Вопрос: СБ ЗОКИИ: обязательно ли проводить тестирование на проникновение (пентест) при выполнении требований по анализу уязвимостей? Или способы проведения анализа уязвимостей определяются на усмотрение субъекта КИИ?
Ответ: Ответ: нет, проведение тестирований на проникновение (так называемые пентесты) не является обязательным требованием в рамках исполнения пункта 12.6 при внедрении организационных и технических мер по обеспечению безопасности значимого объекта критической информационной инфраструктуры (далее – КИИ) и вводе его в действие и для выполнения меры «АУД.2. Анализ уязвимостей и их устранение» Требований по обеспечению безопасности значимых объектов КИИ РФ, утвержденных приказом ФСТЭК России от 25.12.2017 № 239. Тестирование на проникновение является одним из возможных способов анализа уязвимостей, при этом также рассматриваются:
  
  	 ·        анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта КИИ;
  
  	 ·        периодическое сканирование информационных ресурсов, доступных для внешнего сетевого взаимодействия, на выявление известных уязвимостей специализированными средствами (сканеры уязвимостей);
  
  	 ·        анализ состава установленного программного обеспечения и обновлений (в том числе контроль отсутствия уязвимых версий программного обеспечения) с применением средств контроля (анализа) защищенности;
  
  	 ·        использование анализаторов на выявление ошибок и уязвимостей в исходном коде;
  
  	 ·        анализ настроек (конфигураций) программных и программно-аппаратных средств, в том числе средств защиты информации.
  
  	 Применение способов и средств выявления уязвимостей осуществляется субъектом КИИ с учетом особенностей функционирования значимого объекта КИИ.
  
  	 Отдельно отметим, что обязательное проведение ежегодного тестирования на проникновение требуется для наиболее критичных информационных (автоматизированных) систем финансовых организаций, реализующих стандартный или усиленный уровень защиты информации в соответствии с требованиями:
  
  	 ·        положения Банка России от 17.04.2019 № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента»;
  	 ·        положения Банка России от 04.06 2020 № 719-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»;положения Банка России от 20.04.2021 № 757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций».
Цитаты из НПА: {"25.12.2017 № 239": ["Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.", "Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации.", "В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются: а) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;", "Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\".", "Анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;", "Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования.", "Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются: а) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования; б) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;", "Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры."], "17.04.2019 № 683": ["Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении объектов информационной инфраструктуры.", "Кредитные организации должны обеспечивать регистрацию инцидентов защиты информации. По каждому инциденту защиты информации кредитные организации должны обеспечивать регистрацию: защищаемой информации, обрабатываемой на технологическом участке (участках), на котором (которых) произошел несанкционированный доступ к защищаемой информации; результата реагирования на инцидент защиты информации, в том числе действий по возврату денежных средств или электронных денежных средств.", "7524; N 53, ст. 8411, ст. 8440) настоящее Положение устанавливает обязательные для кредитных организаций требования к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента.", "Кредитные организации должны обеспечить ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.", "Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении технологии обработки защищаемой информации.", "Кредитные организации должны обеспечить реализацию следующих уровней защиты информации для объектов информационной инфраструктуры, используемых для обработки, передачи, хранения защищаемой информации в целях осуществления банковских операций, определенных национальным стандартом Российской Федерации ГОСТ Р 57580.1-2017 \"Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер\"."], "20.04.2021 № 757": ["Оператор финансовой платформы, регистратор финансовых транзакций должны обеспечивать подписание электронных сообщений, в том числе договоров между оператором финансовой платформы и потребителем финансовых услуг, соглашений об электронном документообороте между оператором финансовой платформы, потребителем финансовых услуг и финансовой организацией или эмитентом, а также иных документов, необходимых для обеспечения их взаимодействия при заключении и исполнении финансовых сделок с использованием финансовой платформы, способом, позволяющим обеспечить целостность подписываемых документов и подтвердить их составление уполномоченным на это лицом, в соответствии с требованиями пункта 1.9 настоящего Положения.", "Оператор информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператор обмена цифровых финансовых активов в дополнение к установленным пунктом 1.10 настоящего Положения требованиям к технологии обработки защищаемой информации в рамках выпуска и обращения цифровых финансовых активов должны обеспечивать выполнение следующих мероприятий: использование многофакторной аутентификации лиц, выпускающих цифровые финансовые активы, обладателей цифровых финансовых активов, оператора обмена цифровых финансовых активов при осуществлении доступа к информационной системе, в которой осуществляется выпуск цифровых финансовых активов, в том числе реализованной с использованием СКЗИ; защиту, в том числе криптографическую, защищаемой информации при ее хранении и передаче в информационной системе, в которой осуществляется выпуск цифровых финансовых активов; применение организационных и технических мер, обеспечивающих обработку инцидентов защиты информации, связанных с несанкционированным доступом к криптографическим ключам при их формировании, использовании и хранении, в том числе в соответствии с требованиями технической документации на СКЗИ; взаимную аутентификацию узлов информационной системы, участвующих в обмене защищаемой информацией; реализацию системы управления жизненным циклом сделки, предусмотренной частью 2 статьи 4 Федерального закона \"О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации\", и реализацию ее типовых функций в виде стандартных библиотек с целью управления рисками и уязвимостями, связанными с исполнением указанной сделки; применение организационных и технических мер, направленных на обработку риска использования уязвимостей программной среды исполнения сделки, предусмотренной частью 2 статьи 4 Федерального закона \"О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации\"; реализацию системы мониторинга инцидентов защиты информации и регламентацию мер по реакции на инциденты защиты информации; реализацию системы мониторинга исполнения сделок, предусмотренных частью 2 статьи 4 Федерального закона \"О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации\".", "Определение уровня защиты информации должно осуществляться некредитной финансовой организацией ежегодно не позднее десятого рабочего дня календарного года определения уровня защиты информации.", "3950) устанавливает обязательные для некредитных финансовых организаций требования к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков, предусмотренной частью первой статьи 76 ¹ Федерального закона от 10 июля 2002 года N 86-ФЗ \"О Центральном банке Российской Федерации (Банке России)\" (Собрание законодательства Российской Федерации, 2002, N 28, ст. 2790; 2020, N 31, ст. 5018), в целях противодействия осуществлению незаконных финансовых операций.", "Некредитные финансовые организации, реализующие усиленный и стандартный уровни защиты информации, должны осуществлять ежегодное тестирование объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры."]}
full_text: {"25.12.2017 № 239": "Приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 \"Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Зарегистрировано в Минюсте РФ 26 марта 2018 г. Регистрационный N 50524\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г. N 239\nТребования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и направлены на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - значимые объекты, критическая информационная инфраструктура) при проведении в отношении них компьютерных атак. 2. Действие настоящих Требований распространяется на информационные системы, автоматизированные системы управления, информационно-телекоммуникационные сети, которые отнесены к значимым объектам критической информационной инфраструктуры в соответствии со статьей 7 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам. 4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне. 5. Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257). Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 \"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17\" (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933). 6. Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов\n7. Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации, при которой изменяется архитектура значимого объекта, в том числе подсистема его безопасности, в соответствии с отдельным техническим заданием на модернизацию значимого объекта и (или) техническим заданием (частным техническим заданием) на модернизацию подсистемы безопасности значимого объекта (далее - модернизация), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла. 8. На стадиях (этапах) жизненного цикла в ходе создания (модернизации), эксплуатации и вывода из эксплуатации значимого объекта проводятся:\nа) установление требований к обеспечению безопасности значимого объекта;\nб) разработка организационных и технических мер по обеспечению безопасности значимого объекта;\nв) внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;\nг) обеспечение безопасности значимого объекта в ходе его эксплуатации;\nд) обеспечение безопасности значимого объекта при выводе его из эксплуатации. Результаты реализации мероприятий, проводимых для обеспечения безопасности значимого объекта на стадиях (этапах) его жизненного цикла, подлежат документированию. Состав и формы документов определяются субъектом критической информационной инфраструктуры. 9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов. Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов. Установление требований к обеспечению безопасности значимого объекта\n10. Задание требований к обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, устанавливающим требования к обеспечению безопасности значимых объектов, в соответствии с категорией значимости значимого объекта, определенной в порядке, установленном Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 \"Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2018, N 8, ст. 1204). Требования к обеспечению безопасности включаются в техническое задание на создание значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, которые должны содержать:\nа) цель и задачи обеспечения безопасности значимого объекта или подсистемы безопасности значимого объекта;\nб) категорию значимости значимого объекта;\nв) перечень нормативных правовых актов, методических документов и национальных стандартов, которым должен соответствовать значимый объект;\nг) перечень типов объектов защиты значимого объекта;\nд) требования к организационным и техническим мерам, применяемым для обеспечения безопасности значимого объекта;\nе) стадии (этапы работ) создания подсистемы безопасности значимого объекта;\nж) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;\nз) требования к защите средств и систем, обеспечивающих функционирование значимого объекта (обеспечивающей инфраструктуре);\nи) требования к информационному взаимодействию значимого объекта с иными объектами критической информационной инфраструктуры, а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями;\nк) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта. В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - организационно-распорядительные документы по безопасности значимых объектов). Разработка организационных и технических мер по обеспечению безопасности значимого объекта\n11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, привлекаемым в соответствии с законодательством Российской Федерации к проведению работ по созданию (модернизации) значимого объекта и (или) обеспечению его безопасности, в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта и должна включать:\nа) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);\nб) проектирование подсистемы безопасности значимого объекта;\nв) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности). Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. 11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее - архитектура значимого объекта), а также особенностей функционирования значимого объекта. Анализ угроз безопасности информации должен включать:\nа) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз безопасности информации. В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198) (далее - банк данных угроз безопасности информации ФСТЭК России), а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации. По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры значимого объекта и организационно-распорядительных документов по безопасности значимых объектов, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта. Описание каждой угрозы безопасности информации должно включать:\nа) источник угрозы безопасности информации;\nб) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;\nв) возможные способы (сценарии) реализации угрозы безопасности информации;\nг) возможные последствия от реализации (возникновения) угрозы безопасности информации. Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 11.2. Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта. При проектировании подсистемы безопасности значимого объекта:\nа) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;\nб) определяются политики управления доступом (дискреционная, мандатная, ролевая, комбинированная);\nв) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности значимого объекта;\nг) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности значимого объекта;\nд) осуществляется выбор средств защиты информации и (или) их разработка с учетом категории значимости значимого объекта, совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;\nе) разрабатывается архитектура подсистемы безопасности значимого объекта, включающая состав, места установки, взаимосвязи средств защиты информации;\nж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей значимого объекта;\nз) определяются меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. В случае если в ходе проектирования подсистемы безопасности значимого объекта предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, такая разработка проводится в соответствии со стандартами безопасной разработки программного обеспечения. Результаты проектирования подсистемы безопасности значимого объекта отражаются в проектной документации на значимый объект (подсистему безопасности значимого объекта), разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. В процессе проектирования значимого объекта его категория значимости может быть уточнена. В целях тестирования подсистемы безопасности значимого объекта в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:\nобеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;\nпрактическую отработку выполнения средствами защиты информации функций безопасности, а также выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований;\nисключение влияния подсистемы безопасности на функционирование значимого объекта. Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации. При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г. N 101 (зарегистрирован Минюстом России 31 мая 2017 г., регистрационный N 46915), а также иных нормативных правовых актов федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи. 11.3. Разработка рабочей (эксплуатационной) документации на значимый объект осуществляется в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта на основе проектной документации. Рабочая (эксплуатационная) документация на значимый объект должна содержать:\nописание архитектуры подсистемы безопасности значимого объекта;\nпорядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;\nправила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие\n12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:\nа) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;\nб) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;\nв) внедрение организационных мер по обеспечению безопасности значимого объекта;\nг) предварительные испытания значимого объекта и его подсистемы безопасности;\nд) опытную эксплуатацию значимого объекта и его подсистемы безопасности;\nе) анализ уязвимостей значимого объекта и принятие мер по их устранению;\nж) приемочные испытания значимого объекта и его подсистемы безопасности. По решению субъекта критической информационной инфраструктуры к разработке и внедрению организационных и технических мер по обеспечению безопасности значимого объекта может привлекаться лицо, эксплуатирующее (планирующее эксплуатировать) значимый объект. 12.1. Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, а также в соответствии с эксплуатационной документацией на отдельные средства защиты информации. При установке и настройке средств защиты информации должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации, в случае их наличия в эксплуатационной документации. 12.2. Разрабатываемые организационно-распорядительные документы по безопасности значимого объекта должны определять правила и процедуры реализации отдельных организационных и (или) технических мер (политик безопасности), разработанных и внедренных в рамках подсистемы безопасности значимого объекта в соответствии с главой III настоящих Требований. Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 12.3. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются:\nа) организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи;\nб) реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;\nв) проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер;\nг) определение администратора безопасности значимого объекта;\nд) отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. 12.4. Предварительные испытания значимого объекта и его подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности значимого объекта и отдельных средств защиты информации, оценку выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований, оценку влияния подсистемы безопасности на функционирование значимого объекта при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации значимого объекта и его подсистемы безопасности. 12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности. 12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления:\nа) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;\nб) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;\nв) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;\nг) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;\nд) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта. Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта. Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. 12.7. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий (испытаний), в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности настоящим Требованиям, а также требованиям технического задания на создание значимого объекта и (или) технического задания (частного технического задания) на создание подсистемы безопасности значимого объекта. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию. В случае если значимый объект является государственной информационной системой, в иных случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры, оценка значимого объекта и его подсистемы безопасности проводится в форме аттестации значимого объекта в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17. Ввод в эксплуатацию значимого объекта и его подсистемы безопасности осуществляется при положительном заключении (выводе) в акте приемки (или в аттестате соответствия) о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Обеспечение безопасности значимого объекта в ходе его эксплуатации\n13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:\nа) планирование мероприятий по обеспечению безопасности значимого объекта;\nб) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;\nв) управление (администрирование) подсистемой безопасности значимого объекта;\nг) управление конфигурацией значимого объекта и его подсистемой безопасности;\nд) реагирование на компьютерные инциденты в ходе эксплуатации значимого объекта;\nе) обеспечение действий в нештатных ситуациях в ходе эксплуатации значимого объекта;\nж) информирование и обучение персонала значимого объекта;\nз) контроль за обеспечением безопасности значимого объекта. 13.1. В ходе планирования мероприятий по обеспечению безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности значимого объекта;\nб) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности значимого объекта;\nв) определения порядка контроля выполнения мероприятий по обеспечению безопасности значимого объекта, предусмотренных утвержденным планом. Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:\nа) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;\nб) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;\nв) оценка возможных последствий реализации угроз безопасности информации в значимом объекте. Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования. 13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за управление (администрирование) подсистемой безопасности значимого объекта;\nб) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в значимом объекте;\nв) управление средствами защиты информации значимого объекта;\nг) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;\nд) централизованное управление подсистемой безопасности значимого объекта (при необходимости);\nе) мониторинг и анализ зарегистрированных событий в значимом объекте, связанных с обеспечением безопасности (далее - события безопасности);\nж) сопровождение функционирования подсистемы безопасности значимого объекта в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта. 13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:\nа) определение лиц, которым разрешены действия по внесению изменений в конфигурацию значимого объекта и его подсистемы безопасности, и их полномочий;\nб) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, и их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;\nв) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;\nг) контроль действий по внесению изменений в значимый объект и его подсистему безопасности. Реализованные процессы управления изменениями значимого объекта и его подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, значимого объекта. 13.5. Реагирование на компьютерные инциденты осуществляется в порядке, установленном в соответствии с пунктом 6 части 4 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. 13.6. Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются:\nа) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций;\nб) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций;\nв) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;\nг) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;\nд) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций;\nе) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения. 13.7. В ходе информирования и обучения персонала значимого объекта осуществляются:\nа) информирование персонала об угрозах безопасности информации, о правилах безопасной эксплуатации значимого объекта;\nб) доведение до персонала требований по обеспечению безопасности значимых объектов, а также положений организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся;\nв) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;\nг) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности критической информационной инфраструктуры. Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:\nа) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;\nб) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;\nв) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта;\nг) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности. Обеспечение безопасности значимого объекта при выводе его из эксплуатации\n14. Обеспечение безопасности значимого объекта при выводе его из эксплуатации или после принятия решения об окончании обработки информации осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией на значимый объект и организационно-распорядительными документами по безопасности значимого объекта. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать:\nа) архивирование информации, содержащейся в значимом объекте;\nб) уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;\nв) уничтожение или архивирование данных об архитектуре и конфигурации значимого объекта;\nг) архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. 14.1. Архивирование информации, содержащейся в значимом объекте, должно осуществляться в случае ее дальнейшего использования в деятельности субъекта критической информационной инфраструктуры. 14.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации осуществляется в случае обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения субъектом критической информационной инфраструктуры. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта. 14.3. При выводе значимого объекта из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация о субъектах доступа и объектах доступа, удалены учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа. 14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению. Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта. По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены. В этом случае факт уничтожения подлежит документированию субъектом критической информационной инфраструктуры с указанием наименования, состава документов, способов и даты их уничтожения. III. Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности значимых объектов\n15. Целью обеспечения безопасности значимого объекта является обеспечение его устойчивого функционирования в проектных режимах работы в условиях реализации в отношении значимого объекта угроз безопасности информации. 16. Задачами обеспечения безопасности значимого объекта являются:\nа) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nб) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта;\nв) обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации;\nг) обеспечение возможности восстановления функционирования значимого объекта критической информационной инфраструктуры. 17. В значимых объектах объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:\nа) в информационных системах:\nинформация, обрабатываемая в информационной системе;\nпрограммно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация информационной системы;\nб) в информационно-телекоммуникационных сетях:\nинформация, передаваемая по линиям связи;\nтелекоммуникационное оборудование (в том числе программное обеспечение, система управления);\nсредства защиты информации;\nархитектура и конфигурация информационно-телекоммуникационной сети;\nв) в автоматизированных системах управления:\nинформация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (в том числе входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);\nпрограммно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация автоматизированной системы управления. 18. Обеспечение безопасности значимого объекта достигается путем принятия в рамках подсистемы безопасности значимого объекта совокупности организационных и технических мер, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования значимого объекта и обеспечивающего (управляемого, контролируемого) им процесса, а также нарушению безопасности обрабатываемой информации (нарушению доступности, целостности, конфиденциальности информации). Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации. 19. Меры по обеспечению безопасности выбираются и реализуются в значимом объекте с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации. 20. Меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры самостоятельно или при необходимости с привлечением в соответствии с законодательством Российской Федерации организаций, имеющих в зависимости от информации, обрабатываемой значимым объектом, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации\n21. Принимаемые организационные и технические меры по обеспечению безопасности значимого объекта должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности значимого объекта и обеспечивающего (управляемого, контролируемого) объекта или процесса. При этом меры по обеспечению безопасности значимого объекта не должны оказывать отрицательного влияния на функционирование значимого объекта в проектных режимах его работы. 22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации должны быть реализованы следующие организационные и технические меры:\nидентификация и аутентификация (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащита машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусная защита (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащита технических средств и систем (ЗТС);\nзащита информационной (автоматизированной) системы и ее компонентов (ЗИС);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nреагирование на инциденты информационной безопасности (ИНЦ);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер по обеспечению безопасности значимых объектов в зависимости от категории значимости приведен в приложении к настоящим Требованиям. При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 23. Выбор мер по обеспечению безопасности значимых объектов для их реализации включает:\nа) определение базового набора мер по обеспечению безопасности значимого объекта;\nб) адаптацию базового набора мер по обеспечению безопасности значимого объекта;\nв) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации. Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям. Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта. При этом из базового набора могут быть исключены меры, непосредственно связанные с информационными технологиями, не используемыми в значимом объекте, или характеристиками, не свойственными значимому объекту. При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям. Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. Дополнение адаптированного набора мер проводится в случае, если в отношении значимого объекта в соответствии с законодательством Российской Федерации также установлены требования о защите информации, содержащейся в государственных информационных системах, требования к защите персональных данных при их обработке в информационных системах персональных данных, требования к криптографической защите информации или иные требования в области защиты информации и обеспечения безопасности критической информационной инфраструктуры. 24. В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (по обеспечению персональных данных) принимаются в соответствии с более высокой категорией значимости, классом защищенности или уровнем защищенности персональных данных. 25. Если принятые в значимом объекте меры по обеспечению промышленной, функциональной безопасности и (или) физической безопасности достаточны для блокирования (нейтрализации) отдельных угроз безопасности информации, дополнительные меры, выбранные в соответствии с пунктами 22 и 23 настоящих Требований, могут не применяться. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должна быть обоснована достаточность применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации. 26. При отсутствии возможности реализации отдельных мер по обеспечению безопасности и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе вследствие их негативного влияния на функционирование значимого объекта в проектных режимах значимого объекта, должны быть разработаны и внедрены компенсирующие меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должно быть обосновано применение компенсирующих мер, а при приемочных испытаниях (аттестации) оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации. В качестве компенсирующих мер могут быть рассмотрены меры по обеспечению промышленной, функциональной и (или) физической безопасности значимого объекта, поддерживающие необходимый уровень его защищенности. 26.1. При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований. IV. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов\n27. Технические меры по обеспечению безопасности в значимом объекте реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов - средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение), а также обеспечения безопасности программного обеспечения и программно-аппаратных средств, применяемых в значимых объектах. При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов (при их наличии). 28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. Абзац утратил силу с 1 января 2023 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\n29. В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации:\nа) в значимых объектах 1 категории применяются средства защиты информации не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nб) в значимых объектах 2 категории применяются средства защиты информации не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nв) в значимых объектах 3 категории применяются средства защиты информации 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия. Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. При использовании в значимом объекте средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности). Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов. Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов. 29.2. Средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, должны соответствовать требованиям к функциям безопасности, установленным в соответствии с подпунктом \"ж\" пункта 10 настоящих Требований. Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия. Испытания (приемка) средств защиты информации на соответствие требованиям к уровню доверия и требованиям к функциям безопасности проводятся на этапе предварительных испытаний в соответствии с пунктом 12.4 настоящих Требований. Испытания (приемка) проводятся отдельно или в составе значимого объекта. Программа и методики испытаний (приемки) утверждаются субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В случае проведения испытаний иным лицом, программа и методики испытаний (приемки) утверждаются этим лицом по согласованию с субъектом критической информационной инфраструктуры. По результатам испытаний (приемки) средства защиты информации оформляется протокол испытаний, в котором указываются:\nдата и место проведения испытаний (приемки);\nописание испытываемого средства защиты информации;\nописание проведенных испытаний;\nрезультаты испытаний по каждому испытываемому параметру (характеристике);\nвыводы о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации. Протокол испытаний утверждается субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В ином случае протокол испытаний утверждается лицом, проводившим испытания, и представляется субъекту критической информационной инфраструктуры на этапе приемочных испытаний для принятия решения о возможности применения средства защиты информации в значимом объекте. Испытания (приемка), предусмотренные настоящим пунктом, проводятся в отношении средств защиты информации, планируемых к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимых объектов. 29.3. Прикладное программное обеспечение, планируемое к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимого объекта и обеспечивающее выполнение его функций по назначению (далее - программное обеспечение), должно соответствовать следующим требованиям по безопасности:\n29.3.1. Требования по безопасной разработке программного обеспечения:\nналичие руководства по безопасной разработке программного обеспечения;\nпроведение анализа угроз безопасности информации программного обеспечения;\nналичие описания структуры программного обеспечения на уровне подсистем и результатов сопоставления функций программного обеспечения и интерфейсов, описанных в функциональной спецификации, с его подсистемами (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.2. Требования к испытаниям по выявлению уязвимостей в программном обеспечении:\nпроведение статического анализа исходного кода программы;\nпроведение фаззинг-тестирования программы, направленного на выявление в ней уязвимостей;\nпроведение динамического анализа кода программы (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.3. Требования к поддержке безопасности программного обеспечения:\nналичие процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения;\nопределение способов и сроков доведения разработчиком (производителем) программного обеспечения до его пользователей информации об уязвимостях программного обеспечения, о компенсирующих мерах по защите информации или ограничениях по применению программного обеспечения, способов получения пользователями программного обеспечения его обновлений, проверки их целостности и подлинности;\nналичие процедур информирования субъекта критической информационной инфраструктуры об окончании производства и (или) поддержки программного обеспечения (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.4. Выполнение требований по безопасности, указанных в подпунктах 29.3.1 - 29.3.3 пункта 29.3 настоящих Требований, оценивается лицом, выполняющим работы по созданию (модернизации, реконструкции или ремонту) значимого объекта и (или) обеспечению его безопасности, на этапе проектирования значимого объекта на основе результатов анализа материалов и документов, представляемых разработчиком (производителем) программного обеспечения в соответствии с техническим заданием (частным техническим заданием), разрабатываемым в соответствии с пунктом 10 настоящих Требований. Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.\". 30. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией. 31. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны быть обеспечены гарантийной и (или) технической поддержкой. При выборе программных и программно-аппаратных средств, в том числе средств защиты информации, необходимо учитывать наличие ограничений на возможность их применения субъектом критической информационной инфраструктуры на любом из принадлежащих ему значимых объектов критической информационной инфраструктуры со стороны разработчиков (производителей) или иных лиц. В значимом объекте не допускаются:\nналичие удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, а также работниками его дочерних и зависимых обществ;\nналичие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, его дочерних и зависимых обществ;\nпередача информации, в том числе технологической информации, разработчику (производителю) программных и программно-аппаратных средств, в том числе средств защиты информации, или иным лицам без контроля со стороны субъекта критической информационной инфраструктуры. В случае технической невозможности исключения удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в значимом объекте принимаются организационные и технические меры по обеспечению безопасности такого доступа, предусматривающие:\nопределение лиц и устройств, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, предоставление им минимальных полномочий при доступе к этим средствам;\nконтроль доступа к программным и программно-аппаратным средствам значимого объекта;\nзащиту информации и данных при их передаче по каналам связи при удаленном доступе к программным и программно-аппаратным средствам значимого объекта;\nмониторинг и регистрацию действий лиц, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, а также инициируемых ими процессов, анализ этих действий в целях выявления фактов неправомерных действий;\nобеспечение невозможности отказа лиц от выполненных действий при осуществлении удаленного доступа к программным и программно-аппаратным средствам значимого объекта. В значимом объекте могут приниматься дополнительные организационные и технические меры по обеспечению безопасности удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, направленные на блокирование (нейтрализацию) угроз безопасности информации, приведенных в модели угроз безопасности информации, разрабатываемой в соответствии с пунктом 11.1 настоящих Требований. Входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации). 32. Утратил силу с 25 сентября 2020 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\nПриложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 25 декабря 2017 г. N 239\nСостав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости\n\"+\" - мера обеспечения безопасности включена в базовый набор мер для соответствующей категории значимого объекта. Меры обеспечения безопасности, не обозначенные знаком \"+\", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер в значимом объекте критической информационной инфраструктуры соответствующей категории значимости.", "17.04.2019 № 683": "Положение Банка России от 17 апреля 2019 г. N 683-П \"Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента\"\nНа основании статьи 57.4 Федерального закона от 10 июля 2002 года N 86-ФЗ \"О Центральном банке Российской Федерации (Банке России)\" (Собрание законодательства Российской Федерации, 2002, N 28, ст. 2790; 2003, N 2, ст. 157; N 52, ст. 5032; 2004, N 27, ст. 2711; N 31, ст. 3233; 2005, N 25, ст. 2426; N 30, ст. 3101; 2006, N 19, ст. 2061; N 25, ст. 2648; 2007, N 1, ст. 9, ст. 10; N 10, ст. 1151; N 18, ст. 2117; 2008, N 42, ст. 4696, ст. 4699; N 44, ст. 4982; N 52, ст. 6229, ст. 6231; 2009, N 1, ст. 25; N 29, ст. 3629; N 48, ст. 5731; 2010, N 45, ст. 5756; 2011, N 7, ст. 907; N 27, ст. 3873; N 43, ст. 5973; N 48, ст. 6728; 2012, N 50, ст. 6954; N 53, ст. 7591, ст. 7607; 2013, N 11, ст. 1076; N 14, ст. 1649; N 19, ст. 2329; N 27, ст. 3438, ст. 3476, ст. 3477; N 30, ст. 4084; N 49, ст. 6336; N 51, ст. 6695, ст. 6699; N 52, ст. 6975; 2014, N 19, ст. 2311, ст. 2317; N 27, ст. 3634; N 30, ст. 4219; N 40, ст. 5318; N 45, ст. 6154; N 52, ст. 7543; 2015, N 1, ст. 4, ст. 37; N 27, ст. 3958, ст. 4001; N 29, ст. 4348, ст. 4357; N 41, ст. 5639; N 48, ст. 6699; 2016, N 1, ст. 23, ст. 46, ст. 50; N 26, ст. 3891; N 27, ст. 4225, ст. 4273, ст. 4295; 2017, N 1, ст. 46; N 14, ст. 1997; N 18, ст. 2661, ст. 2669; N 27, ст. 3950; N 30, ст. 4456; N 31, ст. 4830; N 50, ст. 7562; 2018, N 1, ст. 66; N 9, ст. 1286; N 11, ст. 1584, ст. 1588; N 18, ст. 2557; N 24, ст. 3400; N 27, ст. 3950; N 31, ст. 4852; N 32, ст. 5115; N 49, ст. 7524; N 53, ст. 8411, ст. 8440) настоящее Положение устанавливает обязательные для кредитных организаций требования к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента. 1. Требования к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента применяются для обеспечения защиты информации, подготавливаемой, обрабатываемой и хранимой в автоматизированных системах, входящих в состав объектов информационной инфраструктуры и используемых для осуществления банковских операций, связанных с осуществлением перевода денежных средств (далее соответственно - автоматизированные системы, защищаемая информация, осуществление банковских операций):\nинформации, содержащейся в документах, составленных при осуществлении банковских операций в электронном виде (далее - электронные сообщения), формируемых работниками кредитных организаций (далее - работники) и (или) клиентами кредитных организаций (далее - клиенты);\nинформации, необходимой для авторизации клиентов при совершении действий в целях осуществления банковских операций и удостоверения права клиентов распоряжаться денежными средствами;\nинформации об осуществленных банковских операциях;\nинформации, связанной с приемом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля;\nключевой информации средств криптографической защиты информации (далее - СКЗИ), в том числе средств электронной подписи, используемой при осуществлении банковских операций (далее - криптографические ключи). В случае если защищаемая информация содержит персональные данные, кредитные организации должны применять меры по обеспечению безопасности персональных данных при их обработке в соответствии со статьей 19 Федерального закона от 27 июля 2006 года N 152-ФЗ \"О персональных данных\" (далее - Федеральный закон \"О персональных данных\"). 