты информации Управления ИБ ДБ Банка ВТБ24 (ПАО).

На этапе выбора Банком решения по управлению и контролю использования портов и устройств ввода/вывода альтернативы системе DeviceLock на российском рынке фактически не было. Опыт эксплуатации DeviceLock в Банке показал, что этот продукт является достаточно функциональным и надежным. С внедрением DeviceLock реализация политики информационной безопасности Банка в части управления портами и устройствами ввода/вывода была существенно оптимизирована, в том числе был разработан ряд внутренних регламентных документов под этот процесс.