Тема 4. Безпека платіжних систем (2 год.)

Питання для обговорення:

1. Основні поняття та етапи створення системи захисту.

2. Вимоги щодо системи захисту інформації.

3. Відповідальність суб’єктів переказу за забезпечення захисту інформації та принципи реалізації політики безпеки.

4. Заходи захисту інформаційної безпеки.

5. Криптографічний захист інформації.

Питання для самостійного опрацювання та самоперевірки:

1. Що розуміють під інформаційною безпекою платіжних систем?

2. Що є об’єктом захисту в автоматизованій інформаційній системі?

3. Які існують підходи до гарантування безпеки інформаційних систем?

4. Назвіть суб’єктів відносин, пов’язаних з обробкою інформації в автоматизованій системі.

5. Назвіть та охарактеризуйте основні типи загроз для платіжних систем.

6. Сформулюйте особливості забезпечення несанкціонованого доступу до інформації.

7. Сформулюйте особливості забезпечення несанкціонованих змін інформації.

8. Визначте особливості забезпечення захисту від несанкціонованих операцій з компонентами платіжних систем.

9. Розкрийте етапи розробки і реалізації системи захисту.

10. Сформулюйте вимоги щодо систем захисту інформації.

11. Визначте зобов’язання суб’єктів переказу.

12. Розкрийте загальні принципи реалізації політики безпеки та механізми захисту.

13. Визначте групи заходів протидії загрозам з метою мінімізації можливих збитків користувачів і власників платіжної системи.

14. Що розуміють під морально-етичними аспектами системи захисту?

15. У чому зміст правового середовища для нормального функціонування платіжної системи?

16. Визначте адміністративні заходи щодо захисту інформації.

17. Розкрийте завдання фахівців центрального банку з питань захисту інформації.

18. Визначте суть і призначення криптографічного захисту інформації.

19. Наведіть класифікацію систем криптографічного захисту для платіжних систем.

20. Проаналізуйте відмінності вбудованих та додаткових механізмів криптографічного захисту.

21. На які групи розподіляються загальні криптографічні алгоритми?

22. Проаналізуйте відмінності симетричних та асиметричних алгоритмів.

23. Сформулюйте поняття «Цифровий електронний підпис» і визначте особливості його використання.

24. Дайте характеристику основним методам розподілу ключів між учасниками платіжної системи.

Завдання для індивідуальної роботи:

Реферати на тему:

1. Ефективна система захисту – невід’ємна складова сучасної платіжної системи.

2. Система захисту інформації та вирішення питань надійності функціонування системи електронних платежів Національного банку України.

Тести:

1. Під безпекою платіжних систем розуміють:

а) захист від несанкціонованого доступу до інформації; захист від несанкціонованих змін інформації; захист від несанкціонованих змін операцій з компонентами платіжних систем;

б) переказ грошових коштів, що здійснюється платником на особу, прийнятну для отримувача; завершення платежу однією або двома сторонами;

в) захист від несанкціонованих змін інформації; завершення платежу однією або двома сторонами;

г) сортування платіжних інструкцій, що надійшли, за філіями банків-отримувачів та їх своєчасне доставлення з використанням функцій вихідних переказів.

2. Симетричні алгоритми – це криптографічні алгоритми, для яких шифрування і розшифрування виконують:

а) одним ключем;

б) за допомогою різних ключів;

в) без застосування ключів;

г) кожен наступний раз за допомогою нового ключа.

3. Під «інформаційною безпекою» розуміють:

а) сортування платіжних інструкцій, що надійшли, за філіями банків-отримувачів та їх своєчасне доставлення з використанням функції вихідних переказів;

б) можливість протистояти способам нанесення збитків власникам або користувачам системи при різних навмисних або ненавмисних впливах на неї;

в) переказ грошових коштів, що здійснюється платником на особу, прийнятну для отримувача; завершення платежу однією або двома сторонами;

г) захист від несанкціонованих змін інформації; завершення платежу однією або двома сторонами.

4. З наведеного нижче переліку визначити сутність загальних криптографічних алгоритмів:

а) криптоалгоритми, що мають повністю відкритий алгоритм, а їх криптостійкість визначається ключами шифрування;

б) криптоалгоритми, що мають повністю закритий алгоритм шифрування;

в) криптоалгоритми, що мають таємний алгоритм шифрування;

г) правильна відповідь відсутня.

