Криптография в финтехе
659 subscribers
64 photos
79 videos
2 files
166 links
Официальный канал ИнфоТеКС про информационную безопасность современного финтеха

Чат – t.me/securefintech_chat
Контакты @infotecs_smm
Download Telegram
Обновленные требования по безопасности банковских операций*
Часть 2

В числе основных новых мер защиты информации, вошедших в Положение Банка России № 851-П, можно выделить следующие:

🔘 Зафиксированы требования к защите информации для филиалов иностранных банков.

🔘Уточнен состав защищаемой информации. Акцентировано внимание на необходимости защиты банковской тайны (её разглашение преследуется в соответствии с нормами Уголовного кодекса РФ), а также нового вида информации, связанной с приёмом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля.

🔘 Определена обязанность банков, в случае применения усиленной неквалифицированной электронной подписи (УНЭП), использовать средства электронной подписи (ЭП) и средства удостоверяющих центров (УЦ), имеющие подтверждение соответствия требованиям ФСБ России (здесь, по понятным причинам, предусмотрен отложенный срок введения в действие, с 1 октября 2025 года).

🔘 Дополнен перечень регистрируемых сведений о действиях клиентов в рамках осуществления переводов денежных средств, подлежащих регистрации и хранению.

*Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4👍4🔥4
Обновленные требования по безопасности банковских операций*
Часть 3

Продолжаем обзор Положения Банка России № 851-П — в этой части сосредоточимся на новом требовании и общих последствиях изменений.

▫️Наряду с отмеченным, следует обратить внимание банков на ещё одно новое для них требование общего плана, которое не столь активно пока обсуждается банковским сообществом. Оно заключается в том, что банки и филиалы иностранных банков должны обеспечить реализацию работ управленческого цикла Деминга-Шухарта (цикла менеджмента) по управлению всеми используемыми ими мерами защиты информации, то есть, осуществлять: планирование применения, применение, контроль применения и совершенствование использования защитных мер. Это отражено в последнем абзаце пункта 2 нового Положения. Если строго следовать «букве закона», данный абзац требований может повлечь за собой значительный объем новых, ранее не запланированных работ. Так ли это – покажет время.

🔘 В целом, следует отметить, что новая редакция требований Банка России, а именно требования Положения Банка России № 851-П по противодействию осуществлению переводов денежных средств без согласия клиентов, формирует необходимость проведения существенного объёма дополнительных работ (обновление АС ДБО, внедрение сертифицированных средств при использовании УКЭП и т.п.), к реализации которых уже можно и надо приступить.

*Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5❤4🔥4👏1
Как «Перспективный мониторинг» влияет на безопасность финтеха в России. Часть 1

Рассказываем истории из практики компании «Перспективный мониторинг» (ГК «ИнфоТеКС»), чьи эксперты стояли у истоков нормативной базы информационной безопасности в финансовом секторе. Сотрудники компании участвовали в разработке практически всех ключевых стандартов — от первых версий СТО БР ИББС до ГОСТ 57580.

На практике — десятки проектов:
🔘 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580
🔘 53 оценки соответствия по ГОСТ Р 57580
🔘 3 проекта по построению ИТ-инфраструктуры «с нуля» в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России.

Одна из практик, которая особенно показала, как теория превращается в конкретную защиту, — это пентест банкоматов. Об этом расскажем в следующей публикации.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥5❤3👍3👏2
Криптография в финтехе
Как «Перспективный мониторинг» влияет на безопасность финтеха в России. Часть 1 Рассказываем истории из практики компании «Перспективный мониторинг» (ГК «ИнфоТеКС»), чьи эксперты стояли у истоков нормативной базы информационной безопасности в финансовом секторе.…
Продолжаем серию публикации "истории из практики".
Часть 2

Вместе с одним из заказчиков специалисты «Перспективного мониторинга» провели исследование уязвимостей банкоматов — устройств, которые ежедневно работают вне защищенного периметра.

▫ Эксперты разработали методику и маршрутную карту работ, провели пентест и обнаружили, что банкомат можно вывести из строя с помощью простых средств. Хотя доступ к чувствительным компонентам требует усилий, это вполне реально. На основе результатов был сформирован конкретный план по усилению защиты.

В соответствии с 851-П банки должны ежегодно проводить тестирование на предмет наличия возможностей проникновения и анализ уязвимости.


