Положение 821-П

Объекты:

• банковские платежные агенты (субагенты) (БПА);
• операторы платежных систем (ОПС);
• операторы услуг информационного обмена (ОУИО);
• операторы услуг платежной инфраструктуры (ОУПИ);
• операторы электронных платформ (ОЭП);
• операторы по переводу денежных средств (ОПДС);
• поставщики платежных приложений (ППП).

Самое главное:

Положение 821-П устанавливает требования к обеспечению защиты информации для всех указанных участников национальной платежной системы (НПС) при осуществлении переводов денежных средств.

Ключевая цель — обеспечение указанными участниками НПС надежного и защищенного информационного контура для всей цепочки платежа с целью предотвращения несанкционированных операций и хищения денежных средств.

Также важная особенность – Положение 821-П устанавливает порядок осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств в рамках осуществляемого Банком России надзора в национальной платежной системе.

Используемые термины:

Банковский платежный агент (БПА) – юридическое лицо, не являющееся кредитной организацией, или индивидуальный предприниматель, которые привлекаются кредитной организацией в целях осуществления отдельных банковских операций.

Банковский платежный субагент (БПС) – юридическое лицо, не являющееся кредитной организацией, или индивидуальный предприниматель, которые привлекаются банковским платежным агентом в целях осуществления отдельных банковских операций.

Оператор платежной системы (ОПС) – организация, определяющая правила платежной системы, а также выполняющая иные обязанности, предусмотренные настоящим Федеральным законом.

Оператор по переводу денежных средств (ОПДС) – организация, которая в соответствии с законодательством Российской Федерации вправе осуществлять перевод денежных средств.

Оператор услуг информационного обмена (ОУИО) – организация, оказывающая операторам по переводу денежных средств на основании договоров услуги обмена информацией при осуществлении операций с использованием электронных средств платежа между операторами по переводу денежных средств и их клиентами и (или) между операторами по переводу денежных средств и иностранными поставщиками платежных услуг (далее - услуги информационного обмена). При этом оператором услуг информационного обмена не являются операционным центром и оператором связи.

Оператор услуг платежной инфраструктуры (ОУПИ) – операционный центр, платежный клиринговый центр и расчетный центр.

Оператор электронной платформы – оператор финансовой платформы, оператор информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператор обмена цифровых финансовых активов при оказании указанными операторами услуг расчетов по сделкам, совершенным с использованием электронной платформы, пользователям электронной платформы

Поставщик платежного приложения (ППП) – юридическое лицо, в том числе иностранная организация, предоставляющее на основании договора с оператором по переводу денежных средств платежное приложение для его применения клиентами оператора по переводу денежных средств.

Технологические участки (ТУ) – участки осуществления финансовых операций:

• идентификация, аутентификация и авторизация своих клиентов в целях осуществления финансовых операций;
• формирование (подготовка), передача и прием электронных сообщений;
• удостоверение права клиентов распоряжаться денежными средствами, ценными бумагами или иным имуществом;
• осуществление финансовой операции, учет результатов ее осуществления (при наличии учета);
• хранение электронных сообщений и информации об осуществленных финансовых операциях.

Информация, которую необходимо защищать:

ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП должны осуществлять защиту следующей информации:

• электронных сообщений;
• подготавливаемой, обрабатываемой и хранимой на ТУ идентификации, аутентификации и авторизации клиентов ОПДС при совершении действий в целях осуществления переводов денежных средств;
• обрабатываемой на ТУ формирования (подготовки), передачи и приема электронных сообщений;
• обрабатываемой на ТУ удостоверения права клиентов ОПДС распоряжаться денежными средствами;
• обрабатываемой на ТУ осуществления переводов денежных средств;
• учета результатов осуществления переводов денежных средств;
• обрабатываемой на ТУ хранения электронных сообщений и информации об осуществленных переводах денежных средств.

