А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Поэтому нужно четко понимать, какие именно действия или, проще говоря, события мы хотим увидеть.

Использование обеих систем (SIEM и сканер безопасности) в связке позволяет контролировать то, что происходит в сетях, на рабочих станциях, серверах, в базах данных, и оперативно реагировать, если произошло нарушение установленных регламентов и политик или имела место иная внештатная ситуация. Кроме того, две системы позволяют лучше оценить то, каковы могут быть потенциальные последствия вновь обнаруженных уязвимостей.

Доклиентский цикл и его безопасность

О самом процессе производства банковских карт и его этапах написано немало[104]. Этот раздел в книге хотелось бы посвятить жизненному циклу карточного продукта с момента его рождения и доставки банку-эмитенту с соблюдением мер безопасности.

Когда мы говорим о производстве продукта, то следует понимать, что карточный продукт, или продукция, не может быть выпущена на обычной фабрике. И не только потому, что требуется специализированное оборудование, обученный персонал и технологии для ее производства, но и необходимо еще одно важное условие — это должна быть территория с высоким уровнем безопасности.

Территория с высоким уровнем безопасности подразумевает хорошо организованный, слаженный комплекс с интегрированными устройствами защиты безопасности и жесткими процедурами допуска. Конечно, эти требования по безопасности придумал не сам производитель пластиковых карт, а международные платежные системы, и остается лишь строго исполнять их. Изначально следует понимать, что для того чтобы добиться высокой степени защиты на производстве банковских карт, необходимо начинать с разработки проекта фабрики, правильного планирования и проектирования производственных зон и участков и, соответственно, организации физического доступа на эти зоны и участки.

Итак, существуют внешние и внутренние стандарты безопасности для производственных помещений. Внешние стандарты безопасности означают нахождение производственных помещений на территории, обслуживаемой общественными правоохранительными органами и службами пожарной охраны, МЧС. Как правило, это локальные службы, которые привлекаются по месту нахождения производства. Согласно заключенным договорам на такое обслуживание правоохранительные органы, например, должны приехать по вызову на территорию в случае несанкционированного доступа в течение пяти минут. Независимо от времени реагирования служб пожарной охраны на территории или внутри помещений обязательно выстраиваются системы пожаротушения. Как правило, выбор таких систем определяется возможностями предприятия. Все помещения должны быть оборудованы аварийными системами безопасности против несанкционированного проникновения. Все внешние пункты входов и выходов, включая и те, что предназначены для персонала, обслуживающего персонала и грузов, должны оборудоваться аварийными кнопками и камерами видеонаблюдения с возможностью круглосуточной записи происходящего в режиме реального времени. Аварийные системы поддерживаются запасными источниками питания и в случае отключения основного автоматически в течение десяти секунд переключаются на аварийные и функционируют бесперебойно в течение 72 часов до устранения аварии. Такие меры предосторожности позволяют центру безопасности контролировать все без исключения зоны предприятия как по периметру здания, так и внутри, где находятся сырье и материалы для производства банковских карт, заготовки, сама карточная продукция.

Для минимизирования риска незаконного вторжения на территорию производителя внешний периметр здания должен быть защищен специальным ограждением с въездными воротами и проходной, также оснащенными системой сигнализации, управляемые и контролируемые центром безопасности предприятия. Внешние входы и выходы снабжаются электронными устройствами для считывания персональных карт, которые в свою очередь автоматически активируют запирающие механизмы. Сами стены, доступ на крышу здания, окна и двери в обязательном порядке снабжаются датчиками вибрации и магнитными детекторами против вторжения. Внешние вывески на здании не должны указывать или подразумевать, что именно производится внутри данного здания.

Внутренние стандарты безопасности подразумевают наличие систем контроля доступа внутри помещения. Одной из наиболее секретных комнат на предприятии является центр управления безопасностью. Вход и выход в такую комнату оснащен шлюзовой камерой со встроенными функциями контроля доступа. В зависимости от финансовых возможностей предприятия функции контроля доступа в таких шлюзовых камерах могут выполнять считывающие устройства, распознающие персону по отпечаткам пальцев, роговице глаза, методом взвешивания или просто пластиковой картой доступа. Система контроля доступа в комнату безопасности программируется по принципу «person-by-person», который обеспечивает невозможность прохода двум сотрудникам одновременно и ограничивает санкционированный доступ персонала. Центр управления безопасностью призван обеспечить на предприятии безопасность помещений, зон и участков, движение материалов, товаров и транспорта, а также наблюдение за сохранностью информации. Внутренние входы и выходы между производственными помещениями, участками и зонами, бытовыми помещениями также снабжены электронными устройствами для санкционированного доступа с помощью персональных карт.

Производство заготовок, доставка в банк и хранение

Для того чтобы произвести заготовки для банковских карт, необходимо закупить материалы для их производства и доставить на территорию с высоким уровнем безопасности. С этого момента и начинается процедура соблюдения мер безопасности на предприятии.

Транспортное средство с материалами пропускают в здание через транспортный шлюз, где и происходит первоначальная разгрузка. Далее транспортное средство покидает территорию, а материал с соблюдением документальных процедур попадает на склад сырья и материалов. С одной стороны, сырье и материалы с точки зрения безопасности никакой ценности (кроме стоимостной) не представляют, но, с другой стороны, жестко прописанные процедуры их приемки исключают саму попытку хищения на раннем этапе производства. Физический контакт между поставщиком материалов и принимающим сотрудником склада предприятия исключается. Все контакты происходят через переговорное устройство, а документы передаются и возвращаются через окно безопасности. Все события записываются системой видеонаблюдения и просматриваются в режиме реального времени сотрудниками службы безопасности предприятия из центра управления безопасностью. Таким образом материал поступает на предприятие, оформляется и ожидает своего часа.

Концепция безопасности международных платежных систем основана на административной процедуре исполнения со строгим ревизионным контролем каждой партии продукции, поддерживаемым устройствами физического контроля безопасности, позволяющими постоянно следить за сотрудниками, вовлеченными в производство каждой отдельной партии продукции, и их передвижениями.

После получения рабочего задания и его обработки на склад поступает информация о требуемом количестве материала. Ответственный сотрудник склада передает необходимое количество материала на производство в цех печатной продукции через специальный транспортный шлюз-ловушку, тем самым исключая физический контакт между персоналом. Шлюз открывается специальными ключами санкционированным персоналом. Проникновение через транспортный шлюз исключается, так как он является ловушкой, и в случае появления такового срабатывает звуковой сигнал, в том числе и на приборах в центре управления безопасностью с его визуализацией. Все сотрудники компании одеты в специальные костюмы или халаты без карманов, что также исключает вероятность соблазна приобрести на память карточку с запоминающимся или необычным дизайном.

После получения изображения на печатном листе пластика полуфабрикат движется в цех ламинирования продукции. На этом этапе также используется транспортный шлюз, как и везде между цехами. И так по цепочке: в цех производства заготовки, нанесения голограмм и подписных панелей, и далее — в цех персонализации и упаковки.

Конечный пункт готовой карты — сейф хранения ценностей. Здесь необходимо внести ясность: сейф находится внутри складской зоны и является самостоятельным помещением на складе. Сейф для хранения ценностей является самым секретным помещением на производственных площадях, и поэтому к нему особые требования. Он должен быть выполнен из наливного бетона с металлической конструкцией внутри и толщиной стен не менее 20 см, которые способны обеспечивать прочность и долговечность. Главный сейф необходимо оборудовать укрепленной стальной дверью с логически последовательным двойным механизмом запирания, который требует одновременного двойного контроля доступа.