25 февраля, вторник 18:54
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Единая Биометрическая Система. ЕСИА+

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • #31
    Сообщение от Александр_Турчин Посмотреть сообщение
    Андрей Федорец, а не могли бы вы из проекта документа. про который пишете, привести цитату о том, к кому именно применяется документ?
    Я, лучше, сам проект документа прикреплю.
    Проект "П" от ЦБ. Будет исправлен. Будет определено в каких именно отделениях (чтобы не было толкования, что в ОКВКУ тоже надо делать).
    Вложения

    Комментарий


    • #32
      В любом случае, сейчас камнем преткновения становится исполнение требований ИБ. А по этому поводу ждём до 29.06.18 (включительно) совместные ЦБ-ФСБ разъяснения о порядке исполнения этих требований. Трактовки их сейчас разные. Очень близкие к ИБ организации (КриптоПро, например), толкует так, что требуется новый набор железок. Дорогих. Т.е. шифратор (ВипНет КВ1 или КВ2), средство хранения ключей по КВ (КриптоПро HSM), Соболь (для защиты по КС2/КС3 АРМа по снятию биометрии). Ну и софта. Ну и, понятное дело, обследование на соответствие ОСПО по КВ и КС2/3. А это всё дорого, и долго. И, конечно же, условному банку из пятой сотни - как собаке пятая нога...
      Есть другое мнение. Например, что для исполнения требований КС2/3 достаточно двухфакторной (любой) аутентификации. Т.е. токен с УКЭП и ПЭП, например. Т.е. Соболь, вроде, и не надо. Канал внутри банка КриптоПроЦСП4 защитим и гуд. Но, пока, КВ остаётся подписи сообщений в ЕБС, от HSM никуда не денемся. Остаётся вопрос по КВ на канале. Но! Тут опять вопрос. Мы канал до ЕСИА/ЕБС не используем же. Мы кидаем сообщение в очередь СМЭВ3, а там стоит ВипНет с КС2/3. Хотя и тут вопрос. Вроде, как, у випнетов протухли сертификаты и с ними надо что-то делать (йома, менять??? Вопрос к РТ, видимо. Ну или к Инфотексу). И, самое весёлое. Кто ж сертификат КВ даст? Только один АУЦ Восход это делает. Но не для банков, же, из этой условной пятой сотни ...
      Так что, ждём 29.06.18... Включительно :-/

      Комментарий


      • #33
        Сообщение от Александр_Турчин Посмотреть сообщение

        Почитав http://bankir.ru/dom/forum/%D0%B4%D0...B1%D1%81/page3 и сам 115-ФЗ, я для себя сделал вывод, что окончательным критерием обязательности присутствия банка в ЕБС будет включение его в список ЦБ (п. 5.7 ст.7 115-ФЗ). Как я понимаю, этого перечня еще нет.
        В список включают как раз тех, кому запрещено.
        Все остальные, кто участвует в ССВ, обязаны.
        Там есть про список, который ЦБ обязан размещать на сайте, но это про обязанности ЦБ... с вас это обязанности не снимает

        Комментарий


        • #34
          Сообщение от Андрей Федорец Посмотреть сообщение
          Кто ж сертификат КВ даст?
          А он нужен?

          Комментарий


          • #35
            Меня терзают смутные сомнения, что КриптоПро HSM не прокатит. Он не поддерживает ГОСТ 2012-го года, а в 19-ом году только он и останется жить.
            https://www.cryptopro.ru/products/hsm/cryptopro-hsm
            Криптографические алгоритмы, реализуемые ПАКМ КриптоПро HSM:

            • генерация ключей, используемых в алгоритмах ГОСТ 28147-89, ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001, RSA;
            • шифрование и расшифрование данных по ГОСТ 28147-89;
            • контроль целостности данных посредством вычисления имитовставки по ГОСТ 28147-89;
            • вычисление значения хэш-функции в соответствии с ГОСТ Р 34.11-94;
            • вычисление и проверку электронной цифровой подписи (ЭЦП) в соответствии с ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001, RSA;
            • выработка ключа парной связи по Диффи-Хеллману на базе ключей по алгоритмам ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001.