2. Требования к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, включают в себя:\nтребования к обеспечению защиты информации при осуществлении банковской деятельности, применяемые в отношении автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования, эксплуатация и использование которых обеспечиваются кредитной организацией для осуществления банковских операций (далее - объекты информационной инфраструктуры);\nтребования к обеспечению защиты информации при осуществлении банковской деятельности, применяемые в отношении прикладного программного обеспечения автоматизированных систем и приложений;\nтребования к обеспечению защиты информации при осуществлении банковской деятельности, применяемые в отношении технологии обработки защищаемой информации;\nиные требования к обеспечению защиты информации при осуществлении банковской деятельности в соответствии с пунктами 6-9 настоящего Положения. 3. Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении объектов информационной инфраструктуры. 3.1. Кредитные организации должны обеспечить реализацию следующих уровней защиты информации для объектов информационной инфраструктуры, используемых для обработки, передачи, хранения защищаемой информации в целях осуществления банковских операций, определенных национальным стандартом Российской Федерации ГОСТ Р 57580.1-2017 \"Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер\", утвержденным приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст \"Об утверждении национального стандарта\" (М., ФГУП \"Стандартинформ\", 2017). Системно значимые кредитные организации, кредитные организации, выполняющие функции оператора услуг платежной инфраструктуры системно значимых платежных систем, кредитные организации, значимые на рынке платежных услуг, должны реализовывать усиленный уровень защиты информации. Кредитные организации, не относящиеся к кредитным организациям, указанным в абзаце втором настоящего подпункта, должны реализовывать стандартный уровень защиты информации. Кредитные организации, которые должны реализовывать стандартный уровень защиты информации, ставшие кредитными организациями, которые должны реализовывать усиленный уровень защиты информации, должны обеспечить реализацию усиленного уровня защиты информации не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце втором настоящего подпункта. 3.2. Кредитные организации должны обеспечить ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры. 4. Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении прикладного программного обеспечения автоматизированных систем и приложений. 4.1. Кредитные организации должны обеспечить использование для осуществления банковских операций прикладного программного обеспечения автоматизированных систем и приложений, распространяемых кредитной организацией клиентам для совершения действий в целях осуществления банковских операций, а также программного обеспечения, обрабатывающего защищаемую информацию на участках, используемых для приема электронных сообщений к исполнению в автоматизированных системах и приложениях с использованием информационно-телекоммуникационной сети \"Интернет\" (далее - сеть \"Интернет\"), прошедших сертификацию в системе сертификации Федеральной службы по техническому и экспортному контролю или оценку соответствия по требованиям к оценочному уровню доверия (далее - ОУД) не ниже чем ОУД 4 в соответствии с требованиями национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 \"Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности\", утвержденного приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 года N 1340-ст \"Об утверждении национального стандарта\" (М., ФГУП \"Стандартинформ\", 2014). В отношении прикладного программного обеспечения автоматизированных систем и приложений, не указанных в абзаце первом настоящего подпункта, кредитные организации должны самостоятельно определять необходимость сертификации или оценки соответствия прикладного программного обеспечения автоматизированных систем и приложений. 4.2. По решению кредитной организации оценка соответствия программного обеспечения автоматизированных систем и приложений проводится самостоятельно или с привлечением организации, имеющей лицензию на осуществление деятельности по технической защите конфиденциальной информации для проведения работ и услуг, предусмотренных подпунктами \"б\", \"д\" или \"е\" пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 года N 79 (Собрание законодательства Российской Федерации, 2012, N 7, ст. 863; 2016, N 26, ст. 4049) (далее - проверяющая организация). 4.3. В случае принятия кредитной организацией решения о необходимости проведения сертификации программного обеспечения автоматизированных систем и приложений кредитные организации, являющиеся системно значимыми кредитными организациями, кредитными организациями, значимыми на рынке платежных услуг (в отношении программного обеспечения автоматизированных систем и приложений, указанных в пункте 1.2 Положения Банка России от 4 июня 2020 года N 719-П \"О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств\", зарегистрированного Министерством юстиции Российской Федерации 23 сентября 2020 года N 59991), должны обеспечить сертификацию программного обеспечения автоматизированных систем и приложений не ниже 4 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 2 июня 2020 года N 76, зарегистрированным Министерством юстиции Российской Федерации 11 сентября 2020 года N 59772 (далее - приказ ФСТЭК России N 76). Кредитные организации, принявшие решение о необходимости проведения сертификации программного обеспечения автоматизированных систем и приложений и не указанные в абзаце первом настоящего подпункта, должны обеспечить сертификацию программного обеспечения автоматизированных систем и приложений не ниже 5 уровня доверия в соответствии с приказом ФСТЭК России N 76. 5. Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, применяемых в отношении технологии обработки защищаемой информации. 5.1. Кредитные организации должны обеспечить целостность электронных сообщений и подтвердить их составление уполномоченным на это лицом. В целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом кредитные организации должны обеспечивать реализацию мер по использованию усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения. Указанные в абзаце втором настоящего подпункта требования по реализации мер по использованию усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения, не применяются в случае, если в целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом при передаче электронных сообщений используются выделенные контролируемые сегменты вычислительных сетей, доступ к которым нарушителем невозможен, и угрозы нарушения целостности электронных сообщений определены кредитными организациями как неактуальные, что обосновано в модели угроз и нарушителей безопасности информации. Признание электронных сообщений, подписанных электронной подписью, равнозначными документам на бумажном носителе, подписанным собственноручной подписью, должно осуществляться в соответствии со статьей 6 Федерального закона от 6 апреля 2011 года N 63-ФЗ \"Об электронной подписи\" (Собрание законодательства Российской Федерации, 2011, N 15, ст. 2036; 2019, N 52, ст. 7794) (далее - Федеральный закон \"Об электронной подписи\"). 5.2. Кредитные организации должны обеспечивать регламентацию, реализацию, контроль (мониторинг) технологии обработки защищаемой информации, указанной в абзацах втором - пятом пункта 1 настоящего Положения, при совершении следующих действий (далее - технологические участки):\nидентификация, аутентификация и авторизация клиентов при совершении действий в целях осуществления банковских операций, в том числе идентификация клиентов при создании сертификатов ключей проверки электронных подписей и выдаче таких сертификатов клиентам в соответствии с требованиями пункта 1 части 1 статьи 13 Федерального закона \"Об электронной подписи\" в целях осуществления операций с цифровыми рублями;\nформирование (подготовка), передача и прием электронных сообщений;\nудостоверение права клиентов распоряжаться денежными средствами;\nосуществление банковской операции, учет результатов ее осуществления;\nхранение электронных сообщений и информации об осуществленных банковских операциях. 5.2.1. Технология обработки защищаемой информации, применяемая на всех технологических участках, указанных в настоящем пункте, должна обеспечивать целостность и достоверность защищаемой информации. Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце втором подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать идентификацию устройств клиентов при осуществлении банковских операций с использованием удаленного доступа клиентов к объектам информационной инфраструктуры кредитных организаций. В случае если банковская операция осуществляется с использованием мобильной версии приложения, кредитные организации в рамках реализуемой ими системы управления рисками должны обеспечить проверку использования клиентом - физическим лицом абонентского номера подвижной радиотелефонной связи в случае его использования во взаимоотношениях с кредитной организацией и использовать полученные сведения при анализе характера, параметров и объема совершаемых их клиентами операций (осуществляемой клиентами деятельности). Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце третьем подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:\nдвойной контроль посредством осуществления проверки правильности формирования (подготовки) электронных сообщений;\nвходной контроль посредством осуществления проверки правильности заполнения полей электронного сообщения и прав владельца электронной подписи;\nконтроль дублирования электронного сообщения (в случае если проведение такой процедуры дополнительно установлено кредитной организацией с учетом положений пункта 2.2 Положения Банка России от 29 июня 2021 года N 762-П \"О правилах осуществления перевода денежных средств\", зарегистрированного Министерством юстиции Российской Федерации 25 августа 2021 года N 64765, 25 апреля 2022 года N 68320);\nструктурный контроль электронных сообщений;\nзащиту при передаче по каналам связи защищаемой информации. Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце четвертом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:\nподписание клиентом электронных сообщений способом, указанным в подпункте 5.1 настоящего пункта;\nполучение от клиента подтверждения совершаемой банковской операции. Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце пятом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:\nпроверку соответствия (сверку) выходных электронных сообщений с соответствующими входными электронными сообщениями;\nпроверку соответствия (сверку) результатов осуществления банковских операций с информацией, содержащейся в электронных сообщениях;\nнаправление клиентам уведомлений об осуществлении банковских операций в случае, когда такое уведомление предусмотрено законодательством Российской Федерации или договором. Кредитные организации должны реализовывать механизмы подтверждения использования клиентом адреса электронной почты в случае его использования во взаимоотношениях с кредитной организацией, на который кредитной организацией направляются уведомления о совершаемых банковских операциях, справки (выписки) по совершенным банковским операциям. В случае использования единой системы идентификации и аутентификации, определенной в соответствии с пунктом 5 статьи 2 Федерального закона от 29 декабря 2022 года N 572-ФЗ \"Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации\" (далее - единая система идентификации и аутентификации), кредитные организации должны соблюдать требования к обеспечению защиты информации в соответствии с Техническими требованиями к взаимодействию информационных систем в единой системе межведомственного электронного взаимодействия, утвержденными приказом Министерства связи и массовых коммуникаций Российской Федерации от 23 июня 2015 года N 210 (зарегистрирован Минюстом России 25 августа 2015 года, регистрационный N 38668, с изменениями, внесенными приказом Министерства связи и массовых коммуникаций Российской Федерации от 22 февраля 2017 года N 71 (зарегистрирован Минюстом России 2 июня 2017 года, регистрационный N 46934), а также требования технической и эксплуатационной документации по подключению к единой системе идентификации и аутентификации. 5.2.2. Кредитные организации должны обеспечивать регистрацию результатов выполнения действий, связанных с осуществлением доступа к защищаемой информации, на всех технологических участках, указанных в подпункте 5.2 настоящего пункта, которая включает регистрацию действий работников, а также регистрацию действий клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения. 5.2.3. Регистрации подлежат данные о действиях работников, выполняемых с использованием автоматизированных систем, программного обеспечения:\nдата (день, месяц, год) и время (часы, минуты, секунды) осуществления банковской операции;\nприсвоенный работнику идентификатор, позволяющий установить работника в автоматизированной системе, программном обеспечении;\nкод, соответствующий технологическому участку;\nрезультат осуществления банковской операции (успешная или неуспешная);\nидентификационная информация, используемая для адресации устройства, с использованием которого и в отношении которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления банковских операций (сетевой адрес компьютера и (или) коммуникационного устройства (маршрутизатора). 5.2.4. Регистрации подлежат данные о действиях клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения:\nдата (день, месяц, год) и время (часы, минуты, секунды) совершения действий клиентом в целях осуществления банковской операции;\nприсвоенный клиенту идентификатор, позволяющий установить клиента в автоматизированной системе, программном обеспечении;\nкод, соответствующий технологическому участку;\nрезультат совершения клиентом действия в целях осуществления банковской операции (успешная или неуспешная);\nидентификационная информация, используемая для адресации устройства, с использованием которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления банковских операций (сетевой адрес компьютера и (или) коммуникационного устройства (маршрутизатора), международный идентификатор абонента (индивидуальный номер абонента клиента - физического лица), международный идентификатор пользовательского оборудования (оконечного оборудования) клиента - физического лица, номер телефона и (или) иной идентификатор устройства). 5.2.5. Кредитные организации должны обеспечивать хранение:\nинформации, указанной в абзацах втором, четвертом пункта 1 настоящего Положения;\nинформации, указанной в подпунктах 5.2.3 и 5.2.4 настоящего пункта, пункте 8 настоящего Положения. Кредитные организации должны обеспечивать целостность и доступность информации, указанной в настоящем подпункте, не менее пяти лет начиная с даты ее формирования (поступления). 