ГОСТ Р ИСО ТО 13569 —2007
онных номеров в условиях режима реального времени и условиях электронной торговли. Данные методы и
средства должны использоваться организациями, отвечающими за внедрение методов менеджмента и
защиты информации личных идентификационных номеров в банкоматах и финансируемых покупателями
кассовых терминалах.
П р и м е ч а н и е — ИСО 13491-1 [5] определяет средства управления распределения ключей, необходи
мые для устройств, предоставляющих финансовые услуги (кассовые терминалы, банкоматы).
Требования настоящего стандарта не распространяются на неприкосновенностьданных об операци
ях. не имеющих личных идентификационных номеров, защиту личных идентификационных номеров от
потерь или преднамеренного неправильного использования со стороны клиента или санкционированных
служащих эмитента, защиту сообщений об операциях от изменений или замены, например реакцию санк
ционирования на верификацию личного идентификационного номера, защиту от воспроизведения личного
идентификационного номера или операции, или определенные методы распределения ключей. Эти методы
должны использоваться организациями, отвечающими за внедрение методов менеджмента и защиты пер
сональных идентификационных номеров вбанкоматах и финансируемых покупателями кассовых термина
лах. Стандарты серии ИСО 10202 определяют принципы защиты интегральных микросхем в течение их
жизненного цикла от производства и выпуска, использования клиентами и служащими до истечения срока
службы. В стандартах серии ИСО 10202 также определяется минимальный уровень безопасности, требуе
мыйдля обмена, наряду с опциями безопасности, позволяющими эмитенту банковской карточки для фи
нансовых операций или поставщику выбирать уровень безопасности, соответствующий политике приложе
ний. Взаимосвязь с криптографическими ключами, надлежащее использование криптографических алго
ритмов и методы распределения ключей, необходимые для обеспечения безопасности обработки финансо
вых операций, также определяются встандартахсерии И С 010202. В них также описываются требования
безопасностидля модулей приложений, которые могут бытьдобавлены кустройству считывания карточек.
11.1.5 Персонал
Для исключения обработки кредитных карточек персоналом, не имеющим права обработки, должны
проводиться кредитные проверки и проверки уголовного прошлого всех служащих, имеющих дело с про
штампованными или неиндоссированными карточками там. где это допускается нормативно-правовыми
документами в области обеспечения безопасности, включая сотрудников, занятых неполный рабочий день,
и временных работников.
11.1.6 Аудит
Для обеспечения целостности управляющей и регистрационной информации требуется мерами защи
ты и с использованием журнала аудита сохранять информацию о номерах счетов владельцев карточек и
используемом оборудовании на пластиковых карточках с отпечатанными данными, в печатных формах,
штамповочном и шифрующем оборудовании, на защитной фольге, голограммах, магнитной ленте, полу
фабрикатах карточек и готовых карточках, карточках образцов.
11.1.7 Предупреждение подделки карточек
Для предупреждения создания фальшивых карточекс магнитной полосой использования информа
ции. отражаемой на товарныхчеках,должны быть зашифрованы цифры криптографической проверки, и эти
цифры должны быть подтверждены как можно большему числу операций.
Для предупреждения создания фальшивых карточек с использованием перехваченной информации
необходимо использовать физический метод идентификации карточки с целью подтверждения ее подлин
ности.
11.1.8 Банкоматы
Банкоматы представляют собой устройства, позволяющие клиенту проверять остаток на счете, изы
мать и вносить наличные, оплачивать счета или осуществлять другиефункции, которыеобычно ассоцииру
ются с банковскими кассирами. Данные устройства могут находиться внутри зданий организации, разме
щаться за пределами такого здания или располагаться вдалеке от помещений организации.
Рекомендуются дополнительные меры предосторожности дляснижения возможности ограбления кли
ентов и вандализма вотношении устройств, но они не рассматриваются в настоящем стандарте. Произво
дителиданных устройств и поставщики сети банкоматов обычно издают руководства по безопасности пользо
вания банкоматами. Рекомендуется изучить эти документы. При работе с банкоматами необходимо соблю
дать требования безопасности, которые определены в процедурахоплаты по карточкам.
11.1.9 Идентификация и аутентификация владельцев карточек
Наиболее распространенным средством аутентификации владельца карточки является PIN. Он ис
пользуетсядля управления доступом к банкоматам и кассовым терминалам. Пользователи должны знать,
28