Условия по защите информации Банка России

1.7. При обмене в электронном виде сведениями о реализованных мерах и средствах защиты информации, а также материалами работы согласительной комиссии, созданной в соответствии с приложением 5 к настоящим Условиям, применяются организационные и технические меры защиты информации, в том числе предназначенные для предотвращения несанкционированного доступа к содержанию защищаемой информации при передаче по открытым каналам связи, а также с использованием информационно-телекоммуникационной сети "Интернет".

2.1. Клиенты, являющиеся кредитными организациями (их филиалами), филиалами иностранных банков, через которые иностранные банки осуществляют деятельность на территории Российской Федерации (далее - филиалы иностранных банков) <3>, имеющие доступ к услугам по переводу денежных средств с использованием распоряжений в электронном виде (за исключением централизованных филиалов), обеспечивают выполнение требований, установленных Банком России на основании пункта 19 части 1 и части 9 статьи 20 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе", части пятой статьи 5 Федерального закона от 2 декабря 1990 года N 395-I "О банках и банковской деятельности", а также подпунктов 2.3.4 - 2.3.6 пункта 2.3 и приложения 6 к настоящим Условиям.
<3> Указанное требование для филиалов иностранных банков применяется с 01.01.2027. До 01.01.2027 филиалы иностранных банков руководствуются пунктом 2.3 настоящих Условий.

Для объектов информационной инфраструктуры в пределах выделенного сегмента (группы сегментов) вычислительных сетей Клиенты должны применять меры защиты информации, реализующие минимальный уровень (уровень 3) защиты информации, определенный национальным стандартом Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер", утвержденным приказом Федерального агентства по техническому регулированию и метрологии от 08.08.2017 N 822-ст "Об утверждении национального стандарта Российской Федерации" (М., ФГУП "Стандартинформ", 2017) (далее - ГОСТ Р 57580.1-2017).

2.3.3. Клиенты при обмене ЭС в платежной системе Банка России с использованием СКЗИ должны обеспечивать выполнение требований, указанных в приложении 6 к настоящим Условиям.

2.3.7. Клиенты при обмене ЭС между Клиентом и Банком России должны руководствоваться Условиями управления криптографическими ключами, указанными в приложении 3 к настоящим Условиям.

2.4. В случае выявления инцидента Клиент вправе направить в Банк России обращение о приостановлении обмена ЭС в порядке, указанном в приложении 4 к настоящим Условиям.

Клиент обязан оформлять результаты устранения нарушений требований актом об устранении в письменном виде, направлять данный акт не позднее пятого рабочего дня после срока, установленного Банком России для устранения выявленных нарушений, одним из способов, указанных в пункте 1.11.

До начала обмена ЭС Клиент представляет в подразделение Банка России, обслуживающее счет Клиента, акт о готовности Клиента к обмену ЭС с Банком России, форма которого приведена в приложении 1 к настоящим Условиям, одним из способов, указанных в пункте 1.11.

В случае внесения каких-либо изменений, в том числе в состав ответственных лиц, указанных в приложениях к акту о готовности Клиента к обмену ЭС с Банком России, Клиент обязан представить в подразделение Банка России, обслуживающее счет Клиента, актуальную информацию не позднее пятого рабочего дня после внесения изменений одним из способов, указанных в пункте 1.11.

2.6. Клиент обеспечивает контроль выполнения косвенными участниками Клиента требований к защите информации, указанных в подпунктах 2.3.1 - 2.3.8 пункта 2.3 настоящих Условий.

2.7. Клиент должен обеспечить получение подтверждения от косвенного участника с доступом к ТПСБП о выполнении требований к защите информации, указанных в пункте 2.2 настоящих Условий.

2.9. Клиент должен обеспечить получение Клиентом от косвенного участника Клиента информации о нарушениях требований к обеспечению защиты информации при обмене ЭС, в том числе которые привели или могут привести к осуществлению переводов денежных средств без согласия клиента или к неоказанию услуг по переводу денежных средств.
При поступлении указанной информации от косвенных участников Клиента Клиент должен информировать Банк России в соответствии с требованиями подпункта 2.3.9 пункта 2.3 настоящих Условий.

