Сноска. Утратил силу приказом и.о. Министра по инвестициям и развитию РК от 17.03.2016 № 275 (вводится в действие со дня его официального опубликования).

     В целях реализации пункта 3  статьи 4 Закона Республики Казахстан "О кредитных бюро и формировании кредитных историй в Республике Казахстан"  ПРИКАЗЫВАЮ:

     1. Утвердить прилагаемую Инструкцию по определению особенностей организации деятельности поставщиков информации, кредитных бюро и получателей кредитных отчетов (за исключением субъектов кредитных историй) на рынке информационных услуг.

     2. Департаменту информатизации и юридической службы Агентства Республики Казахстан по информатизации и связи (далее - Агентство) (Жайлаубаевой А.) обеспечить в установленном порядке государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан.

     3. Управлению финансового регулирования Агентства (Арпабаев Б.К.) после государственной регистрации настоящего приказа, в установленном порядке, обеспечить его официальное опубликование в средствах массовой информации.

     4. Настоящий приказ вводится в действие со дня официального опубликования.

   Председатель

    Согласовано:
Председатель Правления
Агентства Республики Казахстан
по регулированию и надзору 
финансового рынка и 
финансовых организаций
4 апреля 2005 г.

Утверждена         
приказом Председателя Агентства
Республики Казахстан   
по информатизации и связи 
от 23 марта 2005 года N 72-п

Инструкция 
по определению особенностей организации деятельности
поставщиков информации, кредитных бюро и получателей
кредитных отчетов (за исключением субъектов кредитных
историй) на рынке информационных услуг

     Настоящая Инструкция разработана в соответствии с Законами Республики Казахстан  "О кредитных бюро и  формировании кредитных историй в Республике Казахстан" (далее - Закон о кредитных бюро), " Об информатизации", " Об электронном документе и электронной цифровой подписи" и определяет особенности организации деятельности поставщиков информации, кредитных бюро и получателей кредитных отчетов (за исключением субъектов кредитных историй) на рынке информационных услуг.

  1. Общие положения

     1. В настоящей Инструкции используются следующие понятия:
     1) администратор безопасности информационных систем - работник организации, обеспечивающий функционирование системы электронного получения и (или) передачи данных, реализацию мер по их защите, осуществляющий генерацию поступающей и (или) передаваемой информации с учетом ее функций и полномочий (далее - администратор); 

     2) аутентификация - подтверждение подлинности субъекта или объекта доступа путем определения соответствия предъявленных реквизитов доступа имеющимся в системе;

     3) идентификация - процесс присвоения или определения соответствия предъявленного для получения доступа в систему и (или) к ресурсу системы идентификатора перечню идентификаторов, имеющихся в системе;
     4) информационная система участников системы формирования и использования кредитных историй - совокупность информационных технологий, информационных сетей и средств их программно-технического обеспечения, предназначенных для реализации поставщиками информации, кредитными бюро, получателями кредитных отчетов и субъектами кредитных историй информационных процессов (далее - информационная система формирования и использования кредитных историй);

     5) ключевая информация - криптографические ключи и ключи электронной цифровой подписи;
     6) оператор - работник кредитного бюро, непосредственно осуществляющий прием, сбор, обработку и передачу информации с использованием системы защиты; 

     7) организация - кредитное бюро, поставщик информации, получатель кредитного отчета (за исключением субъектов кредитных историй), обязанные принимать участие в информационной системе формирования и использования кредитных историй в соответствии с настоящей Инструкцией; 
     8) ответственное лицо - работник кредитного бюро, обеспечивающий функционирование и контроль средств защиты информации от несанкционированного доступа;
     9) пользователь - кредитное бюро и иные участники информационной системы кредитных историй, участвующие в обмене электронными документами и являющиеся сторонами договора о предоставлении информации и (или) получении кредитных отчетов;

     10) электронная цифровая подпись - набор электронных цифровых символов, созданный средствами электронной цифровой подписи и подтверждающий достоверность электронного документа, его принадлежность и неизменность содержания;

     11) электронный документ - документ, в котором информация представлена в электронно-цифровой форме и удостоверена посредством электронной цифровой подписи.
     Поставщики информации и получатели кредитного отчета (за исключением субъекта кредитной истории) обеспечивают выполнение организационных, технологических условий и требований кредитного бюро, вытекающие из заключенных с ним договоров о предоставлении информации и внутренних документов кредитного бюро, предусмотренных  Законом о кредитных бюро.

  2. Техническое обеспечение деятельности 
участников в системе формирования 
кредитных историй

     3. Порядок технического обеспечения деятельности организации в системе формирования кредитных историй определяется актом участника в системе формирования кредитных историй (приказ, распоряжение) включающим:
     1) назначение сотрудников, на которых возлагаются обязанности ответственного лица, администратора, оператора;
     2) список сотрудников, допущенных к рабочему месту пользователя;
     3) режим работы.

     4. Ключевая информация находится на машинном носителе. Машинные носители после окончания работы хранятся в специально выделенных для этих целей сейфах.
     5. Хранение и использование машинных носителей с ключевой информацией исключают возможность несанкционированного доступа к ним.      6. Сотрудникам организации не допускается:
     1) снимать несанкционированные копии с носителей ключевой информации;
     2) разглашать данные в отношении носителей ключевой информации, порядка их хранения, а также передавать носители ключевой информации посторонним лицам;
     3) записывать постороннюю информацию на носители ключевой информации.

