#
#
Просмотров: 3926
Тема дня

"За канистру бензина будут платить 5 тысяч"

Picture

Алчность бизнеса и некомпетентных управленцев толкают страну в топливый кризис.

Просмотров: 24192
Тема недели

Репортаж из Зазеркалья (3)

Picture

(Окончание. Часть 1, Часть 2)

Просмотров: 83036
Тема месяца

Уголь или жизнь

Picture

Первая декада октября принесла два перекликающихся между собой события. Одно из Новокузнецка, второе - из Германии.

Рубрики

Пн Вт Ср Чт Пт Сб Вс
   1234
567891011
12131415161718
19202122232425
2627282930  
добавить на Яндекс
Забота банков о кибербезопасности дорого обойдется клиентам

Банкинг вторым номером

Забота о кибербезопасности дорого обойдется клиентам банков.

За реформу информбезопасности кредитных организаций придется расплачиваться банковским клиентам. Стремясь защитить средства граждан и компаний от хищений, ЦБ требует от банков "разделения технологий" или введения ограничений по платежам. В итоге данные требования могут вылиться в том числе и в необходимость иметь два мобильных телефона или электронную цифровую подпись для работы с мобильным банком.

Как сообщил глава комитета АРБ по банковской безопасности Александр Велигура, ассоциация готовит запрос в ЦБ с просьбой пояснить вступившие в силу с 1 июля поправки к положению о требованиях к информационной безопасности банков (382-П).

Проблема оказалась в пункте 2.10.5 документа. Он вводит новое требование — в случае когда кредитная организация не может обеспечить "непосредственный контроль защиты информации от воздействия вредоносного кода" по платежам клиентов, банку необходимо обеспечить раздельные технологии при подготовке платежа клиентом и при его подтверждении.

Эти меры должны позволять в том числе использовать различные программные среды для формирования платежки и подтверждения трансакции, а также сверять реквизиты платежного документа как в момент формирования, так и на этапе подтверждения. Если же применение раздельных технологий невозможно, банкам необходимо установить ограничения по сумме трансакции, перечню получателей, временному периоду совершения трансакций, по устройствам, на которых может быть сформирован платежный документ и какими подтвержден, а также по географии плательщика.

Термин "раздельные технологии" весьма размыт и не до конца ясно, что хотел регулятор, отмечают специалисты по информационной безопасности.

Например, при проведении платежей через мобильный банк используется всего одно устройство — телефон. Может ли он обеспечить разделение технологий?

Мнения экспертов расходятся.

"Широко используемые сейчас SMS/PUSH-коды уже не обеспечивают защиту от хищения денег при переводах",— отмечает гендиректор SafeTech Денис Калемберг. Поэтому, по его мнению, "для работы с мобильным банком может быть применено компактное устройство с возможностью контроля реквизитов, подключающееся к смартфону по Bluetooth".

Как отмечает директор департамента розничных продуктов МКБ Алексей Охорзин, при нарушении контура безопасности мобильных операционных систем необходимо использовать резервные каналы подтверждения операций. По его словам, этими каналами могут быть резервный смартфон для получения СМС- и PUSH-паролей, генератор паролей, звонок в колл-центр, мобильная версия интернет-банка в веб-браузере либо физическое устройство с ЭЦП. Впрочем, есть способы подтверждения без дополнительных устройств. "Операции можно подтверждать секретным паролем, направляемым, например, по специальной ссылке в браузере, или же с помощью пароля в личном кабинете на сайте банка",— указывает управляющий директор управления по работе с розничным бизнесом Росевробанка Артем Гребнев.

Однако на практике любые подобные новации могут вызвать негатив со стороны клиентов банков,
поскольку для них использование мобильного банка либо станет дороже (за счет приобретения дополнительного устройства), либо будет занимать больше времени. Как вариант — обойти требование регулятора. Например, использовать так называемый контроль кода, то есть супермегаантивирус, встроенный в мобильный банк. По словам зампреда СДМ-банка Олега Илюхина, приложения должны быть защищены от установки на "серые" смартфоны и на смартфоны со "сломанной" нелицензированной операционной системой, а именно такие смартфоны наиболее уязвимы перед вредоносным ПО.

По словам Артема Гребнева, также должно быть распознавание встроенной прошивки и контроль целостности вложений. Возможен и другой вариант. "Положение содержит допущения в виде возможности несоблюдения этого требования в случае введения ограничений по операциям (по суммам перевода, по временным периодам, по географии, по идентификаторам устройств и т. п.)",— отмечает управляющий директор по ИТ и технологиям Абсолют-банка Наталья Поздеева. Он не требует от банков дополнительных затрат и однозначно будет принят регулятором как защита средств клиентов.

Банкиры ждут пояснений от ЦБ — хотя требование о раздельных технологиях и вступает в силу с 1 января 2020 года, им потребуется вносить существенные изменения в программное обеспечение.

Однако пока их нет.

Не ответил ЦБ и на наш запрос.

Вероника Горячева

Источник: КоммерсантЪ
03.07.2018
Просмотров: 517 | Комментариев: 2
Хиус 03.07.2018 18:57
Котафей, как вы думаете, это уже тянет на чип в задницу или там будет только коннектор ведущий к тачке аппаратуры , которую толкает клиент банка ?! ))
1
0
=
1
Период голосования за комментарии завершен

Участвовать в голосованиях и оставлять комментарии могут только авторизованные пользователи.

Если Вы уже зарегистрированы на сайте авторизуйтесь.

Если Вы еще не проходили процедуру регистрации - зарегистрируйтесь