Чем выше уровень защиты банка тем

Чем выше уровень защиты банка тем

СТРУКТУРНЫЕ ПРОДУКТЫ ПРЕДНАЗНАЧЕНЫ ДЛЯ КВАЛИФИЦИРОВАННЫХ ИНВЕСТОРОВ

Напомним, что структурный продукт – это сложный финансовый инструмент, состоящий из различных компонентов. «Внутренности» структурного продукта можно разбить на защитную часть – депозиты и облигации, а также рисковую часть – опционы. Давайте рассмотрим примеры различных структур более детально.

Важно отметить, что внутри структурного продукта находятся именно опционы на базовые активы, а не сами активы.

Структуры с полной защитой капитала

Данный тип структур состоит из простого сочетания депозита и опциона.

Такая защита встречается в большинстве структур нашей продуктовой линейки. Она означает, что ваш капитал защищен, пока базовый актив не опустился ниже заранее установленного уровня.

В данном типе структур появляется одна дополнительная надстройка – продажа опциона Put.

Напомним, что если мы продаем опцион Put, то мы получаем премию и потенциально можем получить убыток, если акция опускается ниже уровня Strike.

Изобразим это графически.

Примеры работы структур

Структура с полной защитой

Такие структуры хорошо работают во время низкой волатильности в совокупности с высокими ставками. Это позволяет получать выгодные условия при размещении депозита, а низкая волатильность снижает стоимость покупки опциона.

Пример №1. Давайте рассмотрим конкретный пример структуры сроком 1 год.

Пусть процентная ставка депозита у эмитента на год составляет 10% годовых. В таком случае в момент размещения структуры нам надо положить на депозит 90,91% от наших первоначальных средств, так как через год депозит вернет нам наши 90,91% * 1,1 = 100% от изначально инвестированных средств.

Следовательно, на опционную часть остается чуть более 9% от общего объема средств. Эти средства могут быть потрачены на покупку опциона, который позволяет участвовать в росте базового актива.

Спустя год, когда будет происходить погашение структуры, наша защитная часть вернет нам все первоначально вложенные средства, а доход рисковой части будет зависеть от того, насколько хорошо сработала инвестиционная стратегия. В случае неудачи минимальный финансовый результат по опционной части составит 0%, таким образом, мы не получим никакого убытка.

Структура с условной защитой

В таких структурах мы продаем опцион Put и получаем денежные средства за продажу (премию). Ее мы можем потратить на увеличение размера купонов или коэффициента участия в росте, в зависимости от структуры.

Если наш базовый актив падает ниже уровня Strike, то мы начинаем получать убыток по продаже этого опциона. Описанный механизм – это как раз знаменитый geared put, просто расписанный как составная часть всего продукта.

Динамика geared put – это финансовый результат от продажи нашего Put-опциона (зеленая линия на рисунке выше) – если стоимость акции находится выше уровня Strike, то убытка нет. Динамика акции – это ваш финансовый результат: если бы вы просто купили ее, то при росте вы заработаете, а при падении потеряете.

Как мы видим на графике, динамика geared put находится выше динамики акции в случае падения. Это означает, что в случае падения акции у вас «раскрывается парашют», который замедляет падение относительно самого базового актива и, как следствие, динамика лучше, чем у акции.

Пример №2. Пусть уровень Strike равен 75%, таким образом, если базовый актив внутри не опустится ниже этого уровня на дату погашения, будет возврат 100% капитала. Если акция опустится ниже, например, на 40%, и финальная динамика базового актива составит 60%. Тогда для расчета финансового результата можно воспользоваться простой формулой: финальная динамика разделить на уровень Strike, т.е. 60%/75% = 80%. Таким образом, при снижении слабейшего актива на 40%, механизм Geared put позволяет сократить убыток в два раза по сравнению с базовым активом.

