Инструменты пользователя

Инструменты сайта


examination:mszki:question50

Принципы защиты информации в системах электронных платежей

Электронной платежной системой называют совокупность методов и реализующих их субъектов, обеспечивающих в рамках системы использование банковских пластиковых карт в качестве платежного средства.

Пластиковая карта - это персонифицированный платежный инструмент, предоставляющий пользующемуся этой картой лицу возможность безналичной оплаты товаров и услуг, а также получения наличных средств в банковских автоматах и отделениях банков. Предприятия торговли и сервиса и отделения банков, принимающие карту в качестве платежного инструмента, образуют приемную сеть точек обслуживания карты.

При создании платежной системы одной из основных решаемых задач является выработка и соблюдение общих правил обслуживания карт, выпущенных входящими в платежную систему эмитентами, проведения взаиморасчетов и платежей. Эти правила охватывают как чисто технические аспекты операций с картами - стандарты данных, процедуры авторизации, спецификации на используемое оборудование и другие, так и финансовые аспекты обслуживания карт - процедуры расчетов с предприятиями торговли и сервиса, входящими в состав приемной сети, правила взаиморасчетов между банками и т.д.

С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли и сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы и специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые и коммуникационные центры, центры технического обслуживания и т.п.

Банк, заключивший соглашение с платежной системой и получивший соответствующую лицензию, может выступать в двух качествах - как банк-эмитент и как банк-эквайер. Банк-эмитент выпускает пластиковые карты и гарантирует выполнение финансовых обязательств, связанных с использованием этих карт как платежных средств. Банк-эквайер обслуживает предприятия торговли и сервиса, принимающие к оплате карты как платежные средства, а также принимает эти платежные средства к обналичиванию в своих отделениях и через принадлежащие ему банкоматы. Основными неотъемлемыми функциями банка-эквайера являются финансовые операции, связанные с выполнением расчетов и платежей точками обслуживания. Технические атрибуты деятельности банка-эквайера (обработка запросов на авторизацию; перечисление на расчетные счета точек средств за товары и услуги, предоставленные по картам; прием, сортировка и пересылка документов, фиксирующих совершение сделок с использованием карт и т.п.) могут быть делегированы эквайером процессинговым центрам.

В целях обеспечения безопасности операций платежной системы рекомендуется не превышать нижние лимиты сумм для различных регионов и видов бизнеса, по которым можно проводить расчеты без авторизации. При превышении лимитной суммы или в случае возникновения сомнения в личности клиента предприятие должно проводить процедуру авторизации. При авторизации предприятие фактически получает доступ к информации о состоянии счета клиента и может установить принадлежность карты клиенту и его платежную способность в размере суммы сделки. Одна копия слипа остается на предприятии, вторая передается клиенту, третья доставляется в банк-эквайер и служит основанием для возмещения суммы платежа предприятию со счета клиента.

В последние годы широкую популярность приобрели автоматизированные торговые POS-терминалы (Point-Of-Sale - оплата в точке продажи) и банкоматы. При использовании POS-терминалов нет необходимости в заполнении слипов. Реквизиты j пластиковой карты считываются с ее магнитной полосы на встроенном в POS-терминал считывателе. Клиент вводит в терминал свой PIN-код (Personal Identification Number - персональный идентификационный номер), известный только ему.

Элементы PIN-кода включаются в общий алгоритм шифрования записи на магнитной полосе и служат электронной подписью владельца карты. На клавиатуре POS-терминала набирается сумма сделки. Если сделка осуществляется в отделении банка и в ее процессе происходит выдача клиенту наличных денег, помимо банковских POS-терминалов может быть использован электронный кассир-банкомат. Конструктивно он представляет автоматизированный сейф со встроенным POS-терминалом. Терминал через встроенный модем обращается за авторизацией в соответствующую платежную систему. При этом используются мощности процессингового центра, услуги которого предоставляются торговцу банком-эквайером.

