Положение о требованиях к защите информации в платежной системе Государственного банка

.

.

.

.

.

.

.

ПОЛОЖЕНИЕ О

ТРЕБОВАНИЯХ

К ЗАЩИТЕ

ИНФОРМАЦИИ

В ПЛАТЕЖНОЙ

СИСТЕМЕ

ГОСУДАРСТВЕННОГО

БАНКА

.

.

.

.

.

.

Настоящее Положение на основании пункта 19 части 1 и части 9 статьи 20 Закона «О национальной платежной системе», части пятой статьи 5 Закона «О банках и банковской деятельности», устанавливает требования к защите информации в платежной системе Государственного банка.

1. Требования к защите информации в платежной системе Государственного банка (далее – требования к защите информации) должны выполнять прямые участники платежной системы Государственного банка, являющиеся участниками обмена в соответствии с абзацем вторым пункта 3.10 Положения «О платежной системе Государственного банка» и финансовыми организациями (их филиалами) (далее – участники обмена), являющиеся международными финансовыми организациями, а также операционный центр, платежный клиринговый центр другой платежной системы при предоставлении операционных услуг и услуг платежного клиринга при переводе денежных средств с использованием сервиса быстрых платежей (далее – ОПКЦ СБП), оператор услуг информационного обмена при предоставлении участникам обмена услуг информационного обмена при осуществлении переводов денежных средств с использованием сервиса быстрых платежей (далее – ОУИО СБП).

Требования к защите информации, установленные настоящим Положением, должны выполняться участниками обмена, ОПКЦ СБП и ОУИО СБП наряду с требованиями к обеспечению защиты информации при осуществлении переводов денежных средств, установленными в соответствии с частью 3 статьи 27 Закона «О национальной платежной системе».

2. Требования к защите информации распространяются на автоматизированные системы, программное обеспечение, средства вычислительной техники, телекоммуникационное оборудование (далее при совместном упоминании – объекты информационной инфраструктуры), применяемые для формирования (подготовки), обработки, передачи и хранения защищаемой информации, указанной в пунктах 2.2, 4.2 и 6.4 Положения «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Государственным банком контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств», в том числе информационных сообщений, содержащих реквизиты и иную информацию, необходимую для последующего формирования электронного сообщения, содержащего распоряжение в электронном виде (далее – информационные сообщения), на этапах формирования (подготовки), обработки, передачи и хранения информационных сообщений при осуществлении переводов денежных средств при трансграничном переводе денежных средств с использованием сервиса быстрых платежей (далее – ТПСБП).

3. Участники обмена при осуществлении переводов денежных средств в платежной системе Государственного банка (далее – осуществление переводов денежных средств) с использованием сервиса срочного перевода и сервиса несрочного перевода (далее – участники ССНП) должны размещать объекты информационной инфраструктуры, используемые при осуществлении переводов денежных средств с использованием сервиса срочного перевода и сервиса несрочного перевода, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей.

Для объектов информационной инфраструктуры в пределах выделенного (отдельного) сегмента (группы сегментов) вычислительных сетей участники ССНП должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация стандартного уровня (уровня 2) защиты информации.

4. Участники обмена, международные финансовые организации при осуществлении переводов денежных средств с использованием сервиса быстрых платежей (далее при совместном упоминании – участники СБП) должны размещать объекты информационной инфраструктуры, используемые при осуществлении переводов денежных средств с использованием сервиса быстрых платежей, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей.

Для объектов информационной инфраструктуры в пределах выделенного (отдельного) сегмента (группы сегментов) вычислительных сетей участники СБП должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация стандартного уровня (уровня 2) защиты информации.

5. ОПКЦ СБП должен размещать объекты информационной инфраструктуры, используемые при предоставлении операционных услуг и услуг платежного клиринга участникам СБП, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей.

Для объектов информационной инфраструктуры в пределах выделенного (отдельного) сегмента (группы сегментов) вычислительных сетей ОПКЦ СБП должен применять меры защиты информации, посредством выполнения которых обеспечивается реализация усиленного уровня (уровня 1) защиты информации.

6. ОУИО СБП должен размещать объекты информационной инфраструктуры, используемые при предоставлении услуг информационного обмена участникам СБП, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей.

Для объектов информационной инфраструктуры в пределах выделенного (отдельного) сегмента (группы сегментов) вычислительных сетей ОУИО СБП должен применять меры защиты информации, посредством выполнения которых обеспечивается реализация стандартного уровня (уровня 2) защиты информации.

7. Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП во внутренних документах должны определить состав и порядок применения организационных мер защиты информации, состав и порядок использования технических средств защиты информации.

