1. WSTĘP 2 2. BEZPIECZEŃSTWO DOSTĘPU I KOMUNIKACJI 3 3. BEZPIECZEŃSTWO ZLECEŃ 6 4. PROCEDURA AKTYWACJI LOGI SYSTEMOWE DALSZE INFORMACJE 11

Transkrypt

1 1. WSTĘP 2 2. BEZPIECZEŃSTWO DOSTĘPU I KOMUNIKACJI LOGOWANIE DO SYSTEMU MAKSYMALNY CZAS BRAKU AKTYWNOŚCI W SYSTEMIE SZYFROWANIE SESJI INTERNETOWEJ CERTYFIKAT INTERNETOWY 5 3. BEZPIECZEŃSTWO ZLECEŃ UŻYTKOWNICY I ICH UPRAWNIENIA PROFILE UŻYTKOWNIKÓW REGUŁY AUTORYZACJI H@SŁOSMS POTWIERDZENIE OPERACJI H@SŁEMSMS 9 4. PROCEDURA AKTYWACJI LOGI SYSTEMOWE DALSZE INFORMACJE 11

2 1. Wstęp System Millenet dla Przedsiębiorstw spełnia wymogi bezpieczeństwa stawiane obecnie systemom bankowości internetowej. Bezpieczeństwo systemu obejmuje: Bezpieczeństwo dostępu i komunikacji z bankiem Bezpieczeństwo zleceń Procedurę aktywacji Logi systemowe 2

3 2. Bezpieczeństwo dostępu i komunikacji 2.1. Logowanie do systemu Aby zalogować się do systemu Użytkownikowi potrzebne są: MilleKod identyfikator Klienta. Jest to ciąg znaków służący do uwierzytelnienia klienta w systemie. Login identyfikatora użytkownika. Jest to ciąg od 4 do 20 znaków, który wraz z MilleKodem służy do uwierzytelnienia użytkownika w systemie Millenet. Hasło osobiste hasło użytkownika. Jest to ciąg od 8 do 24 znaków, który służy do uwierzytelnienia użytkownika i w połączeniu z MilleKodem i loginem użytkownika weryfikuje, że logujący się użytkownik został uprawniony przez Klienta do korzystania z systemu. Przy pierwszym wejściu do systemu Millenet zostaje wymuszona zmiana Loginu i Hasła. Klient może sam w każdej chwili zmienić Hasło, a dodatkowo, co pewien czas system przypomina o konieczności wprowadzenia tej zmiany (w zależności od ustawień parametrów ważności hasła). W przypadku 3-krotnego podania błędnego hasła podczas logowania do systemu, hasło użytkownika zostaje zablokowane. Nadania nowego hasła może dokonać inny użytkownik z odpowiednimi uprawnieniami. Nową kopertę z hasłem do logowania dla użytkowników początkowych Klient może uzyskać w Placówce Banku lub od Doradcy Bankowego. Po wydaniu nowej koperty z Hasłem, przy logowaniu do Millenet, system wymusza zmianę tego hasła. 3

4 Rozpoznawanie słabych haseł przez system System wykrywa słabe tzn. składające się z tych samych znaków lub z ich powtarzalnej sekwencji hasła i żąda ich potwierdzenia lub wybrania innego hasła stosownym komunikatem: Decyzją użytkownika jest, czy zgodnie z sugestią wprowadzi bardziej skomplikowane hasło, czy pozostanie przy właśnie wprowadzanym Maksymalny czas braku aktywności w systemie Czas bezczynności w systemie jest konfigurowany przez użytkownika i wynosi maksymalnie 15 minut. System automatycznie wylogowuje użytkownika, przy braku jego aktywności przez określony czas. Po wylogowaniu z powodu przekroczeniu czasu bezczynności, powrót do pracy w systemie będzie możliwy po ponownym podaniu loginu i hasła (nie jest wymagane podawanie po raz kolejny MilleKodu). 4

