🛡 Статья «Open API близко»

Какие сценарии, основанные на информационном обмене посредством Open API, уже отработаны в ходе пилотных проектов и подтвердили свою жизнеспособность и эффективность? Какие сценарии такого подтверждения не получили?

Не обладая всей полнотой информации о пилотных проектах по внедрению стандартов Open Banking в бизнес-процессы банковского сообщества, мы тем не менее можем сказать о том, что делается на уровне технологического обеспечения Open API, а именно, о реализации криптографических механизмов авторизации и аутентификации доступа клиентских приложений к финансовой инфраструктуре.
Опубликован ряд стандартов, которые регламентируют безопасные протоколы, использующие отечественные криптографические механизмы защиты информации. Это методические рекомендации Технического комитета ТК26 «Криптографическая защита информации» МР 26.2.002-2024, два стандарта Банка России СТО БР ФАПИ.СЕК-1.6-2024 и СТО БР ФАПИ.ПАОК-1.0-2024. Они разработаны при непосредственном участии сотрудников компании «ИнфоТеКС».
В настоящее время ведутся работы по апробации упомянутых стандартов. В частности, такие пилотные проекты выполняются под эгидой АНО «Национальный технологический центр цифровой криптографии» (НТЦ ЦК), Ассоциации «ФинТех», а также рядом российских банков.

Михаил Грунтович, руководитель обособленного подразделения ИнфоТеКС, редактор стандарта ФАПИ.СЕК и методических рекомендаций ТК26, эксперт Ассоциации ФинТех, к. ф-м. н.

Читать статью

▫️ Информационная безопасность цифрового рубля и операций с ним остается серьезным вызовом как для его эмитента – Банка России, так и для банков-посредников, предоставляющих доступ пользователей к ПлЦР.

Финансовые организации, подключающиеся к ПлЦР, должны создать защищенную инфраструктуру, учитывающую специфику работы с цифровым рублем, и включающую в себя набор удостоверяющих центров для работы с ЭП и сертификатами безопасности, создать комплексную систему сетевой и криптографической защиты, а также развернуть систему выпуска сертификатов пользователей ПлЦР.

🔘 Решение для защиты инфраструктуры цифрового рубля
Компания «ИнфоТеКС» разработала решение по защите цифрового рубля, которое позволяет коммерческим банкам создавать безопасную инфраструктуру, обеспечивающую защищенное взаимодействие с платформой цифрового рубля. Основное внимание уделено защите данных с использованием продуктов ViPNet и обеспечению соответствия требованиям регуляторов.

Подробнее о решении и его преимуществах

Чем полезен ИнфоТеКС ТехноФест для специалистов по ИБ финансовой сферы?

Ровно через неделю состоится практическая конференция для технических специалистов в сфере информационной безопасности. На мероприятии будут представлены доклады о перспективных разработках и подходах к защите информации.

▫️ Иван Мухин расскажет про использование продуктов ViPNet для защиты инфраструктуры цифрового рубля в банках.

▫️ Римма Бадмаева представит новый ViPNet Удостоверяющий центр 5 и расскажет про криптографическую платформу ViPNet HSM и ViPNet PKI Service на мастер-классе «Серверная, дистанционная, удалённая, облачная ЭП (нужное подчеркнуть)».

▫️ Елена Новикова расскажет про ViPNet EDI: СКЗИ и средство ЭП для легитимной работы с ЕСИА и ЦПГ.

Отдельного внимания заслуживает стенд с актуальными версиями продуктов ViPNet и неформальное общение с экспертами ИнфоТеКС, которые ответят на все вопросы об эксплуатации средств защиты информации.

Екатеринбург, 13 марта
РЕГИСТРАЦИЯ

#мероприятия

Электронные финансы в России: эволюция или революция

▫️ Национальный банковский журнал опубликовал итоги юбилейного XXV международного форума iFin–2025 «Электронные финансовые услуги и технологии» с участием ИнфоТеКС. Римма Бадмаева, ведущий менеджер продуктов, рассказала на форуме про комплексное решение для защиты инфраструктуры цифрового рубля коммерческих банков и сертифицированные продукты ViPNet, которые в нем используются.

🔘 Для профессионального обсуждения тем информационной безопасности и криптографии в финтехе у нашего канала есть специальный чат.

Присоединяйтесь, чтобы делиться опытом, обмениваться актуальной аналитикой и обсуждать ключевые тенденции отрасли в профессиональном сообществе.

🔘 Владимир Голованов, заместитель начальника аналитического отдела, в интервью NBJ рассказал об участии ИнфоТеКС в проекте по цифровому рублю, объяснил, почему вендор пересмотрел свои приоритетные направления развития в сторону защиты банковского сектора, и можно ли средства защиты информации для финансового сектора использовать в других отраслях экономики.

