Управление программно-технического обеспечения

1. Некоммерческое партнерство«Национальный депозитарный центр» Актуальные вопросы обеспечения и развития технологий обмена электронными документами в СЭД НДЦ, криптографической защиты информации Управление программно-технического обеспечения Отдел развития и обеспечения электронного документооборота

2. Вопросы занятия: • Требования современного рынка ценных бумаг к обеспечению депозитарной деятельности на базе технологий обмена электронными документами. • Развитие электронного документооборота – основа для решения стратегических задач НДЦ. • Обеспечение и развитие процедур криптографической защиты информации в СЭД НДЦ. Организация выполнения требований регулирующих органов в вопросах безопасной эксплуатации СКЗИ

3. Требования современного рынка ценных бумаг к обеспечению депозитарной деятельности на базе технологий обмена электронными документами.

4. Для повышения надежности, оперативности и прозрачности инфраструктуры российского рынка ценных бумаг и, как следствие, повышения инвестиционной привлекательности российской экономики необходимо: • создание Центрального расчетного депозитария: 2 стороны (легальная, юридическая и технологическая); • разработка соответствующих законодательных актов о ЦД; • модернизация технологической платформы НДЦ с возможностью расширения спектра технологических операций до функционала, свойственного ЦД; • совершенствование и развитие ЭДО; • организация денежных расчетов

5. Функциональная модель, которая будет внедрена в рамках новой технологической платформы, позволит предоставлять следующие услуги: • расчеты в реальном времени; • проведение корпоративных действий; • компенсацию купонного дохода; • усовершенствованную отчетность; • предоставление публичной информации по рынку и ценным бумагам

6. Развитие электронного документооборота – основа для решения стратегических задач НДЦ

7. На основе анализа технологий учета и расчетов применяемых на российском и зарубежных рынках в НДЦ разработана бизнес-модель расчетного депозитария, как технологии нового поколения работы НДЦ Две стороны: Специфика Универсальность 1. учет специфики работы российского рынка ценных бумаг для того, чтобы российские инвесторы и проф. участники чувствовали себя в привычном мире 2. учет стандартов деятельности в этой области международных участников рынка и инвесторов для обеспечения прозрачности инфраструктуры • 1. обеспечение универсальности в работе бизнес-модели, что позволит реализовать любую схему или модель в зависимости от того, что будет прописано в Законе о ЦД • 2. способность взаимодействовать с различными торговыми системами

8. Основой новой технологической платформы НДЦ должны стать в том числе и новые технологии в организации и обеспечении функционирования ЭДО, обеспечении безопасности и защиты СЭД: • превращение электронной сегментированной в данное время инфраструктуры фин. рынка в единую гибкую систему информационного взаимодействия со своим правилами, форматами, взаимно-интегрированными программными средствами обработки и защиты информации ; • необходимость стандартизации форматов ЭД в интересах, прежде всего, обеспечения сквозной обработки ЭД ( straight through proceccing –STP); • законодательное закрепление возможности использования ЭДО между участниками рынка и легальности ЭД; • осуществление на первом этапе кросссертификации ключей ЭЦП, сертифицированных различными удостоверяющими центрами и создание или использование на втором этапе единого для всех участников фин. рынка удостоверяющего центра.

9. Общая схема ЭДО НДЦ Участники СЭД НДЦ Участники СЭД НДЦ НДЦ Система электронного документооборота Internet E-mail Internet E-mail Пользователи СЭД НДЦ СГД (СПО) WEB – сервер НДЦ Система «Корвет» Proxy (клиент) Internet (HTTP) Proxy (сервер НДЦ) SWIFT

10. Структурная схема СЭД НДЦ

11. Обеспечение и развитие процедур криптографической защиты информации в СЭД НДЦ. Организация выполнения требований регулирующих органов в вопросах безопасной эксплуатации СКЗИ

12. ОСНОВНЫЕ РИСКИ ЭДО отказ отправителя электронного документа, признать факт его отправки изготовление получателем фиктивного документа, реально не посланного ему отправителем, с попыткой выдать его за подлинный изменение электронного документа получателем с уведомлением отправителя, что он в таком виде его получил на самом деле перехват третьей стороной посланных электронных документов, их прочтение, изменение и последующее использование отправка электронного документа от чужого имени и за чужой подписью повторная отправка третьей стороной электронного документа, уже однажды посланного одним участником ЭДО другому

13. СОКРАЩЕНИЕ РИСКОВ ЭДО Достигается: 1. Строгим, точным и последовательным соблюдением Российского законодательства, требований ФСФР и ФСБ. 2. Лицензированием деятельности в области защиты информации. 3. Использованием сертифицированных средств защиты информации. 4. Комплексным применением программно-технических СКЗИ, организационных и правовых мер.

