Основные понятия и определения электронных платёжных систем

Информационная безопасность

Успешное развитие современных платёжных систем требует тщательно разработанной программы развития и интеграции всех составляющих их инженерной инфраструктуры: информационных технологий, телекоммуникаций и защиты информации.

Развитие платёжной инфраструктуры требует значительных финансовых вложений в программно-аппаратные средства. Учитывая, что в базах центров авторизации платежных карт содержится информация, полная или частичная потеря которой неизбежно приведет к значительным, а в ряде случаев невосполнимым финансовым потерям, которые могут быть выше, чем средства, потраченные на создание самой системы, необходимо обеспечить надежную защиту всех её компонентов.

Для создания системы защиты информации предлагается использовать комплексный подход, а именно: создание «Единого пространства информационной безопасности», как комплекса взаимосвязанных и постоянно взаимодействующих технических, организационных и нормативно-правовых подсистем. Необходимым условием функционирования таких подсистем есть создание политики безопасности. Согласно международным рекомендациям за безопасность работы всех служб центров авторизации должны отвечать сотрудники службы безопасности.

Специалисты по информационной безопасности обязаны:

• — обеспечить точный и полный контроль над предоставлением привилегий доступа на базе инструкций для каждого информационного ресурса и в соответствии с применяемой внутренней политикой безопасности, директивами и стандартами;
• — быть информированными обо всех изменениях, связанных со статусом сотрудников, увольнением, переходом, или изменением должностных обязанностей;
• — постоянно проводить мониторинг действий пользователей с привилегиями высокого уровня;
• — удалять привилегии немедленно, как только они больше не требуются;
• — ежедневно проводить мониторинг попыток доступа, для выявления критичных для безопасности событий, типа попыток несанкционированного доступа, которые могут угрожать целостности, конфиденциальности, или работоспособности системы;
• — докладывать обо всех попытках несанкционированного доступа к общим информационным ресурсам для проведения расследования и принятия мер;
• — организовать доступ так, чтобы каждый пользователь системы был определен уникальной идентификационной последовательностью (USERID), созданной только для этого пользователя;
• — требовать для каждого процесса доступа к критичным информационным ресурсам аутентификацию пользователя;
• — собирать, защищать, проводить аудит всей доступной журнально-протокольной информации.

Таким образом, на всех стадиях внедрения информационных технологий комплексно решается вопрос защиты информации, предоставляется подход для юридического решения споров между пользователями информационных технологий, разделение обязанностей между подразделениями, четко определяются границы ответственности между должностными лицами.

Цель информационной защиты — обеспечение надежной, корректной и безопасной работы всех компонентов платёжной системы, что подразумевает создание надежных и удобных механизмов регламента деятельности служб, пользователей и обслуживающего персонала, соблюдение дисциплины доступа к ресурсам информационной системы.

Для защиты информации ЭПС необходимо использовать комплексный подход, а именно: создание защищенной среды для обработки информации, которая объединит разнообразные (правовые, организационные, программно-технические) средства для отражения любой угрозы.

Основными особенностями информационных сетей (ИС) ЭПС является неоднородность их компонентов, включая используемые операционные системы и прикладные программы. Программно-аппаратные средства для систем авторизации, клиринговых систем и систем мониторинга служат сервера баз данных. Многочисленные приложения на рабочих станциях в основном работают в операционной среде WINDOWS, но могут использоваться другие операционные системы (OS/2 и т. д.), терминалы, для файловых серверов могут применяться ОС WINDOWS-NT/2000, LINUX. В качестве средств маршрутизации и коммутации чаще всего используются продукты CISCO, однако могут быть использованы продукты других фирм.

Взаимодействие служб ЭПС осуществляется на базе TCP/IP протокола, используя сети компаний провайдеров телекоммуникационных услуг или выделенные каналы связи. Подключение банкоматов осуществляется на базе протоколов TCP/IP и Х.25, используя сети компаний провайдеров телекоммуникационных услуг или выделенные каналы связи. Взаимодействие с сетью POS-терминалов реализуется через коммутируемые каналы связи.