Кто контролирует соответствие защиты банкоматов установленным требованиям

Статья 27. Обеспечение защиты информации в платежной системе

1. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы услуг информационного обмена, поставщики платежных приложений, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ, оператор платформы цифрового рубля обязаны обеспечивать защиту информации о средствах и методах обеспечения информационной безопасности, персональных данных и об иной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации. Правительство Российской Федерации по согласованию с Банком России устанавливает требования к защите указанной информации.

(в ред. Федеральных законов от 03.07.2019 N 173-ФЗ, от 02.08.2019 N 264-ФЗ, от 14.07.2022 N 331-ФЗ, от 24.07.2023 N 340-ФЗ)

(см. текст в предыдущей редакции)

1.1. Запрещается размещение в информационно-телекоммуникационных сетях, в том числе в сети «Интернет», информации, позволяющей в целях неправомерного завладения или создания условий для неправомерного завладения денежными средствами клиентов операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры осуществлять доступ к информационным системам операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры, электронным средствам платежа или программному обеспечению, которое применяется указанными клиентами с использованием технического устройства, подключенного к информационно-телекоммуникационной сети «Интернет», и используется при предоставлении (получении) услуг операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры, а также к базам данных, содержащим полученную с использованием информационно-телекоммуникационных сетей, в том числе сети «Интернет», информацию об указанных клиентах.

(часть 1.1 введена Федеральным законом от 01.07.2021 N 250-ФЗ)

2. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с защищаемой информацией.

3. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы услуг информационного обмена, поставщики платежных приложений, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России, согласованными с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи. Контроль за соблюдением установленных требований осуществляется Банком России в рамках надзора в национальной платежной системе в установленном им порядке, согласованном с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи.

(в ред. Федеральных законов от 03.07.2019 N 173-ФЗ, от 02.08.2019 N 264-ФЗ, от 14.07.2022 N 331-ФЗ)

(см. текст в предыдущей редакции)

С 25.07.2024 в ч. 4 ст. 27 вносятся изменения (ФЗ от 24.07.2023 N 369-ФЗ). См. будущую редакцию.

4. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны реализовывать мероприятия по противодействию осуществлению переводов денежных средств без согласия клиента в порядке, установленном Банком России.

(часть 4 введена Федеральным законом от 27.06.2018 N 167-ФЗ; в ред. Федерального закона от 14.07.2022 N 331-ФЗ)

(см. текст в предыдущей редакции)

С 25.07.2024 ч. 5 ст. 27 излагается в новой редакции (ФЗ от 24.07.2023 N 369-ФЗ). См. будущую редакцию.

5. В целях обеспечения защиты информации при осуществлении переводов денежных средств Банк России осуществляет формирование и ведение базы данных о случаях и попытках осуществления переводов денежных средств без согласия клиента.

(часть 5 введена Федеральным законом от 27.06.2018 N 167-ФЗ)

С 25.07.2024 ч. 6 ст. 27 излагается в новой редакции (ФЗ от 24.07.2023 N 369-ФЗ). См. будущую редакцию.

6. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны направлять в Банк России информацию обо всех случаях и (или) попытках осуществления переводов денежных средств без согласия клиента по форме и в порядке, которые установлены Банком России.

(часть 6 введена Федеральным законом от 27.06.2018 N 167-ФЗ; в ред. Федерального закона от 14.07.2022 N 331-ФЗ)

(см. текст в предыдущей редакции)

С 25.07.2024 ч. 7 ст. 27 излагается в новой редакции (ФЗ от 24.07.2023 N 369-ФЗ). См. будущую редакцию.

7. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ вправе получать от Банка России по форме и в порядке, которые им установлены, информацию, содержащуюся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента.

(часть 7 введена Федеральным законом от 27.06.2018 N 167-ФЗ; в ред. Федерального закона от 14.07.2022 N 331-ФЗ)

(см. текст в предыдущей редакции)

С 25.07.2024 в ч. 8 ст. 27 вносятся изменения (ФЗ от 24.07.2023 N 369-ФЗ). См. будущую редакцию.

8. Банк России предоставляет федеральному органу исполнительной власти в сфере внутренних дел информацию, содержащуюся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента, указанной в части 5 настоящей статьи, на основании полученных от указанного федерального органа исполнительной власти сведений о совершенных противоправных действиях. Порядок информационного обмена, форма и перечень предоставляемых сторонами сведений закрепляются в соглашении, заключаемом между Банком России и федеральным органом исполнительной власти в сфере внутренних дел.

(часть 8 введена Федеральным законом от 20.10.2022 N 408-ФЗ)

Безопасность применения банкоматов и предупреждение мошенничества с банковскими картами Текст научной статьи по специальности «Экономика и бизнес»

Аннотация научной статьи по экономике и бизнесу, автор научной работы — Кабурган Игорь Ильич, Стерхов Анатолий Петрович

Рассматриваются вопросы обеспечения банковской безопасности, безопасности банкоматов и противодействия мошенничеству с банковскими картами . Описаны методы мошенничества с банковскими картами . Даны практические рекомендации по обеспечению безопасности банкоматов и противодействию мошенничеству с банковскими картами .

i Надоели баннеры? Вы всегда можете отключить рекламу.

ATM SAFETY AND BANK CARD FRAUD PREVENTION

The article deals with the issues of ensuring bank security , ATM safety and bank card fraud prevention. The methods of bank card fraud are described and practical recommendations on ensuring ATM safety and fraud prevention are given.

Текст научной работы на тему «Безопасность применения банкоматов и предупреждение мошенничества с банковскими картами»

УДК 33-336.719 ББК 65.262

БЕЗОПАСНОСТЬ ПРИМЕНЕНИЯ БАНКОМАТОВ И ПРЕДУПРЕЖДЕНИЕ МОШЕННИЧЕСТВА С БАНКОВСКИМИ КАРТАМИ

Иркутский государственный технический университет, 664074, Россия, г. Иркутск, ул. Лермонтова, 83.

Рассматриваются вопросы обеспечения банковской безопасности, безопасности банкоматов и противодействия мошенничеству с банковскими картами. Описаны методы мошенничества с банковскими картами. Даны практические рекомендации по обеспечению безопасности банкоматов и противодействию мошенничеству с банковскими картами. Библиогр. 12 назв.

Ключевые слова: банковская безопасность; банкоматы; банковские карты; скимминговые устройства.

ATM SAFETY AND BANK CARD FRAUD PREVENTION I.I. Kaburgan, A.P. Sterkhov

Irkutsk State Technical University, 83 Lermontov St., Irkutsk, 664074, Russia.

The article deals with the issues of ensuring bank security, ATM safety and bank card fraud prevention. The methods of bank card fraud are described and practical recommendations on ensuring ATM safety and fraud prevention are given. 12 sources.

Key words: bank security; ATMs; bank cards; skimming devices.

Банковскую безопасность следует рассматривать как совокупность условий, при которых потенциально опасные действия и обстоятельства предупреждены либо сведены к такому уровню, при котором они не способны нанести ущерб установленному порядку функционирования банка, сохранению и воспроизводству его имущества и инфраструктуры и воспрепятствовать достижению финансовым учреждением уставных целей [2]. Действия и обстоятельства — это не что иное, как опасности и угрозы, которые могут реально нанести моральный и материальный (финансовый) урон. Угрозы бывают внешние и внутренние, которые в свою очередь способны нанести ущерб персоналу, материальным ресурсам, финансам и информации [1]. Актуальность рассматриваемой темы подтверждается тем, что проблемам угрозы экономической безопасности предприятий уделяется большое внимание в современной научной литературе. В данной статье предлагается рассмотреть угрозы совершения преступлений в процессе такой операционной деятельности банка, как осуществление снятия и взноса наличных денежных средств в банкоматах, и мероприятия по предотвращению (минимизации) указанных угроз.

В периодической печати и на страницах интернет-изданий регулярно появляется информация о совершенных злоумышленниками конкретных преступлени-

ях в кредитно-финансовой сфере, в том числе связанных с банкоматами и банковскими картами.

Приведем несколько примеров.

Так, 05.03.2013 года в Санкт-Петербурге задержаны двое «умельцев», которые пытались украсть из банкомата более 2,5 миллиона рублей. По сообщению пресс-службы ГУ МВД по Санкт-Петербургу и Ленинградской области, злоумышленников поймали в дополнительном офисе одного из городских банков, расположенном на проспекте Славы, дом 4. Денежные средства в сумме 2 миллиона 600 тысяч рублей они пытались похитить с помощью специального оборудования — скимингового устройства. Обоим задержанным по 28 лет, и регистрации в Санкт-Петербурге мужчины не имели. Возбуждено уголовное дело по статье 30, часть 3, и статье 183, часть 3 УК РФ (незаконные получение и разглашение сведений, составляющих коммерческую и налоговую тайну) [9].