Доходная часть продуктов тоже состоит из опционов и полностью завязана на них. Например, гарантированный купон в структурах – это как раз полученные деньги от продажи Put-опциона. Эти средства идут на фиксированные выплаты по купону. Соответственно, чем дороже стоимость проданного опциона, тем выше получится купон.

Инвестиции в структурные продукты сопряжены с риском. С общим описанием рисков, относящихся к инструменту, можно ознакомиться здесь.

Источник

Как уберечь инвестиционный портфель от падения в кризис?

Меня интересует тема защитных активов. Мировая экономика развивается циклично. Рано или поздно случается очередной финансовый кризис. Котировки акций падают, отдельные компании банкротятся, некоторые валюты сильно обесцениваются.

Подскажите, какие существуют защитные инструменты, позволяющие переждать финансовый шторм и сохранить ценность активов? В частности, интересуют инструменты, представленные на Московской бирже.

Вячеслав, вы правы: в отдельных странах и в мире в целом периодически случаются кризисы, что плохо влияет на рынок акций. Если вы не можете или не хотите рисковать, часть денег стоит вложить в защитные активы.

Когда падает рынок акций, цена защитных активов не падает или незначительно снижается. Некоторые защитные активы могут подорожать в кризис или будут давать стабильный денежный поток в любой ситуации.

Защитные активы снижают риск инвестиционного портфеля. Если включить их в портфель, в кризис он подешевеет меньше, чем если бы состоял только из акций. Правда, при росте рынка акций защитные активы снизят доходность портфеля.

Расскажу, какие активы помогут меньше волноваться из-за падения рынка акций и как их использовать.

Деньги и инструменты денежного рынка

Самый простой способ защититься от падения рынка акций — иметь побольше свободных денег, причем не только в рублях, но и в долларах или евро на случай резкого падения рубля. Минус в том, что денежные средства не приносят доход, а их покупательная способность снижается из-за инфляции.

Как вариант, деньги можно держать на банковских вкладах, накопительных счетах и картах с процентом на остаток. Так вы будете получать проценты, что защитит деньги от инфляции. С вкладами, счетами и картами в кризис ничего не случится. На всякий случай напомню, что лимит страхования АСВ — 1,4 млн рублей на одного человека в одном банке.

Еще пригодятся инструменты денежного рынка — максимально короткие долговые инструменты надежных эмитентов. Это, например, векселя казначейства США, которые считаются очень надежным активом.

На Московской бирже есть три фонда денежного рынка. Они подойдут и как защитная часть портфеля, и для временного вложения свободных денег, которые есть на брокерском счете или ИИС.

Фонд FXTB состоит из векселей казначейства США. Это долларовый актив, доходность которого с учетом расходов на управление фондом — около 0% годовых. Раньше доходность была выше, но ставки ФРС снизились.

FXMM — это то же самое, но с рублевым хеджированием: цена FXMM не зависит от курса доллара. С учетом расходов фонда можно рассчитывать примерно на 5% годовых в рублях.

Еще есть фонд VTBM, который вкладывает деньги в обратное РЕПО — популярный среди банков и других финансовых учреждений вид сделок. Это рублевый актив, как и FXMM. С поправкой на расходы фонда VTBM может принести около 5% годовых.

Инвестиции — это не сложно

Облигации

Вклады и фонды денежного рынка надежны, но дают небольшую доходность. На облигациях можно заработать больше, поэтому именно облигации чаще всего используются как менее рискованная часть инвестиционного портфеля.

Однако у облигаций есть разные риски. Прежде всего, это кредитный риск: если эмитент обанкротится, владельцы облигаций потеряют деньги.

Защитным активом стоит считать не любые облигации, а только облигации инвестиционного уровня. Это бумаги органов власти платежеспособных стран и крупнейших компаний. Чем выше рейтинг эмитента, тем ниже риск проблем с его бумагами, тем меньше такие бумаги дешевеют в кризис и тем лучше они защищают портфель от просадок.

