Что понимается под формулировкой операционная надежность киберустойчивость финансовых организаций

15.04.202220.04.2022 admin 0 Comments

Указание Банка России от 23.12.2020 N 5673-У «О требованиях к операционной надежности при совершении финансовых сделок с использованием финансовой платформы» (Зарегистрировано в Минюсте России 03.02.2021 N 62358)

Зарегистрировано в Минюсте России 3 февраля 2021 г. N 62358

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ

от 23 декабря 2020 г. N 5673-У

К ОПЕРАЦИОННОЙ НАДЕЖНОСТИ ПРИ СОВЕРШЕНИИ ФИНАНСОВЫХ СДЕЛОК

С ИСПОЛЬЗОВАНИЕМ ФИНАНСОВОЙ ПЛАТФОРМЫ

Настоящее Указание на основании части 1 статьи 12 Федерального закона от 20 июля 2020 года N 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы» (Собрание законодательства Российской Федерации, 2020, N 30, ст. 4737) устанавливает требования к операционной надежности при совершении финансовых сделок с использованием финансовой платформы.

Операторы финансовой платформы, не указанные в абзаце первом настоящего пункта, должны обеспечить пороговый уровень допустимого времени простоя и (или) деградации технологических процессов не более четырех часов подряд.

3. Операторы финансовой платформы должны определить во внутренних документах значения целевых показателей операционной надежности:

допустимого времени простоя и (или) деградации технологических процессов с учетом порогового уровня, установленного в пункте 2 настоящего Указания;

суммарного времени простоя и (или) деградации технологических процессов в течение календарного месяца;

показателя соблюдения режима работы (функционирования) финансовой платформы (времени начала, времени окончания, продолжительности и последовательности процедур, выполняемых на финансовой платформе с целью обеспечения возможности совершения финансовых сделок).

В случаях превышения допустимого времени простоя и (или) деградации технологических процессов, а также отклонения от допустимой доли деградации технологических процессов операторы финансовой платформы должны обеспечить фиксацию:

фактического времени простоя и (или) деградации технологических процессов, исчисляемого по каждому инциденту операционной надежности;

фактической доли деградации технологических процессов в рамках отдельного инцидента операционной надежности.

При определении времени простоя и (или) деградации технологических процессов в расчет не включаются периоды времени проведения плановых технологических операций, связанных с приостановлением (частичным приостановлением) технологических процессов.

4. Определение целевых показателей операционной надежности и обеспечение контроля за их соблюдением реализуется оператором финансовой платформы в рамках системы управления рисками.

Оператор финансовой платформы должен не реже одного раза в год проводить анализ необходимости пересмотра значений целевых показателей операционной надежности.

5. Требования к операционной надежности при совершении финансовых сделок с использованием финансовой платформы включают в себя:

требования к определению целевых показателей и обеспечению контроля за их соблюдением;

требования к операционной надежности в отношении управления изменениями критичной архитектуры;

требования к операционной надежности в отношении выявления, регистрации, реагирования на инциденты операционной надежности и восстановление выполнения технологических процессов и функционирования программно-аппаратных средств после реализации таких инцидентов;

требования к операционной надежности в отношении тестирования операционной надежности технологических процессов;

требования к операционной надежности в отношении обеспечения осведомленности об актуальных информационных угрозах;

5.1. Операторы финансовой платформы в отношении идентификации критичной архитектуры должны обеспечивать организацию учета и мониторинга следующих элементов критичной архитектуры:

технологических процессов, реализуемых непосредственно оператором финансовой платформы;

технологических процессов, реализуемых поставщиками услуг;

технологических участков (этапов) технологических процессов;

программно-аппаратных средств оператора финансовой платформы, задействованных при выполнении каждого технологического процесса;

программно-аппаратных средств поставщиков услуг, задействованных при выполнении технологических процессов;

каналов передачи информации, обрабатываемой и передаваемой в рамках технологических процессов участниками технологического процесса при взаимодействии с работниками оператора финансовой платформы.

