Методические рекомендации Банка России № 18-МР от 08.10.2024

2.2.1. Размещать объекты информационной инфраструктуры, используемые на технологическом участке сбора биометрических персональных данных, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей.

2.2.2. Для объектов информационной инфраструктуры в пределах сегмента (группы сегментов) вычислительных сетей, в отношении которых применяются меры защиты информации, реализующие стандартный уровень (уровень 2) защиты информации, определенный национальным стандартом Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер", утвержденным и введенным в действие приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст <2> (далее - ГОСТ Р 57580.1-2017), рекомендуется обеспечивать уровень соответствия не ниже четвертого в соответствии с национальным стандартом Российской Федерации ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия", утвержденным и введенным в действие приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года N 156-ст <3> (далее - ГОСТ Р 57580.2-2018).
<2> М.: ФГУП "Стандартинформ", 2017.
<3> М.: ФГУП "Стандартинформ", 2018.

2.2.3. Применять средства защиты информации, прошедшие сертификацию в системе сертификации ФСТЭК России, на соответствие требованиям по безопасности информации не ниже 5-го класса защиты.

2.2.4. Применять СКЗИ, имеющие подтверждение соответствия требованиям, установленным федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

2.2.5. Обеспечить информирование сотрудников, осуществляющих сбор биометрических персональных данных физических лиц (далее - уполномоченный сотрудник), о регистрации (протоколировании) информации об их действиях при сборе и обработке биометрических персональных данных физических лиц и о последствиях нарушения правил обработки персональных данных физических лиц в соответствии с законодательством Российской Федерации.

2.2.7. Обеспечить контроль физической безопасности устройств сбора биометрических персональных данных для ограничения несанкционированного физического доступа к содержимому устройства и предотвращения несанкционированного использования или модификации устройства (включая замену всего устройства) на всех этапах жизненного цикла устройства.