В одном из магазинов Иркутска 09 июля 2013 года с поличным задержали молодого человека, который с помощью написанной им самим программы сумел перепрограммировать банкомат и похитить 75 тысяч рублей. На злоумышленника обратили внимание охранники магазина: тот подозрительно долго не отходит от терминала. Как позже выяснилось, хакер до задержания все же успел взломать системное обеспечение банкомата и перевести солидную сумму на под-

1 Кабурган Игорь Ильич, руководитель группы экономической безопасности операционного офиса «Иркутский» Сибирского филиала ЗАО «Райфайзенбанк», магистрант ИрГТУ, тел.: 89140058684, e-mail: igor.KABURGAN@raiffeisen.ru Kaburgan Igor, Head of Economic Security Group of Operational Office «Irkutsky» of Siberian Branch of Raiffeisenbank ZAO, tel.: 89140058684, e-mail: igor.KABURGAN@raiffeisen.ru

2Стерхов Анатолий Петрович, профессор кафедры экономической теории и финансов, кандидат технических наук, доцент, тел.: 89641026955, e-mail: rabota@istu.edu

Sterkhov Anatoly, Professor of the Department of Economic Theory and Finance, Candidate of technical sciences, Associate Professor, tel.: 89641026955, e-mail: rabota@istu.edu

ставные счета. В ГУ МВД по Иркутской области полагают, что план хищения был тщательно продуман и что действовал молодой человек не в одиночку. Личности сообщников сейчас устанавливаются. Самому хакеру 19 лет, он студент факультета информационных систем и технологий управления Читинского госуниверситета. Весной прошлого года парень занял второе место на всероссийской олимпиаде по информатике. В Иркутск он приехал к другу, погостить [7].

В Новосибирске 06 августа 2013 года злоумышленник похитил два миллиона рублей из банкомата. Как сообщили в пресс-службе ГУ МВД по Новосибирской области, в 3 часа 45 минут в дежурную часть поступило сообщение о взрыве в помещении филиала банка, расположенного по проспекту Карла Маркса. На место происшествия прибыла следственно-оперативная группа. Было установлено, что злоумышленник организовал взрыв корпуса одного из устройств, после чего похитил из банкомата два миллиона рублей [8].

УМВД по городу Владимиру 18 октября 2013 года возбудило уголовное дело по части 4 статьи 158 УК РФ по факту хищения двух банкоматов из здания развлекательного комплекса «Руськино». Как рассказали «РГ» в УМВД по Владимирской области, около 5 часов утра злоумышленники, воспользовавшись отсутствием охранников, отжали пластиковые входные двери и быстро вынесли два из пяти банкоматов. Характерно, что воры действовали избирательно: они захватили именно те устройства, которые не были оснащены GPS-маячками и принадлежали различным банкам. В сейфе одного из них было два миллиона 82 тысячи рублей; сколько денег хранилось в другом банкомате, остается коммерческой тайной. В похищении участвовало сразу шесть человек. Несмотря на то, что их действия зафиксировали камеры слежения, поймать злоумышленников по горячим следам не удалось [10].

Приведенные примеры хищения денежных средств из банкоматов, с одной стороны, свидетельствуют о широкой географии этих преступлений в нашей стране. Если же принять во внимание обстоятельство, что не все подобные случаи становятся достоянием средств массовой информации, то можно говорить о массовости такого рода преступлений в современной банковской практике.

Для минимизации влияния рисковых факторов при использовании банковских карт большое значение имеет налаживание взаимодействия между банком и клиентом. При этом, учитывая сложность построения адекватной статистической модели поведения клиента, можно порекомендовать передать часть функций управления рисками непосредственно держателям карт. Если держатель карты сможет сам определять для себя стандартную модель поведения, банку необходимо обеспечить возможность оперативно изменять параметры модели использования карты самому клиенту. К таким параметрам следует отнести:

• регион использования карты (чем меньше регион, тем меньше риски успешного использования поддельной карты);

• установление лимитов на сумму и количество

операций на покупки и выдачу наличных (на один день, на неделю, на месяц и т.д.);

• определение категорий торговых точек (интернет, заказы по почте, покупки в обычных магазинах и т.д.).

Управление параметрами риска клиентом может осуществляться через:

• круглосуточную службу помощи;

• автоматизированную службу помощи, позволяющую получать информацию по счету и блокировать/разблокировать карту;

• услугу «Мобильный банк», позволяющую в режиме онлайн получать SMS-сообщения о любом движении по счету; узнавать остаток по счету; блокировать/разблокировать карту; устанавливать регион использования карты.

Введение ограничений на использование карты самим клиентом в значительной степени повышает эффективность работы банка и позволяет на ранней стадии выявлять случаи подделки карт.

Чтобы научиться противодействию хищений денежных средств из банкоматов, необходимо изучить, на наш взгляд, способы, с помощью которых злоумышленники пытаются добыть наличность из банкоматов. Эти способы можно классифицировать следующим образом:

1. Одна из главных проблем заключается в том, что многие держатели платежных карт записывают свой ПИН-код прямо на карте или на каком-либо носителе (лист бумаги, записная книжка, мобильный телефон), хранимом вместе с картой. Если карта утеряна или украдена, то вместе оказываются и карта, и персональный код. В таком случае мошенникам совсем нетрудно получить наличные деньги.

2. Зачастую сотрудники служб безопасности банка при расследовании преступлений обнаруживают, что речь идет о так называемом «дружественном» мошенничестве. Член семьи, близкий друг, коллега берет карту без разрешения ее законного владельца (иногда в сговоре с ним) и получает деньги из банкомата. Далее законный держатель карты пишет претензию в банк — отказывается от проведенных операций.

3. «Подглядывание из-за плеча». Мошенник способен узнать ПИН-код держателя банковской карты, подглядывая, пока тот вводит его, выполняя операции по карте. При этом могут использоваться специальные оптические приборы. Затем карта похищается, либо производится несанкционированное копирование магнитной полосы — для изготовления в последующем «белого пластика». («Белый пластик» — пластиковая заготовка, не обязательно белого цвета, предназначенная для совершения мошеннических действий).

4. «Ливанская петля» — траппинг. Злоумышленник вставляет внутрь прорези для считывания карт (карт-ридер) кусок тридцатипятимиллиметровой фотопленки, которая разрезана таким образом, что карта застревает и не возвращается назад (П-образный обратный клапан). Находящийся снаружи кусок фотопленки приклеен к банкомату и выглядит как его часть.

Ничего не подозревающий человек вводит карту в банкомат в попытке получить наличные средства. Карта застревает в «ливанской петле», и транзакция не происходит. Мошенник «оказывается» неподалеку и предлагает свою помощь. Он рекомендует вновь ввести ПИН-код, а когда из этого ничего не получается, спрашивает у держателя карты ПИН и вводит его сам, говоря при этом, что он уже видел такие случаи и что при повторном вводе пИн-кода карта возвращалась. Ничего подобного, конечно же, не происходит, а мошенник рекомендует держателю банковской карты связаться с банком с самого раннего утра на следующий день. После того, как клиент уходит, пленка вместе с картой извлекается из банкомата. Таким образом у злоумышленника оказывается в руках и действующая карта, и надлежащий персональный код (ПИН). В результате, пока карта не заблокирована, преступник получает в любом банкомате наличные денежные средства.

5. Подмена или хищение карты. При проведении операции по карте в банкомате, перед тем как карта должна выйти обратно, мошенники отвлекают клиента и либо похищают карту, либо ее подменяют в момент выдачи банкоматом. Обычно они действуют в группе: один отвлекает, другой забирает карту. Часто для отвлечения внимания используется красивая девушка -для мужчин; либо на землю (на пол) роняют денежную купюру и говорят человеку, что это он ее обронил. Тот наклоняется за купюрой, а карта исчезает, или взамен настоящей подкладывается поддельная. ПИН-код похищенной карты подсматривается «из-за плеча» (см. способ 3).

6. «Щипачество». На банкоматах установлены датчики, которые позволяют убедиться, что деньги с лотка банкомата взяты. При оставлении в лотке хотя бы одной купюры датчик дает сигнал, что деньги не забраны. В этом случае банкомат посылает в банк сообщение об аннулировании всей операции снятия со счета. Мошенник забирает себе деньги и подает в банк претензию о неполучении в банкомате запрошенной суммы. Якобы неполученные держателем карты деньги блокируются, но, если за период инкассации таких операций произошло несколько, то установить истину очень сложно.

7. Известны случаи установки фальшивых накладок на окна выдачи наличных денежных средств банкоматов — кэш траппинг. После запроса законным держателем карты купюры задерживаются данным устройством. Далее мошенник снимает накладку вместе с наличными средствами.

8. «Фальшивые» банкоматы. В последнее время преступники воспользовались ростом числа банкоматов и стали применять «фальшивые» банкоматы. Мошенники разрабатывают и производят новые фальшивые банкоматы, либо переделывают старые, которые выглядят, как настоящие.

9. Недобросовестные владельцы банкоматов. В ряде стран (например, США, Канада и др.) любой гражданин может свободно купить банкомат, заключить соответствующие договоры на его обслуживание, установить и получать прибыль. То же самое, бывает,

делают и преступники. После введения карты и ПИН-кода мошенники копируют информацию с магнитной полосы карты и сам ПИН. Затем они используют утерянные, украденные карты или «белый пластик» для изготовления поддельных карт. Такие карты без проблем принимаются в настоящих банкоматах, поскольку информация на магнитной полосе действительна, а персональный идентификационный номер (ПИН) верен.