            Комментарий


            • #36
              Сообщение от Александр_Турчин Посмотреть сообщение

              Почитав я для себя сделал вывод, что окончательным критерием обязательности присутствия банка в ЕБС будет включение его в список ЦБ (п. 5.7 ст.7 115-ФЗ). Как я понимаю, этого перечня еще нет.
              Я так понимаю перечень будет состоять из банков, которые соответствуют критериям, которые в свою очередь содержат три требования: "Банк в системе страхования", не банкрот, и нет запрета от ЦБ (проводить ЕБС) - а это практически все действующие и нормально функционирующие...
              Разве нет?

              Комментарий


              • #37
                Сообщение от archimed7592 Посмотреть сообщение

                В список включают как раз тех, кому запрещено.
                Все остальные, кто участвует в ССВ, обязаны.
                Там есть про список, который ЦБ обязан размещать на сайте, но это про обязанности ЦБ... с вас это обязанности не снимает
                П. 5.7 ст. 7 115-ФЗ: "Центральный банк Российской Федерации ежемесячно размещает на своем официальном сайте в сети Интернет перечень банков, соответствующих критериям, установленным абзацами вторым - четвертым настоящего пункта."
                Так что список будет все же не про тех, кому запрещено, а про тех, кому разрешено. У меня лично есть слабая надежда на то, что в списке будут (по крайней мере сначала) не все банки, но, судя по движению планет и звёзд, туда все же включат всех .
                WBR, Александр Турчин

                Комментарий


                • #38
                  Сообщение от Александр_Турчин Посмотреть сообщение
                  Так что список будет все же не про тех, кому запрещено, а про тех, кому разрешено
                  Я же вам сказал, что это про обязанность ЦБ. Тут написано "ЦБ обязан размещать". И не написано "Банк не обязан, если его нет в списке".
                  Ваша обязанность в другом месте написана.
                  5.7. Банк, указанный в пункте 5.6 настоящей статьи, должен соответствовать одновременно следующим критериям:
                  банк участвует в системе страхования вкладов;
                  к банку не применяются меры по предупреждению банкротства в соответствии с Федеральным законом от 26 октября 2002 года N 127-ФЗ "О несостоятельности (банкротстве)", если иное не установлено Центральным банком Российской Федерации;
                  в отношении банка Центральным банком Российской Федерации не принято решение, предусмотренное пунктом 5.11 настоящей статьи.

                  Центральный банк Российской Федерации ежемесячно размещает на своем официальном сайте в сети Интернет перечень банков, соответствующих критериям, установленным абзацами вторым - четвертым настоящего пункта. В случае несоответствия банка, включенного в указанный перечень, критериям, установленным абзацами вторым - четвертым настоящего пункта, Центральный банк Российской Федерации исключает банк из перечня не позднее одного рабочего дня со дня, когда указанный банк перестал соответствовать указанным критериям.
                  Банки, соответствующие критериям, установленным абзацами вторым - четвертым настоящего пункта, обеспечивают совершение действий, предусмотренных пунктом 5.6 настоящей статьи, и раскрывают информацию, связанную с их совершением, в соответствии с требованиями, установленными Центральным банком Российской Федерации.
                  Банки, не соответствующие критериям, установленным абзацами вторым - четвертым настоящего пункта, не вправе совершать действия, предусмотренные пунктом 5.6 настоящей статьи.
                  Я вам выделил жирным где написана ваша обязанность.

                  Комментарий


                  • #39
                    Сообщение от ost Посмотреть сообщение
                    А он нужен?
                    А чем поднимать КВшный канал, если он останется в требованиях?
                    Ну в любом случае, ждём 29.06, похоже

                    Комментарий


                    • #40
                      Сообщение от ost Посмотреть сообщение
                      Меня терзают смутные сомнения, что КриптоПро HSM не прокатит. Он не поддерживает ГОСТ 2012-го года, а в 19-ом году только он и останется жить.
                      для ГОСТ-2012 придется приобретать ПАК HSM версии 2.0

                      Комментарий


                      • #41
                        Сообщение от H4mek Посмотреть сообщение
                        для ГОСТ-2012 придется приобретать ПАК HSM версии 2.0
                        Можно ссылку на его описание и цену?
                        На сайте КриптоПро я ничего не нашел.

