{Постанова втратила чинність на підставі Постанови Національного банку № 829 від 26.11.2015}

Про затвердження Правил організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України

{Із змінами, внесеними згідно з Постановою Національного банку
№ 439 від 07.07.2015}

Відповідно до статті 7 Закону України "Про Національний банк України", з метою підвищення рівня захисту інформації в банках України, їх філіях, установах Державного казначейства України, державних установах, небанківських установах, які використовують засоби захисту інформації Національного банку України, та у зв'язку з упровадженням нових інформаційних технологій Правління Національного банку України ПОСТАНОВЛЯЄ:

1. Затвердити Правила організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України (додаються).

2. Визнати такою, що втратила чинність:

постанову Правління Національного банку України від 10.06.99 № 280 "Про затвердження Правил організації захисту електронних банківських документів", зареєстровану в Міністерстві юстиції України 30.08.99 за № 583/3876 (із змінами).

3. Департаменту інформатизації (А.С.Савченко) після державної реєстрації в Міністерстві юстиції України довести зміст цієї постанови до відома Центральної розрахункової палати, територіальних управлінь Національного банку України, банків України, їх філій, установ Державного казначейства України, інших органів державної влади, небанківських установ, які використовують засоби захисту інформації Національного банку України, для застосування в роботі.

4. Постанова набирає чинності через 10 днів після державної реєстрації в Міністерстві юстиції України.

5. Контроль за виконанням цієї постанови покласти на заступника Голови Національного банку України П.М. Сенища.

ПРАВИЛА
організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України

{У тексті Правил слова "територіальне управління/Центральна розрахункова палата Національного банку" у всіх відмінках замінено словами "регіональний підрозділ Департаменту інформаційної безпеки" у відповідних відмінках згідно з Постановою Національного банку № 439 від 07.07.2015}

Глава 1. Загальні положення

1.1. Ці Правила розроблені відповідно до статті 7 Закону України "Про Національний банк України", статті 66 Закону України "Про банки і банківську діяльність", Законів України "Про платіжні системи та переказ коштів в Україні", "Про електронні документи та електронний документообіг", "Про захист інформації в інформаційно-телекомунікаційних системах" і нормативно-правових актів Національного банку України (далі - Національний банк).

1.2. У тексті Правил скорочення вживаються в такому значенні:

АКЗІ - апаратура криптографічного захисту інформації;

АРМ - автоматизоване робоче місце;

АРМ бухгалтера САБ - автоматизоване робоче місце САБ, на якому здійснюється формування файлів/онлайнових пакетів, які містять початкові платежі СЕП;

{Абзац п'ятий пункту 1.2 глави 1 виключено на підставі Постанови Національного банку № 439 від 07.07.2015}

АРМ-НБУ - автоматизоване робоче місце АРМ-НБУ-інформаційний з програмними засобами захисту інформації, яке призначене для роботи в інформаційних задачах Національного банку;

АС - автоматизована система;

ВК - відкритий ключ;

ГМД - гнучкий магнітний диск;

ЕЦП - електронний цифровий підпис;

засоби захисту - засоби захисту інформації Національного банку;

інформаційні задачі - програмно-технічні комплекси автоматизації банківської діяльності, які забезпечують оброблення та передавання інформації, що не належить до платіжної та технологічної інформації СЕП, з використанням засобів захисту інформації Національного банку між банками України, їх філіями, Національним банком, органами державної влади і небанківськими організаціями;

{Абзац одинадцятий пункту 1.2 глави 1 в редакції Постанови Національного банку № 439 від 07.07.2015}

ПЕОМ - персональна електронна обчислювальна машина;

ПМГК - програмний модуль генерації ключів;

регіональний підрозділ Департаменту інформаційної безпеки - структурний підрозділ Департаменту інформаційної безпеки, працівники якого мають робочі місця в територіальних управліннях Національного банку за місцем розташування організації;

{Пункт 1.2 глави 1 доповнено новим терміном згідно з Постановою Національного банку № 439 від 07.07.2015}

ТК - таємний ключ;

САБ - система автоматизації банку;

СЕП - система електронних платежів Національного банку;

{Абзац шістнадцятий пункту 1.2 глави 1 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

система захисту інформації Національного банку (далі - система захисту) - сукупність методів і засобів, що включає апаратно-програмні, програмні засоби захисту, ключову інформацію та систему розподілу ключової інформації, технологічні засоби контролю та організаційні заходи;

{Пункт 1.2 глави 1 доповнено новим терміном згідно з Постановою Національного банку № 439 від 07.07.2015}

СК - смарт-картка;

сувора автентифікація - ідентифікація кожного користувача за ознакою володіння своїм секретним ключем;

{Пункт 1.2 глави 1 доповнено новим терміном згідно з Постановою Національного банку № 439 від 07.07.2015}

ТВК - таблиця відкритих ключів.

Інші терміни та скорочення, що вживаються в цих Правилах, використовуються в значеннях, визначених Інструкцією про міжбанківський переказ коштів в Україні в національній валюті, затвердженою постановою Правління Національного банку України від 16 серпня 2006 року № 320, зареєстрованою в Міністерстві юстиції України 06 вересня 2006 року за № 1035/12909 (зі змінами).

{Пункт 1.2 глави 1 доповнено новим абзацом згідно з Постановою Національного банку № 439 від 07.07.2015}

1.3. Правила регламентують порядок отримання, обліку, передавання, використання та зберігання засобів захисту, виконання вимог щодо правил інформаційної безпеки в банках України, їх філіях, органах державної влади, небанківських установах, які є безпосередніми учасниками системи електронних платежів (далі - СЕП) та/або інформаційних задач (далі - організація), які згідно з договором з Національним банком отримали засоби захисту.

1.4. Організації отримують засоби захисту для використання в СЕП незалежно від моделі обслуговування консолідованого кореспондентського рахунку в СЕП та/або інформаційних задачах Національного банку та вирішують усі поточні питання роботи із засобами захисту інформації Національного банку в регіональних підрозділах Департаменту інформаційної безпеки за місцем їх розташування.

{Пункт 1.4 глави 1 в редакції Постанови Національного банку № 439 від 07.07.2015}

1.5. Регіональний підрозділ Департаменту інформаційної безпеки надає організаціям засоби захисту, що використовуються в СЕП та/або інформаційних задачах, на підставі договору про використання засобів захисту інформації в системі електронних платежів Національного банку України або договору про використання засобів захисту інформації Національного банку України в інформаційних задачах між організацією та Департаментом інформаційної безпеки.

Департамент інформаційної безпеки через свої регіональні підрозділи та організація укладають між собою вищезазначені договори відповідно до зразків, викладених у додатках 1 і 13 до цих Правил.

Організації, які є безпосередніми учасниками СЕП, не укладають договір про використання засобів захисту в інформаційних задачах, але в цьому випадку регіональний підрозділ Департаменту інформаційної безпеки надає організації програмне забезпечення АРМ-НБУ із супровідним листом, один примірник якого зберігається в регіональному підрозділі Департаменту інформаційної безпеки Національного банку, другий - у справі № 1 адміністратора захисту інформації організації.

{Пункт 1.5 глави 1 в редакції Постанови Національного банку № 439 від 07.07.2015}

1.6. Регіональний підрозділ Департаменту інформаційної безпеки перевіряє виконання правил роботи із засобами захисту в організаціях, які використовують засоби захисту.

1.7. Правила поширюються на організації, що мають програмні комплекси АРМ-СЕП та/або АРМ-НБУ і засоби захисту.

1.8. Правила не встановлюють вимоги щодо технології та безпеки роботи інших платіжних систем, систем автоматизації банківської діяльності й систем "клієнт-банк".

1.9. Організація зобов'язана узгоджувати з регіональним підрозділом Департаменту інформаційної безпеки ситуації, які можуть виникати під час роботи із засобами захисту і які не передбачені Правилами, у робочому порядку.

1.10. Керівник організації забезпечує виконання вимог щодо захисту інформації в ній.

Глава 2. Принципи побудови системи захисту

2.1. Система захисту охоплює всі етапи розроблення, впровадження та експлуатації програмно-технічних комплексів СЕП та інформаційних задач і визначає чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання електронних банківських документів на всіх рівнях.

{Пункт 2.1 глави 2 в редакції Постанови Національного банку № 439 від 07.07.2015}

2.2. Система захисту разом з програмно-технічними комплексами забезпечує:

захист від несанкціонованої модифікації та несанкціонованого ознайомлення зі змістом електронних банківських документів на будь-якому етапі їх оброблення;

автоматичне ведення захищеного від несанкціонованої модифікації протоколу оброблення електронних банківських документів з метою визначення причин появи порушень роботи програмно-технічних комплексів;

захист від втручання працівників організацій і Національного банку у зміст електронних банківських документів після їх формування та захист від несанкціонованого втручання в їх оброблення;

автоматичний контроль на кожному етапі оброблення електронних банківських документів.

{Пункт 2.2 глави 2 в редакції Постанови Національного банку № 439 від 07.07.2015}

2.3. Службові особи організації, які відповідають за захист електронних банківських документів, зобов'язані надавати письмові або усні відомості про стан засобів захисту та їх використання, а також про стан захисту інформації в програмному забезпеченні САБ (у тому числі системи "клієнт-банк", а також інших систем, на які поширюються вимоги Національного банку щодо інформаційної безпеки), технологію оброблення електронних банківських документів в організації та систему захисту інформації під час їх оброблення на вимогу Департаменту інформаційної безпеки або його регіональних підрозділів.

{Пункт 2.3 глави 2 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

2.4. Організація, яка отримала засоби захисту, не має права передавати їх іншим організаціям або особам, у тому числі й іншим організаціям однієї юридичної особи.

2.5. Організація, яка отримала засоби захисту, не має права використовувати їх в інших платіжних системах банків, у територіально відокремлених відділеннях (філіях) банків, якщо ці відділення (філії) не є безпосередніми учасниками СЕП та/або інформаційних задач, зокрема, якщо їх працівники працюють у САБ банку (філії), системах "клієнт-банк" тощо.

2.6. Організація зобов'язана повідомляти регіональний підрозділ Департаменту інформаційної безпеки про порушення роботи із засобами захисту протягом одного робочого дня. Орієнтований перелік порушень в організації роботи із засобами захисту інформації Національного банку України наведено в додатку 2.

