А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Обозначения и вывески на здании не должны явно или скрытно обозначать, что в нем находится центр персонализации, а также что в нем обрабатываются конфиденциальные данные или есть иная связь с пластиковыми картами.

Процедуры доступа в помещения БП

Главный вход в БП должен приводить посетителей в тамбур (зона mantrap, которую мы уже упоминали выше) или зону приема, которые не допускают никакого физического контакта между посетителями и принимающим сотрудником или сотрудником охраны. В этой зоне посетители подлежат визуальной проверке; здесь же им выдаются бэджи и карты доступа для прохода на территорию БП.

Зона приема — пространство, предназначенное для ограниченного доступа посетителей во время их регистрации у принимающего сотрудника или в ожидании доступа для получения или передачи карт/заготовок.

Тамбур — помещение, оборудованное парой взаимно блокирующихся (interlocked) дверей. Любая из дверей тамбура может открыться только при условии закрытости другой двери. Допускается объединение помещений зоны приема и тамбура в одно.

Одновременное открытие обеих дверей тамбура возможно только при наступлении чрезвычайных событий (пожар, общая тревога, военные действия и прочее). Внешняя дверь тамбура должна находиться в зоне видимости камеры наблюдения. Эта дверь открывается либо по карте доступа системы контроля доступа (СКД) для прохода сотрудников, либо по команде из мониторной для посетителей/клиентов.

Попав в тамбур, посетитель или сотрудник оказывается в замкнутом помещении под наблюдением внутренней видеокамеры, все события регистрируются СКД. Сотрудники обычно сразу проходят на свои рабочие места, открывая вторую дверь тамбура своим пропуском (картой доступа СКД). Посетители же и клиенты оказываются в своеобразной ловушке, у них есть возможность общаться с сотрудником охраны, находящимся за зеркальным стеклом (или однонаправленной видимости) для уточнения цели визита, предъявления документов и получения карты гостя и бэджа посетителя.

Выйти из тамбура можно либо обратно (по карте для сотрудников или ожидаемых посетителей; по команде из мониторной — для нежелательных посетителей), либо пройти на территорию БП (по карте сотрудника или посетителя). Пока в тамбуре кто-то присутствует, двери не могут открываться по запросу снаружи (по сигналу с внешнего картридера СКД).

В помещения БП допускается проход посетителей, обслуживающего и технического персонала в производственные помещения при условии непрерывного сопровождения уполномоченным сотрудником в течение всего времени пребывания на территории бюро. Сотрудники БП могут проходить в производственные помещения через основной вход или через специальный проход только для сотрудников при условии, что проход в зону повышенной безопасности оборудован тамбуром или шлюзом, электронным методом регистрирующим и контролирующим доступ на индивидуальной основе.

Руководители БП должны разработать и обязать сотрудников использовать письменные инструкции по безопасности контроля доступа в служебные помещения. Положения этих инструкций должны четко разъясняться и комментироваться в ходе семинаров по безопасности (не реже чем раз в полгода). Каждые полгода эти инструкции должны анализироваться и обновляться с целью обеспечения их соответствия текущим требованиям и условиям ведения бизнеса.

Пройдя тамбур, посетители и сотрудники попадают в комнату ожидания. Сотрудники проходят на свои рабочие места, используя карты доступа СКД, посетители же ожидают своей очереди — передать заготовки карт, получить готовые, обменяться документами и др. Выход из комнаты ожидания возможен либо по карте доступа, либо по команде из мониторной; все события в этом помещении регистрируются камерами наблюдения.

Обычно комната ожидания (reception area) сообщается (имеет общие двери) с нижеследующими помещениями БП:

• тамбур/зона приема;

• помещение приема/передачи (goods/tools trap, GTT);

• шлюз для прохода в зону повышенной безопасности (HSA/HSZ);

• прочие помещения БП (например, кабинеты руководства, буфет, туалеты, комнаты сотрудников, не работающих в зоне повышенной безопасности).

