Безопасность и сертификация банковского ПО

Конференция «Разработка ПО 2011» CEE-SECR 2011. Центр Digital October, Москва, 31 октября – 3 ноября.Безопасность и сертификациябанковского ПО: две стороныодной медалиАлексей Бабенкостарший аудитор, PA-QSA, PCI QSA

Актуальностьпроблемы

Актуальность проблемы: что интересует злоумышленника? 2 % 2% 3% 8% Данные платежных карт Служебная информация Коммерческая тайна Данные аутентификации 85% Персональные данныеПо данным Global Security Report 2011, Trustwave

Актуальность проблемы: нас это не касается?Вырезка из Global Security Report 2011, Trustwave

Актуальность проблемы: преступники 21 века

Особенности банковских систем:Особенностибанковских систем

Особенности банковских систем:Неограниченный доступ к системеиз сети Интернет для большинствасистем

Особенности банковских систем:Работа с платежнойинформацией

Особенности банковских систем:Большое и динамичноменяющееся количествопользователей

Особенности банковских систем:Ориентировка на любой уровеньИБ-грамотности пользователя

Особенности банковских систем:Собственные разработки безучета практик безопасногопрограммирования

Особенности банковских систем:ТОП менеджеры, на которыхне распространяются требованиябезопасности

Особенности банковских систем Тип ПО: Клиент. Корп. Практически неограниченный доступ к системе из сети Интернет Работа с платежной информацией Большое и динамично меняющееся количество пользователей Ориентировка на любой уровень ИБ- грамотности пользователя Собственные разработки без учета практик безопасного программирования ТОП менеджеры, на которых нераспространяются политики безопасности

Риски банков при компрометации ПО• Прямые финансовые потери;• Уменьшение клиентской базы, снижение уровня доверия клиентов;• Отказ клиентов от использования сервисов;• Нарушение требований и штрафы от регуляторов;• Ухудшение имиджа банка.

Особенности банковских систем:Процесс обеспечениябезопасности ПО

Основные процессы обеспечения безопасности ПО• Процесс безопасного программирования, тестирования и анализа кода;• Проверки с использованием автоматизированных средств, «ручные» проверки;• Процесс обеспечения ИБ для окружения приложений, разработка необходимых инструкций

Аудит безопасности ПОАнализ уровня Формирование Устранение Контрольбезопасности плана несоответствий исправлениясистемы найденных уязвимостей — техническая документация, схемы сети — исходные коды — конфигурации системных компонентов — тестовый доступ

Особенности банковских систем:Payment ApplicationData Security Standard

PA-DSS: краткая информация• Основная цель – поддержка реализации PCI DSS• Дата рождения: апрель 2008• Разработчик – PCI Security Standards Council• Ориентирован на разработчиков платежных приложений• Форма подтверждения соответствия – сертификация• Требование к сертифицирующей компании – статус PA-QSA• Актуальная версия – 2.0

PA-DSS: что сертифицировать?• ПО подлежит сертификации, если: – Обрабатывает номера карт (PAN) в рамках авторизации/расчетов; – Разрабатывается на продажу, не является разовой заказной разработкой.• Основные виды сертифицируемого ПО: – ПО процессинга (front-office, back-office (расчеты), middleware/switching); – ПО для банкоматов; – ПО для POS-терминалов; – ПО для поддержки электронной коммерции; – ПО мобильной коммерции.

PA-DSS: требования стандарта Сертифицируемое приложение Компания-разработчикИсключение хранения Формализация процессакритичных данных карт (TRACK, разработки с учетом вопросовCVC2/CVV2, PIN/PIN-BLOCK); ИБ;Безопасное хранение и Практики безопасногопередача номеров платежных программирования;карт; Тестирование приложения;Контроль доступа и Анализ кода;протоколирование событий; Мониторинг уязвимостей платформ и тестирование совместимости с патчами;Возможность встраивания в PCI Руководство по выполнениюDSS Compliant инфраструктуру. требований стандарта PA-DSS.

PA-DSS: истории успеха• Три программных обеспечения, сертифицированных ЗАО НИП «Информзащита», получили статус PA-DSS• Новые сертификации уже на подходе.

Особенности банковских систем:Соответствие==безопасность?

Спасибо за внимание.Вопросы?Алексей Бабенкостарший аудитор, PA-QSA, PCI QSAa.babenko@infosec.ru+7 (495) 980-23-45 доп.458www.infosec.ruarekusux.blogspot.com

Безопасность и сертификация банковского ПО

by Alex Babenko on Nov 01, 2011

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 553

Statistics

Безопасность и сертификация банковского ПО — Presentation Transcript