ГОСТ Р ИСО ТО 13569— 2007
фикация. Очевидно, что шифрование может использоваться для защиты частной информации. Его можно
выполнить на многих уровнях и во многих местах, но за конкретную цену. Данные меры противодействия
должны оцениваться сучетом политики и ценности информации организации.
Аутентификация может использоваться для идентификации устройств, а также пользователей уст
ройств (включая пользователей программногообеспечения). Устройства можно идентифицировать, исполь
зуя IPSEC. или (в некоторой степени) через протокол безопасности SSL. Конечный пользователь может
бытьаутентифицирован через SSL. хотя SSL не может реальноаутентифицировать фактического пользова
теля — физическое лицо (некоторые браузеры, например, запоминают имена пользователей и пароли так.
что сотрудник, использующий определенный компьютер и браузер для веб-сервера, будет казаться одина
ковым). Использование различных факторов, а не только идентификатора пользователя и пароля, может
улучшить качество аутентификации, но этого можнодобиться также обладанием маркером или смарт-кар
той.секретным ключом, связанным с цифровым сертификатом, или отпечатками пальцев пользователя (или
другими его биометрическими характеристиками).
11 Внедрение специальных средств защиты
11.1 Банковские карточки для финансовых операций
11.1.1 Общие положения
Банковские карточки для финансовых операций могут быть карточками с магнитной полосой, которые
могут хранить информацию на магнитном носителе, или «смарт-картами»1 способными обрабатывать ин
формацию, выполнять криптографические функции и хранить гораздо больше информации, чем на магнит
ном носителе. Поскольку смарт-карты обладают большей гибкостью, чем карточки с магнитной полосой, в
будущем может быть разработан и другой метод использования этих карт. О безопасности смарт-карт см.
стандарты серии ИС0 10202.
Ассоциации пользователей финансовых карточек поддерживают собственные стандарты минималь
ной безопасности для финансовых учреждений и подрядчиков, предоставляющих услуги финансовым уч
реждениям. Вдополнение к этим программам обеспечения безопасности организации, использующие бан
ковские карточкидля финансовых операций, должны применять перечисленные ниже меры защиты.
11.1.2 Физическая безопасность
Для защиты от уничтожения, раскрытия или модификации информации на карточкахдля финансовых
операций настадиях обработки аппаратура персонализации карточекдолжна располагаться на территории,
регулярно патрулируемой службами обеспечения правопорядка и обслуживаемой службами противопо
жарной защиты. Аппаратура должна быть защищена системой охранной сигнализации с автономным ис
точником питания.
11.1.3 Злоупотребление со стороны инсайдеров
Для предупреждения мошеннических операций, осуществляемых в результатедоступа к информа
ции на банковских карточках, все носители, содержащие значимую информацию о счетах, номера счетов,
личные идентификационные номера, кредитные лимиты и состояние счетов, должны храниться впомеще
нии. доступ к которому ограничивается персоналом службы информационной безопасности. Функции изго
товления и выпуска карточекдолжны быть физически отделены от функций изготовления и выпуска персо
нальных идентификационных номеров.
11.1.4 Перемещение личных идентификационных номеров
Для предупреждения потерь из-за перехвата личных идентификационных номеров несанкциониро
ванными лицами с личными идентификационными номерами следует обращаться в соответствии с ИСО
9564-1-4 или ИС0 10202-1-6. Стандарты серии ИСО 9564 определяют основные принципы и методы обеспе
чения мер минимальной безопасности, необходимые для эффективного международного менеджмента
личных идентификационных номеров. Они также определяют методы защиты личных идентификационных
номеров, применяемые для операций с использованием банковских карточекдля финансовых операций в
условиях режима реального времени, и средства обмена данными личных идентификационных номеров.
Стандарты серии ИСО 9564 также распространяются на менеджмент и безопасностьличных идемтификаци-
«Смарт-карта» определяет класс устройств размера платежной карточки, имеющих различные функцио
нальные возможности и мощности. Эти устройства выглядят практически так же. как карточки с магнитной поло сой.
используемые для стандартных кредитовых, дебетовых, банкоматных и кассовых операций, и включают в себя
карты на интегральных схемах (ICC), карточки с хранимой суммой и бесконтактные карточки.
в-
27