12
Рис. 1.2. – Техническая архитектура АО Банк «Зарядье»
13
Для защиты от катастрофы в ОЦОД применено решение на базе VMware
SRM и репликации с помощью выделенных устройств — EMC RecoverPoint. Они
дублируют все операции вывода из ОЦОД в РЦОД в асинхронном режиме. В
случае достаточной пропускной способности канала такая репликация дает RPO
близкое к 0. Устройства RecoverPoint позволяют сжимать трафик между
площадками и передавать только уникальные блоки, что снижает требования к
каналу.
Кроме того, они позволяют также откатить тома с данными на определенный
момент времени, что дает защиту от логических сбоев. Если логический сбой
случается в определенный момент времени, администратор имеет возможность
откатиться на состояние до сбоя.
Сейчас многие банки задумываются или уже создают свой резервный ЦОД
(или РЦОД). Однако этого может быть недостаточно, поскольку дата-центры в
Москве могут иметь общую инфраструктуру. Оба дата-центра могут питаться через
одну подстанцию, может произойти веерное отключение подстанций, оптические
трасы к ЦОД могут подходить через одну точку…
Преимущество данного комплекса решений EMC VPLEX + EMC
RecoverPoint + VMware vSphere HA позволяет обеспечить защиту от сбоев на базе
3-ех ЦОД – двух близко расположенных и одного расположенного относительно
далеко на случай катастрофы. Это позволяет банку получить синхронную
репликацию с нулевой потерей данных в случае сбоя в одном ЦОД, а также защиту
от глобальных катастроф.
1.2 Характеристика комплекса задач, задачи и обоснование необходимости
автоматизации
1.2.1 Выбор комплекса задач автоматизации и характеристика существующих
бизнес процессов
Учитывая проблематику, было принято решение о создании небольшого
информационного приложения, пользователям которого не приходится стоять в
долгих очередях для того, чтобы получить консультацию. Нужную информацию
можно получить не только у менеджеров, которые ответят на все вопросы, но
14
также будет возможность уточнить информацию по балансу, лицевому счету и т.д.
в мобильном приложении компании.
Целью данной работы является создание удобной площадки для доступа к
личному кабинету клиентов АО Банк «Зарядье» с мобильных устройств. Для
реализации главной цели необходимо разработать мобильное приложение
«Личный кабинет» для устройств под управлением операционной системы
Android. Основная задача приложения информационная справка абонентов при
использовании услуг банка. Для этого в рамках данной работы должны быть
решены следующие задачи:
- Выявить и проанализировать требования к приложению
- Разработать техническое задание
- Разработка графического пользовательского интерфейса.
- Создание сервера для работы приложения
- Интеграция серверного приложения для работы с
программными инструментами в компании
Обзор существующих мобильных приложений для банков показал, что
лучшим мобильным банком для iPhone и Android признано приложение Тинькофф
Банка. Таковы результаты исследования эффективности мобильных банковских
приложений для физлиц Mobile Banking Rank 2016, подготовленного
аналитическим агентством Markswebb Rank & Report.
«В нем есть авторизация по отпечатку пальца (в том числе для Android),
онлайн-чат с консультантами банка, реализована технология бесконтактных
платежей смартфоном (только для Android), а также возможность подключить
автоплатежи и платежи по расписанию, удаленно заказать продукты банка,
привязать к своему аккаунту в приложении карту любого банка и пополнять карту
Тинькофф с карты другого банка», — прокомментировали эксперты.
Лучшим мобильным банком для смартфонов на базе Windows Phone
признано приложение Сбербанка, для iPad — приложение Альфа-Банка «за счет
расширения функционала выписки по карте и экспорта данных, реализации
15
автоматического определения провайдера по номеру телефона, а также за счет
увеличения суммы переводов за разовую операцию».
«Банки «Авангард» и «Уралсиб» потеряли лидирующие позиции, так как в
их приложениях существенных изменений за год не произошло. Для планшетов
Android лучшим мобильным банком стало приложение Райффайзенбанка. В нем
появились PFM-сервис, возможность пополнения карты с карты другого банка и
возможность входа по короткому цифровому коду», — говорится в релизе.
Всего в исследовании участвовали 32 российских банка. По данным
аналитиков, в России мобильными банками пользуются 18 млн человек в возрасте
от 18 до 64 лет. 89% пользователей мобильного банка пользуются и интернет-
банком, причем 17% из них пользуются мобильным банком чаще, чем интернет-
банком.
ПАО «Сбербанк России» — крупнейший банк в России и СНГ с самой
широкой сетью подразделений, предлагающий весь спектр инвестиционно-
банковских услуг. Учредителем и основным акционером Сбербанка является
Центральный банк РФ, владеющий 50% уставного капитала плюс одной
голосующей акцией; свыше 40% акций принадлежит зарубежным компаниям.
Около половины российского рынка частных вкладов, а также каждый третий
корпоративный и розничный кредит в России приходятся на Сбербанк.
На 1 сентября 2017 года нетто-активы банка — 23 337,80 млрд рублей (1-е
место в России), капитал (рассчитанный в соответствии с требованиями ЦБ РФ) —
3 473,76 млрд, кредитный портфель — 15 554,78 млрд, обязательства перед
населением — 11 429,83 млрд.