                        При этом из письма ФСБ мы узнаем, что
                        уровень защиты, обеспечиваемый ПАКМ КриптоПро HSM версии 2.0 (Комплектация 2 -- HSM + Client HSM), определяется уровнем защиты клиентской компоненты, реализующей обращение к функциям ПАКМ КриптоПро HSM версии 2.0, но не выше уровня КВ (КВ2).
                        Т.е. во весь рост встает проблема реализации и аттестации этой самой "клиентской компоненты". Мало того, что её пока ни у кого нет, так и процесс сильно не быстрый... И чем это в результате обернётся никто ещё не знает.

                        И самое печальное, ПАКМ КриптоПро HSM версии 2.0 разрешается эксплуатировать до 1-го февраля 2023 года. Потом опять неси бабло.
                        Последний раз редактировалось ost; 27.06.2018, 17:22.

                        Комментарий


                        • #42
                          Сообщение от archimed7592 Посмотреть сообщение

                          Я же вам сказал, что это про обязанность ЦБ. Тут написано "ЦБ обязан размещать". И не написано "Банк не обязан, если его нет в списке".
                          Ваша обязанность в другом месте написана.
                          Я вам выделил жирным где написана ваша обязанность.
                          Как хочется, чтобы вы были неправы
                          WBR, Александр Турчин

                          Комментарий


                          • #43
                            Доброго дня, коллеги!

                            Кто уже подключался к ЕСИА, подскажите, плз, в заявке на подключение какие scope надо указывать?

                            1. Заполненная форма заявки на подключение в соответствии с Приложением Е Регламента. Включая перечень скоупов, на которые запрашивается доступ: bio, ext_auth_result.
                            Дополнительно требуется указать скоупы для получения необходимых персональных данных.

                            Комментарий


                            • #44
                              Может ли кто-нибудь поделиться заполненной формой заявки на подключение к ЕСИА в соответствии с Приложением Е, М Регламента?
                              Что там указывать в полный перечень целей со ссылками на нормативные основания (ссылками на пункты акта )?

                              Комментарий


                              • #45
                                Сообщение от avia Посмотреть сообщение
                                какие scope надо указывать
                                заполните то, что реально хотите (даже с фантазией) - вам ответят, что положено вашей конторе и поправите заявку

                                Сообщение от avia Посмотреть сообщение
                                полный перечень целей со ссылками на нормативные основания
                                укажите нужный вам пункт из ст. 7 115-ФЗ

                                Комментарий


                                • #46
                                  Меморандум не появился... Но есть ОФИЦИАЛЬНОЕ письмо ЦБ
                                  Вложения

                                  Комментарий


                                  • #47
                                    Сообщение от Андрей Федорец Посмотреть сообщение
                                    Меморандум не появился... Но есть ОФИЦИАЛЬНОЕ письмо ЦБ
                                    А есть прямая ссылка?

                                    Комментарий


                                    • #48
                                      Сообщение от pashagreen Посмотреть сообщение
                                      А есть прямая ссылка?
                                      Надо искать того, кто у вас получает письма.
                                      Прямой ссылки на сайт ЦБ не имею

                                      Комментарий


                                      • #49
                                        Коллеги, что то мы запутались.
                                        Все письма от ЦБ получили, даже с проектом требовании в отношении биометрических ПДн и технических средств. Но в этом письме говорится о "проекте". Т.е. еще возможны изменения.
                                        Но непонятно, каков алгоритм подключения кредитной организации к ЕСИА? Через что отправляем? как защищаем?
                                        Правильно ли мы понимаем, что регламент сбора, отправки,обновления и защиты еще не опубликован? Если это не так, то можно его увидеть?

                                        Комментарий


                                        • #50
                                          junglets
                                          https://www.bio.rt.ru/documents/basic/?SECTION_ID=193

                                          Комментарий


                                          • #51
                                            w3d

                                            спасибо!

                                            Единственное что непонятно, вот была такая рассылка от ЦБ (прикладываю).
                                            В нем говорится, что ЦБ совместно с минкомсвязи будет утвержден порядок сбора обработки биометрии.
                                            Так если этот порядок уже определен Ростелекомом, то что ждать от ЦБ?
                                            Вложения
                                            Последний раз редактировалось junglets; 03.07.2018, 11:05.

                                            Комментарий


                                            • #52
                                              https://ib-bank.ru/news/9604
                                              и вот такие вот новости)
                                              оказывается, еще нормативка не готова, так что ждем)

                                              Комментарий


                                              • #53
                                                Александр Четвертый
                                                А если просто указать - статья 7 115-ФЗ?