Глава 3. Режимні вимоги до приміщень

3.1. Організація, яка використовує засоби захисту, зобов'язана мати приміщення, у яких обробляються електронні банківські документи, використовуються та зберігаються в неробочий час засоби захисту, які відповідають вимогам цієї глави.

3.2. Організація зобов'язана розмістити АРМ-СЕП у спеціально виділеному для цього приміщенні з обмеженим доступом, двері якого повинні бути оснащені кодовим або автоматичним замком і місцем для опечатування або системою доступу, яка забезпечуватиме персоніфіковану реєстрацію входу/виходу осіб у спеціальному електронному журналі.

Організація має право розміщувати АРМ-НБУ в приміщенні з АРМ-СЕП або в окремому приміщенні з обмеженим доступом, за винятком приміщення адміністратора захисту інформації, двері якого повинні бути оснащені кодовим або автоматичним замком і місцем для опечатування або системою доступу, яка забезпечуватиме персоніфіковану реєстрацію входу/виходу осіб у спеціальному електронному журналі.

Організація має право розміщувати АРМ-СЕП та АРМ-НБУ на одній ПЕОМ.

Організація має право розміщувати ПЕОМ з АРМ-СЕП та АРМ-НБУ в серверному приміщенні, якщо цей програмно-апаратний комплекс працює в автоматичному режимі. У цьому разі адміністратор АРМ-СЕП зобов'язаний реагувати на інформаційні повідомлення, які надсилаються на АРМ-СЕП.

3.3. Організація зобов'язана оснастити вікно (вікна) у приміщенні АРМ-СЕП ґратами, якщо воно:

внутрішнє і виходить в інше приміщення або коридор організації;

зовнішнє і розташовується на першому чи останньому поверсі організації;

зовнішнє і розташовується на інших поверхах організації, до яких є доступ з прилеглих об'єктів.

3.4. Організація зобов'язана обладнати приміщення з АРМ-СЕП/АРМ-НБУ системою охоронної сигналізації з двома рубежами захисту:

перший - установлення сигналізації по периметру;

другий - установлення відповідного обладнання для стеження за переміщенням об'єктів у приміщенні.

3.5. Організація зобов'язана встановити в приміщенні з АРМ-СЕП/АРМ-НБУ сейфи (металеві шафи), призначені для зберігання в неробочий час засобів захисту і документів до них.

3.6. Адміністратор захисту інформації зобов'язаний обліковувати ключі від сейфів (металевих шаф) і печатки для їх опечатування в журналі обліку адміністратора захисту інформації (розділи 5 і 6 додатка 3).

3.7. Адміністратор АРМ-СЕП/АРМ-НБУ, який заступив на зміну, зобов'язаний:

зберігати ключі від вхідних дверей приміщення з АРМ-СЕП/АРМ-НБУ і сейфів (металевих шаф) у робочий час;

замикати або блокувати системою доступу приміщення з АРМ-СЕП/АРМ-НБУ у разі своєї відсутності.

3.8. Адміністратор АРМ-СЕП/АРМ-НБУ має право зберігати ключі від сейфів (металевих шаф) адміністратора АРМ-СЕП/АРМ-НБУ в опечатаному вигляді в приміщенні з АРМ-СЕП/АРМ-НБУ.

3.9. Організація зобов'язана призначати працівників, які мають допуск до приміщення з АРМ-СЕП/АРМ-НБУ, розпорядчим документом, у якому повинні зазначатися всі відповідальні особи і засоби захисту, які вони використовують.

Адміністратор захисту інформації обліковує призначених осіб у журналі обліку адміністратора захисту інформації (розділ 4 додатка 3).

3.10. Право допуску до приміщення з АРМ-СЕП/АРМ-НБУ мають:

керівник організації (або особа, яка виконує його обов'язки);

заступник керівника організації, який призначений відповідальним за організацію захисту електронної банківської інформації;

адміністратори АРМ-СЕП/АРМ-НБУ;

адміністратори захисту інформації;

інші працівники організації, які обслуговують приміщення й АРМ-СЕП/АРМ-НБУ.

3.11. Працівники служби захисту інформації організації (якщо вони не призначені розпорядчим документом організації як відповідальні особи за роботу із засобами захисту) мають право доступу до приміщення з АРМ-СЕП/АРМ-НБУ лише для вирішення питань, що належать до їх компетенції.

3.12. Працівники організації, які мають право на допуск до приміщення з АРМ-СЕП/АРМ-НБУ, зобов'язані перебувати в приміщенні з АРМ-СЕП/АРМ-НБУ тільки під час виконання своїх обов'язків, що пов'язані з роботою АРМ-СЕП/АРМ-НБУ, і лише в присутності адміністратора АРМ-СЕП/АРМ-НБУ, який заступив на зміну.

Працівники організації мають право на допуск до приміщення з АРМ-СЕП/АРМ-НБУ на підставі усного розпорядження керівника організації (або особи, яка виконує його обов'язки) лише в присутності адміністратора АРМ-СЕП/АРМ-НБУ для вирішення окремих питань.

3.13. Організація зобов'язана розміщувати АРМ-СЕП та АРМ бухгалтера САБ в окремих приміщеннях з обмеженим доступом.

3.14. Організація подає до регіонального підрозділу Департаменту інформаційної безпеки заяву про проведення перевірки виконання режимних вимог до приміщень перед отриманням засобів захисту.

3.15. Організація зобов'язана повідомляти регіональний підрозділ Департаменту інформаційної безпеки, який надав засоби захисту, про зміну свого місцезнаходження та місця розташування АРМ-СЕП/АРМ-НБУ протягом трьох робочих днів з часу настання цих змін.

{Абзац перший пункту 3.15 глави 3 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

Департамент інформаційної безпеки зобов'язаний організувати перевірку виконання режимних вимог до приміщень протягом п'яти робочих днів із дня надходження цього повідомлення зі складанням відповідної довідки.

{Абзац другий пункту 3.15 глави 3 в редакції Постанови Національного банку № 439 від 07.07.2015}

3.16. Організація зобов'язана розмістити робоче місце адміністратора захисту інформації в окремому приміщенні з обмеженим доступом та обладнати його сейфом для зберігання засобів захисту, справ і журналу обліку адміністратора захисту інформації тощо. Це приміщення повинно обладнуватися системою охоронної сигналізації з одним рубежем захисту та в неробочий час опечатуватися.

3.17. Організація зобов'язана обладнати робоче місце адміністратора захисту інформації ПЕОМ, яка не підключена до локальної мережі організації, для копіювання ПМГК і генерування ключів відповідальними особами.

3.18. Організація зобов'язана розмістити інші робочі місця САБ, на яких використовуються засоби захисту, у приміщеннях з обмеженим доступом, які обладнані сейфом оператора робочого місця для зберігання ТК.

3.19. Організація має право розміщувати АРМ бухгалтера САБ у будь-якому приміщенні організації з обмеженим доступом, за винятком кімнати з АРМ-СЕП і приміщення адміністратора захисту інформації.

3.20. Організація зобов'язана обладнати сейфи, які використовуються для зберігання засобів захисту, місцем для опечатування.

Сейф з кодовим замком також має обладнуватися місцем для опечатування, що дасть змогу виявляти спроби його несанкціонованого відкривання.

3.21. Організація зобов'язана забезпечити надійне кріплення сейфа для зберігання засобів захисту, який має вагу менше ніж 100 кг і хоча б один з габаритів якого менший, ніж 500 мм, до підлоги, стіни тощо.

3.22. Організація має право використовувати багатосекційний сейф для зберігання засобів захисту за умови, що секція має дверцята з індивідуальним замком і місцем для опечатування.

3.23. Організація має право використовувати секції металевих шаф, які обладнані двома замками, для зберігання ТК. Відповідальна особа зберігає ключ від одного замка, адміністратор захисту інформації - від другого.

3.24. Адміністратор захисту інформації зобов'язаний обліковувати ключі від сейфів (металевих шаф), у яких зберігаються засоби захисту, у журналі обліку адміністратора захисту інформації (розділ 5 додатка 3).

3.25. Організація зобов'язана здійснити заміну відповідного замка або сейфа і провести службове розслідування в разі втрати ключів від сейфів (металевих шаф), у яких зберігаються засоби захисту.

Адміністратор захисту інформації зобов'язаний зберігати матеріали розслідування у справах адміністратора захисту інформації.

3.26. Керівник організації відповідає за виконання режимних вимог до приміщень.

Глава 4. Принципи побудови криптографічного захисту інформації

4.1. Система захисту інформації Національного банку створена для забезпечення конфіденційності та цілісності електронної інформації, а також суворої автентифікації учасників СЕП, учасників інформаційних задач і фахівців організацій, які беруть участь у підготовці й обробленні електронних документів.

Для здійснення суворої автентифікації організації застосовується система ідентифікації користувачів, яка є основою системи розподілу ключової інформації.

Організація для забезпечення захисту інформації має трибайтний унікальний ідентифікатор, перший знак якого є літерою відповідної території, на якій він розташований, другий і третій є унікальними ідентифікаторами організації у межах цієї території.

Трибайтний ідентифікатор має бути узгоджений з адресою системи ЕП і бути унікальним для кожної організації. Трибайтний ідентифікатор організації записується в ПМГК та АКЗІ, який надається організації та не може бути нею змінений, що забезпечує захист від підроблення ключової інформації від імені іншої організації.

Трибайтний ідентифікатор організації є складовою частиною ідентифікатора ключа криптографічного захисту, що складається із шести символів, з яких перші три є ідентифікаторами організації, четвертий визначає тип робочого місця учасника СЕП (операціоніст, бухгалтер тощо) або тип інформаційної задачі, п'ятий і шостий - ідентифікатор робочого місця або відповідальної особи.

{Пункт 4.1 глави 4 в редакції Постанови Національного банку № 439 від 07.07.2015}

4.2. Для забезпечення захисту інформації від модифікації з одночасною суворою автентифікацією та безперервного захисту електронних банківських документів з часу їх формування система захисту СЕП уключає механізми формування (перевірки) ЕЦП на базі несиметричних алгоритмів RSA та ДСТУ 4145-2002.

{Пункт 4.2 глави 4 в редакції Постанови Національного банку № 439 від 07.07.2015}

4.3. АРМ-СЕП/АРМ-НБУ забезпечує конфіденційність електронних банківських документів, що містять конфіденційну інформацію, за допомогою апаратного/програмного шифрування всіх файлів/пакетів, які обробляються.

