सेंट्रल बैंक ने ईबीएस के क्रिप्टोग्राफिक संरक्षण पर सिफारिशें प्रकाशित कीं

EBS। निचला दायां - फिंगरप्रिंट स्कैनर

रूसी बैंक एकीकृत बॉयोमीट्रिक सिस्टम (ईबीएस) से जुड़े हुए हैं और अपने ग्राहकों से बायोमेट्रिक डेटा एकत्र करना शुरू करते हैं। जानकारी रोस्टेलकॉम द्वारा प्रबंधित एक एकल केंद्रीकृत डेटाबेस में संग्रहीत है। उदाहरण के लिए, Sberbank ने हाल ही में बताया कि उसने अपनी 20% शाखाओं में बायोमेट्रिक डेटा एकत्र किया।

यद्यपि ईबीएस में बायोमेट्रिक डेटा एकत्र करने, प्रसंस्करण और संचार करने की प्रक्रिया को लंबे समय से विनियमित किया गया है, केंद्रीय बैंक ने इस जानकारी को केवल 14 फरवरी, 2019 को कैसे संरक्षित किया जाए, इस बारे में दिशानिर्देश प्रकाशित किए ।

सेंट्रल बैंक ने सिफारिश की है कि बैंकों को क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों की मदद से बैंकों को सूचना संरक्षण प्रदान किया जाता है जो एफएसबी के आदेश द्वारा अनुमोदित विनियमन पीसीजेड -2005 का अनुपालन करते हैं। यह प्रावधान क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों (क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण) के विकास और उत्पादन को विस्तार से नियंत्रित करता है, जिसमें शामिल हैं:

• एन्क्रिप्शन उपकरण;
  
• नकल से सुरक्षा के साधन;
  
• इलेक्ट्रॉनिक डिजिटल हस्ताक्षर के साधन;
  
• एन्कोडिंग उपकरण;
  
• प्रमुख दस्तावेजों के उत्पादन के साधन;
  
• मुख्य दस्तावेज।

इसके अलावा, सेंट्रल बैंक ने बायोमेट्रिक व्यक्तिगत डेटा एकत्र करने और ईबीएस में रोस्टेलकॉम को प्रसारित करने की प्रक्रिया में सूचना सुरक्षा उपायों के साथ-साथ घटनाओं की अनिवार्य रिपोर्टिंग के लिए आवश्यकताओं का वर्णन किया है।

विशेष रूप से, जानकारी एकत्र करने की प्रक्रिया में सूचना सुरक्षा सुनिश्चित करने के लिए, यह KB से कम नहीं वर्ग के क्रिप्टोग्राफिक सूचना सुरक्षा प्रणालियों का उपयोग करने की सिफारिश की जाती है, जिसमें KB2 से कम नहीं वर्ग के इलेक्ट्रॉनिक हस्ताक्षर के साधन शामिल हैं।

बैंक किसी भी समाधान के साथ काम कर सकते हैं - अपने स्वयं के उत्पादन, मानक समाधान या बादल। उनमें से प्रत्येक के लिए सिफारिशें लिखी गई हैं। उदाहरण के लिए, यदि आप अपने स्वयं के समाधान का उपयोग करते हैं, तो यह प्रदान करने की सिफारिश की जाती है:

• रूस के संचार मंत्रालय (एफएसबीआई रिसर्च इंस्टीट्यूट "Voskhod") द्वारा मान्यता प्राप्त एक प्रमाणन केंद्र द्वारा बनाए गए बैंक के इलेक्ट्रॉनिक हस्ताक्षर को सत्यापित करने के लिए एक कुंजी का एक योग्य प्रमाण पत्र प्राप्त करना, केवी 2 से कम नहीं वर्ग के प्रमाणन केंद्र के साधनों का उपयोग करना;
  
• क्रिप्टोग्राफ़िक सुरक्षा सॉफ़्टवेयर और हार्डवेयर मॉड्यूल (HSM) को एम्बेड करना, कम से कम KV (इलेक्ट्रॉनिक हस्ताक्षर का मतलब कम से कम KV2 की एक कक्षा के साथ) के साथ एक क्रिप्टोग्राफ़िक सूचना सुरक्षा प्रणाली के रूप में प्रमाणित होता है, सॉफ्टवेयर के लिए परिचालन प्रलेखन में निर्धारित आवश्यकताओं के अनुसार व्यक्तियों के बायोमेट्रिक व्यक्तिगत डेटा को संसाधित करने के लिए उप-प्रणाली में। क्रिप्टोग्राफ़िक संरक्षण हार्डवेयर मॉड्यूल (HSM), इन-हाउस, रूस के FSB से उचित लाइसेंस के साथ, या तीसरे पक्ष के संगठनों द्वारा, जिनके पास रूस के FSB से संबंधित लाइसेंस है;
  