                                                Комментарий


                                                • #54
                                                  Где-то на Био.рт.ру есть Порядок подключения. Чего-то сейчас сайт не грузится. Но он у меня на сайте есть.

                                                  Комментарий


                                                  • #55
                                                    Коллеги. Мы, в лучших своих традициях, решили, что для банков будет интересно получить комплексную услугу.
                                                    В итоге сейчас формируем предложение, которое будет включать в себя:
                                                    1. Функциональное ПО:

                                                    - по взаимодействию с ЕСИА (поиск, подтверждение, регистрация, восстановление УЗ в ЕСИА),
                                                    - по взаимодействию с ЕБС (проверка биометрических образцов (БО) с помощью актуальной Библиотеки Контроля Качества, отправка БО в ЕБС),
                                                    - по подготовке БО (формирование фото, звука и файла разметки). При этом в качестве решения для подготовки БО может быть как наш простенький АРМ, так и решения VoiceKey.Inspector от ЦРТ (есть штатная интеграция). Понятное дело, что БО проверяются с БКК на этапе сбора.

                                                    Сегодня ПО поставляется в виде, достаточном для обмена с ЕБС в условиях действия Моратория ЦБ, но в штатном порядке сопровождения мы переведём его на уровень, необходимый для соблюдения требований ИБ, т.е. будет двух-(трёх) факторная идентификация (СНИЛС оператора, логин/пароль + Соболь) на АРМ Оператора. Понятное дело, что серверная часть будет доведена до взаимодействия с HSM. Сейчас это возможно, но не в модуле ЕБС.

                                                    2. Системные компоненты:
                                                    - HSM от КриптоПро или ВипНетHSM от Инфотекса. У КриптоПро уже закончились на складе. Везут. У Инфотекса ещё есть. HSM придётся приобретать до конца 2018 года, так как в Моратории ЦБ каналообразование и КВ2 для общения с ЕБС не фигурирует...
                                                    - Обновление ПО VipNet Coordinator 100/1000. Тут требуется уточнение. Сегодня практически 95% всех випнетов имеют: а) просроченные сертификаты, б) старое ПО, которое не умеет поддерживать не только КС3, но и ГОСТ12!!!. Без обновления ПО шифраторы канала помрут ровно в 23:59:59 31.12.2018, т.к. с 00:00 01.01.2019 СМЭВ не поддерживает ничего, кроме ГОСТ12. Это также придётся приобретать до конца 2018 года...
                                                    - Серверную и клиентскую часть внутрибанковского каналообразователя и шифратора. Т.е. либо решения КриптоПро, либо Инфотекс ВипНет (выбор по вашему желанию, конечно). Эта часть потребуется для приобретения до конца 2019 года, но это не простое решение, поэтому не советовал бы ожидать. Уж лучше с начала 2019 года озаботиться.
                                                    - Средства двухфакторности защиты АРМ оператора. Т.е. либо Соболь, либо терминальное решение ВипНетТерминал. Тут аналогично предыдущему - крайне желательно озаботиться с начала 2019 года.

                                                    3. Разное:
                                                    - Не забываем, что каждый АРМ по КС3 должен быть аттестован. Поэтому, надеюсь, что поднимем компетенцию и сможем проводить аттестацию в 19-м году. Если не сможем сами, что вполне возможно, то предложим партнёра
                                                    - Построение внутренней сети по КС3, а тем паче её обслуживание.... Сия задача проблемная есть. Поэтому можем предложить партнёра для аутсорсинга построения и обслуживания подобной сети. Но программные компоненты для её построения придётся приобрести.

                                                    4. Цимес:
                                                    Готовим экземпляр фотокабинки, которая позволит нормально провести формирование БО в рамках шумного и странно освещённого офиса. Будет оснащена средствами записи фото и звука и управляться с АРМ оператора. Т.е. это какбэ устройство, присоединённое к АРМ оператора, чтобы не выдумывать как защитить что-то тут по КС3.

                                                    Предположительно в 10-х числах июля 18 сумеем подготовить всеобъемлющее КП на это всё счастье.


                                                    И да. Это всё, конечно, большая торпеда для большого корабля...
                                                    Но хоть что-то положительное должно быть. В этой ситуации положительным является то, что в банке появляется инфраструктура ИБ, которая и так должна быть, по идее.... По защите ПДн. И в банке вынужденно появляется информационная система, которая позволит автоматизировать множество внутрибанковских процессов и предложить клиентам новые сервисы. Так что при больших затратах будет и положительный эффект, так что совокупная стоимость владения с разбегом в пару лет может быть даже и не сильно огорчать!

