Меры Банка России по обеспечению безопасности и защите информации в платежной системе Банка России

В области безопасности и защиты информации в платежной системе Банка России обеспечивается: идентификация пользователей, контроль целостности и подтверждение подлинности платежных документов, разграничение прав доступа и защита от несанкционированного доступа к ресурсам систем обработки платежей, контроль за проведением расчетных операций, конфиденциальность (криптографическая защита) платежной информации, резервирование программно-технических комплексов и информационных ресурсов.

В традиционных банковских технологиях безопасность платежей обеспечивается за счет наличия и подлинности имеющихся на платежных документах подписей уполномоченных лиц и печати организации, банка, прочих необходимых отметок и штампов, присутствие которых регламентируется соответствующими банковскими правилами. При этом физический носитель информации (бумага) и нанесенные на нее средства аутентификации (подписи, печати, штампы) неразрывны.

В электронных же документах физическая связь заменяется математической, позволяющей устанавливать подлинность информации на основе ее внутренней структуры. Это достигается за счет криптографического преобразования исходной информации с помощью специального секретного ключа. Таким образом, защита электронного документооборота требует качественно новых способов и методов обеспечения необходимого уровня безопасности применяемых технологий обработки информации.

В этой связи Банк России тесно взаимодействовал с ФАПСИ России. Учитывая особую актуальность вопросов защиты телекоммуникаций и расчетных систем на современном этапе развития отечественной банковской системы, ФАПСИ России, действовавшее строго в рамках закона, разработало и реализовало комплекс мер по защите систем передачи банковской информации и обеспечению безопасности электронных банковских платежей. В этих целях в 1994 г. оно выполнило работы по созданию отечественных криптографических алгоритмов электронной цифровой подписи, затем утвержденных в качестве государственных стандартов. Целью принятого в 2002 г. Федерального закона «Об электронной цифровой подписи» является обеспечение правовых условий использования ЭЦП в электронных документах, при соблюдении которых ЭЦП в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе. Действие указанного Федерального закона распространяется на отношения, возникающие при совершении гражданско-правовых сделок и в других предусмотренных законодательством Российской Федерации случаях.¹⁰

Требования самого Банка России по обеспечению безопасности технологий обработки электронных платежных документов разработаны в соответствии с положениями федеральных законов, нормативных документов Центрального банка Российской Федерации, Государственной технической комиссии Российской Федерации, ФАПСИ России. Разработка технических заданий, проектирование, создание, тестирование и сдача в эксплуатацию систем обработки, передачи и хранения электронных платежных документов в системе электронных платежей могут осуществляться только по согласованию с Главным управлением безопасности и защиты информации Банка России и его подразделениями в территориальных учреждениях Банка России.

Применяемый Банком России и его подразделениями, участвующими в электронных платежах, порядок обеспечения безопасности технологии обработки электронных документов обеспечивается созданием системы, включающей в себя комплекс технологических, организационных, технических и программных мер и средств защиты на этапах подготовки, обработки, передачи и хранения ЭПД.

Ядром такой системы безопасности является система криптографической защиты информации, призванная обеспечить конфиденциальность, целостность и подлинность данных и предотвратить несанкционированное ознакомление с их содержанием или их модификацией. Специализированные организации, привлекаемые на договорной основе для разработки и установки средств и систем защиты ЭПД, должны иметь лицензии от Государственной технической комиссии России и других государственных органов в соответствии с российским законодательством. Используемые при этом средства защиты информации от несанкционированного доступа должны иметь сертификат ГТК России.

Внутренний порядок применения средств защиты от несанкционированного доступа и обеспечения криптографической защиты информации определяется непосредственно руководством Банка России.

Обязанности по администрированию программно-технических средств защиты электронных платежных документов для каждого технологического участка прохождения этих документов возлагаются на соответствующих специалистов, задействованных на данном участке и являющихся администраторами информационной безопасности. К числу их основных обязанностей относятся обеспечение функционирования установленных средств и систем защиты информации, контроль за надлежащим соблюдением инструкций по их эксплуатации, а также выявление и регистрация попыток несанкционированного доступа в систему обработки электронных платежей.

В целях обеспечения информационной безопасности при проведении электронных платежей специалистами Банка России проводится комплекс мер, которые условно можно разделить на следующие блоки:

 обеспечение информационной безопасности при внедрении и эксплуатации систем обработки электронных платежей;

 обеспечение информационной безопасности при передаче электронных платежных документов;

 обеспечение защиты помещений и технических средств;

 обеспечение информационной безопасности при использовании криптографических средств защиты;

 контроль за обеспечением безопасности технологии обработки электронных платежных документов.

Процесс совершенствования и развития системы электронных платежей и защиты банковской информации платежей происходит непрерывно: осуществляется регулярная актуализация действующего программного обеспечения, развитие нормотворческой базы, совершенствование телекоммуникационной банковской сети, системы обеспечения безопасности и защиты платежной информации. Современный этап функционирования отечественных электронных межбанковских расчетов можно охарактеризовать как этап становления новых современных технологий проведения платежей, а также как начальную стадию интеграции национальной банковской системы в мировую банковскую систему.