Руководство Клиента по обеспечению информационной

Руководство Клиента по обеспечению информационной безопасности
при работе в Системе «iBank 2» ООО КБ «СОЮЗНЫЙ».
1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
Банк –
ответственностью).
Коммерческий
банк
«СОЮЗНЫЙ»
(общество
с
ограниченной
БД – база данных.
РМ – рабочее место.
Ключ проверки электронной подписи - уникальная последовательность символов,
однозначно связанная с ключом электронной подписи и предназначенная для проверки
подлинности электронной подписи.
Ключ электронной подписи - уникальная
предназначенная для создания электронной подписи.
последовательность
символов,
Ключи электронной подписи (далее - Ключи ЭП):
Носитель Ключей ЭП - отчуждаемое устройство хранения данных (Floppy-диск, Flashнакопитель, USB-токен , смарт-карта, ), содержащее Ключи ЭП.
ОС – операционная система.
Платежные документы в электронной форме - в рамках настоящего Руководства
следует понимать электронный документ, содержащий информацию о платеже Клиента и
электронную подпись Клиента.
ПО – программное обеспечение.
Сертификат Ключа ЭП Клиента (далее по тексту – Сертификат) – электронный
документ или документ на бумажном носителе, формируемый с использованием средств системы
ДБО и предназначенный для подтверждения принадлежности ключа проверки электронной
подписи владельцу сертификата ключа проверки электронной подписи.
Система – Система «iBank 2» ООО КБ «СОЮЗНЫЙ»
Система дистанционного банковского обслуживания (далее по тексту - Система
ДБО) - комплекс программно-технических средств и организационных мероприятий для создания
и передачи электронных платежных документов по каналам связи.
Средство криптографической защиты информации (СКЗИ) - сертифицированные
ФСБ средства криптографической защиты конфиденциальной информации.
Шифрование - криптографическое преобразование данных, позволяющее
предотвратить доступ неуполномоченных лиц к содержимому зашифрованного электронного
документа.
Электронная подпись (далее - ЭП) – информация в электронной форме, которая
присоединена к другой информации в электронной форме (подписываемой информации) или
иным образом связана с такой информацией и которая используется для определения лица,
подписывающего информацию.
Электронный документ - электронный аналог расчетного или иного документа,
защищенный Электронной подписью и представленный в формате, определяемом
соответствующими программными ресурсами, при помощи которых создан Электронный
документ.
OTP-токен - устройство с интегрированным алгоритмом DES/3DES для вычисления
одноразового пароля на основе текущего времени и уникального идентификатора и секретного
ключа самого устройства.
MAC-токен – аппаратное устройство, предназначенное для генерации одноразовых
паролей и использующееся для аутентификации Клиента–юридического лица, для подтверждения
платежных поручений и для формирования списков доверенных получателей в Системе «iBank 2».
2. ОБЩИЕ ПОЛОЖЕНИЯ.
2.1.
Настоящее Руководство разработано в целях обеспечения информационной
безопасности при работе КЛИЕНТОВ в системе ДБО – Системе «iBank 2» ООО КБ «СОЮЗНЫЙ».
2.2.
Данные методические рекомендации разработаны на основе:
«Инструкции об организации и обеспечении безопасности хранения, обработки и
передачи по каналам связи с использованием средств криптографической защиты информации с
ограниченным доступом, не содержащей сведений, составляющих государственную тайну»,
утвержденной приказом ФАПСИ от 13 февраля 2001 года №152;
«Положения о разработке, производстве, реализации и эксплуатации шифровальных
(криптографических) средств защиты информации» (Положение ПКЗ-2005), утвержденное
Приказом ФСБ России от 9 февраля 2005г. № 66;
-
эксплуатационной документации:
o
на USB-токен (смарт-карту) «iBank 2 Key», содержащего СКЗИ «Криптомодуль С23»,
сертифицированное ФСБ РФ по классу КС2.;
o
на криптобиблиотеку «Крипто-Ком 3.2» от разработчика СКЗИ ЗАО «Сигнал-КОМ».;
o
на криптобиблиотеку «Крипто-Си» Версия 2.0 от разработчика СКЗИ ООО «КриптоЭкс».;
o
технической документацией на Систему «iBank 2» ООО КБ «СОЮЗНЫЙ» (далее по тексту
Система).
