Файл: Ведение расчетных операций. Раздел i. Основы организации расчетных операций.doc
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 22.11.2023
Просмотров: 655
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
1. Все существующие операции с наличностью могут быть с легкостью заменены на операции со смарт-картами, так как позволяют сохранить анонимность производимых операций (в случае автономных электронных кошельков).2. Централизованный контроль за системой и финансовыми трансакциями для всех элементов системы.3. Незначительная стоимость оборудования торгового терминала, отсутствие необходимости затрат на дополнительные средства коммуникации и независимость обслуживания системы от средств коммуникации.4. Отсутствие дополнительных затрат на эксплуатацию системы.5. Надежность использования. После занесения на смарт-карту всех данных клиента связь с базой данных происходит немедленно по предъявлению карты, что очень важно для городов, в которых отсутствуют современные телекоммуникационные средства.6. Портативность и автономность торгового терминала, обеспечивающие его широкое применение вплоть до мобильных пунктов обслуживания и торговых киосков.7. Возможность принимать оплату с карт в автоматических устройствах различного типа: автоматы по продаже сигарет, прохладительных напитков, телефонные автоматы, автомобильные стоянки и мойки, автосервис и т.д.8. Уменьшение административных расходов на каждом уровне и расходов на поддержание работы системы, осуществление трансакций, сокращение расходов на время обслуживания, линии связи.9. Улучшение и упрощение процедур взаиморасчетов.10. Существенное увеличение скорости всех операций.11. Существенное уменьшение расходов всех пользователей системы: держателей карт, торгующих организаций, головной фирмы — эмитента смарт-карт.12. Система защищена на всех уровнях и исключает целый рад рисков, присущих другим системам платежей (наличным, талонам, магнитным картам).13. За счет более быстрой оборачиваемости денежных средств уменьшить инфляцию и сократить расходы на поддержание обращения наличности.14. Снизить уровень криминогенности.15. Использовать платежные карты в других сферах (государственное страхование, медицинское обслуживание) как чисто идентификационные.Защита карты. Смарт-карта может быть произведена только промышленным путем и содержит уникальный код производителя. Если на вторую карту будут нанесены те же данные, что и на оригинале, то различие во внутренних номерах дает возможность системе отличить одну карту от другой.Информационные потоки в системах расчетов с использованием магнитных карт и смарт-карт.
В расчетах участвуют следующие стороны:- держатель карточки (клиент) — лицо, которому передается карточка для использования;- банк-эмитент — банк, осуществляющий эмиссию карточек;- банк-эквайрер (обслуживающий банк) — банк, осуществляющий обслуживание держателей карточек и расчеты с торговыми предприятиями за счет собственных средств;- предприятие торговли или сферы услуг (в документации международных платежных систем этого субъекта именуют мер- чант);- процессинговый центр — технологическая компания, обеспечивающая информационное взаимодействие между участниками системы.1 — предъявление держателем карты продавцу: проверяется внешний вид карты, логотип, срок действия; 2 — запрос возможности работы с картой; 3 — проверка платежеспособности клиента; 4 — подтверждение платежеспособности; 5 — передача торговых чеков в банк-эквайрер; 6 — расчеты с предприятиями торговли; 7 — взаиморасчеты между банками;8 — расчеты клиента с банком (кредитная карта; дебетовая карта).Таким образом, смарт-карты значительно упрощают и ускоряют процесс прохождения платежей, не требуют постоянного использования телекоммуникационных линий связи. Расчеты по картам не будут остановлены при неисправности центрального компьютера или других неполадках.К недостаткам подобной схемы, с точки зрения клиента, относятся:- увеличение срока между внесением средств на счет и поступлением их в базу данных;- на сумму, прописанную на карте, проценты не начисляются;- держатель не имеет доступа ко всей сумме, хранящейся на счете;- невозможно оперативно заблокировать карту.При выборе технологии всегда следует учитывать специфику конкретных условий и тот факт, что обе технологии имеют свои области применения.Рис. 2.12. Схема обработки смарт-карты:1 — ввод PIN-кода и суммы покупки; 2 — идентификация и проверка платежеспособности карты; 3 — списание суммы покупки с карты; 4 — передача информации о проведенных операциях;5 — обновление стоп-листа («черного списка»); 6 — передача реестра операций; 7— расчеты между банками; 8— расчеты с предприятием торговли; 9 — расчеты клиента с банком.