ОПДС, в частности, должен осуществлять защиту следующей информации:

• информации, в том числе составляющей банковскую тайну, содержащейся в документах, составленных при осуществлении банковских операций в электронном виде (далее - электронные сообщения), формируемых работниками кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы (далее соответственно - работники, филиалы иностранных банков), и (или) клиентами кредитных организаций, филиалов иностранных банков (далее - клиенты);
• информации, необходимой для авторизации клиентов при совершении действий в целях осуществления банковских операций и удостоверения права клиентов распоряжаться денежными средствами;
• информации об осуществленных банковских операциях;
• информации, связанной с приемом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля;
• ключевой информации средств криптографической защиты информации (далее - СКЗИ), в том числе средств электронной подписи, используемой при осуществлении банковских операций (далее - криптографические ключи).

БПА/БПС, в частности, должны осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях физических лиц, юридических лиц, индивидуальных предпринимателей и иных лиц, указанных в части 12 статьи 14 Федерального закона от 27 июня 2011 года № 161-ФЗ;
• Информация, содержащаяся в электронных сообщениях, передаваемых при взаимодействии банковских платежных агентов (субагентов) и операторов по переводу денежных средств, в том числе в электронных сообщениях, составленных банковскими платежными агентами (субагентами) от имени операторов по переводу денежных средств;
• Информация, содержащаяся в реестрах, сформированных на основе электронных сообщений (далее - реестр электронных сообщений) физических лиц, юридических лиц, индивидуальных предпринимателей и иных лиц, указанных в части 12 статьи 14 Федерального закона от 27 июня 2011 года № 161-ФЗ;
• Ключевая информация средств криптографической защиты информации (далее - СКЗИ), используемая при осуществлении обмена электронными сообщениями между банковскими платежными агентами (субагентами) и операторами по переводу денежных средств;
• Информация, используемая для идентификации, аутентификации и авторизации физических лиц при осуществлении доступа к системам дистанционного банковского обслуживания;
• Информация, содержащаяся в электронных сообщениях физических лиц;
• Информация, содержащаяся в электронных сообщениях, передаваемых при взаимодействии банковских платежных агентов (субагентов) и операторов по переводу денежных средств, в том числе при подтверждении права физических лиц получать наличные денежные средства;
• Информация об осуществленных операциях по выдаче наличных денежных средств физических лиц;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между банковскими платежными агентами (субагентами) и операторами по переводу денежных средств.

БПА ПА, в частности, должен осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях при обеспечении приема электронных средств платежа банковскими платежными агентами, осуществляющими операции платежного агрегатора;
• Информация, содержащаяся в электронных сообщениях, направляемых банковскими платежными агентами, осуществляющими операции платежного агрегатора, операторам по переводу денежных средств, операторам услуг информационного обмена;
• Информация, содержащаяся в реестрах электронных сообщений при обеспечении приема электронных средств платежа банковскими платежными агентами, осуществляющими операции платежного агрегатора;
• Информация об осуществленных операциях по переводу денежных средств;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между банковскими платежными агентами, осуществляющими операции платежного агрегатора, операторами по переводу денежных средств, операторами услуг информационного обмена.

ОУИО, в частности, должен осуществлять защиту следующей информации:

• Информация, используемая для идентификации, аутентификации и авторизации клиентов операторов по переводу денежных средств при осуществлении переводов денежных средств;
• Информация, содержащаяся в электронных сообщениях клиентов операторов по переводу денежных средств;
• Информация, содержащаяся в электронных сообщениях, обмен которыми осуществляется при взаимодействии операторов услуг информационного обмена с операторами по переводу денежных средств, клиентами операторов по переводу денежных средств;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами услуг информационного обмена, операторами по переводу денежных средств, клиентами операторов по переводу денежных средств;
• Информация об осуществлении перевода денежных средств, содержащаяся в реестрах электронных сообщений клиентов операторов по переводу денежных средств;
• Информация, используемая для удостоверения права клиентов операторов по переводу денежных средств распоряжаться денежными средствами;
• Информация об осуществленных переводах денежных средств;
• Информация, содержащаяся в электронных сообщениях иностранных поставщиков платежных услуг;
• Информация, содержащаяся в электронных сообщениях, обмен которыми осуществляется при взаимодействии операторов услуг информационного обмена с иностранными поставщиками платежных услуг;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами услуг информационного обмена и иностранными поставщиками платежных услуг;
• Информация, содержащаяся в реестрах электронных сообщений иностранных поставщиков платежных услуг;
• Информация, используемая для удостоверения права клиентов операторов по переводу денежных средств распоряжаться денежными средствами;
• Информация об осуществленных переводах денежных средств.

