Рекомендации по обеспечению безопасности при работе в системе «ДБО BS-Client»

PP3-IS-004

УТВЕРЖДЕНЫ

Приказом

Банк»

от __.__. 2014 г. №_____

СОГЛАСОВАНЫ

Начальник Отдела

Информационнойбезопасности

___________________

« »_____________2014 г.

РЕКОМЕНДАЦИИ

по обеспечению безопасности при работе в системе «ДБО BS-Client»

Москва

2014

В последнее время участились попытки неправомерного получения персональной информации пользователей систем дистанционного банковского обслуживания (паролей, учетных записей и т. д.).

Для снижения риска потерь при работе в системе «ДБО BS-Client» просим Вас:

1.  Никогда не передавайте третьим лицам информацию, которую они могут использовать для несанкционированного доступа к Вашим данным, хранящимся в системе дистанционного банковского обслуживания, и исключить иные возможности получения указанной информации третьими лицами, в том числе сотрудниками банка;

2.  Не храните пароль на вход в систему «ДБО BS-Client» непосредственно на компьютере;

3.  Обязательно меняйте пароль доступа к системе «ДБО BS-Client», при появлении соответствующего сообщения-подсказки от системы;

4.  Извлекайте из компьютера накопитель, на котором хранятся секретные ключи, сразу после завершения работы в системе и не записывать на носитель, содержащий секретный ключ, какую либо другую информацию

5.  Осуществляйте информационное взаимодействие с Банком только с использованием средств связи, реквизиты которых оговорены в документах, получаемых непосредственно от Банка или иных официальных информационных источниках (особенно при использовании электронной почты);

6.  Незамедлительно информируйте Банк при возникновении подозрений о компрометации пароля на вход в систему или осуществлении попытки несанкционированного доступа к системе «ДБО BS-Client» под Вашей учетной записью;

7.  Устанавливайте новые версии операционных систем и своевременно устанавливайте обновления к ним, устраняющие обнаруженные ошибки. Также регулярно обновляйте пользовательское программное обеспечение для работы в сети, такое как интернет-браузер, почтовые программы, устанавливая последние обновления на них;

8.  Используйте современные средства обеспечения информационной безопасности при работе в сети интернет (антивирусное программное обеспечение, персональные межсетевые экраны и т. п.);

9.  Никогда не устанавливайте и не сохраняйте без предварительной проверки антивирусом файлы, полученные из ненадежных источников: скачанные с неизвестных сайтов, полученные по электронной почте. Обращайте внимание на расширение файла. Вредоносные файлы часто маскируются под обычные графические, аудио и видеофайлы. Для того, чтобы видеть настоящее расширение файла, обязательно включите в системе режим отображения расширений файлов. Подозрительныесообщениялучшенемедленноудалять.

10.  Привлекайте специалистов должной квалификации для настройки работы компьютера с которого осуществляется работа с системой «ДБО BS-Client» и установки/настройки антивирусного программного обеспечения на нём, устанавливать и запускать только программное обеспечение заслуживающее доверие;

11.  При плановом длительном неиспользовании системы «ДБО BS-Client» блокируйте работу ПК на котором она установлена;

12.  Сотрудничайте с Банком в принятии последним мер, направленных на минимизацию рисков при дистанционном банковском обслуживании, в том числе выполнять рекомендации банка, касающиеся обеспечения безопасности работы в системе «ДБО BS-Client».

13.  Принимайте меры по исключению несанкционированного доступа в помещения, в которых размещены рабочие места с системой «ДБО BS-Client», посторонних лиц, по роду своей деятельности, не являющихся персоналом, допущенным к работе в этих помещениях.

Следует помнить и учитывать, что большинство случаев хищения ключей и паролей осуществляются:

1.  Лицами, имевшими доступ к компьютеру Клиента, с которого осуществлялась работа в системе дистанционного банковского обслуживания;

2.  Злоумышленниками, путем заражения через сеть Интернет, компьютеров Клиентов программами, содержащими вредоносный код с последующим хищением учетных данных и паролей Клиентов (необходима установка программного обеспечения, предназначенного для безопасной работы в сети Интернет, его правильная настройка и контроль функционирования, в том числе своевременное обновление операционной системы, антивирусных баз и модулей, другого установленного программного обеспечения, реализующего функции защиты информации):

3.  С помощью фишинга - вид хищения персональных данных через Интернет. При этом используются электронная почта и мошеннические веб-сайты, которые создаются для похищения личной информации, такой как номера кредитных карт, паролей, данных учетной записи или другой информации. Мошенники могут рассылать одновременно большое количество мошеннических сообщений электронной почты со ссылками на мошеннические веб-сайты под видом сообщений с веб-сайтов, вызывающих доверие у пользователя, например из банка или компании кредитной карты, с требованием предоставить личную информацию. Преступники могут использовать эту информацию для различного вида мошенничества, например для кражи денег с вашего счета, открытия новых счетов на ваше имя или для получения официальных документов, используя ваши личные данные. Фишинговые сообщения электронной почты могут принимать различные формы:

-  Они могут представляться как сообщения от банковских или финансовых учреждений, компании, с которой вы регулярно работаете, например Microsoft, или с сайта социальных сетей.

-  Они также могут выглядеть как сообщения от контактов из вашей адресной книги электронной почты.

-  В сообщениях может быть просьба позвонить по телефону. Фишинговые схемы мошенничества направлены на то, чтобы заставить позвонить по определенному номеру телефона, где отвечающий абонент или автоответчик ждет, пока вы не сообщите номер счета, PIN-код, пароль или другие ценные личные данные.

-  Эти сообщения также могут содержать логотипы, похожие на официальные, а также другие идентификационные данные, взятые непосредственно с законных веб-сайтов. Кроме того, они также могут содержать убедительные данные из личной истории, которые мошенники нашли на ваших страницах в социальных сетях.

-  Они также могут содержать ссылки на обманные веб-сайты, где просят ввести личную информацию.

-  Киберпреступники используют веб-адреса, которые напоминают названия известных компаний, но слегка изменяют его, добавляя, опуская или перенося буквы.

Если вы считаете, что получили фишинговое сообщение:

-  Не переходите по ссылкам в сообщениях электронной почты;

-  Вводите адрес непосредственно в браузере или используйте личные закладки;

-  Не вводите личные или финансовые данные во всплывающих окнах.

-  Постоянно обновляйте программное обеспечение на компьютере и устанавливайте обновления для системы безопасности.

Информацию о новых разновидностях вредоносного кода, угрожающих безопасности клиентских автоматизированных рабочих мест систем дистанционного банковского обслуживания, способах защиты от их воздействия и устранения последствий такого воздействия можно получить путем периодического мониторинга сетевых ресурсов по данной тематике, таких как:

1.  Сайты компаний – разработчиков средств защиты от вредоносного кода(www. , www. /ru/, ru. /antivirus/,blog. kaspersky. ruи др.);

2.  Портал безопасности компании Microsofthttp://www. /security/

3.  Тематические интернет-сообщества (bankir. ru, habrahabr, banki. ru)

Со своей стороны Банк полностью осознаёт необходимость принятия адекватных мер по обеспечению безопасности работы клиентов с системой «ДБО BS-Client» и делает всё возможное для вашей безопасности, уверенности и спокойствия.