Но не только устройства требуют внимания — важен и баланс между нормативной и реальной безопасностью. Следующая история будет про то, как Перспективный мониторинг помогал банку выстроить защищенную инфраструктуру.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5🔥5👏4❤2
Криптография в финтехе
Продолжаем серию публикации "истории из практики". Часть 2 Вместе с одним из заказчиков специалисты «Перспективного мониторинга» провели исследование уязвимостей банкоматов — устройств, которые ежедневно работают вне защищенного периметра. ▫ Эксперты разработали…
Истории из практики. Часть 3

Один из заказчиков обратился за помощью в модернизации инфраструктуры с учётом не только регуляторных требований, но и практической устойчивости. Успех проекта зависел от эффективного взаимодействия трех участников – ИБ-консультанта, интегратора и банка.

🔘 Эксперты «Перспективного мониторинга» помогли выстроить рабочую инфраструктуру и разработали комплексную нормативно-методическую документацию: от политик до инструкций. Кроме того, была организована поддержка службы ИБ по внедрению процессов системы менеджмента информационной безопасности.

А бывает и так, что в компании почти не осталось тех, кто понимает, как устроен собственный продукт. Мы столкнулись с этим и помогли пройти оценку соответствия ПО требованиям ОУД 4. Расскажем в следующем посте.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4❤3🔥3👏1
Криптография в финтехе
Истории из практики. Часть 3 Один из заказчиков обратился за помощью в модернизации инфраструктуры с учётом не только регуляторных требований, но и практической устойчивости. Успех проекта зависел от эффективного взаимодействия трех участников – ИБ-консультанта…
Истории из практики. Часть 4

▫ У заказчика остались только сотрудники техподдержки с поверхностным пониманием продукта. Для прохождения оценки соответствия ПО требованиям ОУД 4 требовалась детализированная документация.

Команда «Перспективного мониторинга» провела глубокое изучение всех доступных материалов, провела интервью и извлекла «золотые крупицы» знаний о настоящем устройстве системы. На базе этого команда разработала всю необходимую документацию — от архитектурных решений до пользовательского интерфейса. В результате заказчик успешно прошёл оценку.

🛡 Именно практический опыт позволил Перспективному мониторингу не только участвовать в создании стандартов, но и внедрять их на практике — адаптируя к живым, сложным условиям: от банкоматов до полной перестройки инфраструктуры.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5👍5🔥2👏1
Термины, определения и сокращения
эпизод 6

Продолжаем тему сервиса автоматического выпуска сертификатов в ЦР.

🔘 В состав решения 🔵 ViPNet САВС входят программно-аппаратный комплекс 🔁 ViPNet EDI Soap Gate 3 и программный комплекс 🔵 ViPNet EDI Flow.

ПАК ViPNet EDI Soap Gate 3 является СКЗИ и средством ЭП по классу КС3 и отвечает за:
▫️ авторизацию пользователей в ЕСИА для идентификации на ПлЦР,
▫️ за взаимодействие с ЕСИА,
▫️ проверку запросов пользователей ПлЦР на создание сертификатов (первичный/повторный)
▫️ проверку изданных сертификатов.

Управляющий компонент ViPNet EDI Flow отвечает за взаимодействие с сервером ДБО, с СКЗИ ViPNet EDI Soap Gate и удостоверяющими центрами участника ПлЦР.

ViPNet EDI Flow обеспечивает:
▫️ выполнение всех процессов, связанных с выпуском сертификатов безопасности и сертификатов ЭП пользователей ПлЦР
▫️ получение списков отозванных сертификатов и направление их в ПлЦР.
Для интеграции АС ДБО с ViPNet САВС в ViPNet EDI Flow разработан REST API.

Решение ViPNet САВС было представлено в мае на конференции MobiFinance-2025. В рамках доклада была продемонстрирована работа решения с авторизацией пользователя в ЕСИА и с выпуском сертификатов в ViPNet УЦ.

Официальный выпуск ViPNet САВС в июле этого года. До запуска осталось совсем немного, решение уже практически готово к внедрению и скорому применению на практике!
Please open Telegram to view this post
VIEW IN TELEGRAM
❤6🔥6👏4
Термины, определения и сокращения
эпизод 7

Недостаточно установить и настроить СКЗИ в соответствии с документацией, еще необходимо подтвердить правильность использования средства путем проведения оценки влияния.

▫ Итак, термин дня – оценка влияния.

Проведение оценки влияния нацелено на подтверждение корректности функционирования СКЗИ в информационных системах (ИС) и определяет степень влияния ИС на функционирование СКЗИ в ее составе. Оценка влияния позволяет убедиться, что СКЗИ работает штатно, заявленные сертифицированные криптографические характеристики корректны, все необходимые функции вызываются и не подменяются.

Напоминаем, что необходимость проведения оценки влияния зафиксирована в п. 6 Положения Банка России № 833-П.