5.2. Операторы финансовой платформы должны обеспечивать выполнение следующих требований к операционной надежности в отношении управления изменениями критичной архитектуры:

предотвращение возникновения уязвимостей в критичной архитектуре, с использованием которых могут реализоваться информационные угрозы, и которые могут повлечь превышение (отклонение от) значений целевых показателей операционной надежности;

планирование и внедрение изменений в критичной архитектуре, направленных на обеспечение бесперебойного функционирования программно-аппаратных средств;

управление конфигурациями программно-аппаратных средств;

управление уязвимостями и обновлениями (исправлениями) программно-аппаратных средств.

5.3. Операторы финансовой платформы должны обеспечивать выполнение следующих требований к операционной надежности в отношении выявления, регистрации, реагирования на инциденты операционной надежности и восстановление выполнения технологических процессов и функционирования программно-аппаратных средств после реализации таких инцидентов:

выявление и регистрацию инцидентов операционной надежности, в том числе обнаружение компьютерных атак и фактов воздействия вредоносного кода на программно-аппаратные средства;

реагирование на инциденты операционной надежности в отношении критичной архитектуры;

восстановление функционирования технологических процессов и программно-аппаратных средств после реализации инцидентов операционной надежности;

проведение анализа причин и последствий реализации инцидентов операционной надежности;

организацию взаимодействия между подразделениями оператора финансовой платформы, а также между оператором финансовой платформы и Банком России, иными участниками технологического процесса в рамках реагирования на инциденты операционной надежности и восстановления выполнения технологических процессов и функционирования программно-аппаратных средств после реализации инцидентов операционной надежности.

5.4. Операторы финансовой платформы должны обеспечивать выполнение следующих требований к операционной надежности в отношении взаимодействия с поставщиками услуг:

управление риском реализации информационных угроз при привлечении поставщиков услуг, в том числе защиту программно-аппаратных средств от возможной реализации информационных угроз, включая компьютерные атаки, со стороны поставщиков услуг;

управление риском технологической зависимости функционирования программно-аппаратных средств оператора финансовой платформы от поставщиков услуг;

предотвращение возможной реализации информационных угроз при сопровождении и техническом обслуживании программно-аппаратных средств оператора финансовой платформы поставщиками услуг.

5.5. Операторы финансовой платформы в отношении тестирования операционной надежности технологических процессов должны принимать организационные и технические меры, направленные на разработку сценарного анализа и проведение с использованием сценарного анализа тестирования готовности оператора финансовой платформы противостоять реализации информационных угроз в отношении критичной архитектуры.

5.6. Операторы финансовой платформы в отношении управления риском внутреннего нарушителя должны принимать организационные и технические меры в отношении субъектов доступа, являющихся работниками финансовой организации и работниками поставщиков услуг, привлекаемых в рамках выполнения технологических процессов, направленные на управление риском реализации информационных угроз, обусловленным возможностью несанкционированного использования предоставленных указанным субъектам доступа полномочий.

5.7. Операторы финансовой платформы должны обеспечивать выполнение следующих требований к операционной надежности в отношении обеспечения осведомленности об актуальных информационных угрозах:

организацию взаимодействия оператора финансовой платформы и иных участников технологического процесса при обмене информацией об актуальных сценариях реализации информационных угроз;

использование информации об актуальных сценариях реализации информационных угроз для цели обеспечения бесперебойного функционирования программно-аппаратных средств.

6. Оператор финансовой платформы должен обеспечить управление риском возникновения зависимости обеспечения операционной надежности от субъектов доступа, обладающих уникальными знаниями, опытом и компетенцией, а также защиту критичной архитектуры от возможной реализации информационных угроз при организации дистанционной работы работников.

