Центральный Банк утвердил Положение № 719-П, в котором определил требования для операторов электронных денежных средств. Операторы должны провести аудит по ГОСТ 57580 в соответствии с положением 719-П с привлечением сторонней организации.

Примечание: ими могут являться как кредитные организации, то есть Банки, так и не кредитные организации.

Одним из ключевых требований Положения является соответствие элементов системы определенному уровню безопасности обрабатываемых данных. Необходимо проводить тестирование на наличие уязвимых мест в инфраструктуре. После этого полученные данные требуется проанализировать и на основании этого принять решения по реализации мер для их ликвидации.

Примечание: провести оценку на соответствие может только организация, имеющая необходимые лицензии. Отчет о проведенной оценки необходимо хранить пять лет.

Также накладываются ограничения на применение ПО. Необходимо, чтобы оно было сертифицировано и имело оценку на соответствие уровню доверия.

О содержании положения ЦБ РФ № 719-П

Текст документа можно найти на Гарант. Краткий обзор 719-П был здесь. В Положении перечислен состав мер, необходимый для эффективной и надежной защиты данных. Большая их часть связана с предоставлением доступа клиентам для совершения операций по переводу денежных средств, то есть идентификация, аутентификация и авторизация. Для повышения уровня безопасности используется два фактора аутентификации. При передаче данных между двумя участниками необходимо применить двухстороннюю аутентификацию, чтобы соединение между пользователями было безопасным.

Применение электронной подписи требуется для проверки сообщений на нарушение целостности и проверки источника. Кроме того, необходимо реализовать проверку выполняемых операций клиентом и информации, которая содержится в сообщении.

Информация, которую запрещается изменять:

● Касательно хранения защищаемых данных;
● О событиях, которые необходимо фиксировать;
● Об инцидентах защиты данных на протяжении пяти лет.

Примечание: возникновении сбоев в работе СВТ или целенаправленного нанесения вреда должна быть реализована возможность восстановления данных.

Для получения возможности совершать операции с денежными средствами клиент должен получить разрешение от оператора.

Если существуют причины, по которым нет возможности реализовать данные меры, то разрешается применение компенсирующих мер, которые также эффективно смогут обеспечить ликвидацию угроз защиты данных.

В Положении определен состав информации необходимой для защиты. В него входят данные клиентов, электронные сообщения, результаты осуществляемых операций.

Таким образом данное Положение определяет требования к обеспечению защиты информационной инфраструктуры Банка для безопасности данных клиентов.

Требования к данным, установленные в Положении 719-П

В Положении ЦБ предоставил перечень данных, к которым обязательно должны применяться средства защиты от кражи или подмены. Такой информацией являются:

● Данные, используемые клиентом для доступа к системе;
● Передаваемые электронные сообщения;
● Действия, связанные с платежной системой.

Результаты действий, связанных с доступом к информации подлежащей защите, должны фиксироваться. К последним относятся:

● Определение совершающей операцию личности;
● Получение отправляемых клиентом сообщений;
● Ошибки при отправке сообщений;
● Действия сотрудников.

Если сотрудники работают в автоматизированной системе или с прикладными программами должны фиксироваться:

● Дата и время совершаемых операций;
● Присвоение идентификатора;
● Код участка;
● Результат действий, совершаемых по отношению к информации;
● Данные, позволяющие определить устройство в системе.

Кроме работников, взаимодействовать с системой и программным обеспечением могут клиенты. При осуществлении доступа к системе должны фиксироваться:

● Дата и время совершаемых клиентом операций;
● Индивидуальный номер, по которому можно определить совершающее действия лицо;
● Код участка;
● Результат совершенных операций;
● Определение устройства в системе.

В соответствии с положением необходимо информировать Банк России об инцидентах, которые были обнаружены и мероприятиях по размещению данной информации в общедоступных сетях.

Если в системе обрабатываются ПДн, то необходимо реализовать меры по защите данных в соответствии с приказом № 21 ФСТЭК.

Примечание: Центральный Банк требует применять средства криптографической защиты информации, имеющие сертификаты. При обмене сообщениями участников платёжной системы должна применяться усиленная электронная подпись.