7.1. Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП должны разработать и утвердить внутренние документы, регламентирующие выполнение следующих процессов (направлений) защиты информации в рамках процессов (направлений) защиты информации:

a)обеспечение защиты информации при управлении доступом;
b)обеспечение защиты вычислительных сетей;
c)контроль целостности и защищенности информационной инфраструктуры;
d)защита от вредоносного кода;
e)предотвращение утечек информации;
f)управление инцидентами защиты информации;
g)защита среды виртуализации;
h)защита информации при осуществлении удаленного логического доступа с использованием мобильных (переносных) устройств.

7.2. Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП должны определить во внутренних документах:

a)технологии подготовки, обработки, передачи и хранения электронных сообщений, содержащих распоряжения о переводе денежных средств в электронном виде (далее – электронные сообщения), и защищаемой информации на объектах информационной инфраструктуры;
b)состав и правила применения технологических мер защиты информации, используемых для контроля целостности и подтверждения подлинности электронных сообщений на этапах их формирования (подготовки), обработки, передачи и хранения, в том числе порядок применения средств криптографической защиты информации (далее – СКЗИ) и управления ключевой информацией СКЗИ;
c)план действий, направленных на обеспечение непрерывности и (или) восстановление деятельности, связанной с осуществлением переводов денежных средств;
d)сведения о лице или лицах, допущенных к работе со СКЗИ;
e)сведения о лице или лицах, ответственных за обеспечение функционирования и безопасности СКЗИ (ответственных пользователей СКЗИ);
f)сведения о лице или лицах, обладающих правами по управлению криптографическими ключами, в том числе ответственных за формирование криптографических ключей и обеспечение безопасности криптографических ключей.

7.3. Участники СБП, ОПКЦ СБП и ОУИО СБП должны определить во внутренних документах состав и правила применения технологических мер защиты информации, используемых для контроля целостности и подтверждения подлинности электронных сообщений и информационных сообщений (при их наличии), при осуществлении перевода денежных средств с использованием сервиса быстрых платежей на этапах формирования (подготовки), обработки, передачи и хранения электронных сообщений и информационных сообщений (при их наличии).

Участники СБП, ОПКЦ СБП и ОУИО СБП должны применять технологические меры защиты информации, используемые для контроля целостности и подтверждения подлинности электронных сообщений и информационных сообщений на этапах их формирования (подготовки), обработки, передачи и хранения (при их наличии).

8. Защита информации участниками ССНП, участниками СБП, ОПКЦ СБП и ОУИО СБП с помощью СКЗИ должна обеспечиваться в соответствии с Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации и технической документацией на СКЗИ.

9. Формирование и подписание электронных сообщений участника ССНП и ОПКЦ СБП осуществляются в информационной инфраструктуре (автоматизированной системе) участника ССНП и ОПКЦ СБП.

10. Передача и прием электронных сообщений участника ССНП осуществляются с использованием автоматизированного рабочего места обмена электронными сообщениями с платежной системой Государственного банка. Автоматизированное рабочее место обмена электронными сообщениями с платежной системой Государственного банка должно быть реализовано с использованием программного обеспечения Государственного банка.

11. Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП должны хранить входящие и исходящие электронные сообщения, подписанные электронной подписью, и средства, обеспечивающие проверку электронной подписи, не менее пяти лет с даты подписания электронных сообщений.

12. При обмене электронными сообщениями между Государственным банком и ОПКЦ СБП, Государственным банком и участниками ССНП должна применяться электронная подпись, сертификаты ключа проверки которой выданы Государственным банком участникам ССНП и ОПКЦ СБП, в соответствии с частью 2 статьи 6 Закона «Об электронной подписи».

При обмене электронными сообщениями между ОПКЦ СБП и участниками СБП должна применяться электронная подпись, сертификат ключа проверки которой выдан ОПКЦ СБП участникам СБП.

При обмене электронными сообщениями между ОПКЦ СБП, участниками СБП и ОУИО СБП должна применяться электронная подпись, сертификат ключа проверки которой выдан ОПКЦ СБП участнику СБП, в том числе при обмене электронными сообщениями между ОПКЦ СБП и ОУИО СБП, оказывающим участнику СБП услуги по обеспечению подписания исходящих электронных сообщений и (или) зашифрования на прикладном уровне электронных сообщений, проверки электронной подписи во входящих электронных сообщениях и (или) расшифрования на прикладном уровне входящих электронных сообщений.

Хранение и использование криптографических ключей участника СБП, предназначенных для подписания исходящих электронных сообщений и (или) расшифрования на прикладном уровне входящих электронных сообщений, должны осуществляться в аппаратных модулях безопасности информационной инфраструктуры ОУИО СБП, имеющих подтверждение соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности (далее – требования, установленные республиканским исполнительным органом в области обеспечения безопасности). Доступ к криптографическим ключам участника СБП должен быть обеспечен только для участника СБП как владельца сертификата ключа проверки электронной подписи.

