• Интернет–банк для юридических лиц
  • Возможности
  • Безопасность
  • Подключение
  • Работа
• Пакеты услуг расчетно–кассового обслуживания
• Расчетно–кассовое обслуживание
• Финансирование
• Банковские карты
• Эквайринговые услуги
• Международное торговое финансирование
• Лизинг
• Инкассация
• Гарантии банка
• Внешнеэкономическая деятельность
• Ценные бумаги
• Электронная торговая площадка
• Корпоративное кредитование
• Депозиты для юридических лиц и ИП

Защита от троянов

Обеспечение доверенной среды исполнения на компьютере клиента – это задача, которую может и должен решать только клиент. Банк не может за клиента решить эту задачу, поскольку объект защиты (компьютер) находится в полном распоряжении клиента. Но банк должен методически помогать клиенту решать эту задачу.

В общем случае для предотвращения попадания специализированных вредоносных программ (троянов) на компьютер пользователю необходимо:

• Соблюдать регламент ограниченного доступа к данному компьютеру.
• Использовать и оперативно обновлять системное и прикладное программное обеспечение (ПО) только из доверенных источников, гарантирующих отсутствие вредоносных программ.
• Использовать и оперативно обновлять специализированное ПО для защиты информации – антивирусное ПО, персональные межсетевые экраны и пр.
• Соблюдать правила безопасной работы в Интернете.

Задача банка – предоставлять клиенту развернутые и подробные рекомендации по каждому из перечисленных направлений.

Задача клиента – осмысленно и ответственно подходить к выполнению рекомендаций банка.

Регламент доступа к компьютеру

Клиенту необходимо строго соблюдать регламент ограниченного доступа к компьютеру, на котором ответственные сотрудники работают с системой Интернет-банк.

Любой физический доступ к компьютеру – это потенциальная возможность подключения отчуждаемого носителя (дискеты, компакт-диска, USB-накопителя) и, как следствие, возможность привнесения на компьютер вредоносной программы.

Любой физический доступ к компьютеру – это потенциально неконтролируемая работа в Интернете и, как следствие, возможность случайной или намеренной загрузки вредоносной программы.

Именно поэтому клиент должен обеспечить контролируемый физический доступ к компьютеру, с которого осуществляется работа по системе электронного банкинга Интернет-банк.

Для корпоративных клиентов также должен быть утвержден список сотрудников организации, включая ответственных сотрудников и технический персонал, которым разрешен доступ к компьютерам, с которых осуществляется работа по системе Интернет-банк. Любые другие лица не должны иметь физического доступа к указанным компьютерам.

Ознакомиться с примером регламента доступа к компьютеру.

Использование и обновление системного и прикладного ПО

Установка и обновление системного и прикладного ПО (операционная система, браузеры, почтовые клиенты, офисные программы, бухгалтерские программы и пр.) из ненадежных источников – прямой путь к проникновению вредоносных программ на компьютер клиента.

Клиент должен использовать программное обеспечение только из надежных доверенных источников.

Если это коммерческие программы – Microsoft Windows, Microsoft Office, 1С:Бухгалтерия и пр. – они должны быть легально приобретены клиентом и установлены с легального дистрибутива, гарантирующего отсутствие вредоносных программ.

Если это свободно распространяемые программы – Linux, Firefox, Thunderbird, Java и пр. – они должны быть получены на компакт-диске из доверенного источника или загружены через Интернет с публичных сайтов разработчиков с использованием механизмов обеспечения целостности загружаемого ПО.

Ровно все те же самые подходы должны использоваться клиентами при получении на носителях или загрузке из Интернета обновлений используемого системного и прикладного ПО.

При этом необходимо строго придерживаться рекомендаций разработчиков о периодичности проверки появления новых версий и обновлений.

Оперативное обновление системного и прикладного ПО на компьютере клиента – это необходимое условие для снижения рисков заражения компьютера вредоносными программами через новые выявленные уязвимости и ошибки в используемом клиентом ПО.

Использование и обновление ПО для защиты информации

Для защиты от вредоносных программ клиент должен использовать и оперативно обновлять на своем компьютере специализированные программы для защиты информации:

• Антивирусное ПО
• Персональные межсетевые экраны (firewall)
• Средства защиты от несанкционированного доступа

В настоящее время пользователям доступно много специализированных программных средств защиты информации – как коммерческих, так и свободно распространяемых.

Минимально необходимый набор на компьютере клиента – это антивирусное ПО + персональный межсетевой экран.

При этом стоит учитывать, что высокий уровень безопасности на компьютере клиента (то есть способность антивирусного ПО обнаружить новые вредоносные программы) достигается только при ежедневном обновлении антивирусных баз.

Правила безопасной работы в Интернете

Идеальный случай – это когда компьютер используется только для работы с системой электронного банкинга Интернет-банк и никакие другие задачи пользователь на этом компьютере не выполняет. В том числе:

• Не подключает к компьютеру отчуждаемые носители (дискеты, компакт-диски, флеш-накопители)
• Не получает из Интернета и не читает электронную почту
• Не посещает никакие сайты
• Не пользуется интернет-пейджерами (ICQ и пр.)
• Не загружает из Интернета и не запускает никакие программы
• На компьютере клиента работает персональный межсетевой экран, который запрещает все входящие и исходящие IP-пакеты, за исключением UDP-трафика с DNS-сервером и исходящих TCP-соединений с банковским сервером системы Интернет-банк

Но это – идеальная картина, мало достижимая на практике. В действительности все оказывается с точностью да наоборот.

Клиенты практически никогда не выделяют отдельный компьютер только под «Банк-Клиент», а используют компьютер в максимальном количестве задач – посещают сайты, получают и читают электронную почту, загружают из Интернета и запускают программы, устанавливают нелицензионные программы с пиратских компакт-дисков. То есть делают все то, что активно способствует проникновению вредоносных программ на компьютер клиента.

При формальном подходе клиентам следует ознакомиться с действующим официальным документом Гостехкомиссии «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К) от 2001 года.

Ознакомиться с документом Гостехкомиссии «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К) от 2001 года.

В тоже время на практике более действенным может оказаться свод простых и понятных правил, следуя которым, клиенты действительно будут снижать вероятность заражения компьютера из Интернета вредоносными программами.

Свод правил работы в сети Интернет.

Предотвращение хищений

Хищение средств с расчетного счета клиента осуществляется злоумышленником методом направления в банк по системе электронного банкинга Интернет-банк платежного поручения с корректной ЭЦП клиента, сформированной с использованием ранее похищенного секретного ключа ЭЦП клиента и пароля для доступа к этому ключу.

Для выявления и пресечения подобных хищений банк реализовал комплекс предлагаемых превентивных мер, которые в совокупности радикально усложнят задачу злоумышленникам, сделав ее организационно и технически труднореализуемой.

При этом банк сохранил приемлемый уровень комфорта для клиента и стоимость услуги.

Кратко перечислим реализованные в системе Интернет-банк механизмы и предлагаемые банком меры:

• Усиленная многофакторная аутентификация клиента с использованием OTP-токена ActivIdentity
• IP-фильтрация на межсетевом экране банка
• IP-фильтрация по клиентам
• Выявление подозрительных документов по реквизитам получателя
• Выявление подозрительных документов по региону IP-адреса клиента
• Оперативное SMS-информирование клиентов (Сервис SMS-банкинг (Ссылка на раздел SMS-банкинг))
• Информирование клиентов при входе в систему (Welcome Screen)
• Выявление и блокирование в банке сертификатов открытых ключей ЭЦП клиентов по региону IP-адреса