2.3.
Информационная безопасность Рабочего Места КЛИЕНТА Системы «iBank 2» (далее
по тексту РМ) должна обеспечиваться с использованием комплексных (организационных,
административных, технических и программных) мер и средств.
2.4.
С целью обеспечения безопасности информации:
руководством КЛИЕНТА должен быть утвержден список пользователей и
администраторов, допускаемых к работе на РМ, с закреплением за каждым пользователем
конкретных функций и полномочий;
руководством КЛИЕНТА должен быть назначен сотрудник ответственный за
обеспечение безопасности РМ;
пользователи РМ должны пройти обучение правилам эксплуатации согласно
документации на Систему и быть ознакомлены с настоящими методическими рекомендациями;
оборудование РМ должно размещается в служебных помещениях, для которых
обеспечен режим ограниченного доступа;
программное обеспечение РМ и носители ключевой информации должны быть
защищены от несанкционированного доступа (НСД).
2.5.
При использовании КЛИЕНТОМ персонального аппаратного криптопровайдера с
неизвлекаемыми секретными ключами Электронной подписи (USB-токена «iBank 2 Key», смарткарты «iBank2 Key»), секретные ключи Электронной подписи КЛИЕНТА защищены от
копирования, но при этом КЛИЕНТ не освобождается от выполнения изложенных требований.
2.6.
Обеспечение безопасной программно-аппаратной среды исполнения на компьютере
КЛИЕНТА - это задача, которую может и должен решать только КЛИЕНТ. Банк не может за
клиента решить эту задачу, поскольку объект защиты (компьютер) находится в полном
распоряжении КЛИЕНТА.
2.7.
Для работы с СКЗИ с Системе КЛИЕНТУ не нужно получать никаких лицензий в ФСБ
России, все необходимые лицензии на деятельность по использованию СКЗИ (шифровальных
средств) имеются у Банка.
2.8.
В Системе используются сертифицированные ФСБ России СКЗИ, предназначенные для
защиты информации, не содержащей сведений, составляющих государственную тайну, при
обеспечении безопасности информации по уровню «КС1» и «КС2». Банк предоставляет
КЛИЕНТУ СКЗИ во временное пользование на период действия Договора и только для
использования в Системе.
2.9.
Уполномоченные сотрудники клиента на работу с Системой допускаются КЛИЕНТОМ к
работе в Системе только после ознакомления их с настоящим Руководством. Ответственность за
ознакомление уполномоченных сотрудников с данным Руководством лежит на руководителе
Организации.
3. АКТУАЛЬНЫЕ УГРОЗЫ ПРИ ИСПОЛЬЗОВАНИИ СИСТЕМЫ «IBANK 2»
В данном Руководстве представлен перечень основных угроз информационной
безопасности при работе с Системой.
Данный перечень не является исчерпывающим.
3.1 Угрозы, вызванные действиями злоумышленников.
В основном, действия злоумышленников в системе ДБО направлены на хищение
денежных средств со счета КЛИЕНТА и, как правило, предполагают несанкционированное
использование программного обеспечения и/или Ключей ЭП КЛИЕНТА и одноразовых кодов
подтверждения (простая электронная подпись). Злоумышленник может быть как внешний (не
связанный с КЛИЕНТОМ), так и внутренний (сотрудник организации – КЛИЕНТА).
3.1.1 Похищение Ключей ЭП и паролей доступа к Ключам ЭП.
Дает возможность злоумышленнику создавать от имени КЛИЕНТА платежные
документы, с корректной ЭП КЛИЕНТА. Такой документ, в соответствии с договором на
дистанционное банковское обслуживание, не может быть не исполнен Банком.
3.1.2 Удаленное управление компьютером клиента.
