Подходы к обеспечению информационной безопасности

При реализации проекта по введению ЦВЦБ фокус внимания со стороны Банка России в области информационной безопасности должен быть направлен на создание доверенной среды, которая будет обеспечиваться за счет применения безопасных технологий и своевременного выявления и устранения возможных уязвимостей в технологии обращения ЦВЦБ и компонентах инфраструктуры ЦВЦБ. Одной из основных целей при управлении рисками информационной безопасности необходимо считать обеспечение доверия потребителей к используемым технологиям.

Необходимый уровень доверия должен быть обеспечен на всех этапах жизненного цикла ЦВЦБ: безопасная разработка, проектирование, внедрение, сопровождение и использование технологии конечными потребителями. Должна проводиться постоянная актуализация уровней рисков нарушения информационной безопасности для компонентов экосистемы и векторов атак - с последующим совершенствованием механизмов защиты и внедрением новых технологий безопасности.

При этом выбор технологии реализации платформы обусловит выбор методов обеспечения информационной безопасности.

Централизованная система в значительной степени может быть реализована на уже известных и апробированных технологиях и инструментах информационной безопасности и киберустойчивости, требования к которым закреплены в законодательных, нормативных актах, стандартах и рекомендациях, в том числе разработанных Банком России (для кредитно-финансовой отрасли в целом и платежных систем в частности). Можно сказать, что профессиональная среда готова к разработке максимально эффективных решений и механизмов защиты онлайн-операций в централизованных системах.

Децентрализованная и гибридная схемы, использующие технологии распределенных реестров, потребуют разработки новых технологий информационной безопасности или переосмысления, анализа и научно-технической проработки применения уже имеющихся. В силу распределенного характера систем необходимо учесть возможные угрозы, относящиеся не к конкретному пользователю, а к системе в целом, например связанные с реализацией компьютерных атак на инфраструктуру оператора, владельца узла или владельца кошелька.