Еще один риск — процентный. Если процентные ставки в экономике растут, ранее выпущенные облигации будут дешеветь. Это может стать неприятным сюрпризом. Чем меньше дюрация облигации, тем меньше ее цена зависит от изменения процентных ставок.

Из тех облигаций, что есть на Московской бирже, подойдут ОФЗ и облигации региональных и муниципальных органов власти. Можно добавить к ним облигации крупнейших компаний, например Сбербанка, МТС, РЖД. Также пригодятся еврооблигации, если вас интересуют валютные активы.

Можно использовать не отдельные облигации, а фонды. На Московской бирже есть фонд облигаций федерального займа SBGB, фонды еврооблигаций FXRU, RUSB и другие, а также фонды рублевых корпоративных облигаций наподобие VTBB.

К сожалению, на Московской бирже пока нет фондов надежных облигаций других стран. Есть VTBH, позволяющий инвестировать в высокодоходные облигации американских компаний, но в кризис такие бумаги могут сильно дешеветь. Например, за 2008 год рынок американских высокодоходных облигаций упал более чем на 21%.

Золото

В отличие от вкладов и облигаций золото гораздо менее предсказуемо и весьма волатильно: его цена может сильно колебаться. Тем не менее золото традиционно считается защитным активом. Во время неопределенности и плохих новостей инвесторы переходят из акций в золото, а его цена в кризис обычно растет.

У золота низкая корреляция с рынком акций. Например, c 30 мая 2009 по 30 мая 2019 года корреляция месячной доходности золота и индекса акций всего мира MSCI ACWI была 0,06. Корреляция золота и индекса S&P 500 равнялась −0,09.

Близкая к нулю и тем более отрицательная корреляция — это хорошо: чем меньше поведение разных активов связано между собой, тем лучше они дополняют друг друга в портфеле. Впрочем, корреляция может меняться со временем.

Еще один плюс золота в том, что это валютный актив. Рублевая цена золота зависит от его долларовой цены и курса доллара. В кризис может вырасти и долларовая цена золота, и сам доллар, так что цена золота в рублях тоже увеличится.

Есть и минус: в долгосрочной перспективе доходность золота, вероятно, будет примерно равна инфляции. Кроме того, золото не обеспечивает денежный поток.

Вложиться в золото можно через фонд FXGD на Московской бирже. Примеры таких фондов на иностранных биржах — GLD и IAU.

Есть и другие способы инвестировать в золото: обезличенные металлические счета, инвестиционные монеты и т. д.

Могут ли акции быть защитным активом

К защитным активам иногда относят акции некоторых компаний. Это, например, акции производителей золота типа Polymetal. Когда золото дорожает, цена акций золотодобытчиков растет.

Другой пример — акции крупных компаний из сектора потребительских товаров первой необходимости, например Coca-Cola и Walmart. Секторы здравоохранения и коммунальных услуг тоже считаются защитными.

Наконец, к категории защитных некоторые инвесторы относят акции американских «дивидендных аристократов». Это компании, которые входят в индекс S&P 500 и хотя бы 25 лет подряд увеличивают размер дивидендов. Многие «аристократы» работают как раз в защитных секторах. Инвесторы рассчитывают, что цена таких акций не будет сильно падать, а дивиденды будут выплачиваться даже в кризис.

В кризис акции некоторых компаний действительно могут падать меньше, чем рынок акций в среднем, а некоторые акции могут расти. Кроме того, акции иностранных компаний — это валютный актив. Если в кризис они подешевеют, но при этом упадет рубль, их рублевая цена может не измениться или даже вырасти.

Тем не менее это все равно акции, то есть достаточно рискованный вид вложений. Дивиденды могут урезать или отменить, цена акций может сильно упасть по разным причинам, а доходность сложно предсказать.

Так, по итогам 2008 года акции Coca-Cola упали примерно на 24%. Это заметно лучше, чем результат американского рынка акций в том же году, но все-таки существенное падение. За февраль — март 2020 года акции Coca-Cola упали сильнее, чем рынок акций США, а за апрель 2020 года выросли слабее рынка.

