ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ ПИСЬМО от 24 марта 2014 г. N 49-Т О РЕКОМЕНДАЦИЯХ ПО ОРГАНИЗАЦИИ ПРИМЕНЕНИЯ СРЕДСТВ ЗАЩИТЫ ОТ ВРЕДОНОСНОГОКОДА ПРИ ОСУЩЕСТВЛЕНИИ БАНКОВСКОЙ ДЕЯТЕЛЬНОСТИ В связи с участившимися случаями воздействия на программное обеспечение компьютеров, банковских автоматизированных систем и информационно-телекоммуникационных сетей кредитных организаций, осуществляемого с применением вредоносного кода, следствием которого является нарушение их функционирования и финансовые потери кредитных организаций и их клиентов, в целях защиты интересов кредиторов и вкладчиков, а также повышения качества управления в кредитных организациях банковскими рисками (операционным, правовым, стратегическим, риском потери деловой репутации (репутационным риском) и риском ликвидности) Банк России направляет
участник информационного обмена - орган исполнительной власти субъекта Российской Федерации; - [localGov] - участник информационного обмена - орган местного самоуправления; - [LEA] - правоохранительные органы. Операторы связи: - [MO] - участник информационного обмена - оператор сотовой связи; - [ISP] - участник информационного обмена - интернет-провайдер; Разработчики программного обеспечения: - [devBANK] - участник информационного обмена - разработчик прикладного программного обеспечения для финансовой (банковской) деятельности; - [devVIRUS] - участник информационного обмена - разработчик средств защиты от воздействия вредоносногокода (далее - средств от BBK); - [devOTHER] - участник информационного обмена - иной разработчик программного обеспечения. Иностранные организации: - [FNB] - участник информационного обмена - иностранный центральный (национальный) банк; - [FB] - участник информационного обмена - иностранный банк; - [FOTHER] - участник информационного обмена - иная иностранная организация. Центры компетенции по противодействию киберугрозам: - [CERTRUS] - участник информационного обмена - российский центр по противодействию киберугрозам; - [CERTINT] - участник информационного обмена -
от 14.08.2014 N 3361-У. (см. текст в предыдущей редакции) 2.6.8. Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают принятие мер, направленных на предотвращение хищений носителей защищаемой информации. 2.6.9. Оператор по переводу денежных средств обеспечивает возможность приостановления (блокирования) клиентом приема к исполнению распоряжений об осуществлении переводов денежных средств от имени указанного клиента. 2.7. В состав требований к обеспечению защиты информации при осуществлении переводов денежных средств, применяемых для защиты информации от воздействия вредоносногокода , включаются следующие требования. 2.7.1. Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают: использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры (далее - технические средства защиты информации от воздействия вредоносного кода), на средствах вычислительной техники, включая банкоматы и платежные терминалы, при наличии технической возможности; регулярное обновление версий технических средств защиты информации от воздействия вредоносного
согласованы со службой информационной безопасности Клиента. 1.2.3. Документы, указанные в пункте 1.2.2 настоящего приложения, должны определять порядок обеспечения защиты информации и предусматривать меры по обеспечению защиты информации на всех стадиях создания, эксплуатации (использования по назначению, технического обслуживания и ремонта), модернизации, снятия с эксплуатации объектов информационной инфраструктуры участка обмена с СПФС. 1.2.4. Клиент должен обеспечивать выполнение требований эксплуатационной документации на системы защиты информации от несанкционированного доступа (далее - СЗИ от НСД), СКЗИ, средства защиты от воздействий вредоносногокода (далее - СЗ от ВВК) в течение всего срока их эксплуатации, в том числе при установке и настройке, а также обеспечить восстановление указанных технических средств защиты информации в случаях сбоев и (или) отказов в их работе. 1.3. Требования к защите информации при физическом доступе к участку обмена с СПФС. 1.3.1. Клиент осуществляет контроль физического доступа к объектам информационной инфраструктуры в целях предотвращения физического воздействия на средства вычислительной техники, применяемые для формирования, обработки,
функционирование ИСПДн, до уничтожения ПДн и программного обеспечения ИСПДн) и могут действовать во всех видах программного обеспечения (системного, прикладного, в драйверах аппаратного обеспечения и т.д.). Наличие в ИСПДн вредоносных программ может способствовать возникновению скрытых, в том числе нетрадиционных каналов доступа к информации, позволяющих вскрывать, обходить или блокировать защитные механизмы, предусмотренные в системе, в том числе парольную и криптографическую защиту. Основными видами вредоносных программ являются: программные закладки; классические программные (компьютерные) вирусы; вредоносные программы, распространяющиеся по сети (сетевые черви); другие вредоносные программы, предназначенные для осуществления НСД. К программным закладкам относятся программы, фрагменты кода , инструкции, формирующие недекларированные возможности программного обеспечения. Вредоносные программы могут переходить из одного вида в другой, например, программная закладка может сгенерировать программный вирус, который, в свою очередь, попав в условия сети, может сформировать сетевого червя или другую вредоносную программу, предназначенную для осуществления НСД. Классификация программных вирусов и сетевых червей представлена на рисунке 14. Краткая характеристика основных вредоносных программ
часть из которых им не оспаривается, а также указано, что все операции по переводу денежных средств, включая оспариваемые, были выполнены с использованием одного IP-адреса и МАС-адреса, то есть с одного рабочего устройства истца, что истцом также не опровергнуто. Суд первой инстанции, оценив представленные доказательства в их взаимосвязи и совокупности в соответствии со статьей 71 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ), установив, что истцом не представлено доказательств установки на компьютере истца защиты от вредоносного кода и регулярного ее обновления, отсутствия вредоносного программного обеспечения на компьютере, доказательств соблюдения порядка хранения электронной подписи, доказательств изготовления спорных платежных поручений неустановленным лицом, уведомлений об утрате, хищении, несанкционированном копировании ключей клиентом в адрес Банка не направлялось до проведения спорных операций, проставленная в поручениях электронная подпись истца прошла необходимую проверку с положительным результатом и признана была корректной, подлинность электронной подписи клиента на спорных платежных поручениях подтверждается актом о признании (сертификатом) ключа проверки электронной подписи
экспертизы, системный блок ПЭВМ, представленный на экспертизу, не соответствует приложению № 5 к договору № 95 от 03.06.2013 «ТРЕБОВАНИЯ к программно-техническим средствам для проведения электронных расчетов», по параметрам, описанным в таблице № 10 заключения эксперта. На накопителе на жестких магнитных дисках (НЖМД) системного блока, представленного на экспертизу, имеются программы, используемые для удаленного администрирования и предположительно вредоносные программы. Свойства данных программ описаны в таблицах № 11-25 заключения. На жестком диске экспертом не обнаружены программы защиты от вредоносного кода (антивирусное программное обеспечение), экспертом были обнаружены удаленные каталоги и файлы антивирусной программы «DR Web», но однозначно утверждать, являлись ли они (файлы и каталоги) файлами антивирусной программы невозможно. Была ли включена эта программа, обновлялась ли она, насколько актуальные базы не представляется возможным узнать. Также была установлена программа для удаленного администрирования TeamViewer и эта программа содержит вредоносную динамическую библиотеку winmm.dll. Обновление операционной системы было 1 раз (01.03.2017). Осуществлялся доступ на потенциально опасные ресурсы, на которых
сетевого взаимодействия компьютера подсистемы «клиент» только с необходимым доверенным перечнем IP-адресов; организовать регулярное обновление безопасности программного обеспечения и операционной системы; выполнить комплекс организационных мероприятий по обеспечению информационной безопасности (настройка безопасности операционной системы, ограничение прав доступа информационной системы, организация парольной защиты, подготовка процедур реагирования на инциденты); исключить появление в компьютере подсистемы «клиент» вирусов и других программ деструктивного действия, которые могут разрушить или модифицировать программное обеспечение подсистемы, скомпрометировать ключи пользователя системы посредством применения лицензионных средств защиты от вредоносного кода и регулярного их обновления. Как следует из платежных поручений (т. 2 л.д. 5-8), все они были даны с использованием дистанционного банковского обслуживания (ДВО) и подписаны электронной подписью клиента с использованием ETOKEN-GOST (диапазон, указанный в акте т. 1 л.д. 110 совпадает с диапазоном указанным в платежных поручениях). В соответствии с пунктом 2.3 Положения о правилах осуществления перевода денежных средств, утвержденных Центральным банком Российской Федерации 19.06.2012 № 383-П удостоверение права распоряжения денежными средствами при приеме
Истца. Согласно пункту 3.3. Приложения № 4 к Договору ИКБ (в редакции дополнительного соглашения от 29.11.2011) Клиент обязан обеспечить комплекс организационно-технических мер, направленных на выполнение требований безопасности, в том числе, исключить появление в компьютере подсистемы «Клиент» вирусов и других программ деструктивного действия, которые могут разрушить или модифицировать программное обеспечение подсистемы, скомпрометировать ключи Пользователя Системы, а также исключить компрометацию ключей в процессе их получения, транспортировки, эксплуатации и хранения. Каких-либо доказательств установки на компьютере Истца защиты от вредоносного кода и регулярного ее обновления, отсутствия вредоносного программного обеспечения на компьютере Истцом не представлено, как и доказательств соблюдения порядка хранения электронной подписи и отсутствия доступа третьих лиц к USB-токену. Напротив, в судебном заседании представитель Истца пояснил, что токен находился в распоряжении бухгалтера, а не генерального директора. Уведомление о Компрометации ключей (например, об утрате, хищении, несанкционированном копировании) не направлялось Клиентом Банку к моменту совершения оспариваемых операций. Таким образом, у Ответчика не имелось причин для отказа
сетевого взаимодействия компьютера подсистемы «Клиент» только с необходимым доверенным перечнем IР-адресов; организовать регулярное обновление безопасности программного обеспечения и операционной системы; выполнить комплекс организационных мероприятий по обеспечению информационной безопасности (настройка безопасности операционной системы, ограничение прав доступа информационной системы, организация парольной защиты, подготовка процедур реагирования на инциденты); исключить появление в компьютере подсистемы «Клиент» вирусов и других программ деструктивного действия, которые могут разрушить или модифицировать программное обеспечение подсистемы, скомпрометировать ключи пользователя системы посредством применения лицензионных средств защиты от вредоносного кода и регулярного их обновления. Как указывает ответчик, все операции истцом осуществлялись на 1 компьютере. ПАО «Росбанк», получив спорное распоряжение, после осуществления соответствующей проверки исполнил его, то есть отправил платеж в Банк получателя. Банк выполнил со своей стороны все, чтобы платежи проходили в безопасном, защищенном режиме, в том числе, идентифицировал плательщика по уникальным электронным характеристикам. Истцом не представлены доказательства, подтверждающие нарушение банком порядка исполнения поручения клиента. Отсутствие факта проверки либо ненадлежащей проверки электронной подписи
