IT-ландшафт платформы цифрового рубля (ЦР) обусловлен двух-уровневой (розничной) его моделью, при которой Банк России выступает в качестве верхне-уровневого оператора платформы и эмитента ЦР. Он же управляет счетами клиентов.

На втором уровне находятся финансовые посредники, которые предоставляют доступ к цифровым кошелькам, поскольку клиенты не имеют возможности доступа напрямую в ЦБ. Посредники наделены функцией конвертации рублей и предоставления своим клиентам инструмента для доступа к платформе ЦР. Кроме того, они должны выполнять процедуры, предусмотренные законодательством в сфере ПОД/ФТ и т.д.

Сейчас на этапе начального этапа «пилота» насчитывается 13 участников — финансовых организаций. В тестировании участвуют около 600 физлиц и 30 юрлиц в 11 городах России. Уже совершено примерно 10 тыс. операций. В первом квартале 2024 года рамки «пилота» будут расширены. К нему подключатся еще 15 банков, а количество физлиц достигнет нескольких тысяч.

Вести с полей

Рамочное регулирование инфраструктуры ЦР описано Банком России в Положении N 820-П «О платформе цифрового рубля» от 3 августа 2023 года. В частности, предусматривается появление уровня смарт-контрактов, которые позволят осуществлять «расчеты с условиями». Кроме того, должна появиться возможность работы с ЦР без доступа к интернету и иные инновационные сервисы. На этапе «пилота» ЦР пока выполнят исключительно расчетную функцию.

С целью систематизации требований к ИБ Банком России в июле 2023 года опубликован проект Положения «О требованиях к обеспечению защиты информации для участников платформы цифрового рубля». Требования к защите распространяются на автоматизированные системы, ПО, средства вычислительной техники, а также на телекоммуникационное оборудование. Эксплуатация перечисленного обеспечивается участником платформы цифрового рубля с целью формирования, подготовки, обработки, передачи и хранения защищаемой информации.

Согласно проекту Положения, банкам надлежит использовать электронную подпись, подтверждающие документы на которую выданы удостоверяющим центром ЦР Банка России (УЦ). Кроме того, в документе описаны требования к мобильному и интернет-банку клиента, с помощью которых будут совершаться операции с цифровыми рублями.

Участники пилотного проекта информируют о том, что проект с ЦР является одним из самых сложных в силу высоких затрат как на разработку импортозамещенных прикладных решений, так и на инвестиции в сопутствующую ИБ-инфраструктуру, к которой предъявляются жесткие требования.

Практической информации от участников «пилота» крайне мало, поэтому любая информация «с полей» крайне важна.

ВБА информирует

На десятом международном Форуме ВБА-2023 Алексей Александров, генеральный директор компании SDK Systems, входящей в консорциум iCAM Group, погрузился в конкретику в области защиты информации ЦР в коммерческих банках,  исключая зону ответственности Банка России: «Согласно серии национальных стандартов ГОСТ 57580.х “Защита информации финансовых организаций”, подлежат защите персональные данные пользователей ЦР — клиентов банка, данные об операциях, включая связанные с ними, а также ключевая информация средств криптографической защиты информации (СКЗИ) и другая конфиденциальная информация о системе цифрового рубля».

Как известно, указанный ГОСТ предполагает регулярный аудит инфраструктуры банка с привлечением сторонней компании-аудитора лицензиата ФСТЭК на соответствие требованиям документа. Периодичность проверки пока официально не объявлена. Модель угроз, по данным участников рынка, также будет утверждена ФСБ в скором будущем. Пока перечисленное находится в «серой зоне» регулирования.

В список технологических сегментов ЦР в банках-участниках входят адаптер цифрового рубля, состоящий из контуров обработки и контроля, подчиненный удостоверяющий центр, пользовательские интерфейсы, включая мобильное и web-приложение, а также каналы передачи данных. По мнению представителя SDK Systems, одним из наиболее серьезных вызовов является построение УЦ.

