Принципи забезпечення безпеки системи для надання послуг онлайн-банкінгу

Згідно з проектом, система онлайн-банкінгу повинна відповідати нормативним актам щодо забезпечення безпеки інформаційної системи на рівні 3 або вище згідно із законом про забезпечення безпеки інформаційної системи на кожному рівні та нормативним актам Державного банку щодо безпеки інформаційних систем у банківській діяльності.

Забезпечити конфіденційність та цілісність інформації про клієнтів; забезпечити доступність системи онлайн-банкінгу для безперервного надання послуг.

Транзакції клієнтів оцінюються на предмет мінімальних рівнів ризику відповідно до кожної групи клієнтів, типу транзакції, ліміту транзакцій (якщо такий є), і на цій основі надаються відповідні методи автентифікації транзакцій для вибору клієнтами, дотримуючись правил: застосовуйте багатофакторну автентифікацію під час зміни ідентифікаційної інформації клієнта; застосовуйте методи автентифікації для кожної групи клієнтів, типу транзакції, ліміту транзакцій відповідно до правил; для багатоетапних транзакцій на останньому етапі затвердження має бути застосовано принаймні один захід автентифікації.

Щорічно проводити перевірки та оцінки безпеки системи онлайн-банкінгу.

Регулярно виявляти ризики, потенційні ризики та визначати причини ризиків, оперативно вживати заходів щодо запобігання, контролю та управління ризиками при наданні банківських послуг в Інтернеті.

Обладнання інформаційно-технологічної інфраструктури, що надає послуги онлайн-банкінгу, повинно мати авторські права, чітке походження та джерело. Для обладнання, життєвий цикл якого наближається до кінця і яке більше не підтримуватиметься виробником, пристрій повинен мати план оновлення та заміни відповідно до оголошення виробника, що гарантує, що обладнання інфраструктури здатне встановлювати нові версії програмного забезпечення.

Має брандмауери, системи моніторингу та сповіщення про незвичайну поведінку

Підрозділ повинен створити мережеву, комунікаційну та безпекову систему, яка відповідає таким мінімальним вимогам:

Існують мінімальні рішення безпеки, зокрема: брандмауер програм; брандмауер бази даних; централізована система моніторингу та попередження про атаки або незвичайну поведінку.

Інформація про клієнта не зберігається в розділі підключення до Інтернету та розділі DMZ (проміжний розділ між внутрішньою мережею та Інтернетом).

Налаштуйте політику для обмеження сервісів та шлюзів, що підключаються до системи онлайн-банкінгу.

Підключення ззовні внутрішньої мережі до системи онлайн-банкінгу з метою адміністрування здійснюються лише у випадках, коли підключення з внутрішньої мережі неможливо, та забезпечуючи безпеку, дотримуючись щонайменше таких правил: Повинні бути схвалені уповноваженою особою після перевірки мети та способу підключення; повинні мати план управління доступом, безпечного віддаленого адміністрування системи, такого як використання віртуальної приватної мережі або еквівалента; на пристроях, що підключаються, повинно бути встановлено програмне забезпечення безпеки; повинні використовувати заходи багатофакторної автентифікації під час входу в систему; використовувати безпечні зашифровані протоколи зв'язку та не зберігати секретні ключі в утилітному програмному забезпеченні.

Підключення до сервісної мережі повинно забезпечувати високу доступність та безперервне надання послуг.

Встановити механізм виявлення та запобігання вторгненням і мережевим атакам на систему

У проекті також чітко зазначено, що підрозділ повинен управляти вразливостями та слабкими сторонами системи онлайн-банкінгу з таким основним змістом:

Мати заходи для запобігання, виявлення та виявлення змін у веб-сайті та програмному забезпеченні онлайн-банкінгу.

Встановити механізм виявлення та запобігання вторгненням і мережевим атакам на систему онлайн-банкінгу.

Координувати роботу з державними органами управління та партнерами в галузі інформаційних технологій для оперативного реагування на інциденти та ситуації, пов'язані з втратою інформаційної безпеки та захисту, з метою своєчасного вжиття превентивних заходів.

Оновити інформацію про опубліковані вразливості безпеки, пов'язані із системним програмним забезпеченням, системами керування базами даних та прикладним програмним забезпеченням, відповідно до даних Загальної системи оцінювання вразливостей.

Сканувати систему онлайн-банкінгу на наявність вразливостей та слабких місць принаймні раз на рік або під час отримання інформації про нові вразливості та слабкі місця. Оцінювати вплив та ризик кожної виявленої вразливості та технічної слабкості системи та пропонувати рішення та плани їх усунення.

Впроваджуйте оновлення патчів безпеки або своєчасно вживайте превентивних заходів на основі оцінки впливу та ризиків.

baochinhphu.vn

Джерело