10. Кибератаки. Злоумышленники избирают своей целью банкоматы, подключенные с использованием радиорелейных каналов связи, без кодирования сигнала. Путем сканирования радиоэфира определяется частота канала связи банкомата. Далее осуществляется перехват банкомата на мошеннический эмулятор хост-системы процессинга. Мошенники вставляют карту в банкомат и направляют запрос на выдачу наличных денежных средств. Но данные запросы не попадают к эквайреру, а перехватываются эмулятором хоста мошенников, который на все запросы выдает положительную авторизацию. В то время, как банкомат выдавал мошенникам денежные средства, эк-вайрер думал, что с банкоматом просто отсутствует связь.

11. Мошеннический ПИН-ПАД (терминал). Держателю карты предлагают ввести ПИН в ложное устройство, несанкционированно записывающее ПИН.

12. Физические нападения на банкоматы: кражи банкоматов, взлом сейфов.

13. Вандализм. В последнее время, в связи с усилением угрозы терроризма, отмечены случаи использования мест установки банкоматов для организации взрывов.

14. Ограбления держателей карт. После получения держателем карты запрошенной суммы преступники нападают на него и в результате ограбления или разбоя завладевают денежными средствами.

15. «Фишинг» — рассылка электронных писем для того, чтобы пользователи интернета посетили вебсайты, похожие на сайты электронной коммерции различных фирм и банков, но созданные и контролируемые мошенниками.

Одна из разновидностей фишинга — фарминг. В данном случае пользователь интернета, набирая в адресной строке правильный адрес, все равно перенаправляется на мошеннический сайт. Атака возможна как на самом компьютере пользователя с использованием «троянцев», так и непосредственно на DNS сервера; при этом будет затронуто уже большее количество пользователей.

16. Устройства, копирующие магнитную полосу, -скимминг. Перед картридером банкомата монтируется устройство, считывающие информацию с магнитной полосы при введении карты в банкомат.

17. Накладные клавиатуры, предназначены для перехвата вводимого ПИН-кода. В простейшем случае злоумышленник совсем не использует никаких дополнительных устройств. Достаточно протереть ПИН-клавиатуру, а после введения ПИН держателем, когда он отойдет от банкомата, посыпать ее тальком. В результате мошенник получает цифры, из которых со-

стоит ПИН, остается только подобрать их порядок. Существует всего лишь 24 комбинации перебора всех вариантов.

18. Миниатюрные видеокамеры, которые могут работать от автономных источников электроэнергии несколько часов и передают видеосигнал по радиоканалу. Преступник устанавливает видеокамеру незаметно и, маскируя ее под какое-либо устройство, дистанционно получает информацию о пИн-кодах.

Скимминговые устройства изготавливают в виде конструктивных элементов банкоматов, придавая им характерный внешний вид с помощью соответствующего лакокрасочного покрытия, нанесения логотипов и рекламных изображений. Цель установки скиммеров, накладных клавиатур и минивидеокамер — считывать закодированную на магнитной полосе информацию и персональный код держателя банковской карты. Похищенная таким способом информация может быть нанесена на другие карты и использована вместе с соответствующими персональными идентификационными номерами для получения денег в банкоматах. Зачастую это происходит уже не в тех странах, где была получена информация о подлинных картах и персональных кодах пользователя [3].

Столь широкий круг методов и способов хищения средств из банкоматов наносит большой вред имиджу кредитных учреждений и способствует появлению страха у клиентов — владельцев пластиковых карт. О масштабах этого явления можно судить по ущербу от мошеннических операций с пластиковыми картами. Например, в 2011 году он вырос на 36 % и составил 1,6 млрд. рублей [4, с 36].

Данное обстоятельство не могло не обеспокоить коммерческие структуры и государственные организации. Озабоченность по поводу безопасности банкоматов и мошенничеств с картами проявляют как Ассоциация российских банков, так и Центральный Банк РФ, МВД РФ, иные государственные организации и коммерческие структуры. Ассоциация участников МастерКард (бывшая Ассоциация членов РЧЕ) 05 июня 2013 года в ходе ежегодной банковской конференции Club, проводимой MasterCard, представила результаты комплексного исследования по теме «Проблемы мошенничества в сфере использования банковских карт».

В России с тем или иным видом мошенничества сталкивались 26% опрошенных держателей карт. Сравнивая этот результат с данными аналогичного исследования ACI Worldwide study, проведенного в 2012 году компанией Aite Group в 17 странах мира (Россия не входила), близкие показатели — около 26% — отмечены в Канаде, Сингапуре и ЮАР [6].

Ассоциация российских банков в лице Экспертно-методического центра банковской безопасности 14 февраля 2013 года организовала Международный Форум «Технологии безопасности — 2013», в рамках которого прошел круглый стол на тему «Инженерно-технические средства защиты банкоматов и платежных терминалов». Позицию МВД РФ за круглым столом представили сотрудники двух подразделений. Старший оперуполномоченный по особо важным де-

лам Департамента имущественных преступлений ГУУР МВД РФ В.О. Парамонов в своем выступлении привел статистические данные, свидетельствующие о непрекращающемся росте происшествий с банкоматами и находящимися в них ценностями. Он отметил, что, помимо экзотических нападений на банкоматы (например, при помощи закачиваемого и взрываемого газа), почти половину составляют хищения устройств вместе с их содержимым для последующего взлома в стационарных условиях. По его мнению, именно техническая незащищенность банкоматов является одной из важнейших причин распространенности и роста преступных посягательств на них.

Начальник 24 отдела ГУОООП МВД РФ А.П. Раюк сделал акцент на некачественной охране банкоматов и платежных терминалов. По данным его управления, сотрудники частных охранных организаций не оказывают должного внимания контролю за размещенными на охраняемых ими объектах банкоматами [12].

Особо следует отметить реакцию регулятора на складывающуюся тревожную ситуацию в области карточного бизнеса коммерческих банков. Центральный Банк Российской Федерации 01 марта 2013 года направил в кредитные организации Письмо № 34-Т «О рекомендациях по повышению уровня безопасности при использовании банкоматов и платежных терминалов». Банк России, в частности, рекомендует:

— классифицировать места установки банкоматов и платежных терминалов (далее — устройства) по степени риска подвергнуться попыткам физического взлома, установки скиммингового оборудования и (или) воздействия вредоносного кода, а также совершения несанкционированных операций, и периодически пересматривать классификацию мест установки устройств по мере развития технологий, в том числе технологий атак;

— осуществлять на регулярной основе, в зависимости от классификации места установки устройства, контроль внешнего вида устройства, а также действий обслуживающих данное устройство организаций;

— оборудовать устройства системами видеонаблюдения (минимум двумя видеокамерами) со сроком хранения записей видеосъемки не менее 60 календарных дней;

— размещать на экране устройства либо в пределах прямой видимости от него предупреждающие сообщения о необходимости соблюдения мер предосторожности при наборе персонального идентификационного номера;

— устанавливать устройства в безопасных местах (например, в государственных учреждениях, собственных подразделениях, крупных торговых комплексах, гостиницах, аэропортах и тому подобное);

— страховать устройства и (или) наличные денежные средства, находящиеся внутри данных устройств [5].

Банк России также настоятельно рекомендует коммерческим банкам уходить от использования пластиковых карт с магнитной полосой и заменять их на чиповые — как более надежные и менее подверженные криминальному воздействию.

Издательский дом «Комсомольская правда» 11 сентября 2013 года организовал круглый стол «Состояние российского рынка банковских пластиковых карт: изменения законодательства, тенденции и перспективы. Насколько защищены клиенты?». В рамках мероприятия обсуждались такие вопросы, как финансовая безопасность россиян, меры для борьбы с мошенничеством в банковской сфере, развитие в стране рынка банковских пластиковых карт [11].

К сожалению, статистика происшествий, связанных с банкоматами и банковскими картами, указывает на недостаточный уровень компетенции сотрудников служб экономической безопасности в данном вопросе. Таким образом, мы приходим к выводу, что для обеспечения безопасности банкоматов и банкоматных карт в банках должны быть намечены и реализованы следующие организационно-технические мероприятия:

1. Осуществление выездной проверки места установки банкомата на соответствие требованиям:

— помещение объекта, где установлен банкомат, должно охраняться службой безопасности арендодателя, либо организации, где устанавливается банкомат, или техническими системами безопасности;

— банкомат должен находиться в зоне видеонаблюдения или в зоне видимости охраны арендодателя. Если это невозможно, то безопасность банкомата должна быть обеспечена техническими средствами (охранная сигнализация с выводом сигнала на ПЦН охранной организации);

— место установки банкомата должно исключать возможность наблюдения с лестниц и балконов за действиями клиентов на клавиатуре банкомата;

— банкомат, установленный вне помещения банка, должен быть закреплен к полу. Если это невозможно, то безопасность банкомата осуществляется техническими средствами (охранная сигнализация с выводом сигнала на ПЦН охранной организации);

— порядок допуска сотрудников банка к банкомату для его технического обслуживания и инкассирования, в том числе допуск вооруженного охранника, должен быть определен на этапе подписания договора. Проверка документов сотрудников инкассации банка охраной объекта арендодателя должна осуществляться до момента выноса инкассаторами банка сумок с наличностью из специального транспорта;

— со стороны арендодателя не должно быть препятствий подъезду бронированного автомобиля максимально близко к инкассируемому объекту и парковке автомобиля на этом месте до выхода бригады из помещения;

— банкомат, установленный вне помещения банка, не должен размещаться между двумя и более не блокируемыми при инкассации дверями. Если блокировка дверей невозможна, безопасность процесса инкассации должна быть обеспечена другими возможными способами с соблюдением всех необходимых мер безопасности.