5 2.3. Szyfrowanie sesji internetowej System Millenet wykorzystuje protokół SSL (z kluczem 128 bitowym) do szyfrowania sesji pomiędzy przeglądarką użytkownika, a serwerem banku Certyfikat internetowy Sesja w systemie Millenet dla Przedsiębiorstw nawiązywana jest z wykorzystaniem certyfikatu internetowego użytkownika. Certyfikat internetowy ma za zadanie wzmocnić poziom bezpieczeństwa systemu Millenet bez Certyfikatu dostęp do informacji o rachunkach i wykonywania jakichkolwiek operacji jest niemożliwy. Aby użytkownik mógł wykonywać operacje w Millenet, powinien go pobrać i zainstalować. Certyfikat przechowywany jest lokalnie na stacji roboczej użytkownika, zgodnie z ustawieniami Microsoft Base Cryptographic Provider. Certyfikat internetowy ważny jest 1 rok od daty wystawienia. Po upływie tego czasu użytkownik zobowiązany jest do pobrania kolejnego. Certyfikat może zostać pobrany tylko wtedy, gdy użytkownik poda jednorazowe H@słoSMS wysłane na telefon komórkowy Klienta przez Bank. Pobranie nowego certyfikatu wymagane jest zawsze podczas pierwszego logowania do systemu Millenet, z nowej stacji roboczej (komputera). 5

6 3. Bezpieczeństwo zleceń 3.1. Użytkownicy i ich uprawnienia Konfigurację początkową Millenet wykonuje się na podstawie formularzy z danymi osobowymi użytkowników, ich uprawnieniami do rachunków i poszczególnych opcji systemu, oraz kserokopii dowodu tożsamości. Użytkownicy, których dane osobowe zostały formalnie zatwierdzone przez Bank mogą dodawać nowych użytkowników do systemu i konfigurować im zakres uprawnień. Użytkownik dodający nowego użytkownika musi posiadać odpowiednie uprawnienia: Operacja dodania nowego użytkownika i przyznania mu uprawnień następuje po zatwierdzeniu (autoryzacji) jej przez użytkowników z wymaganymi uprawnieniami. Millenet umożliwia zdefiniowanie indywidualnie dla każdego użytkownika uprawnień do operacji: 6

7 i dostępu do rachunków: 3.2. Profile użytkowników System Millenet umożliwia przypisanie użytkownika do jednego z trzech dostępnych profili: A, B lub C. Przypisanie takie oznacza nadanie użytkownikowi upoważnienia do zatwierdzania transakcji (finansowych lub niefinansowych), zgodnie ze schematem autoryzacyjnym zdefiniowanym w regułach autoryzacyjnych. Zależności między profilami są takie, że autoryzacja użytkownika z grupy A może zastąpić autoryzację użytkownika z profilu B lub C, a autoryzacja użytkownika z profilu B zastąpić autoryzację użytkownika z profilu C. Przykładowo, jeżeli dla autoryzowania zlecenia wymagany jest użytkownik o profilu z grupy B, osoba z grupy o profilu A tez może zatwierdzić takie zlecenie Reguły autoryzacji Reguła Autoryzacji określa ilu użytkowników o danym profilu musi autoryzować operację, aby mogła zostać wykonana. Reguły autoryzacji pozwalają określić maksymalny limit kwotowy na pojedyncze zlecenie, do którego dana grupa użytkowników może zautoryzować płatność. W powyższym przykładzie zlecenie na kwotę PLN musi być zautoryzowane przez 2 użytkowników, z których jeden powinien posiadać profil A, a drugi przynajmniej profil B. Zlecenia powyżej 1 mln PLN powinny być autoryzowane przez 2 użytkowników z profilem A. Reguły autoryzacji definiowane są indywidualnie dla poszczególnych rodzajów zleceń. Reguły autoryzacji dla zleceń finansowych: 7

8 Przelewy poza aktywa firmy Przelew do ZUS 3 w 1 Przelewy w ramach aktywów firmy (ta reguła obejmuje również lokaty terminowe) Reguły autoryzacji dla zleceń niefinansowych (reguły definiowane dla zarządzania systemem): Reguły autoryzacji Certyfikaty Użytkownicy Odbiorcy 3.4. H@słoSMS H@słaSMS to jednorazowe kody wysyłane SMS-em na telefon komórkowy (wcześniej zdefiniowany) Klienta. Jest to bezpieczniejszy sposób autoryzacji wybranych operacji użytkownika Millenet, który: umożliwia pobranie certyfikatu internetowego, służy za dodatkowe uwierzytelnienie przy zatwierdzaniu zleceń oraz reguł autoryzacji. 8

