| Утверждены Требования к обеспечению информационной безопасности в финансовой сфере, в том числе кибербезопасности казахстанского рейтингового агентства
|
| В соответствии с подпунктом 11) пункта 2 статьи 27 Закона Республики Казахстан «О кредитной рейтинговой деятельности» Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка утверждены Требования к обеспечению информационной безопасности в финансовой сфере, в том числе кибербезопасности казахстанского рейтингового агентства. Совет директоров КРА в целях стратегического управления обеспечением информационной безопасности: 1) утверждает политику информационной безопасности, которая устанавливает подходы к обеспечению информационной безопасности в КРА; 2) утверждает перечень защищаемой информации, включающий в том числе информацию о сведениях, составляющих служебную, коммерческую или иную охраняемую законом тайну (далее - защищаемая информация), и порядок работы с защищаемой информацией. Председатель Правления КРА в рамках операционного руководства: 1) несет персональную ответственность за организацию и поддержание системы обеспечения информационной безопасности КРА. Контроль за соблюдением Требований осуществляется уполномоченным органом; 2) обеспечивает создание профильного структурного подразделения по информационной безопасности. При объеме цифровых систем и штатной численности КРА, не требующих создания отдельного подразделения, допускается назначение ответственного лица по информационной безопасности; 3) организует исполнение внутренних регламентов использования сети Интернет, электронной почты и порядка резервного копирования данных. КРА обеспечивает ознакомление работников с основными внутренними документами и требованиями по обеспечению информационной безопасности под роспись (в том числе посредством электронной цифровой подписи). Ознакомление действующих работников осуществляется в течение 30 (тридцати) календарных дней со дня введения в действие настоящих Требований (или принятия внутренних документов), ознакомление новых работников - не позднее 5 (пяти) рабочих дней со дня приема на работу. Результат ознакомления фиксируется в листе ознакомления (журнале инструктажа), который подшивается в личные дела работников или сохраняется в системе электронного документооборота. КРА в порядке, определенном его внутренними документами, формирует и поддерживает в актуальном состоянии перечень защищаемых цифровых систем, используемых для обработки, хранения и передачи защищаемой информации, утверждаемый Председателем Правления КРА. Доступ к информации в цифровых системах КРА предоставляется работникам КРА в соответствии с принципом минимальных привилегий (базовый принцип информационной безопасности, согласно которому пользователю, программе или процессу должны предоставляться только те права и доступы, которые необходимы для выполнения их непосредственных задач) на основании перечня должностных обязанностей и матрицы прав доступа или ролевой модели, утверждаемых внутренними документами КРА. Предоставление доступа к цифровым системам КРА производится путем формирования и внедрения ролей для обеспечения соответствия прав доступа пользователей цифровых систем их функциональным обязанностям. Доступ к цифровым системам осуществляется путем идентификации и аутентификации пользователей цифровых систем. Идентификация и аутентификация пользователей цифровых систем производится путем ввода учетной записи (идентификатора) и пароля и (или) применения методов биометрической и (или) криптографической аутентификации (метод проверки подлинности пользователя, устройства или системы, основанный на использовании математических алгоритмов, шифрования и криптографических ключей). При осуществлении доступа к цифровым системам, содержащим защищаемую информацию, в обязательном порядке применяется не менее двух факторов аутентификации, из числа установленных настоящим пунктом. В цифровых системах КРА используются пользовательские учетные записи, обеспечивающие однозначную идентификацию конкретного физического лица. Использование общих (групповых) учетных записей пользователей не допускается. Порядок создания, использования и контроля технологических (сервисных) учетных записей определяется внутренними документами КРА, при этом обеспечивается обязательное закрепление ответственности за их использование и неизменность аудиторского следа данных записей. В цифровых системах КРА применяются функции по управлению учетными записями и паролями, а также блокировке учетных записей пользователей, обеспечивающие: 1) длину пароля пользователей не менее 8 (восьми) символов с использованием комбинаций заглавных, строчных букв, цифр и специальных знаков; 2) периодическую смену паролей пользователей не реже одного раза в 90 (девяносто) календарных дней; 3) автоматическую блокировку учетной записи пользователя при вводе неверного пароля более 5 (пяти) раз подряд. Порядок администрирования учетных записей детализируется во внутренних документах КРА. КРА обеспечивает передачу защищаемой информации посредством защищенных каналов связи с использованием средств криптографической защиты информации. КРА обеспечивает защиту информации при использовании Интернета и электронной почты посредством обеспечения: 1) фильтрации входящего и исходящего сетевого трафика, электронной почты на предмет наличия вредоносного программного