ГОСТ Р ИСО ТО 13569— 2007
фикация. Очевидно, что шифрование может использоваться для защиты частной информации. Его можно
выполнить на многих уровнях и во многих местах, но за конкретную цену. Данные меры противодействия
должны оцениваться с учетом политики и ценности информации организации.
Аутентификация может использоваться для идентификации устройств, а также пользователей уст
ройств (включая пользователей программногообеспечения). Устройства можноидентифицировать, исполь
зуя IPSEC. или (в некоторой степени) через протокол безопасности SSL. Конечный пользователь может
бытьаутентифицирован через SSL. хотя SSL не может реальноаутентифицировать фактического пользова
теля — физическое лицо (некоторые браузеры, например, запоминают имена пользователей и пароли так.
что сотрудник, использующий определенный компьютер и браузер для веб-сервера, будет казаться одина
ковым). Использование различных факторов, а не только идентификатора пользователя и пароля, может
улучшить качество аутентификации, но этого можнодобиться также обладанием маркером или смарт-кар
той.секретным ключом, связанным с цифровым сертификатом, или отпечатками пальцев пользователя (или
другими его биометрическими характеристиками).
11 Внедрение специальных средств защиты
11.1 Банковские карточки для финансовых операций
11.1.1 Общие положения
Банковские карточки для финансовых операций могут быть карточками с магнитной полосой, которые
могут хранить информацию на магнитном носителе, или «смарт-картами» ” , способными обрабатывать ин
формацию, выполнять криптографические функции и хранить гораздобольше информации, чем на магнит
ном носителе. Поскольку смарт-карты обладают большей гибкостью, чем карточки с магнитной полосой, в
будущем может быть разработан и другой метод использования этих карт. О безопасности смарт-карт см.
стандарты серии ИСО 10202.
Ассоциации пользователей финансовых карточек поддерживают собственные стандарты минималь
ной безопасности для финансовых учреждений и подрядчиков, предоставляющих услуги финансовым уч
реждениям. Вдополнение кэтим программам обеспечения безопасности организации, использующие бан
ковские карточкидля финансовых операций, должны применять перечисленные ниже меры защиты.
11.1.2 Физическая безопасность
Для защиты от уничтожения, раскрытия или модификации информации на карточках для финансовых
операций настадиях обработки аппаратура персонализации карточекдолжна располагаться на территории,
регулярно патрулируемой службами обеспечения правопорядка и обслуживаемой службами противопо
жарной защиты. Аппаратура должна быть защищена системой охранной сигнализации с автономным ис
точником питания.
11.1.3 Злоупотребление со стороны инсайдеров
Для предупреждения мошеннических операций, осуществляемых в результатедоступа к информа
ции на банковских карточках, все носители, содержащие значимую информацию о счетах, номера счетов,
личные идентификационные номера, кредитные лимиты и состояние счетов, должны храниться в
помеще нии. доступ к которому ограничивается персоналом службы информационной безопасности.
Функции изго товления и выпуска карточекдолжны быть физически отделены от функций изготовления и
выпуска персо нальных идентификационных номеров.
11.1.4 Перемещение личных идентификационных номеров
Для предупреждения потерь из-за перехвата личных идентификационных номеров несанкциониро
ванными лицами с личными идентификационными номерами следует обращаться в соответствии с ИСО
9564-1-4 или ИС0 10202-1-8. Стандарты серии ИСО 9564 определяют основные принципы и методы обеспе
чения мер минимальной безопасности, необходимые для эффективного международного менеджмента
личных идентификационных номеров. Они также определяют методы защиты личных идентификационных
номеров, применяемые для операций с использованием банковских карточекдля финансовых операций в
условиях режима реального времени, и средства обмена данными личных идентификационных номеров.
Стандарты серии ИСО9564 также распространяются на менеджмент и безопасность личных идентификаци-
” «Смарт-карта» определяет класс устройств размера платежной карточки, имеющих различные функцио
нальные возможности и мощности. Эти устройства выглядят практически так же. как карточки с магнитной поло
сой. используемые для стандартных кредитовых, дебетовых, банкоматных и кассовых операций, и включают в
себя карты на интегральных схемах (ICC), карточки с хранимой суммой и бесконтактные карточки.
а-
27