  3. Технические требования к рабочему месту 
системы защиты, компьютерному оборудованию 
и программному обеспечению

     7. Программные и аппаратные меры защиты основаны на использовании специальных программ и аппаратуры, входящих в состав информационной системы и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты:
     1) идентификацию и аутентификацию пользователей;
     2) разграничение доступа к ресурсам;
     3) регистрацию событий;
     4) криптографические преобразования;
     5) проверку целостности системы;
     6) проверку отсутствия вредоносных программ;
     7) программную защиту передаваемой информации и каналов связи;
     8) защиту системы от наличия и появления нежелательной информации;
     9) создание физических препятствий на путях проникновения нарушителей;
     10) мониторинг и сигнализацию соблюдения правильности работы системы;
     11) создание резервных копий ценной информации.

     8. Рабочее место системы защиты размещается в специально выделенном изолированном помещении. Местонахождение, контроль доступа и охранно-пожарная сигнализация исключают возможность неконтролируемого проникновения в помещение лиц, не допущенных к рабочему месту пользователя.

     9. Программное обеспечение пользователя устанавливается на специально выделенных программно-аппаратных средствах, имеющих паспорт рабочего места с подробными данными по его месторасположению, конфигурации.

     10. Не допускается эксплуатация программно-аппаратных средств пользователя и установка на них программных средств, не связанных с целью подготовки, обработки, передачи или ведения электронных документов в рамках участия в информационной системе участников системы формирования и использования кредитных историй.

     11. Программно-аппаратные средства пользователя сертифицируются в соответствии с законодательством Республики Казахстан  о сертификации и включают следующий комплекс защиты:
     1) средства идентификации и аутентификации пользователей, 
     2) возможность ведения электронных журналов в течение срока хранения электронных документов, с целью контроля деятельности, связанной с доступом к компьютеру и действиями пользователей.

     12. Одному системному имени пользователя соответствует один идентификационный код для входа в информационные системы.
     13. Системный блок программно-аппаратных средств пользователя опечатывается или пломбируется ответственным лицом. В случае необходимости допуск к системному блоку осуществляется в присутствии ответственного лица. По окончании работ системный блок опечатывается или пломбируется ответственным лицом.

     14. Подготовка электронных документов, предназначенных для передачи в зашифрованном виде, происходит исключительно на рабочем месте системы защиты и исключает возможность несанкционированного доступа.

     15. Доступ к ресурсам (дисковое пространство, директории, сетевые ресурсы, базы данных), выделенным для накопления в них информации для передачи в информационную среду с использованием системы защиты, получение информации из информационной среды, хранение, архивирование и другая обработка информации исключают возможность несанкционированного доступа к этим ресурсам.

     16. В случае нарушения порядка защитных действий или его разглашения, сторона установившая данное нарушение, немедленно уведомляет об этом другую сторону и принимает меры по ликвидации последствий.

  4. Выявление технических каналов утечки информации

     17. Технические каналы утечки информации делятся на: 
     1) радиоканалы (электромагнитные излучения радиодиапазона); 
     2) электрические (напряжения и токи в различных токопроводящих коммуникациях); 
     3) акустические (распространение звуковых колебаний в любом звукопроводящем материале); 
     4) оптические (электромагнитные излучения в видимой, инфракрасной и ультрафиолетовой частях спектра). 

     18. Источниками излучений в технических каналах являются разнообразные технические средства, особенно те, в которых циркулирует конфиденциальная информация. К их числу относятся: 
     1) сети электропитания и линии заземления; 
     2) автоматические сети телефонной связи; 
     3) системы факсимильной, телекодовой и телеграфной связи; 
     4) средства громкоговорящей связи; 
     5) средства звуко- и видеозаписи; 
     6) системы звукоусиления речи; 
     7) электронно-вычислительная техника; 
     8) электронные средства оргтехники. 

     19. Для создания системы защиты объекта от утечки информации по техническим каналам необходимо осуществить ряд мероприятий. Необходимо проанализировать специфические особенности расположения зданий, помещений в зданиях, территорию вокруг них и подведенные коммуникации. Затем необходимо выделить те помещения, внутри которых циркулирует конфиденциальная информация и инвентаризировать используемые в них технические средства. 

     20. Технические мероприятия:
     1) проверить используемую технику на соответствие величины побочных излучений допустимым уровням; 
     2) экранировать помещения с техникой или эту технику в помещениях; 
     3) перемонтировать отдельные цепи, линии, кабели; 
     4) использовать специальные устройства и средства пассивной и активной защиты. 

  5. Особенности использования 
электронной цифровой подписи 
в системе формирования кредитных историй

     21. Применение электронной цифровой подписи в системе формирования кредитных историй регулируется в соответствии с  Законом Республики Казахстан "Об электронном документе и электронной цифровой подписи".

  6. Заключительные положения

     22. Вопросы, не урегулированные настоящей Инструкцией, разрешаются в порядке, определенном законодательством Республики Казахстан.

___________________________________