АРМ-СЕП і АРМ-НБУ є єдиними програмно-апаратними комплексами, які забезпечують обмін електронною інформацією в СЕП та інформаційних задачах.

Організація зобов'язана виконувати системні вимоги до ПЕОМ та інструкції щодо налаштування комплексів АРМ-СЕП і АРМ-НБУ.

4.4. АРМ-СЕП уключає вбудовані засоби захисту, що забезпечують конфіденційність і цілісність інформації під час її пересилання каналами зв'язку. Убудовані засоби захисту інформації забезпечують два режими роботи АРМ-СЕП - з використанням апаратних і програмних засобів захисту.

4.5. АРМ-НБУ включає вбудовані програмні засоби захисту, які забезпечують програмне шифрування.

4.6. Використання стандартизованих криптографічних алгоритмів у вбудованих засобах захисту гарантує задану криптостійкість. Криптографічні алгоритми не становлять таємниці. Криптостійкість засобів захисту забезпечується криптостійкістю алгоритмів та ключової інформації і ключів, тому інформація про це належить до інформації з обмеженим доступом, яка має гриф "Банківська таємниця" і розголошенню не підлягає.

4.7. Національний банк виконує побудову ключової системи криптографічного захисту. Ця система складається з ключів програмних засобів захисту, що генеруються в організаціях за допомогою наданих ПМГК, і ключів апаратних засобів захисту, які генеруються безпосередньо за допомогою АРМ-СЕП.

4.8. Організація, яка використовує засоби захисту, зобов'язана виконувати організаційні вимоги щодо їх отримання, використання та зберігання і своєчасної заміни відповідних ключів до них.

Регіональний підрозділ Департаменту інформаційної безпеки має право вилучати з організації засоби захисту в разі невиконання вимог щодо використання та зберігання засобів захисту і режимних вимог до приміщень.

4.9. Організація забезпечує захист електронних документів за допомогою таких засобів захисту:

а) апаратно-програмні засоби захисту для СЕП:

АКЗІ;

СК;

програмне забезпечення керування АКЗІ (убудоване в АРМ-СЕП і не може бути вилучене);

{Підпункт "а" пункту 4.9 глави 4 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

б) програмні засоби захисту для СЕП та інформаційних задач:

програмний модуль для шифрування (убудований в АРМ-СЕП та АРМ-НБУ);

ПМГК (з відповідними незаповненими ТВК);

бібліотеки накладання/перевірки ЕЦП (Національний банк надає безкоштовно всім організаціям, які використовують засоби захисту, для вбудовування в програмне забезпечення САБ або інше відповідне програмне забезпечення).

4.10. Основними засобами в АРМ-СЕП є АКЗІ.

Генерація ключової пари (ТК та ВК) для АКЗІ відповідно до алгоритму ДСТУ 4145-2002 здійснюється на комп'ютері, де розміщується АРМ-СЕП, за допомогою програмного забезпечення керування АКЗІ, що вбудоване в АРМ-СЕП. Для забезпечення безперебійної роботи АРМ-СЕП з апаратурою захисту ТК повинен записуватися на дві смарт-картки (основну та резервну). Ключова інформація під час роботи АКЗІ використовується виключно на рівні смарт-картки, що унеможливлює підроблення та перехоплення ключової інформації.

Адміністратор АРМ-СЕП зобов'язаний здійснити перехід до роботи з програмними засобами захисту в разі виходу з ладу АКЗІ.

{Пункт 4.10 глави 4 в редакції Постанови Національного банку № 439 від 07.07.2015}

4.11. Регіональний підрозділ Департаменту інформаційної безпеки надає організації АКЗІ разом із СК та/або ПМГК відповідно до встановленого порядку (глава 6 цих Правил).

4.12. Вимоги глави 7 цих Правил "Порядок роботи з апаратними засобами захисту" не стосуються організацій, які не беруть безпосередньої участі в СЕП.

4.13. Адміністратор захисту інформації організації здійснює зняття копії з ПМГК, а також знищення копії ПМГК. Знищення виконується методом, що унеможливлює її відновлення (наприклад, за допомогою подвійного переформатування дискети).

4.14. За допомогою ПМГК організація має змогу генерувати ключову пару (ТК та ВК) відповідно до алгоритму RSA для всіх робочих місць, де працюють з електронними банківськими документами. Кожен ТК робочого місця обов'язково має бути захищений особистим паролем відповідальної особи, яка працює з цим ключем.

Для забезпечення захисту ключової інформації від несанкціонованої модифікації ВК мають надсилатися до Департаменту інформаційної безпеки для сертифікації (крім ВК для робочих місць операціоністів, що використовуються лише в САБ).

Департамент інформаційної безпеки здійснює сертифікацію ВК та надсилає засобами системи ЕП на адресу організації відповідні сертифікати ВК. Організація зобов'язана вжити заходів щодо своєчасного оновлення ТВК відповідно до експлуатаційної документації для АРМ-СЕП та інформаційних задач.

{Пункт 4.14 глави 4 в редакції Постанови Національного банку № 439 від 07.07.2015}

4.15. Регіональний підрозділ Департаменту інформаційної безпеки перевіряє порядок зберігання та використання ПМГК.

{Пункт 4.15 глави 4 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

4.16. В організації використовуються такі засоби захисту:

{Пункт 4.16 глави 4 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

4.17. Регіональний підрозділ Департаменту інформаційної безпеки, за місцезнаходженням організації, вирішує усі питання, які пов'язані з організацією захисту інформації за допомогою засобів захисту.

{Абзац перший пункту 4.17 глави 4 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

Регіональний підрозділ Департаменту інформаційної безпеки надає консультації щодо супроводження АРМ-СЕП/АРМ-НБУ, а також технологічного процесу проходження електронних платежів у СЕП та електронних документів в інформаційних задачах.

Глава 5. Особливості захисту інформації в СЕП

5.1. Для підвищення ступеня захисту електронних банківських документів у СЕП використовується технологічний контроль, який реалізовується програмно-технічними комплексами на всіх рівнях їх оброблення, що дає змогу контролювати здійснення розрахунків протягом банківського дня, а також виконувати їх звірку в кінці банківського дня.

Технологічні засоби контролю включають:

механізм обміну електронними підтвердженнями, який дає змогу однозначно ідентифікувати отримання адресатом будь-якого файла або пакета електронних банківських документів у СЕП;

механізм інформування банку - учасника СЕП щодо поточного стану його кореспондентського рахунку за підсумками циклів оброблення платежів у ЦОСЕП, щодо поточного стану його технічного рахунку;

взаємообмін між банком і ЦОСЕП технологічною інформацією за підсумками банківського дня з переліком відображених за технічним рахунком міжбанківських електронних розрахункових документів, що оброблені засобами СЕП у файловому режимі та режимі реального часу, що дає змогу здійснювати їх програмне звіряння як у ЦОСЕП, так і в банку;

засоби самодіагностики, які дають змогу виявляти порушення цілісності баз даних програмного забезпечення ЦОСЕП, псування яких може виникнути внаслідок порушень функціонування СЕП, спроб несанкціонованого доступу або фізичного псування баз даних;

механізм резервування та відновлення з процедурами контролю цілісності та актуальності інформації під час відновлення роботи ЦОСЕП;

технологічну інформацію ЦОСЕП про стан технічних рахунків і функціонування СЕП за підсумками банківського дня.

Технологічні засоби контролю, вбудовані в програмно-технічні комплекси СЕП, не можуть бути відключені. У разі виникнення нестандартної ситуації або підозри щодо несанкціонованого доступу ЦОСЕП автоматично формує повідомлення для оперативного реагування адміністратором ЦОСЕП.

5.2. Основним засобом шифрування файлів (пакетів) СЕП є АКЗІ. Робота АКЗІ контролюється вбудованими в ЦОСЕП і АРМ-СЕП програмними засобами захисту інформації і забезпечує апаратне шифрування (розшифрування) інформації за стандартом ДСТУ ГОСТ 28147:2009.

Як резервний засіб шифрування в СЕП використовується вбудована в ЦОСЕП і АРМ-СЕП функція програмного шифрування. Для кожного файла (пакета) СЕП, що обробляється АРМ-СЕП, генерується одноразовий ключ шифрування для алгоритму ДСТУ ГОСТ 28147:2009, який обробляється відповідно до стандарту ISO 11166-94 і додається до повідомлення в зашифрованому вигляді.

Засоби шифрування ЦОСЕП і АРМ-СЕП (як АКЗІ, так і програмне шифрування) забезпечують сувору автентифікацію відправника та отримувача електронного банківського документа, цілісність кожного документа в результаті неможливості його підроблення або несанкціонованого модифікування в шифрованому вигляді та унеможливлюють виконання розшифрування повідомлення будь-ким, крім його дійсного отримувача.

АРМ-СЕП і ЦОСЕП у режимі реального часу забезпечують додаткову сувору взаємну автентифікацію під час установлення сеансу зв'язку.

Під час роботи АРМ-СЕП створює шифровані архіви оброблених електронних банківських документів та захищений від модифікації протокол роботи АРМ-СЕП, у якому фіксуються всі дії, що ним виконуються, із зазначенням дати та часу оброблення електронних банківських документів. Наприкінці банківського дня шифровані архіви та протокол роботи АРМ-СЕП підлягають збереженню в архіві. Розшифрування інформації, що зберігається в архіві, здійснюється лише шляхом застосування ключа, який зберігається в Національному банку.

5.3. Департамент інформаційної безпеки надає банкам (філіям) інформаційні послуги щодо достовірності інформації за електронними банківськими документами у разі виникнення спорів.

Департамент інформаційної безпеки розшифровує копію шифрованого архіву учасника СЕП за його наявності та з абсолютною достовірністю визначає:

ідентифікатор банку - учасника СЕП, який надіслав (зашифрував) електронний банківський документ;

ідентифікатор банку - учасника СЕП, якому адресовано електронний банківський документ;

дату, годину та хвилину виконання шифрування електронного банківського документа;

дату, годину та хвилину розшифрування електронного банківського документа;

відповідність усіх електронних цифрових підписів, якими був захищений від модифікації електронний банківський документ.

Під час використання АКЗІ додатково визначаються:

номер апаратури захисту, на якій виконувалося шифрування або розшифрування електронного банківського документа;

номер смарт-картки, якою користувалися під час шифрування або розшифрування електронного банківського документа.

