Методические рекомендации Банка России № 18-МР от 20.12.2023

1.2. Настоящие Методические рекомендации рекомендованы для применения кредитными организациями и некредитными финансовыми организациями при осуществлении банковской деятельности и деятельности в сфере финансовых рынков (далее - финансовые организации) в целях представления в Банк России информации об объектах информационной инфраструктуры в рамках информирования Банка России о выявленных инцидентах операционной надежности по запросу Банка России, а также при заполнении графы «Наименование объекта информационной инфраструктуры», группы аналитических признаков «Наименование объекта информатизации» и показателя «Информация об автоматизированных системах и приложениях» отчетности финансовых организаций, в том числе:

2.1. При описании наименований (при учете состава) объектов информационной инфраструктуры рекомендуется учитывать объекты информационной инфраструктуры, относящиеся к критичной архитектуре, в том числе резервные объекты информационной инфраструктуры и объекты информационной инфраструктуры, задействованные в выполнении технологических процессов, которые реализуются поставщиками услуг в сфере информационных технологий (переданных на аутсорсинг и (или) выполняемых с применением внешних информационных систем, предоставляемых поставщиками услуг).

В случае если выполнение технологических процессов, обеспечивающих осуществление переводов денежных средств по поручению физических и юридических лиц, зависит от функционирования платежной системы Банка России, кредитным организациям рекомендуется представлять информацию об объектах информационной инфраструктуры, задействованных на участке платежной системы Банка России.

1. Технологический процесс
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

2. Наименование автоматизированной системы
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

3. Технологический участок
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

4. Бизнес-функция
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

5. Функциональное значение системы
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

6. Разработчик автоматизированной системы
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

7. Уровень критичности системы
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

8. Перечень систем - источников данных
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

9. Перечень систем - получателей данных
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

10. Наименование ИТ-продукта
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

11. Принадлежность
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

12. Резервная инфраструктура
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

13. Разработчик ИТ-продукта
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

14. Модификация
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

15. Класс оборудования
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

16. Класс программного обеспечения
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П и некредитными финансовыми организациями, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

17. Страна
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

18. Наименования лицензии
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П 

19. Тип лицензии
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

20. Архитектура
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

21. Количество
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П 

22. Закупка
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

23. Техническая поддержка
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П 

24. Автономность
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

25. Обновление
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

26. Уязвимости
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

27. Управление
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

28. Наличие сертификата ФСТЭК России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

29. Номер сертификата ФСТЭК России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

30. Наличие сертификата ФСБ России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

31. Номер сертификата ФСБ России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

32. Номер в реестре Минцифры России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

33. Номер в реестре Минпромторга России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

34. Дата внесения в реестр Минцифры России
Обязательно для заполнения кредитными организациями и некредитными финансовыми организациями, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 3.1 пункта 3 Положения Банка России от 17.04.2019 № 683-П, подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20.04.2021 № 757-П

2.3. Наименование объекта информационной инфраструктуры рекомендуется формировать перечислением атрибутов, указанных в пункте 2.2 настоящих Методических рекомендаций, разделенных символом «|» (вертикальная черта). Пример заполнения атрибутов указан в приложении 1 к настоящим Методическим рекомендациям.

2.4.1. Атрибут «Технологический процесс».
Атрибут «Технологический процесс» формируется с использованием кодов, определенных в порядке составления и представления отчетности по формам, указанным в пункте 1.2 настоящих Методических рекомендаций.
В случае если для атрибута подходит несколько значений, то для каждого его значения формируется новое описание объекта информационной инфраструктуры.

2.4.2. Атрибут «Наименование автоматизированной системы».
В атрибуте «Наименование автоматизированной системы» указывается наименование системы, состоящей из программных, аппаратных или программно-аппаратных средств информационных технологий, которая применяется финансовой организацией в рамках указанного технологического процесса.
В случае если для атрибута подходит несколько значений, то для каждого его значения формируется новое описание объекта информационной инфраструктуры.

