Коопсуздук

Көзөмөл механизмдери

• Операцияларды мониторинг

  Төлөм операцияларын жана транзакциялык активдүүлүктү мониторинг.

• Fraud Prevention

  Шектүү болушу мүмкүн болгон активдүүлүктү аныктоо механизмдери.

• AML / CFT

  Колдонуудагы жөнгө салуу талаптарына ылайык финансылык мониторинг жол-жоболору.

• KYC / KYB

  Мыйзамда каралган учурларда идентификациялоо жана текшерүү жол-жоболору.

• Маалыматтарды коргоо

  Төлөм инфраструктурасынын алкагында мүмкүнчүлүктү көзөмөлдөө жана маалыматты коргоо.

• Инфраструктураны мониторинг

  Платформанын негизги компоненттеринин абалын туруктуу технологиялык көзөмөлдөө.

Карта реквизиттери МОНТРАнын контуруна түшпөйт

Төлөөчүнүн карта маалыматтарын киргизүү жана аларды токенге айландыруу эквайер-банктын сертификацияланган контурунда аткарылат. МОНТРА төлөмдү кабыл алат жана өткөрөт, операция боюнча финансылык маалыматты иштеп чыгат; операцияны авторизациялоону карта чыгарган банк, акчанын кыймылын катышуучу банктар аткарат.

Мындан практикалык эреже келип чыгат: төлөм баракчалары, карта маалыматын кабыл алган формалар жана төлөм шлюзунун виджеттери бул сайттан тышкары, өзүнчө поддоменде жайгашат. Ушул сайтта карта маалыматын кабыл алган бир да форма жок.

Туруктуу төлөмдөрдө кайталанган эсептен алуулар токен боюнча жүргүзүлөт. Карта реквизиттери МОНТРАда сакталбайт — демек, бизден уурдай турган нерсе жок.

Маалыматтар жана байланыш каналы

• Байланыш HTTPS аркылуу гана: HSTS, каталардан коргоочу заголовкалар жана script-src ичинде unsafe-inline жок Content Security Policy колдонулат.
• Сайтта үчүнчү тараптын скрипттери, тышкы шрифттери жана жарнамалык пикселдери жок — бул тексттин ырастоосу эмес, тармактык суроо-талаптардан көрүнөт.
• Аналитика cookie файлдарын койбойт жана келүүчүнүн маалыматын тышкы кызматтарга бербейт.
• Арыздардын мазмуну ачык контурда сакталбайт: форма текшерилип, корголгон канал аркылуу МОНТРАнын контуруна берилет.
• Форманын мазмуну журналдарга, дарек сабына жана аналитикага түшпөйт; кабарлоо каттары арыздын идентификаторун гана камтыйт.
• Маалымат минимуму чогултулат: документтер, ИНН жана жүгүртүү сыяктуу сезимтал маалыматтар ачык форма аркылуу эмес, экинчи кадамда корголгон контурда суралат.

Жеке маалыматтар саясаты · Төлөөчүнүн маалыматтарын иштетүү

Кирүү укуктарын бөлүштүрүү

Маалыматка кирүү — кызматтык абалдын эмес, тапшырманын функциясы. Негизги эрежелер:

• Эң аз укуктар принциби: кирүү ролго жана конкреттүү тапшырмага гана берилет.
• Административдик кирүү үчүн көп факторлуу аутентификация талап кылынат.
• Маалымат менен жасалган аракеттер журналга жазылат, журналдар өзүнчө сакталат.
• Ролу өзгөргөндө укуктар кайра каралат, жумуштан кеткенде дароо жокко чыгарылат.
• Иштеп чыгуу жана тестирлөө чөйрөлөрү өнөр жайлык чөйрөдөн ажыратылган, аларда чыныгы маалымат колдонулбайт.

Стандарттар

Маалыматтык коопсуздук боюнча ички саясаттар ISO/IEC 27001 жана PCI DSS принциптеринин негизинде түзүлгөн, сертификациялоо пландаштырылган.

Сертификациялоонун мөөнөтү: толтурулат

Биз стандарттардын белгилерин жана логотиптерин жайгаштырбайбыз жана бизде жок сертификация жөнүндө жазбайбыз. Колдоочу документсиз шайкештик жөнүндө ырастоо — жалган жарнама, ал эми сертификациялоо органдарынын белгилери алардын ээлерине гана таандык.

Инциденттерге жооп кайтаруу тартиби

1. Каттоо жана классификациялоо

   Кабарлоо каттоодон өтөт, инцидентке деңгээл ыйгарылат жана жооптуу дайындалат.

2. Локалдаштыруу

   Кирүү чектелет, зыян тийген процесс токтотулат, далилдер сакталат.

3. Жоюу жана калыбына келтирүү

   Себеп жоюлат, кызмат калыбына келтирилет, өзгөрүүлөр текшерилет.

4. Кабарлоо

   Зыян тийген кардарлар, катышуучу банктар жана лицензиат үчүн белгиленген тартипте Улуттук банк маалымдалат.

5. Талдоо

   Себептери талданат, чаралар аныкталат, ички саясатка өзгөртүүлөр киргизилет.

Жооп кайтаруу мөөнөттөрү жана кезметчи кызматтын иш убактысы келишим түзүлгөндөн кийин келишимде белгиленет.

Аялуулук жөнүндө кантип кабарлоо керек

Эгерде сиз аялуулукту тапсаңыз, аны жарыялоодон мурун бизге кабарлаңыз. Байланыш маалыматтары жана эрежелер RFC 9116 боюнча security.txt файлында жарыяланган.

/.well-known/security.txt →

Сураныч, текшерүү жүргүзгөндө:

• кызматтын жеткиликтүүлүгүнө таасир этүүчү текшерүүлөрдү жүргүзбөңүз;
• бөтөн адамдардын маалыматтарына кол салбаңыз жана аларды сактабаңыз;
• социалдык инженерияны жана кызматкерлерге багытталган ыкмаларды колдонбоңуз;
• аялуулук жоюлганга чейин деталдарды жарыялабаңыз.

Коопсуздук маселелери боюнча почта: security@montra.kg

Расмий каналдар жана фишинг

Биз эч качан картанын толук маалыматын, SMSтеги кодду же сырсөздү сурабайбыз — телефон аркылуу да, мессенджерлерде да. Кайрылуу чын эле бизден келгенин расмий каналдардын тизмеси боюнча текшериңиз.

Расмий каналдар

Тектеш баракчалар

ПОД/ФТ жана көзөмөл · Биз туташтырбаган иш түрлөрү · Лицензиялар · Кайрылуулар, доолор жана талаш-тартыштар

Лицензиялар боюнча көзөмөлдөөчү орган: Кыргыз Республикасынын Улуттук банкы