Департамент інформаційної безпеки надає послуги щодо розшифрування інформації за електронними банківськими документами, якщо учасники СЕП:

кожного робочого дня формують і надійно зберігають архіви роботи АРМ-СЕП, до яких мають входити журнали програмного та апаратного шифрування та захищені від модифікації протоколи роботи АРМ-СЕП;

подають копії архівів АРМ-СЕП за відповідний банківський день.

Департамент інформаційної безпеки надає послуги щодо розшифрування інформації за електронними банківськими документами, якщо між учасниками СЕП виникли спори з питань, пов'язаних з електронними банківськими документами, у разі:

невиконання автентифікації або розшифрування електронного банківського документа;

відмови від факту одержання електронного банківського документа;

відмови від факту формування та надсилання електронного банківського документа;

ствердження, що одержувачу надійшов електронний банківський документ, а насправді він не надсилався;

ствердження, що електронний банківський документ був сформований та надісланий, а він не формувався або було надіслане інше повідомлення;

виникнення спору щодо змісту одного й того самого електронного банківського документа, сформованого та надісланого відправником і одержаного та правильно автентифікованого одержувачем;

роботи з архівом учасника СЕП під час проведення ревізій тощо.

Департамент інформаційної безпеки надає учасникам СЕП письмові відповіді щодо порушених питань.

{Правила доповнено новою главою 5 згідно з Постановою Національного банку № 439 від 07.07.2015}

Глава 6. Порядок отримання засобів захисту

6.1. Відповідальна особа організації зобов'язана прибути до регіонального підрозділу Департаменту інформаційної безпеки з документами, які засвідчують особу та надають право на отримання/заміну засобів захисту.

6.2. Документ на отримання/заміну засобів захисту скріплюється відбитком печатки організації.

Регіональний підрозділ Департаменту інформаційної безпеки зберігає цей документ.

6.3. Фінансові, матеріально-технічні та інші служби організації не мають права обліковувати засоби захисту, які отримані, у бухгалтерському обліку та звітності.

6.4. Регіональний підрозділ Департаменту інформаційної безпеки зберігає один примірник, а організація - другий примірник акта про приймання-передавання апаратних засобів захисту інформації Національного банку України (додаток 4), за яким АКЗІ разом із смарт-картками передаються в організацію. ПМГК передаються організації згідно із супровідним листом.

{Пункт 6.4 глави 6 в редакції Постанови Національного банку № 439 від 07.07.2015}

6.5 Адміністратор захисту інформації зобов'язаний після отримання засобів захисту зробити відповідний запис у журналі обліку адміністратора захисту інформації (розділ 2 додатка 3).

Глава 7. Порядок роботи з апаратними засобами захисту

7.1. Адміністратор захисту інформації зобов'язаний передати АКЗІ адміністратору АРМ-СЕП, який перебуває на зміні, і зафіксувати це в журналі обліку адміністратора захисту інформації (розділ 2 додатка 3).

Адміністратор АРМ-СЕП зобов'язаний отримати АКЗІ та зробити відповідний запис у журналі приймання-передавання засобів захисту інформації Національного банку України адміністратора АРМ-СЕП/АРМ-НБУ (додаток 5).

Адміністратор АРМ-СЕП зобов'язаний установити АКЗІ та забезпечити постійне її підключення до ПЕОМ, у якій розташований програмно-апаратний комплекс АРМ-СЕП.

7.2. Адміністратор АРМ-СЕП, який перебуває на зміні, зобов'язаний перед уведенням АКЗІ в роботу забезпечити виконання всіх вимог до технічних умов експлуатації АКЗІ, які наведені в документації до неї.

7.3. Адміністратор АРМ-СЕП зобов'язаний згенерувати ТК АКЗІ за допомогою програмно-апаратного комплексу АРМ-СЕП для введення АКЗІ в експлуатацію і записати копію ТК АКЗІ АРМ-СЕП на другу (резервну) СК під час генерації ключів.

Адміністратор захисту інформації надсилає ВК АКЗІ на сертифікацію до Національного банку.

Адміністратор АРМ-СЕП уводить АКЗІ в експлуатацію після отримання сертифіката ВК, автоматичного включення його до ТВК АКЗІ та здійснення відповідних налаштувань АРМ-СЕП.

7.4. Адміністратори АРМ-СЕП зобов'язані передавати АКЗІ між собою з фіксуванням у журналі приймання-передавання засобів захисту інформації Національного банку України адміністратора АРМ-СЕП/АРМ-НБУ (додаток 5), який вони ведуть і зберігають у приміщенні з АРМ-СЕП.

7.5. Адміністратор АРМ-СЕП зобов'язаний здійснити заміну АКЗІ разом із СК у разі її виходу з ладу або на вимогу регіонального підрозділу Департаменту інформаційної безпеки.

7.6. Адміністратор захисту інформації організації в разі виходу АКЗІ з ладу в процесі експлуатації зобов'язаний:

а) повідомити засобами електронної пошти Центральну розрахункову палату Національного банку про перехід на резервні програмні засоби захисту;

{Підпункт "а" пункту 7.6 глави 7 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

б) забезпечити переведення АРМ-СЕП на роботу з програмними засобами захисту за допомогою відповідного настроювання АРМ-СЕП за погодженням з Центральною розрахунковою палатою Національного банку;

{Підпункт "б" пункту 7.6 глави 7 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

в) забезпечити продовження роботи АРМ-СЕП у звичайному режимі з використанням програмних засобів захисту;

г) забезпечити доставку до регіонального підрозділу Департаменту інформаційної безпеки:

АКЗІ разом з усіма наявними СК (із записом їх номерів) згідно з актом про приймання-передавання апаратних засобів захисту інформації Національного банку України (додаток 4), один примірник якого зберігає регіональний підрозділ Департаменту інформаційної безпеки, другий - організація;

{Абзац другий підпункту "г" пункту 7.6 глави 7 в редакції Постанови Національного банку № 439 від 07.07.2015}

СК із записом їх номерів в акті про приймання-передавання засобів захисту;

ґ) зробити відмітку про повернення АКЗІ, що виведена з експлуатації, у журналі обліку адміністратора захисту інформації (розділ 2 додатка 4);

д) отримати новий комплект АКЗІ разом із СК;

е) повідомити засобами електронної пошти Центральну розрахункову палату Національного банку  про готовність до переходу на апаратні засоби захисту після отримання АКЗІ і генерації ключів АКЗІ. Перехід на апаратні засоби захисту повинен здійснюватися лише на початку банківського дня за погодженням з Центральною розрахунковою палатою Національного банку;

{Підпункт "е" пункту 7.6 глави 7 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

є) узгодити подальші дії з Центральною розрахунковою палатою Національного банку в разі виникнення збоїв у роботі АКЗІ під час відкривання банківського дня (на стадії переходу на роботу з використанням АКЗІ);

{Підпункт "є" пункту 7.6 глави 7 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ж) провести відповідне службове розслідування в разі пошкодження АКЗІ та СК, копію матеріалів якого подати до регіонального підрозділу Департаменту інформаційної безпеки.

7.7. Адміністратор захисту інформації в разі втрати АКЗІ або СК зобов'язаний:

а) ужити заходів щодо переведення АРМ-СЕП на роботу з програмними засобами захисту і отримання нового комплекту АКЗІ та СК, що передбачені пунктом 7.6 цієї глави;

{Підпункт "а" пункту 7.7 глави 7 в редакції Постанови Національного банку № 439 від 07.07.2015}

б) провести відповідне службове розслідування, копію матеріалів якого подати до регіонального підрозділу Департаменту інформаційної безпеки.

7.8. Адміністратор захисту інформації в разі пошкодження голографічної наклейки на АКЗІ зобов'язаний:

а) вивести АКЗІ з експлуатації;

б) ужити заходів, що передбачені пунктом 7.6 цієї глави;

в) провести відповідне службове розслідування, копію матеріалів якого подати до регіонального підрозділу Департаменту інформаційної безпеки.

7.9. Адміністратор АРМ-СЕП зобов'язаний зберігати СК для АКЗІ у сейфі в неробочий час і в робочий час, якщо вони не використовуються в роботі.

7.10. Адміністратори АРМ-СЕП зобов'язані передавати СК між собою з фіксуванням у журналі приймання-передавання засобів захисту інформації Національного банку України адміністратора АРМ-СЕП/АРМ-НБУ (додаток 5), який вони ведуть і зберігають у приміщенні з АРМ-СЕП.

7.11. Адміністратор АРМ-СЕП зобов'язаний перейти на роботу з резервною СК у разі виходу з ладу СК і звернутися до регіонального підрозділу Департаменту інформаційної безпеки для її заміни.

Адміністратор АРМ-СЕП зобов'язаний вивести АКЗІ з експлуатації в разі виходу з ладу й резервної СК, а адміністратор захисту інформації - ужити заходів, передбачених у пункті 7.6 цієї глави.

7.12. Адміністратор АРМ-СЕП зобов'язаний здійснювати своєчасну генерацію ключа АКЗІ у зв'язку із закінченням строку його дії.

Глава 8. Порядок роботи з ПМГК

8.1. Адміністратор захисту інформації після отримання ПМГК зобов'язаний:

а) зняти копію ПМГК за допомогою засобів, які є на дискеті з ПМГК;

б) зареєструвати ПМГК і його копію в журналі обліку адміністратора захисту інформації (розділи 2, 7 додатка 3);

в) здійснити перевірку ПМГК та його копії шляхом пробної генерації ключів;

г) забезпечити генерацію ключів для всіх робочих місць в організації, у якій використовуються засоби захисту.

8.2. Адміністратор захисту інформації в разі негативних результатів перевірки ПМГК зобов'язаний:

{Абзац перший пункту 8.2 глави 8 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

а) повідомити про це засобами електронної пошти Національного банку регіональний підрозділ Департаменту інформаційної безпеки протягом одного робочого дня і діяти відповідно до його рекомендацій;

{Підпункт "а" пункту 8.2 глави 8 в редакції Постанови Національного банку № 439 від 07.07.2015}

б) повернути до регіонального підрозділу Департаменту інформаційної безпеки ПМГК разом із супровідним листом у паперовій формі. У листі повинні зазначатися версія ПМГК, дата створення і час його введення в експлуатацію, причина повернення ПМГК;

{Підпункт "б" пункту 8.2 глави 8 в редакції Постанови Національного банку № 439 від 07.07.2015}

в) зареєструвати ПМГК, що не пройшов перевірки, у журналі обліку адміністратора захисту інформації (додаток 3) з відповідним записом про його повернення до регіонального підрозділу Департаменту інформаційної безпеки;

г) знищити копію ПМГК, що не пройшов перевірки.