При обмене электронными сообщениями между ОПКЦ СБП и ОУИО СБП криптографические ключи участника СБП, предназначенные для подписания исходящих электронных сообщений и (или) расшифрования на прикладном уровне входящих электронных сообщений, хранение и использование которых осуществляются в информационной инфраструктуре ОУИО СБП, изготавливаются участником СБП в аппаратных модулях безопасности самостоятельно. Для получения сертификата ключа проверки электронной подписи участник СБП обращается в ОПКЦ СБП самостоятельно.

13. Криптографические ключи участника ССНП, используемые при обмене электронными сообщениями между Государственным банком и участником ССНП, должны изготавливаться участником ССНП.

Криптографические ключи ОПКЦ СБП, используемые при обмене электронными сообщениями между Государственным банком и ОПКЦ СБП, должны изготавливаться ОПКЦ СБП.

Криптографические ключи участника СБП, используемые при обмене электронными сообщениями между ОПКЦ СБП и участником СБП, должны изготавливаться участником СБП.

14. Организационные меры и (или) технические средства защиты информации, используемые при обмене электронными сообщениями при осуществлении переводов денежных средств, применяются с соблюдением следующих требований.

14.1. Участники СБП должны удостоверять электронной подписью электронные сообщения при их передаче клиентами участника СБП.

14.2. Участники СБП и ОПКЦ СБП должны обеспечивать защиту электронных сообщений при передаче между участниками СБП и ОПКЦ СБП посредством:

a)использования усиленной электронной подписи для контроля целостности и подтверждения подлинности электронных сообщений, состав которых определен договором об оказании операционных услуг, услуг платежного клиринга при осуществлении перевода денежных средств с использованием сервиса быстрых платежей, заключенным между участником СБП и ОПКЦ СБП в соответствии с частью 1 статьи 17, частью 1 статьи 18 Закона «О национальной платежной системе» (далее – договор об оказании услуг между участником СБП и ОПКЦ СБП);
b)шифрования электронных сообщений на прикладном уровне в соответствии с эталонной моделью взаимосвязи открытых систем, процедуру оценки соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности;
c)применения средств защиты информации, посредством использования которых реализуется двухсторонняя аутентификация и шифрование информации на уровне представления или ниже, в соответствии с эталонной моделью взаимосвязи открытых систем, установленным республиканским исполнительным органом в области обеспечения безопасности.

Участники СБП, ОПКЦ СБП и ОУИО СБП должны обеспечивать защиту электронных сообщений при их передаче между ОПКЦ СБП, участниками СБП и ОУИО СБП в соответствии с требованиями, установленными абзацами вторым – четвертым настоящего подпункта.

Участники СБП должны реализовать технологии подготовки, обработки и передачи электронных сообщений и защищаемой информации, обеспечивающие проверку соответствия (сверку) реквизитов, исходящих в адрес ОПКЦ СБП электронных сообщений с реквизитами соответствующих им входящих электронных сообщений клиентов участников СБП и реквизитами электронных сообщений, на основе которых участником СБП осуществляются операции по списанию денежных средств со счетов клиентов.

14.3. Участники ССНП должны обеспечивать защиту электронных сообщений при их передаче в Государственный банк посредством:

a)формирования электронных сообщений и контроля реквизитов электронных сообщений с использованием объектов информационной инфраструктуры участника ССНП в соответствии с пунктом 1 приложения к настоящему Положению, в котором установлены Правила материально–технического обеспечения формирования электронных сообщений и контроля реквизитов электронных сообщений в информационной инфраструктуре участника ССНП, а также правила материально–технического обеспечения обработки электронных сообщений и контроля реквизитов электронных сообщений в информационной инфраструктуре ОПКЦ СБП в соответствии с частью пятой статьи 5 Закона «О банках и банковской деятельности»;
b)использования двух усиленных электронных подписей – электронной подписи, применяемой в контуре формирования электронных сообщений, и электронной подписи, применяемой в контуре контроля реквизитов электронных сообщений, – для контроля целостности и подтверждения подлинности электронных сообщений;
c)применения третьего варианта защиты, указанного в Альбоме электронных сообщений, ведение которого осуществляется Государственным банком в соответствии с абзацами вторым, третьим и подпунктом 5.2.1 пункта 5.2 Положения «О платежной системе Государственного банка»;
d)шифрования электронных сообщений на прикладном уровне в соответствии с эталонной моделью взаимосвязи открытых систем, с использованием СКЗИ, прошедших процедуру оценки соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности;
e)применения средств защиты информации, реализующих двухстороннюю аутентификацию и шифрование информации на уровне звена данных или сетевом уровне в соответствии с эталонной моделью взаимосвязи открытых систем, прошедших процедуру оценки соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности.

