Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств

Федеральный закон № 161-ФЗ «О национальной платёжной системе» и принятые в соответствии с ним нормативные правовые акты устанавливают ряд обязательных требований по защите информации, которые должны выполняться субъектами национальной платежной системы — операторами по переводу денежных средств, банковскими платёжными агентами (субагентами), операторами платёжных систем, операторами услуг платёжной инфраструктуры.

Эти требования устанавливают обязательные организационные и технические меры, которые должны реализовать субъекты национальной платёжной системы.

В соответствии с законодательством выполнение указанных требований должно быть оценено оператором (оценка соответствия) самостоятельно или с привлечением сторонних организаций не реже одного раза в два года, а также по требованию Банка России с предоставлением соответствующей формы отчётности в Банк России.

Организация, ставшая оператором по переводу денежных средств, оператором платёжной системы или оператором услуг платёжной инфраструктуры, должна провести первую оценку соответствия в течение шести месяцев после получения соответствующего статуса. Контроль соблюдения установленных требований осуществляется Банком России в рамках надзора в национальной платёжной системе. По результатам контроля операторы, не выполняющие требования Федерального закона «О национальной платежной системе», могут быть привлечены к административной ответственности в виде штрафов.

Эта услуга позволит:

• руководству организации получить объективную оценку степени выполнения обязательных требований законодательства по защите информации при осуществлении переводов денежных средств;
• подготовить необходимую отчётность о проведении оценки выполнения требований по обеспечению защиты информации для предоставления в Банк России;
• спланировать и выполнить в организации необходимые меры, направленные на совершенствование защиты информации при осуществлении переводов денежных средств в соответствии с требованиями законодательства, что позволит избежать претензий надзорных органов.

Критерии аудита

В качестве критериев аудита используются требования, установленные Федеральным законом «О национальной платёжной системе», а также требования принятых в соответствии с ним нормативных правовых актов, в том числе:

• Положение ЦБ РФ от 09 июня 2012 года № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».
• Указание ЦБ РФ от 09 июня 2012 года № 2831-У «Об отчётности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платёжных систем, операторов услуг платёжной инфраструктуры, операторов по переводу денежных средств».

Состав работ

• Разработка и согласование с заказчиком Плана проведения оценки соответствия.
• Сбор и анализ свидетельств аудита (в том числе интервьюирование представителей организации).
• Анализ документации организации и рабочих процессов в части функционирования платёжной системы и обеспечения безопасности информации.
• Анализ достаточности и уточнение полученных данных для оценки выполнения требований.
• Анализ полноты и эффективности реализуемых мер по защите информации по требованиям, устанавливаемым Положением №382-П, с заполнением расчётных таблиц.
• Расчёт значений обобщающих показателей и итогового показателя соответствия.
• Разработка и согласование с заказчиком отчётных материалов.

Результаты работ

• Отчёт по результатам оценки соответствия субъекта национальной платежной системы (организации, оператора, агента) требованиям к обеспечению защиты информации при осуществлении переводов денежных средств.
• Заключение о выполнении требований к обеспечению защиты информации при осуществлении переводов денежных средств по форме 0403202 Указания Банка России №2831-У.
• План по приведению в соответствие субъекта национальной платежной системы требованиям по защите информации (рекомендации по проведению организационно-технических мероприятий).

Выгоды от проведения работ

• Получение субъектом национальной платёжной системы объективных свидетельств соответствия требованиям законодательства по защите информации при осуществлении переводов денежных средств.
• Выполнение обязательных требований по предоставлению в Банк России отчётности о состоянии защиты информации при осуществлении переводов денежных средств.
• Формирование плана по приведению в соответствие субъекта национальной платёжной системы требованиям по защите информации.
• Снижение рисков предъявления претензий со стороны надзорных органов и административной ответственности за невыполнение требований законодательства.