Электронный банкинг
Рекомендации по информационной безопасности
Рекомендации по информационной безопасности для клиентов ЗАО ИКБ «ЕВРОПЕЙСКИЙ», использующих системы «Интернет Банк» (IBANK2).
Системы «Интернет Банк» предназначены для подготовки, передачи по каналам связи и хранения финансовых документов, представленных в электронном виде (электронный документ).
Безопасность обмена электронными документами обеспечивается посредством их шифрования и наложением электронно-цифровой подписи, которая является аналогом собственноручной подписи. Именно электронный документ с ЭЦП является основанием для совершения финансовых операций и доказательной базой при разрешении конфликтной ситуации.
Шифрование и подпись электронных документов осуществляется с помощью секретного ключа электронно-цифровой подписи. Секретный ключ ЭЦП клиента хранится в Хранилище в файле в зашифрованном виде. Носителем же Хранилища ключей ЭЦП является персонально-аппаратный криптопровайдер в виде USB-токена или смарт-карты «iBank 2 Key». В данном устройстве секретный ключ ЭЦП генерируется самим токеном, хранится в защищенной памяти токена и никогда, никем и ни при каких условиях не может быть скопирован из токена. Доступ к секретному ключу защищен паролем, известным только его владельцу. Не имея в распоряжении секретного ключа и не зная пароля доступа к нему, невозможно сформировать подпись под электронным документом.
Выполнение нижеследующих рекомендаций является необходимым условием обеспечения безопасности расчетов в системах «Интернет Банк».
При выборе пароля доступа к секретному ключу электронно-цифровой подписи рекомендуем выполнять следующие правила выбора пароля:
Пароль выбирается самостоятельно;
Если пароль записан на бумаге, то хранится в месте, недоступном для посторонних лиц;
Пароль содержит не менее 6 различных символов;
Пароль обязательно меняется, если он стал известен постороннему лицу;
В качестве пароля не используются:
- последовательности, состоящие из одних цифр (в том числе даты, номера телефонов, номер автомобиля и т.п.);
- последовательности повторяющихся букв или цифр;
- подряд идущие в раскладке клавиатуры или в алфавите символы;
- имена и фамилии;
- ИНН или другие реквизиты клиента.
Следует исключить доступ посторонних лиц к ключевым носителям (дискета, CD, flash-карта, USB токен, смарт-карта и пр.).
Ключевые носители и пароли доступа к ним хранятся в недоступном для окружающих месте отдельно друг от друга;
По завершении работы в Системе iBank2 или перерыве в работе ключевой носитель извлекается из устройства;
Ключевой носитель используется только для подписания электронных документов, после чего извлекается из устройства;
Ключ ЭЦП не копируется и не передается никому даже на короткое время;
В случае смены лица, осуществляющего подпись электронных документов, утере ключевого носителя, а также о любом подозрении на компрометацию ключа ЭЦП незамедлительно сообщается в отдел электронного банкинга банка для блокировки ключа ЭЦП по телефонам (4012) 573958, 573982.
Следует ограничить доступ к рабочим местам, с которых осуществляется работа с ПО системы «iBank 2»
Право доступа предоставляется только лицам, непосредственно осуществляющим работу в системе «iBank 2»;
Рабочие места системы «iBank 2» не оставляются без контроля: при кратковременном отсутствии сохраняются все открытые на редактирование документы, средствами операционной системы блокируется рабочее место.
Следует соблюдать правила настройки «доверенной среды» и исключения несанкционированного изменения программного обеспечения на рабочих местах системы «iBank 2»
Используется только лицензионное программное обеспечение;
Устанавливаются все обновления системы безопасности, рекомендуемые производителем операционной системы, установленной на компьютере;
Отключается учетная запись для гостевого входа (Guest);
Отключаются режимы отображения окна всех зарегистрированных на ПЭВМ пользователей и быстрого переключения пользователей (ОС Windows XP);
Для всех учетных записей в операционной системе используются пароли, удовлетворяющие требованиям настоящих рекомендаций.
Для защиты от несанкционированного доступа из внешней или локальной сети используется и оперативно обновляется специализированное ПО для защиты информации — антивирусное ПО с регулярно обновляемыми базами, персональные межсетевые экраны, средства защиты от несанкционированного доступа и пр.
Работа в системе «iBank 2» немедленно прекращается и сообщается в отдел электронного банкинга банка по телефонам (4012) 573958, 573982 при подозрении, что компьютер заражен, а также в случае обнаружения незарегистрированных программ или нарушения целостности операционной системы.
Следует соблюдать правила безопасной работы в сети Интернет на рабочих местах системы «iBank 2».
Не допускается открывать сайт системы «iBank 2» по ссылкам (особенно баннерным или полученным через почту);
Не допускается отвечать на подозрительные письма с просьбой выслать секретный ключ ЭЦП, пароль и другие конфиденциальные данные.