14. ИСПОЛЬЗОВАНИЕ СКЗИ В СЭД НДЦ Обеспечивает: конфиденциальность электронных документов проверку авторства и целостности электронных документов минимизацию рисков от несанкционированного доступа к информации в системе ЭДО цивилизованное правовое рассмотрение конфликтных ситуаций, которые могут возникнуть в процессе ЭДО

15. Изменены процедуры работы с СКЗИ на базе инфраструктуры открытых ключей (PKI) : • имеется возможность проводить криптообработку документов с ЭЦП как внутри файла, так и с подписью в отдельном файле; • появилась возможность пересылки эл. документов между Участниками ЭДО транзитом через НДЦ как в «открытом», так и в «закрытом» конвертах, т.е. конфиденциально, не допуская возможности прочтения документов в НДЦ; • создана автоматизированная система плановой (оперативной) замены криптографических ключей криптосессии НДЦ, в том числе и при компрометации криптографических ключей криптосессии. • создана процедура автоматического добавления (обновления) сертификатов ключей подписи любого Депонента (контрагента) НДЦ в локальный справочник сертификатов ПК «Справочник сертификатов» с использованием функций ПО УРМД «Луч»

16. Система «Корвет-ММВБ» предназначена для защиты данных (HTTP протокол), передаваемых между Интернет обозревателем (Browser) и Web сервером, от несанкционированного прочтения и модификации при передаче их через локальные и глобальные сети, в том числе и Internet. • защита включает в себя шифрование и электронную подпись; • использует ПКЗИ СЭД ММВБ; • состоит из клиентской части и серверной части.

17. Клиентская часть представляет собой клиентский модуль защиты (или локальный Proxy HTTP протокола), устанавливаемый (обычно) на один компьютер с Интернет обозревателем (Browser). Серверная часть представляет собой серверный модуль защиты (или серверный Proxy HTTP протокола), который может быть установлен как на один компьютер с Web сервером, так и на выделенном компьютере, размещенном рядом с Web сервером.

18. Особенности ПО «Корвет-ММВБ»: 1. Помимо шифрования НТТР-трафика между Browser и Web сервером система «Корвет-ММВБ» позволяет выполнять ЭЦП данных, передаваемых от клиента (Browser) на Web сервер. Данные подписываются на клиентском модуле защиты до зашифрования, а серверный модуль защиты после расшифрования проверяет эту подпись; 2. Реализована процедура передачи информации о каждом аутентифицированном клиенте на Web сервер. Для этого в каждый HTTP-запрос, передаваемый на Web сервер, серверный модуль защиты добавляет специальную переменную заголовка, в которую дописывает имя клиента («Subject name» из личного сертификата пользователя). Web мастер может использовать при создании Web сервера, защищенного системой «Корвет-ММВБ», это имя для разграничения доступа клиентов к ресурсам Web сервера; 3. Ведет журнал событий в удобном для просмотра формате; 4. На серверном модуле защиты возможна архивация (в файл) подписанных данных совместно с их ЭЦП.

19. Пользователь Депонента Доступ1 Клиентский Browser Открытый НТТР модуль (Microsoft Доступ 2 защиты протокол Internet Общая схема интерактивного доступа ( Proxy) Explorer) Транспорт НТТР Шифрованный (сеть протокол Internet) Система «Корвет» Доступ 1 Серверный Открытый НТТР Доступ 2 WEB - сервер модуль защиты НДЦ протокол ( Proxy) НДЦ

20. Структурнаясхема системы «Корвет-ММВБ»

21. Требования регулирующих органов по обеспечению безопасной эксплуатации СКЗИ: • Федеральный закон №1-ФЗ «Об Электронной цифровой подписи» от 10.01.2002 года; • Организационно-технические требования по обеспечению безопасности информации при ее защите по уровню КC1 (Требования ФСБ определяются условиями лицензирования, а также правилами эксплуатации СКЗИ); • «Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (Приказ ФАПСИ от 13.06.2001 №152).

22. Результаты плановых проверок в 2008 году В лучшую сторону: 1. среди филиалов – Сибирский филиал НДЦ (директор Колбин С.Е.; отв. за эксплуатацию СКЗИ – Бутаков А.В.); 2. Среди региональных представительств – РП на «ММВБ-Юг» (ген. Директор Тютюнник М.Н.; отв. за эксплуатацию СКЗИ – Хатющенко Г.В.) В худшую сторону: РП при СВМБ (отв. исполнитель Брус Е.Д.)

23. Основные недостатки, выявленные в ходе проверок: • По документации (отсутствуют или сделаны с ошибками): • приказ о назначении ответственного за эксплуатацию СКЗИ; • приказ о назначении комиссии по уничтожению СКЗИ; • инструкция ответственному за эксплуатацию СКЗИ; • инструкции пользователю СКЗИ; • инструкции по уничтожению СКЗИ.

24. Основные недостатки, выявленные в ходе проверок: 2. Учет криптоключей и СКЗИ осуществляется с нарушением требований руководящих документов: - журнал поэкземплярного учета СКЗИ не ведется (или ведется с большим количеством ошибок); - криптобиблиотеки «Верба-OW», ключи регистрации пользователей в журнале не учитываются; - ключи регистрации и рабочие криптоключи ответственного за эксплуатацию СКЗИ и отв. исполнителей хранятся на столе в открытом виде, но не в сейфе; - при уходе в отпуск ответственного за эксплуатацию СКЗИ криптобиблиотеки, журналы учета под роспись в журнале или по акту не передаются; - акты на уничтоженные СКЗИ и криптоключей часто не оформляются; - ключи, срок действия которых истек, планово в установленные сроки не уничтожаются.

25. Основные недостатки, выявленные в ходе проверок: • 3. Эксплуатация СКЗИ: • системные блоки компьютеров с установленными СКЗИ не учитываются установленным порядком и ответственным за эксплуатацию СКЗИ не опечатываются; • - файлы верификации СКЗИ на ПК не устанавливаются; • - на ПК с СКЗИ устанавливаются посторонние программы (игры); • - на дискеты с криптоключами записывается посторонняя информация.

26. Спасибо за внимание! Отдел развития и обеспечения электронного документооборота Контактный телефон : +7 (495) 956-09-34 E-mail: soed@ndc.ru