Безопасность на расстоянии
Октябрь, 2010
Лев Шумский: “Обеспечение безопасности предоставляемых дистанционных сервисов является одной из приоритетных задач для нашего банка”.
Дистанционное банковское обслуживание (ДБО) даёт пользователям свободу выбора времени, места и устройства управления счётом, а удачное сочетание удобства, функциональности и защищённости — конкурентное преимущество банка. Но информация в системах ДБО фактически эквивалентна реальным деньгам, и вопрос её защиты чрезвычайно актуален. “В начале 2010 года мы провели анализ информационных рисков, связанных с эксплуатацией комплекса ДБО (как на стороне банка, так и на стороне клиента), и приняли решение о реализации проекта комплексной модернизации системы обеспечения информационной безопасности (СОИБ) ДБО — решить задачи было невозможно без изменения технологических процессов обслуживания клиентов и модификации внутренних бизнес-процессов”, — рассказывает Лев Шумский, заместитель начальника управления инфраструктуры департамента ИТ “Русь-Банка”.
Риски и угрозы
Заголовок раздела «Риски и угрозы»Интернет остаётся небезопасной средой: основное слабое место дистанционных сервисов — угроза перехвата реквизитов доступа. Большинство атак направлено на хищение закрытого ключа ЭЦП и идентификационных данных клиента: завладев ими, злоумышленник действует от имени легального пользователя; при хранении ключей на жёстком диске или USB-накопителе клиент рискует деньгами.
Наименее защищённое звено — рабочее место пользователя вне банка: сотрудникам банка неизвестно, есть ли там антивирус, обновления, лицензионное ПО. Банки жёстко требуют от клиентов исполнения требований защиты рабочих мест, но для настроек нужна квалификация ИТ-специалистов, имеющихся далеко не везде. Актуальность снизила и ст. 1095 ГК РФ: клиенты, не выполнившие требований банка, при инцидентах пытались переложить убытки на банк — поэтому банк должен получать от клиента обязательство о выполнении требований безопасности.
Сумма технологий
Заголовок раздела «Сумма технологий»Для соответствия требованиям регуляторов (ЦБ, ФСБ, ФСТЭК) использовались только сертифицированные решения:
- криптографическое ядро — “Крипто-Про CSP” и УЦ “Крипто-Про УЦ” на базе PKI;
- защищённый носитель ключей ЭЦП — по итогам пилота нескольких продуктов выбраны USB-ключи eToken компании Aladdin (критерии: уровень безопасности, сертификация, простота настройки, централизованный учёт и управление);
- интеграция всех элементов СОИБ с системой ДБО — программный комплекс Avanpost IAM CHR_D Pro (“Технологии развития бизнеса”); пилот подтвердил эффективность и быстроту внедрения, встроенная система ЭДО организовала бизнес-процессы услуг ДБО. “Выбор был обусловлен намерением не только повысить безопасность ДБО, но и выстроить комплексную систему управления доступом к информационным ресурсам банка”, — отмечает Шумский.
Стремительное развёртывание
Заголовок раздела «Стремительное развёртывание»Опытная эксплуатация стартовала в мае 2010 года, к концу августа решение вышло в промышленную эксплуатацию — около трёх месяцев на настройку комплекса. “Особое внимание следует уделять организации коммуникаций: оказываются затронутыми многие устоявшиеся бизнес-процессы, необходимо объединять технические, юридические и экономические аспекты проекта”, — комментирует Шумский.
Проект дал “Русь-Банку” конкурентные преимущества в продвижении ДБО; срок окупаемости оценён не более 15 месяцев за счёт снижения прямых и косвенных издержек. Для VIP-клиентов планируется снять ограничения на сумму и назначение платежа.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: Директор ИС, №9, 2010
Эксперт: Лев Шумский, “Русь-Банк”
Репринт