2.7. Электронные деньги.Наиболее подробное определение электронных денег было предложено О. Иссингом — членом Правления Европейского центрального банка: «Электронное хранение денежной стоимости с помощью технического устройства, для осуществления платежей не только в адрес эмитента, но и в адрес других участников». Это определение можно рассматривать в качестве базового.Современные электронные деньги представляют собой определенную последовательность цифр, символизирующих банкноты и монеты. В перспективе электронные деньги могут вытеснить денежные знаки, материально зафиксированные в традиционных формах. Электронные деньги способны:1) изменить представление о правовой и экономической природе денежных знаков;2) привести к изменению статуса и роли банков как финансовых институтов;3) существенно подорвать национальные финансовые системы (особенно в государствах со слабой рыночной экономикой) и позиции центральных банков как регуляторов банковской системы страны.Юридически электронные деньги можно разделить на два вида:1) электронные деньги, обращающиеся в рамках систем электронных денег, функционирующих на основе банковских карт;2) электронные деньги, обращающиеся в рамках систем электронных денег, функционирующих на базе компьютерных сетей.В первом случае это микропроцессорные карты, во втором — так называемые сетевые деньги. Они представляют собой различное программное обеспечение, осуществляющее перевод средств по компьютерным сетям.2.8. Обеспечение безопасности банковских расчетов.Обычно различают внутреннюю и внешнюю безопасность. Внешняя включает защиту от стихийных бедствий, от проникновения злоумышленника извне с целями хищения, получения доступа к носителям информации или вывода системы из строя. Предметом внутренней безопасности является обеспечение надежной и корректной работы системы, целостности ее программ и данных.В настоящее время сложилось два приема построения защиты для систем банковских расчетов: фрагментарный — противодействие строго определенным угрозам при определенных условиях (например, специализированные антивирусные средства, автономные средства шифрования) и комплексный — создание защищенной среды обработки информации, объединяющей разнородные меры противодействия угрозам (правовые, организационные, программно-технические). Комплексный прием применяют для защиты крупных систем (например, SWIFT) или небольших систем, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи.
При создании защищенных компьютерных систем используют три основных подхода.Административный — подразумевает меры, принимаемые администрацией системы по обеспечению безопасности информации в организационном порядке согласно должностной инструкции и действующему законодательству в рамках наделенных полномочий.Криптографический — специальное преобразование информации с целью ее сокрытия от посторонних лиц.Программно-технический — использование для защиты специальных аппаратных и программных средств.Необходимо обеспечить выполнение следующих мер:? организационных мероприятий по контролю за персоналом, имеющим высокий уровень полномочий на действия в банковской системе (программистам, администраторами баз данных ит.п.);? организационных и технических мероприятий по резервированию критически важной информации;? организационных мероприятий по восстановлению работоспособности системы в случае возникновения нештатных ситуаций;? организационных и технических мероприятий по управлению доступом в помещения, в которых находятся вычислительная техника и носители данных;? организационных и технических мероприятий по физической защите помещений, в которых находятся вычислительная техника и носители данных от пожара, стихийных бедствий, массовых беспорядков, терроризма и т.п.Политика безопасности — это совокупность норм, правил и методик, на основе которых в дальнейшем строится деятельность информационной системы в области обращения, хранения и распределения критичной информации. При этом под информационной системой понимается не только аппаратно-программный комплекс, но и обслуживающий его персонал.Политика безопасности формируется на основании анализа текущего состояния и перспективы развития информационной системы, возможных угроз и определяет:? цели, задачи и приоритеты системы безопасности;? области действия отдельных подсистем;? гарантированный минимальный уровень защиты;? обязанности персонала по обеспечению защиты;? спектр санкций за нарушения защиты.Информационная безопасность является одним из важнейших аспектов совокупной безопасности, на каком бы уровне не рассматривалась последняя — национальном, отраслевом, корпоративном или персональном.Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуре.
