Нацбанк обновил требования к безопасности цифровых систем банков

В частности, в новой редакции утверждены Требования к безопасности и беспрерывности работы цифровых систем банков, филиалов банков-нерезидентов Республики Казахстан иорганизаций, осуществляющих отдельные виды банковских операций.

На рабочих местах банк обеспечивает:

• установку и функционирование программного или программно-аппаратного комплекса защиты от несанкционированного доступа, включающего в себя средства идентификации и аутентификации ответственного работника;
• установку и функционирование технических средств бесперебойного электропитания, позволяющих осуществлять работу рабочего места при отсутствии напряжения в электросети в течение времени, необходимого для корректного завершения работы в цифровой системе, но не менее десяти минут;
• установку и функционирование средств обнаружения вредоносного программного кода и (или) программы;
• программную либо программно-аппаратную защиту передаваемой информации и каналов связи.

Для обеспечения защиты данных от несанкционированного доступа внутренними документами банка устанавливается порядок хранения и использования технических средств, паролей или другой информации, предоставляющих доступ к рабочему месту.

Внутренними документами банка утверждается порядок доступа к ресурсам (дисковое пространство, директории, сетевые ресурсы, базы данных), выделенным для накопления в них информации для передачи в цифровую систему, получения информации из цифровой системы, хранения, архивирования либо другой обработки информации.

Доступ к рабочему месту ответственным работником осуществляется в соответствии с его должностными обязанностями.

Одному системному имени пользователя, по которому идентифицируется пользователь на входе в цифровые системы, соответствует один ответственный работник, за исключением работников, выполняющих функции администратора. Для работника, выполняющего функции администратора, допускается создание нескольких системных имен пользователя.

Порядок доступа к рабочему месту посредством сети и иных технических каналов передачи данных минимизирует возможность несанкционированного доступа.

Во внутренних документах банка, предусматривающих порядок работы ответственных работников, имеющих доступ в цифровую систему, определяются:

• порядок назначения ответственных работников;
• режим работы ответственных работников;
• права и обязанности ответственных работников, включая должностные инструкции;
• список команды восстановления.

Внутренними документами банка утверждается:

• перечень цифровых систем и их объектов, их назначение и основные характеристики, требования к числу уровней иерархии и степени централизации систем, в том числе, перечень функций, задач по каждому объекту цифровой системы;
• требования к способам и средствам связи для информационного обмена между компонентами цифровых систем;
• планы восстановления работы цифровых систем (далее - план восстановления);
• требования к режимам функционирования цифровых систем;
• требования к мониторингу функционирования цифровых систем;
• требования к классификации, количеству и режиму работы ответственных работников команды восстановления.

При обращении пользователя к цифровой системе для получения электронной банковской услуги банк обеспечивает:

• регистрацию действий по получению клиентами электронных банковских услуг в электронных журналах без возможности изменения внесенных в них данных, с указанием времени совершения операций. Период хранения сведений электронных журналов составляет не менее 2 месяцев;
• функционирование программного обеспечения, предназначенного для автоматического мониторинга, выявления и блокирования в цифровой системе несанкционированных операций или действий, направленных на создание условий для проведения несанкционированных операций;
• архитектуру «клиент-сервер», позволяющую при выводе из строя рабочего места пользователя или получении злоумышленником несанкционированного доступа к нему не влиять на работу серверной части системы, а при сбое сервера приложений не влиять на состояние данных системы;
• резервное копирование и архивацию данных с возможностью их последующего восстановления;
• выполнение других действий.

При оказании электронных банковских услуг осуществляется шифрование относящихся к банковской тайне передаваемых данных и (или) информационно-коммуникационной сети для их передачи от персональных компьютеров, телефонов, электронных терминалов и иных устройств до конечной системы обработки передаваемых данных.

Помимо этого, поправки внесены в ряд других НПА:

• Правила учета векселей банками второго уровня Республики Казахстан;
• Правила назначения на должность и прекращения трудового договора со служащими Национального Банка;
• Правила открытия, ведения и закрытия банками, филиалами банков-нерезидентов Республики Казахстан металлических счетов;
• Правила проведения операций с документарными аккредитивами банками Республики Казахстан;
• Правила выпуска, использования и погашения электронных денег, а также требований к эмитентам электронных денег и системам электронных денег на территории Республики Казахстан;
• Правила применения чеков на территории Республики Казахстан;
• Правила открытия, ведения и закрытия банковских счетов клиентов;
• Правила осуществления безналичных платежей и (или) переводов денег на территории Республики Казахстан;
• Правила установления корреспондентских отношений между Национальным Банком Республики Казахстан и банками, филиалами банков-нерезидентов Республики Казахстан, а также организациями, осуществляющими отдельные виды банковских операций и ряд других.

Постановление вводится в действие с 14 сентября.