राष्ट्रीय भुगतान प्रणाली: आपके लिए इसका क्या मतलब है, और जब वास्तव में घबराहट होती है

आपने राष्ट्रीय भुगतान प्रणाली के बारे में सुना होगा। मूल रूप से यह योजना बनाई गई थी कि यह चीज अंतर्राष्ट्रीय भुगतान प्रणालियों का एक विकल्प बन जाएगी। विशेष रूप से, 1998 में, वीजा और मास्टरकार्ड ने संकट के कारण अपने कार्ड पर स्थानान्तरण करना बंद कर दिया - और, वैसे, बैंक प्लास्टिक बाजार का 85% हिस्सा है।

लेकिन कानून में, अंततः इलेक्ट्रॉनिक भुगतानों की छाया से निकासी पर जोर दिया गया था , जिसे पहले नियंत्रित नहीं किया गया था, और वास्तव में कैशलेस ट्रांसफर के क्षेत्र में बैंकों के कार्यों को नियंत्रित करने के अवसर के साथ नियामक प्रदान करते थे। अब हम फिर से एक राष्ट्रीय भुगतान प्रणाली के पूर्ण निर्माण के बारे में बात कर रहे हैं, इसलिए यूएसए और अन्य प्रासंगिक आवश्यकताओं में डेटा ट्रांसमिशन को अवरुद्ध करने के संबंध में शुरुआती संशोधनों की प्रतीक्षा करना समझ में आता है।

इस सब में भाग लेने के लिए, आपको आईटी और सूचना सुरक्षा के साथ वास्तव में कठिन काम करने की आवश्यकता है, और केवल उचित लाइसेंस वाला एक संगठन इसे निष्पादित और सत्यापित कर सकता है। हमारे पास इस तरह का एक लाइसेंस है, इसलिए नीचे मैं इस तरह के काम में मुख्य समस्याओं को संक्षेप में बताऊंगा जो हमने पहले ही सामना कर चुके हैं।

NPC क्या है?

एनपीएस उन व्यक्तियों का एक संग्रह है जो मनी ट्रांसफर में भाग लेते हैं। कानून का मुख्य लक्ष्य गैर-नकद धन हस्तांतरण के कार्यान्वयन के दृष्टिकोण को एकजुट करना है।

इस कानून को अपनाने के लिए धन्यवाद, हमारे अधिकारी किसी भी गैर-नकद धन हस्तांतरण को नियंत्रित करने की योजना बनाते हैं।

इसका क्या मतलब है?

राष्ट्रीय भुगतान प्रणाली निम्नलिखित का एक संयोजन है:

• मनी ट्रांसफर ऑपरेटर
• बैंक भुगतान एजेंट / सबगमेंट
• भुगतान एजेंट
• रूसी पोस्ट संगठनों
• भुगतान प्रणाली ऑपरेटरों
• भुगतान अवसंरचना सेवाओं के संचालक

वास्तव में, इससे पहले कि पैसा कहीं से दिखाई दे और कहीं गायब न हो जाए। इसने कुछ धोखाधड़ी स्थितियों को जन्म दिया, जिन्हें मैन्युअल रूप से हल किया जाना था। इसलिए, कानून का मुख्य उद्देश्य अवैध धन हस्तांतरण की छाया से कटौती करना है।

यह आपको व्यक्तिगत रूप से कैसे चिंतित करता है?

अब, नई योजना में संचालन करने के लिए, सभी प्रकार की आवश्यकताओं को पूरा करना आवश्यक है। इसके अलावा, आप जितने अधिक अधिकार चाहते हैं, उतनी ही कठोर आवश्यकताएं लागू होती हैं। न केवल तकनीकी साधनों को पेश किया जा रहा है, बल्कि ऐसी प्रक्रियाएं भी हैं जो सब कुछ नियंत्रित करती हैं।
और फिर, जैसा कि आप कल्पना कर सकते हैं, ड्रामा सेट - काफी कम लोग वित्तीय लेनदेन करते हैं, जिनके लिए कई सुरक्षात्मक उपायों की आवश्यकता होती है । यह आईटी के बारे में है (अधिक हद तक), और सामान्य रूप से व्यावसायिक प्रक्रियाओं के बारे में। आपको हार्डवेयर और सॉफ़्टवेयर सिस्टम को जल्दी से डालने, डेटा की सुरक्षा करने और बाकी सब चीजों का एक गुच्छा बनाने की आवश्यकता है। और फिर किसी की जरूरत है जो ऐसा कर सके। लेकिन इस बारे में थोड़ा बाद में, पहले, आइए इस मुद्दे पर थोड़ा ध्यान दें।

इसे कैसे विनियमित किया जाता है?

