Bankový informačný systém
Bankový informačný systém zabezpečuje hlavné biznis procesy banky, akými sú najmä správa účtov klientov, realizácia prevodných príkazov a mnohé ďalšie operácie súvisiace s poskytovanými službami. Takýto informačný systém musí spĺňať požiadavky zákona č. 483/2001 Z. z. o bankách, ktorý ukladá bankám povinnosť, raz ročne zabezpečiť overenie spoľahlivosti informačného systému, ktorým sú spracúvané bankové údaje ako aj zabezpečiť ochranu elektronicky spracovaných informácií pred zneužitím, zničením, poškodením alebo stratou.
Súčasná situácia na Slovensku v oblasti bankových informačných systémov je rôznorodá. Napriek tomu, že naše komerčné banky sú relatívne mladé a v čase keď začínali budovať svoje informačné systémy mohli vychádzať iba z aktuálnych technických a programových možností, kedy sa ešte nepočítalo s možnosťami aké poskytuje dnešná doba. Oproti situácii z pred desiatich rokov sa zmenil najmä prístup k využívaniu služieb banky vďaka vplyvu a rozvoju internetu. Dôsledkom bol presun značnej časti klientov od prepážok bankových pobočiek do pohodlia ich domova a všade tam kde je prístupný internet, alebo signál mobilného telefónu. To samozrejme kladie iné a náročnejšie požiadavky na informačný systém najmä z pohľadu bezpečnosti. Bankové spoločnosti museli teda pristúpiť k rozširovaniu svojich informačných systémov o časti, ktoré umožňujú využívať internetové bankovníctvo. Toto je možné realizovať, buď rozširovaním existujúceho systému, čo je v niektorých prípadoch, najmä ak je pôvodný bankový informačný systém postavený na nevhodnej technológií a architektúre, dosť náročné, alebo vytvoriť celý informačný systém nanovo už s orientáciou na služby internetového bankovníctva.
SOA - architektúra zameraná na služby
Ako už jednotlivé pojmy napovedajú, pri realizácii efektívnych bankových systémov je vhodné zvoliť spôsob postavený na architektúre zameranej na služby (Service Oriented Architecture – SOA), kde servisy znamenajú služby, ktoré daný systém publikuje, aby ho ostatné systémy mohli využívať. Servisne orientovaná architektúra je architektonický koncept podpory obchodných procesov založený na dobre definovaných, voľne viazaných, obchodne zameraných a znovu použiteľných zdieľaných distribuovaných službách (Web Services – webové služby). Aby bola splnená požiadavka na modulárnosť, škálovateľnosť a bezpečnosť, tak by služby internetového bankovníctva nemal priamo poskytovať bankový informačný systém. Mal by poskytovať iba rozhranie, ktorým bude publikovať služby pre systém internetového bankovníctva. Rozhranie, ktoré poskytuje bankový informačný systém nemusí využívať iba systém pre internetové bankovníctvo, ale aj rôzne iné systémy ako napríklad mobil banking, rozhrania pre podnikové informačné systémy, poprípade iné banky.
Integrácia bankového IS na báze SOA
Z pohľadu architektúry systému je integrácia realizovaná tak, že k aplikačnému serveru, ktorý zabezpečuje chod bankového informačného systému v privátnej sieti, je pripojený prostredníctvom Web Service adaptéru k BPEL (Business Process Execution Language) serveru ďalší aplikačný server. Ten zabezpečuje publikovanie funkcionality internetového bankovníctva voči internetu a komunikuje iba s BPEL serverom prostredníctvom Web Service technológie štandardným protokolom SOAP. Časť internet bankingu obsahuje aj databázový server, ktorý môže byť využitý pre prácu v offline režime, ak je napríklad bankový informačný systém odstavený, alebo inak nedostupný, napríklad pri uzávierke. Výhody tejto architektúry spočívajú v možnostiach jej rozširovania, modularite, monitoringu a riadení, ako aj vo väčšej nezávislosti od použitej technológie, nakoľko sa využíva prepojenie Web Services štandardu s protokolom SOAP, ktorý je schopný komunikovať s rôznymi technológiami a systémami (napr. Java, .NET, SAP a mnohé iné). Jedna z výhod, ktorá je v tejto dobe aktuálna, je možnosť jednoducho a rýchlo realizovať prechod na jednotnú európsku menu Euro pomocou BPEL, čo je však iba zlomok funkcionality, ktorú je možné dosiahnuť pomocou BPEL.
Pomocou BPEL jazyka je možné jednotlivé služby orchestrovať, reťaziť a vytvárať závislosti a vzťahy medzi nimi. Obrovskou výhodou BPEL je, že môže obsahovať volania mnohých webových služieb, avšak tie sú pomocou BPEL zapuzdrené a prezentované ako jediná nová služba, ktorá môže byť rozsiahlym procesom, so svojím vlastným rozhraním, ku ktorému môžu pristupovať vonkajšie aplikácie. Takto vytvorená webová služba tak môže byť nielen aplikáciou využívaná, ale môže sa stať jej samostatnou časťou, ktorá je poskytovaná ďalším aplikáciám. Výhody zapuzdrenia služieb pomocou BPEL-u sú aj v tom, že ak sa niektorým službám zmení časť procesu, alebo začnú byť závislé na výsledku iných služieb, tak sa táto zmena dá realizovať iba na úrovni BPEL jazyka, bez nutného zásahu do bankového systému.
Obr. 1 Príklad integrácie systému internet bankingu pomocou SOA na bankový informačný systém
Webové služby môžme rozdeliť na synchrónne a asynchrónne, podľa toho či požadujeme odpoveď, alebo nie. V prípade internetového bankovníctva je predpoklad na využitie oboch typov, nakoľko to vychádza s podstaty procesov využívaných pri práci s účtami.
Zabezpečenie komunikácie je možné realizovať viacerými spôsobmi. Dobrým základom je implementácia štandardu WS-Security, realizovaného prostredníctvom podpisovania a overovania správ prostredníctvom privátnych kľúčov a verejných certifikátov, ako aj pomocou šifrovania protokolom SSL/TSL. Okrem tohto je vhodné realizovať ďalšie zabezpečenia na úrovni sieťových vrstiev prostredníctvom firewall-ov. Samostatnou kapitolou je bezpečnosť internetového bankovníctva, ktoré má zabezpečiť primeranú ochranu klientov voči nepovolenému prihlásenia cudzích používateľov a zneužitiu ich bankového účtu. Základom je viacstupňová autorizácia, nakoľko zaužívané prihlasovanie sa pomocou mena a hesla, už v súčasnosti predstavuje vysoké riziko zneužitia. Preto sa okrem mena a hesla na overenie identity používajú rôzne spôsoby (grid karta, sms kód, token), ktoré však musia byť použité v rozumnej miere, aby neobmedzovali samotných používateľov. Tu treba neustále sledovať vývoj a techniky útočníkov, ktoré sa rýchlo prispôsobujú novým bezpečnostným opatreniam.
Zverejnené v magazíne Infoware č.6-7/2008.
(11.06.2008)