Какой бы хорошей и стабильной ни была компания, ее акции — это лишь условно защитный актив, компромисс между потенциально высокой доходностью и защитой от падений всего рынка. Не стоит слишком сильно полагаться на защитные свойства акций, даже если они хорошо показали себя в прошлые кризисы. Это не денежные средства и не облигации.

Как использовать защитные активы

Нет надежных способов предсказать, когда начнется кризис. Если вы опасаетесь падения рынка акций, часть вашего инвестиционного портфеля стоит заранее вложить в защитные активы и постоянно держать их. Например, можно выделить 40% портфеля на надежные облигации, а 10% — на золото.

Какую долю портфеля выделить на акции, а какую — на другие инструменты, зависит от горизонта инвестирования и пожеланий по доходности и риску. Например, чем меньше времени у инвестора в запасе, тем меньше должна быть доля акций в портфеле и тем выше доля денежных средств, вкладов и надежных облигаций.

Защитные активы снижают волатильность портфеля, то есть делают его менее рискованным. Минус в том, что в долгосрочной перспективе они снижают доходность портфеля: их доходность обычно меньше той, что дают акции. Зато с защитными активами вам будет спокойнее: в кризис портфель подешевеет не так сильно.

Портфель надо периодически ребалансировать — восстанавливать исходные доли разных активов. Это позволяет контролировать риск портфеля, а в некоторых случаях может повысить его доходность.

Например, в кризис акции подешевеют — их доля в портфеле станет меньше, чем планировали. Можно продать часть защитных активов или внести дополнительные деньги и купить подешевевшие акции. Затем, когда акции сильно вырастут, можно докупить менее рискованные активы, продав часть акций или внеся в портфель дополнительные средства.

Как защитные активы ведут себя на практике

Посмотрим, что происходит с защитными активами в кризис и как они влияют на результат инвестиций.

Пример 1. С 20 сентября по 24 декабря 2018 года индекс S&P 500 упал на 19,4%. Индекс акций малых американских компаний Russell 2000 снизился на 26,1%, а рынок акций развитых стран без США и Канады в лице индекса MSCI EAFE упал на 13,6%.

За тот же период векселя казначейства США дали 0,6%, казначейские ноты принесли инвесторам 2,4%, а золото выросло на 5%. Те инвесторы, у кого в портфеле были не только акции, но и деньги, инструменты денежного рынка, облигации и золото, могли беспокоиться меньше тех, у кого были только акции.

Пример 2. Теперь оценим, как защитные активы могут работать в составе долгосрочного инвестиционного портфеля. Представим, что два инвестора вложили деньги в 1972 году.

Первый инвестор решил рискнуть и вложил все деньги в американский рынок акций, реинвестируя дивиденды.

Второй был более осторожным. Он вложил 50% портфеля в американский рынок акций, 40% — в среднесрочные казначейские бумаги США, а на оставшиеся 10% купил золото. Он тоже реинвестировал доход, а ребалансировку портфеля проводил раз в год.

Источник

Тема 7. Защита информации при выполнении электронных платежей

Цель

Получить сведения о методах защиты информации, которые применяются в компьютерных системах обработки банковской информации.

Оглавление

7.1. Общие принципы защиты информации в банках на современном этапе развития компьютерных технологий

Со времени своего появления банки неизменно вызывали интерес со стороны преступного мира. И этот интерес был связан не только с хранением в кредитных организациях денежных средств, но и с тем, что в банках сосредоточивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже целых государств. В настоящее время банковская тайна охраняется законом наряду с государственной тайной.