Злоумышленник создает от имени пользователя Системы платежные документы, с
корректной ЭП КЛИЕНТА, на компьютере КЛИЕНТА. При этом злоумышленник может:
изменить информацию отображаемую КЛИЕНТУ в Системе. (например, КЛИЕНТУ не
будут отображаться проведенные злоумышленником платежи и будет не верно отражен остаток
по счету).
частично или полностью вывести из строя компьютер пользователя Системы (компьютер
может вообще не включаться или “зависать” при загрузке или при подключении к Системе ДБО).
создать платежное поручение и сохранить его в Системе, в надежде что КЛИЕНТ, не
заметит нелегитимный документ в большом объеме отправляемых санкционированных платежей,
подпишет и отправит его по Системе в Банк.
3.1.2 Блокирование доступа клиента к сайту входа в Систему ДБО.
Злоумышленник блокирует возможность доступа к Системе ДБО одним из нескольких
способов:
выводит из строя компьютер пользователя;
-
блокирует локальную вычислительную сеть организации КЛИЕНТА, либо блокирует
выход в Интернет организации;
-
блокирует доступ к сайту Банка и/или к Системе;
-
блокирует доступ к сайту компании разработчика Системы.
3.2 Угрозы вызванные действиями/бездействием сотрудников КЛИЕНТА.
3.2.1 Незнание и/или невыполнение требований обеспечения информационной
безопасности
Существенно повышает вероятность реализации угроз, вызванных действиями
злоумышленников.
3.2.2 Неосторожные действия сотрудников КЛИЕНТА.
Существенно повышают вероятность
злоумышленников. А также могут привести к:
реализации
угроз,
вызванных
действиями
-
уничтожению, блокированию или компрометации Ключей ЭП (не будет уверенности, что
Ключи ЭП и/или пароль доступа к контейнеру с Ключами ЭП не стали известны
неуполномоченному лицу) – и как следствие, возникает необходимость произвести замену
Ключа ЭП;
-
выводу из строя программно-аппаратного обеспечения КЛИЕНТА, обеспечивающего доступ к
Системе ДБО.
3.2.2 Умышленные злонамеренные действия сотрудников КЛИЕНТА.
По аналогии с рассмотренными угрозами в п. 3.1.
3.3 Угрозы вызванные сбоями в каналах связи и каналообразующем оборудовании.
Отсутствие возможности связаться Банку с клиентом и клиенту с Банком.
3.4 Угрозы, вызванные сбоями в информационных системах Банка.
Временная недоступность одного или нескольких сервисов, предоставляемых Банком.
4. МЕРЫ СНИЖЕНИЯ ВЕРОЯТНОСТИ РЕАЛИЗАЦИИ УГРОЗ.
Основные меры снижения вероятности реализации угроз непосредственно направлены:
-
на защиту Ключей ЭП от несанкционированного доступа;
-
на защиту компьютера, с которого производится работа в Системе ДБО;
-
на защиту информации, циркулирующей в Системе ДБО.
4.1 Меры, снижающие вероятность неправомерного доступа к Ключам ЭП.
4.1.1 Хранение Ключей
криптопровайдер) «iBank 2 key».
ЭП
на
USB-токене
(персональный
аппаратный
Специализированный носитель, обеспечивающий неизвлекаемость Ключей ЭП (Ключи
ЭП не могут быть скопированы злоумышленником ни при каких обстоятельствах).
4.1.2 Выполнение правил выбора пароля доступа к Ключам ЭП
-
Пароль выбирается самостоятельно уполномоченным
пользователем персонального USB - токена;
сотрудником
КЛИЕНТА,
-
Не допускается хранение пароля для доступа к контейнеру Ключей ЭП, на материальном
носителе в доступном для посторонних лиц месте (если пароль записан на бумаге, то
хранится в месте, недоступном для посторонних лиц – например, в сейфе, в раздельном
отсеке, отдельно от самого USB - токена);
-
Пароль должен содержать не менее 6 различных символов (большие и маленькие буквы и
цифры);
-
Пароль подлежит обязательной смене, если он стал известен постороннему лицу и
отсутствует компрометация Ключей ЭП;
-
В качестве пароля не используются:
o угадываемые последовательности, состоящие из одних цифр (в том числе даты, номера
телефонов, номер автомобиля и т.п.);
o
o
o
o
o
последовательности повторяющихся букв или цифр;
подряд идущие в раскладке клавиатуры или в алфавите символы;
имена и фамилии;
ИНН или другие общедоступные реквизиты КЛИЕНТА;
любые пароли, задействованные для использования в других сервисах и системах.
