НБУ встановив чіткі вимоги до учасників платіжного ринку щодо:
побудови системи захисту інформації та забезпечення кібербезпеки;
порядку дій під час виявлення кібератак, що знижують надійність функціонування платіжних систем.
Відповідні новації викладені в постанові НБУ від 19 травня 2021 року № 43 "Про затвердження Положення про захист інформації та кіберзахист в платіжних системах".
Постанова набирає чинності з 29 травня 2021 року, але учасники платіжного ринку матимуть перехідний період 12 місяців, щоб привести свою діяльність у відповідність до вимог цієї постанови.
Зокрема, вони мають розробити такі внутрішні документи:
1) політику інформаційної безпеки, що включає мету, завдання та загальні принципи забезпечення захисту інформації, кіберзахисту та інформаційної безпеки, перелік об'єктів, що підлягають захисту, моделі загроз та моделі порушників, основні положення щодо забезпечення захисту інформації, кіберзахисту та інформаційної безпеки, відповідальність за дотримання положень політики та контроль за її дотриманням;
2) документи, що визначають повноваження та відповідальність персоналу з питань забезпечення захисту інформації, кіберзахисту та інформаційної безпеки;
3) вимоги щодо захисту особистих ключів підписувачів від НСД;
4) методику відновлення та захисту критичних даних у разі втрати, компрометації чи пошкодження криптографічних ключів або носіїв критичних даних.
До критичних даних належать:
електронні документи на переказ;
паролі;
персональні дані;
архіви всіх цих даних;
5) вимоги до паролів.
Суб'єкт інформаційного захисту зобов'язаний забезпечити розміщення серверів, що використовуються для зберігання та оброблення електронних документів на переказ, персональних даних користувачів платіжних систем та архівів цих даних, у критичних приміщеннях. Перелік працівників суб'єкта інформаційного захисту, яким надається право постійного доступу до цих серверів, визначається відповідальною особою та затверджується керівником суб'єкта або його заступником. Доступ інших осіб до цих серверів надається за погодженням із відповідальною особою та в супроводі працівників, які мають право постійного доступу до цих серверів.
Також визначено вимоги до криптографічних засобів захисту інформації, мережевого захисту, фіксації кіберінцидентів тощо.
Контролюйте репутацію бізнесу в період кризи. Автосповіщення про згадки в медіа є у LIGA360: Керівник. Дізнавайтеся про всі переваги системи за посиланням.
