Куда я попал?
Стандарт Банка России № СТО БР БФБО-1.8-2024 от 01.07.2024
Стандарт Банка России "Безопасность финансовых (банковских) операций. Обеспечение безопасности финансовых сервисов при проведении дистанционной идентификации и аутентификации. Состав мер защиты информации"
Таблица 6 / 1
Для проведения оценки соответствия по документу войдите в систему.
Список требований
-
1.1. Служба аутентификации должна требовать предъявления всех необходимых аутентификаторов, определяемых на основании проводимой финансовой операции, УДА и перечня привязанных к учетной записи аутентификаторов
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.2. Служба аутентификации должна осуществлять процедуру аутентификации за единый непрерывный пользовательский сеанс на прикладном уровне модели OSI
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.3. Служба аутентификации должна осуществлять процедуру аутентификации за единое непрерывное криптографическое соединение
УДА 1 - ПС
УДА 2 - ЮЛ, ПС
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.4. Служба аутентификации должна реализовать механизмы, позволяющие прервать процедуру аутентификации или пользовательский сеанс, в случае получения уведомления от получателя услуг или самостоятельного выявления факта компрометации аутентификатора или канала взаимодействия
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.5. Служба аутентификации должна устанавливать предельное время пользовательского сеанса, определяемое на основании анализа рисков поставщиком услуг, и в случае его превышения прерывать пользовательский сеанс
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.6. Служба аутентификации должна устанавливать предельное время бездействия получателя услуг в рамках пользовательского сеанса, определяемое на основании анализа рисков поставщиком услуг, и в случае его превышения прерывать пользовательский сеанс
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.7. Служба аутентификации должна инициировать проведение новой процедуры аутентификации получателя услуг в случае завершения или прерывания пользовательского сеанса
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.8. Служба аутентификации должна прервать все пользовательские сеансы, провести идентификацию и аутентификацию получателя услуг с использованием другого аутентификатора, привязанного к цифровой идентичности получателя услуг, в случае потери или компрометации одного из аутентификаторов, привязанных к цифровой идентичности получателя услуг, а также обеспечить отзыв такого аутентификатора и привязку нового аутентификатора, соответствующего УДА отозванного аутентификатора
УДА 1 - ФЛ, ЮЛ
УДА 2 - ФЛ, ЮЛ
УДА 3 - ФЛ, ЮЛОбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.9. Служба аутентификации должна повторно провести первичную идентификацию получателя услуг и осуществить привязку новых аутентификаторов в случае потери или компрометации всех аутентификаторов, привязанных к цифровой идентичности получателя услуг
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.10. Служба аутентификации должна обеспечить временное блокирование возможности прохождения аутентификации при превышении числа неудачных попыток аутентификации, определенного на основании анализа рисков поставщиком услуг
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.11. Служба аутентификации должна требовать предъявления хотя бы одного аутентификатора, требующего конклюдентных действий* от получателя услуги
УДА 1 - ФЛ, ЮЛ
УДА 2 - ФЛ, ЮЛ
УДА 3 - ФЛ, ЮЛ
----------
* - Действий, которые подтверждают намерение получателя услуг предъявить конкретный аутентификатор, например ввод запоминаемого секрета, предъявление биометрических характеристик, активация внеполосного аутентификатора и другие.Обязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.12. Служба аутентификации позволяет устанавливать настройки аудита и сроки хранения журнала событий, в том числе содержащего записи об изменении аутентификационных данных, привязке или отзыве аутентификаторов, источниках неудачных попыток аутентификации, а также инцидентах, произошедших по причине ошибок аутентификации
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.13. Служба аутентификации должна вести учет всех аутентификаторов, которые связаны или были связаны с данной цифровой идентичностью на протяжении всего жизненного цикла цифровой идентичности
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.14. Служба аутентификации должна обеспечить защиту программных интерфейсов от воздействия некорректных или намеренно сформированных нестандартных запросов и ответов
УДА 1 - О
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3 -
1.15. Служба аутентификации должна учитывать несоответствие аутентификационной информации устройства при выборе УДА, по которому должна быть проведена аутентификация
УДА 1 - Н
УДА 2 - О
УДА 3 - ООбязательно для уровня доверия идентификации УДИ 1 УДИ 2 УДИ 3
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.