4.1.3 Исключение доступа посторонних лиц к носителям ключевой информации
(дискета, CD, flash-карта, USB-токен, смарт-карта, жесткий диск)
-
Носители ключевой информации и пароли доступа к ним необходимо хранить в
недоступном для посторонних лиц месте и отдельно друг от друга;
-
По завершении работы в Системе «iBank 2» или перерыва в работе, носитель ключевой
информации извлекается из устройства;
-
Носитель ключевой информации используется только для подписания электронных
документов или многофакторной аутентификации в Системе;
-
Ключ ЭП запрещается самостоятельно копировать и/или передавать персональный
ключевой носитель другим лицам;
-
В случае смены ответственного лица, осуществляющего подпись электронных документов,
утере носителя ключевой информации, а также о любом подозрении на компрометацию
ключей ЭП необходимо незамедлительно сообщить в Банк для блокировки Ключей ЭП.
4.2 Меры, снижающие вероятность неправомерного доступа к компьютеру пользователя
системы ДБО
4.2.1 Ограничение доступа к рабочим местам, с которых осуществляется работа в
Системе «iBank 2» (далее «Рабочие места Системы «iBank 2»)
-
Право доступа к Рабочим местам Системы «iBank 2» необходимо предоставлять лицам,
непосредственно осуществляющим работу в Системе «iBank 2»;
-
Рабочие места, на которых осуществляется работа с Системой «iBank 2», запрещается
оставлять без контроля во включенном состоянии (при кратковременном отсутствии
пользователя, средствами операционной системы блокируется рабочее место, и
извлекается ключевой носитель).
4.2.2 Настройка «доверенной среды» и исключение несанкционированного изменения
программного обеспечения на рабочих местах Системы «iBank 2»
-
Используется только лицензионное прикладное и системное программное обеспечение,
полученное из доверенных источников;
-
Устанавливаются все обновления системы безопасности, рекомендуемые производителем
операционной системы и разработчиком прикладного программного обеспечения,
установленных на компьютере;
-
Отключается учетная запись для гостевого входа (Guest);
-
Отключаются режимы отображения окна всех зарегистрированных на рабочем месте
Системы «iBank 2» пользователей и быстрого переключения пользователей (для ОС
Windows XP);
-
Для всех учетных записей в операционной системе
удовлетворяющие требованиям п. 4.1.2 настоящего Руководства;
-
Для защиты РМ от несанкционированного доступа из внешней или локальной сети
используется и своевременно обновляется специализированное ПО для защиты
используются
пароли,
информации — антивирусное ПО с регулярно обновляемыми базами, персональные
межсетевые экраны, средства защиты от несанкционированного доступа и другие
технические средства защиты;
-
При подозрении, что компьютер заражен, а также в случае обнаружения
незарегистрированных программ или нарушения целостности операционной системы,
работа в Системе «iBank 2» немедленно прекращается (отсоединяется ключевой носитель),
а об инциденте незамедлительно сообщается в Банк.
4.2.3 Соблюдение правил безопасной работы в сети Интернет на рабочих местах
Системы «iBank 2»
-
Не допускается открывать сайт Системы «iBank2» по ссылкам (особенно баннерным или
полученным через почту);
-
Не допускается отвечать на подозрительные письма и SMS – сообщения с просьбой
выслать секретный ключ ЭП, пароль и другие конфиденциальные данные Системы
«iBank2»;
-
Не устанавливаются и не сохраняются подозрительные файлы, полученные из ненадежных
источников, скачанные с неизвестных web-сайтов, присланные по электронной почте,
полученные на форумах, и т.д. ;
-
На компьютере не запускаются программы, полученные не из доверенных источников.