7. Оператор финансовой платформы устанавливает в документах, определяющих правила управления рисками, связанными с деятельностью оператора финансовой платформы, описание процедур, направленных на реализацию требований к операционной надежности, установленных настоящим Указанием, включая:

определение и описание состава процедур, направленных на выполнение требований к операционной надежности;

определение организационной структуры оператора финансовой платформы, задействованной в выполнении требований к операционной надежности, в том числе обеспечивающее установление функций подразделений оператора финансовой платформы (в том числе в части принятия решений с учетом исключения конфликта интересов) и контроль за выполнением требований к операционной надежности в рамках порядка организации и осуществления оператором финансовой платформы внутреннего контроля;

выделение ресурсного обеспечения для выполнения требований к операционной надежности;

порядок утверждения и условия пересмотра процедур, направленных на выполнение требований к операционной надежности.

Оператор финансовой платформы обеспечивает планирование и реализацию требований к операционной надежности начиная с разработки и планирования внедрения технологических процессов.

8. В целях реализации требований к операционной надежности оператор финансовой платформы:

моделирует информационные угрозы в отношении критичной архитектуры;

планирует применение организационных и технических мер, направленных на реализацию требований к операционной надежности, на основе результатов оценки риска реализации информационных угроз в рамках системы управления рисками;

обеспечивает реализацию требований к операционной надежности на стадиях создания, эксплуатации (использования по назначению, технического обслуживания и ремонта), модернизации, снятия с эксплуатации программно-аппаратных средств;

обеспечивает контроль соблюдения требований к операционной надежности в отношении элементов критичной архитектуры.

Операторы финансовой платформы должны устанавливать во внутренних документах порядок регистрации инцидентов операционной надежности. По каждому инциденту операционной надежности операторы финансовой платформы должны обеспечивать регистрацию:

данных, используемых для фиксации превышения (отклонения от) значений установленных целевых показателей операционной надежности;

данных, позволяющих выявить причину превышения (отклонения от) значений установленных целевых показателей операционной надежности;

результата реагирования на инцидент операционной надежности.

9. Операторы финансовой платформы должны информировать Банк России:

о планируемых мероприятиях, включая выпуск пресс-релизов и проведение пресс-конференций, размещение информации на официальных сайтах в сети «Интернет», в отношении инцидентов операционной надежности не позднее одного рабочего дня до дня проведения мероприятия.

Операторы финансовой платформы должны предоставлять в Банк России указанные сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России. В случае возникновения технической невозможности взаимодействия операторов финансовой платформы с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России операторы финансовой платформы должны предоставлять в Банк России сведения с использованием резервного способа взаимодействия. Информация о технической инфраструктуре (автоматизированной системе) Банка России, резервном способе взаимодействия, форме и сроках направления сведений размещается на официальном сайте Банка России в сети «Интернет».

10. Настоящее Указание подлежит официальному опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 18 декабря 2020 года N ПСД-30) вступает в силу с 1 октября 2021 года.

Источник

Центробанк объявил нормативы киберустойчивости банков

Операционная надежность банков

Центральный банк (ЦБ) России представил для общественного обсуждения проект положения о требованиях по киберустойчивости, обязательных для исполнения всеми российскими банками. Документ, опубликованный на сайте ЦБ, в частности, определяет допустимое время простоя техпроцессов банка – в том числе, систем передачи персональной биометрии в единую биометрическую систему (ЕБС).

В проекте постановления приводится список параметров операционной надежности – идентификация критичной архитектуры; управление изменениями, конфигурациями и уязвимостями; выявление, регистрация, реагирование на инциденты информационных угроз и восстановление после их реализации; взаимодействие с поставщиками услуг, планирование непрерывности деятельности и тестирование операционной надежности; управление риском внутреннего нарушителя, обеспечение осведомленности об актуальных информационных угрозах.

Проект разработан на основе международного опыта организаций, образующих стандарты в финансовой сфере – таких как Комитет по платежам и рыночным инфраструктурам, Международная организация комиссий по ценным бумагам, Базельский комитет по банковскому надзору Банка международных расчетов и др., уточняется в пояснительной записке к документу.

Экспертные заключения в рамках общественного обсуждения проекта принимаются до 5 сентября 2021 г. Предполагаемый срок вступления документа в силу – 1 октября 2022 г.