14.4. ОПКЦ СБП должен обеспечивать защиту электронных сообщений при их передаче в Государственный банк посредством:

a)обработки электронных сообщений и контроля реквизитов электронных сообщений в информационной инфраструктуре ОПКЦ СБП в соответствии с пунктом 2 приложения к настоящему Положению;
b)использования двух усиленных электронных подписей – электронной подписи, применяемой в контуре обработки электронных сообщений, и электронной подписи, применяемой в контуре контроля реквизитов электронных сообщений, – для контроля целостности и подтверждения подлинности электронных сообщений;
c)шифрования электронных сообщений на прикладном уровне в соответствии с эталонной моделью взаимосвязи открытых систем, прошедших процедуру оценки соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности;
d)применения средств защиты информации, реализующих двухстороннюю аутентификацию и шифрование информации на уровне звена данных или сетевом уровне в соответствии с эталонной моделью взаимосвязи открытых систем, прошедших процедуру оценки соответствия требованиям, установленным республиканским исполнительным органом в области обеспечения безопасности.

15. Значение показателя, характеризующего уровень переводов денежных средств без согласия клиента при осуществлении переводов денежных средств с использованием сервиса быстрых платежей, формируемого на ежеквартальной основе, в результате применения участниками СБП мер защиты информации не должно превышать 0,005 процента.

Значение показателя, характеризующего уровень переводов денежных средств без согласия клиента при осуществлении переводов денежных средств с использованием сервиса быстрых платежей, должно рассчитываться как отношение суммы денежных средств, в отношении которых получены уведомления от клиентов участников СБП о списании денежных средств с их банковских счетов без их согласия с использованием сервиса быстрых платежей за оцениваемый квартал, за исключением случаев, предусмотренных законодательством, к общей сумме денежных средств, списанных с банковских счетов клиентов участников СБП посредством осуществления перевода денежных средств с использованием сервиса быстрых платежей.

16. В рамках реализации мер по противодействию осуществлению переводов денежных средств без согласия клиента при осуществлении переводов денежных средств с использованием сервиса быстрых платежей участник СБП, являющийся банком плательщика (далее – участник СБП – банк плательщика), участник СБП, являющийся банком получателя (далее – участник СБП – банк получателя), ОПКЦ СБП должны обеспечивать выполнение следующих требований:

16.1. Участник СБП – банк плательщика должен осуществлять:

a)выявление операций, соответствующих признакам осуществления переводов денежных средств без согласия клиента, установленным Государственным банком в соответствии с частью 5.1 статьи 8 Закона «О национальной платежной системе» (далее – признаки осуществления переводов денежных средств без согласия клиента), в рамках реализуемой им системы управления рисками при осуществлении переводов денежных средств с использованием сервиса быстрых платежей;
b)приостановление в соответствии с частью 5.1 статьи 8 Закона «О национальной платежной системе» исполнения распоряжения в рамках выявленной операции, соответствующей признакам осуществления переводов денежных средств без согласия клиента, с учетом информации об уровне риска операции без согласия клиента (далее – индикатор уровня риска операции), включенной в электронное сообщение, полученной от ОПКЦ СБП в формате и порядке, установленных договором об оказании услуг между участником СБП и ОПКЦ СБП, содержащей в том числе информацию об индикаторе уровня риска операции, сформированном участником СБП – банком получателя;
c)формирование индикатора уровня риска операции на основе оценки рисков операций в рамках реализуемой участником СБП – банком плательщика системы управления рисками и его направление в электронном сообщении в ОПКЦ СБП в формате и порядке, установленных договором об оказании услуг между участником СБП и ОПКЦ СБП, – в случае не выявления признаков осуществления перевода денежных средств без согласия клиента.

16.2. Участник СБП – банк получателя должен осуществлять формирование индикатора уровня риска операции в рамках реализуемой им системы управления рисками, применяемой для выявления операций, соответствующих признакам осуществления переводов денежных средств без согласия клиента, и его направление в электронном сообщении в ОПКЦ СБП в формате и порядке, установленных договором об оказании услуг между участником СБП и ОПКЦ СБП.