обеспечения и спама; 2) запрета использования работниками КРА личных (публичных) сервисов электронной почты и веб-ресурсов для передачи и обработки защищаемой информации; 3) использования доменного имени, принадлежащего КРА на праве собственности или ином законном основании. Порядок реализации указанных мер детализируется во внутренних документах КРА. Обеспечивается резервное хранение данных цифровых систем, их файлов и настроек, которое обеспечивает восстановление работоспособной копии цифровой системы. Резервное копирование критически важных данных и баз данных КРА осуществляется на регулярной основе не реже одного раза в сутки с обеспечением шифрования резервных копий и их хранения на изолированных от основной сети носителях либо в резервном центре обработки данных (далее - ЦОД). Порядок тестирования восстановления работоспособности систем из резервных копий определяется внутренними документами КРА. Цифровые системы обеспечиваются технической поддержкой, в состав которой входят услуги по предоставлению обновлений соответствующей цифровой системы, в том числе обновлений, устраняющих критические уязвимости. Для защиты цифровых систем используется лицензионное антивирусное программное обеспечение. При этом обеспечивается: 1) наличие лицензий, обновлений и технической поддержки; 2) обеспечение невозможности для конечного пользователя отключения или приостановки функционирования антивирусного программного обеспечения. Обеспечивается ведение и неизменность аудиторского следа защищаемых цифровых систем. В состав аудиторского следа в обязательном порядке включаются сведения о: 1) входе (выходе) пользователей в цифровую систему (включая неуспешные попытки); 2) регистрации, изменении прав и удалении учетных записей; 3) операциях по изменению или удалению защищаемой информации. Защита журналов аудиторского следа от модификации и удаления обеспечивается на техническом уровне. Срок хранения аудиторского следа защищаемых цифровых систем составляет не менее 3 (трех) месяцев в оперативном доступе и не менее 5 (пяти) лет в архивном доступе. В целях обеспечения непрерывности функционирования цифровых систем КРА разрабатывает и утверждает планы восстановления цифровых систем в случае возникновения аварийных ситуаций, сбоев в инфраструктуре и инцидентов информационной безопасности. Планы восстановления в обязательном порядке должны включать: 1) порядок и сценарии действий персонала при наступлении критических сбоев (включая выход из строя оборудования, потерю связи, компрометацию данных или деструктивные кибератаки); 2) установление целевого времени восстановления и целевой точки восстановления для каждой защищаемой цифровой системы; 3) распределение ролей и зон ответственности работников КРА, входящих в группу реагирования и восстановления; 4) порядок взаимодействия и оповещения отраслевого центра информационной безопасности уполномоченного органа (далее - ОЦИБ) и внешних подрядчиков (провайдеров ЦОД). В целях проверки готовности процессов восстановления не менее одного раза в год проводится тестирование восстановления цифровых систем в соответствии с указанными планами с обязательным оформлением акта по результатам тестирования. В целях проверки готовности процессов восстановления деятельности цифровых систем не менее одного раза в год проводится тестирование восстановления цифровых систем в соответствии с планами восстановления. КРА в целях предотвращения несанкционированного доступа к защищаемой информации, обеспечения непрерывности бизнес-процессов и формирования доказательной базы расследований осуществляет сбор данных и мониторинг событий информационной безопасности в режиме реального времени на непрерывной основе (двадцать четыре часа в сутки, семь дней в неделю). В ходе мониторинга обязательному выявлению, регистрации и анализу подлежат инциденты, связанные с: 1) попытками несанкционированного доступа к цифровым системам и защищаемой информации; 2) активностью вредоносного программного обеспечения в инфраструктуре КРА; 3) несанкционированными изменениями прав доступа или конфигураций защищаемых цифровых систем; 4) сбоями в работоспособности технических средств защиты информации. Результаты мониторинга документируются, хранятся в соответствии со сроками хранения аудиторского следа и используются КРА для оперативного реагирования, а также для обязательного информирования ОЦИБ уполномоченного органа в случае выявления критических инцидентов. При выявлении критических инцидентов информационной и кибербезопасности, повлекших за собой нарушение работоспособности цифровых систем, утечку, блокирование, несанкционированное изменение или уничтожение защищаемой информации, КРА обязано в срок не позднее 24 часов с момента обнаружения инцидента направить в отраслевой центр информационной безопасности финансового рынка и финансовых организаций уполномоченного органа информацию об инцидентах информационной безопасности посредством его автоматизированной системы, предназначенной для обработки информации о событиях и инцидентах информационной безопасности или в электронном формате с использованием транспортной системы гарантированной доставки информации с криптографическими средствами защиты, обеспечивающей конфиденциальность и некорректируемость представляемых данных. Постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования. |