6. Обеспечение защиты информации с помощью СКЗИ при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств, осуществляется в соответствии с Федеральным законом \"Об электронной подписи\", Федеральным законом \"О персональных данных\", постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119 \"Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных\" (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257), Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденным приказом Федеральной службы безопасности Российской Федерации от 9 февраля 2005 года N 66, зарегистрированным Министерством юстиции Российской Федерации 3 марта 2005 года N 6382, 25 мая 2010 года N 17350 (далее - Положение ПКЗ-2005), приказом Федеральной службы безопасности Российской Федерации от 10 июля 2014 года N 378 \"Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности\", зарегистрированным Министерством юстиции Российской Федерации 18 августа 2014 года N 33620, и технической документацией на СКЗИ. В случае наличия в технической документации на СКЗИ требований к оценке влияния аппаратных, программно-аппаратных и программных средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявляемых к ним требований, такая оценка должна проводиться в соответствии с Положением ПКЗ-2005 по техническому заданию, согласованному с федеральным органом исполнительной власти в области обеспечения безопасности. 6.1. В случае если кредитная организация применяет СКЗИ российского производства, то СКЗИ должны иметь сертификаты соответствия федерального органа исполнительной власти в области обеспечения безопасности. 6.2. Криптографические ключи должны изготавливаться клиентом (самостоятельно) и (или) кредитной организацией. 6.3. Безопасность процессов изготовления криптографических ключей СКЗИ должна обеспечиваться комплексом технологических мер защиты информации, организационных мер защиты информации и технических средств защиты информации в соответствии с технической документацией на СКЗИ. 7. Кредитные организации должны обеспечивать формирование для клиентов рекомендаций по защите информации от воздействия программных кодов, приводящих к нарушению штатного функционирования средства вычислительной техники (далее - вредоносный код) в целях противодействия осуществлению переводов денежных средств без согласия клиента. Кредитные организации должны обеспечивать доведение до клиентов информации о возможных рисках получения несанкционированного доступа к защищаемой информации с целью осуществления банковских операций лицами, не обладающими правом их осуществления, и мерах по их снижению:\nмерах по предотвращению несанкционированного доступа к защищаемой информации, в том числе при утрате (потере, хищении) устройства, с использованием которого клиентом совершались действия в целях осуществления банковской операции;\nмерах по контролю конфигурации устройства, с использованием которого клиентом совершаются действия в целях осуществления банковской операции, и своевременному обнаружению воздействия вредоносного кода. 7 1. В целях противодействия осуществлению переводов денежных средств без согласия клиента кредитные организации в случаях, предусмотренных договорами с клиентами, содержащими условия указанного в части 1 статьи 9 Федерального закона от 27 июня 2011 года N 161-ФЗ \"О национальной платежной системе\" (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872) договора об использовании электронного средства платежа, на основании их заявлений устанавливают в отношении операций, осуществляемых с использованием удаленного доступа клиентов к объектам информационной инфраструктуры кредитных организаций через информационно-телекоммуникационную сеть \"Интернет\", ограничения на осуществление операций клиентами либо ограничения максимальной суммы одной операции и (или) операций за определенный период времени. Ограничения по операциям могут быть установлены как на все операции клиентов, так и в разрезе видов операций. 8. Кредитные организации к инцидентам защиты информации в значении, установленном в пункте 7.3 Положения Банка России от 8 апреля 2020 года N 716-П \"О требованиях к системе управления операционным риском в кредитной организации и банковской группе\", зарегистрированного Министерством юстиции Российской Федерации 3 июня 2020 года N 58577 (далее соответственно - Положение Банка России от 8 апреля 2020 года N 716-П, инцидент защиты информации), должны относить события, которые привели или могут привести к осуществлению банковских операций без согласия клиента, неоказанию услуг, связанных с осуществлением банковских операций, в том числе включенные в перечень типов инцидентов, согласованный с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и размещаемый Банком России на официальном сайте Банка России в сети \"Интернет\" (далее - перечень типов инцидентов). Кредитные организации устанавливают во внутренних документах порядок фиксации инцидентов защиты информации в базе событий в соответствии с пунктами 7.3 и 7.5 Положения Банка России от 8 апреля 2020 года N 716-П и информационного обмена со службой управления рисками, создаваемой в соответствии с пунктом 3.6 Указания Банка России от 15 апреля 2015 года N 3624-У \"О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы\", зарегистрированного Министерством юстиции Российской Федерации 26 мая 2015 года N 37388, 28 декабря 2015 года N 40325, 7 декабря 2017 года N 49156, 5 сентября 2018 года N 52084, 3 июня 2020 года N 58576. Кредитные организации должны обеспечивать регистрацию инцидентов защиты информации. По каждому инциденту защиты информации кредитные организации должны обеспечивать регистрацию:\nзащищаемой информации, обрабатываемой на технологическом участке (участках), на котором (которых) произошел несанкционированный доступ к защищаемой информации;\nрезультата реагирования на инцидент защиты информации, в том числе действий по возврату денежных средств или электронных денежных средств. Кредитные организации должны осуществлять информирование Банка России, в том числе на основании запросов Банка России:\nо выявленных инцидентах защиты информации, включенных в перечень типов инцидентов, принятых мерах и проведенных мероприятиях по реагированию на выявленные кредитной организацией или Банком России инциденты защиты информации, включенные в перечень типов инцидентов, а также о планируемых мероприятиях по раскрытию информации об инцидентах защиты информации, включая размещение информации на официальных сайтах в сети \"Интернет\", выпуск пресс-релизов и проведение пресс-конференций не позднее одного рабочего дня до дня проведения мероприятия;\nо сайтах в сети \"Интернет\", которые используются кредитной организацией для осуществления банковской деятельности, принадлежащих кредитной организации и (или) администрируемых в ее интересах. Информация о рекомендуемых форме и сроке предоставления кредитными организациями Банку России сведений размещается на официальном сайте Банка России в сети \"Интернет\". Кредитные организации должны предоставлять в Банк России сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России. В случае возникновения технической невозможности взаимодействия кредитных организаций с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России кредитные организации должны предоставлять в Банк России сведения с использованием резервного способа взаимодействия. Информация о технической инфраструктуре (автоматизированной системе) Банка России, резервном способе взаимодействия размещается на официальном сайте Банка России в сети \"Интернет\". 9. Кредитные организации должны обеспечить проведение оценки соответствия уровню защиты информации, установленному в подпункте 3.1 пункта 3 настоящего Положения (далее - оценка соответствия защиты информации), не реже одного раза в два года. Оценка соответствия защиты информации должна осуществляться с привлечением проверяющих организаций. 9.1. Оценка соответствия защиты информации должна осуществляться в соответствии с национальным стандартом Российской Федерации ГОСТ Р 57580.2-2018 \"Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия\", утвержденным приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года N 156-ст \"Об утверждении национального стандарта\" (М., ФГУП \"Стандартинформ\", 2018) (далее - ГОСТ Р 57580.2-2018). Кредитные организации должны обеспечивать хранение отчета, подготовленного проверяющей организацией по результатам оценки соответствия защиты информации, не менее пяти лет начиная с даты его выдачи проверяющей организацией. 9.2. Кредитные организации должны обеспечить уровень соответствия не ниже третьего в соответствии с ГОСТ Р 57580.2-2018 с 1 января 2021 года. Кредитные организации должны обеспечить уровень соответствия не ниже четвертого в соответствии с ГОСТ Р 57580.2-2018 с 1 января 2023 года. 10. Настоящее Положение не распространяется на отношения, регулируемые Федеральным законом от 26 июля 2017 года N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736). При обеспечении безопасности автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования, эксплуатация и использование которых обеспечиваются кредитными организациями, являющихся объектами критической информационной инфраструктуры Российской Федерации, настоящее Положение применяется наряду с требованиями Федерального закона от 26 июля 2017 года N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 11. Настоящее Положение в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 21 декабря 2018 года N 39) вступает в силу по истечении 10 дней после дня его официального опубликования, за исключением положений, для которых настоящим пунктом установлены иные сроки вступления их в силу. Пункт 4 настоящего Положения вступает в силу с 1 января 2020 года. Подпункт 3.1 пункта 3, пункт 9 настоящего Положения вступают в силу с 1 января 2021 года. Зарегистрировано в Минюсте РФ 16 мая 2019 г. Регистрационный N 54637", "20.04.2021 № 757": "Положение Банка России от 20 апреля 2021 г. N 757-П \"Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций\"\nС изменениями и дополнениями от:\n20 апреля 2021 г. Настоящее Положение на основании статьи 76 ⁴⁻¹ Федерального закона от\n10 июля 2002 года N 86-ФЗ \"О Центральном банке Российской Федерации\n(Банке России)\" (Собрание законодательства Российской Федерации, 2002,\nN 28, ст. 2790; 2018, N 27, ст. 3950) устанавливает обязательные для\nнекредитных финансовых организаций требования к обеспечению защиты\nинформации при осуществлении деятельности в сфере финансовых рынков,\nпредусмотренной частью первой статьи 76 ¹ Федерального закона от 10\nиюля 2002 года N 86-ФЗ \"О Центральном банке Российской Федерации\n(Банке России)\" (Собрание законодательства Российской Федерации, 2002,\nN 28, ст. 2790; 2020, N 31, ст. 5018), в целях противодействия\nосуществлению незаконных финансовых операций. Глава 1. Общие требования к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций\n1.1. Некредитные финансовые организации в целях противодействия\nосуществлению незаконных финансовых операций при осуществлении\nдеятельности в сфере финансовых рынков, предусмотренной частью первой\nстатьи 76 ¹ Федерального закона от 10 июля 2002 года N 86-ФЗ \"О\nЦентральном банке Российской Федерации (Банке России)\", должны\nосуществлять защиту следующей информации, получаемой,\nподготавливаемой, обрабатываемой, передаваемой и хранимой в\nавтоматизированных системах, используемых некредитными финансовыми\nорганизациями (далее соответственно - автоматизированные системы,\nзащищаемая информация, защита информации):\nинформации, содержащейся в документах, составляемых при осуществлении\nфинансовых операций в электронном виде работниками некредитных\nфинансовых организаций и (или) клиентами некредитных финансовых\nорганизаций (далее - электронные сообщения);\nинформации, необходимой некредитным финансовым организациям для\nавторизации своих клиентов в целях осуществления финансовых операций и\nудостоверения права клиентов распоряжаться денежными средствами,\nценными бумагами или иным имуществом;\nинформации об осуществленных некредитными финансовыми организациями и\nих клиентами финансовых операциях;\nключевой информации средств криптографической защиты информации,\nиспользуемой некредитными финансовыми организациями и их клиентами при\nосуществлении финансовых операций (далее - криптографические ключи). В случае если защищаемая информация содержит персональные данные,\nнекредитные финансовые организации должны применять меры по\nобеспечению безопасности персональных данных при их обработке в\nсоответствии со статьей 19 Федерального закона от 27 июля 2006 года\nN 152-ФЗ \"О персональных данных\" (Собрание законодательства Российской\nФедерации, 2006, N 31, ст. 3451; 2021, N 1, ст. 54) (далее -\nФедеральный закон \"О персональных данных\"). 1.2. Обеспечение защиты информации с помощью средств криптографической\nзащиты информации (далее - СКЗИ) некредитные финансовые организации\nдолжны осуществлять в соответствии с технической документацией на\nСКЗИ, а также следующими федеральными законами и нормативными\nправовыми актами Российской Федерации:\nФедеральным законом от 6 апреля 2011 года N 63-ФЗ \"Об электронной\nподписи\" (Собрание законодательства Российской Федерации, 2011, N 15,\nст. 2036; 2021, N 9, ст. 1467) (далее - Федеральный закон \"Об\nэлектронной подписи\");\nФедеральным законом \"О персональных данных\";\nпостановлением Правительства Российской Федерации от 1 ноября\n2012 года N 1119 \"Об утверждении требований к защите персональных\nданных при их обработке в информационных системах персональных данных\"\n(Собрание законодательства Российской Федерации, 2012, N 45,\nст. 6257);\nприказом Федеральной службы безопасности Российской Федерации от 9\nфевраля 2005 года N 66 \"Об утверждении Положения о разработке,\nпроизводстве, реализации и эксплуатации шифровальных\n(криптографических) средств защиты информации (Положение ПКЗ-2005)\",\nзарегистрированным Министерством юстиции Российской Федерации 3 марта\n2005 года N 6382, 25 мая 2010 года N 17350 (далее - Положение\nПКЗ-2005);\nприказом Федеральной службы безопасности Российской Федерации от 10\nиюля 2014 года N 378 \"Об утверждении Состава и содержания\nорганизационных и технических мер по обеспечению безопасности\nперсональных данных при их обработке в информационных системах\nперсональных данных с использованием средств криптографической защиты\nинформации, необходимых для выполнения установленных Правительством\nРоссийской Федерации требований к защите персональных данных для\nкаждого из уровней защищенности\", зарегистрированным Министерством\nюстиции Российской Федерации 18 августа 2014 года N 33620. 