2. Соблюдение требований технической укреп-ленности мест установки банкоматов:

— стены должны соответствовать требованиям ГОСТ Р 51113-97 или 4 и 3 класс устойчивости ко взлому по РД МВД России 78.36.003-2002;

— защитное остекление должно соответствовать требованиям ГОСТ 51136-2008.

3. При установке банкомата в банке (обычно это зона доступа 24х7), необходимо оснащать помещение камерами видеонаблюдения с выводом on-line изображения в мониторинговый центр службы экономической безопасности (система удаленного видеонаблюдения).

4. Использование новейших разработок — технических средств защиты и предупреждения — также является эффективным средством сохранности банкоматов:

— система ограничения доступа в круглосуточную зону самообслуживания банкомата компании «ЭНИГ-МА» — Привратник — 02А;

— система дымовой защиты «Protect», выпускающая «сухой» дым, препятствуя злоумышленникам ориентироваться в замкнутом пространстве;

— изделие «Алабай», позволяющее сигнализировать о попытках взлома, подбора ключей, включать громкий звуковой сигнал тревоги и с навигационной точностью при помощи компьютера следить за перемещением украденного банкомата.

5. Обследование банкоматов на наличие признаков установки скиммингового оборудования и работоспособности систем локального видеонаблюдения должно проводиться на регулярной плановой основе.

6. Размещение на экране банкомата либо в пределах прямой видимости от него предупреждающих сообщений о необходимости соблюдения мер предосторожности при наборе персонального идентификационного номера.

7. Оснащение банкомата системой локального видеонаблюдения (минимум две камеры) со сроком хранения записей видеосъемки не менее 60 календарных дней.

8. Установка на банкоматы специального антис-киммингового оборудования.

Помимо всего перечисленного, службы безопасности и кадровые службы коммерческих банков обязательно должны учитывать следующее обстоятельство. По данным Центрального банка Российской Федерации, более 15 % средств было похищено путем сговора между владельцем карты и третьими лицами. Есть основание предположить, что сообщниками преступников могут выступать и работники банков -эмитентов пластиковых карт [4, с. 38]. Это накладывает особую ответственность на кадровые и службы безопасности банков при приеме служащих на работу и вызывает необходимость постоянно осуществлять мониторинг персонала на предмет совершения противоправных действий.

Таким образом, в статье не только показаны наиболее слабые, незащищенные моменты в безопасном использовании банковских карт и банкоматов, но и даны конкретные рекомендации по обеспечению безопасности банкоматов и противодействию мошенничеству с банковскими картами. Это вызывает необходимость перестройки работы не только служб безопасности, но и всех подразделений коммерческих банков.

Статья поступила 06.03.2014 г.

1. Ярочкин В.И. Безопасность банковских систем. М.: Изд-во Ось-89, 2012. 461 с.

2. Гамза В.А., Ткачук И.Б., Жилкин И.М. Безопасность банковской деятельности: учебник для вузов. 3-е изд., перераб. и доп. М.: Изд-во Юрайт, 2014. 513 с.

3. Бабаева М.И. Платежные карты: бизнес-энциклопедия. М.: Маркет ДС, 2008. 764 с.

4. Шаламов Г.А. Воровство в банковской сфере: монография. Иркутск: Изд-во ИрГТУ, 2012. 140 с.

i Не можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

5. Вестник Банка России. М.: ЗАО «АЭИ «ПРАЙМ», 2013. №15. 54 с.

6. Ассоциация участников Мастеркард публикует результаты on-line опроса: агентство Bankir/ru, электронный ресурс, http://bankir.ru/novosti/s/assotsiatsiya-uchastnikov-masterkard-publikuet-rezultaty-on-line-oprosa-10046336/ (17.11.2013).

7. В Иркутске задержали программиста-олимпиадника // Рос. газ. [электронный ресурс]. Режим доступа: http://www.rg.ru/2013/07/09/reg-sibfo/haker-anons.html (17.11.2013).

8. В Новосибирске неизвестный украл два миллиона, взорвав банкомат // Рос. газ. [электронный ресурс]. Режим до-

9. В Петербурге задержали хакеров // Российская газета [электронный ресурс]. Режим доступа: http://www.rg.ru/2013/03/05/reg-szfo/bankomat-anons.html (17.11.2013).

10. Во Владимире возбуждено дело по хищению банкоматов // Рос. газ. [электронный ресурс]. Режим доступа: http://www.rg.rU/2013/10/18/reg-cfo/bankomat-anons.html (17.11.2013).

11. Мошенничество с банковскими картами. Насколько защищены клиенты? // Национальное агентство финансовых исследований [электронный ресурс]. Режим доступа: http://nacfin.ru/novosti-i-

12. Проект защиты банкоматов, предложенный на круглом столе «Инженерно-технические средства защиты банкоматов и платежных терминалов» // Ассоциация российских банков [электронный ресурс]. Режим доступа: http://arb.ru/b2b/docs/3849225/ (18.11.2013).

УДК 338.27, 338.28

СПОСОБЫ ВЛИЯНИЯ ФОРСАЙТА НА РАЗВИТИЕ ИННОВАЦИОННОЙ ДЕЯТЕЛЬНОСТИ

Иркутский государственный университет, 664073, Россия, г. Иркутск, пр. К. Маркса, 1.

Исследована влияние форсайта на развитие инновационной деятельности в экономических системах. Обоснована динамическая сторона понятия инноваций в новой экономике как диалоговое обучение экономических агентов. Выделены семь способов стимулирования инновационной деятельности с помощью форсайта: 1. Определение перспективных зон появления новых технологий, продуктов и рынков. 2. Выявление направлений научных исследований, которые принесут наибольшие социальные и экономические выгоды. 3. Формирование запросов общества на новые продукты и технологии. 4. Установление государственных приоритетов научных исследований. 5. Выявление ключевых участников инновационного процесса и научно-технических заделов участников, взаимодействие участников инновационного процесса, обеспечивающее трансфер знаний и технологий. 6. Создание сетей квалифицированных и влиятельных экспертов, способствующих практической реализации инноваций. 7. Установление приоритетов для долгосрочной инновационной, технологической и научной политик. Библиогр. 13 назв.

Ключевые слова: форсайт; инновации; инновационная деятельность; диалоговое обучение; стимулирование; эксперты; трансфер; приоритеты; политика.

METHODS OF FORESIGHT INFLUENCE ON INNOVATION DEVELOPMENT N.Ya. Kalyuzhnova, E.V. Verkhoturova

Irkutsk State University, 1 Karl Marx St., Irkutsk, 664003, Russia.

The article studies the effect of foresight on innovation development in economic systems. It substantiates the dynamic side of the concept of innovation in the new economy as a dialog training of economic agents. Seven methods to stimulate innovative activity through foresight have been distinguished: 1) identification of promising areas for the emergence of new technologies, products and markets; 2) specification of the courses of scientific researches that will bring the greatest social and economic benefits; 3) formation of society demands on new products and technologies; 4) establishment of state priorities for scientific researches; 5) identification of key participants of innovation process, their scientific

1 Калюжнова Надежда Яковлевна, доктор экономических наук, профессор, зав. кафедрой экономической теории и управления, тел.: 89148865258, e-mail: nk@home.isu.ru

Kalyuzhnova Nadezhda, Doctor of Economics, Professor, Head of the Department of Economic Theory and Management, tel.: 89148865258, e-mail: nk@home.isu.ru

2Верхотурова Елена Владимировна, соискатель, кафедра экономической теории и управления, тел.: 89634046603, e-mail: VerkhoturovaEV@ifrnb.ru

Verkhoturova Elena, Competitor, Department of Economic Theory and Management, tel.: 896S404660S, e-mail: VerkhoturovaEV@ifrnb.ru

№161-ФЗ: новые понятия, правила и требования

В 2011 году был опубликован Закон РФ от 27.06.2011г. N161-ФЗ «О национальной платежной системе» (далее – Закон об НПС), регулирующий порядок оказания платежных услуг и определяющий требования к организации и функционированию платежных систем, порядок осуществления надзора и наблюдения в национальной платежной системе.

Важно заметить, что под платежной системой понимается не информационная система, осуществляющая денежные переводы, а совокупность организаций, взаимодействующих по правилам платежной системы в целях осуществления перевода денежных средств.

Вступившая в действие 1 июля 2012 года статья 27 Закона об НПС устанавливает необходимость обеспечения защиты информации в платежных системах. В июне 2012 года был принят ряд подзаконных актов, регламентирующих обеспечение защиты информации в платежных системах.

При этом состав требований в области информационной безопасности, выдвигаемый регуляторами для конкретной организации, зависит от того, какую роль выполняет эта организация в платежной системе.

Регуляторы

Законом об НПС предусмотрены три уровня регулирования в платежных системах (см. Схему 1).

Схема 1. Уровни регулирования в платежных системах

Закон об НПС вводит роль оператора платежной системы и возлагает на нее функции «локального регулятора», разрабатывающего правила платежных систем и контролирующего исполнение этих правил.

Основным, «глобальным» регулятором в рамках национальной платежной системы является Банк России. При этом все документы, устанавливающие требования по защите информации в платежных системах, выпускаемые Банком России, должны быть согласованы с ФСТЭК России и ФСБ России.

