Projekt Rekomendacji Z dotyczącej zasad ładu wewnętrznego w bankach

Jeszcze przez kilka dni - do 23 grudnia mają miejsce publiczne konsultacje Rekomendacji Z KNF dotyczącej zasad ładu wewnętrznego w bankach.

Wysłałem dzisiaj swoje propozycje uzupełnień. Warto by nasze środowisko możliwie szeroko przyjrzało się temu zagadnieniu, gdyż z takimi Rekomendacjami przyjdzie nam przez kolejne lata funkcjonować. Uwagi można przesyłać na adres drb@knf.gov.pl

Publiczne konsultacje rekomendacji D

KNF ogłosił ostatnio publiczne konsultacje dla rekomendacji D.


Jest to ważna informacja dla wszystkich bezpieczników z bankowości. Szczególnie ważna, gdyż wygląda na to, że będzie zawierać sporo zmian. Kilka przykładowych, które szczególnie zwróciły mają uwagę to:

1.1 podkreślająca rolę rady nadzorczej w nadzorowaniu IT
4.3 podkreślająca współpracę IT i biznesu
5.2 wprowadzający separację obowiązków

– funkcji tworzenia lub modyfikowania systemów informatycznych od ich testowania, administracji i użytkowania,
– funkcji administrowania środowiskiem teleinformatycznym od zarządzania jego bezpieczeństwem,
– funkcji administrowania sieciami teleinformatycznymi, bazami danych oraz systemami informatycznymi,
– funkcji audytu od pozostałych funkcji w obszarze technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego.

5.4 podkreślająca kto tak naprawdę jest odpowiedzialny za bezpieczeństwo informacji
5.9 wymagający aktualnej i precyzyjnej dokumentacji środowiska teleinformatycznego
7.11 podkreślający zasady zarządzania zmianą (w tym zmiany pilne i awaryjne)
9.5 wprowadzający odseparowane podsieci
9.8 zezwalający na sieć bezprzewodową w bankach
9.18 wymagający szyfrowania i uwierzytelniania podczas wykorzystywania drukarek sieciowych (choć tu  mam wątpliwości czy nie powinno to bazować na analizie ryzyka. Nie każda drukarka sieciowa (moim zdaniem)musi oferować uwierzytelniania. A koszty wymiany są spore
10.6 de facto zezwalająca na przetwarzanie danych w modelu cloud computing
11.5 wymagający narzędzi automatyzujących zarządzanie uprawnieniami (w tym historycznymi
12.4 i 14 wymagający uświadamiania użytkowników w zakresie bezpieczeństwa
17.1 zarządzanie oprogramowaniem końcowych użytkowników
18.3 podkreślenie przydatności norm serii ISO 27000
18.4 podkreślenie konieczności integracji zarządzania bezpieczeństwem z narzędziami zarządzania ryzykiem operacyjnym
18.5 i 18.10 i 18.12 podkreślenie konieczności zarządzania ryzykiem w zakresie bezpieczeństwa środowiska teleinformatycznego
18.9 podkreślającego przydatność wymiany informacji o zagrożeniach oraz doświadczeń wynikających z analizy naruszeń bezpieczeństwa
20.7 sugerujący potrzebę wdrażania SIEM
22.4 sugerujący potrzebę korzystania z zewnętrznych usług audytu



Jak widzicie za jakiś czas naprawdę będzie ciekawie.
.

Niebezpieczne karty RFID

Ostatnio, przy okazji innych tematów kilkakrotnie zaczynała się dyskusja o kartach RFID - czynaprawdę są tak bezpieczne jak przekonują niektórzy.

Własnie zobaczyłem, że Piotrek Konieczny zajął się w tych dniach tematem. By nie powielać bezsensownie treści (chodzą słuchy, że takie jedno ministerstwo drukuje ostatnio internet a lubię lasy) załączam linki do 2 jego ciekawych artykułów.

Tutaj Piotrek pokazuje filmiki na których widać jak kopiuje się dane z kart RFID.
Tutaj są już informacje o tym, że można skopiować jednorazowy kod zabezpieczający CVV i po skopiowaniu na czystą kartę wykorzystać do płatności.