4.3 Меры снижающие вероятность неправомерного доступа (ознакомление, искажение,
подмена, блокирование) к информации, а также меры обнаружения фактов неправомерного
доступа к информации системы ДБО
При выборе данных мер, необходимо предполагать, что злоумышленник получил
доступ к компьютеру и Ключам ЭП пользователя Системы ДБО тем или иным способом, при этом
данный факт остается неизвестен ни КЛИЕНТУ, ни Банку.
4.3.1 Использование одноразовых паролей на вход в систему ДБО, получаемых без
использования компьютера пользователя Системы ДБО.
Возможны два варианта получения одноразовых паролей:
-
одноразовый пароль генерирует сервер Банка и посылает SMS-сообщение с паролем
пользователя, запросившего пароль на вход, на мобильные телефоны, указанные
пользователем Системы;
-
одноразовый пароль генерирует OTP-токен (от англ. “One Time Password” - одноразовый
пароль), который предоставляется Банком.
4.3.2 Использование одноразовых паролей для подтверждения платежных поручений в
системе ДБО, получаемых без использования компьютера пользователя и системы ДБО
Также возможны два варианта:
-
одноразовый пароль генерирует сервер Банка и посылает SMS-сообщение с паролем
пользователя, запросившего пароль на вход, краткой платежной информацией, для
идентификации и проверки подтверждаемого платежа, на мобильные телефоны, указанные
пользователем Системы;
-
одноразовый пароль генерирует OTP/MAC-токен.
Преимущество первого способа подтверждения является получение параметров
(сумма и получатель платежа) подтверждаемого платежного документа.
Клиент самостоятельно выбирает, свыше какой суммы должны подтверждаться
платежные поручения одноразовым паролем.
НЕ РЕКОМЕНДУЕТСЯ использовать групповую операцию дополнительного подтверждения
платежных поручений, так как в этом случае, при наличии на компьютере вредоносных программ,
подменяющих информацию отображенную на экране, КЛИЕНТ не сможет проконтролировать
реальные реквизиты отправляемых в Банк поручений.
4.3.3 Использование канала SMS-Банкинг для получения оповещений о событиях в
системе ДБО на мобильный телефон КЛИЕНТА.
С подробностями о настройке канала SMS-Банкинг можно ознакомиться в
документации на Систему – «Полное руководство по работе с Интернет-банкигом для
корпоративных клиентов» (Раздел «Мониторинг»).
С 1 января 2014 года КЛИЕНТ обязан самостоятельно настроить «канал доставки» и
событие «о движении средств по счету» для получения информации о движении средств по счету;
Рекомендуется так же настроить и обращать особое внимание на оповещение о
следующих событиях:
-
о входе в систему;
-
о поступлении в банк документа;
-
о текущих остатках.
Следует обращать внимание на получение сообщения, когда его быть не должно
(например, получение сообщения о входе в систему, когда владелец Ключа ЭП даже не пытался
войти в систему), а также не получение сообщения, когда оно должно быть (пример: в Банк по
системе ДБО направлен электронный документ, документу присвоен статус «Доставлен» или «На
обработке», а соответствующее сообщение не приходит). Такие случаи должны вызывать
подозрения у пользователя Системы ДБО и являться серьезным поводом связаться с Банком
для прояснения сложившейся ситуации.
4.3.2 Контроль состояния компьютера РМ пользователя Системы ДБО
Выход из строя компьютера или некорректная его работа («зависание» и/или
«торможение» на стадии загрузки или в процессе работы), невозможность подключиться к сети
Интернет вообще или к каким-либо интернет узлам - в частности также являются признаками
возможного несанкционированного (дистанционного) доступа к компьютеру пользователя
Системы ДБО.
4.3.2 Контроль доступности Системы ДБО
При попытках хищения денежных средств, злоумышленник может попытаться
ограничить возможность пользователя Системы ДБО обнаружить неправомерные документы
путем блокирования сайта Банка Системы (ссылка на сайт - https://ibank.soyuzny.ru/), в таком
случае, для проверки возможности входа в Систему, можно воспользоваться другим
компьютером, подключенным к сети Интернет с использованием другого провайдера связи.
