Forum Technologii Bankowych | Wydanie Specjalne | Kompleksowa ochrona

Współcześni konsumenci do korzystania z usług finansowych używają nowych sposobów i kanałów. Dla nich to wygoda, dla banków niespotykane dotychczas niebezpieczeństwa. Analitycy Accenture w opracowaniu „Securing The Digital Economy, Reinventing the Internet for Trust” wskazali, że kwestie bezpieczeństwa powinny być uwzględniane już w fazie projektowania usług. Wymaga to dodatkowych inwestycji, ale nakłady te są niczym w porównaniu do kar, odszkodowań, kosztów procesów sądowych i utraty zaufania konsumentów, które prędzej czy później dotkną tych, którzy dopuszczą się zaniedbań w obszarze cyberbezpieczeństwa.

Jak budować i rozwijać bezpieczny system IT?

Grzegorz Siewruk, ekspert zabezpieczeń systemów teleinformatycznych w Orange Polska podkreśla, że w bankowości istotną rolę odgrywa oprogramowanie biznesowe. Jego budowa i bezpieczny rozwój zależą bardziej od poziomu dojrzałości organizacji i odpowiedniego doboru procesów w firmie niż od wykorzystywanych narzędzi. – Przy tworzeniu oprogramowania bezpieczeństwo IT powinno być uwzględniane na wszystkich etapach cyklu życia systemu, bardzo ważne jest przeprowadzanie statycznej weryfikacji kodu źródłowego oraz wykorzystywanych rozwiązań Open Source. Testy powinny być wykonywane tak często, jak tylko jest to możliwe, przynajmniej podczas wprowadzania zmian w kodzie źródłowym. Te mechanizmy są bardzo skuteczne w wykrywaniu podatności bezpieczeństwa już na pierwszym etapie wytwarzania oprogramowania. Nie należy też zapominać o cyklicznych testach penetracyjnych, wykonywanych przez odpowiednio wykwalifikowany zespół – podkreśla.

Niezbędne stają się także cykliczne szkolenia programistów, dzięki którym osoby tworzące oprogramowanie zyskują umiejętności identyfikowania i usuwania podatności bezpieczeństwa. – Kluczowe znaczenie ma jednak synergia pomiędzy zespołami odpowiedzialnymi za bezpieczeństwo IT a programistami oraz wypracowane procedury – twierdzi Grzegorz Siewruk. Weryfikacja bezpieczeństwa aplikacji powinna zostać uzupełniona o testy dynamiczne, dużo bardziej skuteczne od statycznych. Nie można też rezygnować z okresowych testów penetracyjnych, wykonywanych przez odpowiednio wykwalifikowanego testera. Są one najbardziej cennym źródłem informacji o stanie bezpieczeństwa systemu. Organizacje mają dziś do wyboru bardzo wiele komercyjnych i darmowych programów pozwalających na weryfikację bezpieczeństwa aplikacji.

Nie ma rozwiązań idealnych dla wszystkich

Krzysztof Białek, dyrektor Marketingu i Rozwoju Produktów Cyberbezpieczeństwa w Orange Polska zwraca uwagę na coraz większe znaczenie monitorowania aktywności na urządzeniach wykorzystywanych przez pracowników. Zmiana modelu pracy na zdalny powoduje, że coraz więcej firm – w tym banków – sięga po rozwiązania klasy surveillance, pozwalające na kontrolę działań realizowanych przez pracowników z użyciem służbowych komputerów.