16.3. ОПКЦ СБП должен осуществлять:

a)выявление операций, соответствующих признакам осуществления переводов денежных средств без согласия клиента, на основании моделей оценки риска операций по переводу денежных средств (далее – модели оценки риска операций Государственного банка), установленных в соответствии с договором о взаимодействии, заключаемым между Государственным банком и оператором внешней платежной системы в соответствии с частью 37 статьи 15 Закона «О национальной платежной системе» (далее – договор о взаимодействии между Государственным банком и ОПКЦ СБП), индикаторов уровня риска операции при осуществлении переводов денежных средств с использованием сервиса быстрых платежей, полученных от участников СБП;
b)приостановление процедуры приема к исполнению, в том числе последующих процедур приема к исполнению и исполнения распоряжений в рамках выявленной операции, соответствующей признакам осуществления переводов денежных средств без согласия клиента, в соответствии с договором об оказании услуг между участником СБП и ОПКЦ СБП;
c)незамедлительное уведомление участников СБП о выявлении операций, соответствующих признакам осуществления переводов денежных средств без согласия клиента, в соответствии с договором об оказании услуг между участником СБП и ОПКЦ СБП;
d)уведомление Государственного банка о выявлении операций, соответствующих признакам осуществления переводов денежных средств без согласия клиента, в соответствии с договором о взаимодействии между Государственным банком и ОПКЦ СБП;
e)формирование индикатора уровня риска операции на основе моделей оценки риска операций Государственного банка и направление участнику СБП – банку плательщика сформированных ОПКЦ СБП и участником СБП – банком получателя индикаторов уровня риска операций в электронном сообщении в случае не выявления признаков осуществления перевода денежных средств без согласия клиента.

Процедура принятия решения о наличии признаков осуществления перевода денежных средств без согласия клиента участником СБП на основании индикатора уровня риска операции, поступившего в электронном сообщении от участника СБП, ОПКЦ СБП при осуществлении операции по переводу денежных средств с использованием сервиса быстрых платежей, устанавливается участником СБП в рамках реализуемой им системы управления рисками в соответствии с частью 5.1 статьи 8 Закона «О национальной платежной системе».

16.4. В рамках реализации мер по выявлению и устранению причин и последствий компьютерных атак, направленных на объекты информационной инфраструктуры участника СБП и (или) его клиентов, ОПКЦ СБП, и дальнейшему предотвращению случаев и (или) попыток осуществления переводов денежных средств без согласия клиента участник СБП, ОПКЦ СБП должны обеспечить выполнение следующих требований:

a)участник СБП – банк плательщика при выявлении информации о компьютерных атаках, проводимых с использованием идентификаторов клиентов участника СБП, направленных на получение информации о клиентах участника СБП или клиентах косвенного участника, имеющего доступ к трансграничному переводу денежных средств с использованием СБП в соответствии с абзацем восьмым пункта 3.3 Положения «О платежной системе Государственного банка» (далее – косвенный участник с доступом к ТПСБП), из формирующихся распоряжений клиента участника СБП о переводе денежных средств (далее – переборы идентификаторов), при осуществлении переводов денежных средств с использованием сервиса быстрых платежей осуществляет блокировку идентификатора клиента участника СБП, используемого для осуществления переборов идентификаторов, и незамедлительно уведомляет Государственный банк и ОПКЦ СБП о его блокировке;
b)участник СБП принимает решение о разблокировке идентификатора клиента участника СБП по результатам проведенной проверки и доводит принятое им решение до ОПКЦ СБП в соответствии с договором об оказании услуг между участником СБП и ОПКЦ СБП;
c)ОПКЦ СБП осуществляет выявление переборов идентификаторов клиентов участника СБП, клиентов косвенного участника с доступом к ТПСБП, блокировку идентификатора клиента участника СБП, клиента косвенного участника с доступом к ТПСБП, используемого для осуществления переборов идентификаторов, при каждом выявлении перебора идентификаторов, в том числе при отсутствии уведомления участника СБП или косвенного участника с доступом к ТПСБП о блокировке, на срок, установленный договором об оказании услуг между участником СБП и ОПКЦ СБП, и направление уведомлений участнику СБП и Государственному банку о блокировке идентификатора;
d)при получении участником СБП – банком плательщика уведомления о блокировке идентификатора от ОПКЦ СБП участник СБП обязан осуществлять проверку полученной информации в соответствии с договором между клиентом участника СБП и участником СБП, о результатах которой Государственный банк уведомляется в соответствии с абзацем девятым пункта 5.1 Положения «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Государственным банком контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»;
e)участник СБП направляет уведомление о блокировке идентификатора клиента косвенного участника с доступом к ТПСБП косвенному участнику с доступом к ТПСБП и доводит до ОПКЦ СБП информацию о результатах проведенной проверки косвенным участником с доступом к ТПСБП в соответствии с договором об оказании услуг между участником СБП и ОПКЦ СБП;
f)ОПКЦ СБП осуществляет разблокировку идентификатора клиента участника СБП, клиента косвенного участника с доступом к ТПСБП в соответствии с договором об оказании услуг между участником СБП и ОПКЦ СБП.