4.4 Меры снижающие вероятность реализации угроз, вызванных не злонамеренными
действиями сотрудника организации - пользователя Системы ДБО
В данном случае меры организационного характера направлены на повышение
осведомленности сотрудников в вопросах информационной безопасности и принятия конкретных
правил и регламентов в организации, утверждающих порядок доступа и использования Системы
ДБО.
5. ТРЕБОВАНИЯ ПО ЗАЩИТЕ ПО РМ КЛИЕНТА ОТ НЕСАНКЦИОНИРОВАННОГО
ДОСТУПА (НCД).
5.1.
Защита ПО РМ КЛИЕНТА и носителей ключевой информации
несанкционированного доступа осуществляется с целью исключения возможностей:
от
-
появления в компьютерах, на которых установлены средства Системы, компьютерных
вирусов и программ, направленных на разрушение, нарушение работоспособности или
модификацию ПО Системы, либо на перехват информации, в том числе паролей секретных
ключей;
-
внесения несанкционированных изменений в технические и программные средства
Системы, а также в их состав;
-
внесения несанкционированных изменений в ЭД.
5.2.
Программное обеспечение автоматизированного рабочего места приема/передачи
платежных электронных документов Системы рекомендуется устанавливать на отдельный,
специально выделенный для этих целей персональный компьютер. Должна быть обеспечена в
обязательном порядке защита данного компьютера от сетевых атак и антивирусная
защита.
5.3.
В целях защиты РМ КЛИЕНТА от несанкционированного доступа на компьютеры
рекомендуется установить программно-аппаратный комплекс защиты от несанкционированного
доступа.
5.4.
Рекомендуется сформировать с помощью комплекса защиты от НСД функционально
замкнутую среду, обеспечивающую контроль целостности ПО и допускающую работу
пользователей строго в рамках, предоставляемых им возможностей и полномочий. Защите
подлежат системные и загрузочные файлы, а также файлы, связанные с работой средств
криптографической защиты информации (СКЗИ).
5.5.
На ЭВМ не должны устанавливаться средства разработки ПО и отладчики.
5.6.
Следует принять меры, препятствующие несанкционированному вскрытию системных
блоков персональных компьютеров, входящих в состав РМ КЛИЕНТА.
5.7.
Права администратора программно-аппаратных средств защиты от НСД предоставляются
сотруднику, ответственному за обеспечение безопасности РМ. Указанный сотрудник формирует
права доступа для каждого пользователя Системы, участвующего в приеме-передаче ЭД,
формировании ЭД и использовании носителей ключевой информации.
5.8.
Для защиты компьютеров РМ от НСД также должны использоваться штатные
возможности операционной системы.
6. ТРЕБОВАНИЯ ПО ОРГАНИЗАЦИИ ХРАНЕНИЯ И ИСПОЛЬЗОВАНИЯ НОСИТЕЛЕЙ
КЛЮЧЕВОЙ ИНФОРМАЦИИ.
6.1.
Клиент должен самостоятельно генерировать криптографические ключи Электронной
подписи на РМ, предназначенном для приема/отправки ЭД в Системе..
6.2.
Носители ключевой информации должны храниться только у тех лиц, которым они
принадлежат.
6.3.
Порядок хранения и использования носителей ключевой информации с секретными
ключами Электронной подписи должен исключать возможность несанкционированного доступа к
ним.
6.4.
Список лиц, имеющих доступ к носителям ключевой информации, определяется приказом
или распоряжением руководства КЛИЕНТА, согласно закрепленными за ними функциями и
полномочиями.
6.5.
Во время работы с носителями ключевой информации доступ к ним посторонних лиц
должен быть исключен.
6.6.
