Оценка соответствия по ГОСТ Р ИСО/МЭК 15408-3-2013
Положительное заключение испытательной лаборатории (2025). Объект — программный комплекс «Дистанционное банковское обслуживание для юридических лиц Salto.Bank». Предоставляется по запросу.
Безопасность
Безопасность, которую проверяет ИБ банка
Всё, что спросят в анкете информационной безопасности, — на одной странице: архитектура в контуре банка, документы, подпись и контроли.
в контуре банка
- ОУД4 · 2025
- Лицензии ФСТЭК России
- Лицензия ФСБ России
- Реестр ПО № 15529
- Только on-premise
Архитектура
Система работает только в контуре банка
Чистая микросервисная архитектура на полностью импортозамещённом стеке. Нажмите на элемент схемы, чтобы увидеть, как он защищён.
Контур банка
- Клиенты ЮЛ и ИП
- Единый вход по OAuth 2.0 / OpenID Connect, сессионные токены в HttpOnly cookies. Второй фактор — СМС-код и электронная подпись.
- Сотрудники банка
- Вход через Active Directory, Keycloak и любых провайдеров OAuth 2.0 / OIDC / SAML 2.0. Трёхуровневая ролевая модель: привилегия → группа привилегий → роль.
- Salto.Bank
- Чистая микросервисная архитектура: каждый сервис отвечает за свою область и владеет своей БД, сервисы общаются через API и Kafka. Кластер Apache Pekko, Kubernetes, Active-Active в двух ЦОД. Полностью импортозамещённый стек: Astra Linux / РЕД ОС, PostgreSQL / Postgres Pro.
- АБС
- Универсальный интеграционный слой: около 70 запросов, 30+ видов документов.
- УЦ и СКЗИ
- КриптоПро CSP и SVS в коробке; поддерживаются VipNet CSP и Signal-COM CSP. Запрос на сертификат в формате PKCS#10 — работа с любым аккредитованным УЦ.
- СМС-шлюз
- Одноразовые коды для входа и подписи документов.
- Антифрод
- Интеграция с антифрод-системой банка по 161-ФЗ.
- SIEM
- Выгрузка журнала через syslog или API с доотправкой после восстановления связи.
Документы
Сертификация и лицензии
Лицензия ФСТЭК России на разработку и производство средств защиты конфиденциальной информации
Л050-00107-77/01364750 от 23.08.2024
Лицензия ФСТЭК России на техническую защиту конфиденциальной информации
Л024-00107-77/01364751 от 23.08.2024
Лицензия ФСБ России на работы и услуги в области шифрования
Л051-00105-00/01570909 от 02.12.2024
Единый реестр российского ПО
Запись № 15529 «Salto.Bank» от 16.11.2022. Правообладатель № 1307089.
Независимые тесты на проникновение
Три сессии внешними организациями; внешнее тестирование проводится при внедрении у заказчика.
Электронная подпись
Гибкая схема подписей и любые СКЗИ банка
- УКЭП и УНЭП, сверка подписанта по СНИЛС, ФИО и ИНН из сертификата.
- Первая, вторая, визирующая и акцептующая подписи, схемы «N из M» по типу документа, сумме, счёту и контрагенту.
- КриптоПро CSP и SVS в коробке; VipNet CSP и Signal-COM CSP — поддерживаются.
ПодписиПроверить подписиСнять все подписи
Подписи под документом (отправка)КлиентПерваяПодписантОжидается
КлиентЕдинственнаяПодписантОжидается
ООО «Северный ветер»Вторая подписьСоколова Анна ПетровнаОдноразовый пароль (СМС)Проставлена
Контроли
Что проверит анкета ИБ
01Аутентификация и доступ
- Единый вход по OAuth 2.0 / OpenID Connect, сессионные токены в HttpOnly cookies.
- Второй фактор: СМС-код и электронная подпись. TOTP, push, аппаратные токены и биометрия подключаются как модули.
- Вход сотрудников банка через Active Directory, Keycloak и любых провайдеров OAuth 2.0 / OIDC / SAML 2.0.
- Трёхуровневая ролевая модель: привилегия → группа привилегий → роль.
02Электронная подпись
- УКЭП и УНЭП, сверка подписанта по данным сертификата (СНИЛС, ФИО, ИНН).
- КриптоПро CSP и SVS в коробке; поддерживаются VipNet CSP и Signal-COM CSP.
- Запрос на сертификат в формате PKCS#10 — работа с любым аккредитованным УЦ.
03Регуляторика
- 63-ФЗ и 851-П — электронная подпись.
- 115-ФЗ — блокировки клиента, счёта и операции.
- 161-ФЗ — интеграция с антифрод-системой.
- 152-ФЗ — журналирование действий с персональными данными, данные в РФ.
- Альбомы УФЭБС.
04Журналирование
- Все действия пользователей и администраторов, вход, изменения прав и настроек, финансовые операции.
- Пароли в журнал не пишутся, конфиденциальные данные маскируются.
- Выгрузка в SIEM через syslog или API с доотправкой после восстановления связи.
05Безопасная разработка
- Обязательное код-ревью в CI/CD.
- Статический анализ и контроль open source-компонентов.
- Автотесты, внутренние и внешние пентесты.
Запросить заключение и комплект документов для ИБ
Пришлём заключение по ОУД4, копии лицензий и ответы на типовую анкету ИБ. При необходимости — под NDA.