अब सूचना सुरक्षा के क्षेत्र में वित्तीय संगठनों की गतिविधियों को निम्नलिखित मुख्य दस्तावेजों द्वारा विनियमित किया जाता है:

• मानकों की एक श्रृंखला 27 (दोनों आईएसओ और GOST आर)। अब वे सलाहकार हैं, लेकिन PP822 के अनुसार, उनकी आवश्यकताओं के अनिवार्य अनुपालन पर निर्णय लिया जा सकता है।
• रूस के केंद्रीय बैंक के मानक। संघीय कानून के 27 दिसंबर, 2002 नंबर 184-Technical "तकनीकी विनियमन पर" मानकों और अन्य मानकीकरण दस्तावेजों की सिफारिश की स्थिति की स्थापना की। हालांकि, इसके अनुसार, जब वे संगठन के एक स्वैच्छिक निर्णय द्वारा मानक में शामिल होते हैं, तो वे अनिवार्य हो जाते हैं।
• अंतर्राष्ट्रीय भुगतान प्रणालियों के मानक - PCI DSS। सैद्धांतिक रूप से, गैर-अनुपालन के लिए जुर्माना संभव है (जबकि रूस में कोई मामले नहीं हैं), लेकिन परियोजनाओं के समन्वय के लिए पुनर्वित्त हैं। PCI DSS वास्तव में विशिष्ट विनिर्देश हैं।
• कानून "व्यक्तिगत डेटा पर", जो स्वाभाविक रूप से बाध्यकारी है, कानून द्वारा प्रतिबंध प्रदान किए जाते हैं, वर्तमान में यह प्रतिबंधों को बढ़ाने और आईएलवी द्वारा व्यक्तिगत डेटा के प्रसंस्करण / सुरक्षा के क्षेत्र में उल्लंघन के लिए अपराधों की संरचना का विस्तार करने की योजना है।
• और अंतिम 27 जून, 2011 को अपनाया गया 161 फेडरल लॉ “ऑन द नेशनल पेमेंट सिस्टम” है, और इसके अनुसार अपनाए गए उपनियमों का समूह सरकारी फरमान और सेंट्रल बैंक के दस्तावेज दोनों हैं। यह एक जरूरी है।

खेल के नियम लगभग इस प्रकार हैं:

दस्तावेज कितने कच्चे हैं?

पर्याप्त कच्चा। उदाहरण के लिए, फंड ट्रांसफर करते समय ग्राहकों को सूचित करने की आवश्यकता होती है। लेकिन संघीय कानून अधिसूचना विधियों की बात नहीं करता है। बैंक फ़ोन द्वारा अलर्ट सेट कर सकता है, लेकिन तब यह स्पष्ट नहीं होता है कि ग्राहक का फ़ोन बंद है या नहीं।

या इस तरह के अलर्ट की कई विशेषताएं दिखाते हुए यहां एक अधिक दूर का उदाहरण है। बैंकों में से एक ने केवल भुगतान अधिसूचना सेवा को बचाया, दूसरे ने मुफ्त के लिए सूचित करना शुरू कर दिया (लेकिन डेटा के लिए एकमुश्त पासवर्ड इस सेवा के भुगतान किए गए हिस्से में है), तीसरे ने ग्राहकों को पासवर्ड बनाने के लिए टर्मिनलों को दिया, लेकिन अन्य सेवाओं के लिए उनकी लागत को "स्थानांतरित" कर दिया ताकि यह अब हो बिना तैयारी के खोजना मुश्किल। और, सामान्य तौर पर, यह केवल शुरुआत है। जो कोई भी जानता है कि तकनीकी और संगठनात्मक नियमों के संदर्भ में कितने अस्पष्ट स्थान हैं। दस्तावेजों के लिए एक बहुत विस्तृत अध्ययन की आवश्यकता होती है, और यह मुझे लगता है, एक महीने या एक साल की बात नहीं है।