🔘 Подобрали материал по теме оценки влияния из архива вебинаров ИнфоТеКС, лучше один раз увидеть, чем сто раз прочитать: «Все, что вам нужно знать об оценке влияния при встраивании СКЗИ».
Please open Telegram to view this post
VIEW IN TELEGRAM
❤6🔥5👏3
Продолжаем разбираться в теме оценки влияния

🛡 Оценку влияния необходимо проводить по согласованному с ФСБ России техническому заданию. Саму оценку влияния должны проводить аккредитованные специализированные организации – испытательные лаборатории. Такой организацией является ООО «СФБ Лаб», входящая в группу компаний ИнфоТеКС.

Подробнее о компании и услугах СФБ Лаб можно ознакомиться на сайте.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5🔥5👏3🤯1
Оценка влияния и ЦР

🔵 В инфраструктуре участника ПлЦР есть два сегмента, где при использовании СКЗИ/средства ЭП необходимо провести оценку влияния. Речь о контуре контроля и контуре обработки и мобильном приложении банка со встроенным ПМ БР.

Рассмотрим особенности проведения оценки влияния (ОВ) в контурах:

Согласно требованиям 833-П, в контуре контроля и контуре обработки должны использоваться СКЗИ и средства ЭП класса КС3. Напоминаем, что для использования в данном сегменте мы рекомендуем использовать сервер подписи 🗝 ViPNet PKI Service. В Правилах пользования ПАК ViPNet PKI Service зафиксированы, так называемые, «белые» функции, в случае применения которых разработка ПО на основе данного СКЗИ может производиться без создания новых СКЗИ. Проведение ОВ по согласованному с ФСБ России техническому заданию должно подтвердить использование только этих функций при встраивании СКЗИ в информационную систему финансового посредника.

Напоминаем, что для знакомства и тестирования ViPNet PKI Service может быть предоставлен эмулятор продукта в виде Virtual Appliance. Ждем
Ваших заявок.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤6🔥5👍3
Сам факт определения нового срока массового внедрения цифрового рубля положителен. Есть запас времени, чтобы к данному сроку крупные банки завершили необходимые работы по встраиванию СКЗИ, сервисов автоматического выпуска сертификатов и провели оценку влияния. Таким образом, к 1 сентября 2026 года можно рассчитывать, что инфраструктура участников платформы будет готова к обеспечению защиты информации при совершении операций с цифровыми рублями.

Римма Бадмаева, ведущий менеджер продуктов ИнфоТеКС

Читать новость
👍6❤5🔥4
Компания «ИнфоТеКС» выпустила новый продукт – 🔵 ViPNet EDI Flow версии 1.0.

🔘 ViPNet EDI Flow является управляющим компонентом системы автоматизации выпуска сертификатов ViPNet САВС и обеспечивает выполнение всех процессов, связанных с выпуском сертификатов безопасности и сертификатов электронной подписи (ЭП) для пользователя платформы цифрового рубля (ПлЦР). Обеспечивает взаимодействие с программно-аппаратным комплексом 🔁 ViPNet EDI Soap Gate 3, входящим в состав 🔵 ViPNet САВС, и удостоверяющими центрами.

Программный комплекс ViPNet EDI Flow реализует:
▫️ интеграцию с ViPNet EDI Soap Gate 3 в части взаимодействия с ЕСИА для получения данных пользователей ПлЦР;
▫️ получение запросов на сертификаты безопасности и ЭП от информационной системы банка (АС ДБО);
▫️ сравнение данных в запросе на сертификаты безопасности и ЭП с данными пользователя ПлЦР в ЕСИА;
▫️ автоматизацию процессов выпуска сертификатов в ViPNet УЦ 4 и получения CRL из ViPNet УЦ 4;
▫️ автоматизацию процессов выпуска сертификатов в УЦ КриптоПро 2.0 и получения CRL из УЦ КриптоПро 2.0;
▫️ другие функции.

Подробнее читайте на странице продукта
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7❤4👍4🤯1
Оценка влияния и ЦР

▫️ В отличии от контура контроля и контура обработки, где используется СКЗИ и средство ЭП класса КС3, в пользовательском сегменте ПлЦР используется мобильное приложение (МП) банка в составе с ПМ БР и СКЗИ класса КС1. МП необходимо достаточно часто обновлять, что требует проведения оценки влияния (ОВ) после каждого обновления (согласно требованиям Положения ПКЗ-2025). При этом процедура ОВ может занять больше времени, чем выпуск очередного обновления МП.