9 3.5. Potwierdzenie operacji Celem zwiększenia bezpieczeństwa, realizacja dowolnego przelewu (przelewy krajowe, SORBNET, zagraniczne, ZUS oraz skarbowe) wymaga zatwierdzenia zgodnie z określonymi regułami autoryzacji. Jeżeli reguły autoryzacji wymagają autoryzacji przez jedną osobę, wówczas jedna osoba samodzielnie autoryzuje zlecenie. Jeżeli reguły autoryzacji wymagają autoryzacji przez większą ilość użytkowników (max. 3-ech), wówczas dla każdej z osób autoryzujących pojawi się żądanie podania H@słaSMS. Jednorazowe H@słaSMS wysyłane są na numer telefonu zdefiniowany wcześniej dla każdego z użytkowników. Każde H@słoSMS jest ważne 15 minut (nie dłużej niż czas trwania aktualnej sesji użytkownika). System podczas autoryzacji zlecenia żąda podania 6 cyfrowego H@słaSMS: Żądanie podania H@słaSMS pojawia się także przy edycji takich istotnych parametrów systemu jak zmiana reguł autoryzacji, dodanie nowego użytkownika, czy modyfikacja uprawnień użytkownika istniejącego. W przypadku problemów z odebraniem wiadomości SMS istnieje możliwość ponownego wygenerowania H@słaSMS dla zatwierdzenia tej samej transakcji. Nowe hasło można wygenerować po upływie co najmniej 2 minut od wysłania pierwszego H@słaSMS. W przypadku wprowadzenia niepoprawnego H@słaSMS w systemie Millenet, system automatycznie wygeneruje i wyśle kolejnego SMS a z hasłem i zażąda jego podania. W przypadku wpisania trzykrotnie błędnego H@słaSMS możliwość autoryzacji przez tego użytkownika zostaje zablokowana. Każdy SMS oprócz jednorazowego, 6-cio cyfrowego hasła, zawiera informacje umożliwiające jednoznaczną identyfikację wykonywanej operacji w Millenecie, tj. numer operacji w bieżącym dniu, datę, nazwę operacji, a w przypadku przelewu: nr rachunku zleceniodawcy i beneficjenta oraz kwotę przelewu. 9

10 4. Procedura aktywacji Bezpieczeństwo systemu zależy nie tylko od zabezpieczeń technicznych, ale też organizacyjnych. Procedura aktywacji Millenet gwarantuje spełnienie wymogów bezpieczeństwa, zapewniając jednocześnie ergonomię w zarządzaniu systemem. Doradca Klienta / Asystent przyjmuje od klienta: Wniosek w Zakresie KBE wypełniony formularz Dane osobowe użytkownika/użytkowników Millenet wypełniony formularz Konfiguracja Użytkowników w Millenet (zdefiniowane loginy, zakresy uprawnień oraz reguły autoryzacji) Kserokopię dowodu osobistego Doradca Klienta / Asystent weryfikuje dokumenty (pomaga w ich wypełnieniu) oraz przypisuje i wydaje kopertę/koperty z hasłami umożliwiającymi logowanie do systemu. Dodatkowo informuje klienta, że przekazane hasła są czasowo nieaktywne, a informacja o ich aktywacji zostanie przekazana telefonicznie przez Obsługę Klienta. Klient otrzymuje również przewodnik Millenet, pierwsze kroki. Doradca przekazuje zeskanowane dokumenty pracownikowi Banku, który zakłada Millekod, tworzy użytkowników i zgodnie z ustawieniami zapisanymi w Konfiguracji Użytkowników w Millenet definiuje ich uprawnienia. Informacja o wykonaniu konfiguracji przekazywana jest zwrotnie do doradcy klienta. Pracownik zespołu DBE-ZWK Zespol Wspomagania Klienta informuje telefonicznie klienta o możliwości logowania się do systemu Millenet oraz przekazuje Millekod. Przekazuje również niezbędne informacje dotyczące systemu Millenet oraz pierwszego logowania. 5. Logi systemowe Logi systemowe, generowane automatycznie przez aplikację, są rejestrem wszystkich czynności dokonanych przez Użytkowników. Każda aktywność Użytkownika jest zapisywana w logach i oznaczona znacznikiem czasu. Bank, w oparciu o te dane odtwarza i opisuje czynności wykonywane przez użytkownika w przypadku reklamacji lub wymagań audytu. IDUser IDAlias IDTransaction Timestamp Operation Status Comments 7912 jkowalski TRInternational pnowak sdabrowski AZAproveBatch AZAproveBatch 2813 sdabrowski OMSendOrders :53: :15: :17: :18: Pending for Authorization OK OK OK Original order posted Order approved Order approved Order sent for execution 10

11 6. Dalsze informacje Na wszelkie dodatkowe pytania związane ze standardami bezpieczeństwa Millenet odpowiedzą specjaliści z HelpDesk Millenet dla Przedsiębiorstw. Zadzwoń: (z telefonów stacjonarnych) (z telefonów komórkowych i z zagranicy) 11