Указание ЦБ №6653-У от 09.01.2024 «О внесении изменений в Положение Банка России от 27.10.2020 № 738-П»

Указание Центрального банка Российской Федерации от 09.01.2024 № 6653-У «О внесении изменений в Положение Банка России от 27.10.2020 № 738-П “О порядке обеспечения бесперебойности функционирования платежной системы Банка России”»

Суть

В Положение Банка России от 27.10.2020 № 738-П добавлена обязанность Банка России по осуществлению идентификации рисков ИБ не реже одного раза в год, дополнен структурными подразделениями Банка России перечень субъектов, обеспечивающих управления рисками в ПС, уточнены обязанности работников, добавлены дополнительные мероприятия в целях мониторинга уровня риска ИБ в ПС.

Ссылки

• Сайт Центрального банка Российской Федерации
• Сохранённый текст в формате PDF
• Гарант

Обзоры документа

Аналитический центр УЦСБ

Официально опубликовано указание Банка России от 09.01.2024 № 6653-У «О внесении изменений в Положение Банка России от 27.10.2020 № 738-П «О порядке обеспечения бесперебойности функционирования платежной системы (далее – ПС) Банка России».

В Положение вносятся следующие изменения:

1. Добавлена обязанность Банка России по осуществлению идентификации рисков информационной безопасности (далее – ИБ) не реже одного раза в год.
2. Перечень субъектов, обеспечивающих управления рисками в ПС дополнен структурными подразделениями Банка России, ответственными за:
   • определение требований к защите информации в ПС;
   • организацию и осуществление контроля за соблюдением требований к защите информации в ПС.
3. Уточнены обязанности работников. Так работникам:
   • определяющим требования к защите информации необходимо:
     • проводить мониторинг риска ИБ в ПС;
     • предоставлять риск-координаторам бизнес-процесса результаты мониторинга риска ИБ в ПС;
     • разрабатывать и представлять риск-координаторам бизнес-процесса сценарии плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановления деятельности (далее – ОНиВД) в отношении инцидентов защиты информации в ПС;
   • осуществляющим контроль за соблюдением требований к защите информации необходимо:
     • организовать контроль за соблюдением требований к защите информации в ПС;
     • организовать проведение оценки соответствия текущего уровня защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирования ПС, уровням, определенным п. 6 раздела 6 ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер»;
     • проводить мониторинг уровня риска ИБ в ПС;
     • предоставлять риск-координаторам бизнес-процесса результаты мониторинга уровня риска ИБ в ПС;
     • разрабатывать и предоставлять риск-координаторам бизнес-процесса сценарии плана ОНиВД в отношении инцидентов защиты информации;
     • организовывать применение ответных мер в отношении инцидентов защиты информации ПС;
     • информировать структурное подразделение Банка России, ответственное за определение требований к защите информации в ПС, риск-координаторов бизнес-процесса о выявленных инцидентах защиты информации.
4. Добавлены дополнительные мероприятия в целях мониторинга уровня риска ИБ в ПС:
   • оценка соответствия текущего уровня защиты информации объектов информационной инфраструктуры, обеспечивающих функционирование ПС:
     • Банка России;
     • операционного и платежного клирингового центра внешней ПС;
   • оценка выполнения требований:
     • к защите информации в соответствии с положением Банка России от 25.07.2022 № 802-П «О требованиях к защите информации в платежной системе Банка России»;
     • обязательных для работников структурных подразделений Банка России.

Указание вступает в силу с 1 октября 2024 года. Пункт, описывающий порядок оценки влияния на бесперебойность функционирования ПС Банка России каждого инцидента, вступает в силу с 1 октября 2026 года.

Гарант ПРАЙМ

Банк России скорректировал порядок обеспечения бесперебойности функционирования своей платежной системы (ПС).

В частности, дополнен перечень субъектов организационной структуры, обеспечивающих бесперебойность функционирования ПС. Уточнены их обязанности. Идентификация значимых рисков должна осуществляться не реже одного раза в год. Приведена формула для расчета недополученных распоряжений в сервисе быстрых платежей.

В целях мониторинга уровня риска информационной безопасности в ПС должны предусматриваться дополнительные мероприятия. Приведен их перечень. Определены критерии отнесения риск-событий, реализовавшихся при оказании услуг платежной инфраструктуры, к риск-событиям приостановления оказания таких услуг. Ряд поправок касается защиты информации, проведения самооценки и организации процедур управления рисками в ПС.

Указание вступает в силу с 1 октября 2024 г., за исключением отдельного положения.

Текст документа

Быстрый просмотр сохранённой копии