В целях установления порядка обеспечения безопасности рабочего места пользователя платежной системы Республиканского государственного предприятия на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан" (далее - Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан) Правление Национального Банка Республики Казахстан постановляет:
1. Утвердить прилагаемые Правила обеспечения безопасности рабочего места пользователя платежной системы Республиканского государственного предприятия на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан" и ввести их в действие со дня государственной регистрации в Министерстве юстиции Республики Казахстан.
2. Казахстанскому центру межбанковских расчетов Национального Банка Республики Казахстан (Абдулкаримов С.Х.):
1) совместно с Юридическим департаментом (Шарипов С.Б.) зарегистрировать настоящее постановление и Правила обеспечения безопасности рабочего места пользователя платежной системы Республиканского государственного предприятия на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан" в Министерстве юстиции Республики Казахстан;
2) в недельный срок со дня государственной регистрации в Министерстве юстиции Республики Казахстан довести настоящее постановление и утвержденные Правила до сведения всех пользователей платежной системы.
3. Департаменту информационных технологий (Поликарпов О.Ю.) в установленном порядке подготовить изменения в Инструкцию о порядке применения системы программно-криптографической защиты при обмене электронными платежами между подразделениями Национального Банка Республики Казахстан, а также банками Республики Казахстан, утвержденную постановлением Правления Национального Банка Республики Казахстан от 19 октября 1995 года N 177, и внести на рассмотрение Правления Национального Банка Республики Казахстан.
4. Контроль за исполнением настоящее постановления возложить на заместителя Председателя Национального Банка Республики Казахстан Абдулину Н.К.
Утверждены
Постановлением Правления
Национального Банка
Республики Казахстан
от 7 октября 1999 года N 325
Правила обеспечения безопасности
рабочего места пользователя платежной системы
Республиканского Государственного предприятия на праве
хозяйственного ведения "Казахстанский центр межбанковских
расчетов Национального Банка Республики Казахстан"
Настоящие Правила разработаны в соответствии с Законами Республики Казахстан "
О Национальном Банке
Республики Казахстан", "
О платежах и переводах денег
", "
Об электронном документе
и электронной цифровой подписи" и определяют порядок обеспечения безопасности рабочего места пользователя платежной системы Республиканского государственного предприятия на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан (далее - платежная система)".
Нормы настоящих Правил обязательны для исполнения всеми пользователями платежной системы.
В настоящих Правилах используются следующие понятия:
1) (исключен - постановлением Правления Нац. Банка РК от 18 января 2007 г. N 5 )
2) ключевая информация - криптографические ключи или другая информация, позволяющая осуществлять криптографические преобразования информации;
3) несанкционированный доступ - доступ к информационным и программным ресурсам лиц, не имеющих права доступа к ним;
4) офицер безопасности - ответственный работник пользователя платежной системы, обеспечивающий установку и функционирование программно-аппаратного комплекса защиты информации от несанкционированного доступа на рабочем месте пользователя платежной системы, а также осуществляющий контроль за их работоспособностью;
5) пользователь платежной системы - банк или организация, осуществляющая отдельные виды банковских операций, заключившие договор с Республиканским государственным предприятием на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан" о предоставлении услуг в платежной системе;
6) программно-аппаратный комплекс защиты от несанкционированного доступа - система защиты компьютеров от использования посторонними лицами, контроля целостности установленного программного обеспечения и данных, а также для разграничения полномочий зарегистрированных пользователей по доступу к информационным ресурсам;
7) рабочее место пользователя платежной системы - персональный компьютер, на котором установлен терминал платежной системы;
8) служба безопасности платежной системы - структурное подразделение, обеспечивающее безопасность и защиту информационных ресурсов Республиканского государственного предприятия на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан";
9) средства регистрации доступа - технические, программные или другие средства, позволяющие фиксировать информацию о доступе к объектам;
10) терминал платежной системы - программное обеспечение, обеспечивающее доступ в платежную систему, устанавливаемое в банках второго уровня и организациях, осуществляющих отдельные виды банковских операций, являющихся пользователями платежной системы;
11) центр распределения ключей - организация, осуществляющая определенные технологические процедуры при сборе, рассылке или генерации ключевой информации.
Сноска: Глава 1 в новой редакции - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
Глава 2. Размещение рабочего места
Сноска: В наименование главы 2 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года N 6 .
1. Рабочее место пользователя платежной системы размещается в специально выделенном помещении.
2. Место нахождения, специальное оборудование и охрана помещения, в котором организуется рабочее место пользователя платежной системы, должны исключать возможность неконтролируемого проникновения в это помещение лиц, не допущенных к рабочему месту пользователя платежной системы.