В связи со всеобщей информатизацией и компьютеризацией банковской деятельности значение информационной безопасности банков многократно возросло. Еще 30 лет назад объектом информационных атак были данные о клиентах банков или о деятельности самого банка. Такие атаки были редкими, круг их заказчиков был очень узок, а ущерб мог быть значительным лишь в особых случаях. В настоящее время в результате повсеместного распространения электронных платежей, пластиковых карт, компьютерных сетей объектом информационных атак стали непосредственно денежные средства как банков, так и их клиентов. Совершить попытку хищения может любой — необходимо лишь наличие компьютера, подключенного к сети Интернет. Причем для этого не требуется физически проникать в банк, можно «работать» и за тысячи километров от него.

Услуги, предоставляемые банками сегодня, в немалой степени основаны на использовании средств электронного взаимодействия банков между собой, банков и их клиентов и торговых партнеров. В настоящее время доступ к услугам банков стал возможен из различных удаленных точек, включая домашние терминалы и служебные компьютеры. Этот факт заставляет отойти от концепции «запертых дверей», которая была характерна для банков 1960-х гг., когда компьютеры использовались в большинстве случаев в пакетном режиме как вспомогательное средство и не имели связи с внешним миром.

Компьютерные системы, без которых не может обойтись ни один современный банк, — источник совершенно новых, ранее неизвестных угроз. Большинство из них обусловлено использованием в банковском деле новых информационных технологий и характерны не только для банков.

Уровень оснащенности средствами автоматизации играет немаловажную роль в деятельности банка и, следовательно, напрямую отражается на его положении и доходах. Усиление конкуренции между банками приводит к необходимости сокращения времени на производство расчетов, увеличения номенклатуры и повышения качества предоставляемых услуг.

Стратегия информационной безопасности банков весьма сильно отличается от аналогичных стратегий других компаний и организаций. Это обусловлено прежде всего специфическим характером угроз, а также публичной деятельностью банков, которые вынуждены делать доступ к счетам достаточно легким с целью удобства для клиентов.

Обычная компания строит свою информационную безопасность, исходя лишь из узкого круга потенциальных угроз — главным образом защита информации от конкурентов (в российских реалиях основной задачей является защита информации от налоговых органов и преступного сообщества с целью уменьшения вероятности неконтролируемого роста налоговых выплат и рэкета). Такая информация интересна лишь узкому кругу заинтересованных лиц и организаций и редко бывает ликвидна, т. е. обращаема в денежную форму.

7.2. Требования к информационной безопасности банка

Информационная безопасность банка должна учитывать следующие специфические факторы:

Преступления в банковской сфере также имеют свои особенности:

Специфика защиты автоматизированных систем обработки информации банков (АБС) обусловлена особенностями решаемых ими задач:

Можно выделить два типа задач, решаемых АБС:

7.3. Методы защиты информации в автоматизированных системах обработки данных

Под защитой информации в информационных системах (ИС) понимается регулярное использование в них средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения требуемой надежности хранимой и обрабатываемой информации. Надежность информации — интегральный показатель, характеризующий качество информации с точки зрения физической целостности (отсутствия искажений или уничтожения элементов информации), доверия к информации (уверенности в отсутствии подмены) и безопасности — отсутствия ее несанкционированного получения и копирования.

Компоненты интегральной информационной безопасности:

Известно, что 80 % преступлений, связанных с кражей, повреждением или искажением информации, совершается при участии сотрудников фирмы. Поэтому важнейшая задача руководства, отдела кадров и службы безопасности — тщательный подбор сотрудников, распределение полномочий и построение системы допуска к элементам информации, а также контроль дисциплины и поведения сотрудников, создание хорошего морального климата в коллективе.

Организационные средства защиты информации — это специальные организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации системы, имеющие целью обеспечение защиты информации.

Законодательные средства защиты информации определяются как законодательные акты, которые регламентируют порядок использования и обработки информации, ограничения доступа и которые устанавливают ответственность и санкции за нарушение этих правил.