                                                    Обращайтесь всё туда же.... post@id-sys.ru
                                                    Последний раз редактировалось Андрей Федорец; 06.07.2018, 11:07.

                                                    Комментарий


                                                    • #56
                                                      Провожу исследование рынка.
                                                      Предположительно 18.07 будет проведёт круглый стол в АРБ по тематике ИБ. Т.е. ЕБС, 382-П и т.п..
                                                      Надеюсь, что туда сможем привести коллег из ЦБ, МКС, РТ. Но, понятно, что сильно занятые они.

                                                      Но к нам поступает куча вопросов только про ЕБС (реализация требований ЦБ и ИБ). Целесообразно ли проводить наш вебинар 12-го, например?

                                                      Комментарий


                                                      • #57
                                                        Вполне

                                                        Комментарий


                                                        • #58
                                                          Сообщение от Андрей Федорец Посмотреть сообщение
                                                          б) старое ПО, которое не умеет поддерживать не только КС3, но и ГОСТ12!!!. Без обновления ПО шифраторы канала помрут ровно в 23:59:59 31.12.2018, т.к. с 00:00 01.01.2019 СМЭВ не поддерживает ничего, кроме ГОСТ12
                                                          Простите, а какое отношение ГОСТ Р 34.10-2012 имеет к шифрованию?

                                                          Комментарий


                                                          • #59
                                                            Сообщение от Андрей Федорец Посмотреть сообщение
                                                            И в банке вынужденно появляется информационная система, которая позволит автоматизировать множество внутрибанковских процессов и предложить клиентам новые сервисы.
                                                            Не поделитесь своим видением, какое именно "множество внутрибанковских процессов" позволит автоматизировать АРМ оператора по снятию БО и какие новые сервисы при этом мы можем предложить клиентам, если учесть, что та часть биометрии, что про удаленную идентификацию, банкам из не первой сотни нахрен не нужна, а пригодится дай бог банкам из ТОП-20, а то и ТОП-10, а на первую часть, для размещения БО в ЕБС, нужно будет потратить кучу денег, которые нечем отбивать, так как по закону мы обязаны делать это на безвозмездной основе?
                                                            Никому не собираюсь навязывать свое мнение, но оно на данный момент таково: это очередной "отжим" денег из частного банковского сектора в кошельки "правильных пацанов".
                                                            И этот "отжим" в любом случае ляжет на плечи клиентов банков, потому что так или иначе все эти расходы будут учтены в тарифах на РКО и ставках по кредитам и депозитам.
                                                            Так что вы уж там постарайтесь как нибудь максимально снизить цену на "все это счастье". А то вы ведь наверняка тоже клиент какого-нибудь банка
                                                            И простите за излишнюю резкость, если что

                                                            Комментарий


                                                            • #60
                                                              Сообщение от ost Посмотреть сообщение
                                                              Простите, а какое отношение ГОСТ Р 34.10-2012 имеет к шифрованию?
                                                              ГОСТ 2012 и сейчас действует, одновременно с ГОСТ 2001, но 2001 нельзя будт использовать с 1 января 2019 года для операций подписи, а т.ж. выпуска цифровых сертификатов. Если шифрование (котрое на самом деле делается по ГОСТ 28147-89) реализовано с использованием цифровых сертификатов, то такое СКЗИ использовать с 2019 года можно только в том случае, если в нем поддерживается ГОСТ 2012 года.

                                                              Что касается шифраторов VipNet, то банки закупали их с сертификатами и формулярами, в которых указана версия и сроки действия этих сертификатов и формуляров. СРОКИ были до марта 2018 года... По истечении сроков действия банк не может их использовать (не технически, а в силу требований ФСБ и ФСТЭК), и должен либо приобрести новый ПАК, либо приобрести обновление ПО вместе с новыми документами (что в 4 раза дешевле нового ПАК). Условие подключения к ЕБС для всех банков - наличие новой версии, за чем следит сам оператор ЕБС (Росстелеком), т.к. обязан обеспечить безопасность этой системы в соответствии с требованиями ФСБ.

                                                              Комментарий

                                                              Обработка...
                                                              X