Jak na razie procedura kradzieży gotówki w rozsądnych ilościach byłaby kłopotliwa i długotrwała, niemniej czekam na masowe zastosowania. Skoro już można to teraz tylko chwile dzielą nas od spopularyzowania ataku.

Otwarcie przewodu doktorskiego

We wtorek 8 grudnia Rada Wydziału Zarządzania Politechniki Warszawskiej pozytywnie zaaprobowała mój wniosek o otwarcie przewodu doktorskiego pod tytułem "Zarządzanie bezpieczeństwem informacji w bankach wielonarodowych w Polsce". Promotorem rozprawy doktorskiej jest prof. zw. dr hab. inż. Stanisław Tkaczyk.

Teza robocza rozprawy brzmi "Wielowarstwowy system stale doskonalonych wzajemnie powiązanych technicznych i organizacyjnych zabezpieczeń ma istotny wpływ na zwiększenie stanu bezpieczeństwa informacji w wielonarodowych bankach."

Szkody wizerunkowe

W ramach odświeżania starych, ale wciąż "zielonych" news'ów.

Często spotykanym podejściem w dużych i dobrze zabezpieczonych firmach jest mniejsze lub większe ignorowanie zagrożeń związanych z modyfikacją strony głównej. Sieć wewnętrzna jest zazwyczaj bardzo dobrze chroniona od witryny internetowej, często absolutnie odseparowana. Niemniej w każdym tego typu przypadku decyzja o większym (bądź mniejszym) akceptowaniu ryzyka musi wynikać z przeprowadzonej analizy ryzyka.
Jak groźna może być podmiana strony przekonał się ostatnio Kasperski Lab gdy główna strona zarażała gości. W przypadku firmy zajmującej się bezpieczeństwem na takim poziomie szkody wizerunkowe są potężne. Innym znanym przypadkiem było zarażenie głównej strony Bank of India 22 exploitami. Na pewno samopoczucie Zarządu znacznie się pogorszyło w tamtych dniach.

PCI DSS wersja 2.0

W ubiegły czwartek opublikowano nową wersję standardu: PCI DSS 2.0 zapewniającego minimalne wymagania bezpieczeństwa konieczne do zachowania podczas przetwarzania danych kartowych (a dokładnie PAN).

Na pierwszy rzut oka większość zmian to wyjaśnienia do niekoniecznie precyzyjnych sformułowań z poprzednich wersji. Wydaje się to krokiem w dobrą stronę - ilość interpretacji była niekiedy zbyt duża.
Na uwagę zasługuje też wymaganie dotyczące klasyfikacji podatności 6.2 (i powiązanym 6.5.6).

Firmy planujące wdrożenie powinny się raczej cieszyć - będzie mniej dyskusji i więcej bezpieczeństwa (nie muszę dodawać, że wyjaśnienia dodają wymagania a nie ich odejmują). Firmy posiadające już PCI DSS powinny za to zrobić dokładny przegląd systemu - może się okazać, że czeka je dodatkowa praca

Bezpieczeństwo i Higiena Pracy z kartami płatniczymi

Plastikowe pieniądze są powszechne, pojawiają się udoskonalenia kart płatniczych takie jak mikropłatności czy integracje z innymi usługami realizowanymi przy pomocy kart. Wciąż jednak masa osób nie zdaje sobie sprawy z tego, że bardzo łatwo stracić swoje oszczędności (przynajmniej na jakiś czas) a stosując parę prostych metod można znacznie zredukować prawdopodobieństwo takiego zdarzenia. Poniżej załączam garść najlepszych praktyk

