Термины, определения и сокращения
эпизод 5

🔘 Пользователи ПлЦР – это физические, юридические лица или индивидуальные предприниматели, которые имеют доступ к ПлЦР для совершения операций с ЦР. Им всем нужны сертификаты, и не только для ЭП, но и для аутентификации

В целях обеспечения выпуска необходимых для работы пользователей сертификатов в инфраструктуре участника ПлЦР должно быть реализовано ИТ-решение по автоматизации процесса выдачи сертификатов. При этом для аутентификации пользователя ПлЦР для выпуска необходимых для работы сертификатов должна использоваться ЕСИА – единая система идентификации и аутентификации.

Знакомимся с новым термином:
Сервис автоматизации выпуска сертификатов

– это технические средства автоматизации, предназначенные для выпуска сертификатов пользователям ПлЦР.

▫ В состав сервиса входит средство ЭП класса КС3, предназначенное для формирования/проверки ЭП под сообщениями в/из ЕСИА, проверки ЭП запросов пользователей ПлЦР на выпуск сертификатов.

Компания «ИнфоТеКС» разработала Сервис Автоматизации Выпуска Сертификатов – 🔵 ViPNet САВС, в состав которого входит 🔁 ViPNet EDI Soap Gate.

#ViPNet_EDI #термины

Цифровой рубль может войти в повседневную жизнь уже в 2026 году

▫️ Министр финансов РФ Антон Силуанов сообщил, что полноценное внедрение цифрового рубля в России возможно уже в следующем году. Центробанк уже практически готов к выпуску цифрового рубля, в том числе и для граждан.

Читать полностью

Что такое PKI, какие существуют виды электронной подписи и чем они отличаются друг от друга?

▫️ Римма Бадмаева, ведущий менеджер продуктов, прочитала лекцию, посвященную инфраструктуре открытых ключей.

Лекция подготовлена специально для образовательного модуля программы переподготовки МГТУ им. Н.Э. Баумана «Управление информационной безопасностью в организации».

Смотреть лекцию: RuTube | Вконтакте

ComNews опубликовала карту и онлайн-страницу «Возможности импортозамещения программного обеспечения в ключевых сферах ИБ»

▫️ Эффективность обеспечения информационной безопасности напрямую зависит от импортозамещения не только в госсекторе, но и в частном бизнесе. Уход иностранных вендоров значительно увеличил риски ИБ, усилив потребность в переходе на отечественные решения.

Драйвером этого перехода выступают как санкции, так и законодательные меры: с 1 января 2025 года вступил в силу запрет на использование иностранного ПО и средств защиты информации на значимых объектах КИИ и в госсекторе.

🔘 На карте представлены продукты более 30 российских вендоров, в том числе продукты компании «ИнфоТеКС», с указанием наличия их в реестре Минцифры, сертификатов ФСТЭК России и ФСБ России, а также перечнем зарубежных аналогов.

▫️ Заместитель Председателя Банка России Зульфия Кахруманова рассказала, как идет тестирование Цифрового рубля, кто участвует в эксперименте, и почему массовый запуск пока отложен. Подробнее в интервью.

У ИнфоТеКС есть решение по защите цифрового рубля, которое позволяет коммерческим банкам создавать безопасную инфраструктуру, обеспечивающую защищенное взаимодействие с платформой цифрового рубля. Основное внимание уделено защите данных с использованием продуктов ViPNet и обеспечению соответствия требованиям регуляторов.

Подробнее о решении и его преимуществах

💬 «Как таковой, он [прим. цифровой рубль] уже внедрен. Мы проводим тестирование на реальных цифровых рублях, и оно продолжается. Мы отложили именно массовый запуск. Особо подчеркну, что массовый запуск означает обязательность для банков: они должны будут обеспечить возможность расплачиваться цифровыми рублями. Пользоваться этой возможностью или нет, каждый человек будет решать сам добровольно.

Сейчас в нашем пилоте участвуют около 2,5 тысячи граждан. Мы хотим привлечь многократно больше. Плюс обсуждаем разные технологические аспекты с банками, правительством, корпорациями. До конца года мы определим срок массового запуска».

Заместитель Председателя Банка России Зульфия Кахруманова рассказала в интервью «Комсомолькой правде», как будет работать универсальный QR, зачем нужен цифровой рубль и откуда берутся новаторские идеи в финтехе.

🔘 В интервью Национальному банковскому журналу вице-президент компании «ИнфоТеКС» Сергей Дурягин и руководитель проектов компании «БИФИТ» Руслан Артемьев рассказали о создании совместного готового комплексного решения для банков — участников платформы цифрового рубля.