Технические средства делятся на физические (замки, решетки, системы сигнализации и др.) и аппаратные (замки, блокировки, сигнализации и другие устройства, применяемые непосредственно на средствах вычислительной техники и средствах передачи данных). Программные средства защиты информации — это специальные средства защиты информации, встроенные в состав программного обеспечения системы и осуществляющие самостоятельно или в комплексе с другими средствами защиту информации в системе.

Программные средства защиты информации:

Криптографические средства защиты информации — методы специального кодирования, шифрования или иного преобразования информации в результате которого содержимое становится недоступным без предъявления некоторой специальной информации и обратного преобразования. Использование криптографических методов стало особенно актуальным в настоящее время в связи с передачей по открытой сети Интернет больших объемов информации государственного, военного, коммерческого и частного характера. В связи с высокой стоимостью ущерба от потерь, разглашения и искажения информации, хранящейся в базах данных и передаваемой по локальным сетям, в современных ИС рекомендуется хранить и передавать информацию в зашифрованном виде.

По характеру использования ключа известные криптосистемы можно разделить на два типа: симметричные (одноключевые, с секретным ключом) и асимметричные (с открытым ключом).

В первом случае в шифраторе отправителя и дешифраторе получателя используется один и тот же ключ. Шифратор образует шифрограмму, которая является функцией открытого текста, конкретный вид функции шифрования определяется секретным ключом. Дешифратор получателя сообщения выполняет обратное преобразование аналогичным образом. Секретный ключ хранится в тайне и передается отправителем сообщения получателю по защищенному каналу, исключающему перехват ключа криптоаналитиком противника.

Шифрование осуществляется методами замены и перестановки. Простейшее, но не поддающееся расшифровке шифрование — с заменой символов текста на случайные символы или числа. При этом длина ключа должна совпадать с длиной текста, что неудобно при больших объемах информации. Ключ используется один раз, потом его уничтожают, поэтому этот метод называют «Шифрование с отрывным блокнотом».

В реальности шифрование производится в двоичном коде с использованием коротких ключей — в международном стандарте DES (Data Encryption Standard), который работает с блоками данных по 64 байта (1998 г.), в ГОСТ 28147 — 89 — 256 байт, что обеспечивает существенно большую криптостойкость. На основании короткого ключа компьютер создает длинный ключ-гамму, используя один из нескольких алгоритмов, изложенных в стандартах шифрования DES или ГОСТ. Алгоритмы создания гаммы — гаммирования — основаны на серии замен и сдвигов, возможно, с использованием шифртекста. Алгоритмы шифрования не секретны, секретны только ключи. Для распространения ключей по сетям общего пользования применяется следующая технология: через курьеров передаются ключи первого ранга, на их основе шифруются и передаются по сетям ключи второго ранга, используемые для шифрования документов.

Наиболее современные системы шифрования используют асимметричные алгоритмы с открытым и секретным ключами, где нет проблемы безопасной транспортировки ключа. К числу таких систем относится алгоритм rsa, названный по именам разработчиков (rivest-shamir-adleman — разработчики этой системы Рональд Ривест, Ади Шамир и Леонард Адлеман, 1977 г.), базирующийся на разложении больших чисел на множители.

В асимметричных криптосистемах (криптосистемах с открытым ключом) в алгоритмах шифрования и дешифрования используются различные ключи, каждый из которых не может быть получен из другого с приемлемыми затратами временных и других ресурсов. Один ключ — открытый — используется для шифрования информации, другой — секретный — для дешифрования, т. е. прочесть сообщение может только тот, кому оно предназначено, например глава фирмы, получающий сообщения от своих многочисленных агентов.

Существует два основных способа защиты: программный и аппаратный. Программный способ защиты данных хорош тем, что при относительно небольшой затрате средств можно получить программу, обеспечивающую требуемую надежность хранения информации. Но программные средства обладают несколькими существенными недостатками, о которых следует знать при выборе данного пути:

Аппаратные средства тоже обладают рядом недостатков: их разработка обходится дороже, прибавляются расходы на производство и обслуживание, аппаратная система более сложна и также требует помимо аппаратной части программное обеспечение.