2.4.3. Атрибут «Технологический участок».
В атрибуте «Технологический участок» указывается технологический участок технологического процесса, в рамках которого применяется указанная автоматизированная система, с использованием следующих кодов:
ИАА - Идентификация, аутентификация и авторизация клиентов при совершении действий в целях осуществления банковских/финансовых операций или обработки, хранения и передачи защищаемой информации;
ФПП - Формирование (подготовка), передача и прием электронных сообщений;
УП - Удостоверение права клиентов распоряжаться денежными средствами, ценными бумагами или иным имуществом или совершать действия с защищаемой информацией;
ОУ - Осуществление банковской/финансовой операции или действий в целях обработки, хранения и передачи защищаемой информации, учет результатов их осуществления;
ХИ - Хранение/учет электронных сообщений, информации об осуществленных банковских/финансовых операциях или действиях с защищаемой информацией, результатов осуществления действий в целях обработки, хранения и передачи защищаемой информации;
СборБО_ЕБС - Для единой биометрической системы (далее - ЕБС): сбор в головном офисе, филиалах или внутренних структурных подразделениях финансовых организаций, являющихся банками с универсальной лицензией или банками с базовой лицензией, указанными в пункте 5.6 статьи 7 Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее - банки), с использованием стационарных средств вычислительной техники, банкоматов, планшетов и при передаче собранных биометрических персональных данных между головным офисом, филиалами или внутренними структурными подразделениями банков, а также между планшетами и информационной инфраструктурой внутренних структурных подразделений банков;
ПередачаБО_ЕБС - Для ЕБС: взаимодействие банков с ЕБС в целях размещения или обновления биометрических персональных данных;
ИА_ЕБС - Для ЕБС: идентификация или аутентификация клиента - физического лица;
Проверка_ЕБС - Для ЕБС: проверка и передача информации о степени соответствия предоставленных биометрических персональных данных физического лица векторам ЕБС, содержащимся в ЕБС, при взаимодействии информационных систем финансовых организаций с ЕБС;
Взаимодействие_ЕБС - Для ЕБС: взаимодействие информационных систем финансовых организаций с ЕБС при передаче собранных биометрических персональных данных между осуществлявшими обработку биометрических персональных данных информационными системами финансовых организаций и ЕБС;
ПередачаЕСИА_ЕБС - Для ЕБС: предоставление финансовыми организациями в соответствии с частью 5 статьи 10 Федерального закона от 29.12.2022 № 572-ФЗ в Единую систему идентификации и аутентификации (далее - ЕСИА) сведений о физических лицах, содержащихся в информационных системах организаций финансового рынка, включая идентификаторы таких сведений, перед использованием ЕБС для аутентификации;
ОбработкаУА_КБС - Для информационных систем финансовых организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, за исключением единой биометрической системы (далее - КБС): обработка биометрических персональных данных и информации о степени соответствия векторов ЕБС предоставленным биометрическим персональным данным физического лица в КБС (далее - информация о степени соответствия) с использованием мобильных (переносных) устройств вычислительной техники (в том числе планшетов и электронных терминалов), стационарных средств вычислительной техники и банкоматов, принадлежащих организациям финансового рынка, а также с использованием устройств физического лица, оконечных устройств информационных систем, обеспечивающих функционирование контрольно-пропускных пунктов, в целях аутентификации физического лица с использованием биометрических персональных данных;
Обработка_КБС - Для КБС: обработка биометрических персональных данных, а также обработка, в том числе получение и хранение, информации о степени соответствия, векторов ЕБС в КБС в целях аутентификации физического лица, а также для рассмотрения обращений субъектов персональных данных, предполагающих неправомерную обработку их биометрических персональных данных при проведении аутентификации и (или) оспаривающих результаты проведения аутентификации;
ПередачаЕСИА_КБС - Для КБС: предоставление финансовыми организациями в ЕСИА сведений о физических лицах, содержащихся в информационных системах финансовых организаций, включая идентификаторы таких сведений, перед использованием КБС для аутентификации физического лица.
В случае если для указанной автоматизированной системы подходит несколько технологических участков технологического процесса, то следует указать все подходящие коды через символ «-» (прочерк).

