Кибербезопасность в условиях электронного банкинга. Практическое пособие

Банковские организации начали применять разнообразные способы, содействующие обеспечению доказательности и гарантированной конфиденциальности транзакций в рамках ЭБ, такие как цифровые сертификаты с использованием инфраструктуры открытых ключей[113]. Банк может выдать цифровой сертификат клиенту или контрагенту для обеспечения их уникальной идентификации/аутентификации и уменьшить риск отрицания транзакций. Хотя в некоторых странах права клиента на отклонение транзакций предусмотрены в специальных нормативных актах, в отдельных национальных юрисдикциях приняты законодательные акты, признающие правомочность цифровых подписей. По мере продолжения развития технологий вероятно более широкое, глобальное правовое признание таких способов.

Принцип 6: банкам следует гарантировать наличие необходимых мер по адекватному разделению обязанностей в системах баз данных и прикладных программных комплексах ЭБ.

Разделение обязанностей представляет собой основную меру внутреннего контроля, предназначенную для уменьшения риска мошенничества в операционных системах и процессах, а также для обеспечения должной авторизации, фиксации и защищенности транзакций и активов компаний. Разделение обязанностей является критичным для гарантирования точности и целостности данных и используется для предотвращения проникновения злоумышленников. Если обязанности разделены правильно, то мошенничество может быть совершено только на основе тайного сговора.

Обслуживание в рамках ЭБ может привести к необходимости изменения тех способов, которыми осуществляется и поддерживается разделение обязанностей, поскольку транзакции выполняются через электронные системы, где действующих лиц легче замаскировать или подменить. Кроме того, в практических приложениях ЭБ операционные и транзакционные функции во многих случаях оказываются более комплексными и интегрированными. Вследствие этого традиционно требуемые средства управления для поддержания разделения обязанностей следует пересмотреть и адаптировать в интересах сохранения должного уровня контроля. Ввиду того что доступ к плохо защищенным базам данных гораздо легче получить через внутренние или внешние сети связи, необходимо сделать акцент на процедуры строгой авторизации и идентификации, безопасную и надежную архитектуру процессов сквозной обработки, а также на адекватные аудиторские записи.

В обычную практику организации и поддержания разделения обязанностей в комплексах ЭБ входят:

– разработка транзакционных процессов и систем таким образом, чтобы обеспечивалась невозможность ввода, авторизации и завершения транзакций ни для какого работника или провайдера заказных услуг;

– соблюдение разделения функций между теми, кто работает со статичными данными (включая содержание веб-страниц), и теми, кто отвечает за верификацию и целостность данных;

– тестирование с СЭБ на предмет проверки невозможности обхода установленного разделения обязанностей;

– соблюдение разделения функций между теми, кто разрабатывает СЭБ, и теми, кто их администрирует[114].

Принцип 7: банкам следует обеспечивать наличие должных средств авторизации и полномочий доступа для систем, баз данных и приложений ЭБ.

Для поддержания разделения обязанностей банкам необходимо строго контролировать авторизацию и полномочия доступа. Недостатки в обеспечении адекватного контроля авторизации могут дать возможность отдельным лицам расширить свои права авторизации, обойти разделение функций и получить доступ к системам, базам данных и прикладным программам ЭБ, к которым они не допущены.

В банках права авторизации и доступа в СЭБ могут устанавливаться как централизованно, так и распределенным образом, и соответствующие параметры обычно заносятся в базы данных. Защита таких баз данных от внешнего воздействия или повреждения принципиально необходима для эффективного контроля авторизации.

Ниже приведены дополнительные примеры надежной организации, которые могут помочь установить должный контроль над авторизацией и правами доступа к системам, базам данных и прикладным программам ЭБ.

1. Всем лицам, агентам или системам, участвующим в деятельности, осуществляемой в рамках ЭБ, следует назначить специальную авторизацию и полномочия доступа.

2. Все СЭБ следует проектировать таким образом, чтобы они гарантированно взаимодействовали с правильной базой данных авторизации.

3. Никакому отдельному агенту или системе не должна быть предоставлена возможность изменять его или ее собственные права либо полномочия доступа, зафиксированные в базе данных авторизации, входящей в СЭБ[115].