Нормативы киберустойчивости банков

Согласно сформулированному в документе определению, под операционной надежностью понимается способность банка обеспечить непрерывность критически важных процессов с соблюдением показателей уровня операционного риска в случае отказа или сбоя оборудования, информационных, технологических и других систем, а также киберрисков по установленным ЦБ показателям.

По большинству сервисов банков устанавливается максимальное время простоя не более двух часов – в том числе, по открытию счетов, переводу средств, привлечению и размещению вкладов физических и юридических лиц, а также онлайн-сервисам дистанционного обслуживания банка. Такой же норматив устанавливается для сервиса идентификации или аутентификации с использованием биометрии физлиц, в том числе, без их личного присутствия.

Самые жесткие сроки простоя технологического процесса, обеспечивающего размещение и обновление персональной биометрии в ЕБС – не более получаса, устанавливаются для банков с активами от 500 млрд руб. и более. Для банков с универсальной лицензией и активами менее 500 млрд руб., а также для всех остальных банков и небанковских кредитных организаций, этот критерий составляет не более двух часов.

Продолжительность сбоя технологического процесса, который обеспечивает выполнение операций на финансовых рынках, не должна превышать 24 часа для банков любого размера, отмечается в документе.

В тексте также отмечена особая роль крупных российских банков с объемом активов более 500 млрд руб. в совместной с ЦБ организации реагирования на угрозы проведения целевых компьютерных атак. Таким банкам вменяется осуществление мер противодействия целевым компьютерным атакам, проведение моделирования сценариев компьютерных атак и плановых учений при возникновении угрозы целевых компьютерных атак, а также проведение внеплановой оценки защищенности критичной архитектуры и устранение выявленных недостатков.

Согласно проекту постановления, банкам также вменяется определить собственные сигнальные и контрольные значения целевых показателей операционной надежности, и не реже раза в год проводить анализ необходимости пересмотра этих показателей.

Кибербезопасность в российских банках

Проверка операторов, которые используют информсистемы на правах собственности и аренды, или которым принадлежат эти системы (Минобороны, Служба внешней разведки, ФСО и Главное управление специальных программ Президента), проводится по согласованию с руководителями указанных органов.

В октябре 2020 г. ЦБ впервые объявил о готовности стандартов открытых банковских интерфейсов (API), которые Открытые обеспечат бесшовный обмен данными о клиенте по единым для всех правилам взаимодействия и станут основой широкого спектра сервисов.

Предполагается, что разработанные Центробанком банковские API обеспечат передачу данных между инфосистемами различных компаний финансового рынка, при этом открытый характер API обеспечит снижение затрат и сроков ввода новых финансовых продуктов, упростит их развитие и масштабирование.

В январе 2019 г. CNews рассказал о законопроекте, позволяющем ЦБ России блокировать интернет-нарушителей законодательства в финансовой сфере. Документ предоставляет ЦБ полномочия по внесудебной блокировке сайтов, вводящих в заблуждение клиентов банков относительно принадлежности информации – в том числе, сайтов со сходным доменным именем, оформлением и содержанием.

Также под блокировку попадают сайты, связанные с предложением и предоставлением финансовых услуг лицами, не имеющими права их оказывать в соответствие с российским законодательством, и сайты, рекламирующие в интернете финансовые пирамиды.

Источник

Что понимается под формулировкой операционная надежность киберустойчивость финансовых организаций

Об актуальных изменениях в КС узнаете, став участником программы, разработанной совместно с АО «Сбербанк-АСТ». Слушателям, успешно освоившим программу выдаются удостоверения установленного образца.

Программа разработана совместно с АО «Сбербанк-АСТ». Слушателям, успешно освоившим программу, выдаются удостоверения установленного образца.

Обзор документа

Указание Банка России от 23 декабря 2020 г. № 5673-У “О требованиях к операционной надежности при совершении финансовых сделок с использованием финансовой платформы” (документ не вступил в силу)