ИнфоТеКС участвует в проекте цифрового рубля Банка России с момента его старта. На начальных этапах шла выработка целого ряда универсальных требований: как создать «секретный ключ» физическому лицу, как защитить формирующиеся данные и других. Для отдельных режимов работы нами готовились соответствующие предложения. Ну а как вендора, основная наша задача заключалась в создании продуктов на основе технологий, которые должны быть реализованы в банках удобным им способом для обеспечения надлежащего уровня защищённости при доступе к платформе цифрового рубля. Мы как одна из компаний-подрядчиков, отобранных Банком России, предлагаем свои средства криптографической защиты информации (СКЗИ), встроенные в ядро программного модуля Банка России, который призван обеспечить криптографическую защиту передаваемых данных в мобильном приложении пользователя. Можно сказать, что программный модуль – это надстройка в виде API для работы мобильного приложения ДБО банка с необходимыми функциями защиты, реализуемыми СКЗИ.

Владимир Голованов

Читать

🔘 Сегодня в 12:00 Сергей Дурягин, вице-президент, примет участие в вебинаре «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности».

Эксперты обсудят ключевые вопросы, связанные с цифровым рублем: насколько он безопаснее наличных и безналичных средств, кто и как будет обеспечивать эту безопасность, кому выгодны мифы о цифровой валюте, а также возможные риски избыточного регулирования и контроля со стороны государства.

Смотреть

🛡 Сергей Дурягин, вице-президент ИнфоТеКС, в ходе вебинара «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности» отметил:

Обеспечивая защиту инфраструктуры цифрового рубля, банки должны не только встроить требуемые СКЗИ, но и провести оценку отсутствия деструктивного влияния на них со стороны использующих их программ. Показать корректность встраивания СКЗИ в прикладные платформы. Участвуя в пилоте проекта по цифровому рублю, мы много внимания уделяем именно этому аспекту. Рассказываем коллегам из финансового сектора, как проводить оценку влияния, про аккредитованные испытательные лаборатории, которые имеют право и опыт проведения соответствующих работ, необходимых ресурсах, в том числе и временных, которые следует закладывать на эти работы.

Римма Бадмаева, ведущий менеджер продуктов, представила ViPNet УЦ 5 — новую версию удостоверяющего центра, созданную с учетом импортозамещения и удобства размещения.

▫ Были раскрыты его состав, функции и планы по развитию. Особое внимание было уделено процессу перехода на 5-ую версию ViPNet УЦ.

Иван Мухин, ведущий менеджер отдела клиентских проектов, рассказал о роли продуктов ViPNet в защите инфраструктуры цифрового рубля в банках.

⚪ Иван объяснил, как Банк России организует выпуск и использование цифрового рубля, какие требования предъявляются к обеспечению защиты информации для участников платформы цифрового рубля. Основное внимание было уделено решениям ИнфоТеКС для защиты инфраструктуры цифрового рубля: ViPNet TLS Gateway, ViPNet PKI Service, ViPNet OSSL, ViPNet САВС и другие. Также спикер затронул вопросы использования сертифицированных СКЗИ и проведения работ по оценке влияния.

Термины, определения и сокращения
эпизод 1

Давайте подробно рассмотрим сокращения, термины и определения, которые используются в цифровом рубле (ЦР):

Итак, термин «Программный модуль Банка России» или ПМ БР
– это программное обеспечение (библиотека), встраиваемое в мобильное приложение банка-участника платформы цифрового рубля. ПМ БР предназначен для обеспечения взаимодействия пользователя с платформой цифрового рубля и отвечает за криптографические преобразования, такие как: генерация ключей, создание запросов на сертификаты, хранение сертификатов, организация ГОСТ TLS-соединений, а также подписание исходящих электронных сообщений, их шифрование, расшифрование и проверка подписи.

Ядром ПМ БР является средство криптографической защиты информации (СКЗИ) и средство электронной подписи (ЭП), сертифицированные по классу защиты КС1.

🔧 Компания «ИнфоТеКС» по заданию Банка России разработала ПМ БР с использованием криптобиблиотеки ViPNet OSSL. Подробнее о ViPNet OSSL и его преимуществах читайте на странице продукта

#термины #ViPNet_OSSL

🔵 Владимир Голованов, заместитель начальника аналитического отдела, рассказал об участии экспертов ИнфоТеКС на конференции «РусКрипто’2025» 20 марта:

▫️Михаил Грунтович, руководитель обособленного подразделения, выступит с докладом «Безопасность OpenAPI: когда "открытый" не значит "уязвимый"» в секции «Информационная безопасность и криптография в банковской сфере. Часть 1» в 12:00

▫️ Дмитрий Гусев, заместитель генерального директора, примет участие в панельной дискуссии «Банковский бизнес VS криптографическая отрасль» в 15:00

В Банковском обозрении вышла статья Риммы Бадмаевой, ведущего менеджера продуктов, «На уровне безопасности. Защита инфраструктуры цифрового рубля в банках»

▫️ Проект цифрового рубля пока на стадии пилотного тестирования, но уже сейчас идет активная работа по обеспечению его безопасности. Крупнейшие банки страны готовятся к масштабному внедрению, а требования к защите информации зафиксированы в Положении № 833-П Банка России.