17. При получении Государственным банком уведомления о блокировке идентификатора клиента участника СБП, клиента косвенного участника с доступом к ТПСБП от участника СБП или ОПКЦ СБП Государственный банк осуществляет информирование о переборах идентификаторов на стороне участников СБП или на стороне косвенного участника с доступом к ТПСБП и об идентификаторе клиента участника СБП или косвенного участника с доступом к ТПСБП, применяемом для осуществления переборов идентификаторов клиентов участника СБП, путем направления уведомления участникам СБП и ОПКЦ СБП.

18. Для целей анализа обеспечения в платежной системе Государственного банка защиты информации при осуществлении переводов денежных средств участники ССНП, участники СБП и ОПКЦ СБП должны направлять информацию в соответствии с требованиями, установленными:

a)Указанием «О формах и методиках составления, порядке и сроках представления операторами услуг платежной инфраструктуры, операторами по переводу денежных средств отчетности по обеспечению защиты информации при осуществлении переводов денежных средств»;
b)Указанием «О форме и порядке направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры в Государственный банк информации обо всех случаях и (или) попытках осуществления переводов денежных средств без согласия клиента и получения ими от Государственного банка информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента, а также о порядке реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры мероприятий по противодействию осуществлению переводов денежных средств без согласия клиента».
c)ОУИО СБП обязан информировать участника СБП о нарушениях требований к обеспечению защиты информации при осуществлении переводов денежных средств, в том числе о тех, которые привели или могут привести к осуществлению переводов денежных средств без согласия клиента или к неоказанию услуг по переводу денежных средств, в соответствии с договором между участником СБП и ОУИО СБП, предусмотренным пунктом 33 статьи 3 Закона «О национальной платежной системе».

19. В случае выявления инцидента, связанного с несоблюдением требований к защите информации, который привел или может привести к осуществлению перевода денежных средств без согласия участника ССНП, участник ССНП вправе направить в Государственный банк обращение о приостановлении обмена электронными сообщениями.

При получении обращения о приостановлении обмена электронными сообщениями Государственный банк должен приостановить обмен электронными сообщениями и аннулировать электронные сообщения, в том числе ранее поступившие от участника ССНП и неисполненные, до получения от участника ССНП обращения об отмене приостановления обмена электронными сообщениями.

По результатам устранения причин инцидента участник ССНП должен направить обращение об отмене приостановления обмена электронными сообщениями, при получении которого Государственный банк отменяет ранее введенное приостановление обмена электронными сообщениями с участником ССНП.

19.1. Обращения о приостановлении обмена электронными сообщениями в случае выявления инцидента, связанного с несоблюдением требований к защите информации, и обращения об отмене приостановления обмена электронными сообщениями (далее при совместном упоминании – обращения) должны направляться с использованием технической инфраструктуры (автоматизированной системы) Государственного банка.

В случае невозможности направления обращения с использованием технической инфраструктуры (автоматизированной системы) Государственного банка обращение должно направляться с использованием резервного способа взаимодействия.

При возобновлении возможности направления обращений с использованием технической инфраструктуры (автоматизированной системы) Государственного банка участник ССНП должен повторно направить обращение с использованием технической инфраструктуры (автоматизированной системы) Государственного банка.

19.2. Информация о технической инфраструктуре (автоматизированной системе) Государственного банка, а также о резервном способе взаимодействия участника ССНП с Государственным банком, с помощью которого направляются обращения, размещается на официальном сайте Государственного банка в информационно–телекоммуникационной сети «Интернет».

19.3. В целях направления обращений участник ССНП должен обеспечить назначение должностных лиц, уполномоченных на направление и (или) подписание обращений (далее – уполномоченное лицо), и направление в Государственный банк информации об уполномоченных лицах, с указанием в том числе фамилий, имен, отчеств (последних – при наличии), наименований должностей, номеров телефонов, при наличии – номеров факсимильного аппарата, адресов электронной почты.

19.4. Одновременно с направлением обращений участник ССНП должен направить копию обращения о приостановлении обмена электронными сообщениями или об отмене приостановления обмена электронными сообщениями, подписанного уполномоченным лицом и заверенного печатью участника ССНП, по факсимильной связи либо по электронной почте в соответствии с контактными данными, размещенными на официальном сайте Государственного банка в информационно–телекоммуникационной сети «Интернет».

Не позднее одного рабочего дня после дня направления в соответствии с абзацем первым настоящего подпункта копии обращения участник ССНП должен направить оригинал обращения на бумажном носителе по адресу, указанному на официальном сайте Государственного банка в информационно–телекоммуникационной сети «Интернет».

19.5. При получении обращений с использованием технической инфраструктуры (автоматизированной системы) Государственного банка Государственный банк должен обеспечивать контроль целостности и подтверждение подлинности содержащейся в них информации.

При получении обращений с использованием резервного способа взаимодействия Государственный банк должен обеспечивать проверку соответствия реквизитов обращений информации, направленной в Государственный банк в соответствии с подпунктом 19.3 настоящего пункта.