यह जानना महत्वपूर्ण है कि क्या आप संभावित एनपीएस प्रतिभागी हैं

• जानकारी की सुरक्षा के लिए एनपीएस प्रतिभागियों की आवश्यकता होती है
• रूसी संघ की सरकार सूचना सुरक्षा के लिए आवश्यकताओं को स्थापित करती है
• सूचना संरक्षण और उनके कार्यान्वयन पर नियंत्रण की आवश्यकताएं भी रूस के बैंक द्वारा स्थापित की जाती हैं, जबकि वास्तव में यह एकमात्र नियामक है
• सबस्टेशन के कामकाज में व्यवधानों की संभावना को कम करने के लिए एक जोखिम प्रबंधन प्रणाली शुरू की गई है।
• PS में सूचना सुरक्षा का मुख्य लक्ष्य PS का निर्बाध संचालन सुनिश्चित करना है
• ग्राहक के खाते से धन की चोरी के मामले में, बैंक कुछ शर्तों के तहत चोरी की गई धनराशि की पूरी राशि की प्रतिपूर्ति करने के लिए बाध्य है।

और अब एक सूची में संगठनों की भविष्य की सभी समस्याएं

• अनाधिकृत उपयोग, विनाश, संशोधन, अवरोधन, नकल, वितरण, आदि से एनपीएस में सूचना के संरक्षण के लिए नई आवश्यकताएं हैं। सूचना की गोपनीयता बनाए रखने के लिए, सूचना का उपयोग करने के अधिकार का उपयोग करना। उनका पालन करने की जरूरत है।
• आईएस सेवा के लिए सिद्धांत रूप में यह आवश्यक है।
• पीएस अवसंरचना सुविधाओं तक पहुंच के क्रम को निर्धारित करना महत्वपूर्ण है,
• IS की आवश्यकताओं की पूर्ति के लिए कर्मचारियों के कर्तव्यों में शामिल करना आवश्यक है,
• IS खतरों और कमजोरियों की पहचान करना सुनिश्चित करें,
• हमें सूचना सुरक्षा के जोखिमों का विश्लेषण करना होगा और उनका प्रबंधन करना होगा,
• आईएस की घटनाओं की लगातार पहचान करना और उन पर प्रतिक्रिया देना आवश्यक है, और तदनुसार मासिक रिपोर्ट सेंट्रल बैंक को दी जाती है।
• इंटरनेट आदि का उपयोग करते समय सूचना की सुरक्षा सुनिश्चित करना आवश्यक है।
• सूचना प्रणाली में सूचना सुरक्षा की एक प्रणाली विकसित और कार्यान्वित करना आवश्यक है।
• 2 वर्षों में कम से कम 1 बार निगरानी और अनुरूपता मूल्यांकन के लिए गतिविधियों का आयोजन और संचालन करें और फिर से, सेंट्रल बैंक को इसकी सूचना दें।

और सबसे अच्छा हिस्सा निम्नलिखित में से एक (सभी में एक बार) उपचार का अनिवार्य उपयोग है:

• CIPF
• एनएसडी से SZI
• एंटीवायरस
• फ़ायरवॉल
• आईडीएस / आईपीएस
• सुरक्षा विश्लेषण उपकरण

क्या करें, डॉक्टर?

सामान्यतया, आपको आईटी में बहुत सी चीजों की समीक्षा करने और नए सूचना सुरक्षा उपायों को पेश करने की आवश्यकता है। लेकिन एक अति सूक्ष्म अंतर है।

और अगर मेरे पास पहले से ही सब कुछ है?

एक नियम के रूप में, अधिकांश संगठनों के लिए जो यह सीधे और सबसे कट्टर भाग (आमतौर पर बैंकों और अन्य बड़े वित्तीय संगठनों) पर लागू होता है, यह सब (या अधिकांश) लंबे समय से लागू है। क्योंकि आपको अभी भी जानकारी की सुरक्षा करने की आवश्यकता है। लेकिन अब आपको यह समझने की जरूरत है कि सब कुछ कितनी अच्छी तरह से लागू किया गया है, और किस हद तक, यानी सत्यापन के परिणामों के आधार पर उचित रेटिंग प्राप्त करें। और यहां हम एक नियम के रूप में, मंच पर दिखाई दे रहे हैं।