- Zaklej 3 cyfrowy kod znajdujący się na rewersie karty za jej numerem. Jest to tak zwany kod CVV2/CVC2 który, wraz z numerem karty i jej datą ważności pozwala na zakupy przez Internet. Bardzo często przestępca pracujący na przykład w hotelu pod pretekstem sprawdzenia wiarygodności podpisu zapamiętuje te 3 cyfry. Ponieważ ma już numer i datę ważności karty łatwo może w naszym imieniu dokonać zakupów często luksusowych dóbr
- Jak tylko masz taką możliwość uwierzytelniaj transakcję PIN’em a nie podpisem.
- Zawsze zasłaniaj dwoma rękoma wpisywany PIN, niezależnie czy w bankomatach czy urządzeniach POS (w restauracjach, kinach, stacjach benzynowych czy sklepach)
- Zachowaj kopie wszystkich anulowanych transakcji. Pomoże Ci to w przypadku reklamacji
- Nigdy nikomu pod żadnym pozorem nie podawaj PINu. Nie daj się nabrać na informacje, że jest on konieczny do autoryzacji transakcji. Przestępcy często próbują go wyłudzić od nieświadomych tego faktu ofiar. PIN masz znać tylko Ty, i samodzielnie wpisywać go w urządzenie
- Zapisywanie PINu nie jest dobrym pomysłem, a już szczególnie na karcie płatniczej, której dotyczy
- Zapisywanie nieprawdziwego PINu na karcie płatniczej może jednak być dobrym pomysłem. Przestępca może zablokować ukradzioną kartę próbując wpisać nieprawdziwy kod
- Nie noś ze sobą wszystkich kart płatniczych. Duża kolekcja kusi złodziei a jej utrata może odciąć Cię od pieniędzy.
- Gdy sprzedawca niszczy Ci kartę nożyczkami oznacza, że dostał takie polecenie z systemu. Może to oznaczać, że ktoś skopiował Twoja kartę a organizacja płatnicza postanowiła chronić Twoje pieniądze. Bezzwłocznie skontaktuj się z wystawcą karty ale nie wiń sprzedawcy, ostatecznie zrobił to by Cie chronić przed poważniejszymi kłopotami
- Kart płatniczych, identyfikatorów i bielizny osobistej nie pożycza się nawet znajomym
- Przeglądaj regularnie wyciągi z kart. Jak wypatrzysz nieznane transakcje to bezzwłocznie skontaktuj się z wystawcą karty.
- Pamiętaj, że gotówka nie jest passe!

Jerome Kerviel skazany

Onet.pl przed chwilą podał, że:

Jerome Kerviel, makler z banku Societe Generale, został skazany we wtorek w Paryżu na 5 lat więzienia, w tym 2 w zawieszeniu, oraz zapłacenie odszkodowania w wysokości 4,9 mld euro za oszustwo i spowodowanie w 2008 roku rekordowej straty w tym banku.

Sąd uznał Kerviela za winnego wszystkich stawianych mu głównych zarzutów: świadomego narażenia banku na straty, fałszerstwa i niedozwolonego wprowadzania danych informatycznych.

Najciekawszą z kar jest niewątpliwie konieczność zapłacenia odszkodowania w wysokości prawie 5 mld euro. Wiadomo już, że p. Kerviel potrafi zarabiać (i tracić) pieniądze, zastanawia mnie jednak kto mu da niezbędny kapitał początkowy...
polecam lekturę reszty artykułu, jest tam więcej faktów...

Kradzież danych w HSBC

Kradzież danych jest praktycznie zawsze przyczyną sporych kłopotów. Jest jeszcze gorzej gdy ukradzione dane świadczą o nie do końca legalnych zachowaniach ofiar. HSBC właśnie potwierdziło, że były pracownik ukradł dane kanadyjskich klientów, którzy ukrywali oszczędności w Szwajcarii.
Bardzo brzydko oszukiwać fiskus, ale jeszcze gorzej jest pozwalać na to by takie dane wyciekły. Ciekawe, że znów ze Szwajcarii...

Standard PCI DSS

Standard PCI DSS (Payment Card Industry, Data Security Standard) jest jednolitym standardem bezpieczeństwa opracowanym przez Payment Card Industry Security Standards Council skupiający najważniejsze z firm zajmujące się procesowaniem kart kredytowych.

