Принципы обеспечения безопасности и защищенности системы предоставления услуг интернет-банкинга

Согласно проекту, система «Дистанционного банкинга» должна соответствовать требованиям по обеспечению безопасности информационных систем на уровне 3 и выше в соответствии с положениями закона «Об обеспечении безопасности информационных систем на уровне 3» и нормативными актами Государственного банка по обеспечению безопасности информационных систем в банковской деятельности.

Обеспечить конфиденциальность и целостность информации о клиентах; обеспечить доступность системы интернет-банкинга для предоставления бесперебойных услуг.

Транзакции клиентов оцениваются на предмет минимальных уровней риска в соответствии с каждой группой клиентов, типом транзакции, лимитом транзакции (если таковой имеется) и на этой основе предоставляются клиентам соответствующие методы аутентификации транзакций на выбор в соответствии с нормативными актами: применять многофакторную аутентификацию при изменении идентификационной информации клиента; применять методы аутентификации для каждой группы клиентов, типа транзакции, лимита транзакции в соответствии с нормативными актами; для многоэтапных транзакций на последнем этапе утверждения должна применяться как минимум одна мера аутентификации.

Проводите ежегодные проверки безопасности и оценки системы интернет-банкинга.

Регулярно выявлять риски, потенциальные риски и определять причины возникновения рисков, оперативно принимать меры по предупреждению, контролю и управлению рисками при предоставлении банковских услуг в сети Интернет.

Оборудование инфраструктуры информационных технологий, предоставляющее услуги онлайн-банкинга, должно иметь авторские права, четкое происхождение и источник. Для оборудования, жизненный цикл которого подходит к концу и которое больше не будет поддерживаться производителем, устройство должно иметь план обновления и замены в соответствии с объявлением производителя, гарантируя, что оборудование инфраструктуры способно устанавливать новые версии программного обеспечения.

Имеет брандмауэры, системы мониторинга и оповещения о ненормальном поведении

Подразделение должно создать сеть, систему связи и безопасности, отвечающую следующим минимальным требованиям:

Существуют минимальные решения по безопасности, в том числе: межсетевой экран приложений; межсетевой экран баз данных; централизованная система мониторинга и оповещения об атаках или необычном поведении.

Информация о клиентах не хранится в разделе интернет-подключения и разделе DMZ (промежуточный раздел между внутренней сетью и интернетом).

Установите политику ограничения услуг и шлюзов, подключающихся к системе онлайн-банкинга.

Подключения извне внутренней сети к системе онлайн-банкинга для администрирования могут быть выполнены только в тех случаях, когда подключение из внутренней сети невозможно, и должны быть безопасными, с соблюдением как минимум следующих правил: должны быть одобрены уполномоченным лицом после проверки цели и способа подключения; должны иметь план управления доступом, безопасное удаленное администрирование системы, например, с использованием виртуальной частной сети или эквивалента; на подключаемом устройстве должно быть установлено программное обеспечение безопасности; при входе в систему необходимо использовать меры многофакторной аутентификации; использовать защищенные зашифрованные протоколы связи и не хранить секретные ключи в служебном программном обеспечении.

Сетевое соединение, предоставляющее услугу, должно обеспечивать высокую доступность и непрерывность предоставления услуг.

Создать механизм обнаружения и предотвращения вторжений и сетевых атак на систему

В проекте также четко указано, что подразделение должно управлять уязвимостями и недостатками системы онлайн-банкинга с использованием следующего основного содержания:

Принять меры по предотвращению, обнаружению и выявлению изменений в программном обеспечении веб-сайта и приложения онлайн-банкинга.

Создать механизм обнаружения и предотвращения вторжений и сетевых атак на систему онлайн-банкинга.

Взаимодействуйте с государственными органами управления и партнерами в сфере информационных технологий для оперативного реагирования на инциденты и ситуации, связанные с информационной безопасностью и утратой защищенности, с целью принятия своевременных превентивных мер.

Обновлять информацию об опубликованных уязвимостях безопасности, связанных с системным программным обеспечением, системами управления базами данных и прикладным программным обеспечением, в соответствии с информацией из Общей системы оценки уязвимостей.

Сканировать уязвимости и слабые стороны системы онлайн-банкинга не реже одного раза в год или при получении информации о новых уязвимостях и слабых сторонах. Оценивать уровень воздействия и риска каждой обнаруженной уязвимости и технической слабости системы и предлагать решения и планы по их устранению.

Внедряйте обновления безопасности или своевременные превентивные меры на основе оценки воздействия и риска.

baochinhphu.vn

Источник