3.1.1. Пользователи должны размещать объекты информационной инфраструктуры, используемые при обмене ФС, в выделенных (отдельных) сегментах (группах сегментов) вычислительных сетей. Размещение в сегментах (группах сегментов) вычислительных сетей, в которых расположены объекты информационной инфраструктуры, используемые при обмене ФС, иных объектов информационной инфраструктуры не допускается.
АРМ обмена должно быть реализовано в выделенном (отдельном) сегменте (группах сегментов) вычислительных сетей с использованием отдельного рабочего места.
Контур формирования ФС и контур контроля реквизитов ФС в информационной инфраструктуре Пользователя должны быть реализованы с привлечением отдельных работников для выполнения функций операторов, администраторов и администраторов информационной безопасности в каждом из контуров <6>.
Для объектов информационной инфраструктуры в пределах выделенного сегмента (группы сегментов) вычислительных сетей Пользователи должны применять меры защиты информации, реализующие уровни защиты информации, определенные ГОСТ Р 57580.1-2017.
Пользователи, являющиеся системно значимыми кредитными организациями, кредитными организациями, выполняющими функции оператора услуг платежной инфраструктуры системно значимых платежных систем, кредитными организациями, являющимися значимыми на рынке платежных услуг, должны реализовывать усиленный уровень (уровень 1) защиты информации.
Пользователи, являющиеся кредитными организациями, не относящимися к кредитным организациям, указанным в абзаце пятом настоящего подпункта, филиалами иностранных банков должны реализовывать стандартный уровень (уровень 2) защиты информации.
Пользователи, являющиеся кредитными организациями, которые должны реализовывать стандартный уровень защиты информации, ставшие кредитными организациями, которые должны реализовывать усиленный уровень защиты информации, должны обеспечить реализацию 
усиленного уровня защиты информации не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце пятом настоящего подпункта.
Пользователи, не являющиеся кредитными организациями, должны реализовывать минимальный уровень (уровень 3) защиты информации.
<6> В случае реализации подписания ФС в информационной инфраструктуре (автоматизированной системе) Пользователя.

3.1.3. Защита информации Пользователями с помощью СКЗИ при обмене ФС должна обеспечиваться в соответствии с требованиями, указанными в приложении 6 к настоящим Условиям.

3.1.7. Криптографические ключи, используемые при обмене ФС между Пользователем и Банком России, должны изготавливаться Пользователем в соответствии с Условиями управления криптографическими ключами, указанными в приложении 3 к настоящим Условиям

3.3. В случае выявления Пользователем несоблюдения им требований к защите информации приостановление оказания услуг по передаче ФС Пользователю осуществляется путем приостановления обмена через СПФС на основании заявления Пользователя о приостановлении оказания услуг по передаче ФС, содержащего сведения о несоблюдении Пользователем требований к защите информации, направленного в порядке, указанном в приложении 4 к настоящим Условиям.

3.4. Выполнение требований к защите информации при обмене ФС подтверждается документами Пользователя, в том числе содержащими информацию о проведении контроля за выполнением указанных требований, а также о датах проведения и результатах контроля. Документы Пользователя подписываются руководителем Пользователя либо уполномоченным лицом и представляются по запросу Банка России <7> при проведении проверки выполнения требований к защите информации.
Пользователь предоставляет возможность Банку России проводить проверки выполнения требований к защите информации, указанных в акте о готовности Пользователя к обмену ФС с использованием СПФС, в том числе в подразделении Пользователя.
Пользователь обязан устранять нарушения требований к защите информации, выявленные при проверке, в сроки, установленные в акте проверки Банка России.
Пользователь обязан оформлять результаты устранения нарушений требований актом об устранении в письменном виде, направлять данный акт не позднее пятого рабочего дня после срока, установленного Банком России для устранения выявленных нарушений, одним из способов, указанных в пункте 1.1.
До начала обмена ФС Пользователь представляет в подразделение Банка России, в котором заключен Договор с Пользователем, акт о готовности Пользователя к обмену ФС с использованием СПФС, форма которого приведена в приложении 2 к настоящим Условиям одним из способов, указанных в пункте 1.11.
В случае внесения каких-либо изменений, в том числе в состав ответственных лиц, указанных в приложениях к акту о готовности Пользователя к обмену ФС с использованием СПФС, Пользователь обязан представить в подразделение Банка России, в котором заключен Договор с Пользователем, актуальную информацию не позднее пятого рабочего дня после внесения изменений одним из способов, указанных в пункте 1.11.
<7> Способ предоставления информации указывается в запросе Банка России.