5. Морально-етичні заходи захисту інформаційної безпеки платіжної системи включають:

а) закони та інші нормативні документи, які регламентують правила роботи з платіжною системою і платіжною інформацією, що обробляється, накопичується і зберігається в системі, та відповідальність за порушення цих правил;

б) норми поведінки учасників розрахунків та обслуговуючого персоналу;

в) неможливість відмови ініціатора від факту передавання та отримувача від факту прийняття документа на переказ, документа за операціями із застосуванням засобів ідентифікації;

г) розрахунок за платіжними документами.

6. Для яких криптографічних алгоритмів є можливість сформувати додаткову інформацію у вигляді електронного цифрового підпису:

а) симетричних алгоритмів;

б) асиметричних алгоритмів;

в) паралельних алгоритмів;

г) зустрічних алгоритмів.

7. На яких етапах повинна забезпечуватися система захисту інформації:

а) формування; обробка; передача; зберігання;

б) аналіз можливих загроз;

в) передача; зберігання; реалізація системи захисту;

г) супроводження системи захисту під час експлуатації платіжної системи.

8. Криптографічні алгоритми використовуються з метою:

а) шифрування інформації; забезпечення захисту даних і повідомлень від модифікації, викривлення або підробки;

б) аналізу можливих загроз; прогнозування системи захисту;

в) супроводження системи захисту під час експлуатації платіжної системи;

г) правильна відповідь відсутня.

9. При яких алгоритмах відправник та отримувач повідомлення повинні мати один і той самий ключ:

а) симетричних алгоритмів;

б) асиметричних алгоритмів;

в) паралельних алгоритмів;

г) зустрічних алгоритмів.

10. Відповідно до Закону України «Про захист інформації в автоматизованих системах», захист інформації – це:

а) забезпечення безперервного захисту інформації щодо переказу грошей на всіх її етапах;

б) можливість протистояти способам нанесення збитків власникам або користувачам системи при різних навмисних або ненавмисних впливах на неї;

в) сукупність організаційно-технічних заходів і правових норм для заподіянню шкоди інтересам власника інформації чи автоматизованій системі та осіб, які користуються інформацією;

г) аналіз можливих загроз; обробка; розробка (прогнозування) системи захисту.

11. Фізичні заходи захисту інформаційної безпеки платіжної системи включають:

а) заходи організаційного характеру, які регламентують процес функціонування системи обробки платіжної інформації, використання її ресурсів, діяльність персоналу тощо;

б) охорону приміщень, техніки та персоналу платіжної системи; організацію перепускного режиму до приміщень;

в) закони та інші нормативні документи, які регламентують правила роботи з платіжною системою і платіжною інформацією, що обробляється, накопичується і зберігається в системі, та відповідальність за порушення цих правил;

г) правильна відповідь відсутня.

12. Система захисту інформації повинна забезпечувати:

а) лише цілісність інформації, що передається в платіжній системі, та компонентів платіжної системи;

б) передачу платіжних документів;

в) конфіденційність інформації під час її формування, обробки, передавання та зберігання в платіжній системі; цілісність інформації, що передається в платіжній системі, та компонентів платіжної системи;

г) обробку (кліринг) платіжних документів.

13. З наведеного нижче переліку визначити сутність спеціальних криптографічних алгоритмів:

а) криптоалгоритми, що мають повністю відкритий алгоритм, а їх криптостійкість визначається ключами шифрування;

б) криптоалгоритми, що мають повністю закритий алгоритм шифрування;

в) криптоалгоритми, що мають таємний алгоритм шифрування;

г) правильна відповідь відсутня.

14. При проведенні переказу його суб’єкти мають здійснювати в межах своїх повноважень захист відповідної інформації від таких типів загроз:

а) несанкціонованих операцій з компонентами платіжних систем; клірингу;

б) несанкціонованих змін інформації; введення інформації;

в) несанкціонованого доступу до інформації; несанкціонованих змін інформації; несанкціонованих операцій з компонентами платіжних систем;

г) неналежного використання та зберігання засобів захисту інформації; передача платіжних документів.

15. Об’єктами захисту в автоматизованих системах є:

а) права користувача; права власників автоматизованої системи; інформація, що обробляється в автоматизованій системі;

б) права посередників; права власників автоматизованої системи;

в) інформація,що обробляється в автоматизованій системі;

г) інформація, що не підлягає обробці в автоматизованій системі.

16. Які існують методи розподілу криптографічних ключів між учасниками платіжної системи:

а) метод симетричних ключів; метод асиметричних ключів;

б) метод базових сеансових ключів; метод відкритих ключів;

в) метод відкритих ключів; метод закритих ключів;

г) метод прямих ключів; метод зустрічних ключів.