12 grup wymagań jest podzielonych na 6 głównych obszarów:
Budowa i utrzymanie bezpiecznej sieci
Wymaganie 1: Zainstaluj i skonfiguruj zapory ogniowe tak aby chronić dane posiadaczy kart
Wymaganie 2: Nie używaj domyślnych, dostarczanych przez dostawców danych w postaci haseł i innych parametrów bezpieczeństwa
Ochrona danych posiadaczy kart
Wymaganie 3: Chroń przechowywane dane użytkowników kart
Wymaganie 4: Szyfruj dane posiadaczy kart przesyłane otwartymi, publicznymi łączami
Utrzymuj program zarządzania podatnościami
Wymaganie 5: Używaj i regularnie aktualizuj oprogramowanie antywirusowe
Wymaganie 6: Twórz i utrzymuj bezpieczne systemy i aplikacje
Zaimplementuj silne mechanizmy kontroli dostępu
Wymaganie 7: Ogranicz dostęp do danych posiadaczy kart zgodnie z zasadą wiedzy koniecznej
Wymaganie 8: Przypisz unikalne identyfikatory wszystkim osobom mającym dostęp do komputerów
Wymaganie 9: Ogranicz fizyczny dostęp do danych posiadaczy kart
Regularnie monitoruj i testuj sieci
Wymaganie 10: Wyszukuj i monitoruj wszystkie próby dostępu do zasobów sieciowych oraz informacji o posiadaczach kart
Wymaganie 11: Regularnie testuj systemy i procesy bezpieczeństwa
Utrzymuj Politykę Bezpieczeństwa Informacji
Wymaganie 12: Spełniać polisę, która jest skupiona na bezpieczeństwie przechowywanych informacji

Natknąłem się ostatnio na interesujący materiał marketingowy - piosenkę tłumaczącą zasadność przestrzegania powyższych 12 zasad.

Posłuchajcie sami

Bezpieczeństwo kart raz jeszcze - hackowanie POS

Pozostając w temacie bezpieczeństwa kart kredytowych (i kart płatniczych oczywiście) warto przypomnieć o tym, że poza skimmingiem czyli skanowaniem pasków magnetycznych kart (które przestałoby istnieć gdyby wykorzystywano możliwości kart chipowych EMV) istnieje jeszcze inny sposób na zdobywanie PIN'ów. Tym sposobem jest "modernizowanie" terminali POS.

Polecam obejrzenie przykładowego filmiku poglądowego (z dawnych czasów, ale ładnie zrobiony).


A jak to wygląda w praktyce?
Po pierwsze gdy kelner podaje Ci w restauracji POS byś zapłacił za obiad, to skąd masz pewność co to jest za urządzenie? Kto potrafi zweryfikować co to jest i co ma tak naprawdę w środku?


Po drugie znam przypadek gdy w supermarkecie grupa Rumunów zamknęła dziecko na noc, schowane na półce między towarami. Dobrze przeszkolony maluch potrafił rozwiercić i otworzyć skądinąd dość dobrze zabezpieczone urządzenie i dokonać paru przeróbek. W końcu wszystko jakoś można złamać. Klienci cały dzień grzecznie korzystali z kart, a przestępcy zacierali ręce ze szczęścia.

Karta płatnicza z klawiaturą

VISA wyprodukowała (wreszcie) kartę płatniczą będącą równocześnie tokenem generującym jednorazowe hasła. Użytkownik przed użyciem karty byłby zobligowany do podania na klawiaturze PIN, dzięki czemu na wyświetlaczu otrzymywałby hasło.
Pomysł jak najbardziej dobry, tylko...czemu nie posiada to już wbudowanej biometryki? To byłoby rozwiązanie na miarę obecnych czasów, szczególnie, że pojawiły się już bankomaty weryfikujące w ten sposób tożsamość klientów]

Tylko w sumie, co z tego wynalazku, gdy techniki przełamywania zabezpieczeń są kilka długości z przodu. nawet trudny, długi i jednorazowy PIN (czy też zdigitalizowany odcisk palca nie pomogą w sytuacji, gdy można oszukać terminale, że weryfikacja danych nastąpiła poprawnie.
Przypomnijmy sobie historię z początku roku: opis oraz poglądowe video:

Konferencja "IT w Bankowości"

14 czerwca 2010 w Warszawie w hotelu Holiday Inn odbędzie się konferencja "IT w Bankowości" którą będę mieć zaszczyt otworzyć.

Opowiem o "Szansach i zagrożeniach płynących z nowoczesnych metod świadczenia usług informatycznych (outsourcing, offshoring, SOA, cloud computing) w bankowości".

Wstęp jest darmowy, więc tym bardziej serdecznie zapraszam