Безопасность

Механизмы контроля

• Transaction Monitoring

  Мониторинг платёжных операций и транзакционной активности.

• Fraud Prevention

  Механизмы выявления потенциально подозрительной активности.

• ПОД / ФТ

  Процедуры финансового мониторинга в соответствии с применимыми регуляторными требованиями.

• KYC / KYB

  Процедуры идентификации и проверки в предусмотренных законодательством случаях.

• Data Protection

  Контроль доступа и защита информации в рамках платёжной инфраструктуры.

• Infrastructure Monitoring

  Постоянный технологический контроль состояния ключевых компонентов платформы.

Карточные реквизиты не попадают в контур МОНТРА

Ввод карточных данных плательщика и их превращение в токен выполняются в сертифицированном контуре банка-эквайера. МОНТРА принимает и проводит платёж и обрабатывает финансовую информацию по операции; авторизацию операции выполняет банк, выпустивший карту, а движение денег — банки-участники.

Отсюда практическое правило: платёжные страницы, формы приёма карточных данных и виджеты платёжного шлюза размещаются вне этого сайта, на отдельном поддомене. На этом сайте нет ни одной формы, принимающей карточные данные.

При регулярных платежах повторные списания выполняются по токену. Реквизиты карты у МОНТРА не хранятся — похищать у нас нечего.

Данные и канал

• Соединение только по HTTPS: включён HSTS, заданы защитные заголовки, действует Content Security Policy без unsafe-inline в script-src.
• На сайте нет сторонних скриптов, внешних шрифтов и рекламных пикселей — это видно по сетевым запросам, а не только из текста.
• Аналитика не устанавливает cookie и не передаёт данные посетителя во внешние сервисы.
• Содержимое заявок не сохраняется в публичном контуре: форма проверяется и передаётся в контур МОНТРА по защищённому каналу.
• Тело формы не пишется в логи, не попадает в адресную строку и в аналитику; письма-уведомления содержат только идентификатор заявки.
• Собирается минимум данных: документы, ИНН и обороты запрашиваются на втором шаге в защищённом контуре, а не через публичную форму.

Политика обработки персональных данных · Обработка данных плательщика

Разграничение доступа

Доступ к данным — функция задачи, а не должности. Основные правила:

• Принцип минимальных привилегий: доступ выдаётся под роль и конкретную задачу.
• Административный доступ возможен только с многофакторной аутентификацией.
• Действия с данными журналируются, журналы хранятся отдельно от рабочих систем.
• При смене роли права пересматриваются, при увольнении отзываются немедленно.
• Среды разработки и тестирования отделены от промышленной, реальные данные в них не используются.

Стандарты

Внутренние политики информационной безопасности построены на принципах ISO/IEC 27001 и PCI DSS, сертификация запланирована.

Срок сертификации: уточняется

Мы не размещаем знаки и логотипы стандартов и не пишем о сертификации, которой у нас нет. Утверждение о соответствии без подтверждающего документа — недостоверная реклама, а знаки органов по сертификации принадлежат только их держателям.

Порядок реагирования на инциденты

1. Регистрация и классификация

   Сообщение фиксируется, инциденту присваивается уровень, назначается ответственный.

2. Локализация

   Ограничивается доступ, останавливается затронутый процесс, сохраняются свидетельства.

3. Устранение и восстановление

   Устраняется причина, восстанавливается работа сервиса, проверяются внесённые изменения.

4. Уведомление

   Информируются затронутые клиенты, банки-участники и — в установленном для лицензиата порядке — Национальный банк.

5. Разбор

   Разбираются причины, определяются меры, вносятся изменения во внутренние политики.

Сроки реагирования и режим работы дежурной службы фиксируются в договоре при подключении.

Как сообщить об уязвимости

Если вы нашли уязвимость, сообщите нам до её публикации. Контактные данные и правила опубликованы в файле security.txt по RFC 9116.

/.well-known/security.txt →

Просим при проверке:

• не проводить проверок, влияющих на доступность сервиса;
• не затрагивать и не сохранять данные других людей;
• не применять социальную инженерию и методы, направленные на сотрудников;
• не публиковать детали до устранения уязвимости.

Почта по вопросам безопасности: security@montra.kg

Официальные каналы и фишинг

Мы никогда не запрашиваем полные данные карты, коды из SMS и пароли — ни по телефону, ни в мессенджерах. Проверить, что обращение действительно от нас, можно по списку официальных каналов.

Официальные каналы

Смежные страницы

ПОД/ФТ и надзор · Виды деятельности, которые мы не подключаем · Лицензии · Обращения, претензии и споры

Надзорный орган по лицензиям: Национальный банк Кыргызской Республики