На ФСТЭК и ФСБ возложены контроль и надзор за соблюдением требований по защите информации, установленных Правительством РФ. Однако, Правительством РФ установлены лишь очень общие положения, утвержденные Постановлением №584 от 13.06.2012, и как именно ФСТЭК России и ФСБ России будут проверять исполнение этих положений пока не понятно.

Роли в платежных системах

Законом об НПС введены следующие ключевые роли, которые организация может исполнять в платежной системе (см. Схему 2):

оператор платежной системы;
оператор по переводу денежных средств;
оператор услуг платежной инфраструктуры;
банковский платежный агент/субагент.

Все организации, выполняющие указанные роли, вместе называются субъектами платежной системы.

Схема 2. Роли в платежных системах

Одна и та же организация может одновременно входить в состав нескольких платежных систем, а также может одновременно выполнять несколько различных ролей в рамках одной платежной системы. В Таблице 1 указаны роли, которые в соответствии с Законом об НПС могут выполнять кредитные и не кредитные организации, участвующие в оказании платежных услуг.

Роль в платежной системе

Оператор платежной системы

ДА

Оператор по переводу денежных средств

ДА

НЕТ

Оператор услуг платежной инфраструктуры – расчетный центр

ДА

НЕТ

Оператор услуг платежной инфраструктуры – операционный центр

ДА

Оператор услуг платежной инфраструктуры – платежный клиринговый центр

ДА

Банковский платежный агент

НЕТ

ДА

Таблица 1. Роли в платежной системе для кредитных и некредитных организаций

Оператор платёжной системы

Оператор платежной системы играет основную роль в платежной системе. Закон об НПС определяет следующие обязанности операторов платежных систем:

определять правила платежной системы;
организовывать и осуществлять контроль за соблюдением правил платежной системы участниками платежной системы, операторами услуг платежной инфраструктуры;
осуществлять привлечение операторов услуг платежной инфраструктуры (за исключением случая, когда оператор платежной системы совмещает функции оператора услуг платежной инфраструктуры);
обеспечивать контроль за оказанием услуг платежной инфраструктуры участникам платежной системы;
вести перечень операторов услуг платежной инфраструктуры;
организовывать систему управления рисками в платежной системе;
осуществлять оценку и управление рисками в платежной системе;
обеспечивать возможность досудебного и (или) третейского рассмотрения споров с участниками платежной системы и операторами услуг платежной инфраструктуры в соответствии с правилами платежной системы.

В случае, если оператор платежной системы не является кредитной организацией, часть его функций передается привлеченному оператору услуг платежной инфраструктуры – расчетному центру.

Стоит также отметить, что с 1 июля 2012 года все операторы платежных систем подлежат обязательной регистрации Банком России в реестре операторов платежных систем. Более того, ни одна организация не может использовать в своем фирменном наименовании слова «платежная система» или иным образом указывать на осуществление деятельности оператора платежной системы, если она не зарегистрирована в этом реестре.

Законом об НПС установлен четкий критерий, на основании которого кредитная организация признается оператором платежной системы (ч.39 ст.15 Закона об НПС и п.1 Указания Банка России №2814-У):

Оператор по переводу денежных средств, за исключением Банка России, у которого открыты банковские счета не менее трёх других операторов по переводу денежных средств и между этими счетами осуществляются переводы денежных средств в течение трех месяцев подряд в размере, превышающем 1 500 000 000 рублей , обязан направить в Банк России заявление о регистрации оператора платежной системы в течение 30 дней после дня начала соответствия указанному требованию. По истечении четырех месяцев после дня начала соответствия указанному требованию осуществление перевода денежных средств между банковскими счетами операторов по переводу денежных средств, открытыми у такого оператора по переводу денежных средств, допускается только в рамках платежной системы.

Таким образом, банкам, соответствующим данному критерию, необходимо сделать выбор:

становиться оператором собственной платежной системы, или
осуществлять переводы денежных средств в рамках уже зарегистрированных платежных систем.

Необходимо отметить, что к заявлению о регистрации оператора платежной системы, направляемому в Банк России, должны быть приложены правила платежной системы, о которых мы поговорим во второй части этой статьи.

Оператор услуг платёжной инфраструктуры

По определению, данному в Законе об НПС, операторами услуг платежной инфраструктуры являются операционные центры, платежные клиринговые центры и расчетные центры.

Операционный центр обеспечивает обмен электронными сообщениями в платежной системе, а также осуществляет иные действия, связанные с использованием информационно-коммуникационных технологий, необходимые для функционирования платежной системы и предусмотренные ее правилами. Операционный центр несет ответственность за реальный ущерб, причиненный субъектам платежной системы вследствие ненадлежащего оказания операционных услуг.

Услуги клиринга в платежной системе оказывает платежный клиринговый центр, который передает в расчетный центр подлежащие исполнению распоряжения участников платежной системы, от их имени. Платежный клиринговый центр несет ответственность за убытки, причиненные участникам платежной системы и расчетному центру вследствие ненадлежащего оказания услуг платежного клиринга.

Расчетный центр исполняет поступившие от платежного клирингового центра распоряжения участников платежной системы посредством списания и зачисления денежных средств по банковским счетам участников платежной системы. Кроме того, в платежных системах, где оператор платежной системой является некредитной организацией, на расчетный центр возлагается часть функций оператора платежной системы, в частности:

оценка и управление рисками в платежной системе;
координация деятельности субъектов платежной системы по обеспечению бесперебойности функционирования платежной системы;
определение порядка обеспечения защиты информации при осуществлении переводов денежных средств.

Операторы услуг платежной инфраструктуры привлекаются оператором платежной системы, и обязаны предоставлять ему информацию о своей деятельности в соответствии с правилами платежной системы.

Заметим, что Закон об НПС допускает наличие в одной платежной системе нескольких операционных центров, нескольких платежных клиринговых центров и нескольких расчетных центров.

Оператор по переводу денежных средств и банковские платежные агенты

В соответствии с Законом об НПС оператором по переводу денежных средств могут являться только кредитные организации, имеющие право на осуществление денежных переводов, Банк России и Внешэкономбанк.

В соответствии с п.2.2 Положения №384-П, критерием участия в платежной системе Банка России является наличие корреспондентского счета в Банке России. Другими словами, все банковские организации в РФ входят в состав как минимум одной платежной системы – платежной системы Банка России, и являются в рамках нее операторами по переводу денежных средств. Кроме того, банк может принять решение об участии в прочих платежных системах, зарегистрированных Банком России.

Операторы по переводу денежных средств вправе на основании договора привлекать банковских платежных агентов:

для принятия от клиентов и (или) выдачи клиентам наличных денежных средств;
для предоставления клиентам электронных средств платежа и обеспечения возможности их использования в соответствии с условиями, установленными оператором по переводу денежных средств;
для проведения идентификации клиента в целях осуществления перевода денежных средств без открытия банковского счета.

В этом случае оператор по переводу денежных средств должен вести перечень привлеченных банковских платежных агентов, и предоставлять его по запросу физических лиц для ознакомления.

Оператор по переводу денежных средств также осуществляет контроль за соблюдением привлеченными банковскими платежными агентами условий их привлечения, включая контроль соблюдения требований по защите информации, а также включает в свою отчетность об инцидентах, направляемую в Банк России, сведения об инцидентах, выявленных банковскими платежными агентами.

ЧАСТЬ 2: О ПРАВИЛАХ ПЛАТЕЖНЫХ СИСТЕМ

Правила платежных систем

Закон об НПС определяет правила платежной системы как документ, содержащий условия участия в платежной системе, осуществления перевода денежных средств, оказания услуг платежной инфраструктуры и иные условия, определяемые оператором платежной системы. При этом правила платежной системы могут быть составлены в виде единого документа или нескольких взаимосвязанных документов.

В соответствии со статьей 20 Закона об НПС, правила платежных систем (за исключением платежной системы Банка России) представляют собой что-то вроде договора-оферты:

являются договором;
являются публично доступными (хотя оператор платежной системы вправе не раскрывать информацию о требованиях к защите информации);
оператор платежной системы обязан предоставить правила для ознакомления организациям, намеревающимся участвовать в платежной системе;
участники платежной системы присоединяются к правилам только путем принятия их в целом.

Правила платежной системы Банка России определяются нормативными актами Банка России, разработанными на основании Закона об НПС. Для банков это означает необходимость исполнения новых требований к защите информации, поступающих как от ключевого регулятора в области национальной платежной системы (Банк России), так и от локальных регуляторов – операторов всех платежных систем, в которых эти банки принимают участие.

Схема 3. Требования, предъявляемые субъектам платежных систем

Содержание правил платежных систем

Требования к содержанию правил платежной системы определены Законом об НПС и Правительством РФ.

Ч. 1 ст. 20 Закона об НПС требует, чтобы правила платежных систем определяли, помимо прочего, следующие интересные с точки зрения защиты информации области:

порядок осуществления контроля за соблюдением правил платежной системы;
порядок предоставления участниками платежной системы и операторами услуг платежной инфраструктуры информации о своей деятельности оператору платежной системы;
система управления рисками в платежной системе, включая используемую модель управления рисками, перечень мероприятий и способов управления рисками;
порядок обеспечения бесперебойности функционирования платежной системы;
порядок взаимодействия в рамках платежной системы в спорных и чрезвычайных ситуациях, включая информирование операторами услуг платежной инфраструктуры, участниками значимой платежной системы оператора значимой платежной системы о событиях, вызвавших операционные сбои, об их причинах и последствиях;
требования к защите информации.