Поделились нюансами совместной работы над проектом, обозначили зоны ответственности, объяснили, почему пришли к необходимости технологического партнёрства, и какие преимущества дало сотрудничество. Также эксперты оценили ситуацию на банковском рынке в контексте переноса сроков внедрения цифрового рубля и дали рекомендации финансовым организациям.

Полный текст интервью

Обновленные требования по безопасности банковских операций*
Часть 1

С марта 2025 года вступили в силу обновленные требования Банка России по защите информации при осуществлении банковской деятельности. Ниже — общий разбор ключевых положений и причин обновления требований Центрального банка РФ.

▫️ В марте 2025 года опубликована новая редакция требований Банка России к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента. Эти требования нашли отражение в новом Положении Банка России № 851-П «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента». Данное положение выпущено взамен действовавшего с 2019 года Положения Банка России № 683-П, включая ряд дополнений к нему. Новые нормы вступили в силу в течение 10 дней с момента опубликования Положения, за исключением тех пунктов, которые вводятся с отложенным сроком, в основном, с 1 октября 2025 года.

В свою очередь, основаниями для выпуска обновлённых требований регулятора по противодействию осуществления переводов денежных средств без согласия клиента с помощью мер защиты информации явились следующие два существенных обстоятельства:

🔘 Во-первых, это прямой допуск в национальную банковскую систему Российской Федерации иностранных банков (что и отражено в наименовании Положения Банка России № 851-П). Основные правила работы на российском рынке иностранных банков нашли отражение в Федеральном законе от 08.08.2024 № 275-ФЗ, нормами которого вносятся изменения в целый ряд отечественных законов по банковской и финансовой деятельности, противодействию финансирования терроризма и т.п.

🔘Во-вторых, необходимость дальнейшего развития и настройки мер защиты информации в целях противодействия осуществлению переводов денежных средств без согласия клиента, объёмы которых на момент принятия закона продолжали расти.

*Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

Обновленные требования по безопасности банковских операций*
Часть 2

В числе основных новых мер защиты информации, вошедших в Положение Банка России № 851-П, можно выделить следующие:

🔘 Зафиксированы требования к защите информации для филиалов иностранных банков.

🔘Уточнен состав защищаемой информации. Акцентировано внимание на необходимости защиты банковской тайны (её разглашение преследуется в соответствии с нормами Уголовного кодекса РФ), а также нового вида информации, связанной с приёмом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля.

🔘 Определена обязанность банков, в случае применения усиленной неквалифицированной электронной подписи (УНЭП), использовать средства электронной подписи (ЭП) и средства удостоверяющих центров (УЦ), имеющие подтверждение соответствия требованиям ФСБ России (здесь, по понятным причинам, предусмотрен отложенный срок введения в действие, с 1 октября 2025 года).

🔘 Дополнен перечень регистрируемых сведений о действиях клиентов в рамках осуществления переводов денежных средств, подлежащих регистрации и хранению.

*Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

Обновленные требования по безопасности банковских операций*
Часть 3

Продолжаем обзор Положения Банка России № 851-П — в этой части сосредоточимся на новом требовании и общих последствиях изменений.

▫️Наряду с отмеченным, следует обратить внимание банков на ещё одно новое для них требование общего плана, которое не столь активно пока обсуждается банковским сообществом. Оно заключается в том, что банки и филиалы иностранных банков должны обеспечить реализацию работ управленческого цикла Деминга-Шухарта (цикла менеджмента) по управлению всеми используемыми ими мерами защиты информации, то есть, осуществлять: планирование применения, применение, контроль применения и совершенствование использования защитных мер. Это отражено в последнем абзаце пункта 2 нового Положения. Если строго следовать «букве закона», данный абзац требований может повлечь за собой значительный объем новых, ранее не запланированных работ. Так ли это – покажет время.

🔘 В целом, следует отметить, что новая редакция требований Банка России, а именно требования Положения Банка России № 851-П по противодействию осуществлению переводов денежных средств без согласия клиентов, формирует необходимость проведения существенного объёма дополнительных работ (обновление АС ДБО, внедрение сертифицированных средств при использовании УКЭП и т.п.), к реализации которых уже можно и надо приступить.

*Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

Как «Перспективный мониторинг» влияет на безопасность финтеха в России. Часть 1

Рассказываем истории из практики компании «Перспективный мониторинг» (ГК «ИнфоТеКС»), чьи эксперты стояли у истоков нормативной базы информационной безопасности в финансовом секторе. Сотрудники компании участвовали в разработке практически всех ключевых стандартов — от первых версий СТО БР ИББС до ГОСТ 57580.