В случае отрицательного результата контроля целостности и подтверждения подлинности обращений, проверки соответствия реквизитов обращений Государственный банк не должен принимать обращения к исполнению, о чем уведомляется участник ССНП.

Уведомление участника ССНП осуществляется с использованием технической инфраструктуры (автоматизированной системы) Государственного банка.

В случае невозможности уведомления участника ССНП с использованием технической инфраструктуры (автоматизированной системы) Государственного банка уведомление осуществляется с использованием резервного способа взаимодействия.

20. Для оценки участниками ССНП, участниками СБП, ОПКЦ СБП и ОУИО СБП выполнения ими требований к обеспечению защиты информации при осуществлении переводов денежных средств (далее – оценка соответствия) устанавливаются следующие требования:

a)оценка соответствия должна проводиться в пределах выделенных сегментов (группы сегментов) вычислительных сетей, указанных в пунктах 3 – 6 настоящего Положения;
b)оценка соответствия должна проводиться в установленном порядке;
c)оценка соответствия должна проводиться не реже одного раза в два года.
d)Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП должны обеспечивать для объектов информационной инфраструктуры, размещенных в отдельных выделенных сегментах (группах сегментов) вычислительных сетей, указанных в пунктах 3 – 6 настоящего Положения, уровень соответствия не ниже четвертого.

21. Контроль за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств Государственный банк осуществляет в отношении участников обмена и ОПКЦ СБП в соответствии с главой 7 Положения «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Государственным банком контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

22. Настоящее Положение вступает в силу со дня его официального опубликования.

.

Утверждено Председателем Центрального банка

С.И. Шабулдаев

.

*******

.

Приложение к Положению «О требованиях к защите информации в платежной системе Государственного банка«

.

ПРАВИЛА МАТЕРИАЛЬНО–ТЕХНИЧЕСКОГО ОБЕСПЕЧЕНИЯ ФОРМИРОВАНИЯ ЭЛЕКТРОННЫХ СООБЩЕНИЙ И КОНТРОЛЯ РЕКВИЗИТОВ ЭЛЕКТРОННЫХ СООБЩЕНИЙ В ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЕ УЧАСТНИКА ОБМЕНА ПРИ ОСУЩЕСТВЛЕНИИ ПЕРЕВОДОВ ДЕНЕЖНЫХ СРЕДСТВ В ПЛАТЕЖНОЙ СИСТЕМЕ ГОСУДАРСТВЕННОГО БАНКА С ИСПОЛЬЗОВАНИЕМ СЕРВИСА СРОЧНОГО ПЕРЕВОДА И СЕРВИСА НЕСРОЧНОГО ПЕРЕВОДА, А ТАКЖЕ ПРАВИЛА МАТЕРИАЛЬНО–ТЕХНИЧЕСКОГО ОБЕСПЕЧЕНИЯ ОБРАБОТКИ ЭЛЕКТРОННЫХ СООБЩЕНИЙ И КОНТРОЛЯ РЕКВИЗИТОВ ЭЛЕКТРОННЫХ СООБЩЕНИЙ В ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЕ ОПЕРАЦИОННОГО ЦЕНТРА, ПЛАТЕЖНОГО КЛИРИНГОВОГО ЦЕНТРА ДРУГОЙ ПЛАТЕЖНОЙ СИСТЕМЫ ПРИ ПРЕДОСТАВЛЕНИИ ОПЕРАЦИОННЫХ УСЛУГ И УСЛУГ ПЛАТЕЖНОГО КЛИРИНГА ПРИ ПЕРЕВОДЕ ДЕНЕЖНЫХ СРЕДСТВ С ИСПОЛЬЗОВАНИЕМ СЕРВИСА БЫСТРЫХ ПЛАТЕЖЕЙ.

.

Глава 1. Формирование электронных сообщений и контроль реквизитов электронных сообщений в информационной инфраструктуре участника обмена при осуществлении переводов денежных средств в платежной системе Государственного банка с использованием сервиса срочного перевода и сервиса несрочного перевода.

.

1.1. Участник ССНП должен реализовать контур формирования электронных сообщений и контур контроля реквизитов электронных сообщений в информационной инфраструктуре участника ССНП с использованием разных рабочих мест, разных криптографических ключей и с привлечением отдельных работников для каждого из контуров.

1.2. Участник ССНП должен разместить объекты информационной инфраструктуры контура формирования электронных сообщений и контура контроля реквизитов электронных сообщений в информационной инфраструктуре участника ССНП в разных сегментах вычислительных сетей, в том числе реализованных с использованием технологии виртуализации. Способ допустимого информационного взаимодействия между указанными сегментами вычислительных сетей оформляется документально и согласовывается со службой информационной безопасности участников ССНП.