Для хранения носителей ключевой информации должны устанавливаться надежные
запираемые на ключ металлические сейфы. Для возможности контроля вскрытия сейфа и доступа
к ключевым носителям, должно производиться опечатывание сейфа. Допускается хранение в
одном сейфе нескольких ключевых носителей группы пользователей, но при этом необходимо
обеспечить хранение каждого экземпляра ключевого носителя в отдельной запираемой и
опечатываемой ячейке или ящике.
6.7.
По окончании рабочего дня, а также вне времени сеансов связи с Банком носители
ключевой информации должны храниться в сейфе.
6.8.
Хранение носителей ключевой информации допускается в одном сейфе с другими
документами, при этом отдельно от них и в упаковке, исключающей возможность негласного
доступа к ним посторонних лиц.
6.9.
-
-
Не разрешается:
передавать носители ключевой информации лицам, к ним не допущенным;
вставлять носитель ключевой информации в считывающее устройство компьютера в
режимах, не предусмотренных функционированием РМ для передачи/приема ЭД в Системе, а
также в считывающие устройства других компьютеров, не предназначенных для
передачи/приема ЭД в Системе;
оставлять носитель ключевой информации без присмотра на рабочем месте;
оставлять ключевой носитель подсоединенным к Компьютеру РМ в моменты
отсутствия активности передачи/приема в Системе ЭД.
записывать на носитель ключевой информации посторонние файлы.
7. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ ПО ЗАЩИТЕ РМ ОТ
НЕСАНКЦИОНИРОВАННОГО ДОСТУПА.
7.1.
Рекомендуется полностью блокировать сетевой доступ к ресурсам РМ (в том числе и
удаленный вход в сеть) с других рабочих станций локальной сети и в особенности из внешних
сетей. С этой целью рекомендуется установить и настроить соответствующим образом
персональный межсетевой экран.
7.2.
Рекомендуется ограничить использование сети Интернет пользователями РМ, т.е.
ограничить список доступных для соединения адресов, например, разрешить только соединение с
сервером банка. С этой целью также лучше всего использовать установленный персональный
межсетевой экран.
7.3.
В обязательном порядке должно быть установлено и регулярно обновляться антивирусное
программное обеспечение. Рекомендуется установить по умолчанию максимальный уровень
политик безопасности, т.е. не требующий ответов пользователя при обнаружении вирусов.
7.4.
Пользователи РМ, работающие с системой не должны иметь прав локального
администратора Операционной системы, с целью ограничения возможностей установки под этими
учетными записями несанкционированного программного обеспечения на компьютере. Доступ к
файловым ресурсам компьютера, особенно на запись, должен быть ограничен минимально
необходимыми правами. Пользователи должны запускать только те приложения, которые им явно
разрешены для выполнения должностных обязанностей. Запуск любого другого программного
обеспечения должен быть исключен организационными мерами или локальной (групповой)
политикой безопасности Компьютера РМ.
7.5.
Пользователи РМ, должны быть в обязательном порядке проинструктированы по вопросам
соблюдения основных требований безопасности, и в особенности по вопросам использования
антивирусных программ. Для каждого пользователя до начала его работы в Системе должно
быть организовано ознакомление с данным Руководством по информационной безопасности.
7.6.
Локальными (или доменными) политиками на компьютере рекомендуется ограничить
список пользователей, имеющих возможность входа в операционную систему.
7.7.
Рекомендуется ограничить или полностью отказаться от приема внешней (из Сети
Интернет) электронной почты. В обязательном порядке получаемые электронные почтовые
сообщения должны проверяться антивирусными средствами.
7.8.
На компьютере должна быть установлена только одна операционная система.
7.9.
Средствами BIOS компьютера следует исключить возможность загрузки операционной
системы, отличной от установленной на жестком диске, т.е. отключить загрузку с дискет, CD/DVD
приводов, USB flash дисков, сетевую загрузку и т.п.
7.10. Доступ к изменению настроек BIOS должен быть защищен паролем, который должен быть
известен только ответственному сотруднику за обеспечение Информационной безопасности.
7.11. Пользователям операционной системы должны быть назначены пароли. Длина паролей
должна составлять не менее 8-ми символов. Срок действия паролей должен быть ограничен,
например 3-мя месяцами.