Компания «ИнфоТеКС» участвует в этом проекте, разрабатывая решения для защиты операций с цифровым рублем. В статье Римма рассказывает, как обеспечивается криптографическая защита мобильных приложений банков, какие СКЗИ используются, и какие технологии помогут финансовым организациям соответствовать требованиям регулятора.

#статья #цифровойрубль

Термины, определения и сокращения
эпизод 2

Продолжаем изучать сокращения, термины и определения, которые используются в ЦР:

Согласно Положению Банка России от 7 декабря 2023 г. № 833-П "О требованиях к обеспечению защиты информации для участников платформы цифрового рубля", защита электронных сообщений при их передаче должна обеспечиваться посредством использования усиленной неквалифицированной электронной подписи (УНЭП).

⚪Определение и обязательные параметры указаны в Федеральном законе №63-ФЗ «Об электронной подписи»:
– УНЭП является результатом криптографического преобразования информации с использованием уникальной последовательности символов (ключа электронной подписи);
– позволяет идентифицировать лицо, подписавшее электронный документ и обнаружить факт внесения изменений в электронный документ после момента его подписания.

🔧 Для УНЭП в ПМ БР от ИнфоТеКС используется ViPNet OSSL

🗝 Для УНЭП на стороне участника ПлЦР мы рекомендуем использовать сервер ЭП ViPNet PKI Service

#термины #ViPNet_OSSL #ViPNet_PKI

Немного о контурах

▫ Участник ПлЦР (банк-посредник) для обеспечения безопасности технологии обработки и передачи электронных сообщений при осуществлении операций с ЦР должен реализовать в своей информационной инфраструктуре два выделенных контура: контур контроля и контур обработки. Все исходящие электронные сообщения должны поступать в Контур контроля только из Контура обработки, а все входящие сообщения от ПлЦР из Контура контроля должны передаваться только в Контур обработки.

Для обработки электронных сообщений в контурах должны быть реализованы следующие криптографические функции:
- формирование и проверка ЭП электронных сообщений;
- шифрование и расшифрование электронных сообщений.

При этом участник ПлЦР должен подписывать электронные сообщения ЭП, сертификат ключа проверки которой выдан УЦ Банка России в соответствии со ст.13 Федерального закона № 63-ФЗ. С 01.01.2025 вступили в силу Положения 833-П, которые определяют для использования в данных сегментах инфраструктуры банков СКЗИ не ниже класса КС3.

▫ Разработанный ИнфоТеКС сервер подписи ViPNet PKI Service полностью соответствует данным требованиям, обладает необходимым криптографическим функционалом для использования в указанных контурах, удобен для встраивания (интерфейс REST API) и размещения (единая безопасная платформа СКЗИ класса КВ).

🗝 Подробнее о ViPNet PKI Service и его преимуществах читайте на странице продукта

#ViPNet_PKI #Цифровойрубль

Оценка соответствия ИБ и консалтинг

▫️ Банк России обращает особое внимание на выполнение всеми подотчетными организациями требований в области информационной безопасности. Среди прочих услуг финансовым организациям «Перспективный мониторинг» проводит оценку:

🔘 Соответствия требованиям и нормативным актам Банка России
🔘 Требованиям национальных стандартов РФ
🔘 Требованиям по уровню доверия

Мы детально знаем все требования регулятора, потому что в команде ПМ есть «динозавры», которые входили в рабочие группы по формированию самых первых и ряда последующих требований к информационной безопасности в финансовой сфере. В тесном сотрудничестве с Банком России наши сотрудники участвовали в разработке практически всех стандартов, начиная с СТО БР ИББС и до ГОСТ 57580.

Мы сделали:
• 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580
• 53 оценки соответствия по ГОСТ Р 57580
• 3 проекта построения с «0» информационной инфраструктуры в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России

Подробнее смотрите в ролике с Александром Пушкиным, заместителем генерального директора компании «Перспективный мониторинг» 👇

Еще немного о криптографии

▫Для двухсторонней аутентификации и организации TLS-соединений с использованием российских криптоалгоритмов между пользователем и участником ПлЦР тоже должны применяться СКЗИ.

На стороне пользователей мобильных приложений данный вопрос решается путем использования ПМ БР со встроенным СКЗИ, в нашем случае речь идет об СКЗИ ViPNet OSSL, а на стороне участника ПлЦР – TLS-шлюз ViPNet TLS Gateway.

▫ ViPNet TLS Gateway выпускается в разных исполнениях, поддерживает дуальный режим криптографии и может быть собран в кластер.

➖ Подробнее о ViPNet TLS Gateway и его преимуществах читайте на странице продукта

#ViPNet_TLS