Не устанавливаются и не сохраняются подозрительные файлы, полученные из ненадежных источников, скачанные с известных web-сайтов, присланные по электронной почте, полученные в телеконференциях;
На компьютере не запускаются программы, полученные не из доверенных источников.
В целях Вашего безопасного подключения к Системе:
наберите адрес https://ibank.icbe.ru (или ip:194.165.61.3) в адресной строке браузера или выберите его в списке ранее посещенных сайтов, запомненных браузером;
не переходите на сайт Системы и других кредитных организаций по ссылкам, размещенным в полученных Вами электронных письмах или на посещаемых Вами сайтах в Интернет;
после входа на стартовую страницу Системы проверьте соответствие сертификата соединения приведенному ниже рисунку (для этого укажите мышкой на замок в нижней полоске экрана и нажмите на левую клавишу мыши):
Информация о безопасном использовании системы
Внимание!
Интернет - агрессивная среда. Помимо уже известных вредоносных программ, способных украсть с Вашего компьютера файловые ключи ЭЦП и пароли к ним, уже появились новые разновидности вирусов, использующие такие средства, как удаленный доступ к USB-портам или удаленное управление компьютером клиента. При работе с такими программами злоумышленники пользуются халатностью клиентов, оставляющих USB-токены "iBank 2 Key" постоянно подключенными к компьютеру.
При этом важно отметить, что секретный ключ ЭЦП клиента не похищается из USB-токена «iBank 2 Key». Благодаря применению USB-токенов и смарт-карт «iBank 2 Key» возможности злоумышленников по хищению средств сильно ограничены.
Секретным ключам ЭЦП и паролям могу завладеть не только вредоносные программы, но и третьи лица, тем или иным образом получившие доступ к Вашему компьютеру. Злоумышленниками могут являться:
1. Ответственные сотрудники клиентов, имевшие доступ к секретным ключам ЭЦП организации. Как правило, это уволенные директора, бухгалтеры и их заместители, а также совладельцы организации.
2. Штатные ИТ-сотрудники клиентов, имевшие технический доступ к носителям (дискеты, флеш-носители, жесткие диски, USB - токены и пр.) с секретными ключами ЭЦП клиентов, а также доступ к компьютерам клиентов, с которых осуществлялась работа по системе электронного банкинга.
3. Нештатные, приходящими по вызову, ИТ-специалисты, обслуживающие компьютеры корпоративного клиента, с которых осуществлялась работа по системе электронного банкинга. Как правило, это приходящие ИТ-специалисты, осуществляющие профилактику и подключение к Интернет, установку и обновление бухгалтерских и информационно-правовых программ, установку, обновление и настройку другого ПО.
Будьте предельно внимательны и осторожны!
При каждом входе в систему (если Вы работаете on-line) и при каждой синхронизации с банковским сервером (если Вы используете клиентское приложение PC-Банкинг) обращайте внимание на информацию о последних сеансах работы с системой: в какое время и с каких IP адресов был произведен вход в интернет-банк.
Используйте для хранения секретных ключей ЭЦП USB-токен или смарт-карту «iBank 2 Key».
Не допускайте постоянного подключения к компьютеру USB-токенов и смарт-карт «iBank 2 Key». Используйте USB-токен или Смарт-карту исключительно для входа в систему «iBank 2» (при работе on-line) или для синхронизации с банком (при работе через PC-банкинг), а также только в момент подписания документов, после чего обязательно извлекайте носитель с ключами из устройства
Используйте SMS-информирование о входе в систему, о поступлении платежных поручений, о движении средств и т.д. Для этого Вы можете подключить услугу «SMS Банкинг».
Используйте в дополнение к USB-токенам и смарт-картам «iBank 2 Key» расширенную многофакторную аутентификацию (одноразовые пароли), зарегистрировав в банке устройство защиты информации OTP-токен. При использовании расширенной многофакторной аутентификации злоумышленник не сможет подключиться к банковскому Серверу Приложения "iBank 2" от имени клиента, поскольку не имеет возможности получения одноразового пароля.
ПРОСИМ ВАС НЕЗАМЕДЛИТЕЛЬНО ОБРАЩАТЬСЯ В БАНК ПРИ ВОЗНИКНОВЕНИИ СЛЕДУЮЩИХ СИТУАЦИЙ:
На компьютере, используемом для работы в интернет-банке, обнаружено вредоносное ПО (вирусы, «трояны»).
Обнаружены факты проникновения в систему посторонних лиц (вход в систему с нетипичного IP-адреса либо в нетипичное для Вас время).
В выписке обнаружены несанкционированные Вами расходные операции, либо Вы получили SMS или e-mail-уведомление об операции, которую не совершали.
Вы получили SMS или e-mail-уведомление об изменении адреса e-mail или номера мобильного телефона для отправки уведомлений, при этом изменения были совершены без Вашего ведома.
Не работает по неизвестным причинам система удаленного обслуживания или компьютер, с которого осуществлялась работа с ПО системы «iBank 2»