8.3. Адміністратори захисту інформації зобов'язані передавати ПМГК і його робочу копію між собою з фіксуванням у журналі обліку адміністратора захисту інформації (розділ 7 додатка 3).

8.4. Адміністратор захисту інформації зобов'язаний зберігати ПМГК і його робочу копію в неробочий час і в робочий час, якщо він не використовується в роботі, у сейфі. Адміністратор захисту інформації зобов'язаний замкнути й опечатати сейф відбитком особистої печатки.

8.5. Організація зобов'язана повернути ПМГК до регіонального підрозділу Департаменту інформаційної безпеки разом із супровідним листом у паперовій формі після завершення строку використання (Національний банк установлює дату). У цьому листі повинні зазначатися версія ПМГК, дата створення і час його введення в експлуатацію, причина повернення.

Організація зобов'язана знищити робочу копію ПМГК (якщо немає інших вимог Національного банку) на місці методом, який унеможливлює її відновлення (наприклад, шляхом фрагментарного подрібнення гнучкого магнітного диску), і скласти акт про знищення засобів захисту інформації Національного банку України (додаток 6). Регіональний підрозділ Департаменту інформаційної безпеки зберігає один примірник цього акта або оригінал, організація - другий або копію.

Адміністратор захисту інформації зобов'язаний зробити відповідний запис про повернення ПМГК до регіонального підрозділу Департаменту інформаційної безпеки та знищення його копії в організації із зазначенням номерів і дат супровідного листа та акта про знищення копії у журналі обліку адміністратора захисту інформації (розділ 2 додатка 3).

{Пункт 8.5 глави 8 в редакції Постанови Національного банку № 439 від 07.07.2015}

8.6. Адміністратор захисту інформації в разі псування ГМД з копією ПМГК до завершення строку його використання зобов'язаний:

а) зняти копію ПМГК повторно;

б) унести відповідну інформацію до журналу обліку адміністратора захисту інформації (розділ 2 додатка 3);

в) повідомити регіональний підрозділ Департаменту інформаційної безпеки засобами електронної пошти Національного банку про заміну копії ПМГК і нові номери сеансів генерації ключів, які надаватимуться цією копією ПМГК під час наступних сеансів генерації ключів.

{Підпункт "в" пункту 8.6 глави 8 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

8.7. Адміністратор захисту інформації в разі втрати ПМГК (та/або його копії) або втрати контролю за місцезнаходженням ПМГК та/або його копії зобов'язаний:

а) проінформувати про це електронною поштою регіональний підрозділ Департаменту інформаційної безпеки і замовити новий ПМГК (додаток 7);

б) не проводити генерації ключів до отримання нового ПМГК;

в) провести службове розслідування, копію матеріалів якого подати до регіонального підрозділу Департаменту інформаційної безпеки;

г) отримати новий ПМГК відповідно до встановленого порядку і надалі вживати заходів, що передбачені в пунктах 8.1-8.6 цієї глави (діючі ТК мають право використовуватися до закінчення строку їх дії).

8.8. Організація зобов'язана здійснити заміну ПМГК відповідно до пункту 8.7 цієї глави, не припиняючи роботу в СЕП та/або в інформаційних задачах, якщо адміністратор захисту інформації, який безпосередньо працював з ПМГК, звільняється з організації або переходить у цій самій організації на роботу до іншого підрозділу.

Відповідальні особи зобов'язані провести генерацію ТК після отримання нового ПМГК для всіх робочих місць організації.

Службове розслідування в цьому разі не проводиться.

8.9. Відповідальна особа, яка працюватиме з ключем, зобов'язана генерувати кожен ключ за допомогою ПМГК на робочому місці, яке відповідає вимогам пункту 3.17 глави 3 цих Правил, у присутності адміністратора захисту інформації.

Адміністратор захисту інформації зобов'язаний реєструвати всі спроби генерації ключів, у тому числі й невдалі, у журналі обліку адміністратора захисту інформації (розділ 3 додатка 3).

8.10. Відповідальна особа має право під час генерації записати ТК на ГМД, на апаратному носії ключа Touch Memory (далі - Touch Memory) або на іншому носії за погодженням з Національним банком. ВК після їх генерації (ключі операціоністів сертифікації не потребують) підлягають сертифікації в Національному банку.

Відповідальна особа зобов'язана забезпечити внесення сертифікатів ВК, які передані організації Національним банком, до ТВК, які зберігаються на жорсткому диску ПЕОМ, відповідно до технології оброблення інформації.

8.11. Відповідальна особа має право створити копії ТК (за винятком ТК операціоністів САБ) для запобігання зупиненню роботи організації в СЕП та/або в інформаційних задачах у разі псування ГМД з ТК за умови наявності розпорядчого документа організації про створення копій ТК з обов'язковим визначенням відповідальних за їх зберігання осіб і з фіксуванням цього в журналі генерації ключів.

8.12. Відповідальна особа зобов'язана знищувати ТК і їх копії в присутності адміністратора захисту інформації методом, який гарантує неможливість їх відновлення.

Адміністратор захисту інформації зобов'язаний зробити запис про це в журналі обліку адміністратора захисту інформації (розділ 3 додатка 3).

8.13. Відповідальна особа, яка проводить генерацію ключа і надалі працює з ним, зобов'язана встановити індивідуальний пароль для ТК (за необхідності - його копії).

8.14. На створені копії ПМГК і ТК поширюються всі вимоги щодо інформаційної безпеки, як і на основні засоби захисту інформації.

8.15. Заборонено використання копій у разі:

втрати ПМГК;

втрати ТК;

виявлення факту зберігання або перебування ТК, ПМГК у сторонніх осіб;

втрати контролю за місцезнаходженням ТК, ПМГК або їх копій, унаслідок чого можливе їх несанкціоноване копіювання.

Глава 9. Порядок зберігання та роботи з ТК програмних засобів захисту

9.1. У разі використання апаратних носіїв ключової інформації (Touch Memory) зберігання таких носіїв у сейфі в неробочий час є необов'язковим.

Організація має право використовувати Touch Memory з ТК для розв'язання інших завдань організації (обмеження доступу до комп'ютерів, приміщень тощо).

9.2. Відповідальні особи зобов'язані суворо дотримуватися правил використання та зберігання ТК для унеможливлення їх несанкціонованого копіювання в разі використання ГМД як носіїв ТК.

9.3. У разі використання на робочих місцях САБ та/або інформаційних задач, що функціонують в операційному середовищі UNIX із засобами захисту, заборонено використовувати ГМД як носіїв ТК. У такому разі відповідальна особа під час генерації записує ТК на ГМД.

Відповідальна особа, адміністратор захисту інформації або адміністратор САБ забезпечують копіювання цього файла з ТК у захищену директорію, яка доступна для читання тільки з робочого місця саме цієї відповідальної особи, з відповідним записом у журналі обліку адміністратора захисту інформації та обов'язковим підписом особи, яка копіювала ТК у захищену директорію.

Відповідальна особа зберігає ГМД з ТК у власному сейфі або сейфі адміністратора захисту інформації в запечатаному конверті з підписом відповідальної особи до закінчення строку його дії.

Відповідальна особа зобов'язана знищити ТК після закінчення строку його дії.

9.4. Відповідальна особа зобов'язана зберігати ТК (і за необхідності їх копії) у неробочий час у власному сейфі, який має бути замкнутим і опечатаним відбитком її особистої печатки.

9.5. Адміністратори АРМ-СЕП/АРМ-НБУ зобов'язані передавати ТК АРМ-СЕП/АРМ-НБУ (і за необхідності їх копії) між собою з фіксуванням у журналі приймання-передавання засобів захисту інформації Національного банку України адміністратора АРМ-СЕП/АРМ-НБУ (додаток 5).

Запис у журналі не робиться в разі наявності в адміністраторів АРМ-СЕП/АРМ-НБУ відповідних копій ТК.

9.6. Адміністратор захисту інформації має право забезпечити зберігання всіх або частини ТК відповідальних осіб у неробочий час у власному сейфі, якщо немає достатньої кількості особистих сейфів.

Адміністратор захисту інформації зобов'язаний зберігати кожний ТК в окремій упаковці, опечатаній особистою печаткою відповідальної особи, або в окремому запечатаному конверті з особистим підписом відповідальної особи.

Адміністратор захисту інформації зобов'язаний видавати ТК відповідальним особам для роботи і приймати їх на зберігання з реєстрацією в журналі обліку адміністратора захисту інформації (розділ 8 додатка 3).

Адміністратор захисту інформації зобов'язаний замикати й опечатувати сейф відбитком особистої печатки за наявності в ньому ТК.

9.7. ТК мають обмежений строк дії, що встановлюється під час сертифікації ВК. Для ключів операціоністів, які не підлягають сертифікації, строк дії ключа становить 100 днів.

Відповідальна особа зобов'язана здійснювати своєчасну генерацію ТК у зв'язку із закінченням строку його дії.

9.8. Адміністратор захисту інформації організації зобов'язаний вести архів ВК операціоністів для забезпечення можливості перевірки ЕЦП операціоністів протягом усього строку зберігання архівів електронних банківських документів.

Строк зберігання архівів ВК операціоністів відповідає строку зберігання електронних банківських документів.

9.9. Адміністратор захисту інформації зобов'язаний здійснювати контроль за строком дії ключів, забезпечувати своєчасну їх генерацію відповідальними особами і сертифікацію ВК з метою уникнення невиправданої зупинки роботи організації.

9.10. Відповідальна особа організації зобов'язана знищувати ТК (та їх копії) після закінчення строку дії з відповідним записом у журналі обліку адміністратора захисту інформації (розділ 3 додатка 3).

ТК не вносяться до архіву електронних банківських документів.

9.11. Відповідальна особа організації в разі псування ГМД з ТК до завершення строку його дії зобов'язана:

а) зняти ще одну копію ТК (у разі її наявності) або здійснити генерацію цього ключа;

б) унести відповідні записи до журналу обліку адміністратора захисту інформації (розділ 3 додатка 3).

9.12. Відповідальна особа в разі компрометації ТК зобов'язана:

а) припинити використання цього ТК;

б) повідомити електронною поштою регіональний підрозділ Департаменту інформаційної безпеки, якщо це був ТК АРМ-СЕП або АРМ бухгалтера САБ;

в) забезпечити вилучення відповідного ВК з ТВК (за допомогою ПМГК) у встановленому порядку;

г) забезпечити генерацію нового ТК і надалі вживати заходів щодо його введення в дію.

