13 декабря, четверг 11:08
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

создание и ввод крипто-ключей для банкоматов и пос-терминалов

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • создание и ввод крипто-ключей для банкоматов и пос-терминалов

    Коллеги поделитесь опытом, кто осуществляет (или кто должен) создание и ввод крипто-ключей для банкоматов и пос-терминалов.
    Есть ли требования о необходимости сотруднику ИБ создавать эти ключи или вводить их. У нас все сейчас делает процессинг.

  • #2
    Сообщение от khusainov rustam Посмотреть сообщение
    Коллеги поделитесь опытом, кто осуществляет (или кто должен) создание и ввод крипто-ключей для банкоматов и пос-терминалов.
    Есть ли требования о необходимости сотруднику ИБ создавать эти ключи или вводить их. У нас все сейчас делает процессинг.
    Чем больше людей имеют доступ, тем выше вероятность компрометации. сотрудник ИБ, должен контролировать (Администратор ИБ) и устанавливать требования к безопасности, непосредственной реализацией может заниматься ИТ. В случае больших объёмов возможно выделение таких задач в ИБ в отделы эксплуатации и сопровождения, но для небольшого банка, где ИБ 1-5- человек это сложно (не получится самого себя контролировать) и я всё равно сторонник создания таких отделов именно в ИТ, а в ИБ оставлять "законодательные" и контрольные функции.

    Комментарий


    • #3
      Zuz, в какой нормативке можно почитать эти требования? (PCI DSS)

      Комментарий


      • #4
        Сообщение от khusainov rustam Посмотреть сообщение
        Zuz, в какой нормативке можно почитать эти требования? (PCI DSS)
        В PCI DSS я сходу не вспомню, надо читать, есть ли что-то аналогичное. А, так читайте СТО БР ИББС. Да и банальная логика, если ИБ проверяет, то проверять она должна не себя или хотя бы обособленное подразделение в ИБ.

        UPDATE:
        вот нашёл: "доступ к ключам шифрования должен быть разрешен как можно меньшему количеству сотрудников, ответственных за их хранение и использование;", если делать будут одни, а ставить другие, то этот принцип будет нарушаться. Хотя в крупном банке, всё равно такое будет происходить и выше я показал как я бы поступил в таком случае.
        Последний раз редактировалось Zuz; 27.11.2014, 11:38.

        Комментарий


        • #5
          Сообщение от Zuz Посмотреть сообщение
          вот нашёл: "доступ к ключам шифрования должен быть разрешен как можно меньшему количеству сотрудников, ответственных за их хранение и использование;", если делать будут одни, а ставить другие, то этот принцип будет нарушаться. Хотя в крупном банке, всё равно такое будет происходить и выше я показал как я бы поступил в таком случае.
          В одном очень крупном банке, помнится мне, было разделение непосредственно самого ключа на 2-3 компоненты, запечатанные конверты с компонентами одного ключа не должны были находиться в одних руках. Таким образом минимизировался риск компрометации ключа, т.к. разглашение одной части ключа не делало большой проблемы.
          Фактически происходило следующее: запечатанные конверты с компонентами ключей после получения из процессинга хранились в депозитарии и выдавались уполномоченным лицам (причём не из пластика, а вообще из сторонних подразделений) по служебке сотрудника ИБ. Пластики контролировали техническую часть процедуры загрузки, уполномоченные загрузчики вводили значения ключей по очереди каждый из своего конверта, ИБ-шник контролировал процесс вскрытия конвертов и загрузки ключей в оборудование (чтоб не происходило взаимное ознакомление и передача конвертов). Теоретически, сразу после прогрузки, конверты должны были уничтожаться, по факту - бывало, что некоторое время конверты хранились у ИБ-шника в сейфе на всякий случай (бардак конечно ).
          Но это в крупном банке, где можно было сослаться на инструкцию и выдернуть на процедуру загрузки ключей 4-5 человек.

          Комментарий


          • #6
            Сообщение от Tor Посмотреть сообщение
            В одном очень крупном банке, помнится мне, было разделение непосредственно самого ключа на 2-3 компоненты, запечатанные конверты с компонентами одного ключа не должны были находиться в одних руках. Фактически происходило следующее: запечатанные конверты с компонентами ключей после получения из процессинга хранились в депозитарии и выдавались уполномоченным лицам (причём не из пластика, а вообще из сторонних подразделений) по служебке сотрудника ИБ. Пластики контролировали техническую часть процедуры загрузки, уполномоченные загрузчики вводили значения ключей по очереди каждый из своего конверта, ИБ-шник контролировал процесс вскрытия конвертов и загрузки ключей в оборудование (чтоб не происходило взаимное ознакомление и передача конвертов). Теоретически, сразу после прогрузки, конверты должны были уничтожаться, по факту - бывало, что некоторое время конверты хранились у ИБ-шника в сейфе на всякий случай (бардак конечно ). Но это в крупном банке, где можно было сослаться на инструкцию и выдернуть на процедуру загрузки ключей 4-5 человек.
            Ага, как сейчас помню. Ключ делится на две половинки, одна у банкоматчика, вторая у безопасника. Приезжаем, вводим по очереди.