Рассмотрим подробнее некоторые из этих областей.

Бесперебойность функционирования платежных систем

Банк России выпустил Положение №379-П, устанавливающее требования к порядку обеспечения бесперебойности функционирования платежных систем. В соответствии с этим Положением, БФПС обеспечивается за счет достижения, подтверждения и поддержания приемлемого уровня рисков нарушения БФПС, под которыми понимаются присущие функционированию платежной системы типичные возможности неоказания, ненадлежащего оказания услуг платежной системы участникам платежной системы вследствие наступления неблагоприятных событий, связанных с внутренними и внешними факторами функционирования платежной системы.

Положение №379-П определяет общие требования к процессу управления рисками нарушения БФПС, к процедурам взаимодействия и информационного обмена между участниками платежной системы при обеспечении БФПС, а также основные типы показателей БФПС и цели их использования.

Раскрытие требований к обеспечению БФПС в правилах платежной системы – задача оператора этой платежной системы, которую необходимо было выполнить до 1 января 2013 года.

Требования к защите информации

Постановление Правительства РФ от 13.06.2012 №584 раскрывает состав требований к защите информации, которые должны включаться в правила платежных систем. В этом перечне особое внимание стоит обратить на то, что в правила платежных систем должны быть включены требования по определению угроз, анализу уязвимостей систем и управлению рисками информационной безопасности. В частности, это означает, что процесс управления рисками информационной безопасности в банках теперь должен регулироваться операторами платежных систем, по крайней мере в части инфраструктуры, относящейся к соответствующим платежным системам. В то время как ранее методика оценки рисков выбиралась по собственному усмотрению. Более того, ранее организации были вольны не оценивать риски вовсе.

С прочими требованиями все несколько проще, поскольку они уже раскрыты (или частично раскрыты) Банком России в Положении №382-П. И теперь, на уровне правил платежной системы, нужна лишь их детализация, отражающая правила осуществления денежных переводов, способы взаимодействия между участниками и прочую специфику конкретной платежной системы.

ЧАСТЬ 3: ТРЕБОВАНИЯ БАНКА РОССИИ К ЗАЩИТЕ ИНФОРМАЦИИ В ПЛАТЕЖНЫХ СИСТЕМАХ

В состав основных документов Банка России, регламентирующих защиту информации в платежных системах, входят:

Положение Банка России от 09.06.2012 г. N382-П: «Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»;
Указание Банка России от 09.06.2012 N2831-У «Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств»;
Положение Банка России от 31.05.2012 г. N379-П: «Положение о бесперебойности функционирования платежных систем и анализе рисков в платежных системах».

ПОЛОЖЕНИЕ №382-П О ТРЕБОВАНИЯХ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ

Защищаемая информация

Пункт 2.1 Положения №382-П отвечает на вопрос, какая именно информация должна защищаться при осуществлении переводов денежных средств. Примечательно, что помимо прочего к такой информации также относятся:

информация, необходимая для удостоверения клиентами права распоряжения денежными средствами, в том числе данных держателей платежных карт;
информация ограниченного доступа, в том числе персональные данные и иная информация, подлежащая обязательной защите в соответствии с законодательством Российской Федерации, обрабатываемая при осуществлении переводов денежных средств.

При анализе Положения №382-П мы не выявили явных противоречий между требованиями к обеспечению защиты информации в платежных системах и требованиями к защите персональных данных и данных платежных карт. А тот факт, что к перечню защищаемой информации отнесены данные платежных карт, свидетельствует о том, что часть операторов платежных систем при формировании требований к защите информации в рамках разработки правил платежной системы сочтет целесообразным опираться не только на документы Банка России, но и на стандарт PCI DSS.

Требования к обеспечению защиты информации

Положение №382-П устанавливает требования к обеспечению защиты информации при осуществлении переводов денежных средств. По сути, большинство требований повторяют уже хорошо знакомый в банковской сфере СТО БР ИББС-1.0, но в сокращенной форме, что связано с более узкой сферой применения.

Кардинально новыми являются требования по информированию оператора платежной системы об обеспечении защиты информации при осуществлении переводов денежных средств. В частности, субъекты платежной системы обязаны уведомлять оператора платежной системы:

о степени выполнения требований к обеспечению защиты информации;
о реализации порядка обеспечения защиты информации;
о выявленных инцидентах, связанных с нарушениями требований к обеспечению защиты информации;
о результатах проведенных оценок соответствия;
о выявленных угрозах и уязвимостях в обеспечении защиты информации.

Кроме того, Положение №382-П устанавливает рях дополнительных требований, не предусмотренных в СТО БР ИББС-1.0:

Защита от скимминга (п.2.6.7 Положения №382-П)

Теперь необходимо обеспечить контроль отсутствия размещения на платежных терминалах и банкоматах специализированных средств, предназначенных для несанкционированного считывания треков платежных карт

Приостановка клиентами своих платежей (п.2.6.9 Положения №382-П)

Операторы по переводу денежных средств должны обеспечить клиентам возможность приостановления (блокирования) приема к исполнению распоряжений об осуществлении денежных переводов от их имени

Информирование о вирусном заражении (п.2.7.5 Положения №382-П)

В соответствии с этим требованием, теперь необходимо уведомлять о фактах обнаружения и (или) воздействия вредоносного кода оператора платежной системы и прочих субъектов платежной системы

Защита от внешних атак (п.2.8.1 Положения №382-П)

При использовании сети Интернет для осуществления переводов денежных средств необходимо реализовать комплекс мер, позволяющих снизить тяжесть последствий от атак, целью которых является создания условий для невозможности предоставления услуг по переводу денежных средств или несвоевременности осуществления переводов денежных средств.

Защита от фишинга (п.2.8.2 Положения №382-П)

Операторы по переводу денежных средств теперь обязаны предоставлять клиентам рекомендации по защите информации от несанкционированного доступа путем использования ложных (фальсифицированных) ресурсов сети Интернет

Среди прочих отличий Положения №382-П от СТО БР ИББС-1.0 стоит отметить следующие:

Ряд требований, относящихся в СТО БР ИББС-1.0 к разряду рекомендательных, переведен Положением №382-П в обязательные

В частности, обязательной становится эшелонированная антивирусная защита с применением антивирусных средств различных производителей (п.2.7.3 Положения), а также формирование собственных служб информационной безопасности в филиалах банков (п.2.11.2 Положения).

Значимость документирования требований к защите информации существенно возросла

В соответствии с п.2.1 «Порядка проведения оценки соответствия и документирования ее результатов» (Приложение 1 к Положению №382-П), отсутствие во внутренних документах организации оцениваемого требования не позволит выставить положительную (больше 0) оценку для этого требования, даже если оно идеально исполняется.

Меньше всего требований Положение №382-П предъявляет к банковским платежным агентам (субагентам), что вполне объясняется их ограниченной ролью в платежных системах.

Раздел 2.15 Положения №382-П предусматривает оценку исполнения требований к обеспечению защиты информации. Такая оценка может проводиться как самостоятельно, так и с привлечением внешних организаций. Периодической оценке (не реже одного раза в два года, а также по требованию Банка России) подлежат все участники платежных систем и операторы услуг платежной инфраструктуры. В связи с тем, что ответственность за исполнение банковскими платежными агентами (субагентами) требований к защите информации возложена на операторов по переводу денежных средств, для банковских платежных агентов (субагентов) требований по периодическому прохождению оценки не предъявлено.

Стоит также отметить, что согласно Указания Банка России №3007-У первая оценка исполнения требований к обеспечению защиты информации должна быть проведена в течение шести месяцев с момента получения организацией статуса оператора по переводу денежных средств, оператора услуг платежной инфраструктуры и/или оператора платежной системы. Учитывая, что все банки являются операторами по переводу денежных средств, а Указание №3007-У вступило в силу 10.07.2013, всем банкам необходимо завершить первую самооценку или внешний аудит на соответствие требованиям Положения №382-П не позднее 10 января 2014 года.

О необходимости применения сертифицированных СЗИ

В соответствии с пунктом 2.6.2 Положения №382-П, субъекты платежной системы должны обеспечить применение некриптографических средств защиты информации от несанкционированного доступа, в том числе прошедших в установленном порядке процедуру оценки соответствия. При этом применение в качестве средств защиты информации такого типа решений иностранного производства явно разрешено.

Это означает, что вопрос сертификации таких средств защиты в явном виде не прописан, что дает возможность оператору платежной системы устанавливать эти требования самостоятельно, по аналогии с п.7.4.2 СТО БР ИББС-1.0.

Пункт 2.9.1 Положения №382-П выдвигает требования к обеспечению защиты информации с использованием средств криптографической защиты (далее – СКЗИ). Второй абзац данного пункта гласит:

«В случае если оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры применяют СКЗИ российского производителя, указанные СКЗИ должны иметь сертификаты уполномоченного государственного органа».

То есть сертификация СКЗИ обязательна только для отечественных решений. При этом необходимость применения СКЗИ для обеспечения защиты информации при осуществлении переводов денежных средств определяет оператор платежной системы.

УКАЗАНИЕ №2831-У ОБ ОТЧЕТНОСТИ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ

Указание №2831-У устанавливает, в какой форме, и с какой периодичностью субъекты платежных систем должны отчитываться перед Банком России о состоянии информационной безопасности в платежных системах. Установлены два вида отчетности (см. Таблицу 2), формы и методики составления которых приведены в приложениях к Указанию №2831-У.