• एक सूचना प्रणाली के कामकाज के लिए एक विश्वसनीय वातावरण का निर्माण और उपयोग जो एक सॉफ्टवेयर और हार्डवेयर क्रिप्टोग्राफिक सुरक्षा मॉड्यूल (HSM) के साथ बातचीत (प्रपत्र कॉल) एचएफ से कम प्रमाणित नहीं है, जो व्यक्तियों के बायोमेट्रिक व्यक्तिगत डेटा वाले यूके के संदेशों पर हस्ताक्षर करने की प्रक्रिया में है, यूके ने क्रिप्टोग्राफिक सूचना सुरक्षा वर्ग द्वारा कार्यान्वित किया है। KB से कम नहीं (KB2 से कम नहीं वर्ग के इलेक्ट्रॉनिक हस्ताक्षर के माध्यम से)।

बदले में, विश्वसनीय वातावरण चाहिए:

• एक उपयुक्त OS पर काम करना (जो कक्षा AK3 में FSB की आवश्यकताओं को पूरा करता है) या 3rd सुरक्षा वर्ग और नियंत्रण के दूसरे स्तर के लिए राज्य तकनीकी आयोग की आवश्यकताओं को पूरा करता है;
  
• रूस के FSTEC द्वारा प्रमाणित फायरवॉल लागू करें, कम से कम 3rd सुरक्षा वर्ग के फ़ायरवॉल के प्रकारों की आवश्यकताओं के अनुपालन के लिए, VVK से SZI का उपयोग सूचना प्रणाली सर्वर (प्रकार "B") पर उपयोग करने के लिए और आवश्यकताओं के अनुपालन के लिए FSTEC द्वारा रूस के लिए प्रमाणित। 2 वें सुरक्षा वर्ग से कम नहीं के एंटीवायरस उत्पाद;
  
• सॉफ्टवेयर, सॉफ्टवेयर, हार्डवेयर या हार्डवेयर की आवश्यकताओं के अनुपालन के लिए रूस के FSTEC द्वारा प्रमाणित कंप्यूटर हमलों के खिलाफ सुरक्षा लागू करें, जैसे कि कम से कम 3 सुरक्षा वर्ग की "घुसपैठ का पता लगाने वाली प्रणाली";
  
• क्रिप्टोग्राफिक सुरक्षा (HSM) हार्डवेयर और सॉफ्टवेयर मॉड्यूल, विश्वसनीय बूट स्तर विस्तार कार्ड के हार्डवेयर और सॉफ्टवेयर मॉड्यूल के साथ इंटरेक्ट सूचना प्रणाली में लागू होते हैं, जो क्लास 2 में कंप्यूटर विश्वसनीय लोडिंग के हार्डवेयर और सॉफ्टवेयर मॉड्यूल की आवश्यकताओं के अनुपालन के लिए रूस के FSTEC द्वारा प्रमाणित विश्वसनीय बूट स्तर विस्तार कार्ड के हार्डवेयर और सॉफ्टवेयर मॉड्यूल हैं। संरक्षण;
  
• अनुप्रयोग सॉफ़्टवेयर का उपयोग करें जो अघोषित क्षमताओं की अनुपस्थिति के लिए परीक्षण किया गया है और अघोषित सुविधाओं की अनुपस्थिति के लिए नियंत्रण के 4 वें स्तर को पूरा करता है या सूचना सुरक्षा आवश्यकताओं के अनुपालन के लिए रूस के FSTEC के प्रमाणन प्रणाली में प्रमाणित है, जिसमें कमजोरियों के विश्लेषण के लिए आवश्यकताओं और अघोषित सुविधाओं की अनुपस्थिति के नियंत्रण सहित या जिसके लिए विश्लेषण किया गया है। विश्वास के अनुमानित स्तर के लिए आवश्यकताओं के अनुसार कमजोरियां OUD 4 से कम नहीं हैं।

एक विश्वसनीय वातावरण एक विशेष एडेप्टर का उपयोग करके बनाया जा सकता है जो बैंक के सूचना बुनियादी ढांचे और क्रिप्टोग्राफिक संरक्षण (एचएसएम) के हार्डवेयर-सॉफ्टवेयर मॉड्यूल और उपरोक्त विवरण के अनुरूप सूचना और प्रौद्योगिकी बातचीत प्रदान करता है, सेंट्रल बैंक अनुमति देता है।

शायद, अब नागरिक शांत हो सकते हैं कि ईबीएस प्रणाली में उनके बायोमेट्रिक डेटा को मज़बूती से संरक्षित किया गया है।