1.3. Участник ССНП в контуре формирования электронных сообщений на основе первичного документа в бумажной или электронной форме, или входящего электронного сообщения должен обеспечить:

a)формирование исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка;
b)контроль реквизитов исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка;
c)подписание исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка, электронной подписью, применяемой в контуре формирования электронных сообщений, при положительном результате контроля реквизитов, указанного в абзаце третьем настоящего подпункта;
d)направление исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка, в контур контроля реквизитов электронных сообщений.

1.4. Участник ССНП в контуре контроля реквизитов электронных сообщений должен обеспечить:

a)контроль реквизитов исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка, на соответствие реквизитам первичного документа в бумажной или электронной форме или входящего электронного сообщения;
b)контроль на отсутствие дублирования исходящих электронных сообщений;
c)подписание исходящего электронного сообщения, предназначенного для направления в платежную систему Государственного банка, электронной подписью, применяемой в контуре контроля реквизитов электронных сообщений, при положительном результате контроля реквизитов, указанного в абзаце втором настоящего подпункта.

.

Глава 2. Обработка электронных сообщений и контроль реквизитов электронных сообщений в информационной инфраструктуре операционного центра, платежного клирингового центра другой платежной системы при предоставлении операционных услуг и услуг платежного клиринга при переводе денежных средств с использованием сервиса быстрых платежей.

.

2.1. ОПКЦ СБП должен реализовать контур обработки электронных сообщений и контур контроля реквизитов электронных сообщений в информационной инфраструктуре ОПКЦ СБП с использованием разных рабочих мест, разных криптографических ключей и с привлечением отдельных работников для каждого из контуров.

2.2. ОПКЦ СБП должен разместить объекты информационной инфраструктуры контура обработки электронных сообщений и контура контроля реквизитов электронных сообщений в информационной инфраструктуре ОПКЦ СБП в разных сегментах вычислительных сетей, в том числе реализованных с использованием технологии виртуализации. Способ допустимого информационного взаимодействия между указанными сегментами вычислительных сетей оформляется документально и согласовывается со службой информационной безопасности ОПКЦ СБП.

2.3. ОПКЦ СБП должен направлять электронные сообщения таким образом, чтобы все входящие электронные сообщения поступали в контур обработки электронных сообщений только из контура контроля реквизитов электронных сообщений, а все исходящие электронные сообщения из контура обработки электронных сообщений передавались только в контур контроля реквизитов электронных сообщений.

2.4. ОПКЦ СБП в контуре контроля реквизитов электронных сообщений должен обеспечить:

a)контроль входящего электронного сообщения;
b)проверку электронной подписи входящего электронного сообщения;
c)структурный и логический контроль входящего электронного сообщения, в том числе проверку соответствия реквизитов (данных) входящего электронного сообщения;
d)контроль на предмет отсутствия дублирования входящих электронных сообщений;
e)помещение входящих электронных сообщений в эталонную базу входящих электронных сообщений (далее – ЭБВЭС) без снятия электронной подписи с целью осуществления контроля результатов обработки защищаемой информации в рамках процедуры выходного контроля.

Состав электронных сообщений, подлежащих помещению в ЭБВЭС, определяется договором об оказании услуг между участником СБП и ОПКЦ СБП.

2.5. ОПКЦ СБП в контуре обработки электронных сообщений должен обеспечить:

a)контроль входящего электронного сообщения;
b)проверку электронной подписи входящего электронного сообщения;
c)структурный и логический контроль входящего электронного сообщения, в том числе проверка соответствия реквизитов (данных) входящего электронного сообщения;
d)обработку информации, содержащейся во входящем электронном сообщении, и формирование исходящего электронного сообщения;
e)подписание исходящего электронного сообщения электронной подписью, применяемой в контуре обработки электронных сообщений;
f)направление исходящего электронного сообщения, подписанного электронной подписью, применяемой в контуре обработки электронных сообщений, в контур контроля реквизитов электронных сообщений.

2.6. ОПКЦ СБП в контуре контроля реквизитов электронных сообщений должен обеспечить:

a)проверку в исходящем электронном сообщении электронной подписи, применяемой в контуре обработки электронных сообщений;
b)проверку электронной подписи в электронных сообщениях, находящихся в ЭБВЭС, на основании которых было сформировано исходящее электронное сообщение;
c)контроль значений реквизитов исходящего электронного сообщения со значениями реквизитов электронных сообщений, находящихся в ЭБВЭС, на основании которых было сформировано исходящее электронное сообщение;
d)контроль на предмет отсутствия дублирования исходящих электронных сообщений;
e)подписание исходящего электронного сообщения электронной подписью, применяемой в контуре контроля реквизитов электронных сообщений (без снятия электронной подписи, применяемой в контуре обработки).