ОУПИ ОЦ, в частности, должен осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях операторов по переводу денежных средств, направленных ОЦ или полученных от ПКЦ, РЦ;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами по переводу денежных средств, ОЦ, ПКЦ, РЦ.

ОУПИ ПКЦ, в частности, должен осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях операторов по переводу денежных средств, направленных ПКЦ или полученных от ОЦ;
• Информация о платежных клиринговых позициях;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами по переводу денежных средств, ОЦ, ПКЦ;
• Информация, содержащаяся в электронных сообщениях ОЦ, ПКЦ по осуществлению операций по банковским (корреспондентским) счетам участников платежной системы;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между ОЦ, ПКЦ;
• Информация об осуществленных операциях по переводу денежных средств;
• Информация, содержащаяся в электронных сообщениях ОЦ, ПКЦ по осуществлению операций по банковским (корреспондентским) счетам участников платежной системы;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами по переводу денежных средств, ОЦ.

ОУПИ РЦ, в частности, должен осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях ОЦ, ПКЦ по осуществлению операций по банковским (корреспондентским) счетам операторов по переводу денежных средств;
• Информация, содержащаяся в электронных сообщениях при взаимодействии РЦ с ОЦ и ПКЦ;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между ОЦ, РЦ;
• Информация об осуществленных операциях по переводу денежных средств.

ОЭП, в частности, должен осуществлять защиту следующей информации:

• Информация, содержащаяся в электронных сообщениях, направляемых операторами электронных платформ в рамках перевода денежных средств по номинальному счету;
• Информация об осуществленных операциях по переводу денежных средств по номинальному счету;
• Ключевая информация СКЗИ, используемая при осуществлении обмена электронными сообщениями между операторами электронных платформ и операторами по переводу денежных средств.

Если защищаемая информация содержит персональные данные (ПДн), то ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП должны применять меры по обеспечению безопасности ПДн при их обработке в соответствии со статьей 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Обеспечение защиты информации с помощью средств криптографической защиты информации (СКЗИ) ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП должны осуществлять в соответствии с технической документацией на СКЗИ, а также федеральными законами и нормативными правовыми актами РФ:

• Федеральным законом от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи»;
• Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
• Постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказом Федеральной службы безопасности Российской Федерации от 9 февраля 2005 года № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)»;
• Приказом Федеральной службы безопасности Российской Федерации от 10 июля 2014 года № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».

Если ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП применяют СКЗИ российского производства, СКЗИ должны иметь сертификаты соответствия ФСБ.

ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП должны осуществлять защиту информации в отношении эксплуатируемых автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования в соответствии с требованиями национального стандарта РФ ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер».

При обеспечении безопасности автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования, эксплуатация и использование которых обеспечиваются при осуществлении финансовых операций ОПДС, БПА (БПС), ОУИО, ОУПИ, ОЭП и которые являются объектами критической информационной инфраструктуры РФ, Положение 821-П применяется наряду с требованиями ФЗ от 26 июля 2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

Определение уровня защиты информации:

Обеспечивать усиленный уровень защиты информации должны:

• ОУПИ, оказывающие услуги платежной инфраструктуры в рамках системно значимых платежных систем;
• ОУПИ, ставшие ОУПИ, оказывающими услуги платежной инфраструктуры в рамках системно значимых платежных систем (должны реализовать усиленный уровень защиты информации не позднее восемнадцати месяцев с этого момента);
• ОУИО, в случае принятия им решения о повышении уровня защиты информации на основе анализа рисков;
• БПА/БПС, в случае принятия им решения о повышении уровня защиты информации на основе анализа рисков.

Обеспечивать стандартный уровень защиты информации должны:

• ОУИО;
• ОУПИ, которые не оказывают услуги платежной инфраструктуры в рамках системно значимых платежных систем;
• БПА/БПС, в случае принятия им решения о повышении уровня защиты информации на основе анализа рисков.

Обеспечивать минимальный уровень защиты информации должны:

• БПА/БПС.

Дополнительная информация предоставлена в таблице 1.