निम्नलिखित बातें की जाती हैं:

• 161--के तहत सूचना के संरक्षण के लिए आवश्यकताओं के अनुपालन का आकलन
• 161-FZ की आवश्यकताओं के अनुपालन में SOIB लाने के लिए सिफारिशों का विकास
• मौजूदा सूचना सुरक्षा प्रबंधन प्रणाली का विकास और सुधार
• सूचना परिसंपत्तियों की सूची, विश्लेषण और व्यावसायिक प्रक्रियाओं का विवरण
• जोखिम का आकलन है
• सूचना सुरक्षा प्रणाली का तकनीकी डिजाइन
• सूचना सुरक्षा के तकनीकी साधनों का कार्यान्वयन
• सूचना प्रणाली और पैठ परीक्षण का सुरक्षा विश्लेषण
• सूचना सुरक्षा जागरूकता बढ़ाने
• बिल्डिंग प्रबंधन प्रक्रियाएं।

सरल शब्दों में, हम कानून की सभी आवश्यकताओं की जांच करते हैं और समस्या को हल करने के सबसे सरल तरीके प्रदान करते हैं। यह देखते हुए कि काम के इस परिसर में सब कुछ काफी जटिल और भ्रमित करने वाला है, अक्सर "लाइफ हैक" होते हैं जो खरोंच से एक मौलिक नई सूचना सुरक्षा प्रणाली शुरू करने जैसे बेहद महंगे विकल्पों से बचने की अनुमति देते हैं। एक उदाहरण के रूप में - एक निश्चित प्रकृति की जानकारी के लिए समान पहुंच। यहाँ, उदाहरण के लिए, अभिगम नियंत्रण। किसी एक मामले में, सबसे आसान काम यह था कि संगठनात्मक उपायों के स्तर पर ऐसा किया जाए, न कि आईटी अवसंरचना - केवल एक व्यक्ति को सही कंप्यूटर के साथ कार्यालय की चाबियां दें। तदनुसार, अनधिकृत पहुंच के खिलाफ सुरक्षा के लिए एक जटिल आवश्यकता तुरंत दूर हो गई। बेशक, आपको वास्तव में एक्सेस का अंतर करने की आवश्यकता है (उदाहरण के लिए, IDM का उपयोग करके सिस्टम स्तर पर), लेकिन यह अब एनपीएस पर संघीय कानून की आवश्यकताओं को पूरा करने के लिए एक स्टॉप फैक्टर नहीं है।

इस प्रकार, सूचना सुरक्षा के लिए मौजूदा खतरे का मूल्यांकन करते हुए, हम खतरे के मॉडल का निर्माण कर रहे हैं, जो यह बताते हैं कि कौन से खतरे प्रासंगिक हैं और हम उन्हें कैसे बंद करने जा रहे हैं। यह तकनीकी और संगठनात्मक दोनों उपाय हो सकते हैं, यह एक ही समय में महत्वपूर्ण है कि एक या किसी अन्य सुरक्षात्मक उपाय को चुनने की आर्थिक व्यवहार्यता के सिद्धांत का सम्मान किया जाए।

इस तरह के काम को करने में हमारा लक्ष्य किसी को झूठ और कुछ धोखाधड़ी पर पकड़ नहीं है, लेकिन प्रक्रियाओं को वास्तव में बेहतर बनाने में मदद करना है, और अगर सेंट्रल बैंक आपके पास आता है ताकि कोई दंड न हो।

कुछ लोग कहते हैं, "0.7 पर मूल्यांकन करने के लिए हमारे लिए सब कुछ करो" - और हम मदद करते हैं।

वैकल्पिक, लेकिन उचित (आर्थिक रूप से व्यवहार्य) उपायों की एक सूची, जो संपूर्ण रूप से सूचना सुरक्षा के साथ स्थिति को बेहतर बनाने में मदद करती है। तदनुसार, यह दो भागों में बदल जाता है: कैसे जल्दी और सस्ते में अनुपालन के लिए आते हैं और क्या, पूरे पर, आईएस को सुनिश्चित करने के लिए किया जाना चाहिए।

यदि आपने कुछ भ्रमित किया है और आपके प्रश्न हैं, या आपको सहायता की आवश्यकता है, तो टिप्पणी या मेल plutsik@croc.ru में पूछें ।