2.4.4. Атрибут «Бизнес-функция».
Рекомендуемый перечень бизнес-функций в зависимости от вида деятельности финансовой организации приведен в приложении 2 к настоящим Методическим рекомендациям (далее - Рекомендуемый перечень бизнес-функций).
Если для видов деятельности финансовой организации применима бизнес-функция, указанная в Рекомендуемом перечне бизнес-функций, то атрибут «Бизнес-функция» заполняется с использованием кодов, указанных в столбце «Код» Рекомендуемого перечня бизнес-функций.
В случае отсутствия бизнес-функции в Рекомендуемом перечне бизнес-функций финансовой организации следует указать код, соответствующий расшифровке кода «Иная бизнес-функция», и через символ «-» (прочерк) привести наименование бизнес-функции.
В случае если для указанной автоматизированной системы подходит несколько бизнес-функций, то следует указать все подходящие коды через символ «-» (прочерк).

2.4.5. Атрибут «Функциональное значение системы».
В атрибуте «Функциональное значение системы» указываются функциональное описание и особенности указанной автоматизированной системы. Описание производится в рамках указанной бизнес-функции.

2.4.6. Атрибут «Разработчик автоматизированной системы».
В атрибуте «Разработчик автоматизированной системы» указывается доменное имя сайта компании-разработчика указанной автоматизированной системы в соответствии с официальным сайтом компании-разработчика в информационно-телекоммуникационной сети «Интернет» (далее - сеть «Интернет») без указания домена первого уровня.

2.4.7. Атрибут «Уровень критичности системы».
В атрибуте «Уровень критичности системы» указывается роль указанной автоматизированной системы для финансовой организации с использованием следующих кодов:
Урв1 Mission Critical
Урв2 Business Critical
Урв3 Business Operational
Урв4 Office Productivity
Mission Critical - система, без которой в краткосрочном промежутке времени невозможно функционирование финансовой организации и простой которой приведет к штрафным санкциям со стороны клиентов.
Business Critical - система, простой которой в среднесрочном периоде повлечет за собой финансовые или имиджевые потери финансовой организации, однако в кратковременном промежутке финансовая организация может выполнять свои обязательства перед клиентами с незначительным снижением уровня сервиса.
Business Operational - система, долговременный простой которой создает значительные неудобства пользователям. Внутренние процессы финансовой организации, не направленные на обслуживание клиентов, могут быть заблокированы, при этом отсутствие сервиса в среднесрочном периоде не влечет финансовых либо имиджевых потерь.
Office Productivity - инструментарий эксплуатационных подразделений, простой которых в среднесрочном периоде не отразится на уровне сервиса прочих систем.

2.4.8. Атрибут «Перечень систем - источников данных».
В атрибуте «Перечень систем - источников данных» указывается система, которая является источником данных для указанной автоматизированной системы. При условии отсутствия систем - источников данных следует указать «Не применимо».
В случае если для атрибута подходит несколько систем - источников данных, то следует указать все подходящие системы через символ «-» (прочерк).

2.4.9. Атрибут «Перечень систем - получателей данных».
В атрибуте «Перечень систем - получателей данных» указывается система, которая является получателем данных из указанной автоматизированной системы. При условии отсутствия систем - получателей данных следует указать «Не применимо».
В случае если для атрибута подходит несколько систем - получателей данных, то следует указать все подходящие системы через символ «-» (прочерк).