Выполнение банком-эквайером своих функций влечет за собой расчеты с банками-эмитентами. Каждый банк-эквайер осуществляет перечисление средств точкам обслуживания по платежам держателей карт банков-эмитентов, входящих в данную платежную систему. Поэтому соответствующие средства должны быть затем перечислены банку-эквайеру банками-эмитентами. Оперативное проведение взаиморасчетов между эквайерами и эмитентами обеспечивается наличием в платежной системе расчетного банка (одного или нескольких), в котором банки-члены системы открывают корреспондентские счета. На основании накопленных за операционный день протоколов транзакций процессинговый центр готовит и рассылает итоговые данные для проведения взаиморасчетов между банками-участниками платежной системы, а также формирует и рассылает банкам-эквайерам и непосредственно в точки обслуживания стоп-листы (перечни карточек, операции по которым по разным причинам приостановлены). Процессинговый центр может также обеспечивать потребности банков-эмитентов в новых картах, осуществляя их заказ на заводах и последующую персонализацию.

Особенностью продаж и выдач наличных по пластиковым картам является то, что эти операции осуществляются магазинами и банками «в долг», т.е. товары и наличные предоставляются клиентам сразу, а средства на их возмещение поступают на счета обслуживающих предприятий через некоторое время (не более нескольких дней). Гарантом выполнения платежных обязательств, возникающих в процессе обслуживания пластиковых карт, является выпустивший их банк-эмитент. Характер гарантий банка-эмитента зависит от платежных полномочий, предоставляемых клиенту и фиксируемых видом карточки.

По виду расчетов, выполняемых с помощью пластиковых карт, различают кредитные и дебетовые карты. Как кредитная, так и дебетовая карты могут быть не только персональными, но и корпоративными.

В последние годы все большее внимание привлекают к себе электронные платежные системы с использованием микропроцессорных карт. Принципиальным отличием микропроцессорных карт от всех перечисленных выше является то, что они непосредственно несут информацию о состоянии счета клиента, поскольку являются в сущности транзитным счетом. Все транзакции совершаются в режиме off-line в процессе диалога карта-терминал или карта клиента - карта торговца. Такая система является почти полностью безопасной благодаря высокой степени защищенности кристалла с микропроцессором и полной дебетовой схеме расчетов. Кроме того, хотя карта с микропроцессором дороже обычной, платежная система оказывается дешевле в эксплуатации за счет того, что в режиме off-line нет нагрузки на телекоммуникации.

Для обеспечения надежной работы электронная платежная система должна быть надежно защищена. С точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места:

 пересылка платежных и других сообщений между банком и клиентом и между банками;

 обработка информации внутри организаций отправителя и получателя сообщений;

 доступ клиентов к средствам, аккумулированным на счетах.

 Одним из наиболее уязвимых мест в системе электронных платежей является пересылка платежных и других сообщений между банками, между банком и банкоматом, между банком и клиентом.

Пересылка платежных и других сообщений связана со следующими особенностями:

 внутренние системы организаций отправителя и получателя должны быть приспособлены для отправки и получения электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);

 взаимодействие отправителя и получателя электронного документа осуществляется опосредовано - через канал связи. Эти особенности порождают следующие проблемы:

 взаимное опознавание абонентов (проблема установления взаимной подлинности):

 защита электронных документов, передаваемых по каналам связи (проблемы обеспечения конфиденциальности и целостности документов);

 защита процесса обмена электронными документами (проблема доказательства отправления и доставки документа);

 обеспечение исполнения документа (проблема взаимного недоверия между отправителем и получателем из-за их принадлежности к разным организациям и взаимной независимости).

Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты:

 управление доступом на оконечных системах;

 контроль целостности сообщения;

 обеспечение конфиденциальности сообщения;

 взаимная аутентификация абонентов;

 невозможность отказа от авторства сообщения;

 гарантии доставки сообщения;

 невозможность отказа от принятия мёр по сообщению;

 регистрация последовательности сообщений, контроль целостности последовательности сообщений.

examination/mszki/question50.txt · Последние изменения: 2014/01/15 12:20 (внешнее изменение)