На практике — десятки проектов:
🔘 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580
🔘 53 оценки соответствия по ГОСТ Р 57580
🔘 3 проекта по построению ИТ-инфраструктуры «с нуля» в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России.

Одна из практик, которая особенно показала, как теория превращается в конкретную защиту, — это пентест банкоматов. Об этом расскажем в следующей публикации.

Продолжаем серию публикации "истории из практики".
Часть 2

Вместе с одним из заказчиков специалисты «Перспективного мониторинга» провели исследование уязвимостей банкоматов — устройств, которые ежедневно работают вне защищенного периметра.

▫ Эксперты разработали методику и маршрутную карту работ, провели пентест и обнаружили, что банкомат можно вывести из строя с помощью простых средств. Хотя доступ к чувствительным компонентам требует усилий, это вполне реально. На основе результатов был сформирован конкретный план по усилению защиты.

В соответствии с 851-П банки должны ежегодно проводить тестирование на предмет наличия возможностей проникновения и анализ уязвимости.

Но не только устройства требуют внимания — важен и баланс между нормативной и реальной безопасностью. Следующая история будет про то, как Перспективный мониторинг помогал банку выстроить защищенную инфраструктуру.

Истории из практики. Часть 3

Один из заказчиков обратился за помощью в модернизации инфраструктуры с учётом не только регуляторных требований, но и практической устойчивости. Успех проекта зависел от эффективного взаимодействия трех участников – ИБ-консультанта, интегратора и банка.

🔘 Эксперты «Перспективного мониторинга» помогли выстроить рабочую инфраструктуру и разработали комплексную нормативно-методическую документацию: от политик до инструкций. Кроме того, была организована поддержка службы ИБ по внедрению процессов системы менеджмента информационной безопасности.

А бывает и так, что в компании почти не осталось тех, кто понимает, как устроен собственный продукт. Мы столкнулись с этим и помогли пройти оценку соответствия ПО требованиям ОУД 4. Расскажем в следующем посте.

Истории из практики. Часть 4

▫ У заказчика остались только сотрудники техподдержки с поверхностным пониманием продукта. Для прохождения оценки соответствия ПО требованиям ОУД 4 требовалась детализированная документация.

Команда «Перспективного мониторинга» провела глубокое изучение всех доступных материалов, провела интервью и извлекла «золотые крупицы» знаний о настоящем устройстве системы. На базе этого команда разработала всю необходимую документацию — от архитектурных решений до пользовательского интерфейса. В результате заказчик успешно прошёл оценку.

🛡 Именно практический опыт позволил Перспективному мониторингу не только участвовать в создании стандартов, но и внедрять их на практике — адаптируя к живым, сложным условиям: от банкоматов до полной перестройки инфраструктуры.

Термины, определения и сокращения
эпизод 6

Продолжаем тему сервиса автоматического выпуска сертификатов в ЦР.

🔘 В состав решения 🔵 ViPNet САВС входят программно-аппаратный комплекс 🔁 ViPNet EDI Soap Gate 3 и программный комплекс 🔵 ViPNet EDI Flow.

ПАК ViPNet EDI Soap Gate 3 является СКЗИ и средством ЭП по классу КС3 и отвечает за:
▫️ авторизацию пользователей в ЕСИА для идентификации на ПлЦР,
▫️ за взаимодействие с ЕСИА,
▫️ проверку запросов пользователей ПлЦР на создание сертификатов (первичный/повторный)
▫️ проверку изданных сертификатов.

Управляющий компонент ViPNet EDI Flow отвечает за взаимодействие с сервером ДБО, с СКЗИ ViPNet EDI Soap Gate и удостоверяющими центрами участника ПлЦР.

ViPNet EDI Flow обеспечивает:
▫️ выполнение всех процессов, связанных с выпуском сертификатов безопасности и сертификатов ЭП пользователей ПлЦР
▫️ получение списков отозванных сертификатов и направление их в ПлЦР.
Для интеграции АС ДБО с ViPNet САВС в ViPNet EDI Flow разработан REST API.

Решение ViPNet САВС было представлено в мае на конференции MobiFinance-2025. В рамках доклада была продемонстрирована работа решения с авторизацией пользователя в ЕСИА и с выпуском сертификатов в ViPNet УЦ.

Официальный выпуск ViPNet САВС в июле этого года. До запуска осталось совсем немного, решение уже практически готово к внедрению и скорому применению на практике!