17. Асиметричні алгоритми – це криптографічні алгоритми, для яких шифрування і розшифрування виконується:

а) одним ключем;

б) за допомогою різних ключів;

в) без застосування ключів;

г) кожен наступний раз за допомогою нового ключа.

Підберіть до термінів з лівої колонки відповідні визначення з правої колонки:

Конфіденційність інформації - Цілісність компонентів системи - 21. Доступність компонентів системи -

а) властивість компонентів системи бути незмінними протягом функціонування системи; б) властивість компонентів системи бути доступними для використання тільки авторизованими суб’єктами системи в будь який час; в) властивість інформації бути доступною тільки суб’єктам системи, які витримали перевірку і були допущені до цієї інформації.

22. Специфіка завдання, що виконується платіжною системою полягає у наступному:

а) інформація, яка обробляється є конфіденційною;

б) інформація, не повинна втрачатися або модифікуватися;

в) інформація не повинна залишатися на носіях інформації або в пам’яті обчислювальних машин після закінчення процесів обробки платіжних документів;

г) усі відповіді вірні.

23. Розташуйте вказані вразливі місця в платіжній системі у послідовності зменшення їх впливу на безпеку системи:

а) апаратні засоби;

б) загальне програмне забезпечення;

в) персонал;

г) прикладне програмне забезпечення.

Підберіть до термінів з лівої колонки відповідні визначення з правої колонки:

24. Ідентифікація - 25. Авторизація - 26. Аутентифікація -

а) надання користувачам або процесам права доступу до об’єктів системи після їх перевірки; б) перевірка ідентифікації користувача та цілісності даних; в) однозначне визначення суб’єктів і об’єктів системи.

27. Які механізми захисту використовуються при створенні і реалізації політики безпеки платіжної системи:

а) контроль входу користувача до системи і керування системою паролів; реєстрація, протоколювання і аудит;

б) протидії “збиранню сміття”; контроль за цілісністю; затримка або погіршення обслуговування;

в) реєстрація, протоколювання і аудит; затримка або погіршення обслуговування; ідентифікація користувачів і компонентів системи.

Ключові поняття: аутентифікація, авторизація, адміністративні заходи, апаратно-програмні засоби захисту, асиметричні криптографічні алгоритми, безпека платіжних систем, внутрішня безпека, доступність компонентів системи, зовнішня безпека, електронний цифровий підпис, ідентифікація, ключ шифрування, конфіденційність інформації, криптографічний захист інформації, морально-етичні заходи, несанкціонований доступ до інформації, правові заходи, програмні засоби захисту, система захисту, система розподілу ключів, симетричні криптографічні алгоритми, фізичні заходи, цілісність компонентів системи.

Література:

1. Закон України «Про платіжні системи та переказ коштів в Україні» від 05.04.2001р. № 2346-ІІІ // Законодавчі і нормативні акти з банківської діяльності. – 2001. - № 6. – С. 3-21 (із змінами).

2. Закон України «Про захист інформації в інформаційно-телекомунікаційних системах» // www.rada.gov.ua.

3. Інструкція про міжбанківський переказ коштів в Україні в національній валюті. Затверджена постановою Правління НБУ від 16.08.2006р. № 320 // Офіційний вісник України. – 2006. - № 36. – С. 32.

4. Правила організації захисту електронних банківських документів. Затверджені постановою Правління НБУ від 10.06.1999 р. № 280 // www.rada.gov.ua.

5. Івченко І., Лук’янов Д. Побудова он-лайнової підсистеми управління криптографічними ключами для внутрішньої інформаційної мережі НБУ // Вісник НБУ. – 2003. - № 4. – С. 44-48.

6. Віднійчук-Вірван Л.А. Платіжні системи: Навч. посіб. – Львів: “Магнолія плюс”, 2007. – 190 с.

7. Вовчак О.Д., Шпаргало Г.Є., Андрейків Т.Я. Платіжні системи: Навч. посіб. – К.: Знання, 2008. – 341 с.

8. Платіжні системи: Навч. посіб. / В.А.Ющенко, А.С.Савченко, С.Л.Цокол, І.М.Новак, В.П.Страхарчук. К.: Либідь, 1998. – 416 с.

9. Чайковський Я.І. Платіжні системи: Навч. посіб. – Тернопіль: Карт-бланш, 2006. - 210 с.

10. www.bank.gov.ua.