Криптография в финтехе

Как «Перспективный мониторинг» влияет на безопасность финтеха в России. Часть 1 Рассказываем истории из практики компании «Перспективный мониторинг» (ГК «ИнфоТеКС»), чьи эксперты стояли у истоков нормативной базы информационной безопасности в финансовом секторе. Сотрудники компании участвовали в разработке практически всех ключевых стандартов — от первых версий СТО БР ИББС до ГОСТ 57580. На практике — десятки проектов: 🔘 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580 🔘 53 оценки соответствия по ГОСТ Р 57580 🔘 3 проекта по построению ИТ-инфраструктуры «с нуля» в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России. Одна из практик, которая особенно показала, как теория превращается в конкретную защиту, — это пентест банкоматов. Об этом расскажем в следующей публикации.

Обновленные требования по безопасности банковских операций* Часть 3 Продолжаем обзор Положения Банка России № 851-П — в этой части сосредоточимся на новом требовании и общих последствиях изменений. ▫️Наряду с отмеченным, следует обратить внимание банков на ещё одно новое для них требование общего плана, которое не столь активно пока обсуждается банковским сообществом. Оно заключается в том, что банки и филиалы иностранных банков должны обеспечить реализацию работ управленческого цикла Деминга-Шухарта (цикла менеджмента) по управлению всеми используемыми ими мерами защиты информации, то есть, осуществлять: планирование применения, применение, контроль применения и совершенствование использования защитных мер. Это отражено в последнем абзаце пункта 2 нового Положения. Если строго следовать «букве закона», данный абзац требований может повлечь за собой значительный объем новых, ранее не запланированных работ. Так ли это – покажет время. 🔘 В целом, следует отметить, что новая редакция требований Банка России, а именно требования Положения Банка России № 851-П по противодействию осуществлению переводов денежных средств без согласия клиентов, формирует необходимость проведения существенного объёма дополнительных работ (обновление АС ДБО, внедрение сертифицированных средств при использовании УКЭП и т.п.), к реализации которых уже можно и надо приступить. *Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

Обновленные требования по безопасности банковских операций* Часть 2 В числе основных новых мер защиты информации, вошедших в Положение Банка России № 851-П, можно выделить следующие: 🔘 Зафиксированы требования к защите информации для филиалов иностранных банков. 🔘Уточнен состав защищаемой информации. Акцентировано внимание на необходимости защиты банковской тайны (её разглашение преследуется в соответствии с нормами Уголовного кодекса РФ), а также нового вида информации, связанной с приёмом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля. 🔘 Определена обязанность банков, в случае применения усиленной неквалифицированной электронной подписи (УНЭП), использовать средства электронной подписи (ЭП) и средства удостоверяющих центров (УЦ), имеющие подтверждение соответствия требованиям ФСБ России (здесь, по понятным причинам, предусмотрен отложенный срок введения в действие, с 1 октября 2025 года). 🔘 Дополнен перечень регистрируемых сведений о действиях клиентов в рамках осуществления переводов денежных средств, подлежащих регистрации и хранению. *Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

Обновленные требования по безопасности банковских операций* Часть 1 С марта 2025 года вступили в силу обновленные требования Банка России по защите информации при осуществлении банковской деятельности. Ниже — общий разбор ключевых положений и причин обновления требований Центрального банка РФ. ▫️ В марте 2025 года опубликована новая редакция требований Банка России к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента. Эти требования нашли отражение в новом Положении Банка России № 851-П «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента». Данное положение выпущено взамен действовавшего с 2019 года Положения Банка России № 683-П, включая ряд дополнений к нему. Новые нормы вступили в силу в течение 10 дней с момента опубликования Положения, за исключением тех пунктов, которые вводятся с отложенным сроком, в основном, с 1 октября 2025 года. В свою очередь, основаниями для выпуска обновлённых требований регулятора по противодействию осуществления переводов денежных средств без согласия клиента с помощью мер защиты информации явились следующие два существенных обстоятельства: 🔘 Во-первых, это прямой допуск в национальную банковскую систему Российской Федерации иностранных банков (что и отражено в наименовании Положения Банка России № 851-П). Основные правила работы на российском рынке иностранных банков нашли отражение в Федеральном законе от 08.08.2024 № 275-ФЗ, нормами которого вносятся изменения в целый ряд отечественных законов по банковской и финансовой деятельности, противодействию финансирования терроризма и т.п. 🔘Во-вторых, необходимость дальнейшего развития и настройки мер защиты информации в целях противодействия осуществлению переводов денежных средств без согласия клиента, объёмы которых на момент принятия закона продолжали расти. *Обзор подготовлен Владимиром Головановым, заместителем начальника аналитического отдела ИнфоТеКС, ответственным секретарем ПК1/ТК122 "Безопасность финансовых (банковских) операций"

