К обеспечению информационной безопасности банков, организаций предъявляются следующие требования:
- требования к организации системы управления информационной безопасностью;
- требования к категорированию информационных активов банка, организации;
- требования к организации доступа к информационным активам банка, организации;
- требования к обеспечению безопасности цифровой инфраструктуры;
- требования к средствам криптографической защиты информации;
- требования к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации;
- требования к проведению внутренних проверок состояния информационной безопасности;
- требования к процессам системы управления информационной безопасностью.
Предусмотрено, что первый руководитель банка, организации обеспечивает создание, функционирование и улучшение системы управления информационной безопасностью, являющейся частью общей системы управления банка, организации, предназначенной для управления процессом обеспечения информационной безопасности.
Система управления информационной безопасностью обеспечивает защиту информационных активов банка, организации, предусматривающую минимальный уровень потенциального ущерба для бизнес-процессов банка, организации.
Банк, организация обеспечивают надлежащий уровень системы управления информационной безопасностью, ее развитие и улучшение.
Участниками системы управления информационной безопасностью банка, организации являются:
- орган управления;
- исполнительный орган;
- коллегиальный орган, уполномоченный принимать решения по задачам обеспечения информационной безопасности;
- подразделение по информационной безопасности;
- подразделение по цифровым технологиям;
- подразделение по безопасности;
- подразделение по работе с персоналом;
- юридическое подразделение;
- подразделение по комплаенс-контролю;
- подразделение внутреннего аудита;
- подразделение по управлению рисками информационной безопасности.
Банк, организация при создании и функционировании системы управления информационной безопасностью обеспечивают независимость подразделения по информационной безопасности и подразделения по цифровым технологиям посредством их подчинения разным членам исполнительного органа банка, организации или напрямую руководителю исполнительного органа банка, организации.
Орган управления банка, организации утверждает политику информационной безопасности, которая определяет:
- цели, задачи и основные принципы построения системы управления информационной безопасностью;
- область действия системы управления информационной безопасностью;
- требования к управлению доступом к создаваемой, хранимой и обрабатываемой информации в информационных активах банка, организации;
- требования к осуществлению мониторинга деятельности по обеспечению информационной безопасности и мероприятий по выявлению и анализу угроз, противодействию атакам и расследованию инцидентов информационной безопасности;
- требования к осуществлению сбора, консолидации и хранения информации об инцидентах информационной безопасности;
- требования к проведению анализа информации об инцидентах информационной безопасности;
- ответственность работников банка, организации за обеспечение информационной безопасности при исполнении возложенных на них функциональных обязанностей.
Орган управления банка, организации при формировании бюджета учитывает потребности в ресурсах для обеспечения информационной безопасности банка, организации.
Указывается, что орган управления банка, организации утверждает перечень защищаемой информации, включающий в том числе информацию о сведениях, составляющих служебную, коммерческую или иную охраняемую законом тайну, и порядок работы с защищаемой информацией.
Исполнительный орган банка, организации утверждает внутренние документы, регламентирующие процесс управления информационной безопасностью, порядок и периодичность пересмотра которых определяется внутренними документами банка, организации.
Банк, организация создают коллегиальный орган, в состав которого входят представители подразделения по информационной безопасности, подразделения по управлению рисками информационной безопасности, подразделения по цифровым технологиям, а также по решению руководителя коллегиального органа банка, организации представители иных подразделений банка, организации или возлагают на исполнительный орган функции коллегиального органа при соответствии исполнительного органа требованиям к составу коллегиального органа, указанным в настоящем пункте.
Руководитель коллегиального органа банка, организации назначается решением уполномоченного органа банка, организации в порядке, установленном внутренними документами банка, организации.
Подразделение по информационной безопасности в целях обеспечения конфиденциальности, целостности и доступности информации банка, организации осуществляет следующие функции:
- организует систему управления информационной безопасностью, осуществляет координацию и контроль деятельности подразделений банка, организации по обеспечению информационной безопасности и мероприятий по выявлению и анализу угроз, противодействию атакам и расследованию инцидентов информационной безопасности;
- разрабатывает политику информационной безопасности банка, организации;
- обеспечивает методологическую поддержку процесса обеспечения информационной безопасности банка, организации;
- осуществляет выбор, внедрение и применение методов, средств и механизмов управления, обеспечения и контроля информационной безопасности банка, организации в рамках своих полномочий;
- осуществляет сбор, консолидацию, хранение и обработку информации об инцидентах информационной безопасности;
- осуществляет анализ информации об инцидентах информационной безопасности;
- подготавливает предложения для принятия коллегиальным органом решений по вопросам информационной безопасности;
- обеспечивает внедрение, надлежащее функционирование программно-технических средств, автоматизирующих процесс обеспечения информационной безопасности банка, организации, а также предоставление доступа к ним;
- определяет требования информационной безопасности по использованию привилегированных учетных записей;
- обеспечивает проведение мероприятий по повышению осведомленности работников банка, организации в области информационной безопасности;
- осуществляет мониторинг состояния системы управления информационной безопасностью банка, организации;
- осуществляет информирование руководства банка, организации о состоянии системы управления информационной безопасностью банка, организации.
Также говорится, что банк, организация определяют возможность возложения на подразделение по информационной безопасности функций по обеспечению технической безопасности. Подразделение по информационной безопасности не осуществляет функции, влекущие конфликт интересов с их основными функциями, в том числе функции по противодействию мошенничеству.