Таблица 1. Обеспечение уровня ЗИ, уровня соответствия ЗИ, периодичность оценки соответствия

Применение технологических мер защиты информации:

БПА/БПС, ОУИО, ОУПИ, ОЭП должны применять технологические меры для обеспечения защиты информации при совершении операций, связанных с осуществлением переводов денежных средств:

1. Реализация механизма идентификации, аутентификации и авторизации клиентов операторов по переводу денежных средств при совершении ими действий в целях осуществления переводов денежных средств.
2. Реализация механизма двухфакторной аутентификации клиентов операторов по переводу денежных средств при совершении ими действий в целях осуществления переводов денежных средств.
3. Применение механизмов и (или) протоколов формирования и обмена электронными сообщениями, обеспечивающих защиту электронных сообщений от искажения, фальсификации, переадресации, несанкционированного ознакомления и (или) уничтожения, ложной авторизации, в том числе аутентификацию входящих электронных сообщений.
4. Взаимная (двухсторонняя) аутентификация участников обмена средствами вычислительной техники операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, операторов услуг платежной инфраструктуры, клиентов операторов по переводу денежных средств.
5. Использование электронной подписи в соответствии с Федеральным законом от 6 апреля 2011 года № 63-ФЗ.
6. Использование усиленной электронной подписи в целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом.
7. Получение подтверждения от оператора по переводу денежных средств права клиента оператора по переводу денежных средств распоряжаться денежными средствами.
8. Проверка соответствия (сверка) результатов осуществления операций, связанных с переводом денежных средств, с информацией, содержащейся в электронных сообщениях.
9. Реализация мер, направленных на проверку правильности формирования (подготовки) электронных сообщений (двойной контроль).
10. Обеспечение хранения защищаемой информации, информации о событиях, подлежащих регистрации, информации об инцидентах защиты информации в течение пяти лет с даты формирования информации в неизменном виде.
11. Восстановление защищаемой информации в случае умышленного или случайного разрушения либо выхода из строя средств вычислительной техники.

Необходимость применения определенных технологических мер по обеспечению защиты информации, которые должны применяться БПА/БПС, ОУИО, ОУПИ, ОЭП, представлена в приложении 1 настоящего Описания.

Некоторые возможные риски несоблюдения требований 821-П:

1. Административные и финансовые санкции со стороны Банка России.

Основание: Статья 15.26.1 КоАП РФ «Нарушение кредитной организацией требований законодательства в области противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также в области защиты информации». Несоблюдение 851-П может быть квалифицировано как нарушение требований в области защиты информации.

Риски: Наложение крупных штрафов на организацию и должностных лиц (сотни тысяч – миллионы рублей), предписание об устранении нарушений, запрет на осуществление отдельных операций.

2. Отзыв (аннулирование) лицензии на осуществление банковских операций.

Основание: Федеральный закон № 395-1 «О банках и банковской деятельности» (ст. 20). Систематическое или грубое нарушение требований нормативных актов Банка России, в том числе в области ИБ и защиты прав потребителей (клиентов), является основанием для отзыва лицензии.

Риски: Прекращение деятельности, исключительные репутационные потери, банкротство КО.

3. Гражданско-правовая ответственность перед клиентами и репутационные потери.

Основание: Гражданский кодекс РФ, Федеральный закон № 161-ФЗ «О национальной платежной системе». Если в результате недостатков в системе защиты будет доказана вина банка в осуществлении несанкционированного перевода, банк обязан возместить клиенту сумму потери.

Риски: Прямые финансовые убытки от возврата средств, судебные издержки, компенсация морального вреда. Невозвратимый ущерб деловой репутации, отток клиентов, падение стоимости бизнеса.

4. Нарушение законодательства о персональных данных.

Основание: Федеральный закон № 152-ФЗ «О персональных данных», КоАП РФ (ст. 13.11). Компрометация данных аутентификации клиентов приравнивается к нарушению безопасности ПДн.

Риски: Отдельные административные штрафы со стороны Роскомнадзора (до сотен тысяч рублей для должностных лиц, до миллионов — для юридических), возможное приостановление обработки ПДн.

Приложение 1. Технологические меры по обеспечению защиты информации при осуществлении переводов денежных средств