1.3. В случае наличия в технической документации на СКЗИ требований к\nоценке влияния аппаратных, программно-аппаратных и программных средств\nсети (системы) конфиденциальной связи, совместно с которыми\nпредполагается штатное функционирование СКЗИ, на выполнение\nпредъявляемых к ним требований некредитные финансовые организации\nдолжны проводить указанную оценку в соответствии с Положением ПКЗ-2005\nпо техническому заданию, согласованному с федеральным органом\nисполнительной власти в области обеспечения безопасности. В случае если некредитная финансовая организация применяет СКЗИ\nроссийского производства, СКЗИ должны иметь сертификаты соответствия\nфедерального органа исполнительной власти в области обеспечения\nбезопасности. Безопасность процессов изготовления криптографических ключей СКЗИ\nдолжна обеспечиваться комплексом технологических мер защиты\nинформации, организационных мер защиты информации и технических\nсредств защиты информации в соответствии с технической документацией\nна СКЗИ. 1.4. Некредитные финансовые организации должны осуществлять защиту\nинформации в отношении эксплуатируемых автоматизированных систем,\nпрограммного обеспечения, средств вычислительной техники,\nтелекоммуникационного оборудования (далее при совместном упоминании -\nобъекты информационной инфраструктуры) в соответствии с требованиями\nнационального стандарта Российской Федерации ГОСТ Р 57580.1-2017\n\"Безопасность финансовых (банковских) операций. Защита информации\nфинансовых организаций. Базовый состав организационных и технических\nмер\", утвержденного приказом Федерального агентства по техническому\nрегулированию и метрологии от 8 августа 2017  года N 822-ст \"Об\nутверждении национального стандарта Российской Федерации\" (М., ФГУП\n\"Стандартинформ\", 2017) (далее - ГОСТ Р 57580.1-2017). ГОСТ Р\n57580.1-2017 должен применяться по результатам определения некредитной\nфинансовой организацией реализуемого в течение календарного года\nуровня защиты информации, предусмотренного ГОСТ Р 57580.1-2017\n(далее - уровень защиты информации), с соблюдением следующих\nтребований. 1.4.1. Определение уровня защиты информации должно осуществляться\nнекредитной финансовой организацией ежегодно не позднее десятого\nрабочего дня календарного года определения уровня защиты информации\n(далее - дата определения уровня защиты информации). 1.4.2. Требования ГОСТ Р 57580.1-2017, соответствующие усиленному\nуровню защиты информации, должны соблюдать следующие некредитные\nфинансовые организации (далее - некредитные финансовые организации,\nреализующие усиленный уровень защиты информации):\nцентральные контрагенты;\nцентральный депозитарий;\nГАРАНТ:\nАбзац четвертый вступает в силу с 1 января 2022 г. регистраторы финансовых транзакций. 1.4.3. Требования ГОСТ Р 57580.1-2017, соответствующие стандартному\nуровню защиты информации, должны соблюдать следующие некредитные\nфинансовые организации (далее - некредитные финансовые организации,\nреализующие стандартный уровень защиты информации):\nспециализированные депозитарии инвестиционных фондов, паевых\nинвестиционных фондов и негосударственных пенсионных фондов, размер\nактивов которых, обслуживаемых по договорам об оказании услуг\nспециализированного депозитария, составляет более одного триллиона\nрублей;\nклиринговые организации;\nорганизаторы торговли;\nстраховые организации, стоимость активов которых в течение последних\nшести календарных месяцев подряд по состоянию на 31 декабря года,\nпредшествующего дате определения уровня защиты информации, превышала\nдвадцать миллиардов рублей;\nнегосударственные пенсионные фонды, осуществляющие деятельность по\nобязательному пенсионному страхованию;\nнегосударственные пенсионные фонды, осуществляющие деятельность по\nнегосударственному пенсионному обеспечению, размер средств пенсионных\nрезервов которых в течение последних шести календарных месяцев подряд\nпо состоянию на 31 декабря года, предшествующего дате определения\nуровня защиты информации, превышал десять миллиардов рублей;\nрепозитарии, не являющиеся регистраторами финансовых транзакций;\nброкеры, дилеры, управляющие, депозитарии и регистраторы, определившие\nхотя бы по одному из показателей деятельности, указанных в графе 2\nприложения к Положению Банка России от 27 июля 2015 года N 481-П \"О\nлицензионных требованиях и условиях осуществления профессиональной\nдеятельности на рынке ценных бумаг, ограничениях на совмещение\nотдельных видов профессиональной деятельности на рынке ценных бумаг, а\nтакже о порядке и сроках представления в Банк России отчетов о\nпрекращении обязательств, связанных с осуществлением профессиональной\nдеятельности на рынке ценных бумаг, в случае аннулирования лицензии\nпрофессионального участника рынка ценных бумаг\", зарегистрированному\nМинистерством юстиции Российской Федерации 25 августа 2015 года\nN 38673, 29 июля 2016 года N 43030, 20 октября 2017 года N 48630, 22\nянваря 2019 года N 53485, 26 января 2021 года N 62231 (далее -\nПоложение Банка России N 481-П), в качестве годового диапазона\nквартальный диапазон, указанный в графе 5 приложения к Положению Банка\nРоссии N 481-П, по состоянию на 31 декабря года, предшествующего дате\nопределения уровня защиты информации;\nброкеры, дилеры, управляющие, депозитарии и регистраторы, указанные в\nабзаце десятом подпункта 2.1.11 пункта 2.1 Положения Банка России\nN 481-П;\nГАРАНТ:\nАбзацы одиннадцатый - четырнадцатый вступают в силу с 1 января 2022 г. операторы инвестиционной платформы, которые в течение трех последних\nкварталов по состоянию на 31 декабря года, предшествующего дате\nопределения уровня защиты информации, осуществляли оказание услуг\nболее чем ста тысячам лиц, с которыми заключены договоры об оказании\nуслуг по привлечению инвестиций и (или) договоры об оказании услуг по\nсодействию в инвестировании;\nоператоры финансовой платформы, которые в течение трех последних\nкварталов по состоянию на 31 декабря года, предшествующего дате\nопределения уровня защиты информации, осуществляли оказание услуг\nболее чем ста тысячам лиц, с которыми заключены договоры об оказании\nуслуг оператора финансовой платформы;\nоператоры информационных систем, в которых осуществляется выпуск\nцифровых финансовых активов, осуществлявшие в течение трех последних\nкварталов по состоянию на 31 декабря года, предшествующего дате\nопределения уровня защиты информации, оказание услуг более чем\nдвадцати пяти тысячам лиц, с которыми заключены договоры об оказании\nуслуг оператора информационной системы, в которой осуществляется\nвыпуск цифровых финансовых активов;\nоператоры обмена цифровых финансовых активов, которые в течение трех\nпоследних кварталов по состоянию на 31 декабря года, предшествующего\nдате определения уровня защиты информации, осуществляли оказание услуг\nболее чем двадцати пяти тысячам лиц, с которыми заключены договоры об\nоказании услуг оператора обмена цифровых финансовых активов. ГАРАНТ:\nПодпункт 1.4.4 вступает в силу с 1 июля 2022 г. 1.4.4. Требования ГОСТ Р 57580.1-2017, соответствующие минимальному\nуровню защиты информации, должны соблюдать следующие некредитные\nфинансовые организации (далее - некредитные финансовые организации,\nреализующие минимальный уровень защиты информации):\nспециализированные депозитарии инвестиционных фондов, паевых\nинвестиционных фондов и негосударственных пенсионных фондов, не\nуказанные в подпункте 1.4.3 настоящего пункта;\nброкеры, дилеры, управляющие, депозитарии и регистраторы, не указанные\nв подпункте 1.4.3 настоящего пункта;\nуправляющие компании инвестиционных фондов, паевых инвестиционных\nфондов и негосударственных пенсионных фондов;\nфорекс-дилеры;\nоператоры финансовой платформы, не указанные в подпункте 1.4.3\nнастоящего пункта;\nоператоры информационных систем, в которых осуществляется выпуск\nцифровых финансовых активов, не указанные в подпункте 1.4.3 настоящего\nпункта;\nоператоры обмена цифровых финансовых активов, не указанные в\nподпункте 1.4.3 настоящего пункта;\nстраховые организации, не указанные в подпункте 1.4.3 настоящего\nпункта;\nобщества взаимного страхования;\nстраховые брокеры;\nлица, указанные в абзаце третьем пункта 5 статьи 6 ¹ Закона Российской\nФедерации от 27 ноября 1992 года N 4015-I \"Об организации страхового\nдела в Российской Федерации\" (Ведомости Съезда народных депутатов\nРоссийской Федерации и Верховного Совета Российской Федерации, 1993,\nN 2, ст. 56; Собрание законодательства Российской Федерации, 1998,\nN 1, ст. 4; 2020, N 30, ст. 4738). 1.4.5. Некредитные финансовые организации, реализующие усиленный\nуровень защиты информации, и некредитные финансовые организации,\nреализующие стандартный уровень защиты информации (далее при\nсовместном упоминании - некредитные финансовые организации,\nреализующие усиленный и стандартный уровни защиты информации), должны\nосуществлять ежегодное тестирование объектов информационной\nинфраструктуры на предмет проникновений и анализ уязвимостей\nинформационной безопасности объектов информационной инфраструктуры. В случае выявления уязвимостей информационной безопасности объектов\nинформационной инфраструктуры некредитные финансовые организации,\nреализующие усиленный и стандартный уровни защиты информации, должны\nустранять выявленные уязвимости в порядке и сроки, установленные в\nразрабатываемых такими некредитными финансовыми организациями\nдокументах, регламентирующих процедуры нейтрализации угроз\nбезопасности информации. 1.5. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечивать проведение\nоценки соответствия определенного ими уровня защиты информации\n(далее - оценка соответствия уровня защиты информации) с соблюдением\nследующих требований. 1.5.1. Оценка соответствия уровня защиты информации должна\nосуществляться некредитными финансовыми организациями с привлечением\nсторонних организаций, имеющих лицензию на проведение работ и услуг,\nпредусмотренных подпунктами \"б\", \"д\" или \"е\" пункта 4 Положения о\nлицензировании деятельности по технической защите конфиденциальной\nинформации, утвержденного постановлением Правительства Российской\nФедерации от 3 февраля 2012 года N 79 \"О лицензировании деятельности\nпо технической защите конфиденциальной информации\" (Собрание\nзаконодательства Российской Федерации, 2012, N 7, ст. 863; 2016, N 26,\nст. 4049) (далее - проверяющая организация). 1.5.2. Оценка соответствия уровня защиты информации должна\nосуществляться некредитными финансовыми организациями с привлечением\nпроверяющих организаций в соответствии с требованиями национального\nстандарта Российской Федерации ГОСТ Р 57580.2-2018 \"Безопасность\nфинансовых (банковских) операций. Защита информации финансовых\nорганизаций. Методика оценки соответствия\", утвержденного приказом\nФедерального агентства по техническому регулированию и метрологии от\n28 марта 2018 года N 156-ст \"Об утверждении национального стандарта\nРоссийской Федерации\" (М., ФГУП \"Стандартинформ\", 2018) (далее - ГОСТ\nР 57580.2-2018). 1.5.3. Оценка соответствия уровня защиты информации некредитными\nфинансовыми организациями, реализующими усиленный уровень защиты\nинформации, должна осуществляться не реже одного раза в год,\nнекредитными финансовыми организациями, реализующими стандартный\nуровень защиты информации, - не реже одного раза в три года. 1.6. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечивать хранение\nотчета, составленного проверяющей организацией по результатам оценки\nсоответствия уровня защиты информации, в течение не менее чем пяти лет\nс даты его выдачи проверяющей организацией. 1.7. Абзац не действует с 1 июля 2023 г. - Положение Банка России от\n20 апреля 2021 г. N 757-П\nИнформация об изменениях:\nСм. предыдущую редакцию\nГАРАНТ:\nАбзац второй вступает в силу с 1 июля 2023 г. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечить уровень\nсоответствия не ниже четвертого уровня соответствия, предусмотренного\nподпунктом \"д\" пункта 6.9 ГОСТ Р 57580.2-2018. 1.8. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечить использование\nдля осуществления финансовых операций прикладного программного\nобеспечения автоматизированных систем и приложений, распространяемых\nнекредитными финансовыми организациями своим клиентам для совершения\nдействий в целях осуществления финансовых операций, а также\nпрограммного обеспечения, обрабатывающего защищаемую информацию при\nприеме электронных сообщений к исполнению в автоматизированных\nсистемах и приложениях с использованием\nинформационно-телекоммуникационной сети \"Интернет\" (далее - сеть\n\"Интернет\"), прошедших сертификацию в системе сертификации Федеральной\nслужбы по техническому и экспортному контролю (далее - сертификация)\nили оценку соответствия по требованиям к оценочному уровню доверия\n(далее - ОУД) не ниже, чем ОУД 4, в соответствии с требованиями\nнационального стандарта Российской Федерации ГОСТ Р ИСО/МЭК\n15408-3-2013 \"Информационная технология. Методы и средства обеспечения\nбезопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности\", утвержденного приказом\nФедерального агентства по техническому регулированию и метрологии от 8\nноября 2013 года N 1340-ст \"Об утверждении национального стандарта\"\n(М., ФГУП \"Стандартинформ\", 2014) (далее - ГОСТ Р ИСО/МЭК\n15408-3-2013) (далее - оценка соответствия прикладного программного\nобеспечения автоматизированных систем и приложений). Некредитные финансовые организации, не реализующие усиленный и\nстандартный уровни защиты информации, должны самостоятельно определять\nнеобходимость сертификации или оценки соответствия прикладного\nпрограммного обеспечения автоматизированных систем и приложений. В отношении программного обеспечения и приложений, не указанных в\nабзаце первом настоящего пункта, некредитные финансовые организации\nдолжны самостоятельно определять необходимость сертификации или оценки\nсоответствия прикладного программного обеспечения автоматизированных\nсистем и приложений. По решению некредитной финансовой организации оценка соответствия\nприкладного программного обеспечения автоматизированных систем и\nприложений проводится самостоятельно или с привлечением проверяющей\nорганизации. Некредитные финансовые организации, реализующие усиленный уровень\nзащиты информации, в случае сертификации прикладного программного\nобеспечения автоматизированных систем и приложений должны обеспечить\nих сертификацию не ниже 4 уровня доверия в соответствии с Требованиями\nпо безопасности информации, устанавливающими уровни доверия к\nсредствам технической защиты информации и средствам обеспечения\nбезопасности информационных технологий, утвержденными приказом\nФедеральной службы по техническому и экспортному контролю от 2 июня\n2020 года N 76 \"Об утверждении Требований по безопасности информации,\nустанавливающих уровни доверия к средствам технической защиты\nинформации и средствам обеспечения безопасности информационных\nтехнологий\", зарегистрированным Министерством юстиции Российской\nФедерации 11 сентября 2020 года N 59772 (далее - приказ ФСТЭК России\nN 76). Некредитные финансовые организации, реализующие стандартный уровень\nзащиты информации, в случае сертификации прикладного программного\nобеспечения автоматизированных систем и приложений должны обеспечить\nих сертификацию не ниже 5 уровня доверия в соответствии с Требованиями\nпо безопасности информации, устанавливающими уровни доверия к\nсредствам технической защиты информации и средствам обеспечения\nбезопасности информационных технологий, утвержденными приказом ФСТЭК\nРоссии N 76. 