3. Помещение должно находиться в контролируемой зоне, иметь прочные входные двери, на которые устанавливаются надежные замки, иметь средства регистрации доступа. При отсутствии охраняемой и контролируемой зоны в радиусе 50 метров от здания, где расположено рабочее место пользователя платежной системы, в помещении должны быть установлены средства защиты информации от утечки по электромагнитным каналам. При расположении помещений на первых и последних этажах зданий, а также при наличии рядом с окнами балконов, пожарных лестниц и т.п., окна помещений необходимо оборудовать решетками. Двери и окна помещений должны быть оборудованы охранной сигнализацией.
Сноска. Пункт 3 с изменениями, внесенными постановлением Правления Нац. Банка РК от 28 февраля 2002 года
N 61
.
3-1. В случае переноса рабочего места пользователя платежной системы на новое место пользователь платежной системы в течение десяти рабочих дней с момента эксплуатации уведомляет Национальный Банк Республики Казахстан (далее - Национальный Банк).
<*>
Сноска. Глава 2 дополнена пунктом 3-1 постановлением Правления Нац. Банка РК от 18 января 2007 г.
N 5
(вводится в действие по истечении 14 дней со дня гос. регистрации).
Глава 3. Защита информации и программного
обеспечения от несанкционированного доступа
Сноска: В наименование главы 3 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года N 6 .
4. Терминал платежной системы устанавливается на специально выделенном для этих целей персональном компьютере, имеющем паспорт с подробными данными по конфигурации, аппаратным и программным средствам, установленным на нем.
<*>
Сноска: Пункт 4 в новой редакции - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
5. Установка на рабочем месте пользователя платежной системы программных средств, не предназначенных для решения задач по подготовке, обработке, передачи или ведения электронных документов в рамках платежной системы, не допускается.
<*>
Сноска: В пункт 5 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
6. Рабочее место пользователя платежной системы должно иметь программно-аппаратный комплекс защиты от несанкционированного доступа, включающий в себя средства опознавания пользователей, возможность ведения электронных журналов в течение срока хранения электронных документов с целью контроля событий, связанных с доступом к рабочему месту пользователя платежной системы и действиями пользователей.
<*>
Сноска: В пункт 6 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
7. Одному системному имени пользователя, по которому идентифицируется пользователь на входе в информационные системы, должно соответствовать одно физическое лицо.
8. Рабочее место пользователя платежной системы должно иметь средства обеспечения целостности программного обеспечения. В случае подозрения на нарушение целостности или получения предупреждений о нарушении целостности этих средств необходимо немедленно сообщать в службу безопасности платежной системы.
<*>
Сноска: В пункт 8 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
9. Системный блок рабочего места пользователя платежной системы должен быть опечатан или опломбирован.
<*>
Сноска: В пункт 9 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
10. Порядок хранения и использования технических средств, паролей, кодовых слов или др. информации, обеспечивающих доступ к рабочему месту пользователя платежной системы, должен исключать возможность их несанкционированного использования.
11. Права администратора средств защиты от несанкционированного доступа необходимо предоставить только офицеру безопасности пользователя платежной системы, наделенному соответствующими полномочиями.
12. Технология передачи электронных документов (определенный порядок передачи электронных документов), подготовленных в информационной системе пользователя платежной системы, на рабочее место пользователя платежной системы должна исключать возможность несанкционированного доступа к этим электронным документам.
13. Порядок доступа к ресурсам (дисковое пространство, директории, сетевые ресурсы, базы данных и т.п.), выделенным для накопления в них информации для передачи в платежную систему, получения информации из платежной системы, хранения, архивирования либо другой обработки информации, должен исключать возможность доступа к этим ресурсам лиц, не допущенных к работе с ними.
13-1. В случае внесения изменений в программное обеспечение, посредством которого осуществляется связь между пользователем платежной системы и Республиканским государственным предприятием на праве хозяйственного ведения "Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан", в программно-аппаратный комплекс защиты от несанкционированного доступа, а также в технологию передачи электронных документов, подготовленных в информационной системе пользователя платежной системы, пользователь платежной системы в течение десяти рабочих дней с момента эксплуатации уведомляет Национальный Банк.
Сноска. Глава 3 дополнена пунктом 13-1 постановлением Правления Нац. Банка РК от 18 января 2007 г.
N 5
(вводится в действие по истечении 14 дней со дня гос. регистрации).
Глава 4. Хранение и использование ключевой информации
Сноска: В наименование главы 4 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года N 6 .
14. Ключевая информация должна находиться на внешнем носителе (дискета, пластиковая карточка и т.п.).
15. Порядок хранения и использования внешних носителей с ключевой информацией должен исключать возможность несанкционированного доступа к ним.
16. Лица, имеющие доступ к ключевой информации несут персональную ответственность за сохранность и неразглашение информации в соответствии с действующим законодательством.
17. Для хранения внешних носителей ключевой информации в помещении должны устанавливаться сейфы, оборудованные надежными запирающими устройствами.
18. После окончания рабочего дня внешние носители ключевой информации должны находиться в сейфах.