9.13. Організація зобов'язана в разі втрати контролю за ТК провести службове розслідування, копії матеріалів якого подати до регіонального підрозділу Департаменту інформаційної безпеки.

9.14. Адміністратор захисту інформації зобов'язаний забезпечити вилучення з роботи відповідних ВК у встановленому порядку, якщо відповідальна особа, яка має ТК для будь-якого робочого місця, звільняється з організації або виконує в цій організації інші функціональні обов'язки.

9.15. Організація зобов'язана затвердити внутрішній порядок зберігання ТК залежно від конкретних умов її функціонування, забезпечивши дотримання вимог цих Правил.

Глава 10. Призначення відповідальних осіб за роботу із засобами захисту

10.1. Організація зобов'язана призначити для роботи із засобами захисту таких відповідальних осіб:

адміністратора захисту інформації;

адміністратора АРМ-СЕП/АРМ-НБУ;

оператора АРМ бухгалтера САБ;

технолога САБ;

операціоніста;

операторів робочих і технологічних місць САБ та інформаційних задач.

10.2. Організація подає до регіонального підрозділу Департаменту інформаційної безпеки копію наказу про призначення відповідальних за роботу із засобами захисту осіб протягом трьох робочих днів з часу їх призначення.

10.3. Адміністратор захисту інформації має право надати дозвіл на роботу на АРМ-СЕП/АРМ-НБУ, робочих і технологічних місцях САБ та інформаційних задач відповідальним за роботу із засобами захисту особам після їх ознайомлення з нормативно-правовими актами Національного банку, іншими документами з питань інформаційної безпеки.

Адміністратор захисту інформації зобов'язаний ознайомити відповідальних осіб з правилами роботи та зберігання ТК.

Відповідальна особа зобов'язана підписати відповідне зобов'язання (додаток 8).

10.4. Організація подає до регіонального підрозділу Департаменту інформаційної безпеки копію розпорядчого документа про призначення адміністратора захисту інформації протягом трьох робочих днів з часу його призначення.

Адміністратор захисту інформації зобов'язаний ознайомитися з нормативно-правовими актами Національного банку з питань захисту інформації та підписати зобов'язання адміністратора захисту інформації (додаток 9).

Регіональний підрозділ Департаменту інформаційної безпеки зобов'язаний зробити відмітку про проведення перевірки знання відповідних нормативно-правових актів Національного банку та обов'язків адміністратора захисту інформації і зберігати копію цього зобов'язання.

{Абзац третій пункту 10.4 глави 10 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

10.5. Департамент інформаційної безпеки на підставі повідомлення регіонального підрозділу Департаменту інформаційної безпеки має право звернутися до керівника організації з пропозицією призначити нового адміністратора захисту інформації в разі неналежного виконання/невиконання ним своїх обов'язків або розпочати процедуру вилучення наданих організації засобів захисту.

{Пункт 10.5 глави 10 в редакції Постанови Національного банку № 439 від 07.07.2015}

10.6. Відповідальні за роботу із засобами захисту особи зобов'язані мати особисті печатки (штампи, пломбіратори тощо) для опечатування засобів захисту, сейфів і приміщення з АРМ-СЕП/АРМ-НБУ.

Адміністратор захисту інформації зобов'язаний зареєструвати печатки (штампи, пломбіратори) у журналі обліку адміністратора захисту інформації (розділ 6 додатка 3).

Відповідальні особи не мають права передавати між собою печатки (штампи, пломбіратори) для тимчасового користування.

10.7. Організація зобов'язана подавати до регіонального підрозділу Департаменту інформаційної безпеки копію наказу про звільнення від виконання відповідних функцій в організації або покладення на нього виконання інших функцій, у тому числі й пов'язаних з вирішенням питань захисту електронної інформації в тій самій організації, адміністратора захисту інформації та адміністратора АРМ-СЕП/АРМ-НБУ.

10.8. Організація забезпечує підбір відповідальних для роботи із засобами захисту осіб згідно з таблицею суміщення функціональних обов'язків (додаток 10) з метою дотримання вимог інформаційної безпеки.

Глава 11. Функціональні обов'язки відповідальних осіб

11.1. Адміністратор захисту інформації зобов'язаний:

знати нормативно-правові акти Національного банку з питань організації захисту електронної банківської інформації і застосовувати їх у роботі;

виконувати вимоги щодо інформаційної безпеки в організації та підписати зобов'язання адміністратора захисту інформації;

забезпечувати конфіденційність системи захисту інформації в організації;

отримувати засоби захисту і проводити їх заміну в регіональному підрозділі Департаменту інформаційної безпеки;

здійснювати тестування ПМГК та брати участь у тестуванні інших засобів захисту;

вести листування з регіональним підрозділом Департаменту інформаційної безпеки з питань інформаційної безпеки;

ознайомлювати відповідальних осіб організації з нормативно-правовими актами Національного банку з питань захисту інформації та перевіряти знання правил використання і зберігання ТК й інших засобів захисту;

забезпечувати відповідальних осіб засобами захисту;

вести облік засобів захисту і здійснювати контроль за їх прийманням-передаванням;

вести справи адміністратора захисту інформації і забезпечувати їх збереження;

забезпечувати генерацію ключів відповідальними особами;

зберігати ПМГК і його копії;

забезпечувати належне зберігання засобів захисту;

забезпечувати відправлення на сертифікацію ВК, що потребують сертифікації;

вести архів ВК операціоністів;

здійснювати знищення копій ПМГК у встановленому порядку;

здійснювати контроль за дотриманням відповідальними особами правил інформаційної безпеки під час роботи із засобами захисту та їх зберігання;

здійснювати контроль за своєчасною заміною ТК відповідальними особами;

здійснювати контроль за змінами ТВК;

здійснювати контроль за правильним і своєчасним знищенням відповідальними особами ТК та їх копій;

здійснювати перевірки відповідності приміщень з АРМ-СЕП/АРМ-НБУ і сейфів, у яких зберігаються засоби захисту, вимогам інформаційної безпеки;

здійснювати контроль за веденням журналів адміністратора АРМ-СЕП/АРМ-НБУ;

здійснювати контрольні перевірки відповідно до пункту 17.3 глави 17 цих Правил;

інформувати керівника організації і регіональний підрозділ Департаменту інформаційної безпеки про виявлені недоліки, що можуть загрожувати безпеці електронної банківської інформації;

брати участь (за письмовим або усним рішенням керівника організації) у розгляді фактів порушення правил інформаційної безпеки.

11.2. Адміністратор АРМ-СЕП/АРМ-НБУ організації зобов'язаний:

знати (у частині, що стосується його повноважень) нормативно-правові акти Національного банку з питань організації захисту електронної інформації і застосовувати їх у роботі;

забезпечувати конфіденційність системи захисту інформації;

забезпечувати технологічну дисципліну в роботі з програмно-апаратним комплексом АРМ-СЕП/АРМ-НБУ;

здійснювати генерацію ключів АРМ-СЕП/АРМ-НБУ;

здійснювати контроль за строком дії ключів АРМ-СЕП/АРМ-НБУ і своєчасну генерацію (з урахуванням часу на сертифікацію) нових ключів АРМ-СЕП/АРМ-НБУ;

здійснювати зберігання ТК АРМ-СЕП/АРМ-НБУ (за необхідності - їх копій), АКЗІ та СК для АРМ-СЕП;

забезпечувати зберігання засобів захисту під час їх перебування в адміністратора АРМ-СЕП/АРМ-НБУ;

уносити необхідні зміни до ТВК АРМ-СЕП/АРМ-НБУ;

знищувати в установленому порядку ТК АРМ-СЕП/АРМ-НБУ та їх копії;

здійснювати перевірки відповідності приміщення з АРМ-СЕП/АРМ-НБУ і сейфа адміністратора АРМ-СЕП/АРМ-НБУ вимогам інформаційної безпеки;

дотримуватися режиму допуску до приміщення з АРМ-СЕП/АРМ-НБУ;

здавати під охорону і знімати з охорони приміщення з АРМ-СЕП/АРМ-НБУ;

вести журнал адміністратора АРМ-СЕП/АРМ-НБУ;

інформувати адміністратора захисту інформації про виявлення недоліків, що можуть загрожувати безпеці електронних банківських документів;

брати участь (за рішенням керівника організації) у розгляді фактів порушення правил інформаційної безпеки.

11.3. Оператори АРМ бухгалтера САБ, операціоністи та оператори інших робочих і технологічних місць САБ та інформаційних задач, які працюють із засобами захисту, зобов'язані:

знати (у частині, що стосується їх повноважень) нормативно-правові акти Національного банку з питань організації захисту електронної інформації і застосовувати їх у роботі;

дотримуватися конфіденційності відомостей про систему захисту інформації організації;

забезпечувати технологічну дисципліну в роботі з програмним забезпеченням робочого місця;

виконувати правила використання і зберігання засобів захисту;

здійснювати генерацію власних ключів;

здійснювати контроль за строком дії ключів і своєчасною генерацією (з урахуванням часу на сертифікацію) нових ключів;

зберігати (за наявності особистого сейфа) власний ТК (за необхідності - його копію);

передавати в установленому порядку на зберігання (якщо немає особистого сейфа) власний ТК (і його копію) адміністратору захисту інформації;

забезпечувати схоронність засобів захисту під час їх використання;

здійснювати знищення в установленому порядку власних ТК (і їх копій);

вести журнал обліку оператора робочих і технологічних місць САБ у разі передавання ТК робочого місця іншій відповідальній особі;

інформувати адміністратора захисту інформації про виявлення недоліків, що загрожують безпеці електронної банківської інформації;

брати участь (за письмовим або усним рішенням керівника організації) у розгляді фактів порушення правил інформаційної безпеки.

11.4. Організація зобов'язана дотримуватися такого порядку допуску відповідальних осіб до засобів захисту:

допуск до ПМГК для роботи з ним мають лише адміністратори захисту інформації;

допуск до роботи з АКЗІ, СК, ТК АРМ-СЕП/АРМ-НБУ мають тільки адміністратори АРМ-СЕП/АРМ-НБУ;

допуск до ТК робочих і технологічних місць САБ та інформаційних задач має відповідальна особа і тільки до власного ТК;

відповідальні особи працюють з ПМГК лише в присутності адміністратора захисту інформації;

адміністратори захисту інформації виконують свої функціональні обов'язки і контрольні функції під час роботи з ТВК на АРМ-СЕП/АРМ-НБУ та інших робочих місцях лише в присутності відповідальних осіб.