MobiFinance – 2025 ▫️ Елена Новикова, руководитель продуктового направления, рассказала о решении 🔵 ViPNet САВС. Решение позволяет автоматизировать процесс выпуска сертификатов для пользователей платформы цифрового рубля. Елена рассказала, как с помощью этого программного комплекса можно обеспечить надежную криптографическую защиту информации, упростить процессы идентификации пользователей и гарантировать соответствие нормативным требованиям регуляторов. Елена также продемонстрировала авторизацию пользователя в ЕСИА для идентификации на платформе цифрового рубля с примерами успешных и неудачных выпусков сертификатов, подчеркнув прозрачность и управляемость всех процессов в системе. Криптоядром ViPNet САВС является ПАК 🔁 ViPNet EDI Soap Gate 3, который зарегистрирован в реестрах Минцифры и Минпромторга, а также соответствует всем требованиям по безопасности и совместимости с ГОСТ-алгоритмами, что делает его надежным инструментом для цифровой инфраструктуры финансового сектора.

🔘 В интервью Национальному банковскому журналу вице-президент компании «ИнфоТеКС» Сергей Дурягин и руководитель проектов компании «БИФИТ» Руслан Артемьев рассказали о создании совместного готового комплексного решения для банков — участников платформы цифрового рубля. Поделились нюансами совместной работы над проектом, обозначили зоны ответственности, объяснили, почему пришли к необходимости технологического партнёрства, и какие преимущества дало сотрудничество. Также эксперты оценили ситуацию на банковском рынке в контексте переноса сроков внедрения цифрового рубля и дали рекомендации финансовым организациям. Полный текст интервью

💬 «Как таковой, он [прим. цифровой рубль] уже внедрен. Мы проводим тестирование на реальных цифровых рублях, и оно продолжается. Мы отложили именно массовый запуск. Особо подчеркну, что массовый запуск означает обязательность для банков: они должны будут обеспечить возможность расплачиваться цифровыми рублями. Пользоваться этой возможностью или нет, каждый человек будет решать сам добровольно. Сейчас в нашем пилоте участвуют около 2,5 тысячи граждан. Мы хотим привлечь многократно больше. Плюс обсуждаем разные технологические аспекты с банками, правительством, корпорациями. До конца года мы определим срок массового запуска». Заместитель Председателя Банка России Зульфия Кахруманова рассказала в интервью «Комсомолькой правде», как будет работать универсальный QR, зачем нужен цифровой рубль и откуда берутся новаторские идеи в финтехе.

▫️ Заместитель Председателя Банка России Зульфия Кахруманова рассказала, как идет тестирование Цифрового рубля, кто участвует в эксперименте, и почему массовый запуск пока отложен. Подробнее в интервью.

У ИнфоТеКС есть решение по защите цифрового рубля, которое позволяет коммерческим банкам создавать безопасную инфраструктуру, обеспечивающую защищенное взаимодействие с платформой цифрового рубля. Основное внимание уделено защите данных с использованием продуктов ViPNet и обеспечению соответствия требованиям регуляторов. Подробнее о решении и его преимуществах

ComNews опубликовала карту и онлайн-страницу «Возможности импортозамещения программного обеспечения в ключевых сферах ИБ» ▫️ Эффективность обеспечения информационной безопасности напрямую зависит от импортозамещения не только в госсекторе, но и в частном бизнесе. Уход иностранных вендоров значительно увеличил риски ИБ, усилив потребность в переходе на отечественные решения. Драйвером этого перехода выступают как санкции, так и законодательные меры: с 1 января 2025 года вступил в силу запрет на использование иностранного ПО и средств защиты информации на значимых объектах КИИ и в госсекторе. 🔘 На карте представлены продукты более 30 российских вендоров, в том числе продукты компании «ИнфоТеКС», с указанием наличия их в реестре Минцифры, сертификатов ФСТЭК России и ФСБ России, а также перечнем зарубежных аналогов.

