ГОСТ Р ИСО ТО 13569— 2007
что обеспечение секретности персонального идентификационного номера является их обязанностью. В
дополнение кперсональному идентификационному номерудля идентификации владельцев карточек начи
нают применяться проверка биометрическихданных и другие технологии.
Для предотвращения несанкционированных операций, вызванных угадыванием личного идентифика
ционного номера карточки, используемых несанкционированным лицом, число попытокввода личного иден
тификационного номерадолжно быть не более трех. После трех неудачных попыток рекомендуется задер
жание карточки и установление контакта с ее владельцем.
11.1.10 Аутентичность информации
Для предотвращения несанкционированного изменения информации, передаваемой вбанкомат и из
него, при каждой передаче следует требовать использования кода аутентификации сообщений, созданного
в соответствии стребованиями ИС0 16609 и распространяемого в соответствии с требованиями стандартов
серии ИСО 11568. Для предупреждения несанкционированного изменения, уничтожения или раскрытия
информации, хранящейся в банкомате, физический контрольдоступа к внутренней части банкомата дол
жен соответствовать физическим средствам контроля защиты на денежных контейнерах.
11.1.11 Раскрытие информации
Для предотвращения несанкционированного использования банкоматов или кассовых терминалов
посредством несанкционированного раскрытия информации о личном идентификационном номере, вводи
мого пользователем, должны использоваться только устройства с шифрующими клавиатурами, соответ
ствующие требованиям стандартов серии ИСО 9564 [28]. Следует рассмотреть возможность шифрования
всей информации, передаваемой избанкомата. Управление личными идентификационными номерамидол
жно осуществляться всоответствии с требованиями международныхстандартов.
11.1.12 Предулрождение мошеннического использования банкоматов
Для обнаружения и предотвращения мошеннического использования банкоматов, например поддел
ки чеков, депозиты пустых конвертов или дезавуированные операции, рекомендуется целый ряд практи
ческих приемов. Данные приемы оправдываются в случае включения ограничения числа операций и сум
мы денежных средств, снимаемых в день с одного счета, ежедневного подведения баланса банкомата
под двойным контролем, установки видеокамер, где вероятность совершения мошенничества велика, а
также обеспечение поддержки работы банкомата в режиме «он-лайн», где ото возможно, то есть требова
ние. чтобы банкомат имел возможность проверки состояния счета до совершения операции. Если работа в
данном режиме невозможна, следует установить более строгие требования к выпуску карточек, чем
в случае работы врежиме «он-лайн».
11.1.13 Техническое обслуживание и текущий ремонт
Для предотвращения несанкционированногодоступа к информации во время технического обслужи
вания и технического ремонта банкоматов следует убедиться, что для клиентов банкоматы находятся в
состоянии «оф-лайн» перед проведением любого технического обслуживания. Для текущего ремонта
банкоматов, включающего в себя открытые хранилища, необходимо установить процедуры двойного
контроля.
11.2 Системы электронного перевода платежей
11.2.1 Несанкционированный источник
Угрозы и средства контроля, связанные с применениями электронного перевода платежей, могут оце
ниваться независимо от технологии, которую они используют.Для предотвращения потерь из-за принятия
запроса о платежах от несанкционированного источника необходимо аутентифицироватьисточник сообще
ний. запрашивающих перевод платежей. Аутентификация источника должна быть основана на процедуре
обеспечения безопасности, определенной вдоговоре с клиентом или корреспондентом. Применение этого
средства контроля рекомендуется при условии целесообразности затрат на проведения криптографической
аутентификации.
Криптографическая аутентификация обеспечивается кодом аутентичности сообщений, генерируемым
в соответствии с требованиями стандартов серии И С 016609, с помощью криптографического ключа, рас
пределенного в соответствии с требованиями И С 011568. В качестве альтернативы для установления под
линности источника сообщения может быть использовано успешноедешифрование сообщения,
зашифро ванного в соответствии со стандартами серии ИСО/МЭК18033 (всоединении с ИСО ТО 19038 [29]
или ANSI Х.9.52 [30] или FIPS 197 [31]) ключом, распространяемым в соответствии со стандартами серии
ИСО 11568. Также может использоваться цифровая подпись.
11.2.2 Несанкционированные изменения
Для предотвращения неправильного платежа из-за преднамеренного или случайного изменения со
держания сообщения необходимо удостоверить датуплатежа,дату зачисления денег, сумму, национальную
29