АО «Альфа-Банк» — один из крупнейших универсальных банков России,
принадлежащий консорциуму «Альфа-Групп». Позиции «Альфы» сильны
практически во всех сегментах банковского рынка, достаточно хорошо развита сеть
подразделений в Москве и других крупных городах России.
По состоянию на октябрь 2016 года акционером банка является АО «АБ
Холдинг» (99,89% акций), принадлежащее структуре «Альфа-Групп» ABH
Financial Limited (Кипр), которая подконтрольна ABH Holdings S. A. (Люксембург);
оставшиеся 0,11% акций контролирует Alfa Capital Holdings (Cyprus) Limited.
Бенефициарами ABH Holdings S. A. (Люксембург), основного собственника ABH
16
Financial Ltd., являются совладельцы «Альфа-Групп» Михаил Фридман, Герман
Хан и Алексей Кузьмичев, контролирующие 32,86%, 20,97% и 16,32% акций
соответственно, а также председатель совета директоров банковской группы Петр
Авен (12,40%), Андрей Косогов (3,67%). Пакет в 9,9% принадлежит «ЮниКредит
С. п. А» (акции находятся в публичном обращении), еще 3,87% контролирует
благотворительный траст, учрежденный по законодательству Островов Кайман
(акции находятся в доверительном управлении в пользу благотворительных
организаций).
На 1 сентября 2017 года нетто-активы банка — 2 780,63 млрд рублей (7-е
место в России), капитал (рассчитанный в соответствии с требованиями ЦБ РФ) —
298,29 млрд, кредитный портфель — 1 658,59 млрд, обязательства перед
населением — 746,97 млрд.
АО «Райффайзенбанк» — дочерняя структура крупного австрийского
банковского холдинга «Райффайзен Банк Интернациональ АГ». Райффайзенбанк
является развитой универсальной кредитной организацией, предлагающей
широкий спектр услуг корпоративным и частным клиентам. Крайне активен на
валютном и межбанковском рынках. Банк занимает сильные позиции как в
розничном, так и в корпоративном кредитовании (в том числе субъектов малого и
среднего бизнеса). После присоединения в 2007 году розничного ИМПЭКС-Банка
Райффайзенбанк стабильно занимает позиции в топ-15 российских банков по
размеру активов, и в топ-10 по объему частных вкладов и кредитов физическим
лицам.
На текущий момент единственным акционером банка выступает
«Райффайзен Банк Интернациональ АГ» с долей в 100%.
На 1 сентября 2017 года нетто-активы банка — 854,16 млрд рублей (13-е
место в России), капитал (рассчитанный в соответствии с требованиями ЦБ РФ) —
131,11 млрд, кредитный портфель — 535,76 млрд, обязательства перед населением
— 362,21 млрд.
АО «Тинькофф Банк» — моноофисный банк, подконтрольный бизнесмену
Олегу Тинькову. Ключевые сегменты, в которых работает финучреждение, —
кредитные карты и вклады частных лиц. С недавних пор банк обслуживает также и
17
юридических лиц. Основная особенность — дистанционная работа с клиентами с
использованием современных каналов связи и через представителей.
На текущий момент Олег Тиньков контролирует пакет в 53,52% акций банка.
Доля в 30,41% акций находится в свободном обращении на Лондонской бирже (в
форме GDR). Менеджмент TCS Group Holding PLC контролирует долю в 6,07%.
Фонд Vostok Emerging Finance владеет долей в 3,49%, Baring Vostok — 2,88%,
Goldman Sach’s — 2,19%, Horizon Capital — 1,44%.
На 1 сентября 2017 года нетто-активы банка — 256,45 млрд рублей (34-е
место в России), капитал (рассчитанный в соответствии с требованиями ЦБ РФ) —
51,82 млрд, кредитный портфель — 156,04 млрд, обязательства перед населением
— 135,53 млрд.
1.2.2 Определение места проектируемой задачи в комплексе задач и
ее описание
В процессе работы над мобильным и серверным приложениями, в рамках
данной работы необходимо подготовить следующие документы:
- Техническое задание
- Программа и методика испытаний
Основные функции приложения
- Предоставление информации о балансе;
- Предоставление информации о состоянии кредитного счета;
- Предоставление информации о расчетном счете;
- Предоставление информации о часах работы банка;
- Уведомление абонентов о скорой приостановке обслуживания;
- Обновление данных с сервера в фоновом режиме.
Общая схема функций приложения представлена на рисунке 1.3.
18
Рис. 1.3 - Схема функций приложения
1.2.3 Обоснование необходимости использования вычислительной
техники для решения задачи
Учитывая поставленные задачи, приложение имеет специфические
особенности, которые опишем ниже.
Приложение является информационным, этот факт ставит задачу о
необходимости постоянно отображать корректные данные. Так как приложение
содержит несколько полей, которые могут обновиться, необходимо обновление всех
полей при входе в приложение и установка таймеров для обновления этих значений.