1. Наименование ИТ-продукта
Обязательно для ПО, СПО, Оборудования, ПАК
2. Принадлежность
Обязательно для ПО, СПО, Оборудование, ПАК
3. Резервная инфраструктура
Обязательно для ПО, СПО, Оборудование, ПАК
4. Разработчик ИТ-продукта
Обязательно для ПО, СПО, Оборудование, ПАК
5. Модификация
Обязательно для ПО, СПО, Оборудование, ПАК
6. Класс оборудования
Обязательно для Оборудование, ПАК
7. Класс программного обеспечения
Обязательно для ПО, СПО, ПАК
8. Страна
Обязательно для ПО, Оборудование, ПАК
9. Наименование лицензии
Обязательно для СПО
10. Тип лицензии
Обязательно для СПО
11. Архитектура
Обязательно для ПО, СПО, Оборудование, ПАК
12. Количество
Обязательно для Оборудование, ПАК
13. Закупка
Обязательно для ПО, СПО, Оборудование, ПАК
14. Техническая поддержка
Обязательно для ПО, СПО, Оборудование, ПАК
15. Автономность
Обязательно для ПО, СПО, Оборудование, ПАК
16. Обновление
Обязательно для ПО, СПО, Оборудование, ПАК
17. Уязвимости
Обязательно для ПО, СПО, Оборудование, ПАК
18. Управление
Обязательно для ПО, СПО, Оборудование, ПАК
19. Наличие сертификата ФСТЭК России
Обязательно для ПАК
20. Номер сертификата ФСТЭК России
Обязательно для ПАК
21. Наличие сертификата ФСБ России
Обязательно для ПАК
22. Номер сертификата ФСБ России
Обязательно для ПАК
23. Номер в реестре Минцифры России
Обязательно для ПО, ПАК
24. Номер в реестре Минпромторга России
Обязательно для Оборудование, ПАК
25. Дата внесения в реестр Минцифры России
Обязательно для Оборудование, ПАК

2.5.1. Атрибут «Наименование ИТ-продукта».
В атрибуте «Наименование ИТ-продукта» указывается наименование ИТ-продукта, который используется в указанной автоматизированной системе. Значения для атрибута должны выбираться в соответствии со списком «Наименование ИТ-продукта», приведенным в приложении 3 к настоящим Методическим рекомендациям. В случае отсутствия ИТ-продукта в упомянутом списке наименование указывается финансовой организацией самостоятельно в соответствии с полным фирменным наименованием ИТ-продукта, созданного компанией-разработчиком.
В случае если для атрибута подходит несколько значений, то для каждого его значения формируется новое описание объекта информационной инфраструктуры.

2.5.2. Атрибут «Принадлежность».
В атрибуте «Принадлежность» указывается тип разработки с использованием следующих кодов:
Прин1 Готовое решение
Прин2 Собственная разработка
Прин3Свободное программное обеспечение (Open Source)

2.5.3. Атрибут «Резервная инфраструктура».
В атрибуте «Резервная инфраструктура» указывается, является ли резервным объект информационной инфраструктуры, указанный в атрибуте «Наименование ИТ-продукта». Атрибут следует заполнять с использованием следующих кодов:
Ри1 Да
Ри2 Нет

2.5.4. Атрибут «Разработчик ИТ-продукта».
В атрибуте «Разработчик ИТ-продукта» указывается доменное имя сайта компании-разработчика ИТ-продукта в сети «Интернет», указанного в атрибуте «Наименование ИТ-продукта», без указания домена первого уровня. Примеры для данного атрибута приведены в приложении 3 к настоящим Методическим рекомендациям.

2.5.5. Атрибут «Модификация».
В атрибуте «Модификация» указывается определенная версия программного обеспечения или свободного программного обеспечения (Open Source), указанного в атрибуте «Наименование ИТ-продукта». Для оборудования и программно-аппаратного комплекса указывается стандартный идентификатор промышленного изделия определенной конструкции или его составной части (part number ИТ-продукта). При условии отсутствия версии или part number ИТ-продукта у объекта информационной инфраструктуры следует указать «Не применимо».

