После выхода в свет Федерального закона РФ № 161-ФЗ «О НПС» все участники НПС обязаны обеспечивать защиту информации при осуществлении переводов денежных средств. Пункт 1 статьи 27 предписывает участникам НПС обеспечивать защиту информации о средствах и методах обеспечения информационной безопасности, персональных данных и иной информации, подлежащей обязательной защите в соответствии с законодательством РФ.

Основываясь на статье 27 ФЗ РФ «О на­циональной платежной системе» правительство РФ издало Постановление № 584 от 13.06.2012 «Об утверждении Положения о защите информации в платежной системе», которое устанавливает требования к защите информации о средствах и методах обеспечения информационной безопасности, персональных данных и иной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации.

В пределах своей компетенции и в соответствии со статьей 27 ФЗ РФ «О национальной платежной системе» Центральный банк Российской Федерации издал пакет документов, регламентирующих обеспечение защиты информации при осуществлении переводов денежных средств в рамках НПС, а именно: положения ЦБ РФ № 382-П, № 381-П, № 380-П, № 379-П, Указание ЦБ РФ № 2831-У.

Основополагающим документом, определяющим требования к обеспечению защиты информации, является Положение ЦБ РФ № 382-П от 09.06.2012 «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

Исходя из требований нормативных документов, рассмотренных выше, определим последовательность мероприятий по приведению организации в соответствие требованиям по защите информации в НПС.

1. Аудит информационной безопасности.
На данной стадии проводится работа по обследованию информационных систем операторов и/или агентов платежной системы.

2. Проведение первичной оценки соответствия выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, используя Положение ЦБ РФ № 382-П.
Используя методику оценки соответствия, указанную в Положении ЦБ РФ № 382-П, мы получим количественные и качественные оценки, характеризующие выполнение требований по обеспечению защиты информации.

3. Документирование результатов оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств в соответствии с Указанием ЦБ РФ № 2831-У.
Результаты оценки выполнения требований необходимо представлять по определенным ЦБ РФ формам - 0403202 и 0403203. Содержание форм раскрывается в Указании ЦБ РФ № 2831-У.

4. Выявление недостатков при выполнении требований по защите информации при осуществлении переводов денежных средств.

5. Разработка рекомендаций по устранению несоответствий требованиям Положения ЦБ РФ № 382-П.

6. Разработка и/или совершенствование организационно-распорядительной документации в области обеспечения информационной безопасности.

7. Проектирование системы информационной безопасности, если система не построена.
Проектирование состоит из стадий разработки ТЗ на системы ИБ, эскизного проектирования, технического проектирования системы ИБ.

8. Внедрение средств защиты информации, выбранных на этапе проектирования.
На данном этапе проводятся установка и настройка средств защиты, проведение стендовых испытаний, опытная эксплуатация системы информационной безопасности, приемо-сдаточные испытания.

9. Проведение оценки соответ­ствия выполнения требований, используя Положение ЦБ РФ № 382-П.
На данном этапе проводится итоговая оценка соответствия выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств.

10. Документирование результатов оценки выполнения требований в соответствии с Указанием ЦБ РФ № 2831-У.
На данном этапе проводится документирование результатов оценки выполнения требований. Формы отчетности передаются в Банк России по правилам и нормам, описанным в Указании ЦБ РФ № 2831-У.

Были рассмотрены основные стадии приведения организации в соответствие требованиям по защите информации в НПС. Хотелось бы напомнить, что работы по приведению организация может проводить самостоятельно, но мы рекомендуем привлекать для выполнения данных работ специализированные компании, обладающие опытом работы в данной сфере и имеющие лицензию на деятельность по технической защите конфиденциальной информации.