7.12. Рекомендуется опечатать системный блок компьютера для предотвращения его
несанкционированного и бесконтрольного вскрытия – и регулярно проверять отсутствие
повреждений пломб.
7.13. Для ограничения доступа к компьютеру, проверки целостности используемого ПО,
рекомендуется установить и настроить на компьютер программно-аппаратный комплекс защиты
от НСД («Аккорд», «Соболь» и т.п.).
7.14. Необходимо обеспечить режим подключения ключевого носители к компьютеру,
предназначенному для передачи/приема ЭД в Системе только непосредственно при работе с
Системой в моменты выполнения операций подписания или обмена ЭД с Банком, по завершении
операции необходимо извлечь данный ключевой носитель. Не подключайте носители с ключевой
информацией к другим компьютерам.
7.15. Не рекомендуется подключать к РМ внешние устройства, в том числе носители
информации, не предусмотренные производственной необходимостью и не разрешенные к
применению ответственным за Информационную безопасность работником Организации.
8. ОБЩИЕ ТРЕБОВАНИЯ ПО УЧЕТУ СКЗИ.
8.1.
Необходимо вести Журнал поэкземплярного учета СКЗИ и ключевых носителей к ним.
8.2.
Уничтожение секретных ключей может производиться путем физического уничтожения
ключевого носителя, на котором они расположены, или путем стирания без повреждения
ключевого носителя (для обеспечения возможности его многократного использования).
8.3.
После плановой смены ключей Электронной подписи или компрометации секретных
ключей пользователи СКЗИ уничтожают выведенные из действия секретные ключи Электронной
подписи не позднее чем через десять дней после момента вывода закрытых ключей из действия.
Об уничтожении ключей делается соответствующая запись в Журнале учета.
8.4.
Порядок гарантированного уничтожения секретного ключа Электронной подписи в
персональном аппаратном криптопровайдере описан в документе «Руководство по работе с USB
токенами и смарт-картами «iBank 2 Key».
8.5.
Уничтожение (утилизация) персонального аппаратного криптопровайдера осуществляется
путем физического разрушения его внутренних микросхем.
8.6.
В случае уничтожения (утилизации) USB-токена или смарт-карты «iBank 2 Key» должен
быть составлен акт по форме, установленной Банком.
9. ДОПОЛНИТЕЛЬНЫЕ МЕРЫ БЕЗОПАСНОСТИ В СИСТЕМЕ «IBANK 2».
9.1.
Рекомендуется использовать отдельный компьютер исключительно для работы в Системе
«iBank 2». Другие действия (работа с другими программами, работа с электронной почтой,
посещение сайтов в Интернете) с этого компьютера осуществляться не должны.
9.2.
Необходимо помнить о риске хищения ключей (копирование ключей на отчуждаемом
носителе) и возможности несанкционированного использования неизвлекаемого ключа на
персональном аппаратном криптопровайдере (случайное оставление ключевого носителя, подбор
ключа к сейфу для хранения USB- токена, удаленное подключение злоумышленника к
компьютеру с подсоединенным к нему USB – токеном). Для противодействия этим рискам
необходимо начинать каждый сеанс связи с анализа времени последнего сеанса работы в
Системе, для того, чтобы убедиться, что последний сеанс связи совершен Вами, а не
злоумышленником.
9.3.
В случае использования ключей на отчуждаемых носителях рекомендуется включение
режима, ограничивающего доступ в Систему «iBank 2» с определенного IP адреса. Для получения
бланка заявления на включение IP- фильтрации – обращайтесь в Банк.
9.4.
Подключите услугу SMS-Банкинг для оперативного получения SMS-сообщений о
следующих событиях:
-
вход в Cистему «iBank 2»;
-
поступление в банк платежных поручений;
-
списание средств с расчетных счетов и др.
9.5.
использовать возможностью
одноразовых паролей;
многофакторной
аутентификации
с
использованием
9.6.
использовать возможностью дополнительного подтверждения совершения
использованием одноразовых паролей;
операций с