            Все было нормально, пока не начали открывать отделения в других городах. Безопасник в Москве в единственном экземпляре, отделения открываются во одному в месяц. В итоге не выдержал, пошел к курирующему зампреду и объяснил ему на пальцах:
            1. Банкомат - обыкновенная персоналка с Windows XP, которая в принципе не патчится, ибо удаленное управление банкоматами отсутствут
            2. У банкоматчика адимнский доступ к операционке
            3. "Секретная" половинка ключа, которую с такими предосторожностями вводит безопасник, при таком раскладе перехватывается вот так.
            4. Так что вы уж определитесь: или мы действительно защищаемся от банкоматчика, и это делается вот так и стоит вот таких трудозатрат и денег, или давайте не тратить мое время и командировочные на эту порнографию.

            Поржали, в итоге решили не маяться дурью и отправлять банкоматчика на точку в одиночестве с обеими половинками ключа.

            Комментарий


            • #7
              Сообщение от Tor Посмотреть сообщение
              В одном очень крупном банке, помнится мне, было разделение непосредственно самого ключа на 2-3 компоненты, запечатанные конверты с компонентами одного ключа не должны были находиться в одних руках.
              Для этого должна быть ещё и процедура изготовления таких ключей и их резервного копирования (которая опять же должна требовать третье лицо, чтобы сговор минимизировать). Да, я про этот вариант говорил, когда уточнял, что обособленное подразделение занимается этим.
              Поэтому в больших банках делается обособленное подразделение (группа / сектор), которое этим занимается (одна из задач), часто в подразделениях, которые сопровождают процессинг, но иногда и в составе ИБ, если есть достаточная компетенция и персонал. В небольших банках, эта функция остаётся в ИТ, чтобы иметь возможность со стороны ИБ проверять без конфликта интересов (т.к. ИБ в таких банках вырожденная и не может и эксплуатировать и проверять сама себя в таких случаях).

              Сообщение от malotavr Посмотреть сообщение
              Так что вы уж определитесь: или мы действительно защищаемся от банкоматчика, и это делается вот так и стоит вот таких трудозатрат и денег, или давайте не тратить мое время и командировочные на эту порнографию.
              Точно!
              Последний раз редактировалось Zuz; 27.11.2014, 16:23.

              Комментарий


              • #8
                Сообщение от malotavr Посмотреть сообщение
                Поржали, в итоге решили не маяться дурью и отправлять банкоматчика на точку в одиночестве с обеими половинками ключа.
                Ага, значит не мы одни в конце концов пошли по этому пути. Ни одного инцидента с несанкционированным использованием ключей, кстати, на моей памяти не было. Что и доказывает - требования нормативки должны быть не только безопасными, но и выполнимыми.

                Сообщение от Zuz Посмотреть сообщение
                Сообщение от malotavr Посмотреть сообщение
                Так что вы уж определитесь: или мы действительно защищаемся от банкоматчика, и это делается вот так и стоит вот таких трудозатрат и денег, или давайте не тратить мое время и командировочные на эту порнографию.
                Точно!
                +1

                Комментарий


                • #9
                  Сообщение от Tor Посмотреть сообщение
                  Ага, значит не мы одни в конце концов пошли по этому пути. Ни одного инцидента с несанкционированным использованием ключей, кстати, на моей памяти не было. Что и доказывает - требования нормативки должны быть не только безопасными, но и выполнимыми.
                  Справедливости ради: это было до появления нормативки.
                  Если бы доработал в банке до выхода 382-П, на бумаге описал бы эту проуцедуру, на практике все равно положил бы на нее болт.

                  Комментарий


                  • #10
                    Сообщение от malotavr Посмотреть сообщение
                    Справедливости ради: это было до появления нормативки.
                    У Сбера нормативка на эту тему была ещё как минимум лет 10 назад. А на бумаге да, всё всегда было красиво.

                    Комментарий

                    Пользователи, просматривающие эту тему

                    Свернуть

                    Присутствует 1. Участников: 0, гостей: 1.

                    Обработка...
                    X