Оба вида отчетов должны предоставляться операторами платежных систем, операторами услуг платежной инфраструктуры и операторами по переводу денежных средств.

Отчетность

Периодичность предоставления

Крайний срок

Сведения о выполнении требований к обеспечению защиты информации при осуществлении переводов денежных средств

Не реже одного раза в два года, а также по требованию Банка России

Не позднее 30 рабочих дней со дня завершения оценки выполнения требований Положения N382-П

Первая оценка должна быть завершена не позднее 10.01.2014

Первый отчет должен быть предоставлен не позднее 21.02.2014

Сведения о выявлении инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств

Ежемесячно, не позднее 10 рабочего дня месяца, следующего за отчетным

Выявление и регистрация инцидентов должны были начаться с 01.07.2012

Первый отчет надо было предоставить не позднее 14.08.2012

Таблица 2. Отчетность по защите информации, направляемая в Банк России

Примечательно, что в отчет о выявленных инцидентах необходимо включать сведения об инцидентах, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, последствием которых являются:

Нарушение предоставления услуг по переводу денежных средств или несвоевременность осуществления переводов денежных средств:
воздействие вредоносного кода, результатом которого является нарушение БФПС;
воздействие на объекты инфраструктуры с целью нарушения БФПС;
нарушение БФПС в течение 3-х часов и более;
Неавторизованные переводы денежных средств – несанкционированное списание:
нарушение конфиденциальности информации, необходимой для удостоверения клиентами права распоряжения денежными средствами;
компрометация ключевой информации СКЗИ, используемых при осуществлении переводов денежных средств;
осуществление переводов денежных средств лицами, не обладающими правом распоряжения этими денежными средствами:
вследствие нарушения конфиденциальности информации, необходимой для удостоверения клиентами права распоряжения денежными средствами, или
вследствие компрометации ключевой информации СКЗИ, используемых при осуществлении переводов денежных средств;
Неавторизованные переводы денежных средств – искажение информации:
воздействие вредоносного кода, приводящее к осуществлению переводов денежных средств с использованием искаженной информации, содержащейся в распоряжениях клиентов, оформленных в рамках применяемой формы безналичных расчетов, распоряжениях участников платежной системы, распоряжениях платежного клирингового центра.

Как видно, Банк России необходимо уведомлять обо всех инцидентах, нарушающих и (или) способных нарушить доступность, конфиденциальность и целостность услуг по переводу денежных средств.

Положение №379-П о бесперебойности функционирования платежных систем

В соответствии с Положением №379-П оператор платежной системы определяет порядок обеспечения БФПС, а прочие участники платежной системы должны следовать этому порядку, который является неотъемлемой частью правил платежных систем.

Субъекты платежной системы, не являющиеся кредитными организациями, должны выделить сотрудников или структурные подразделения, ответственные за деятельность по обеспечению БФПС, в то время как банки организуют деятельность по реализации порядка обеспечения БФПС в рамках действующих внутренних систем управления рисками.

Пока сложно определить уровень загрузки специалистов операторов услуг платежной инфраструктуры, операторов по переводу денежных средств и банковских платежных агентов (субагентов), на которых будет возложена ответственность за обеспечение БФПС, поскольку он полностью зависит от определяемых операторами платежных систем порядков обеспечения БФПС.

Однако смело можно говорить об увеличении нагрузки на работников операторов платежных систем, которые еще к 1 января 2013 года должны были определить правила обеспечения бесперебойности платежной системы и организовать контроль их соблюдения всеми участниками платежной системы.

ЗАКЛЮЧЕНИЕ

С 1 июля 2012 года Банк России начал регистрацию операторов платежных систем. На момент написания данной статьи была зарегистрирована уже 28 платежных систем, в том числе платежные системы Visa, MasterCard и «Универсальная электронная карта». При этом подавляющее число операторов платежных систем пока не детализировали порядок обеспечения защиты информации при осуществлении переводов денежных средств. Так, например, во многих правилах уровень детализации порядка реагирования на инциденты информационной безопасности не дает ясного понимания как действовать в случае выявления инцидента, кого и когда уведомлять о его обнаружении, как и сколько времени сохранять следы инцидента, и т.д. Формально правила платежных систем отвечают предъявляемым к ним требованиям, но не дают ответа на вопрос как именно обеспечивать информационную безопасность и бесперебойность функционирования платежной системы.

Нет сомнений, что со временем ситуация изменится, и требования получат необходимый уровень детализации. Учитывая, что в оказание услуг по переводу денежных средств прежде всего вовлечены финансовые организации, операторы платежных систем при формировании этих требований скорее всего возьмут за основу Положение Банка России №382-П и документы по стандартизации в области информационной безопасности, выпущенные Банком России.

Однако, не смотря на то, что практически все требования по защите информации в общих чертах уже расписаны в документах Банка России, не факт, что все операторы платежных систем удовлетворятся этими документами. Это может привести к возникновению коллизий при обеспечении защиты информации в рамках исполнения противоречивых требований различных платежных систем.

Все банки в РФ являются, как минимум, операторами по переводу денежных средств в платежной системе Банка России. И независимо от того, входит ли банк в какую-либо еще платежную систему, на него распространяются требования Банка России в области обеспечения защиты информации при осуществлении переводов денежных средств (Положение №382-П) и отчетности по обеспечению защиты информации (Указание №2831-У).

Поскольку требования Банка России по обеспечению защиты информации при осуществлении переводов денежных средств не многим отличаются от уже известных требований СТО БР ИББС-1.0, целесообразно проводить работы по приведению в соответствие Положению №382-П и СТО БР ИББС-1.0 комплексно.

Кроме того, целесообразно скорректировать процессы мониторинга событий и реагирования на инциденты информационной безопасности так, чтобы подготовка отчетности по инцидентам, отражающей реальную картину, не становилась ежемесячной головной болью службы ИБ. «Ручное» выявление большинства типов инцидентов, о которых необходимо ежемесячно уведомлять Банк России, малоэффективно. Применение систем управления событиями информационной безопасности (SIEM) способно обеспечить выявление таких инцидентов практически в реальном времени. Решение этих задач позволит не только выполнить требования Банка России, но и «открыть глаза» службе ИБ на общее состояние защищенности информации в платежной системе, скорректировать (в случае необходимости) карту рисков информационной безопасности и БФПС, обеспечить возможность извлечения уроков из инцидентов и совершенствования системы обеспечения защиты информации в целом.

Защита банкомата согласно Закону о КИИ: как избежать уязвимости традиционной архитектуры

В части защиты сетевой коммуникации все специфичное в требованиях к КИИ сводится к тому, что при взаимодействии с использованием сетей общего доступа каждый узел должен быть защищен СКЗИ высокого класса.

Представляется, что такое перечисление возможных атак уже содержит ответ на извечный вопрос: «Что делать?». Надо защитить каналы — как от процессингового центра к компьютеру, так и от компьютера к диспенсеру — и обеспечить целостность программно-аппаратной среды компьютера.

В действительности, как правило (не станем утверждать, что всегда), защищается канал между процессинговым центром и компьютером банкомата. И того, как он защищается, зачастую недостаточно для удовлетворения требований к КИИ.

Фактически в части защиты сетевой коммуникации все специфичное в требованиях к КИИ сводится к тому, что при взаимодействии с использованием сетей общего доступа каждый узел должен быть защищен средством криптографической защиты информации (СКЗИ) высокого класса. Все остальное — следствия из этого обстоятельства или детали сертификационных требований.

Применение СКЗИ высоких классов предписано и отраслевыми стандартами финансовой сферы. Так, согласно п. 3.1 Положения № 683-П[1], системно значимые кредитные организации, а также кредитные организации, значимые на рынке платежных услуг, должны реализовывать усиленный уровень защиты информации по ГОСТ Р 57580.1-2017[2]. В данном ГОСТе для усиленного уровня защиты информации предписывается использование СКЗИ, имеющих класс не ниже КС2. Эти требования в первую очередь касаются именно контуров банковской инфраструктуры, предназначенных для банкоматов, взаимодействия с территориальными отделениями и других коммуникаций.

Как оборудовать каждый банкомат СКЗИ, сертифицированным на высокий класс?

Неприемлемо использовать для этого установленный на компьютер в банкомате программный VPN. Даже в случае, если для него создана и поддерживается среда функционирования криптографии (СФК), это неприемлемо потому, что при обслуживании в ПО этого компьютера могут быть внесены изменения, нарушающие СФК, а проведение в каждом случае соответствующих проверок просто невозможно организационно, работа остановится. Более того, нет никаких гарантий, что непредсказуемые изменения — например, замена компьютера на свой, специальный, — не будут произведены злоумышленником при работах вообще не с компьютером, а, например, с диспенсером.

Ситуация выглядит несколько лучше при использовании аппаратного шлюза, однако, если смотреть правде в глаза, отечественные сертифицированные устройства в этом качестве не используются, поскольку они дороги, избыточны по своим характеристикам, очень велики по размеру и подвержены множеству уже хорошо разработанных и постоянно появляющихся новых атак.

Использование же импортных устройств подходящего размера неприемлемо по причине их несоответствия требованиям регуляторов.

