Какая схема наиболее безопасна для работы пользователей с ПТК ПСД?

Question

[CRAZY9999]

Добрый день, коллеги!

Есть 2 рассматриваемых варианта для взаимодействия пользователей с машиной ПТК ПСД, которая упаковывает посылки в ЦБ (подписывает Вербой).

Вариант 1:Вариант 2:

Прошу указать наиболее существенные плюсы и минусы каждой схемы и предложить лучший вариант с точки зрения Информационной безопасности и не только. Комментарии по улучшению схем категорически приветствуются!

Спасибо!)

Comments

[Армянское Радио]

Разница между схемами в одной стрелочке. Хорошо бы формально описать, чего это тут нарисовано.

[CRAZY9999]

Армянское Радио: Разница в расположении криптопровайдера Верба: в отдельной подсети, или в домене. Там все подписано, формально где нет стрелочек идет обмен по внутрисетевым протоколам (MS Share например), обмен по ftp и с sql базой показан наглядно

Answer 1

[zigen]

А безопасников у Вас в банке нет?
На первой схеме не понятно: АРМ ЦБшный с вашей БД напрямую что ли взаимодействует?

Comments

[CRAZY9999]

Я и есть безопасник, но мое мнение на данный момент не важно, я хочу узнать мнение коллег. Средствами SQL можно установить удаленной взаимодействие с базой (ODBC кажется), так что да, напрямую. Здесь нигде нет ни АРМ КБР, ни другого ПО, отправляющего платежки, если вы об этом, там все четко расписано. Это для передачи отчетности, требований нет, в лучшем случае рекомендации в паре регионов.

[zigen]

CRAZY9999: Имхо вторая схема предпочтительней. Хотя на сколько я знаю, в регионах через ПТК ПСД платежки тоже отправляются. Главное не допустить передачи данных в открытом виде через публичные каналы.

[CRAZY9999]

Поподробнее опишите пожалуйста, плюсы и минусы, почему предпочтительней

[zigen]

Ну во-первых, Вы не публикуете свой SQL сервер наружу. Во вторых передача закриптованных Вербой конвертов по ftp оправданна ввиду того, что данные защищены и происходит автоматическая проверка целостности.

[CRAZY9999]

Забыл указать, просто в регионах в основном так везде насколько я знаю, это все одно здание, все взаимодействия происходят в локальной сети, разделены МЭ просто подсети. За периметр выходят только подписанные/шифрованные данные

[CRAZY9999]

С машины УТА (универсальный транспортный адаптер) пакеты отправляются в ЦБ (любые - платежки, отчеты). А данные схемы - способы формирования и передачи их на эту машину