1.9. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечить целостность\nэлектронных сообщений и подтвердить их составление уполномоченным на\nэто лицом. В целях обеспечения целостности электронных сообщений и подтверждения\nих составления уполномоченным на это лицом некредитные финансовые\nорганизации, реализующие усиленный и стандартный уровни защиты\nинформации, должны обеспечивать реализацию мер по использованию\nусиленной квалифицированной электронной подписи, усиленной\nнеквалифицированной электронной подписи или иных СКЗИ, реализующих\nфункцию имитозащиты информации с аутентификацией отправителя\nсообщения. Указанные в абзаце втором настоящего пункта требования по реализации\nмер по использованию усиленной квалифицированной электронной подписи,\nусиленной неквалифицированной электронной подписи или иных СКЗИ,\nреализующих функцию имитозащиты информации с аутентификацией\nотправителя сообщения, не применяются в случае, если в целях\nобеспечения целостности электронных сообщений и подтверждения их\nсоставления уполномоченным на это лицом при передаче электронных\nсообщений используются выделенные сегменты вычислительных сетей и\nуказанные меры определены некредитными финансовыми организациями,\nреализующими усиленный и стандартный уровни защиты информации, как\nнеактуальные в модели угроз и нарушителей безопасности информации. Признание электронных сообщений, подписанных электронной подписью,\nравнозначными документам на бумажном носителе, подписанным\nсобственноручной подписью, должно осуществляться в соответствии со\nстатьей 6 Федерального закона \"Об электронной подписи\" (Собрание\nзаконодательства Российской Федерации, 2011, N 15, ст. 2036; 2019,\nN 52, ст. 7794). 1.10. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечивать\nрегламентацию, реализацию, контроль (мониторинг) технологии безопасной\nобработки защищаемой информации, указанной в абзацах втором -\nчетвертом пункта 1.1 настоящего Положения: при идентификации,\nаутентификации и авторизации своих клиентов в целях осуществления\nфинансовых операций; при формировании (подготовке), передаче и приеме\nэлектронных сообщений; при удостоверении права клиентов распоряжаться\nденежными средствами, ценными бумагами или иным имуществом; при\nосуществлении финансовой операции, учете результатов ее осуществления\n(при наличии учета); при хранении электронных сообщений и информации\nоб осуществленных финансовых операциях (далее при совместном\nупоминании - технологические участки) на основе анализа рисков с\nсоблюдением следующих требований. 1.10.1. Технология обработки защищаемой информации, применяемая на\nтехнологических участках, должна обеспечивать целостность и\nнеизменность защищаемой информации. 1.10.2. Технология обработки защищаемой информации, применяемая при\nидентификации, аутентификации и авторизации клиентов некредитных\nфинансовых организаций в целях осуществления финансовых операций,\nдолжна обеспечивать выполнение следующих мероприятий:\nв случае использования единой информационной системы персональных\nданных, обеспечивающей обработку, включая сбор и хранение,\nбиометрических персональных данных, их проверку и передачу информации\nо степени их соответствия предоставленным биометрическим персональным\nданным гражданина Российской Федерации, - реализацию установленных\nприказом Федеральной службы по техническому и экспортному контролю от\n18 февраля 2013 года N 21 \"Об утверждении Состава и содержания\nорганизационных и технических мер по обеспечению безопасности\nперсональных данных при их обработке в информационных системах\nперсональных данных\", зарегистрированным Министерством юстиции\nРоссийской Федерации 14 мая 2013 года N 28375, 25 апреля 2017 года\nN 46487, 8 июля 2020 года N 58877, приказом Федеральной службы\nбезопасности Российской Федерации от 10 июля 2014 года N 378 \"Об\nутверждении Состава и содержания организационных и технических мер по\nобеспечению безопасности персональных данных при их обработке в\nинформационных системах персональных данных с использованием средств\nкриптографической защиты информации, необходимых для выполнения\nустановленных Правительством Российской Федерации требований к защите\nперсональных данных для каждого из уровней защищенности\",\nзарегистрированным Министерством юстиции Российской Федерации 18\nавгуста 2014 года N 33620, технических и организационных мер в целях\nнейтрализации угроз безопасности, актуальных при обработке, включая\nсбор и хранение, биометрических персональных данных, их проверке и\nпередаче информации о степени их соответствия предоставленным\nбиометрическим персональным данным гражданина Российской Федерации;\nв случае использования единой системы идентификации и аутентификации -\nсоблюдение требований к обеспечению защиты информации в соответствии с\nТехническими требованиями к взаимодействию информационных систем в\nединой системе межведомственного электронного взаимодействия,\nутвержденными приказом Министерства связи и массовых коммуникаций\nРоссийской Федерации от 23 июня 2015 года N 210 \"Об утверждении\nТехнических требований к взаимодействию информационных систем в единой\nсистеме межведомственного электронного взаимодействия\",\nзарегистрированным Министерством юстиции Российской Федерации 25\nавгуста 2015 года N 38668, 2 июня 2017 года N 46934. 1.10.3. Технология обработки защищаемой информации, применяемая при\nформировании (подготовке), передаче и приеме электронных сообщений,\nдолжна обеспечивать выполнение следующих мероприятий:\nпроверку правильности формирования (подготовки) электронных сообщений\n(двойной контроль);\nпроверку правильности заполнения полей электронного сообщения и прав\nвладельца электронной подписи (входной контроль);\nконтроль дублирования электронного сообщения;\nструктурный контроль электронных сообщений;\nзащиту, в том числе криптографическую, защищаемой информации при ее\nпередаче по каналам связи. 1.10.4. Технология обработки защищаемой информации, применяемая при\nудостоверении права клиентов некредитных финансовых организаций\nраспоряжаться денежными средствами, ценными бумагами или иным\nимуществом, должна обеспечивать выполнение следующих мероприятий:\nполучение электронных сообщений клиента, подписанных им способом,\nуказанным в пункте 1.9 настоящего Положения;\nполучение от клиента подтверждения совершаемой финансовой операции. 1.10.5. Технология обработки защищаемой информации, применяемая при\nосуществлении финансовой операции, учете результатов ее осуществления\n(при наличии учета), должна обеспечивать выполнение следующих\nмероприятий:\nпроверку соответствия (сверку) выходных электронных сообщений\nсоответствующим входным электронным сообщениям;\nпроверку соответствия (сверку) результатов осуществления финансовых\nопераций информации, содержащейся в электронных сообщениях;\nнаправление клиентам некредитных финансовых организаций уведомлений об\nосуществлении финансовых операций в случае, когда такое уведомление\nпредусмотрено законодательством Российской Федерации, регулирующим\nдеятельность некредитных финансовых организаций, или договором. Некредитные финансовые организации должны реализовывать механизмы\nподтверждения принадлежности клиенту адреса электронной почты, на\nкоторый некредитной финансовой организацией направляются уведомления о\nсовершаемых финансовых операциях, в том числе при предоставлении\nклиентам справок (выписок) по финансовым операциям. 1.11. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечивать регистрацию\nрезультатов выполнения действий, связанных с осуществлением доступа к\nзащищаемой информации, на всех технологических участках, включая\nрегистрацию действий своих работников и клиентов, выполняемых с\nиспользованием автоматизированных систем, программного обеспечения, с\nсоблюдением следующих требований. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны регистрировать следующую\nинформацию о действиях своих работников и клиентов, выполняемых с\nиспользованием автоматизированных систем, программного обеспечения:\nв отношении работника - дату (день, месяц, год) и время (часы, минуты,\nсекунды) осуществления финансовой операции, в отношении клиента -\nсовершение действий в целях осуществления финансовой операции;\nприсвоенный работнику (клиенту) идентификатор, позволяющий\nидентифицировать работника (клиента) в автоматизированной системе,\nпрограммном обеспечении;\nкод, соответствующий технологическому участку;\nв отношении работника - результат осуществления финансовой операции, в\nотношении клиента - совершение действий в целях осуществления\nфинансовой операции;\nинформацию, используемую для идентификации устройства, с применением\nкоторого осуществлен доступ к автоматизированной системе, программному\nобеспечению с целью осуществления финансовых операций: сетевой адрес\nкомпьютера и (или) коммуникационного устройства (маршрутизатора)\nработника (клиента), международный идентификатор абонента-клиента\n(индивидуальный номер абонента-клиента - физического лица),\nмеждународный идентификатор пользовательского оборудования (оконечного\nоборудования) клиента - физического лица, номер телефона и (или) иной\nидентификатор устройства клиента. 1.12. Некредитные финансовые организации, реализующие усиленный и\nстандартный уровни защиты информации, должны обеспечивать:\nхранение информации, указанной в абзацах втором и четвертом пункта 1.1\nнастоящего Положения, информации о регистрации данных, указанных в\nпункте 1.11 настоящего Положения, и информации об инцидентах,\nсвязанных с обеспечением защиты информации при осуществлении\nдеятельности в сфере финансовых рынков (далее - инциденты защиты\nинформации);\nцелостность и доступность информации, указанной в абзаце втором\nнастоящего пункта, в течение не менее чем пяти лет с даты ее\nформирования некредитной финансовой организацией (даты поступления в\nнекредитную финансовую организацию), а в случае, если\nзаконодательством Российской Федерации, регулирующим деятельность\nнекредитных финансовых организаций, установлен иной срок, - в течение\nэтого срока. 1.13. Некредитные финансовые организации, реализующие усиленный,\nстандартный и минимальный уровни защиты информации, должны\nобеспечивать доведение до своих клиентов рекомендаций по защите\nинформации от воздействия программных кодов, приводящего к нарушению\nштатного функционирования средства вычислительной техники (далее -\nвредоносный код), в целях противодействия незаконным финансовым\nоперациям. Некредитные финансовые организации, реализующие усиленный, стандартный\nи минимальный уровни защиты информации, должны обеспечивать доведение\nдо своих клиентов:\nинформации о возможных рисках несанкционированного доступа к\nзащищаемой информации с целью осуществления финансовых операций\nлицами, не обладающими правом их осуществления;\nинформации о мерах по предотвращению несанкционированного доступа к\nзащищаемой информации, в том числе при утрате (потере, хищении)\nклиентом устройства, с использованием которого им совершались действия\nв целях осуществления финансовой операции, контролю конфигурации\nустройства, с использованием которого клиентом совершаются действия в\nцелях осуществления финансовой операции, и своевременному обнаружению\nвоздействия вредоносного кода. 1.14. Некредитные финансовые организации, реализующие усиленный,\nстандартный и минимальный уровни защиты информации, должны в\nсоответствии со своими внутренними документами осуществлять\nрегистрацию инцидентов защиты информации, а также представлять\nсведения о выявленных инцидентах защиты информации должностному лицу\n(отдельному структурному подразделению), ответственному за управление\nрисками, при наличии такого должностного лица (отдельного структурного\nподразделения) при соблюдении следующих требований. 1.14.1. К инцидентам защиты информации некредитные финансовые\nорганизации, реализующие усиленный, стандартный и минимальный уровни\nзащиты информации, должны относить события, которые привели или по их\nоценке могут привести к осуществлению финансовых операций без согласия\n(волеизъявления) клиента некредитной финансовой организации,\nнеоказанию услуг, связанных с осуществлением финансовых операций, в\nтом числе события, включенные в перечень типов инцидентов,\nсогласованный с федеральным органом исполнительной власти,\nуполномоченным в области обеспечения безопасности, и размещаемый\nБанком России на своем официальном сайте в сети \"Интернет\". 1.14.2. По каждому инциденту защиты информации некредитные финансовые\nорганизации, реализующие усиленный, стандартный и минимальный уровни\nзащиты информации, должны осуществлять регистрацию:\nзащищаемой информации на технологических участках, на которых\nпроизошел несанкционированный доступ к защищаемой информации;\nрезультата реагирования на инцидент защиты информации, в том числе\nсовершенных действий по возврату денежных средств, ценных бумаг или\nиного имущества клиента некредитной финансовой организации. 1.15. Некредитные финансовые организации, реализующие усиленный,\nстандартный и минимальный уровни защиты информации, должны\nинформировать Банк России:\nо выявленных инцидентах защиты информации, включенных в перечень типов\nинцидентов, согласованный с федеральным органом исполнительной власти,\nуполномоченным в области обеспечения безопасности, и размещаемый\nБанком России на своем официальном сайте в сети \"Интернет\", а также о\nпринятых мерах и проведенных мероприятиях по реагированию на\nвыявленный некредитной финансовой организацией или Банком России\nинцидент защиты информации;\nо принадлежащих некредитной финансовой организации и (или)\nадминистрируемых в ее интересах сайтах в сети \"Интернет\", которые\nиспользуются некредитной финансовой организацией для осуществления\nдеятельности в сфере финансовых рынков;\nо планируемых мероприятиях, включая выпуск пресс-релизов и проведение\nпресс-конференций, размещение информации на официальных сайтах в сети\n\"Интернет\", в отношении инцидентов защиты информации не позднее одного\nрабочего дня до дня проведения мероприятия. Некредитные финансовые организации, реализующие усиленный, стандартный\nи минимальный уровни защиты информации, должны предоставлять в Банк\nРоссии сведения, указанные в абзацах втором - четвертом настоящего\nпункта, с использованием технической инфраструктуры\n(автоматизированной системы) Банка России. В случае технической\nневозможности взаимодействия некредитных финансовых организаций с\nБанком России с использованием технической инфраструктуры\n(автоматизированной системы) Банка России некредитные финансовые\nорганизации, реализующие усиленный, стандартный и минимальный уровни\nзащиты информации, должны предоставлять в Банк России сведения с\nиспользованием резервного способа взаимодействия. Информация о\nтехнической инфраструктуре (автоматизированной системе) Банка России,\nрезервном способе взаимодействия, форме и сроках направления сведений\nразмещается на официальном сайте Банка России в сети \"Интернет\". ГАРАНТ:\nГлава 2 вступает в силу с 1 января 2022 г. Глава 2. Особенности обеспечения защиты информации при осуществлении деятельности оператора финансовой платформы, регистратора финансовых транзакций\n2.1. Оператор финансовой платформы, регистратор финансовых транзакций\nдополнительно к информации, указанной в пункте 1.1 настоящего\nПоложения, должны осуществлять защиту следующей информации,\nполучаемой, подготавливаемой, обрабатываемой, передаваемой и хранимой\nв используемых ими автоматизированных системах:\nинформации, обрабатываемой оператором финансовой платформы при\nсовершении финансовых сделок с использованием финансовой платформы;\nинформации, обрабатываемой регистратором финансовых транзакций при\nосуществлении репозитарной деятельности в отношении финансовых сделок;\nинформации, содержащейся в электронных сообщениях, составляемых\nучастниками финансовой платформы, оператором финансовой платформы и\nрегистратором финансовых транзакций при заключении и исполнении\nфинансовых сделок с использованием финансовой платформы, в том числе\nсодержащейся в электронных сообщениях - указаниях потребителей\nфинансовых услуг;\nинформации о размещенных с использованием финансовой платформы\nбанковских вкладах и об операциях с денежными средствами по ним,\nинформации о совершении иных финансовых сделок и об операциях по ним,\nпредоставленной оператором финансовой платформы регистратору\nфинансовых транзакций;\nэлектронных сообщений, которые содержат распоряжения оператора\nфинансовой платформы в кредитную организацию о совершении операций по\nспециальному счету на основании указания потребителя финансовых услуг. 