2.5.6. Атрибут «Класс оборудования».
В атрибуте «Класс оборудования» указывается соответствующая категория объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», применимая к оборудованию и программно-аппаратному комплексу, которое используется в указанной автоматизированной системе. Атрибут включает в себя следующие типы объектов информационной инфраструктуры:

Атрибут «Класс оборудования» заполняется с использованием следующих кодов:
Клсо1 Серверное оборудование
Клсо2 Система хранения данных
Клсо3 Телекоммуникационное оборудование
Клсо4 Комплекс защиты от несанкционированного доступа к информации
Клсо5 Комплекс управления событиями информационной безопасности
Клсо6 Комплекс межсетевых экранов
Клсо7 Комплекс фильтрации негативного контента
Клсо8 Комплекс антивирусной защиты
Клсо9 Комплекс выявления целевых компьютерных атак
Клсо10 Комплекс гарантированного уничтожения данных
Клсо11 Комплекс обнаружения и предотвращения утечек информации
Клсо12 Комплекс криптографической защиты информации и электронной подписи
Клсо13 Комплекс защиты каналов передачи данных, в том числе криптографическими методами
Клсо14 Комплекс управления доступом к информационным ресурсам
Клсо15 Комплекс резервного копирования
Клсо16 Комплекс обнаружения и (или) предотвращений вторжений (атак)
Клсо17 Комплекс для безопасного хранения и переноса информации
Клсо18 Комплекс для однонаправленной передачи информации
Клсо19 Комплекс для обеспечения безопасной дистанционной работы
Клсо20 Комплекс для обнаружения угроз и расследования инцидентов
Клсо21 Комплекс ключевых носителей
Клсо22 Комплекс администрирования и управления жизненным циклом ключевых носителей
Клсо23 Комплекс средства автоматизации процессов информационной безопасности
Клсо24 Комплекс квантовых криптографических систем выработки распределения ключа
Клсо25 Комплекс для защиты программного обеспечения от нелегального копирования и использования
Клсо26Комплекс для обеспечения безопасной разработки программного обеспечения
Клсо27 Комплекс для безопасного прямого сбора данных с промышленного контура предприятия с последующей предобработкой, конвертацией и передачей их в информационные системы
Клсо28 Комплекс для защиты сервисов онлайн-платежей и дистанционного банковского обслуживания (в том числе HSM)
Клсо99 Не применимо
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который является программным обеспечением или свободным программным обеспечением (Open Source), следует указать код, соответствующий расшифровке кода «Не применимо».

2.5.7. Атрибут «Класс программного обеспечения».
В атрибуте «Класс программного обеспечения» указывается соответствующая категория объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», применимая к свободному программному обеспечению (Open Source), программному обеспечению и программному обеспечению в составе программно-аппаратного комплекса, которые используются в указанной автоматизированной системе. Атрибут включает в себя следующие типы объектов информационной инфраструктуры:

Атрибут «Класс программного обеспечения» заполняется с использованием следующих кодов:
Клс1 Операционные системы
Клс2 Системы виртуализации и контейнеризации
Клс3 Средства управления базами данных
Клс4 Средства управления процессами организации
Клс5 Средства разработки программного обеспечения
Клс6 Средства обеспечения информационной безопасности
Клс7 Средства анализа данных
Клс8 Офисные приложения
Клс9 Управление ИТ-инфраструктурой
 Клс10 Информационные системы для решения специфических отраслевых задач
Клс99 Не применимо
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который является оборудованием, следует указать код, соответствующий расшифровке кода «Не применимо».

2.5.8. Атрибут «Страна».
В атрибуте «Страна» для компании-разработчика объекта информационной инфраструктуры, указанной в атрибуте «Разработчик ИТ-продукта», следует указать цифровой код страны в соответствии с Общероссийским классификатором стран мира, утвержденным постановлением Госстандарта России от 14.12.2001 № 529-ст.
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который является свободным программным обеспечением (Open Source), следует указать «Не применимо».

2.5.9. Атрибут «Наименование лицензии».
В атрибуте «Наименование лицензии» для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», являющегося свободным программным обеспечением (Open Source), указывается специализированная лицензия. Примеры для заполнения данного атрибута приведены в приложении 4 к настоящим Методическим рекомендациям.
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который не является свободным программным обеспечением (Open Source), следует указать «Не применимо».