«Банк — участник пилотного проекта должен развернуть подчиненный Удостоверяющий центр с использованием программно-аппаратного комплекса (ПАК) УЦ, сертифицированный ФСБ по классу КС3. Назначение — выдача сертификатов ключей проверки электронных подписей пользователей ЦР. Мы в своих проектах, внедряя удостоверяющий центр, ориентируемся на продукт компании «КриптоПро», сертифицированный по классу КС3», — пояснил Алексей Александров.

В своей презентации эксперт разъяснил, что каждый пользователь ЦР должен пройти идентификацию и получить сертификат в удостоверяющем центре банка-участника. В мобильное и web-приложение должно быть встроено СКЗИ (ПМ БР) для работы с ключами пользователя ЦР, а канал до банка-участника защищается с помощью ГОСТ TLS. И TLS применительно к web, и КС3 (и выше) для УЦ, работающих на OC Windows, являются одними из множества болевых точек ИБ и импортозамещения.

Дополнительные проблемы создает и требование к тому, чтобы   контуры обработки и контроля имели свои собственные сетевые сегменты с СКЗИ класса КС3, а также обслуживались отдельными сотрудниками.

Роман Карпов, директор по стратегии и развитию технологий Axiom JDK, успокаивает: «Отечественная среда исполнения Java включает готовые конфигурации российских TLS (SSL) сертификатов в дополнение к обновлениям безопасности и критическим патчам (CPU). При установлении защищенных TLS-соединений с цифровыми сервисами, использующими сертификаты Минцифры, подключение Java-приложений произойдет автоматически, если они работают на Axiom JDK Pro, в отличие от приложений, работающих на Oracle Java, других JDK и самосборках OpenJDK».

Станислав Шилов, директор по развитию продуктов Центра цифровых решений для бизнеса компании BSS, комментируя для «Б.О» вопрос: «Насколько будет сложна на следующих этапах “пилота” внедрения ЦР задача построения удостоверяющих центров для средних и малых банков?», ответил: «Задача непростая, как в силу необходимости дополнительных инвестиций в построение собственного УЦ, так и в силу необходимости наличия соответствующих кадров, которых в небольшом банке без своего УЦ, скорее всего, нет. Но при этом она вполне решаема».

Вебинар АРБ и опыт Ингосстраха

15 ноября 2023 года Ассоциация российских банков (АРБ) в партнерстве с компанией BSS провела вебинар «Цифровой рубль и реализации в ДБО функционала, необходимого для работы с новой цифровой валютой», запись которого доступна на канале Ассоциации в YouTube.

Вебинар дал исчерпывающие ответы инженеров из BSS по уже наработанным ими практикам трансформации имеющихся в банках систем ДБО для работы с ЦР, согласно требованиям Банка России. В частности, реализована типовая web-версия ДБО для юридических лиц с платежным функционалом, а также полным набором операций для открытия кошелька и регистрации сертификата ключа, а также обмена безналичных средств банка на ЦР. Срок выполнения проекта составил три месяца.

Андрей Тужилин, технический директор банка Ингосстрах, в режиме вопросов и ответов рассказал о полученном опыте. Его выступление также доступно в записи на канале АРБ.  ИБ-специалистам стало интересно то, что он опроверг расхожее мнение о возможности аутсорсинга: «Никакой облачной подписи не предусмотрено. Сейчас ключи хранятся надежным образом у клиента в мобильном приложении Банка России или на неизвлекаемых носителях, если это web».

Что будет дальше? И Андрей Тужилин, и представители BSS говорят об офлайн-режиме использования ЦР, а также о крайне полезном инструменте — смарт-контрактах.

Станислав Шилов добавил: «Компания BSS очень чутко относится ко всем инновационным инициативам и стремится максимально их поддерживать. Поскольку мы видим существенную синергию между дистанционными каналами банка и инфраструктурой цифрового рубля, включая возможность его использования в смарт-контрактах, планируем работать в данном направлении».