2.2. Оператор финансовой платформы, регистратор финансовых транзакций\nв дополнение к установленным пунктом 1.10 настоящего Положения\nтребованиям к технологии обработки защищаемой информации должны\nобеспечивать выполнение следующих требований. 2.2.1. Технология обработки защищаемой информации, применяемая\nоператором финансовой платформы, регистратором финансовых транзакций,\nна всех технологических участках должна обеспечивать целостность и\nнеизменность защищаемой информации, в том числе путем:\nприменения механизмов и (или) протоколов формирования и обмена\nэлектронными сообщениями, обеспечивающих защиту электронных сообщений\nот искажения, фальсификации, переадресации, несанкционированного\nознакомления и (или) уничтожения, ложной авторизации, в том числе\nаутентификации входных электронных сообщений;\nвзаимной (двухсторонней) аутентификации участников обмена электронными\nсообщениями средствами вычислительной техники оператора финансовой\nплатформы, потребителей финансовых услуг и финансовых организаций или\nэмитентов, регистраторов финансовых транзакций;\nвосстановления защищаемой информации в случае умышленного (случайного)\nразрушения (искажения) или выхода из строя средств вычислительной\nтехники;\nприменения при взаимодействии между оператором финансовой платформы и\nрегистратором финансовых транзакций, а также между оператором\nфинансовой платформы и кредитными организациями СКЗИ, имеющих\nсертификаты соответствия федерального органа исполнительной власти в\nобласти обеспечения безопасности. 2.2.2. Технология обработки защищаемой информации, применяемая\nоператором финансовой платформы при идентификации, аутентификации и\nавторизации в соответствии с подпунктом 1.10.2 пункта 1.10 настоящего\nПоложения, должна распространяться на идентификацию потребителей\nфинансовых услуг в соответствии с Федеральным законом от 7 августа\n2001 года N 115-ФЗ \"О противодействии легализации (отмыванию) доходов,\nполученных преступным путем, и финансированию терроризма\" (Собрание\nзаконодательства Российской Федерации, 2001, N 33, ст. 3418; 2021,\nN 1, ст. 75) и аутентификацию участников финансовой платформы при\nзаключении и исполнении финансовых сделок. 2.3. Оператор финансовой платформы, регистратор финансовых транзакций\nдолжны обеспечивать подписание электронных сообщений, в том числе\nдоговоров между оператором финансовой платформы и потребителем\nфинансовых услуг, соглашений об электронном документообороте между\nоператором финансовой платформы, потребителем финансовых услуг и\nфинансовой организацией или эмитентом, а также иных документов,\nнеобходимых для обеспечения их взаимодействия при заключении и\nисполнении финансовых сделок с использованием финансовой платформы,\nспособом, позволяющим обеспечить целостность подписываемых документов\nи подтвердить их составление уполномоченным на это лицом, в\nсоответствии с требованиями пункта 1.9 настоящего Положения. ГАРАНТ:\nГлава 3 вступает в силу с 1 января 2022 г. Глава 3. Особенности обеспечения защиты информации при осуществлении деятельности оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператора обмена цифровых финансовых активов\n3.1. Оператор информационной системы, в которой осуществляется выпуск\nцифровых финансовых активов, оператор обмена цифровых финансовых\nактивов дополнительно к информации, указанной в пункте 1.1 настоящего\nПоложения, должны осуществлять защиту следующей информации,\nполучаемой, подготавливаемой, обрабатываемой, передаваемой и хранимой\nв используемых ими автоматизированных системах:\nинформации, обрабатываемой оператором информационной системы, в\nкоторой осуществляется выпуск цифровых финансовых активов, на\nосновании которой осуществляются выпуск и обращение цифровых\nфинансовых активов, в том числе информации, содержащейся в электронных\nсообщениях-указаниях о внесении или изменении записи о цифровых\nфинансовых активах в информационной системе, в которой осуществляется\nвыпуск цифровых финансовых активов, по указанию лиц или в силу\nдействия, совершенного в рамках сделки, указанных в части 2 статьи 4\nФедерального закона от 31 июля 2020 года N 259-ФЗ \"О цифровых\nфинансовых активах, цифровой валюте и о внесении изменений в отдельные\nзаконодательные акты Российской Федерации\" (Собрание законодательства\nРоссийской Федерации, 2020, N 31, ст. 5018) (далее - Федеральный закон\n\"О цифровых финансовых активах, цифровой валюте и о внесении изменений\nв отдельные законодательные акты Российской Федерации\");\nинформации, обрабатываемой оператором обмена цифровых финансовых\nактивов, на основании которой обеспечивается заключение сделок с\nцифровыми финансовыми активами;\nинформации, обрабатываемой оператором информационной системы, в\nкоторой осуществляется выпуск цифровых финансовых активов, обо всех\nсовершенных сделках с цифровыми финансовыми активами, выпущенными в\nинформационной системе, оператором которой он является, а также об\nучастниках таких сделок;\nинформации, обрабатываемой оператором обмена цифровых финансовых\nактивов при обеспечении заключения сделок с цифровыми финансовыми\nактивами, обо всех совершенных сделках с цифровыми финансовыми\nактивами, а также об участниках таких сделок. 3.2. Оператор информационной системы, в которой осуществляется выпуск\nцифровых финансовых активов, оператор обмена цифровых финансовых\nактивов в дополнение к установленным пунктом 1.10 настоящего Положения\nтребованиям к технологии обработки защищаемой информации в рамках\nвыпуска и обращения цифровых финансовых активов должны обеспечивать\nвыполнение следующих мероприятий:\nиспользование многофакторной аутентификации лиц, выпускающих цифровые\nфинансовые активы, обладателей цифровых финансовых активов, оператора\nобмена цифровых финансовых активов при осуществлении доступа к\nинформационной системе, в которой осуществляется выпуск цифровых\nфинансовых активов, в том числе реализованной с использованием СКЗИ;\nзащиту, в том числе криптографическую, защищаемой информации при ее\nхранении и передаче в информационной системе, в которой осуществляется\nвыпуск цифровых финансовых активов;\nприменение организационных и технических мер, обеспечивающих обработку\nинцидентов защиты информации, связанных с несанкционированным доступом\nк криптографическим ключам при их формировании, использовании и\nхранении, в том числе в соответствии с требованиями технической\nдокументации на СКЗИ;\nвзаимную аутентификацию узлов информационной системы, участвующих в\nобмене защищаемой информацией;\nреализацию системы управления жизненным циклом сделки, предусмотренной\nчастью 2 статьи 4 Федерального закона \"О цифровых финансовых активах,\nцифровой валюте и о внесении изменений в отдельные законодательные\nакты Российской Федерации\", и реализацию ее типовых функций в виде\nстандартных библиотек с целью управления рисками и уязвимостями,\nсвязанными с исполнением указанной сделки;\nприменение организационных и технических мер, направленных на\nобработку риска использования уязвимостей программной среды исполнения\nсделки, предусмотренной частью 2 статьи 4 Федерального закона \"О\nцифровых финансовых активах, цифровой валюте и о внесении изменений в\nотдельные законодательные акты Российской Федерации\";\nреализацию системы мониторинга инцидентов защиты информации и\nрегламентацию мер по реакции на инциденты защиты информации;\nреализацию системы мониторинга исполнения сделок, предусмотренных\nчастью 2 статьи 4 Федерального закона \"О цифровых финансовых активах,\nцифровой валюте и о внесении изменений в отдельные законодательные\nакты Российской Федерации\". 3.3. Оператор информационной системы, в которой осуществляется выпуск\nцифровых финансовых активов, оператор обмена цифровых финансовых\nактивов в дополнение к установленным в пунктах 1.10 и 3.2 настоящего\nПоложения требованиям к технологии обработки защищаемой информации в\nрамках выпуска и обращения цифровых финансовых активов в\nинформационной системе на основе распределенного реестра должны\nобеспечивать выполнение следующих мероприятий:\nанализ трафика сетевого взаимодействия между узлами информационной\nсистемы на основе распределенного реестра с целью обеспечения\nнепрерывности внесения (изменения) записей в информационную систему на\nоснове распределенного реестра, обеспечения блокировки потенциально\nопасных записей в информационную систему на основе распределенного\nреестра, способных привести к изменению последовательности записей в\nинформационной системе, обеспечения анализа и контроля алгоритма\n(алгоритмов), обеспечивающего тождественность информации, содержащейся\nво всех базах данных, составляющих распределенный реестр, направленных\nна обеспечение невозможности реализации компьютерных атак, в том числе\nсо стороны узлов информационной системы, путем управления указанными\nалгоритмами;\nобеспечение защиты защищаемой информации между узлами информационной\nсистемы на основе распределенного реестра СКЗИ, реализующих в том\nчисле функцию имитозащиты информации с аутентификацией отправителя\nинформации;\nГАРАНТ:\nАбзац четвертый вступает в силу с 1 января 2024 г. использование узлами информационной системы безопасной топологии\nкоммуникационных сетей, программного кода и протоколов с учетом\nактуальных угроз безопасности и применяемых информационных технологий,\nв том числе реализацию системы защиты от атак, направленных на отказ в\nобслуживании, с возможностью фильтрации передаваемых данных, хранение\nузлами информационной системы доверенных сетевых адресов и реализацию\nмеханизма проверки некорректных узлов информационной системы. Глава 4. Заключительные положения\n4.1. В случае если некредитная финансовая организация на дату\nопределения уровня защиты информации определила более высокий уровень\nзащиты информации по сравнению с реализуемым ею уровнем защиты\nинформации, такая некредитная финансовая организация должна обеспечить\nвыполнение предусмотренных настоящим Положением требований к более\nвысокому уровню защиты информации не позднее девяти месяцев с даты\nопределения уровня защиты информации. 4.2. В случае совмещения некредитной финансовой организацией видов\nдеятельности в сфере финансовых рынков, осуществление которых\nобусловливает необходимость реализации одновременно двух уровней\nзащиты информации, такая некредитная финансовая организация должна\nобеспечить соблюдение требований, предъявляемых к более высокому\nуровню защиты информации, при условии, что при совмещении деятельности\nона использует единые объекты информационной инфраструктуры. 4.3. Действие настоящего Положения не распространяется на отношения,\nрегулируемые Федеральным законом от 26 июля 2017 года N 187-ФЗ \"О\nбезопасности критической информационной инфраструктуры Российской\nФедерации\" (Собрание законодательства Российской Федерации, 2017,\nN 31, ст. 4736). При обеспечении безопасности автоматизированных систем, программного\nобеспечения, средств вычислительной техники, телекоммуникационного\nоборудования, эксплуатация и использование которых обеспечиваются при\nосуществлении финансовых операций некредитными финансовыми\nорганизациями и которые являются объектами критической информационной\nинфраструктуры Российской Федерации, настоящее Положение применяется\nнаряду с требованиями Федерального закона от 26 июля 2017 года\nN 187-ФЗ \"О безопасности критической информационной инфраструктуры\nРоссийской Федерации\". Действие настоящего Положения не распространяется на лиц,\nосуществляющих актуарную деятельность. 4.4. Настоящее Положение в соответствии с решением Совета директоров\nБанка России (протокол заседания Совета директоров Банка России от 4\nдекабря 2020 года N ПСД-29) вступает в силу по истечении 10 дней после\nдня его официального опубликования, за исключением положений, для\nкоторых настоящим пунктом установлены иные сроки вступления их в силу. Абзац четвертый подпункта 1.4.2, абзацы одиннадцатый - четырнадцатый\nподпункта 1.4.3 пункта 1.4, главы 2 и 3, за исключением абзаца\nчетвертого пункта 3.3, настоящего Положения вступают в силу с 1 января\n2022 года. Подпункт 1.4.4 пункта 1.4 настоящего Положения вступает в силу с 1\nиюля 2022 года. Абзац первый пункта 1.7 настоящего Положения вступает в силу с 1\nянваря 2022 года и действует по 30 июня 2023 года включительно. Абзац второй пункта 1.7 настоящего Положения вступает в силу с 1 июля\n2023 года. Абзац четвертый пункта 3.3 настоящего Положения вступает в силу с 1\nянваря 2024 года. 4.5. Со дня вступления в силу настоящего Положения признать утратившим\nсилу Положение Банка России от 17 апреля 2019 года N 684-П \"Об\nустановлении обязательных для некредитных финансовых организаций\nтребований к обеспечению защиты информации при осуществлении\nдеятельности в сфере финансовых рынков в целях противодействия\nосуществлению незаконных финансовых операций\", зарегистрированное\nМинистерством юстиции Российской Федерации 16 мая 2019 года N 54634. +--------------------------------------------------------+-------------------+\n|   Председатель Центрального банка Российской Федерации |   Э.С. Набиуллина |\n+--------------------------------------------------------+-------------------+\nЗарегистрировано в Минюсте РФ 15 июня 2021 г. Регистрационный N 63880"}