Непременная безопасность
Июль, 2013
Статья Юрия Птицына, вице-президента АКБ “Московский Индустриальный банк” (ОАО) — с упоминанием продуктов компании Аладдин
Защита банковской информации — всегда остроактуальная тема. Бурный рост рынка банковских карт требует совершенствования не только процессов выпуска и обслуживания, но и взаимодействия с платёжными системами и каналами доступа к карточным счетам.
Рассчитывать на свои силы. Дистанционное банковское обслуживание привлекательно для кибермошенников: не одолев техническую защиту, преступники делают мишенью людей — сотрудников и клиентов банков. Человеческие недостатки двух типов: злой умысел (корыстная выгода) и непреднамеренные (некомпетентность, невыполнение правил, забывчивость). Наиболее опасна смычка внешних и внутренних злоумышленников — пример: разоблачение группы с участием сотрудников регионального отделения “Сбербанка России” (ущерб — десятки миллионов рублей: через профессиональные связи получали данные паспортов и счетов, оформляли поддельные карты и выводили средства). Расследовать такие дела сложно (нужны криминологические навыки и юридически значимая фиксация доказательств), следователи берутся неохотно, а безнаказанность развращает — банкам остаётся рассчитывать на собственные службы ИБ.
На закон надейся, да сам не плошай. ФЗ-161 “О национальной платёжной системе” устанавливает единые правила платежей; 9-я статья обязывает банкам возмещать клиенту средства, потерянные в результате несанкционированных электронных платежей (если нет доказательств вины клиента — нарушения правил ДБО). Банки опасаются вала мошенничеств нового типа — заявлений о “якобы несанкционированных” транзакциях. По сути, требование не ново: банки и раньше возвращали неправомерно списанное (опасаясь репутационных рисков), ст. 9 лишь упростила процедуру. АРБ предлагает дополнительную страховку — повторное согласие клиента на транзакцию (например, SMS-подтверждение снятия наличных): эффективно, но снижает удобство. АРБ и НП “Национальный платёжный совет” разработали методические рекомендации по действиям при хищениях в ДБО, включая взаимодействие банков и правоохранительных органов; до внедрения общих подходов банкам приходится действовать по обстановке.
Ставка на сервисы-инновации. “Московский Индустриальный банк” развивает собственные технологии: ИС прошли аудит PCI DSS v.2.0 (независимый QSA-аудитор ЗАО “Энвижн Труп”); выпускаются чиповые карты (безопаснее и долговечнее магнитной полосы); внедрена технология безопасных платежей 3-D Secure для интернет-покупок: при первой покупке клиент перенаправляется на защищённую страницу банка, где назначает пароль; проверка данных и генерация пароля на стороне банка, ответственность за отказ от операции — на покупателе, защищены и интернет-магазины.
Защита программная и физическая. ДБО для юрлиц — ПТК “Интернет-Банк” (широкий сектор услуг без визита в отделение; модуль “Зарплата”, единый реестр распределённых зарплатных проектов). В 2012 году для повышения защищённости внедрена технология ключевых носителей eToken ГОСТ: многоуровневая аутентификация — логин, пароль и уникальный защищённый носитель.
eToken ГОСТ — персональное устройство формирования квалифицированной электронной подписи, соответствующее ФЗ-63 “Об электронной подписи”, требованиям ФСТЭК, СТО БР ИББС-1.0-2010, с сертификатом ФСБ России СФ/124-1671. Внешне похож на флешку, но: клиент генерирует секретные ключи ЭП, удостоверяющий центр выпускает именной сертификат, ключ записывается на устройство. Секретный ключ нельзя скопировать — даже если устройство украдут и разберут на детали, доступ к информации невозможен; защита PIN-кодом владельца со счётчиком-ограничителем (блокировка после нескольких неверных вводов).
Бесконтактное будущее. Банк первым в России начал выпуск карт MasterCard Pay Pass и одними из первых сертифицировал эквайринг Tap&Go: оплата прикосновением карты к терминалу (при сумме свыше 1000 рублей — PIN, но тоже бесконтактно). На Pay Pass выпускаются кампусные карты (электронный “пропуск” студентов и преподавателей к сервисам вуза; первые — для Финансового университета); соглашение с “Спутник-ISIC” добавляет им функции международного студенческого удостоверения (привилегии в 120 странах).
Банкинг-”дуплекс”. Мобильный банкинг — не опция интернет-банкинга, а равноправный сервис: в ТЗ входили доступность на большинстве телефонов, простой интерфейс, минимум расходов на связь, унификация средств идентификации. Готового решения у внешних разработчиков не нашлось — приложение разработано собственными силами и заняло лидирующее место в рейтинге Markswebb Rank & Report; продвигалось вместе с “Compass Plus” и внедрено во многих банках. Приложения для iOS, Android и Java интегрированы в АБС “Телебанк”: почти любую операцию можно провести в обоих видах банкинга (шаблоны платежей, виртуальные карты, история), единый PIN. Безопасность: подключение после личной идентификации в подразделении банка, PIN из конверта с картой, пароли криптокалькулятора (обязательны при работе со счётом из-за границы), обстоятельное информирование клиентов о способах мошенничеств и “презумпция невиновности клиента” при расследовании каждого инцидента.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: BIS Journal (Информационная безопасность банков), № 3 (10), июль, 2013
Эксперт: Юрий Птицын, Московский Индустриальный банк