19. В случаях увольнения сотрудников, имевших доступ к ключевой информации, дискредитации или попытки дискредитации ключевой информации необходимо произвести внеплановую смену ключевой информации. Новая ключевая информация вводится в действие со дня увольнения сотрудника, имеющего доступ к ключевой информации, или ранее.
20. Запрещается:
1) снимать несанкционированные копии с носителей ключевой информации;
2) знакомить с содержанием носителей ключевой информации или передавать носители ключевой информации лицам, к ним не допущенным;
3) выводить ключевую информацию на дисплей или принтер;
4) вставлять носитель с ключевой информацией в считывающее устройство в режимах, не предусмотренных функционированием системы;
5) записывать на внешний носитель ключевой информации постороннюю информацию.
Глава 5. Организация работ обслуживающего персонала
Сноска: В наименование главы 5 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года N 6 .
21. Приказом пользователя платежной системы определяются:
1) режим работы (время работы, время перерывов, порядок работы в вечернее время, порядок работы в выходные и праздничные дни и др.) с платежной системой;
2) список сотрудников, допущенных к рабочему месту пользователя платежной системы;
3) список сотрудников, имеющих доступ к внешним носителям с ключевой информацией;
4) список сотрудников, дающих санкции на прием или передачу электронных документов платежной системы;
5) список сотрудников, допускаемых к рабочему месту пользователя платежной системы в особых случаях;
6) список сотрудников, выполняющих функции офицера безопасности;
7) список сотрудников, осуществляющих архивирование и хранение всех электронных документов, переданных в платежную систему и полученных из платежной системы, а также устаревшей ключевой информации;
22. Внутренними правилами пользователя платежной системы определяются:
1) порядок и процедуры контроля доступа в помещение, в котором находится рабочее место пользователя платежной системы и ответственного за допуск;
2) порядок и процедуры архивирования, хранения всех электронных документов, переданных в платежную систему и полученных из платежной системы, а также порядок доступа к этим архивам;
3) порядок контроля целостности печатей или пломб на системном блоке рабочего места пользователя платежной системы.
<*>
Сноска: В пункт 22 внесены изменения - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
.
23. Внутренними правилами и инструкциями пользователя платежной системы для сотрудников, допущенных к рабочему месту пользователя платежной системы, определяются:
1) конкретные функции и полномочия;
2) порядок санкционирования приема или передачи сообщений платежной системы;
3) порядок отпусков, увольнения и замещения, в случае временного отсутствия;
4) порядок фиксирования полной информации (дата, время, фамилия, должность, цель посещения, роспись) обо всех приходах, уходах, замещении, отсутствии, передачи дежурств, посещении помещения лицами, допуск которых осуществляется по особым условиям, и т.п.;
5) порядок хранения внешних носителей с ключевой информацией;
6) порядок хранения устаревшей ключевой информации в течение срока хранения электронных документов, подписанных или зашифрованных с использованием этой ключевой информации;
7) порядок фиксирования полной информации (дата, время, фамилия, должность, роспись) о факте и продолжительности использования ключевой информации;
8) порядок хранения и использования технических средств, паролей кодовых слов или другой информации, обеспечивающих доступ к рабочему месту пользователя платежной системы.
24.
(пункт исключен - постановлением Правления Национального Банка Республики Казахстан от 2 февраля 2006 года
N 6
).
25. С сотрудников, допущенных к работе в платежной системе, необходимо получить обязательство о неразглашении и нераспространении конфиденциальной информации, ключевой информации и паролей.
26. Лица, допущенные к работе в платежной системе, должны подразделяться на следующие категории:
1) администратор, осуществляющий непосредственно выработку собственных открытых и секретных ключей, регистрацию ключей в центре распределения ключей, использование собственных зарегистрированных в центре распределения ключей, а также обработку, санкционирование передачи сообщений в платежную систему и приема сообщений из платежной системы;
2) оператор (лицо, замещающее администратора), непосредственно осуществляющий подготовку, передачу и прием сообщений;
3) офицер безопасности, в функции которого входит регистрация сотрудников, допущенных к рабочему месту пользователя платежной системы, и контроль за выполнением требований безопасности.
27. При необходимости решения текущих и оперативных вопросов в части безопасности, администратор и офицер безопасности взаимодействуют со службой безопасности платежной системы.
Глава 6.
(Исключена постановлением Правления Нац. Банка РК от 18 января 2007 г.
N 5
(вводится в действие по истечении 14 дней со дня гос. регистрации).
Глава 7. Заключительные положения
Сноска. Правила дополнены главой 7 постановлением Правления Нац. Банка РК от 18 января 2007 г. N 5 (вводится в действие по истечении 14 дней со дня гос. регистрации).
35. Проверка соблюдения пользователем платежной системы условий и требований, установленных настоящими Правилами, осуществляется в порядке, предусмотренном
Законом
Республики Казахстан "О Национальном Банке Республики Казахстан".