3.5. Пользователи должны обеспечивать проведение ежегодных самостоятельных оценок выполнения требований к защите информации.
Проведение ежегодных самостоятельных оценок выполнения требований к защите информации осуществляется в соответствии с Приложением 9 к настоящим Условиям.
Результаты проведения ежегодных самостоятельных оценок выполнения требований к защите информации фиксируются Пользователями в акте, составляемом в соответствии Приложением 9 к настоящим Условиям, утверждаются руководителем (лицом, его замещающим), или должностным лицом, заключившим Договор от имени Пользователя.
Пользователи должны обеспечивать хранение акта проведения самостоятельной оценки выполнения требований к защите информации не менее 5 лет.

АРМ обмена реализовано в выделенном (отдельном) сегменте (группах сегментов) вычислительных сетей с использованием отдельного рабочего места.
Перечень документов и описаний, отражающих реализацию правил материально-технического обеспечения формирования ЭС и контроля реквизитов ЭС, для участника ССНП <10>:
Участник ССНП направляет всю необходимую информацию <11>, подтверждающую выполнение указанных мер в части защиты информации, в соответствии с приложением 5 к настоящему Акту, в том числе:

Содержание требований по защите информации:
Обеспечение защиты информации с помощью СКЗИ пользователем осуществляется в соответствии с требованиями, указанными в приложении 6 к настоящим Условиям.

4. В целях направления обращений (заявлений) Клиент (Пользователь) должен обеспечить назначение должностных лиц, уполномоченных на направление и (или) подписание обращений (заявлений), и направление в Банк России письма, содержащего информацию об уполномоченных лицах, не позднее следующего дня после дня их назначения или изменения.
Указанное письмо составляется по форме, размещенной на сайте Банка России в информационно-телекоммуникационной сети "Интернет" по адресу https://www.cbr.ru/information_security/fincert/, и направляется в Банк России (Департамент информационной безопасности) не позднее рабочего дня, следующего за днем их назначения или изменения, с использованием одного из способов, указанных в пункте 1.11.

5. Не позднее одного рабочего дня после дня направления обращения (заявления) Клиент (Пользователь) должен направить оригинал обращения о приостановлении обмена ЭС (заявления о приостановлении оказания услуг по передаче ФС) или о возобновлении обмена ЭС (заявления о возобновлении оказания услуг по передаче ФС), оформленного в письменном виде, подписанного уполномоченным лицом и заверенного печатью Клиента (Пользователя) (при ее наличии), в Банк России с использованием одного из способов, указанных в пункте 1.11.

11. Если в течение двух рабочих дней на предложение Стороны-инициатора о создании комиссии ответ другой Стороны не был получен или был получен отказ от участия в работе комиссии, или другая Сторона препятствовала работе комиссии, Сторона-инициатор вправе составить акт в одностороннем порядке с указанием причины его составления. В акте приводится информация, указанная в пункте 10 настоящего приложения. Акт составляется в двух экземплярах, подписывается уполномоченными должностными лицами Стороны-инициатора. Один экземпляр акта направляется другой Стороне.

1. Защита информации Клиентами (косвенными участниками Клиента, Пользователями) с помощью СКЗИ должна обеспечиваться в соответствии с Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденным приказом Федеральной службы безопасности Российской Федерации от 09.02.2005 N 66 "Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)", зарегистрированным Министерством юстиции Российской Федерации 03.03.2005 N 6382, 25.05.2010 N 17350, и технической документацией на СКЗИ.

Обеспечение защиты информации с помощью СКЗИ Пользователем осуществляется в соответствии с требованиями, указанными в приложении 6 к настоящим Условиям