Целостность информационной безопасности можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий — трансакций). Практически все нормативные документы и отечественные разработки относятся к статической целостности, хотя динамический аспект не менее важен. Пример динамической целостности — контроль потока финансовых сообщений на предмет выявления кражи, переупорядочения или дублирования отдельных сообщений.Конфиденциальность — самый проработанный у нас в стране аспект информационной безопасности. На страже конфиденциальности стоят законы, нормативные акты, многолетний опыт соответствующих служб. Отечественные аппаратно-программные продукты позволяют закрыть практически все потенциальные каналы утечки информации.Информационная безопасность должна обеспечиваться на законодательном, административном, процедурном, программнотехническом уровнях. Законодательный уровень является важнейшим. К этому уровню относится весь комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности.Можно выделить следующие группы процедурных мер:1) управление персоналом;2) физическую защиту;3) поддержание работоспособности;4) реагирование на нарушения режима безопасности;5) планирование восстановительных работ.Согласно современным представлениям, в рамках информационных систем, должны быть доступны по крайней мере следующие механизмы безопасности:? идентификация и проверка подлинности пользователей;? управление доступом;? протоколирование и аудит;? криптография;? экранирование;? обеспечение высокой доступности.Основные этапы анализа риска:1) писание состава системы: аппаратные средства, программное обеспечение, данные, документация, персонал;2) определение уязвимых мест: выясняется уязвимость по каждому элементу системы с оценкой возможных источников угроз;3) оценка вероятностей реализации угроз;4) оценка ожидаемых размеров потерь. Этот этап сложен, поскольку не всегда возможна количественная оценка данного показателя (например, ущерба репутации банка при нарушении конфиденциальности информации о счетах и операциях клиентов);5) анализ возможных методов и средств защиты;6) оценка выигрыша от предлагаемых мер. Если ожидаемые потери больше допустимого уровня, необходимо усилить меры защиты.
В расчетах участвуют следующие стороны:- держатель карточки (клиент) — лицо, которому передается карточка для использования;- банк-эмитент — банк, осуществляющий эмиссию карточек;- банк-эквайрер (обслуживающий банк) — банк, осуществляющий обслуживание держателей карточек и расчеты с торговыми предприятиями за счет собственных средств;- предприятие торговли или сферы услуг (в документации международных платежных систем этого субъекта именуют мер- чант);- процессинговый центр — технологическая компания, обеспечивающая информационное взаимодействие между участниками системы.1 — предъявление держателем карты продавцу: проверяется внешний вид карты, логотип, срок действия; 2 — запрос возможности работы с картой; 3 — проверка платежеспособности клиента; 4 — подтверждение платежеспособности; 5 — передача торговых чеков в банк-эквайрер; 6 — расчеты с предприятиями торговли; 7 — взаиморасчеты между банками;8 — расчеты клиента с банком (кредитная карта; дебетовая карта).Таким образом, смарт-карты значительно упрощают и ускоряют процесс прохождения платежей, не требуют постоянного использования телекоммуникационных линий связи. Расчеты по картам не будут остановлены при неисправности центрального компьютера или других неполадках.К недостаткам подобной схемы, с точки зрения клиента, относятся:- увеличение срока между внесением средств на счет и поступлением их в базу данных;- на сумму, прописанную на карте, проценты не начисляются;- держатель не имеет доступа ко всей сумме, хранящейся на счете;- невозможно оперативно заблокировать карту.При выборе технологии всегда следует учитывать специфику конкретных условий и тот факт, что обе технологии имеют свои области применения.Рис. 2.12. Схема обработки смарт-карты:1 — ввод PIN-кода и суммы покупки; 2 — идентификация и проверка платежеспособности карты; 3 — списание суммы покупки с карты; 4 — передача информации о проведенных операциях;5 — обновление стоп-листа («черного списка»); 6 — передача реестра операций; 7— расчеты между банками; 8— расчеты с предприятием торговли; 9 — расчеты клиента с банком.
2.7. Электронные деньги.Наиболее подробное определение электронных денег было предложено О. Иссингом — членом Правления Европейского центрального банка: «Электронное хранение денежной стоимости с помощью технического устройства, для осуществления платежей не только в адрес эмитента, но и в адрес других участников». Это определение можно рассматривать в качестве базового.Современные электронные деньги представляют собой определенную последовательность цифр, символизирующих банкноты и монеты. В перспективе электронные деньги могут вытеснить денежные знаки, материально зафиксированные в традиционных формах. Электронные деньги способны:1) изменить представление о правовой и экономической природе денежных знаков;2) привести к изменению статуса и роли банков как финансовых институтов;3) существенно подорвать национальные финансовые системы (особенно в государствах со слабой рыночной экономикой) и позиции центральных банков как регуляторов банковской системы страны.Юридически электронные деньги можно разделить на два вида:1) электронные деньги, обращающиеся в рамках систем электронных денег, функционирующих на основе банковских карт;2) электронные деньги, обращающиеся в рамках систем электронных денег, функционирующих на базе компьютерных сетей.В первом случае это микропроцессорные карты, во втором — так называемые сетевые деньги. Они представляют собой различное программное обеспечение, осуществляющее перевод средств по компьютерным сетям.2.8. Обеспечение безопасности банковских расчетов.Обычно различают внутреннюю и внешнюю безопасность. Внешняя включает защиту от стихийных бедствий, от проникновения злоумышленника извне с целями хищения, получения доступа к носителям информации или вывода системы из строя. Предметом внутренней безопасности является обеспечение надежной и корректной работы системы, целостности ее программ и данных.В настоящее время сложилось два приема построения защиты для систем банковских расчетов: фрагментарный — противодействие строго определенным угрозам при определенных условиях (например, специализированные антивирусные средства, автономные средства шифрования) и комплексный — создание защищенной среды обработки информации, объединяющей разнородные меры противодействия угрозам (правовые, организационные, программно-технические). Комплексный прием применяют для защиты крупных систем (например, SWIFT) или небольших систем, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи.