2.5.10. Атрибут «Тип лицензии».
В атрибуте «Тип лицензии» для объекта информационной инфраструктуры, являющегося свободным программным обеспечением (Open Source), указывается тип его лицензии. Примеры для заполнения данного атрибута приведены в приложении 5 к настоящим Методическим рекомендациям.
Атрибут «Тип лицензии» заполняется с использованием следующих кодов:
Лиц1 Permissive (разрешительные)
Лиц2 Weak Copyleft (условный копилефт)
Лиц3 Copyleft (копилефт)
Лиц9 Не применимо
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который не является свободным программным обеспечением (Open Source), следует указать код, соответствующий расшифровке кода «Не применимо».

2.5.11. Атрибут «Архитектура».
В атрибуте «Архитектура» указывается архитектура с определенным набором инструкций, на которой функционирует объект информационной инфраструктуры, указанный в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Арх1 Монолитная архитектура
Арх2.1 Двухзвенная архитектура (клиент)
Арх2.2 Двухзвенная архитектура (сервер)
Арх3.1 Трехзвенная архитектура (клиент)
Арх3.2 Трехзвенная архитектура (сервер СУБД)
Арх3.3 Трехзвенная архитектура (сервер приложений)
Арх4 Микросервисная архитектура
Монолитная архитектура предполагает размещение всех необходимых компонентов для программного приложения или технологии на одном сервере.
Двухзвенная архитектура предполагает размещение прикладных программ на сервере приложений, а на рабочих станциях - программ клиентов, которые предоставляют для пользователей интерфейс для работы с приложениями.
Трехзвенная архитектура предполагает наличие в архитектурной модели программного комплекса трех типов компонентов: клиентских приложений, серверов приложений и серверов баз данных.
Микросервисная архитектура - сервис-ориентированная архитектура, направленная на взаимодействие связанных и легко изменяемых компонентов, являющихся отдельными сервисами.
В случае если объект информационной инфраструктуры (ИТ-продукт), находящийся в указанной автоматизированной системе, функционирует на одном уровне архитектуры и разных типах компонентов данной архитектуры, то следует указать все подходящие коды через символ «-» (прочерк).

2.5.12. Атрибут «Количество».
В атрибуте «Количество» указывается количество аппаратных и программно-аппаратных средств информационных технологий, указанных в атрибуте «Наименование ИТ-продукта» и задействованных финансовой организацией в указанной автоматизированной системе, с учетом запасов (например, 100-50, где 100 - количество активно применяемых объектов информационной инфраструктуры, 50 - количество запасов для объекта информационной инфраструктуры).
Для объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», который является программным обеспечением или свободным программным обеспечением (Open Source), следует указать «Не применимо».

2.5.13. Атрибут «Закупка».
В атрибуте «Закупка» указывается возможность закупки объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Закуп1 Да, посредством официального канала
Закуп2 Да, посредством параллельного импорта
Закуп3 Не требуется, собственная разработка
Закуп4 Не требуется, свободное программное обеспечение
Закуп5 Нет возможности

2.5.14. Атрибут «Техническая поддержка».
В атрибуте «Техническая поддержка» должна указываться возможность осуществления технической поддержки объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Поддерж1 Да, осуществляется официальным разработчиком
Поддерж2 Да, осуществляется сторонней организацией
Поддерж3 Да, осуществляется самой финансовой организацией
Поддерж4 Нет

2.5.15. Атрибут «Автономность».
В атрибуте «Автономность» должна указываться возможность работы без подключения к сети «Интернет» с сохранением функционала объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Авт1 Да
Авт2 Нет

2.5.16. Атрибут «Обновление».
В атрибуте «Обновление» указывается возможность обновления объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Обнв1 Да, официальный канал
Обнв2 Да, посредством параллельного импорта
Обнв3 Да, собственная командная разработка
Обнв4 Нет

2.5.17. Атрибут «Уязвимости».
В атрибуте «Уязвимости» указывается возможность устранения известных (описанных) уязвимостей объекта информационной инфраструктуры, указанного в атрибуте «Наименование ИТ-продукта», с использованием следующих кодов:
Уязв1 Да
Уязв2 Нет