Информационная безопасность по-русски

Следующий недельный практический курс будет с 8 по 12 июля.

Курс Защита информации в НПС. Оценка соответствия (3 дня)

День первый

1. «Глобальная система расчетов»

• Банк международных расчетов
• Понятие, структура и схема НПС. Подход КПРС
• Розничные платежные системы
• Международные платежные системы. SWIFT
• Международные карточные платежные системы. Visa и MasterCard

2. Развитие «безналичного» законодательства в РФ

• 46 глава ГК РФ (Расчеты)
• Закон о банках и банковской деятельности
• Закон о деятельности по приему платежей физических лиц

3. № 161-ФЗ “О национальной платежной системе”

• Схемы существующей и перспективной НПС
• Принципы создания НПС
• Основные термины и определения
• Участники НПС и требования к ним

1. Оператор платежной системы
2. Оператор услуг платежной инфраструктуры
3. Оператор по переводу денежных средств
4. Оператор электронных денежных средств
5. Банковский платежный агент/субагент

• «Национальная платежная система» и «Платежная система»
• Субъекты НПС и участники ПС
• Платежные системы и их правила
• На кого распространяются требования по защите информации?
• Ключевые статьи по защите информации
• PCI DSS и СТО БР ИББС в рамках НПС

4. 10 требований по защите информации (584-ПП)

• Роль ФСТЭК и ФСБ

5. Основные ведомственные требования Банка России

• Положение № 379-П «О бесперебойности функционирования…»
• Положение № 380-П «О порядке осуществления наблюдения…»
• Положение № 381-П «О порядке осуществления надзора…»
• Положение № 382-П «О требованиях к обеспечению защиты информации…»
• Указание №2831-У «Об отчетности по обеспечению защиты информации…»
• Отчетность по обеспечению защиты информации (2831-У)
• Поправки в законодательство, 382-П и 2831-у

6. Ключевые регуляторы и участники отрасли. Банк России, ФСБ, ФСТЭК, АРБ, НП «НПС», ABISS
7. Перспективы развития НПС

День второй

1. Подробный разбор 382-П и 2831-У
2. Разбор всех требований 328-П Приложения 1
3. Практика оценки показателей
4. Базовый план проведения оценки соответствия
5. Нюансы в процессе проведения оценки соответствия
6. План устранения несоответствий

День третий

1. Практика. Выполнение кейса «Оценка соответствия Банка» по заранее заданным свидетельствам с использование автоматизированного программного продукта.

Курс Защита информации в НПС. Внедрение (2 дня)

День четвертый

1. Проект по реализации требований по защите информации в рамках законодательства о НПС, требований Правительства РФ и Банка России

• Требования по защите информации. Иные требования
• Подразделения банка, участвующие в работе
• Ответственные сотрудники
• Руководство проектом
• Содержание работ
• Ведение проекта в случае привлечения консультанта
• Типовые ошибки
• Использование плана устранения несоответствий

2. Документация

• Структура документации у разных участников платежных систем. Что запрашивать? Как анализировать?
• Подготовка Правил ПС
• Перечень типовых документов для оператора по переводу ДС
• Подготовка документов по контролю исполнения требований по защите

3. Процессы

• Процессы к выстраиванию
• Методы выстраивания
• Свидетельства выполнения процесса
• Влияние разных процессов на итоговую оценку

День пятый

1. Практика. Подготовка всей документации по одному направлению защиты информации и плана по выстраиванию процесса

Автор: Царев Евгений | Метки: закон о национальной платежной системе, национальная платежная система, НПС, Платежная система, Электронные платежные системы

Вслед за крупнейшими корпорациями Microsoft, Apple, титанами Google и Facebook, служба мини-посланий Твиттер, перешла на двухступенчатую защиту аккаунтов своих пользователей.

По последним данным, крупная социальная сеть деловых людей LinkedIn также ввела подобную процедуру безопасности. Поводом для таких мер послужил ряд многочисленных взломов учетных записей. Как сказано в блоге руководства ресурса, «подобный шаг является ответом на действия несанкционированных пользователей». После ввода логина и пароля, владелец вслед за этим получает на свой телефон СМС с кодом, который нужно будет ввести в специальную форму. Соответственно, для этого необходима привязка к телефону.

На введение более надежной защиты создателей бизнес-сообщества LinkedIn подтолкнуло следующее событие. В начале этого года были взломаны шесть с лишним миллионов пользовательских аккаунтов. Масштаб акции был впечатляющим, общее число пользователей данного ресурса насчитывает около 200 миллионов человек.
Полученная информация была выложена в свободный доступ на одном из российских форумов. Пользователи в срочном порядке были вынуждены менять свои пароли.

Ввод собственной технологии двухфакторной бестокенной аутентификации – мероприятие затратное. Требующее солидных финансовых вливаний и участия профильных специалистов. Так, например, Твиттер под свой проект двухфакторной аутентификации пригласил Чарли Миллера (NSA). Кроме того, для достижения максимального результата был приобретен ряд фирм, специализирующихся на вопросах безопасности. В частности, Dasient (разработка антивирусов), WhisperSystems (шифрование данных).

Автор: Царев Евгений | Метки: Facebook, linkedIn, twitter, аутентификация, Информационная безопасность