Курс: Проектирование безопасных автоматизированных банковских систем
Дополнительная дата проведения курса: 13.10.2025-23.10.2025
Продолжительность курса: 72 ак. ч.
Описание курса:
Курс предназначен для сотрудников и специалистов служб информационной безопасности кредитно-финансовых организаций Российской Федерации, ответственных за выработку требований информационной безопасности, а также за проектирование и создание безопасных автоматизированных банковских систем согласно требованиям регуляторов в области информационной безопасности (Банка России, ФСТЭК России, ФСБ России и др.).
Аудитория:
• Специалисты и инженеры по ИБ финансово-кредитных организаций;
• Инженеры проектировщики;
• Внедренцы безопасных АБС.
Необходимая подготовка:
• Базовые навыки работы с ПК;
• Начальные навыки программирования безопасных АБС архитектуры (монолит, трехзвенная, микросервисная).
Программа курса:
Модуль 1. Основные понятия в области информационной безопасности автоматизированных банковских систем:
• Угрозы, уязвимости, атаки, инциденты. Моделирование угроз для финансовых организаций. Модель нарушителя. Меры и основные принципы обеспечения безопасности информационных технологий;
• Практическое применение: угрозы, уязвимости, атаки, инциденты для систем ДБО, модели угроз и нарушителя, меры и принципы защиты.
Модуль 2. Учёт требований регуляторов в части информационной безопасности финансово-кредитных организаций:
• ГОСТ Р 57580.1-2017. Рекомендации РС БР ИББС 2.6. Обзор положений Банка России в части защиты информации. Требования PCI DSS. Требования ФСТЭК, Роскомнадзора, ФСБ;
• Практическое применение: какие требования законодательства и регуляторов применяются к ДБО.
Модуль 3. Распределённые прикладные системы как объект защиты:
• Архитектура распределённых приложений. Модель «клиент-сервер», двухзвенные, трёхзвенные архитектуры;
• Web-приложения. Автоматизированные банковские системы (АБС), примеры. Уровни информационной инфраструктуры. Жизненный цикл АБС
• Анализ сценариев возможных атак на системы дистанционного банковского обслуживания (ДБО);
• Многоуровневый подход к защите прикладных систем на примере ДБО.
Модуль 4. Многоуровневый подход к защите прикладных систем:
• Сегментирование, разделение информационных потоков распределённых систем;
• Межсетевые экраны, фильтрация трафика, анализ содержимого трафика, NGFW;
• Обнаружение сетевых атак IPS\IDS\WAF;
• Практическое применение данного блока информации для системы ДБО.
Модуль 5. Защита трафика АБС:
• Защита трафика прикладного уровня (протокол TLS);
• Понятие цифровой подписи. Основы инфраструктуры открытых ключей. Удостоверяющие центры;
• Атаки «человек посередине»;
• Практическое применение данного блока информации для системы ДБО.
Модуль 6. Защита на уровне операционных систем АБС:
• Аутентификация, авторизация, SSO, ролевая модель разграничения доступа (RBAC), защита и мониторинг привилегированного доступа, регистрация событий безопасности (согласно требованиям ЦБ, регуляторов и ГОСТ). Контроль целостности информации;
• Защита от несанкционированного доступа. Мониторинг событий безопасности. Практическое применение данного блока информации для системы ДБО.
Модуль 7. Защита Web-приложений АБС:
• Уязвимости Web-приложений. Список OWASP TOP 10. Классификация угроз Web Application Security Consortium;
• Атаки на клиентов. Внедрение исполняемого кода. Практика защиты Web-приложений на примере систем ДБО.
Модуль 8. Безопасность систем управления базами данных АБС:
• Анализ взаимодействия компонентов приложений с СУБД. Использование защитных механизмов уровня СУБД. Разграничение доступа к объектам СУБД со стороны приложений;
Подходы к шифрованию данных. Меры защиты от утечек. Практическое применение данного блока информации для системы ДБО.
Модуль 9. Обеспечение ИБ АБС на этапе разработки ПО:
• Технологии разработки ПО, DevSecOps. Гибкие методики разработки ПО, Agile. Механизмы автоматизированного поиска уязвимостей в исходных кодах приложений;
• Методы статического анализа (Static Application Security Testing, SAST), динамического анализа, фаззинг (Dynamic Application Security Testing, DAST), Interactive Application Security Testing (IAST), гибридный анализ;
• Практическое применение данного блока информации для системы ДБО.
Модуль 10. Обеспечение ИБ в процессе эксплуатации:
• Тестирование приложений перед вводом в эксплуатацию;
• Прием ПО в эксплуатацию. Контроль соответствия требованиям. Мониторинг состояния защищённости в ходе эксплуатации;
• Процедуры, выполняемые на стадии снятия с эксплуатации. Практическое применение данного блока информации для системы ДБО.
Окончательная цена указывается в договоре на обучение.