Глава 12. Організація діловодства з питань захисту інформації

12.1. Діловодство з питань захисту інформації електронних банківських документів в організації ведуть:

адміністратор захисту інформації;

адміністратор АРМ-СЕП/АРМ-НБУ.

12.2. Адміністратор захисту інформації зобов'язаний вести:

справу № 1 адміністратора захисту інформації;

справу № 2 адміністратора захисту інформації;

журнал обліку адміністратора захисту інформації (додаток 3).

12.3. Адміністратор захисту інформації зобов'язаний зберігати у справі № 1 адміністратора захисту інформації такі документи довгострокового користування:

а) нормативно-правові акти Національного банку, рекомендації Національного банку з питань захисту інформації;

{Підпункт "а" пункту 12.3 глави 12 в редакції Постанови Національного банку № 439 від 07.07.2015}

б) останню довідку про перевірку регіональним підрозділом Департаменту інформаційної безпеки організації захисту електронної банківської інформації;

{Підпункт "б" пункту 12.3 глави 12 в редакції Постанови Національного банку № 439 від 07.07.2015}

в) зобов'язання відповідальних за роботу із засобами захисту осіб (додатки 8, 9);

г) акт про приймання-передавання засобів захисту інформації та/або супровідний лист до засобів захисту інформації, які перебувають у використанні;

{Підпункт "г" пункту 12.3 глави 12 в редакції Постанови Національного банку № 439 від 07.07.2015}

ґ) довідку з підписом керівника організації про дії відповідальних за роботу із засобами захисту осіб у разі виникнення надзвичайних ситуацій;

д) інші документи з питань захисту інформації.

12.4. Адміністратор захисту інформації зобов'язаний зберігати в справі № 2 адміністратора захисту інформації такі документи короткострокового користування:

а) листи про надання засобів захисту інформації (додаток 7);

{Підпункт "а" пункту 12.4 глави 12 в редакції Постанови Національного банку № 439 від 07.07.2015}

б) акт про знищення засобів захисту інформації Національного банку України (додаток 6);

в) акт про приймання-передавання засобів захисту інформації та/або супровідний лист до засобів захисту інформації, які були повернуті до регіонального підрозділу Департаменту інформаційної безпеки;

{Підпункт "в" пункту 12.4 глави 12 в редакції Постанови Національного банку № 439 від 07.07.2015}

г) акт про повернення до регіонального підрозділу Департаменту інформаційної безпеки, знищення і передавання до архіву засобів захисту інформації Національного банку України, справ і журналів обліку (додаток 11);

ґ) інші документи з питань захисту інформації.

12.5. До справ № 1, 2 адміністратора захисту інформації не включаються документи з питань загальної безпеки, що не стосуються захисту електронних банківських документів.

12.6. Листи регіонального підрозділу Департаменту інформаційної безпеки (або їх копії), що надходять електронною поштою, повинні або включатися до справ № 1, 2, або реєструватися, зберігатися і знищуватися відповідно до правил діловодства організації.

12.7. Адміністратор АРМ-СЕП/АРМ-НБУ зобов'язаний вести журнал обліку адміністратора АРМ-СЕП/АРМ-НБУ, у якому реєструється приймання-передавання засобів захисту на АРМ-СЕП/АРМ-НБУ.

Глава 13. Перевірка готовності організації до включення в СЕП та інформаційні задачі

13.1. Регіональний підрозділ Департаменту інформаційної безпеки зобов'язаний перевірити готовність організації до включення в СЕП та інформаційні задачі, у яких використовуються засоби захисту, після вжиття організацією необхідних первинних заходів щодо організації захисту електронної банківської інформації відповідно до вимог, що визначаються цими Правилами та іншими нормативно-правовими актами Національного банку.

{Пункт 13.1 глави 13 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

13.2. Підставою для перевірки є відповідний розпорядчий документ Департаменту інформаційної безпеки Національного банку.

{Пункт 13.2 глави 13 в редакції Постанови Національного банку № 439 від 07.07.2015}

13.3. Під час перевірки розглядаються такі питання:

а) наявність технічних можливостей для організації робочих місць відповідальних за роботу із засобами захисту осіб;

б) стан приміщення з АРМ-СЕП/АРМ-НБУ;

в) наявність відповідальних за роботу із засобами захисту осіб;

г) наявність копій нормативно-правових актів Національного банку щодо забезпечення інформаційної безпеки під час роботи із засобами захисту;

ґ) наявність розпорядчого документа організації про призначення відповідальних за роботу із засобами захисту осіб і зобов'язань усіх відповідальних осіб;

д) перевірка знань нормативно-правових актів, що регламентують порядок забезпечення інформаційної безпеки під час роботи із засобами захисту.

13.4. За результатами перевірки складається відповідний акт (додаток 12).

За наявності недоліків, що можуть впливати на безпеку електронних банківських документів, складається акт із зазначенням виявлених недоліків та встановленням строку їх усунення.

13.5. Департамент інформаційної безпеки на підставі повідомлення регіонального підрозділу Департаменту інформаційної безпеки вирішує питання про надання організації необхідних засобів захисту і документів, що регламентують правила інформаційної безпеки під час роботи з ними, у робочому порядку.

{Пункт 13.5 глави 13 в редакції Постанови Національного банку № 439 від 07.07.2015}

13.6. Засоби захисту для організації виготовляються Департаментом інформаційної безпеки на замовлення регіонального підрозділу Департаменту інформаційної безпеки. Замовлення на виготовлення засобів захисту інформації має подаватися не пізніше ніж за 10 календарних днів до включення організації до Довідника учасників СЕП.

{Пункт 13.6 глави 13 доповнено новим абзацом першим згідно з Постановою Національного банку № 439 від 07.07.2015}

Завершальним етапом підготовки організації до включення в СЕП є генерація і сертифікація ключів для АРМ-СЕП, що мають проводитися за один робочий день до включення організації до довідника учасників СЕП.

Глава 14. Повернення засобів захисту

14.1. Організація зобов'язана повернути засоби захисту до регіонального підрозділу Департаменту інформаційної безпеки в разі:

а) ліквідації;

б) припинення роботи із засобами захисту;

в) виявлення порушень в організації захисту електронних банківських документів.

14.2. Організація зобов'язана повернути АКЗІ разом із СК до регіонального підрозділу Департаменту інформаційної безпеки в разі її ліквідації або отримання від Департаменту інформаційної безпеки Національного банку листа з вимогою повернення засобів захисту протягом трьох робочих днів згідно з актом про приймання-передавання апаратних засобів захисту інформації Національного банку України (додаток 4), один примірник якого зберігає регіональний підрозділ Департаменту інформаційної безпеки Національного банку, другий - організація.

{Пункт 14.2 глави 14 в редакції Постанови Національного банку № 439 від 07.07.2015}

14.3. Організація у випадках, передбачених підпунктом "б" пункту 14.1 цієї глави, зобов'язана:

а) повідомити регіональний підрозділ Департаменту інформаційної безпеки про передбачувані строки і порядок виходу організації із СЕП або переходу на іншу модель роботи, погодити перелік засобів захисту, журналів, які підлягають поверненню до регіонального підрозділу Департаменту інформаційної безпеки, передаванню до архіву організації або знищенню на місці;

б) ужити заходів щодо повернення до регіонального підрозділу Департаменту інформаційної безпеки, знищення на місці і передавання до архіву організації засобів захисту, справ, журналів обліку зі складанням акта приймання-передавання апаратних засобів захисту інформації Національного банку України (додаток 4) та/або супровідного листа про повернення ПМГК та акта про повернення до регіонального підрозділу Департаменту інформаційної безпеки, знищення і передавання до архіву засобів захисту інформації Національного банку, справ і журналів обліку (додаток 11);

в) надіслати до регіонального підрозділу Департаменту інформаційної безпеки вищезазначені документи, один примірник яких зберігає регіональний підрозділ Департаменту інформаційної безпеки, другий - організація.

{Пункт 14.3 глави 14 в редакції Постанови Національного банку № 439 від 07.07.2015}

14.4. У випадках проведення правоохоронними органами та іншими органами державної влади перевірки діяльності організації, під час якої можуть виникнути умови втрати контролю за засобами захисту, питання про доцільність повернення або знищення засобів захисту і відповідного програмного забезпечення має вирішуватися залежно від ситуації, що склалася.

Глава 15. Порядок використання і зберігання засобів захисту в разі виникнення надзвичайних ситуацій

15.1. Організація зобов'язана вжити заходів для усунення загрози втрати засобів захисту, електронних архівів, комп'ютерної техніки тощо в разі виникнення надзвичайної ситуації (пожежа, вибух, стихійне лихо тощо). Дії працівників організації, які використовують засоби захисту, регламентуються відповідним документом, що складений у довільній формі, підписаний керівником організації і зберігається у справі № 1 адміністратора захисту інформації. Особи, які працюють із засобами захисту, повинні зберігати виписку з цього документа на своїх робочих місцях.

15.2. Організація має право забезпечити роботу протягом одного робочого дня в приміщенні іншої організації за попереднім узгодженням з регіональним підрозділом Департаменту інформаційної безпеки і дотриманням правил використання і зберігання засобів захисту в разі виникнення аварійної ситуації (відключення електроживлення, пошкодження ліній зв'язку тощо). Організація в такому випадку зобов'язана видати розпорядчий документ про це, копія якого надсилається до регіонального підрозділу Департаменту інформаційної безпеки.

15.3. Організація має право визначити тимчасовий порядок використання та зберігання засобів захисту за попереднім погодженням з регіональним підрозділом Департаменту інформаційної безпеки за необхідності (ремонтні роботи, переведення АРМ-СЕП/АРМ-НБУ в інше приміщення тощо). Організація в такому випадку зобов'язана видати розпорядчий документ про це, копія якого надсилається до регіонального підрозділу Департаменту інформаційної безпеки.

15.4. Організація зобов'язана в разі виявлення фактів компрометації засобів захисту під час перевірки її діяльності правоохоронними органами проінформувати:

правоохоронні органи про наявність у неї засобів захисту, які є банківською таємницею і власністю Національного банку;

регіональний підрозділ Департаменту інформаційної безпеки про вищезазначене.

