Внедрение платежного HSM: 5 этапов до запуска
Выбор платежного HSM требует оценки его работы в составе банковского процессинга. Оборудование должно поддерживать необходимые операции, выдерживать рабочую нагрузку и обеспечивать доступность криптографических функций при отказах. Чтобы проверить это до запуска, банку необходимо подготовить профиль нагрузки, схему управления ключами и программу приемочных испытаний.
1. Рассчитать нагрузку по составу операций
Одна платежная транзакция может потребовать нескольких обращений к HSM. Их состав зависит от сценария обработки: проверки PIN, проверки криптограммы EMV, вычисления или проверки кода аутентификации сообщения MAC. Поэтому количество транзакций нельзя напрямую приравнивать к количеству криптографических команд.
Для оценки производительности составляют профиль нагрузки: перечень команд, частоту вызовов, используемые алгоритмы, длины ключей и размеры сообщений. Достаточность выбранной конфигурации проверяют с учетом этого профиля: паспортные показатели не гарантируют такую же производительность при другом составе операций.
В испытаниях фиксируют пропускную способность, технические ошибки и время ответа со стороны процессинга. Помимо среднего значения оценивают p95 и p99 — пороговые значения задержки, в которые укладываются 95 и 99 процентов ответов. Это помогает выявить длительные задержки отдельных запросов.
2. Проверить совместимость с процессингом
До внедрения необходимо сопоставить команды процессингового ПО с возможностями HSM. Проверке подлежат форматы запросов и ответов, обработка ошибок, а также доступность необходимых функций в выбранной версии ПО и комплекте лицензий.
Отдельно проверяют обмен ключами. TR-31, необходимо согласовать версии блоков, алгоритмы защиты, назначение ключей и разрешенные операции. Заявленной поддержки стандарта недостаточно для подтверждения всех сценариев обмена: ограничения экспорта и различия в поддерживаемых параметрах могут препятствовать переносу ключей.
Совместимость подтверждают выполнением необходимых операций на тестовых ключах и контрольных данных.
3. Оценить работу при отказе
Резервная конфигурация должна выдерживать согласованную нагрузку при недоступности части оборудования. Поэтому испытания включают отключение HSM, потерю сетевого соединения и вывод устройства на обслуживание.
Для каждого сценария измеряют время переключения, количество ошибок и задержки. Также проверяют доступность необходимых ключей на резервном оборудовании. Механизм переключения зависит от решения и его интеграции с приложением; наличие второго устройства само по себе не подтверждает отказоустойчивость системы.
4. Подготовить перенос и восстановление ключей
При замене оборудования заранее составляют реестр ключей с указанием назначения, зависимостей и допустимых способов переноса. Возможность экспорта и импорта проверяют для каждой используемой категории ключей до переключения процессинга.
Резервирование оборудования и восстановление ключевого материала требуют отдельных процедур. В плане восстановления определяют состав резервных копий, место хранения, необходимое оборудование и ответственных сотрудников. Процедуру проверяют на тестовом оборудовании по документации производителя, фиксируя результат и затраченное время.
План перехода также должен содержать условия отката и порядок работы с ключами, созданными или измененными после переключения.
5. Согласовать критерии приемки
До начала испытаний банк согласуют состав операций, пиковую нагрузку, допустимые задержки, долю технических ошибок, время переключения и восстановления. Результаты фиксируют в протоколе с указанием версий ПО, лицензий и настроек проверенной конфигурации.
Соответствие оборудования применимым требованиям проверяют отдельно. Например, одобрение устройства по PCI PTS HSM не заменяет оценку условий его эксплуатации: требования к самому оборудованию и требования к его управлению после внедрения имеют разную область применения.
Готовность к запуску подтверждают результаты испытаний: процессинг выполняет необходимые операции в установленное время, резервная схема выдерживает согласованную нагрузку, а процедура восстановления ключей проверена на практике. Это позволяет выявить ограничения выбранной конфигурации до ввода в эксплуатацию и заранее определить порядок действий при сбоях.