А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Требования безопасности к серверной (комнате генерации ключей) аналогичны требованиям к помещению персонализации/распечатки ПИН-конвертов.

Хранилище БП

Главное хранилище является объектом высшей категории безопасности всего БП. Стены хранилища должны быть изготовлены из армированного бетона (минимум 15 см) или материалов, обеспечивающих аналогичные прочность и стойкость. Ни одна из стен хранилища не должна быть внешней стеной здания. Наличие окон не допускается.

Хранилище должно быть оборудовано внутренними датчиками движения и достаточным количеством вибродатчиков, способными обнаруживать и регистрировать сотрясения стен, пола и потолка. Необходимо наличие видеокамеры наблюдения. Хранилище должно быть оборудовано основной усиленной сталью дверью, оснащенной механизмом из двух механических или электронных замков, требующим физического одновременного присутствия минимум двух человек для получения доступа.

Открытие двери хранилища должно всегда осуществляться только двумя сотрудниками; необходимо наличие минимум двух замков и хранителей ключа от двери хранилища. Хранилище должно быть постоянно закрыто на дверь и на замок — либо на основную дверь, либо на облегченный дневной вариант («day gate»), за исключением случаев, когда сотрудникам необходимо получить туда доступ по служебной необходимости. Дверь должна быть оборудована автоматически закрывающим ее доводчиком, и в случае ее открытия более чем на 60 с должен автоматически срабатывать тревожный звуковой сигнал — локальный и в мониторной.

Каждый факт доступа в хранилище и работа с хранящимися в нем материалами должны регистрироваться в журнале посещений хранилища и подтверждаться минимум двумя сотрудниками. Записи журнала посещения хранилища должны периодически подвергаться ревизии.

Если хранилище оборудовано основной стальной дверью и облегченным дневным вариантом, МПС настоятельно рекомендует установить два картридера СКД (на вход и на выход) или комбинацию картридера и кодового замка, работающих согласованно и на расстоянии минимум двух метров друг от друга (слева и справа от дневной двери хранилища). Цель установки такого варианта контроля доступа — возможность активации дневной двери с одновременным блокированием возможности сотрудникам миновать необходимую процедуру доступа только вдвоем.

Ключи от двери хранилища должны постоянно храниться в портативном сейфе (secure box) в мониторной под надзором сотрудников охраны или выделенного ответственного сотрудника БП. Ключи доступа к хранилищу или ключи доступа к любой части помещений зоны должны храниться под двойным контролем, это означает, что любые действия по передаче ответственности должны регистрироваться в особом журнале регистрации передачи ключей с указанием необходимых сведений и заверяться подписями двух сотрудников — передающего ключ и принимающего его. Хранители ключей производственных помещений не могут иметь доступа в помещения зоны.

При использовании хранилища для хранения нефинансовых карточных продуктов необходимо разделить его на части в обеспечение физического отделения конфиденциальных банковских материалов и данных (таких, как готовые карты, дискеты, ПИН-конверты, технические спецификации и задания на персонализацию карт) от прочих. МПС настоятельно рекомендует разделить хранилище на блоки для отдельного хранения различных продуктов, незаконченных пакетов работ, карт, ожидающих передачи. Также настоятельно рекомендуется примененять тележки-контейнеры («trolley containers») для хранения незаконченных дневных объемов карт.

Все коробки с картами должны быть опечатаны, на ящиках необходимо размещать наклейки с указанием типа продукта, уникального идентификатора, количества карт, а также даты последующей необходимой проверки (пересчета карт). Содержимое наклеек должно быть видимым через опечатывающую ящики прозрачную клейкую ленту.

Помещение для уничтожения карт и прочих материалов

Операции по уничтожению карт должны производиться под двойным контролем в отдельном выделенном помещении, расположенном в зоне. Дверь в это помещение должна быть оборудована датчиками входа/выхода, СКД должна обеспечивать невозможность повторного входа и регистрировать все события на центральном сервере. Дверь должна быть оборудована доводчиком. В случае открытия двери более чем на 30 с должен автоматически включаться звуковой сигнал.