В связи с этим в 2024 году Банк России утвердил отдельный стандарт ПлЦР «Порядок проведения работ по оценке влияния аппаратных, программно-аппаратных средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование программного модуля Банка России…». Данный порядок был утвержден ФСБ России и регламентирует отношения между финансовой организацией - участником ПлЦР, ФСБ России и испытательной лабораторией. Именно этим порядком проведения ОВ должны руководствоваться участники ПлЦР, которые разрабатывают МП, осуществляют встраивание ПМ БР в МП, в том числе с привлечением внешнего подрядчика, и имеют соответствующую лицензию.

С указанным Порядком можно ознакомиться на сайте Банка России тут.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5🔥4👍2
Forwarded from ИнфоТеКС
🟣 Большой Московский ИнфоТеКС ТехноФест

9 октября состоится Большой Московский ИнфоТеКС ТехноФест. Конференция для технических специалистов в сфере ИБ от одного из ведущих вендоров в сфере ИБ традиционно пройдет в 4 потока. В программе выступления экспертов об актуальных версиях продуктов ViPNet, информационные и аналитические доклады на различные темы ИБ, мастер-классы по продуктам ViPNet, киберучения от «Перспективного мониторинга» и насыщенная программа от партнеров и ГК «ИнфоТеКС».

Ведущие эксперты и специалисты в области защиты информации обсудят ряд профессиональных вопросов. Главные темы конференции:

🔷 новые продукты для обеспечения сетевой безопасности и их возможности;
🔷 ГОСТ-криптография с открытым ключом и востребованные сценарии ее использования;
🔷 новые методы выявления атак и вторжений с использованием искусственного интеллекта;
🔷 новые версии продуктов для обеспечения доверенной загрузки, доверенных вычислений;
🔷 методы безопасной разработки;
🔷 методы обеспечения безопасности критических инфраструктур на примере реальных кейсов;
🔷 способы защиты автоматизированных систем управления и промышленного интернета вещей;
🔷 методы идентификации пользователей и автоматизации взаимодействия с органами государственной власти и многое другое.

Мероприятие пройдет в концертном-зале «Атмосфера» — современном мультимедийном пространстве в центре Москвы.

Участие бесплатное, количество мест ограничено. Требуется предварительная регистрация.

#ИнфоТеКС_ТехноФест
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥6👍5❤3👏1
Media is too big
VIEW IN TELEGRAM
⚪19 августа в 10:00 состоится вебинар «Защита ИТ-инфраструктуры кредитных организаций. Цифровой рубль. 851-П и не только»

🔑🔑🔑

Сергей Дурягин, вице-президент, расскажет про обеспечение целостности электронных сообщений с использованием УНЭП в соответствии с новыми требованиями Положения Банка России № 851-П от 30 января 2025 года и защиту инфраструктуры цифрового рубля коммерческих банков.

▫️ Регистрация
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥6❤4👍3👏2
Forwarded from ИнфоТеКС
Новости стандартизации в отрасли обеспечения информационной безопасности финансовых операций

Секретариат подкомитета №1 «Безопасность финансовых (банковских) операций» (ПК 1) национального Технического комитета по стандартизации №122 «Стандарты финансовых операций» (ТК122), функции ведения которого выполняет компания «ИнфоТеКС», опубликовал новостной ежеквартальный дайджест в области деятельности ПК1/ТК122 за 2 квартал 2025 года. В материале содержатся новости о последних событиях в области стандартизации безопасности финансовых операций, обзор событий и мероприятий в сфере деятельности подкомитета и другая информация.

Подробнее
❤4👍4🔥2
⚪19 августа в 10:00 состоится вебинар «Защита ИТ-инфраструктуры кредитных организаций. Цифровой рубль. 851-П и не только»

🔑🔑🔑

Сергей Дурягин, вице-президент, расскажет про опыт ИнфоТеКС в защите инфраструктуры цифрового рубля коммерческих банков, рассмотрит особенности выпуска и получения усиленной неквалифицированной подписи (УНЭП) для обеспечения целостности электронных сообщений в соответствии с требованиями Положения Банка России № 851-П от 30 января 2025 года и другими нормативными актами регулятора.

Участники вебинара получат практические рекомендации по реализации удостоверяющих центров, необходимых для обеспечения взаимодействия всех участников платформы цифрового рубля, формирования и проверки ЭП. Сергей подробно расскажет про 🗝️ ViPNet Удостоверяющий центр, который предназначен для построения инфраструктуры открытых ключей, переходе на пятую версию продукта, о применении УНЭП, используемой в рамках платформы цифрового рубля.

