Положение Банка России от 03.12.2020 № 742-П

«О требованиях по защите информации, которые должно выполнять юридическое лицо, намеревающееся получить статус оператора финансовой платформы, о ведении Банком России реестра операторов финансовых платформ и о требованиях к порядку регистрации Банком России изменений в правила финансовой платформы»

(Зарегистрировано в Минюсте России 18.01.2021 № 62124)

Зарегистрировано в Минюсте России 18 января 2021 г. № 62124

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ

ПОЛОЖЕНИЕ

от 3 декабря 2020 г. № 742-П

О ТРЕБОВАНИЯХ ПО ЗАЩИТЕ ИНФОРМАЦИИ, КОТОРЫЕ ДОЛЖНО ВЫПОЛНЯТЬ ЮРИДИЧЕСКОЕ ЛИЦО, НАМЕРЕВАЮЩЕЕСЯ ПОЛУЧИТЬ СТАТУС ОПЕРАТОРА ФИНАНСОВОЙ

дополнительные требования к перечню документов, представляемых для включения Банком России сведений об операторе финансовой платформы в реестр операторов финансовых платформ (в том числе требования к форматам и формам этих документов);

перечень дополнительных документов, подтверждающих соответствие лиц, указанных в части 1 статьи 9 и абзаце первом части 1 статьи 10 Федерального закона от 20 июля 2020 года № 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы», требованиям, установленным Федеральным законом от 20 июля 2020 года № 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы»;

требования к порядку представления оператором финансовой платформы изменений в правила финансовой платформы на регистрацию в Банк России;

требования к порядку регистрации Банком России изменений в правила финансовой платформы;

Глава 1. Требования по защите информации, которые должно выполнять юридическое лицо, намеревающееся получить статус оператора финансовой платформы

1.1 Юридическое лицо, созданное в организационно-правовой форме акционерного общества в соответствии с законодательством Российской Федерации и намеревающееся получить статус оператора финансовой платформы (далее — соискатель), должно осуществлять защиту информации в отношении эксплуатируемых соискателем автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования в соответствии с требованиями национального стандарта Российской Федерации ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер», утвержденного приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года № 822-ст «Об утверждении национального стандарта Российской Федерации» (М., ФГУП «Стандартинформ», 2017) (далее — ГОСТ Р 57580.1-2017).

Глава 2. Ведение Банком России реестра операторов финансовых платформ

полное и сокращенное (при наличии) наименования на русском языке;

идентификационный номер налогоплательщика (далее — ИНН);

адрес официального сайта в информационно-телекоммуникационной сети «Интернет» (далее — сеть «Интернет»);

сведения о лицах, указанных в части 1 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы» (далее — Федеральный закон от 20 июля 2020 года № 211-ФЗ) (фамилия, имя, отчество (последнее — при наличии); дата и место рождения; серия (при наличии) и номер документа, удостоверяющего личность, наименование органа, выдавшего документ, удостоверяющий личность, дата выдачи документа, удостоверяющего личность (далее — реквизиты документа, удостоверяющего личность); страховой номер индивидуального лицевого счета (далее — СНИЛС) (при наличии), ИНН (при наличии); адрес регистрации по месту жительства; наименование должности, занимаемой лицом, и (или) наименование органа управления, в состав которого входит лицо; дата назначения (избрания) на должность (в орган управления), дата освобождения от должности (прекращения полномочий);

дата исключения сведений об операторе финансовой платформы из реестра операторов финансовых платформ (при наличии).

2.3. Документы, предусмотренные частью 2 статьи 11 Федерального закона от 20 июля 2020 года № 211-ФЗ, представленные с учетом положений, предусмотренных частями 4 — 8 статьи 11 Федерального закона от 20 июля 2020 года № 211-ФЗ, соискателем в Банк России для включения сведений о нем в реестр операторов финансовых платформ, должны соответствовать требованиям, установленным пунктами 2.4 - 2.10 настоящего Положения (далее — документы для включения в реестр операторов финансовых платформ).

2.4. К документу, содержащему расчет собственных средств соискателя, произведенный соискателем на дату не ранее чем за 5 рабочих дней до даты представления в Банк России документов для включения в реестр операторов финансовых платформ (далее — расчетная дата), должны быть приложены следующие документы, содержащие сведения о составе, структуре и стоимости имущества, включаемого в расчет собственных средств.

2.4.1. Решения органа управления соискателя по вопросам, относящимся к формированию и изменению величины уставного, добавочного (при наличии), резервного капитала соискателя, распределению полученной прибыли (при наличии указанного решения), а также по вопросам выкупа соискателем акций акционера (при наличии) (в отношении расчета собственных средств, произведенного соискателем в порядке, установленном приказом Федеральной службы по финансовым рынкам от 16 апреля 2013 года № 13-30/пз-н «Об утверждении Требований к составу собственных средств организаторов торговли, а также к порядку и срокам их расчета», зарегистрированным Министерством юстиции Российской Федерации 27 мая 2013 года № 28523, для организатора торговли (далее — порядок, установленный для организатора торговли).