Глава 16. Порядок інформування регіонального підрозділу Департаменту інформаційної безпеки

16.1. Організація зобов'язана протягом одного робочого дня телефоном та протягом трьох робочих днів у листі інформувати регіональний підрозділ Департаменту інформаційної безпеки в таких випадках:

а) виконання (спроби виконання) фіктивного платіжного документа;

б) компрометація засобів захисту;

в) пошкодження засобів захисту;

г) несанкціоноване проникнення в приміщення з АРМ-СЕП/АРМ-НБУ (пошкодження вхідних дверей, ґрат на вікнах, спрацювання сигналізації за нез'ясованих обставин тощо);

ґ) проведення правоохоронними органами та іншими органами державної влади перевірки діяльності організації, унаслідок якої створюються умови для компрометації засобів захисту;

д) виникнення інших аварійних або надзвичайних ситуацій, що створюють передумови до розкрадання, втрати, пошкодження тощо засобів захисту.

{Пункт 16.1 глави 16 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

16.2. Організація зобов'язана проводити попереднє узгодження з регіональним підрозділом Департаменту інформаційної безпеки в таких випадках:

а) переведення АРМ-СЕП (у тому числі й тимчасово) в інше приміщення;

б) забезпечення роботи АРМ-СЕП поза межами організації;

в) виникнення інших нестандартних ситуацій.

16.3. Організація зобов'язана повідомляти регіональний підрозділ Департаменту інформаційної безпеки протягом трьох робочих днів про:

{Абзац перший пункту 16.3 глави 16 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

а) призначення адміністраторів захисту інформації, адміністраторів АРМ-СЕП/АРМ-НБУ і АРМ бухгалтера САБ (копія наказу або виписка з наказу);

б) звільнення від обов'язків адміністратора захисту інформації, адміністраторів АРМ-СЕП/АРМ-НБУ та АРМ бухгалтера САБ (копія наказу або виписка з наказу);

в) отримання засобів захисту, що надсилаються регіональним підрозділом Департаменту інформаційної безпеки засобами спецзв'язку (з повідомленням про це за допомогою електронної пошти);

г) перехід на використання програмних засобів захисту АРМ-СЕП і зворотний перехід на роботу з АКЗІ (з наданням відповідного листа);

ґ) позапланову заміну ПМГК (з наданням відповідного листа).

Глава 17. Контроль за організацією захисту інформації в організації

17.1. Контроль за організацією захисту інформації відповідно до вимог нормативно-правових актів Національного банку у діяльності організації забезпечують:

{Абзац перший пункту 17.1 глави 17 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

керівник організації (особа, яка виконує його обов'язки);

заступник керівника організації або особа, яка за своїми службовими обов'язками або за окремим розпорядчим документом організації призначена відповідальною за організацію захисту електронних банківських документів.

17.2. Контроль за станом засобів захисту в організації забезпечує адміністратор захисту інформації.

17.3. Адміністратор захисту інформації зобов'язаний не рідше одного разу на квартал проводити планові перевірки використання засобів захисту відповідальними особами організації.

Адміністратор захисту інформації зобов'язаний звертати увагу на наявність засобів захисту, ключів від сейфів, у яких зберігаються засоби захисту, облікових даних, дотримання вимог щодо інформаційної безпеки під час зберігання та використання засобів захисту, обмеження доступу до приміщення з АРМ-СЕП/АРМ-НБУ, знання відповідальними особами нормативно-правових актів Національного банку з питань інформаційної безпеки, правильне і своєчасне заповнення журналів обліку.

Адміністратор захисту інформації зобов'язаний зробити відповідні записи в журналі обліку адміністратора захисту інформації (розділ 9 додатка 3) після завершення перевірки.

17.4. Регіональний підрозділ Департаменту інформаційної безпеки мають право здійснювати перевірку використання і зберігання засобів захисту.

17.5. Працівник регіонального підрозділу Департаменту інформаційної безпеки, який здійснює перевірку, зобов'язаний мати при собі документи, які підтверджують його особу, і розпорядження про проведення перевірки.

17.6. Перевірка здійснюється в присутності посадової особи, призначеної керівником організації.

17.7. Працівник регіонального підрозділу Департаменту інформаційної безпеки зобов'язаний під час перевірки застосовувати нормативно-правові акти Національного банку.

17.8. Працівник регіонального підрозділу Департаменту інформаційної безпеки, який здійснює перевірку, має право:

а) перевіряти засоби захисту, АРМ-СЕП/АРМ-НБУ, журнали, справи і документи з питань організації захисту інформації;

б) відвідувати приміщення з АРМ-СЕП/АРМ-НБУ, вивчати умови зберігання засобів захисту;

в) відвідувати робочі місця всіх відповідальних осіб організації, які використовують засоби захисту, і вивчати умови використання та зберігання засобів захисту;

г) перевіряти у відповідальних за роботу із засобами захисту осіб знання нормативно-правових актів Національного банку, що регламентують забезпечення інформаційної безпеки, виконання рекомендацій Національного банку, їх уміння працювати із засобами захисту;

ґ) ознайомлюватися з наказами, актами й іншими документами організації, що дають змогу проконтролювати виконання відповідальними особами вимог щодо інформаційної безпеки;

д) у разі залучення брати участь у службових розслідуваннях, що проводяться в організації, у разі виявлення недоліків в організації захисту електронної банківської інформації.

17.9. Регіональний підрозділ Департаменту інформаційної безпеки проводить планові (не рідше одного разу на два роки) і позапланові перевірки.

Підставою для проведення позапланових перевірок є початок використання засобів захисту організацією або її переведення на будь-яку модель обслуговування консолідованого кореспондентського рахунку в СЕП, зміна місцезнаходження організації, перевірка після усунення недоліків, виявлених під час попередньої перевірки.

17.10. За результатами перевірки складається довідка про проведення перевірки організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України (додаток 12) у двох примірниках. Регіональний підрозділ Департаменту інформаційної безпеки зберігає один примірник цієї довідки, організація - другий.

{Пункт 17.10 глави 17 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

{Главу 18 виключено на підставі Постанови Національного банку № 439 від 07.07.2015}

ДОГОВІР № ______
про використання засобів захисту інформації Національного банку України в інформаційних задачах

{Додаток 1 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ОРІЄНТОВНИЙ ПЕРЕЛІК
порушень в організації роботи із засобами захисту інформації Національного банку України

1. Використання засобів захисту інформації Національного банку України у внутрішній платіжній системі організації, у територіально відокремлених філіях (відділеннях), які не є безпосередніми учасниками СЕП та/або інформаційних задач Національного банку України, системі "клієнт-банк" тощо.

2. Неправильний розподіл повноважень відповідальних осіб, які використовують засоби захисту інформації Національного банку України.

3. Порушення правила про те, що кожний платіжний документ організації має бути підписаний не менше ніж двома відповідальними особами цієї організації.

4. Допуск адміністратора захисту інформації або адміністратора САБ до оброблення електронних платежів.

5. Порушення правил генерації, використання та зберігання таємних ключів.

6. Використання засобів захисту інформації особами, які не були призначені відповідальними за роботу із засобами захисту інформації Національного банку України згідно з розпорядчим документом.

7. Передавання засобів захисту інформації Національного банку України в інші організації та використання засобів захисту інформації Національного банку України, які були видані іншим організаціям.

8. Використання для захисту електронних платежів засобів захисту інформації Національного банку України, контроль за якими був утрачений.

9. Наявність неврахованих копій засобів захисту інформації Національного банку України (програмного модуля генерації ключів, таємних ключів тощо).

10. Наявність копій таємних ключів операціоністів, невчасне вилучення з таблиці відкритих ключів АРМ-СЕП/АРМ-НБУ відкритих ключів операціоністів, які припинили оброблення електронних платіжних документів.

11. Зберігання на жорсткому диску ПЕОМ АРМ-СЕП/АРМ-НБУ програм, які не використовуються під час оброблення електронних банківських документів.

ЖУРНАЛ
обліку адміністратора захисту інформації

Зразок

Розділ 1. Перелік відповідальних за роботу із засобами захисту інформації Національного банку України осіб:

Розділ 2. Перелік нормативно-правових актів і засобів захисту інформації Національного банку України:

Розділ 3. Перелік таємних ключів, які генерувалися в організації відповідальними особами:

Розділ 4. Перелік осіб, які мають допуск до приміщення з АРМ-СЕП/АРМ-НБУ:

Розділ 5. Перелік ключів від сейфів (металевих шаф) відповідальних осіб, у яких зберігаються засоби захисту інформації Національного банку України:

Розділ 6. Перелік особистих печаток (штампів, пломбіраторів) відповідальних осіб для опечатування засобів захисту інформації Національного банку України:

Розділ 7. Облік приймання-передавання засобів захисту інформації Національного банку України, за які несе відповідальність адміністратор захисту інформації:

Розділ 8. Облік приймання-передавання таємних ключів відповідальних осіб, які зберігаються в адміністратора захисту інформації організації:

Розділ 9. Облік перевірок дотримання правил використання і зберігання засобів захисту інформації Національного банку України, проведених адміністратором захисту інформації організації:

АКТ
про приймання-передавання засобів захисту інформації Національного банку України

{Додаток 4 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ЖУРНАЛ
приймання-передавання засобів захисту інформації Національного банку України адміністратора АРМ-СЕП/АРМ-НБУ

Зразок

АКТ
про знищення засобів захисту інформації Національного банку України

{Додаток 6 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ЕЛЕКТРОННЕ ПОВІДОМЛЕННЯ

{Додаток 7 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ЗОБОВ'ЯЗАННЯ

ЗОБОВ'ЯЗАННЯ
адміністратора захисту інформації

{Додаток 9 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ТАБЛИЦЯ
суміщення функціональних обов'язків

{Додаток 10 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

АКТ
про повернення до регіонального підрозділу Департаменту інформаційної безпеки Національного банку України, знищення і передавання до архіву засобів захисту інформації Національного банку України, справ і журналів обліку

{Додаток 11 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ДОВІДКА
про проведення перевірки організації захисту електронних банківських документів з використанням засобів захисту інформації Національного банку України

{Додаток 12 із змінами, внесеними згідно з Постановою Національного банку № 439 від 07.07.2015}

ДОГОВІР
про використання засобів захисту інформації в системі електронних платежів Національного банку України
(Зразок)

{Правила доповнено Додатком 13 згідно з Постановою Національного банку № 439 від 07.07.2015}