Непрерывность бизнеса. подходы к использованию нового указания цб рф 21946у: поиск «золотой середины»

Приложение 1

Перечень документов российского законодательства в части, касающейся НБ

Федеральный закон «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», Статья 7. Права и обязанности организаций, осуществляющих операции с денежными средствами или иным имуществом (в редакции от 30.10.2002 № 31-ФЗ);
Приложение 5 к Положению Банка России от 16 декабря 2003 года № 242-П «ОБ организации внутреннего контроля в кредитных организациях и банковских группах»;
Гражданский кодекс Российской Федерации, статья 401. Основания ответственности за нарушения обязательств;
Унифицированные правила и обычаи для документарных аккредитивов (публикация Международной торговой палаты № 500, ред. 1993 г., вступила в силу с 1 января 1994 г.), Статья 14. Форс-мажор;
Федеральный закон от 21 декабря 1994 года № 68-ФЗ «О защите населения и территории от чрезвычайных ситуаций природного и техногенного характера» (в частности, Статья 14);
Постановление Правительства РФ от 21 мая 2007 года № 304 «О классификации чрезвычайных ситуаций природного и техногенного характера»;
«Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» (СТО БР ИББС-1.0-2008);
Письмо ЦБ РФ от 24.05.2005 N 76-Т «Об организации управления операционным риском в кредитных организациях» и т.д.

Перечень информационных ресурсов по НБ

ASIS International Disaster Preparation Guide – www.asisonline.org/newsroom/crisisResponse/disaster.pdf;
Disaster Recovery Institute International – https://www.drii.org/docs/profprac_details.pdf, http://www.drj.com/GAP/gap.pdf ;
Business Continuity Institute, Professional Practices & Methodology – http://www.thebci.org/businesscontinuityguides.htm;
Business Continuity Management Good Practice Guidelines (2008-2) – http://www.thebci.org/;
Join Disaster Recovery Information Exchange (DRIE) – http://toronto.drie.org/;
BS 25777 – Information and communication technology (ICT);
Basel II Accord;
Bank for International Settlements – High-level Principles for Business Continuity Planning – August 2006;
European Commission – Markets and Financial Instruments Directive (MiFID);
BS 25999 – Business Continuity Management – www.bsi-global.com , www.bsi-russia.ru;
HB221-2004, HB292-2006, HB293-2006;
NFPA 1600 Standard on Disaster/Emergency and Business Continuity Programs;
SS 540 – Business Continuity Management;
Курсы по направлению BS 25999 компании BSI MS.

Перечень процедур, регламентируемых в целях обеспечения информационной безопасности на участке ПС БР

№	Назначение документа
1	2
1.	Назначение куратора по информационной безопасности
2.	Создание подразделений (назначение работников), ответственных за организацию и контроль обеспечения защиты информации, а также выделение им необходимых ресурсов
3.	Основные положения о службе информационной безопасности (в том числе полномочия)
4.	Назначение работников, ответственных за выполнение порядка обеспечения защиты информации на участке ПС БР, и определение их функций и задач
5.	Организация обеспечения информационной безопасности с учетом требований настоящего Положения
6.	Обеспечение защиты информации при осуществлении переводов денежных средств с использованием информационно-телекоммуникационной сети «Интернет»
7.	Определение участка ПС БР
8.	Функции и задачи работников при осуществлении контроля ТЗИ
9.	Организация защиты от ВВК
10.	Проведение предварительной проверки программного обеспечения и СВТ на отсутствие вредоносного кода
11.	Перечень и описание объектов информационной инфраструктуры участка ПС БР
12.	Порядок уничтожения неиспользуемой защищаемой информации на стадиях жизненного цикла объектов информационной инфраструктуры участка ПС БР
13.	Перечень средств защиты информации, используемых на участке ПС БР
14.	Учет и контроль программного обеспечения, установленного на средствах вычислительной техники участка ПС БР
15.	Состав и порядок применения организационных мер и технических средств защиты информации на участке ПС БР
16.	Функции и задачи работников, ответственных за процессы реагирования на инциденты на участке ПС БР
17.	Порядок действий по выявлению и реагированию на инциденты на участке ПС БР
18.	Перечень и сроки проведения контроля ТЗИ
19.	Перечень и сроки проведения мероприятий по обучению и повышению информированности работников по вопросам защиты информации
20.	Программа обучения работников по вопросам защиты информации
21.	Перечень лиц, имеющих доступ к объектам информационной инфраструктуры участка ПС БР, и порядок осуществления доступа
22.	Перечень лиц, обладающих правами по воздействию на объекты информационной инфраструктуры, которое может привести к нарушению предоставления услуг по осуществлению переводов денежных средств
23.	Перечень лиц, обладающих правами по формированию электронных сообщений на АРМ обмена ЭС с ПС БР
24.	Описание функций и задач пользователей программных и технических средств, эксплуатируемых на участке ПС БР, а также персонала, обеспечивающего эксплуатацию и администрирование указанных средств
25.	Функции и задачи работников, ответственных за обеспечение непрерывности и восстановление деятельности участника, в том числе функционирования технических средств защиты информации в ПС БР
26.	План ОНиВД
27.	Порядок действий по обеспечению непрерывности и восстановлению деятельности участника и функционирования технических средств защиты информации в ПС БР
28.	Технологические процессы подготовки, приема, ввода, обработки и передачи ЭС
29.	Информация о применяемых на участке ПС БР СКЗИ, порядок обращения с СКЗИ на всех этапах жизненного цикла СКЗИ, основные положения об обеспечении безопасности криптографических ключей
30.	Перечень работников, обладающих правами по управлению криптографическими ключами
31.	Перечень работников, допущенных к работе со СКЗИ на участке ПС БР
32.	Назначение лица, ответственного за обеспечение функционирования и безопасности СКЗИ (ответственный пользователь СКЗИ), а также назначение постоянно действующих комиссий по уничтожению СКЗИ, назначение лиц, ответственных за формирование криптографических ключей и обеспечение безопасности криптографических ключей
33.	Перечень работников, обладающих правами доступа в помещения участка ПС БР
34.	Перечень программного обеспечения для каждого объекта информационной инфраструктуры
35.	Акты установки (настройки) СЗ от ВВК
36.	Акты установки (настройки) СКЗИ на технических средствах участка ПС БР
37.	Результаты контроля ТЗИ и решения, принятые по результатам контроля ТЗИ с указанием участников, оснований для проведения контроля и объекта контроля ТЗИ