СКД должна гарантировать возможность прохода в помещение только уполномоченных сотрудников; помещение следует оборудовать датчиками объема и движения, автоматически включающимися при выходе последнего сотрудника.

Обязательно наличие видеокамеры, регистрирующей вход в комнату и обзор процесса уничтожения карт.

Запасный выход, датчики, освещение, контроль периметра

В рабочее время сигнал от запасных выходов должен поступать либо в мониторную, либо на пульты пункта обслуживания централизованного мониторинга. В нерабочее время срабатывание сигнала датчика запасного выхода должно вызывать дежурный наряд милиции либо сотрудника пункта централизованного мониторинга или мониторной.

Датчики внешних дверей БП должны проверяться ежемесячно с регистрацией результатов таких проверок и хранением отчетов минимум в течение года. Тестирование батарей, используемых в генераторах местных звуковых сигналов, должно осуществляться еженедельно. Замена батарей должна осуществляться ежегодно или в соответствии с техническими спецификациями производителя.

Источники освещения должны освещать прилегающее к БП пространство, а также входы, зоны парковки и участки загрузки/разгрузки автомобилей. Осмотр источников освещения должен проводиться ежемесячно, результаты подлежат регистрации и хранению. Все внешние стены, окна, двери, прочие точки, через которые возможно попадание внутрь здания, должны быть оборудованы датчиками, позволяющими обнаружить факт вторжения: разбитие стекла, движения и др.

Деревья, телефонные мачты, заборы и прочие высокие предметы, расположенные вблизи границы, позволяющей получить доступ к крыше здания, должны быть удалены, перемещены или иным образом лишены возможности предоставить доступ к крыше БП.

Камеры наблюдения и видеозапись

Внешние камеры слежения должны быть наведены на все точки входа/выхода здания и позволять получать различимые изображения всех лиц, входящих или выходящих из БП. Сотрудники охраны должны визуально контролировать передаваемые камерами изображения в течение рабочего времени. Видеоматериалы (кассеты или файлы) должны храниться в течение минимум 90 календарных суток.

Внешние запасные выходы должны быть оборудованы местными звуковыми сигналами и находиться под электронным наблюдением 24 часа в сутки, передавая на мониторы охраны изображение с надписью «Наблюдение за запасным выходом с сигнализацией». Эти двери могут использоваться только в чрезвычайных ситуациях.

Необходимо, чтобы видеокамеры контролировали все помещения зоны. Камеры должны быть установлены во всех помещениях зоны. Все работы, выполняемые в зоне, должны регистрироваться посредством камер. Сотрудники должны быть уведомлены, что все их действия регистрируются и ведется видеозапись всех событий. Все камеры, мониторы и видеомагнитофоны должны работать надлежащим образом и выдавать ясные и четкие изображения. Камеры должны быть способны регистрировать события в темноте или темное время суток (в инфракрасном режиме или посредством автоматической подачи освещения в случае тревоги).

Мониторы наблюдения и видеомагнитофоны должны располагаться в мониторной (security control room, SCR). Видеокамеры должны быть постоянно соединены с:

• мониторами изображения в мониторной;

• системой сигнализации;

• системой видеозаписи, работающей непрерывно (24 × 7).

Данные цифровых видеокамер должны копироваться для резервного хранения еженедельно. Каждое поле зрение камеры должно охватывать все виды деятельности, необходимые для адекватного обеспечения безопасности, — рекомендуемое чередование кадров каждые 3 с; позволять непрерывно контролировать критические участки производства.

Все внутренние камеры видеозаписи, как и центральная система видеозаписи, должны быть оборудованы возможностью автоматического включения видеозаписи при наступлении тревожных событий.

Видеозаписи должны храниться не менее 90 суток для возможного расследования инцидентов.

Комната охраны (мониторная, SCR)

Мониторная должна централизовать всю информацию о безопасности здания и сотрудников и регистрировать по меньшей мере: