Как анализ защищенности программного обеспечения помог Банку Синара выпустить надежный сервис по инвестициям

17 апреля 2024

Разработать функциональный ИТ-продукт для клиентов и сохранить высокий уровень информационной безопасности — сложная задача, которую приходится решать участникам банковской сферы. При этом требования к защите конфиденциальной информации сервисов, связанных с финансовыми операциями, регулируются не только требованиями бизнеса и лучшими практиками, но и на законодательном уровне и периодически дополняются. Согласно Положению Банка России № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента», кредитные организации должны обеспечить оценку программного обеспечения автоматизированных систем и приложений не ниже четвертого оценочного уровня доверия (ОУД4).

Одним из эффективных способов обеспечить высокий уровень информационной безопасности является экспертный анализ защищенности ПО и оценка его соответствия требованиям регулятора. На примере проекта для АО Банк Синара рассказываем, как оценка безопасности помогает банкам в выпуске новых безопасных цифровых продуктов.

Оценочный уровень доверия — это набор требований к защите информации программного обеспечения и процессам его разработки. ОУД показывает, насколько ПО реализует требования безопасности, описанные в ГОСТ Р ИСО/МЭК 15408.

Чтобы получить заключение о соответствии требованиям безопасности, банку необязательно обращаться во ФСТЭК России и проходить процедуру получения сертификата на отсутствие недекларируемых возможностей (обычно это долгий и трудозатратный процесс). Для оценки соответствия по ОУД4 можно воспользоваться услугами экспертной организации, у которой есть лицензия ФСТЭК России на право оказывать услуги по информационной безопасности.

Банк Синара разработал программное обеспечение «Синара Инвестиции» — современный цифровой продукт в виде web-версии и мобильного приложения для клиентов-физических лиц с полным функционалом для торговли на бирже. Банку необходимо было убедиться в его безопасности и соблюдении регуляторных требований, в том числе на соответствие ОУД4. Провести оценку защищенности ПО и сформировать необходимый пакет документов Банк Синара доверил Центру кибербезопасности УЦСБ, сертифицированному эксперту по ИБ.

В качестве первого этапа анализа ПО команда центра провела интервью с разработчиками сервиса и сотрудниками службы информационной безопасности Банка Синара. Это позволило определить точки входа в исследуемое программное обеспечение, провести оценку функций безопасности и процессов его разработки.

Далее эксперты центра приступили к оценке с целью установить наличие потенциальных уязвимостей — по сути, выполнили комплексный анализ защищенности, который включал как исследование исходного кода, так и тестирование на проникновение.

Главным результатом проведенной оценки защищенности на соответствие ОУД4 стало то, что программное обеспечение «Синара Инвестиции» подтвердило высокий уровень защищенности данных пользователей и успешно прошло проверку ЦБ РФ — новый цифровой ресурс стал работать для клиентов Банка Синара.