При создании защищенных компьютерных систем используют три основных подхода.Административный — подразумевает меры, принимаемые администрацией системы по обеспечению безопасности информации в организационном порядке согласно должностной инструкции и действующему законодательству в рамках наделенных полномочий.Криптографический — специальное преобразование информации с целью ее сокрытия от посторонних лиц.Программно-технический — использование для защиты специальных аппаратных и программных средств.Необходимо обеспечить выполнение следующих мер:? организационных мероприятий по контролю за персоналом, имеющим высокий уровень полномочий на действия в банковской системе (программистам, администраторами баз данных ит.п.);? организационных и технических мероприятий по резервированию критически важной информации;? организационных мероприятий по восстановлению работоспособности системы в случае возникновения нештатных ситуаций;? организационных и технических мероприятий по управлению доступом в помещения, в которых находятся вычислительная техника и носители данных;? организационных и технических мероприятий по физической защите помещений, в которых находятся вычислительная техника и носители данных от пожара, стихийных бедствий, массовых беспорядков, терроризма и т.п.Политика безопасности — это совокупность норм, правил и методик, на основе которых в дальнейшем строится деятельность информационной системы в области обращения, хранения и распределения критичной информации. При этом под информационной системой понимается не только аппаратно-программный комплекс, но и обслуживающий его персонал.Политика безопасности формируется на основании анализа текущего состояния и перспективы развития информационной системы, возможных угроз и определяет:? цели, задачи и приоритеты системы безопасности;? области действия отдельных подсистем;? гарантированный минимальный уровень защиты;? обязанности персонала по обеспечению защиты;? спектр санкций за нарушения защиты.Информационная безопасность является одним из важнейших аспектов совокупной безопасности, на каком бы уровне не рассматривалась последняя — национальном, отраслевом, корпоративном или персональном.Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуре.
Целостность информационной безопасности можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий — трансакций). Практически все нормативные документы и отечественные разработки относятся к статической целостности, хотя динамический аспект не менее важен. Пример динамической целостности — контроль потока финансовых сообщений на предмет выявления кражи, переупорядочения или дублирования отдельных сообщений.Конфиденциальность — самый проработанный у нас в стране аспект информационной безопасности. На страже конфиденциальности стоят законы, нормативные акты, многолетний опыт соответствующих служб. Отечественные аппаратно-программные продукты позволяют закрыть практически все потенциальные каналы утечки информации.Информационная безопасность должна обеспечиваться на законодательном, административном, процедурном, программнотехническом уровнях. Законодательный уровень является важнейшим. К этому уровню относится весь комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности.Можно выделить следующие группы процедурных мер:1) управление персоналом;2) физическую защиту;3) поддержание работоспособности;4) реагирование на нарушения режима безопасности;5) планирование восстановительных работ.Согласно современным представлениям, в рамках информационных систем, должны быть доступны по крайней мере следующие механизмы безопасности:? идентификация и проверка подлинности пользователей;? управление доступом;? протоколирование и аудит;? криптография;? экранирование;? обеспечение высокой доступности.Основные этапы анализа риска:1) писание состава системы: аппаратные средства, программное обеспечение, данные, документация, персонал;2) определение уязвимых мест: выясняется уязвимость по каждому элементу системы с оценкой возможных источников угроз;3) оценка вероятностей реализации угроз;4) оценка ожидаемых размеров потерь. Этот этап сложен, поскольку не всегда возможна количественная оценка данного показателя (например, ущерба репутации банка при нарушении конфиденциальности информации о счетах и операциях клиентов);5) анализ возможных методов и средств защиты;6) оценка выигрыша от предлагаемых мер. Если ожидаемые потери больше допустимого уровня, необходимо усилить меры защиты.