Кибербезопасность в условиях электронного банкинга. Практическое пособие

Во-первых, сам отчуждаемый компьютер из состава MKT-card long обладает всеми признаками персонального аппаратного идентификатора и ключевого носителя. Он отчуждаемый, персональный, безусловно аппаратный и защищенный. Он может выполнять функции идентификатора пользователя в СЗИ НСД семейства «Аккорд» и защищенного ключевого носителя.

Такое хранение и аутентифицирующей, и ключевой информации является заметно более правильным с точки зрения защиты информации по следующим причинам. При идентификации с помощью компьютера пользователь подтверждает не только то, что подключается к системе именно он, но и то, что он это делает именно со своего законного рабочего места, а не со специально подготовленного надлежащим образом ноутбука, например просто используя свой легальный идентификатор. Это позволит блокировать значительное число уязвимостей, связанных с так называемым BYOD, что на самом деле зачастую является неконтролируемым размыванием защищенного контура.

В плане работы с ключами все еще более очевидно, ведь даже храня ключи на так называемом «токене», можно скомпрометировать их, подключив токен не к защищенному рабочему месту, а к незащищенному компьютеру, на котором уже есть какой-нибудь ворующий ключи троян.

Заметим, что для укрепления метафорического смысла термина «ключ» пропорции отчуждаемого компьютера таковы, что он помещается в стандартный пенал для ключей и может сдаваться под охрану в конце рабочего дня.

Во-вторых, в MKT-card long реализована поддержка наиболее распространенных типов идентификаторов (список расширяемый, поскольку образ ОС формируется для каждой конкретной системы отдельно) и ключевых носителей, работающих по стандартному протоколу CCID.

Fin-TrusT – криптошлюз на базе защищенного микрокомпьютера m-TrusT

Построение микрокомпьютера в виде комплекта «интеллектуальной» и «интерфейсной» частей имеет смысл не только для офисного применения. Максимально далекая от офисной область применения – критические информационные инфраструктуры (КИИ) [22, 33, 48] – нуждается в таком разделении едва ли не больше. Довольно быстро исчезли сомнения в том, что финансовые организации в большинстве своем попадают в зону действия нормативной базы, касающейся КИИ. Краткий обзор, который может служить своего рода путеводителем по наиболее важным документам в этой области, приведен в конце главы. Здесь же на примере одного конкретного решения, предназначенного именно для финансовых организаций, рассмотрим особенности защиты сетевой коммуникации в КИИ. Целесообразно рассмотреть именно эту задачу, поскольку она охватывает практически все аспекты технической защиты информации. Так происходит потому, что в подавляющем большинстве КИИ (не только финансовых организаций) непременной частью системы защиты сетевого взаимодействия являются СКЗИ, поскольку объекты КИИ в основном взаимодействуют по сетям общего доступа, причем с использованием стандартных цифровых каналов типа WiFi, BlueTooth и LTE. Изменение порядка взаимодействия с построением выделенных защищенных каналов не всегда возможно в принципе, а когда возможно – то влечет за собой весьма продолжительные и дорогостоящие работы, несопоставимые с внедрением СКЗИ (откровенно говоря, даже не смешно представить себе такую постановку задачи для стоящего «в чистом поле» банкомата). Со стороны СКЗИ же, в свою очередь, предъявляются требования к среде функционирования криптографии (СФК), условиям хранения и применения ключей и т. п.: об этом уже говорилось немало.

Так, к основным особенностям, которые существенно влияют в том числе на обеспечение защиты сетевой коммуникации, в КИИ (в частности, при осуществлении переводов денежных средств [44], но также и на транспорте, в АСУТП и т. д.) относятся:

– жесткие требования к времени и порядку выполнения автоматизированных функций;

– наличие разнородных, территориально и пространственно распределенных элементов (мобильных и стационарных) с сочетанием разнообразных информационных технологий (банкоматы, терминалы оплаты, информационные киоски, автомобили инкассации, фронт-офис, ДБО и пр.);

– крайняя нежелательность отключения систем для проведения мероприятий по обеспечению безопасности информации, а также другие требования аналогичного плана.

Кроме этого:

– основной защищаемой информацией является технологическая (обеспечивающая управление технологическими или чувствительно важными процессами), программно-техническая (программы системного и прикладного характера, обеспечивающие функционирование системы), командная (управляющая) и измерительная;

– существует опасность последствий вывода из строя и (или) нарушения функционирования системы (в этом смысле опасность для жизни и здоровья обычно стоит особняком, однако при выходе из строя системы обеспечения платежей той же финансовой организации, если она категорирована как КИИ, заметным образом пострадают интересы большого числа граждан).