Организация защиты электронных расчетов

Для предотвращения нарушений в работе системы, угроз искажения или потери информации, лишения ее конфиденциального характера, вызванных причинами случайного (стихийные бедствия, технические сбои) или преднамеренного (злонамеренные действия третьих лиц) характера, должны существовать определенные политики безопасности системы – набор мер и инструментов противодействия и контроля, позволяющий низвести указанные риски к минимальным.

Система защиты электронных расчетов должна соответствовать следующим, предъявляемым к ней базовым требованиям:

- обязанность четко следовать избранной политике безопасности.

- требование наличия специальных маркеров, ассоциированных с объектами данных и гарантирующих их целостность.

- необходимость существования уникальных идентификаторов, позволяющих точно идентифицировать все объектов данных и взаимодействующих пользователей в платежной системе и вести их корректный учет.

- непрерывность защиты при любом состоянии системы и непрерывность контроля за происходящими процессами и функционированием систем защиты.

Следование этим правилам вызывает необходимость членения системы защиты как минимум на четыре главных элемента, взаимодействующих в ее рамках: подсистема контроля доступа, подсистема регистрации и учета, подсистема обеспечения целостности и криптографическая подсистема. Технологически, архитектура системы может быть решена как в виде централизованной системы, подсистемы которой являются совокупностями его методов, сгруппированных в модули по признаку функциональной близости, так и децентрализованной, но функционирующей в соответствии с едиными стандартами и протоколами.

Средства защиты, действующие в рамках этих подсистем подразделяются, в свою очередь, на законодательные и нормативные акты, установленные организационные процедуры, позволяющие точно распределить обязанности при разработке систем защиты, их комплексном аудите, их функционировании в рабочем режиме; и на программные средства, реализующие безопасное хранение, использование и шифрование как информации, обмен и обработка которой составляет прямое назначение системы электронных расчетов, так и вспомогательной информации – логов и журналов системных операций, таблиц паролей, кодов доступа, криптографических ключей.

Средства защиты также должны гарантировать возможность восстановления утраченной или поврежденной информации, как путем ее резервного хранения, так и специальными криптографическими методами – например "избыточным кодированием".

В целях адаптации системы к постоянно изменяющемуся характеру рисков, пополняющейся номенклатуре методов, находящихся в арсенале злоумышленников, также для обеспечения нормального функционирования системы в условиях ее экстенсивного роста и увеличения передаваемой по каналам данных информации необходим регулярный и полный комплексный аудит на предмет соответствия системы принятой политике безопасности, непрерывное тестирование всех технологических нововведений (в первую очередь в области программных средств) используемых при осуществлении электронных расчетов.