🔵 Также на вебинаре будет представлен обзор новой высокопроизводительной версии сертифицированного TLS-криптошлюза ­– ➖ ViPNet TLS Gateway, сертифицированного СКЗИ 🔧 ViPNet OSSL, которое входит в состав программного модуля Банка России, разработанного ИнфоТеКС. Будут рассмотрены особенности реализации сервиса автоматизации выпуска сертификатов 🔵 ViPNet САВС.

▫ Регистрация

Задавайте интересующие вопросы в комментариях, Сергей ответит на них на вебинаре
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥6❤5👍4
▫ Итоги вебинара «Защита ИТ-инфраструктуры кредитных организаций. Цифровой рубль. 851-П и не только»

На вебинаре Сергей Дурягин рассказал про все продукты ИнфоТеКС, используемые для защиты инфраструктуры цифрового рубля коммерческих банков, их основные характеристики и преимущества, а также стоимость 🔧 ViPNet OSSL, ➖ ViPNet TLS Gateway, 🗝 ViPNet PKI Service, 🗝 ViPNet HSM, 🔁 ViPNet EDI Soap Gate, 🗝 ViPNet УЦ 4 и ViPNet УЦ 5.

🔷 317 участников вебинара задали 56 вопросов, большинство из которых были связаны с поставкой и эксплуатацией продуктов для развертывания удостоверяющих центров, смене поколений ViPNet УЦ 4 на ViPNet УЦ 5, сроках их сертификации и стоимости перехода.

Сергей также подчеркнул, что компания «ИнфоТеКС» готова предоставить финансовым организациям на бесплатное тестирование любые продукты ViPNet. Эксперты ИнфоТеКС совместно с банковскими специалистами готовы участвовать в анализе имеющейся инфраструктуры и давать рекомендации по корректному использованию СКЗИ. Для этого достаточно отправить заявку на soft@infotecs.ru.

▫ Смотреть вебинар ВК/RuTube
▫ Скачать презентацию
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6🔥6❤4👏1
Forwarded from ИнфоТеКС
AM Live. Электронная подпись

Дмитрий Гусев, заместитель генерального директора, примет участие в эфире Anti-Malware «Электронная подпись» 27 августа в 11:00.

Эфир будет посвящен практическим аспектам применения электронной подписи. Эксперты обсудят, в каких сценариях она уже активно используется и где скрыт наибольший потенциал, какие барьеры мешают её массовому внедрению, а также особенности работы ЭП в облаке, на мобильных устройствах и в автоматизированных системах. Информация будет полезна как тем, кто уже работает в цифровом документообороте, так и тем, кто только планирует переход на него.

Подробнее
🔥6❤4👍3
🔘 Издательство Connect.wit опубликовало обзор вебинара «Защита ИТ-инфраструктуры кредитных организаций. Цифровой рубль. 851-П и не только».

Без преувеличения, полноценное внедрение цифрового рубля – новая веха цифровизации банковской сферы. К этому этапу нужно готовиться основательно и начинать пилотирование нужно уже сейчас, чтобы к жестким срокам, установленным регулятором, быть полностью готовыми к безопасной и легитимной эксплуатации новой финансовой инфраструктуры.

Комментарий издательства


Подробнее 🔹
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5❤4🔥4
Forwarded from Connect WIT
🖍ЭКСКЛЮЗИВ! Цифровой рубль не за горами: к чему нужно готовиться? О внедрении цифрового рубля говорят на самом высоком уровне уже достаточно давно, и, похоже, в скором времени он станет новой реальностью для финансового сектора России. Его введение потребует от кредитных организаций существенной перестройки и усиления ИТ-инфраструктуры, особенно в сфере информационной безопасности. Этой теме был посвящен вебинар компании «ИнфоТеКС», который состоялся 19 августа. Основные темы коснулись защиты ИТ-инфраструктуры кредитных организаций в свете внедрения цифрового рубля и новых регуляторных требований.

Сергей Дурягин, вице-президент «ИнфоТеКС», рассказал, что прототип платформы цифрового рубля был создан в декабре 2021 г. В течение 2022 г. была разработана необходимая законодательная база, заложившая правовой фундамент для обращения новой валюты. Практическим воплощением этих наработок стал старт пилотирования операций с реальными цифровыми рублями в августе 2023 г., в котором изначально приняли участие несколько клиентов из 13 банков. Масштабы эксперимента значительно расширились в сентябре 2024 г., когда к пилотному проекту получили возможность подключиться примерно 9 тыс. человек и 1200 компаний, что позволило протестировать систему под более серьезной нагрузкой. https://www.connect-wit.ru/tsifrovoj-rubl-ne-za-gorami-k-chemu-nuzhno-gotovitsya.html
👍5🔥5❤4👏1