Выполнение еще одного требования регулятора к СКЗИ высокого класса — работа с неизвлекаемым ключом — в КИИ также характеризуется существенными особенностями.

«Неизвлекаемость» — это свойство, описывающее связь ключа с некоторым его физическим хранилищем, то есть, говоря о том, что ключ неизвлекаем, необходимо уточнять, откуда. Неизвлекаемые ключи обычно неизвлекаемы из токена, который, как правило, представляет собой USB-устройство, смарт-карту или Touch Memory. О реализации этого требования в документах на СКЗИ для защиты канала высоких классов сертификации сообщается следующее: «Требование неизвлекаемости ключа выполняется применением токена…». Требование выполнено, однако токен с неизвлекаемым ключом является инструментом решения задачи, существенно отличающейся от защиты сетевого взаимодействия объектов КИИ.

Токен предназначен для того, чтобы ключ пользователя был отчуждаем от средства вычислительной техники, на котором пользователь осуществляет те или иные операции с ключом. В случае банкомата отчуждаемость не только избыточна, но и вредна: с одной стороны, она делает возможными сценарии атак с подменой или иными вариантами компрометации ключа за счет отчуждаемости его носителя, а с другой — подключенное к порту USB-устройство резко снижает надежность решения при вибрации, ударах, нагревании и прочих особенностях условий, в которых работают технические средства на объектах КИИ. Самое же главное — решение с отчуждаемым ключом не может обеспечивать автоматический старт без нарушения условий эксплуатации, так как требуется подключение ключевого носителя человеком, его авторизация для доступа к ключу.

Модуль работы с неизвлекаемым ключом в таких технических средствах, как банкомат, должен быть реализован как часть резидентного компонента безопасности, размещенного непосредственно на плате компьютера, а не как отчуждаемый персональный носитель ключа.

Использование таких решений в банкоматах требует адаптации, сводящейся по существу к обходу документированных правил пользования.

Наконец, существенная задача, которая стоит перед производителем криптошлюза для объекта КИИ (в частности, банкомата), связана уже не с требованиями, а с техническими особенностями этих объектов: она заключается в том, чтобы поддержать множество разнообразных интерфейсов.

Примеров таких СЗИ для защиты сетевой коммуникации в инфраструктуре, включающей разнообразное оборудование, взаимодействующее разнообразным образом по различным каналам, на сегодняшний день немного, но они есть.

Так, недавно с положительным результатом завершены исследования соответствия СКЗИ Dcrypt 1.0 v.2 классу КС2 (вариант исполнения 29) и КС3 (вариант исполнения 30) при исполнении на специализированном компьютере с аппаратной защитой данных m-TrusT[3].

Положительное заключение регулятора свидетельствует о том, что данный специализированный компьютер обеспечивает среду функционирования криптографии для СКЗИ высоких классов и аналогичные заключения могут быть получены и для других СКЗИ, если на то будет желание вендора.

Специализированный компьютер с аппаратной защитой данных

Решение проблем адаптации СКЗИ к разнообразному оборудованию, на котором оно должно функционировать, обеспечивает конструктивная особенность данного компьютера. Сложность этой задачи в том, что адаптация СКЗИ — это повторная сертификация. Поэтому при необходимости защитить «нестандартное» (т.е. отличающееся от офисного компьютера) техническое средство мы сталкиваемся с необходимостью временных и финансовых затрат на пересертификацию или с необходимостью адаптации защищаемого технического средства к средству защиты, чтобы не тронуть сертифицированное.

Задача решается путем декомпозиции: разделения СЗИ на то, что должно быть неизменным, чтобы не требовалось повторной сертификации, и то, что может меняться для того, чтобы интегрироваться с очередным техническим средством на очередном объекте КИИ (например, с банкоматом другой модификации или с инфокиоском, терминалом эквайринга).

Так, должно быть выделено аппаратное ядро, а встраивание должно выполняться за счет создания несложных интерфейсных плат, обеспечивающих транспорт и необходимый форм-фактор, но не связанных с выполнением криптографических функций.

Ядро проектируется как универсальное, а множество интерфейсных плат может включать любые форм-факторы, набор которых зависит только от особенностей объектов КИИ.

Сам специализированный компьютер одноплатный и представляет собой «мезонин», устанавливаемый непосредственно в защищаемый объект или подключаемый к нему с помощью интерфейсной платы — не выполняющей никаких преобразований информации, а лишь обеспечивающей технологическую и конструктивную совместимость.

Каждый такой компьютер является точкой сбора информационных и (или) управляющих сигналов от ПКО, их шифрования для передачи по каналам связи, а также приема зашифрованных сигналов из каналов связи и их расшифровки[4].

Новая гарвардская архитектура как основа построения СФК

Новая гарвардская архитектура подробно описана в других работах[5], здесь же остановимся только на тех ее особенностях, которые обеспечивают так называемый «вирусный иммунитет» — невозможность внедрения извне какого-либо кода, способного повлиять на исполняемую устройством информационную технологию. В компьютерах традиционных архитектур, как фоннеймановской, так и гарвардской (любой архитектуры, являющейся реализацией машины Тьюринга), заложена уязвимость, делающая возможными атаки с целью перехвата управления.

Это уязвимость универсального исполнителя: средство вычислительной техники, предназначенное для выполнения любых задач, неизбежно выполнит вредоносную.

В компьютерах традиционных архитектур, как фоннеймановской, так и гарвардской (любой архитектуры, являющейся реализацией машины Тьюринга), заложена уязвимость, делающая возможными атаки с целью перехвата управления.

Блокирование этой уязвимости возможно двумя путями:

установкой комплекса дорогих и сложных в настройке средств защиты информации (а значит, умножением точек потенциального отказа) либо
изменением архитектуры вычислительной машины.

Такой измененной архитектурой, лишенной базовой уязвимости и запатентованной[6], является разработанная в России Новая гарвардская архитектура.

Соответствие требованиям нормативной методической базы

Компьютер с аппаратной защитой данных, как любой универсальный защищенный компьютер, может использоваться для реализации всех технических мер обеспечения безопасности значимых объектов КИИ, включая:

идентификацию и аутентификацию;
управление доступом;
ограничение программной среды;
защиту машинных носителей информации;
аудит безопасности;
антивирусную защиту;
предотвращение вторжений (компьютерных атак);
обеспечение целостности;
обеспечение доступности;
управление обновлениями программного обеспечения.

Наиболее же эффективно использовать его для обеспечения группы мер защиты информационной (автоматизированной) системы и ее компонентов.

При использовании данного компьютера в составе ИС важно соответствие его собственных свойств требованиям регулятора. Этому посвящена табл. 1. В табл. 2 приведены те меры, которые обеспечиваются в системах КИИ.

Таблица 1

Соответствие m-TrusT техническим мерaм Требований по обеспечению безопасности значимых объектов КИИ[7]

Обозначение и номер меры

Меры обеспечения безопасности значимого объекта

Соответствие требованиям ФСТЭК России

Примечание

I. Идентификация и аутентификация (ИАФ)

Меры ИАФ.0, ИАФ.3, ИАФ.4 организационные. Мера ИАФ.6 необязательная

Идентификация и аутентификация пользователей и инициируемых ими процессов

Идентификация и аутентификация устройств

Идентификация и аутентификация внешних пользователей

Защита аутентификационной информации при передаче

II. Управление доступом (УПД)

Меры УПД.0, УПД.4, УПД.5 организационные. Меры УПД.7, УПД.8, УПД.12 необязательные

Управление учетными записями пользователей

Не имеет пользователей, так как обычно работает в автоматическом режиме

Реализация модели управления доступом

Управление доступом осуществляется ключевой системой

Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему

Ограничение числа параллельных сеансов доступа

Ограничивается ключевой системой

Блокирование сеанса доступа пользователя при неактивности

Управление действиями пользователей до идентификации и аутентификации

Реализация защищенного удаленного доступа

Защита удаленного доступа обеспечивается СКЗИ

Контроль доступа из внешних информационных (автоматизированных) систем

III. Ограничение программной среды (ОПС)

Меры ОПС.0 и ОПС.2 организационные. Мера ОПС.3 необязательная

Управление запуском (обращениями) компонентов программного обеспечения

IV. Защита машинных носителей информации (ЗНИ)

Меры ЗНИ.0–ЗНИ.2 организационные. Меры ЗНИ.3 и ЗНИ.4 необязательные

Контроль использования интерфейсов ввода (вывода) информации на съемные машинные носители информации

Отсутствует возможность подключения съемных машинных носителей информации.

В системе обеспечивается использованием СЗИ «Секрет Особого Назначения»

Контроль ввода (вывода) информации на съемные машинные носители информации

Отсутствует возможность подключения съемных машинных носителей информации.

Обеспечивается использованием СЗИ «Секрет Особого Назначения»

Контроль подключения съемных машинных носителей информации

Отсутствует возможность подключения съемных машинных носителей информации.

Обеспечивается использованием СЗИ «Секрет Особого Назначения»

Уничтожение (стирание) информации на машинных носителях информации

V. Аудит безопасности (АУД)

Меры АУД.0–АУД.2, АУД.10 и АУД.11 организационные

Генерирование временных меток и (или) синхронизация системного времени

Обеспечивается собственной системой времени

Регистрация событий безопасности

Контроль и анализ сетевого трафика

Защита информации о событиях безопасности

Кто контролирует соответствие защиты банкоматов установленным требованиям