Подразделение по цифровым технологиям осуществляет следующие функции:
- разрабатывает и поддерживает актуальность схемы цифровой инфраструктуры банка, организации;
- обеспечивает предоставление доступа работникам банка, организации, использующим информационные активы банка, организации к информационным активам банка, организации, за исключением специализированных информационных активов, доступ к которым предоставляется ИТ-менеджерами цифровых систем, не относящимися к подразделению по цифровым технологиям;
- обеспечивает формирование типовых настроек и конфигурирование системного и прикладного программного обеспечения банка, организации с учетом требований информационной безопасности;
- обеспечивает исполнение требований по непрерывности функционирования цифровой инфраструктуры, конфиденциальности, целостности и доступности данных цифровых систем банка, организации (включая резервирование или архивирование и резервное копирование информации) в соответствии с внутренними документами банка, организации;
- обеспечивает соблюдение требований информационной безопасности при выборе, внедрении, разработке и тестировании цифровых систем.
Подразделение по безопасности осуществляет следующие функции:
- реализует меры физической и технической безопасности в банке, организации, в том числе организует пропускной и внутриобъектовый режим;
- проводит профилактические мероприятия, направленные на минимизацию рисков возникновения угроз информационной безопасности при приеме на работу и увольнении работников банка, организации.
Подразделение по работе с персоналом осуществляет следующие функции:
- обеспечивает подписание работниками банка, организации, а также лицами, привлеченными к работе по договору об оказании услуг, стажерами, практикантами обязательств о неразглашении конфиденциальной информации;
- участвует в организации процесса повышения осведомленности работников банка, организации в области информационной безопасности.
- уведомляет уполномоченный орган о приеме на работу или расторжении трудовых отношений с работниками подразделения по информационной безопасности банка, организации в срок не позднее трех рабочих дней посредством цифрового объекта уполномоченного органа, предназначенной для обработки информации о событиях и инцидентах информационной безопасности или на бумажном носителе официальным письмом банка, организации.
Юридическое подразделение осуществляет правовую экспертизу внутренних документов банка, организации по вопросам обеспечения информационной безопасности.
Подразделение по комплаенс-контролю совместно с юридическим подразделением банка, организации определяет виды информации, подлежащие включению в перечень защищаемой информации.
Подразделение внутреннего аудита проводит оценку состояния системы управления информационной безопасностью банка, организации в соответствии с внутренними документами банка, организации, регламентирующими организацию системы внутреннего аудита банка, организации.
Подразделение по управлению рисками информационной безопасности банка, организации осуществляет функции в соответствии с внутренними документами банка, организации.
Руководители структурных подразделений банка, организации:
- обеспечивают ознакомление работников с внутренними документами банка, организации, содержащими требования к информационной безопасности;
- несут персональную ответственность за обеспечение информационной безопасности в возглавляемых ими подразделениях;
- обеспечивают заключение соглашений о неразглашении конфиденциальной информации и включение условий об обеспечении информационной безопасности в соглашения, договоры на оказание услуг/выполнение работ в случаях, когда подразделение банка, организации выступает инициатором заключения таких соглашений, договоров.
Бизнес-владельцы цифровых систем или подсистемы:
- отвечают за соблюдение требований к информационной безопасности при создании, внедрении, модификации, эксплуатации цифровых систем и предоставлении продуктов и услуг клиентам и подразделениям банка, организации, а также при интеграции цифровых систем с внешними цифровыми системами, включая цифровые системы государственных органов;
- формируют и поддерживают актуальность матриц доступа к цифровым системам.
Работники структурных подразделений банка, организации:
- отвечают за соблюдение требований к информационной безопасности, принятых в банке, организации;
- контролируют исполнение требований к информационной безопасности третьими лицами, с которыми они взаимодействуют в рамках своих функциональных обязанностей, в том числе путем включения указанных требований в соглашения, договоры с третьими лицами;
- извещают своего непосредственного руководителя и подразделение по информационной безопасности обо всех подозрительных ситуациях и нарушениях при работе с информационными активами банка, организации.
В случае, если отдельные функции обеспечения информационной безопасности банка, организации переданы сторонним организациям, член исполнительного органа, курирующий вопросы информационной безопасности, является ответственным за обеспечение информационной безопасности банка, организации.
Предусмотрено, что банк, организация ежегодно, не позднее 10 января года, следующего за отчетным годом, представляют в уполномоченный орган информацию о состоянии системы управления информационной безопасностью и ее соответствии Требованиям (информация о СУИБ).
Информация о СУИБ включает сведения о (об):
- области действия системы управления информационной безопасностью банка, организации и ее участниках с указанием соответствия их функционала Требованиям;
- наличии документов, регламентирующих создание и функционирование системы управления информационной безопасностью;
- наличии и количественном составе программно-технических средств, используемых для обеспечения информационной безопасности;
- имеющихся в договорах о предоставлении услуг, заключенных с операторами связи, условий и обязательств по обеспечению информационной безопасности;
- наличии, материально-технической обеспеченности и готовности резервных центров обработки данных;
- проведенных мероприятиях по приведению системы управления информационной безопасностью и информационных активов банка, организации в соответствие с Требованиями.
Уполномоченный орган осуществляет оценку соответствия банка, организации Требованиям не реже одного раза в три года.
Также утверждены требования к обеспечению безопасности цифровой инфраструктуры, к средствам криптографической защиты информации, к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации и т.д.
Постановление вводится в действие с 15 ноября 2026 года.