Подразделение информационной безопасности появится в банках

Так, в новой редакции изложен пункт, в котором говорится, что операторы систем электронных денег обеспечивают создание и функционирование системы управления информационной безопасностью, являющейся частью общей системы управления операторов систем электронных денег, предназначенной для управления процессом обеспечения информационной безопасности.

Операторы систем электронных денег утверждают внутренние документы, регламентирующие процесс управления информационной безопасностью, в том числе политику информационной безопасности.

Вместе с тем в правила добавлены новые пункты.

Так, говорится, что оператор системы электронных денег осуществляет обследование состояния информационной безопасности периметра защиты информационно-коммуникационной инфраструктуры не реже одного раз в год. По результатам обследования составляется отчет с приложением материалов обследования, который доводится до сведения руководителя оператора системы электронных денег.

Оператор системы электронных денег, являющийся платежной организацией, прошедшей учетную регистрацию в Национальном банке, в целях разграничения ответственности и функций в сфере обеспечения информационной безопасности создает подразделение информационной безопасности, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определяет лицо, ответственное за обеспечение информационной безопасности, не состоящее в штате структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации.

Подразделение информационной безопасности или лицо, ответственное за обеспечение информационной безопасности, осуществляет координацию работ по обеспечению информационной безопасности и контроль за исполнением требований информационной безопасности, определенных во внутренних документах оператора системы электронных денег.

Оператор системы электронных денег обеспечивает повышение квалификации работников подразделения информационной безопасности или лица, ответственного за обеспечение информационной безопасности, путем проведения:

• внутренних мероприятий (лекции, семинары);
• внешнего обучения (посещение курсов, семинаров – не реже одного раза в два года для каждого работника).

При приеме на работу нового работника не позднее пяти рабочих дней с момента приема на работу его знакомят под подпись с основными требованиями по обеспечению информационной безопасности (вводный инструктаж).

Результат ознакомления фиксируется в соответствующем журнале инструктажа или ином документе, подтверждающем прохождение инструктажа.

Требования настоящего пункта распространятся на операторов системы электронных денег, являющихся платежными организациями, прошедшими учетную регистрацию в Национальном банке.

Трудовой договор, заключаемый с работником оператора системы электронных денег, являющегося платежной организацией, прошедшей учетную регистрацию в Национальном банке, содержит обязанность работника по соблюдению требований по обеспечению информационной безопасности и неразглашению конфиденциальной информации.

Также правила дополнены нормой, предусматривающей, что в случае подключения ноутбуков или иных устройств к информационным активам оператора системы электронных денег, являющегося платежной организацией, прошедшей учетную регистрацию в Национальном банке, из-за пределов периметра защиты оператора системы электронных денег на данных устройствах устанавливается лицензионное программное обеспечение для организации защищенного доступа (шифрование канала связи, обеспечение двухфакторной аутентификации).

Предусматривается, что оператор системы электронных денег, являющийся платежной организацией, прошедшей учетную регистрацию в Нацбанке, для обмена событиями и инцидентами информационной безопасности использует статический IP-адрес и предоставляет информацию о нем в течение 10 рабочих дней со дня прохождения учетной регистрации в НБ.

В случае изменения статического IP-адреса оператор системы электронных денег уведомляет об этом Национальный банк в течение пяти рабочих дней со дня изменения статического IP-адреса.

Указанные выше нормы начинают действовать с 1 июня 2025 года.

Вместе с тем приостанавливает свое действие с 1 июня 2025 года до 1 января 2026 года пункт, в котором говорится, что оператор системы электронных денег, являющийся платежной организацией, прошедшей учетную регистрацию в Нацбанке, оказывает платежные услуги с использованием электронных денег, а также обеспечивает обработку платежей, совершаемых при оказании платежных услуг, с использованием программно-технических средств, которые размещаются и эксплуатируются на территории республики. 

Также в правила добавлены следующие пункты.

В частности, говорится, что серверное помещение (центр обработки данных) оператора системы электронных денег, являющегося платежной организацией, прошедшей учетную регистрацию в Национальном банке, собственное или арендуемое, оснащается следующими системами:

• системой контроля и управления доступом;
• охранной сигнализацией;
• пожарной сигнализацией;
• системой автоматического пожаротушения;
• системой видеонаблюдения.

Серверное и коммуникационное оборудование подключается к системе электропитания через источники бесперебойного питания.

В случае отсутствия у оператора системы электронных денег серверного помещения (центра обработки данных) требования настоящего пункта распространяются на арендуемые помещения или помещения, в которых размещены объекты информатизации оператора системы электронных денег.

Доступ в серверное помещение (центр обработки данных) оператора системы электронных денег, являющегося платежной организацией, предоставляется лицам, перечень которых утверждается руководителем оператора системы электронных денег или лицом, его замещающим.

Оператор системы электронных денег обеспечивает ведение и хранение журнала системы контроля и управления доступом в серверное помещение (центр обработки данных) не менее одного года.

Система видеонаблюдения серверного помещения оператора системы электронных денег, собственного или арендуемого, обеспечивает наблюдение за всеми проходами, входами в серверное помещение.

Указывается, что в серверном помещении расстановка видеокамер исключает наличие зон внутри серверного помещения и перед его входом, не покрытых видеонаблюдением.

Запись событий системой видеонаблюдения серверного помещения ведется непрерывно или с использованием детектора движения.

Архив записей системы видеонаблюдения серверного помещения хранится не менее трех месяцев. 

Вместе с тем с 1 января 2026 года вводится норма, в которой говорится, что в банкоматах устанавливается не менее одной камеры, позволяющей зафиксировать лицо держателя платежной карточки. Зафиксированные камерой изображения хранятся эквайером не менее 180 календарных дней.

В случае обращения держателя платежной карточки при возникновении спорных ситуаций, связанных с использованием банкомата эквайера, срок хранения зафиксированных камерой изображений продлевается до разрешения спорной ситуации.

Ранее мы рассказали, что Нацбанк изменил правила осуществления и мониторинга валютных операций.