Как отображено на общей схеме функционирования приложения (рис. 1.3)
обновление данных происходят вне зависимости от самого приложения, это в свою
очередь говорит о том, что приложение всегда будет отображать корректные
данные.
Разработка велась с использованием контроля версий, что позволило
разрабатывать приложение модульно, параллельно разрабатывая как клиентское
приложение, так и серверную часть.
Техническое задание
Выявить и проанализировать требования к клиентскому приложению:
- Приложение поддерживает возможность работы в портретной ориентации
экрана.
19
- Локализация приложения предусматривает русскую версию
пользовательского интерфейса.
- Версия поддерживаемых Android устройств выше Android SDK 4.4
- Разрешения экранов Android: mdpi (320x480 px), hdpi (480x800px), xhdpi
(720x1280px), xhdpi (768x1280px).
- Основная задача приложения информационная справка абонентам при
пользовании услугами банка «Зарядье»
- Мобильное приложения для Android должно реализовываться нативными
средствами, либо на основе платформы, обеспечивающей компиляцию в нативные
приложения для обеспечения максимальной производительности.
- Дизайн мобильного приложения должен быть выполнен в одном стиле с
основным сайтом, при этом разработчик должен придерживаться «материального
дизайна»
- Для входа в приложение используются логин и пароль от web-версии
личного кабинета
- За основу мобильного приложения берется аналог web-версии личного
кабинета.
- Открытие левого меню осуществляется либо по нажатию кнопки «Меню»,
либо swipe с лева на право.
Требования к серверному приложению:
- Необходимо реализовать серверное приложение, обеспечивающее работу
мобильного приложения.
- Возможные языки реализации: PHP, Pythoцn, Java, JavaScript.
1.2.4 Анализ системы обеспечения информационной безопасности и
защиты информации
Современный сервис мобильного банкинга включает большой спектр услуг,
в том числе:
— просмотр информации по счетам, доступного баланса, детальной
информации по движениям средств, информации по кредитам и депозитам;
20
— информационные сервисы: курсы валют, справочная информация о
ближайших отделениях, банкоматах и другая информация.
Однако популярность и расширение функционала сервиса имеют и обратную
сторону медали — пристальное внимание кибермошенников. Поэтому вместе с
развитием мобильного банкинга растет число связанных с ним схем
мошенничества. Пристальное внимание злоумышленников легко объяснимо. Как
было сказано выше, мобильный банкинг наряду с информационными сервисами
предоставляет возможность управления счетами клиента. Это означает, что
компрометация системы мобильного банкинга может принести прямую
финансовую выгоду мошенникам и, следовательно, эта система является одной из
наиболее привлекательных мишеней.
Рассмотрим основные риски при использовании мобильного банкинга:
— раскрытие информации о счетах и совершенных операциях пользователя;
— подмена данных в реквизитах операций;
— совершение несанкционированных операций от лица пользователя;
— отказ в обслуживании.
Данные риски возникают из-за следующих основных недостатков
систем/приложений мобильного банкинга:
— небезопасное хранение данных;
— слабый контроль операций, совершаемых клиентом, со стороны сервера
приложений;
— недостаточная защита данных при передаче;
— уязвимость клиентского приложения;
— недостаточно надежная аутентификация и авторизация;
— некорректное использование сессионных механизмов;
— небезопасное взаимодействие со сторонними приложениями;
— некорректная настройка права доступа;
— неучтенные источники хранения данных;
— некорректное применение криптографии;
— раскрытие чувствительной информации;
— логические ошибки в предоставляемых операциях;
— использование ложного программного обеспечения;
21
— действия вредоносного программного обеспечения.
Кроме того, специфика мобильного устройства предполагает появление
новых рисков, которых нет при использовании для удаленного банковского
обслуживания персонального компьютера. Априори гаджеты больше подвержены
утере/краже (или временному контролю со стороны злоумышленника).
Возможность использования различных технологий связи (сотовая связь, wi-fi,
bluetooth, NFC) также увеличивает количество потенциальных уязвимостей в
системе.
Несмотря на обширный перечень угроз, количество применяемых на данный
момент средств защиты не так велико. Главной и основной превентивной мерой
обеспечения безопасности сервиса мобильного банкинга является включение мер
информационной безопасности при проектировании и разработке
соответствующего программного обеспечения. Разработка программного
обеспечения под мобильные платформы имеет свои специфические особенности.
При этом накопленный опыт разработчиков зачастую не позволяет учитывать все
нюансы использования практик безопасного программирования. Наконец, нередки
случаи, когда проектирование программных средств для мобильных устройств
осуществляется аналогично классическому программному обеспечению без учета
специфики устройств и дополнительно возникающих рисков.
К основным недостаткам, допускаемым в процессе разработки мобильного
программного обеспечения, относятся:
— хранение информации на устройстве в открытом виде, использование для
хранения флэш-карт;
— шифрование информации с использованием криптографически слабых
алгоритмов шифрования;
— хранение ключей шифрования вместе с зашифрованными данными,
использование «захардкоденных» ключей (т. е. встроенных прямо в программный
код);
— сохранение в кэше конфиденциальной информации;
— назначение общедоступных привилегий для хранимой информации;
— передача информации в открытом виде;