Новости стандартизации в отрасли обеспечения информационной безопасности финансовых операций Секретариат подкомитета №1 «Безопасность финансовых (банковских) операций» (ПК 1) национального Технического комитета по стандартизации №122 «Стандарты финансовых операций» (ТК122), функции ведения которого выполняет компания «ИнфоТеКС», опубликовал новостной ежеквартальный дайджест в области деятельности ПК1/ТК122 за 1 квартал 2025 года. В материале содержатся новости о последних событиях в области стандартизации безопасности финансовых операций, обзор событий и мероприятий в сфере деятельности подкомитета и другая информация. Подробнее

Что такое PKI, какие существуют виды электронной подписи и чем они отличаются друг от друга? ▫️ Римма Бадмаева, ведущий менеджер продуктов, прочитала лекцию, посвященную инфраструктуре открытых ключей. Лекция подготовлена специально для образовательного модуля программы переподготовки МГТУ им. Н.Э. Баумана «Управление информационной безопасностью в организации». Смотреть лекцию: RuTube | Вконтакте

Цифровой рубль может войти в повседневную жизнь уже в 2026 году ▫️ Министр финансов РФ Антон Силуанов сообщил, что полноценное внедрение цифрового рубля в России возможно уже в следующем году. Центробанк уже практически готов к выпуску цифрового рубля, в том числе и для граждан. Читать полностью

Термины, определения и сокращения эпизод 5 🔘 Пользователи ПлЦР – это физические, юридические лица или индивидуальные предприниматели, которые имеют доступ к ПлЦР для совершения операций с ЦР. Им всем нужны сертификаты, и не только для ЭП, но и для аутентификации В целях обеспечения выпуска необходимых для работы пользователей сертификатов в инфраструктуре участника ПлЦР должно быть реализовано ИТ-решение по автоматизации процесса выдачи сертификатов. При этом для аутентификации пользователя ПлЦР для выпуска необходимых для работы сертификатов должна использоваться ЕСИА – единая система идентификации и аутентификации. Знакомимся с новым термином: Сервис автоматизации выпуска сертификатов – это технические средства автоматизации, предназначенные для выпуска сертификатов пользователям ПлЦР. ▫ В состав сервиса входит средство ЭП класса КС3, предназначенное для формирования/проверки ЭП под сообщениями в/из ЕСИА, проверки ЭП запросов пользователей ПлЦР на выпуск сертификатов. Компания «ИнфоТеКС» разработала Сервис Автоматизации Выпуска Сертификатов – ViPNet САВС, в состав которого входит 🔁 ViPNet EDI Soap Gate. #ViPNet_EDI #термины

Получены сертификаты ФСБ России на ViPNet TLS Gateway Компания «ИнфоТеКС» объявляет о получении сертификатов ФСБ России на криптошлюз ViPNet TLS Gateway версии 2.2. ViPNet TLS Gateway – это высокопроизводительный TLS-криптошлюз, который обеспечивает аутентификацию пользователей и организацию защищенных соединений по протоколу TLS при работе с портальными решениями. В новой сертифицированной версии ViPNet TLS Gateway обеспечено разграничение доступа к защищаемым ресурсам по IP-адресу или диапазону адресов. Добавлена возможность ведения журналов с фиксацией доступа пользователей, подключающихся по схеме с односторонней аутентификацией. Реализовано распространение лицензии для использования ViPNet PKI Client при подключении к ViPNet TLS Gateway. Разработан конструктор запросов для получения сертификатов безопасности (транспортных сертификатов) с произвольными расширениями. Реализована поддержка веб-ресурсов и wildcard-ресурсов, требующих двустороннюю аутентификацию по TLS ГОСТ, аутентификация на защищаемых ресурсах и возможность проксирования WebSocket secure через TLS ГОСТ туннель. Подробнее

Продлен сертификат ФСБ России на ViPNet PKI Client Компания «ИнфоТеКС» объявляет о продлении сертификата ФСБ России на ViPNet PKI Client версии 1.6 для исполнений 1, 2 и 3. ViPNet PKI Client – универсальный клиент для работы в инфраструктуре открытых ключей, основными функциями которого являются генерация ключей ЭП, формирование и проверка ЭП, шифрование данных, построение TLS ГОСТ соединений. ViPNet PKI Client работает на всех распространенных операционных системах, как десктопных, так и мобильных. Подробнее

Термины, определения и сокращения эпизод 4 Продолжаем тему УЦ в ЦР. ▫️ Новый термин – транспортный удостоверяющий центр, он же УЦ Безопасности. Это УЦ на стороне участника ПлЦР, средства которого также должны быть сертифицированы по классу не ниже КС3, и используемый для выдачи TLS-сертификатов (сертификатов безопасности) пользователям ПлЦР. Назначение данного УЦ – обеспечение выпуска сертификатов безопасности для реализации ГОСТ-TLS между пользователем и участником ПлЦР. Таким образом, для ЭП и TLS пользователи ПлЦР должны использовать разные сертификаты, выданные в разных УЦ. Обращаем внимание, что на данный момент УЦ Безопасности участника ПлЦР является корневым и должен использовать самоподписанный сертификат, пока не будет введен Национальный УЦ, но это уже другая история. Напоминаем, что для реализации функций УЦ также может использоваться 🗝️ ViPNet Удостоверяющий центр 4, работающий совместно с 🗝️ ViPNet HSM.