Согласно п.10.11. Условий Держатель обязуется ознакомиться с мерами безопасности и неукоснительно их соблюдать. Согласно п.9.20. Условий Держатель обязан исключить возможность использования третьими лицами мобильного телефона, номер которого используется для предоставления услуги «Мобильный Банк». Требования по информационной безопасности (Памятка по безопасности при использовании карт) находятся в общем доступе в отделениях Банка и на официальном сайте Банка. Указанные положения соответствуют требованиям, изложенным в письме Банка России от 24.03.2014 349-Т «О рекомендациях по организации применения средств защиты от вредоносного кода при осуществлении банковской деятельности»: Где прямо указано: - «Во избежание использования Вашей карты третьим лицом храните ПИН-код отдельно от карты исключив одновременный доступ к ним, не пишите ПИН-код на карте, не сообщайте ПИН-код другим лицам (в том числе родственникам), не вводите ПИН-код при работе в сети Интернет. При получении от Банка СМС-сообщения с одноразовым паролем внимательно ознакомьтесь с информацией в сообщении: все реквизиты операции в направленном Вам сообщении должны соответствовать той операции, которую
с использованием номера мобильного телефона держателя, в том числе, в случае использования мобильного телефона Держателя неуполномоченным лицом, а также за ущерб, возникший в следствии утраты или передачи Держателем собственного мобильного телефона неуполномоченным лицам. Требования по информационной безопасности (Памятка по безопасности при использовании карт) находятся в общем доступе в отделениях Банка и на официальном сайте Банка. Указанные положения соответствуют требованиям, изложенным в письме Банка России от 24.03.2014 349-Т «О рекомендациях по организации применения средств защиты от вредоносногокода при осуществлении банковской деятельности», где указано: - Во избежание использования Вашей карты третьим лицом храните ПИН-код отдельно от карты исключив одновременный доступ к ним, не пишите ПИН-код на карте, не сообщайте ПИН-код другим лицам (в том числе родственникам), не вводите ПИН-код при работе в сети Интернет. Передача банковской карты или ее реквизитов, идентификаторов и паролей, предназначенных для доступа и подтверждения операций в системе «Сбербанк ОнЛ@йн», другому лицу (в том числе работнику Банка) означает,
на счета карт, счета, вклады, обезличенные металлические счета, иные банковские продукты и услуги, открываемые или предоставляемые клиенту на определенной территории обслуживания банка. С использованием банковской карты клиент получает возможность совершать операции по своим счетам карт, счетам и вкладам в банке через удаленные каналы обслуживания. Требования по информационной безопасности находятся в общем доступе на сайте Банка. Указанные положения соответствуют требованиям, изложенным в письме Банка России от ДД.ММ.ГГГГ 49-Т «О рекомендациях по организации применения средств защиты от вредоносногокода при осуществлении банковской деятельности». ПАО Сбербанк обеспечивает необходимый уровень безопасности операций в дистанционных каналах обслуживания. Безопасность банковских систем постоянно совершенствуется с учетом актуальных рисков и угроз. Однако любые способы защиты систем Банка будут бессильны, если клиент самостоятельно не будет соблюдать правила безопасности. Банком пройдена сертификация программноаппаратных средств на предмет соответствия Стандарту безопасности данных индустрии платежных карт (PCI DSS), что подтверждается соответствующим Сертификатом. У Банка имелись основания полагать, что распоряжения на перевод денежных средств
операций с использованием банковской карты в банкомате, при безналичной оплате товаров и услуг, в том числе через сеть Интернет, включая размещение Памятки в местах обслуживания держателей банковских карт, в доступной для ознакомления форме. Требования по информационной безопасности (Памятка по безопасности при использовании карт) находятся в общем доступе в отделениях Банка и на официальном сайте Банка. Указанные положения соответствуют требованиям, изложенным в письме Банка России от 24.03.2014 349-Т «О рекомендациях по организации применения средств защиты от вредоносногокода при осуществлении банковской деятельности»: Где прямо указано: Храните свою карту в недоступном для окружающих месте. Не передавайте карту другому лицу, за исключением продавца (кассира). Рекомендуется хранить карту отдельно от наличных денег и документов, особенно в поездках. Во избежание мошенничества с использованием Вашей карты требуйте проведения операций с картой только в Вашем присутствии, не позволяйте уносить карту из поля Вашего зрения. Не прислушивайтесь к советам третьих лиц, а также не принимайте их помощь при