Помещение приема/передачи (goods/tools trap, GTT)

GTT служит своеобразным интерфейсом для общения посетителей (клиентов, курьеров) с сотрудниками БП. Основное назначение этого помещения состоит в том, чтобы предотвратить физический контакт между сотрудниками БП и посетителями. Для этого используется уже известный механизм — взаимно блокирующиеся двери и СКД. Возможны два варианта построения GTT:

1) строгий — это два помещения, 3 двери, посетители и сотрудники БП могут находиться каждый только в своих помещениях GTT;

2) более мягкий — одно помещение, две двери (взаимно блокирующиеся), а также использование набора правил обработки событий, именуемого dead man logic:

• если в помещении никто не зарегистрирован (СКД), но от датчиков поступил сигнал о движении, должна сработать тревожная сигнализация;

• если в помещении зарегистрирована хотя бы одна карта, но нет движения в течение некоторого наперед заданного промежутка времени, также должна сработать сигнализация.

Все двери на участке приема/передачи, включая внешнюю, среднюю и внутреннюю двери, должны управляться электронным способом, взаимодействуя друг с другом, т. е. во время открытия любой двери две остальные должны быть надежно закрыты и контролируемы посредством СКД.

Необходимо установить систему переговоров («интерком») в обеспечение возможности отождествления прибывающих клиентов. Стена, отделяющая этот участок от HSZ, должна содержать бронированное окно для обмена документацией.

Сотрудники охраны или уполномоченные сотрудники БП могут управлять только внешней дверью GTT — после успешной идентификации прибывшего клиента и уведомления соответствующих сотрудников БП о предстоящей операции приема/передачи карт.

Две другие двери помещения, средняя и внутренняя, должны контролироваться либо только сотрудниками HSZ, либо ими же совместно с сотрудниками охраны (мониторной) посредством удаленного управления. Особенно важно, чтобы сотрудники охраны не имели возможности единолично управлять работой дверей GTT.

С целью предотвращения несанкционированного доступа в зоны повышенной безопасности через помещения участка приема/передачи зона раскладки и упаковки должна быть оборудована внутренним датчиком движения, блокирующим возможность открытия внутренней и средних дверей в случае обнаружения движения в пределах этого помещения.

Согласно требованиям МПС в GTT должны быть установлены камеры:

1) внешняя, покрывающая зоны внешней двери участка и разгрузки/ погрузки и прилегающей к ней территории;

2) две камеры внутри зоны упаковки, охватывающие переднюю и заднюю части прибывшего транспорта (для GTT заводов — производителей пластика);

3) одна камера внутри зоны упаковки, передающая изображения операций загрузки/разгрузки;

4) изображения, захваченные камерами, должны передаваться в мониторную, давая возможность сотрудникам охраны контролировать процессы разгрузки/погрузки и надлежащее поведение сотрудников БП;

5) эти же изображения также должны передаваться на монитор, расположенный возле бронированного окна в зоне упаковки, предоставляя сотрудникам HSZ возможность просматривать операции загрузки/погрузки.

Описание процедуры приема/передачи карт

Лицо, получающее карты, должно быть надлежащим образом идентифицировано сотрудниками охраны в процессе получения доступа на территорию БП. Для того чтобы осуществить передачу или прием материалов, необходимо письменное распоряжение руководителя БП.

Клиент (курьер, осуществляющий транспортировку карт и ПИН-конвертов) заранее уведомляет контактное лицо в БП о своем планируемом визите с указанием ФИО и даты/времени визита. Сотрудники охраны БП уведомляют уполномоченного сотрудника HSZ о необходимости произвести прием/передачу груза.

Курьер проходит через тамбур в помещение ожидания и в порядке очереди проходит в помещение приема/передачи (GTT). Сотрудники охраны разблокируют внешнюю дверь GTT, предоставляя клиенту возможность открыть ее и пройти в помещение.

Когда посетитель (курьер) проходит внешнюю дверь GTT, сотрудники охраны из мониторной блокируют внешнюю дверь. Далее сотрудники БП разблокируют среднюю дверь, предоставляя курьеру доступ к участку упаковки, в котором размещен груз, готовый к передаче (отгрузке). Сотрудники БП через бронированное окно передают курьеру необходимые сопутствующие документы и забирают подписанную им копию, подтверждающую факт получения груза. Посетитель под наблюдением камеры пересчитывает полученные карты и ПИН-конверты и забирает их вместе с сопроводительными документами. Далее посетитель покидает помещение GTT, сотрудник БП блокирует среднюю дверь, а сотрудник охраны разблокирует внешнюю дверь, позволяя посетителю покинуть участок приема/передачи и выйти в помещение ожидания. Все вышеописанные действия должны регистрироваться системами видеозаписи посредством камер слежения.