Сторінка
10

Система електронних платежів національного банку України

Іншим своїм користувачам (підрозділам НБУ та державним структурам, наприклад Верховній Раді, Державній податковій інс­пекції тощо) ІПС подає звіти та відповіді на запити, різноманітні за рівнем конкретизації та охоплюваним періодом часу.

ІПС складається з окремих програмно-технічних комплексів, які використовують для своєї роботи бази даних та архіви АРМ СЕП.

Захист інформації та вирішення питань безпеки в СЕП. Не­від'ємною складовою програмно-апаратних комплексів СЕП є за­хист електронних платіжних документів, тобто забезпечення безпе­ки банківських розрахунків.

Система захисту СЕП включає технологічні, апаратні, програмні та організаційні засоби захисту, передбачаючи чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та здійс­нення платежів на всіх рівнях — від клієнта банку до АРМ-1.

З урахуванням завдань безпеки банківських розрахунків була створена Служба захисту інформації в СЕП на двох рівнях: в НБУ та в регіональних розрахункових палатах, через які здійснюються міжрегіональні та внутрішньорегіональні платежі.

Служба захисту інформації НБУ здійснює свою діяльність згідно з законами України «Про банки та банківську діяльність», «Про за­хист інформації в автоматизованих системах» та відповідними нор­мативними актами Національного банку України. У разі необхід­ності Служба захисту інформації НБУ надає арбітражні послуги банкам — учасникам системи електронних платежів.

З досвіду експлуатації СЕП можна зробити висновок, що Служба захисту інформації НБУ, організована на існуючих принципах її по­будови, забезпечує достатній рівень безпеки в СЕП.

Система безпеки в СЕП включає цілий комплекс технологічних та бухгалтерських засобів контролю здійснення платежів у СЕП. Ці засоби контролю вбудовані у програмне забезпечення, вони не мо­жуть бути усунені, а в разі виникнення нестандартної ситуації або підозри на несанкціонований доступ до платежів негайно інформу­ють працівників РРП та ЦРП, що дає можливість оперативно втру­титися в таку ситуацію.

Однак застосування самих лише технологічних та бухгалтерсь­ких засобів контролю в СЕП є недостатнім для забезпечення захисту від можливих зловживань. До того ж автоматичне ведення протоко­лу виконуваних дій у системі платежів, у свою чергу, має супровод­жуватися захистом цього протоколу від підробки та модифікації. Усі ці вимоги можуть бути виконані тільки за допомогою програм­них та апаратних засобів шифрування банківської інформації. Ши­фруванню підлягають усі файли, що передаються між АРМ СЕП, тобто пакети відповідних платіжних документів, квитанції на них, всі інші технологічні файли. Іншими словами, перед відправленням із банківської установи всі платіжні документи СЕП обробляються апаратними або програмними засобами захисту інформації, які забез­печують виконання низки вимог безпеки інформації в СЕП, а саме:

закритість інформації, яка пересилається (повідомлення не може бути прочитане ніким, крім адресата);

цілісність (будь-яке, випадкове або зловмисне, викривлення повідомлення на етапі передавання буде виявлене під час приймання);

автентичність відправника (під час приймання однозначно визначається, хто відправив конкретне повідомлення).

Основу захисту інформації в СЕП становить алгоритм шифру­вання із закритими симетричними ключами (ГОСТ 28147-89). Він характеризується високою стійкістю до дешифрування, але водно­час висуває високі вимоги до процедури транспортування та збері-

гання закритих ключів, секретність яких і визначає реальну стій­кість системи шифрування загалом. Для забезпечення секретності ключів під час їхнього транспортування, зберігання та використання застосовується комплекс технологічних і організаційних заходів.

Основними засобами захисту інформації в СЕП є апаратні засо­би. У них секретність ключів забезпечується технологічно. Резерв­ним засобом захисту в СЕП є програмне шифрування, яке реалізує такий самий алгоритм шифрування.

Транспортування, зберігання та використання програм захисту мають відповідати вимогам, які висуваються до інформації з грифом «Банківська таємниця». Задоволення цих вимог забезпечується ор­ганізаційними заходами (транспортування фельд'єгерською пош­тою, суворий облік, робота в спеціальних приміщеннях тощо). Крім того, програмні засоби шифрування виготовляються на пункті гене­рації ключів НБУ адресно, для конкретного банку — учасника СЕП, і використання їх іншими банками буде негайно помічено системою захисту, а відтак дана інформація не буде прийнята до оброблення.

Під час криптування банківської інформації ведеться шифрова­ний архів банківських платежів, де зберігаються всі зашифровані та відправлені, а також одержані та дешифровані платежі. Дешифру­вання повідомлень архіву можливе лише за наявності ключа, яким володіє служба захисту електронних банківських документів Націо­нального банку. Наприкінці робочого дня цей шифрований архів обов'язково переписується на гнучкі магнітні носії. Такий архів ви­користовується для надання інформаційно-арбітражних послуг від­повідно до «Положення про інформаційно-арбітражні послуги служ­би захисту електронних банківських документів в СЕП».

Арбітражна версія апаратно-програмного комплексу криптогра­фічного захисту дає змогу службі захисту електронних банківських документів Національного банку за наявності копій шифровано­го архіву банківської установи — учасника СЕП дешифрувати всі повідомлення з цього архіву та з абсолютною достовірністю ви­значати:

ім'я абонента, який відправив (зашифрував) електронний платіжний документ;

ім'я абонента, якому адресовано електронний платіжний до­кумент;

дату, годину та хвилину, коли виконувалося шифрування електронного платіжного документа;

— дату, годину та хвилину, коли та ким виконувалося дешифру­вання електронного платіжного документа.

Під час використання апаратних засобів захисту додатково ви­значається:

— номер апаратури захисту, на якій виконувалося шифрування (дешифрування) електронного платіжного документа;

— номер електронної картки, якою користувалися під час шиф­рування (дешифрування) електронного платіжного документа.