Дорожный атлас банковской службы ИБ

К чему банк должен быть готов с 01.07.2018

(161-ФЗ[1]: статья 27, п.3) Обеспечить защиту информации при осуществлении переводов денежных средств в соответствии с требованиями (382-П[2]), установленными Банком России.

(382-П: абзац 2, пп. 2.5.5.1, п. 2.5) Ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.

(382-П: пп. 2.15.2, п. 2.15) Обеспечить проведение оценки соответствия не реже одного раза в два года, а также по требованию Банка России.

Организация, ставшая оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести первую оценку соответствия в течение 6 месяцев после получения соответствующего статуса.

(382-П: абзац 2 и 3, пп. 2.13.(1)) Информировать Банк России, а именно Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ), об инцидентах ИБ, а также о планируемых мероприятиях по раскрытию информации об инцидентах.

(382-П: пп. 2.8.3, п. 2.8) Установка ограничений на основании заявления клиента по параметрам операций, которые могут осуществляться клиентом с использованием системы Интернет-банкинга.

(382-П: абзац 1, пп. 2.9.1, п. 2.9) Если принимается решение, что защита ПДн будет обеспечиваться с помощью СКЗИ, то применение средств защиты должно соответствовать 378-му приказу ФСБ.

Ответы Банка России на вопросы банков, связанные с исполнением новых требований в Законе № 161-ФЗ*, внесенных Законом № 167-ФЗ**

* Федеральный закон от 27.06.2011 № 161-ФЗ ”О национальной платежной системе”.

** Федеральный закон от 27.06.2018 № 167-ФЗ “О внесении изменений в отдельные законодательные акты Российской Федерации в части противодействия хищению денежных средств”.

 Вопрос

1. Распространяются ли требования Закона № 167-ФЗ на следующие виды операций:

— операции, совершенные без использования электронного средства платежа?

— операции в Интернете с использованием банковской карты?

— любые операции с использованием банковских карт, включая операции покупки и оплаты услуг?

— операции с использованием любых электронных средств платежа?

— операции снятия наличных?

— р2р-операции?

— операции в финансовых институтах (т.н. операции Quasi cash)?

Алгоритм действий банка в случае инцидентов в ДБО согласно закону РФ от 27 июня 2018 №167-ФЗ

Согласно закону РФ от 27 июня 2018 № 167-ФЗ, в закон от 27 июня 2011 года №161-ФЗ "О национальной платежной системе" внесен ряд изменений (вступают в силу спустя 90 дней с момента опубликования). Таким образом, с 26 сентября 2018 года, согласно закону РФ № 167-ФЗ, банки должны будут оценивать риски несанкционированных переводов денежных средств и разрабатывать свои критерии таких переводов*. Банк России, в свою очередь, должен опубликовать критерии определения потенциально мошеннических операций**.