Но преимущества использования аппаратных средств очевидны:

7.4. Законодательные акты в области защиты информации

ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования;

ГОСТ Р 34. 10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма;

ГОСТ Р 34. 11-94. Информационная технология. Криптографическая защита информации. Функция хэширования;

ГОСТ Р 50739-95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования.

С 2004 г. действует новый национальный стандарт безопасности ГОСТ/ИСО МЭК 15408 — 2002. Общие критерии оценки безопасности информационных технологий.

Годом рождения стандарта можно считать 1990-й — именно тогда были начаты работы по созданию стандарта в области оценки безопасности информационных технологий (ИТ) под эгидой Международной организации по стандартизации (ИСО). Этот документ был переведен и взят за основу при разработке ГОСТ/ИСО МЭК 15408 — 2002. Название стандарта сложилось исторически. Работы над ним велись при содействии государственных организаций по стандартизации США, Канады, Великобритании, Франции, Германии и Голландии и преследовали следующие концептуальные цели:

Российский стандарт представляет собой точный перевод международного стандарта. Он принят постановлением Госстандарта России от 4.04.2002 г. № 133-ст с датой введения в действие 1 января 2004 г. Появление этого ГОСТа отражает не только процесс совершенствования российских стандартов с использованием международного опыта, но и часть правительственной программы по вступлению России в ВТО (как известно, при вступлении в эту организацию в стране-претенденте должны быть унифицированы пошлины, налоги, стандарты на производство, стандарты качества и некоторые стандарты в области информационной безопасности).

В рамках нового стандарта вводятся понятия «угроза» и «профиль».

Профиль защиты — «независимая от реализации совокупность требований безопасности для некоторой категории продуктов или ИТ-систем, отвечающая специфическим запросам потребителя».

Все механизмы защиты, описанные в профиле, называются функциями безопасности объекта (ФБО). В профиль защиты включаются только те функции безопасности, которые должны защищать от угроз и соответствовать политике безопасности.

Предположения безопасности — это описание конкретных условий, в которых будет эксплуатироваться система. Политика безопасности — «одно или несколько правил, процедур, практических приемов или руководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности». В общем случае такой набор правил представляет собой некий функционал программного продукта, который необходим для его использования в конкретной организации.

В соответствии с рекомендациями нового ГОСТа были разработаны отраслевые стандарты.

Один из наиболее сбалансированных и жизнеспособных документов — внутриотраслевой стандарт Банка России по ИБ. Его последняя редакция (2006 г.) свидетельствует о явном намерении Центробанка сменить рекомендательный характер документа на обязательный статус.

7.5. Стандарт защиты информации в области банковских карт

Payment Card Industry Data Security Standard (PCI DSS) — стандарт защиты информации в индустрии платежных карт, разработанный международными платежными системами Visa и MasterCard.

Решение о создании данного единого стандарта было принято международными платежными системами в связи с ростом числа компаний, сообщивших о том, что находившаяся у них конфиденциальная информация о счетах их клиентов была потеряна или украдена.

Требования стандарта PCI DSS распространяются на все компании, работающие с международными платежными системами Visa и MasterCard. В зависимости от количества обрабатываемых транзакций каждой компании присваивается определенный уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований стандарта предусматриваются ежегодные аудиторские проверки компаний, а также ежеквартальные сканирования сетей.

Стандарт PCI Data Security Standard с сентября 2006 г. введен международной платежной системой VISA на территории региона CEMEA как обязательный, соответственно его действие распространяется и на Россию. Поэтому поставщики услуг (процессинговые центры, платежные шлюзы, Интернет-провайдеры), работающие напрямую с VisaNet, должны пройти процедуру аудита на соответствие требованиям Стандарта. В противном случае VISA будет применять к компаниям определенные штрафные санкции.

Источник