Исх. № ДН-32/14638 от 04.10.2013
Руководителю организации
Настоящим сообщаем, что в целях снижения рисков мошенничества со стороны злоумышленников при работе в системах дистанционного обслуживания (СДО) обращаем Ваше внимание на необходимость строгого соблюдения мер и выполнения рекомендаций по информационной безопасности.
Рекомендуется назначить ответственное лицо, которое будет осуществлять контроль выполнения мер по информационной безопасности, а также информировать руководство организации обо всех выявленных нарушениях.
Требуемые меры и рекомендации:
- Правила работы с криптографическими ключами
- 1.1. Выполнять Регламент Центра управления сертификатами, который изложен в Приложении № 2 к Правилам электронного документооборота (ЭДО) Организатора Системы электронного документооборота (СЭД) (http://ca.micex.ru/sed/userfiles/file/legal_docs/legal_document_612.zip).
- 1.2. Для хранения криптографических ключей использовать внешние носители.
- 1.3. Крайне внимательно относиться к ключевому носителю, не оставлять его без присмотра и не передавать третьим лицам, извлекать носители, если они не используются для работы.
- 1.4. Носители с криптографическими ключами хранить в местах, исключающих доступ к ним посторонних лиц, например, в сейфе.
- 1.5. Использовать сложные пароли, не оставлять без присмотра идентификационную информацию.
- 1.6. Осуществлять замену ключа электронной подписи (ЭП), заблаговременно (за месяц до истечения срока действия) с периодичностью, установленной Правилами ЭДО Организатора СЭД.
- 1.7. В случаях компрометации ключа ЭП, увольнения или смены функциональных обязанностей владельца, связанных с прекращением использования ключа ЭП, предназначенного для подписания платежных документов, провести немедленную смену пароля, который использовался этим владельцем, уведомить о событии администратора безопасности НКО ЗАО НРД (по телефону 8-495-956-0934) и ОАО Московская Биржа (по телефону 8-495-745-8142), а также выполнить действия в соответствии с Регламентом ЦУС.
- 1.8. При обращении от имени НКО ЗАО НРД по телефону, электронной почте, через SMS-сообщения лиц с просьбами сообщить или передать конфиденциальную информацию (ключи, пароли и пр.) ни при каких обстоятельствах не сообщать данную информацию. О таких фактах просим информировать дежурного администратора информационной безопасности НКО ЗАО НРД по телефону + 7(495)232-05-35.
- Сетевые настройки
- 2.1. Настройками сетевого оборудования и межсетевых экранов ограничивать выход в сеть Интернет списком доверенных web-узлов со всех персональных компьютеров (ПК), где устанавливаются СДО, осуществляется подготовка, подписание и отправка платежных документов.
- 2.2. В список доверенных web-узлов включать только доверенные сайты и хосты самой организации, надежных контрагентов, налоговой службы, других государственных органов, необходимых в производственном процессе, сервера обновлений системного и антивирусного ПО.
- 2.3. Доступ к иным информационным ресурсам и сервисам сети Интернет, включая электронную почту, социальные и пиринговые сети, конференции и чаты, телефонные сервисы и т.п. должен быть исключен.
- 2.4. Для ПК, с которых осуществляется отправка платежных документов, необходимо использовать встроенные средства сетевой фильтрации. Для защиты от угроз со стороны локальной вычислительной сети (ЛВС) рекомендуется настроить доступ только на необходимые в производственных целях ресурсы ЛВС.
- Программное обеспечение и полномочия пользователей
- 3.1. Использовать лицензионное программное обеспечение (операционные системы, офисные пакеты и пр.). Не устанавливать на ПК с СДО ПО, полученное из не заслуживающих доверия источников, а также нелицензионного и свободно-распространяемого ПО.
- 3.2. У пользователей ПК в ОС не должно быть административных прав и прав Power User («Опытный пользователь»), если не требуется для процедур обновления ПО.
- 3.3. Перед установкой ПО СДО на ПК и выполнением настроек необходимо проверить ПК на отсутствие вредоносного ПО, программ удаленного доступа к ресурсам ПК, программ работы с небезопасными ресурсами и сервисами сети Интернет, включая почтовые клиенты. При проведении таких проверок рекомендуется осуществлять загрузку ОС с внешнего эталонного загрузочного диска.
- 3.4. С целью минимизации рисков при получении новых версий СДО и другого ПО, размещенного в соответствующих разделах сайта НКО ЗАО НРД, файлы с программным обеспечением публикуются с электронной подписью НКО ЗАО НРД, используемой при подписании отчетов, информационных сообщений и других исходящих от НКО ЗАО НРД электронных документов в ходе электронного документооборота НКО ЗАО НРД с участниками ЭДО. При этом электронная подпись НКО ЗАО НРД сохраняется и выкладывается в отдельном файле, что обеспечивает участникам ЭДО как прямой доступ к файлам с программным обеспечением, так и, при необходимости, возможность проверить электронную подпись НКО ЗАО НРД и, тем самым, убедиться в авторстве и целостности полученного ПО.
- 3.5. Своевременно устанавливать последние пакеты обновлений (Service Packs), актуальные патчи безопасности ОС Windows.
- 3.6. Использовать антивирусное программное обеспечение с последними обновлениями антивирусной базы для защиты от вредоносного ПО, антивирусные базы регулярно обновлять.
- 3.7. Использовать специализированные средства защиты от несанкционированного доступа для ограничения доступа к ПК, исключить возможность дистанционного подключения к ПК третьих лиц или привлечение для администрирования и обслуживания ПК ИТ-персонал на условиях предоставления ему удаленного доступа.
- 3.8. Для исключения ошибочных и преднамеренных действий пользователя, приводящих к снижению защищенности системы и рискам финансовых потерь, необходимо средствами политик безопасности операционной системы или специализированными средствами защиты ПК от НСД обеспечить для пользователя функционально-замкнутую среду, позволяющую ему запускать и работать только с разрешенными программами без доступа к файловой системе и реестру ОС.
- Обмен информации через Интернет
- 4.1. Не переходить по ссылкам, указанным в подозрительных письмах, не открывать прикрепленные к ним файлы.
- 4.2. Не вводить персональную информацию на страницах ресурсов, которая обычно не запрашивается.
- 4.3. Ограничить посещение сайтов сомнительного содержания.
- Контроль платежной информации
- 5.1. Необходимо проводить контроль сумм и получателей платежных документов в информационном окне СДО, а также контролировать количество и сумму отправленных документов по полученным от НКО ЗАО НРД квитанциям.
- 5.2. Следует регулярно контролировать состояние своих счетов и незамедлительно информировать обслуживающее подразделение НКО ЗАО НРД обо всех подозрительных или несанкционированных операциях.
- 5.3. В случае неожиданного выхода из строя ПК с СДО, либо некорректной работы ПО СДО, либо признаков наличия вредоносного ПО, необходимо прекратить на ПК работу, отключив его от всех видов сетей, включая локальную корпоративную сеть, срочно запросить в НКО ЗАО НРД выписку по счету.
- 5.4. При обнаружении несанкционированных платежных операций информировать руководство, написать заявление в НКО ЗАО НРД, а также обратиться с соответствующим заявлением в правоохранительные органы. Работоспособность поврежденного ПК не восстанавливать до проведения технической экспертизы. Переустановку СДО проводить на новом ПК. После переустановки СДО произвести немедленную смену всех своих ключей ЭП.