схемы взаимосвязей между каждым лицом, указанным в абзаце первом части 1 статьи 10 Федерального закона от 20 июля 2020 года № 211-ФЗ, и соискателем, содержащей размер доли участия акционеров соискателя в уставном капитале соискателя (указывается в процентном отношении к величине уставного капитала соискателя) и принадлежащий акционерам соискателя процент голосов к общему количеству голосующих акций соискателя, а также описание взаимосвязей между каждым акционером соискателя и его конечными собственниками (далее — схема взаимосвязей);

документов, содержащих сведения о трудовой деятельности физических лиц, указанных в абзаце первом части 1 статьи 10 Федерального закона от 20 июля 2020 года № 211-ФЗ, включая сведения о трудовой деятельности по совместительству, в течение 5 лет, предшествовавших дате представления в Банк России документов для включения сведений в реестр операторов финансовых платформ;

2.8. Документы для включения в реестр операторов финансовых платформ, составленные на иностранном языке, должны быть представлены соискателем в Банк России с приложением перевода указанных документов на русский язык. Верность перевода и подлинность подписи переводчика должны быть засвидетельствованы в соответствии со статьей 35, частью 1 статьи 38, статьями 46 и 81 Основ законодательства Российской Федерации о нотариате от 11 февраля 1993 года № 4462-1 (Ведомости Съезда народных депутатов Российской Федерации и Верховного Совета Российской Федерации, 1993, № 10, ст. 357; Собрание законодательства Российской Федерации, 2019, № 52, ст. 7798).

2.9. Соискатель, не совмещающий свою деятельность с деятельностью иных финансовых организаций, должен представить в Банк России документы для включения в реестр операторов финансовых платформ одним из следующих способов по выбору соискателя.

Заявление о присвоении статуса оператора финансовой платформы должно быть подписано лицом, осуществляющим функции единоличного исполнительного органа соискателя, или иным уполномоченным на подписание заявления о присвоении статуса оператора финансовой платформы лицом. В случае если заявление о присвоении статуса оператора финансовой платформы подписано уполномоченным лицом, не являющимся единоличным исполнительным органом соискателя, к заявлению о присвоении статуса оператора финансовой платформы должна быть приложена копия документа, наделяющего указанное лицо полномочиями на подписание указанного заявления.

Документы для включения в реестр операторов финансовых платформ, за исключением заявления о присвоении статуса оператора финансовой платформы, анкеты соискателя, документа, подтверждающего выполнение соискателем требований по защите информации, документа, содержащего сведения о лицах, указанных в части 1 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ, схемы взаимосвязей, должны быть представлены в виде копий, заверенных лицом, осуществляющим функции единоличного исполнительного органа соискателя, или иным уполномоченным лицом соискателя, и содержать слова «копия верна», дату заверения, подпись и расшифровку подписи лица, заверившего копию. В случае если документы для включения в реестр операторов финансовой платформы заверены иным уполномоченным лицом, не осуществляющим функции единоличного исполнительного органа соискателя, к документам должна быть приложена копия документа, подтверждающего полномочия лица на совершение указанных действий.

заявление о присвоении статуса оператора финансовой платформы и анкета соискателя в виде электронных документов, сформированных в соответствии с пунктами 1 и 2 части 2 статьи 11 Федерального закона от 20 июля 2020 года № 211-ФЗ;

правила финансовой платформы в виде файлов в формате *.pdf, содержащих их электронную копию, и файлов в формате .docx (.rtf).

*Документы для включения в реестр операторов финансовых платформ, за исключением заявления о присвоении статуса оператора финансовой платформы, анкеты соискателя и правил финансовой платформы, должны быть представлены в виде файлов в формате .pdf, содержащих электронные копии указанных документов.

2.11. Банк России для установления соответствия соискателя требованиям Федерального закона от 20 июля 2020 года № 211-ФЗ и принятых в соответствии с ним нормативных актов Банка России (далее — законодательство об операторах финансовых платформ) в целях установления достоверности сведений, содержащихся в документах для включения в реестр операторов финансовых платформ, должен провести проверочные мероприятия по указанным в анкете соискателя адресу на территории Российской Федерации, по которому планируется осуществление соискателем деятельности оператора финансовой платформы, и адресу (адресам) места (мест) расположения на территории Российской Федерации основного и резервного комплексов программно-технических средств соискателя.

2.12. Банк России не позднее чем за 3 рабочих дня до даты начала проведения проверочных мероприятий должен направить соискателю уведомление о проведении проверочных мероприятий, подписанное руководителем структурного подразделения Банка России (лицом, его замещающим), к компетенции которого относятся вопросы допуска к работе на финансовом рынке некредитных финансовых организаций, одним из следующих способов:

в форме электронного документа в соответствии с порядком взаимодействия (при наличии у соискателя доступа к личному кабинету);

2.13 В ходе проведения проверочных мероприятий служащие Банка России должны:

2.15. В случае противодействия соискателем проведению служащими Банка России проверочных мероприятий служащие Банка России в день выявления обстоятельств, свидетельствующих о факте противодействия, составляют акт о противодействии проведению проверочных мероприятий.

в форме электронного документа в соответствии с порядком взаимодействия (при наличии у соискателя доступа к личному кабинету);

на бумажном носителе заказным почтовым отправлением с уведомлением о вручении (в случае отсутствия у соискателя доступа к личному кабинету).

2.19 Выписка из реестра операторов финансовых платформ должна содержать следующие сведения:

ИНН оператора финансовой платформы;

дату формирования выписки из реестра операторов финансовых платформ.

в форме электронного документа в соответствии с порядком взаимодействия (при наличии у соискателя доступа к личному кабинету);

2.21. В целях обеспечения актуальности сведений, включаемых Банком России в реестр операторов финансовых платформ, оператор финансовой платформы в соответствии с порядком взаимодействия должен представлять в Банк России уведомление об изменении сведений об операторе финансовой платформы, содержащихся в реестре операторов финансовых платформ, заполненное с использованием электронного шаблона указанного уведомления, размещенного на официальном сайте Банка России в сети «Интернет» (далее — уведомление об изменении сведений об операторе финансовой платформы), подписанное усиленной квалифицированной электронной подписью лица, осуществляющего функции единоличного исполнительного органа (иного уполномоченного лица) оператора финансовой платформы, в следующих случаях.

2.21.2. Изменение адреса официального сайта в сети «Интернет», номера контактного телефона и адреса электронной почты — не позднее 3 рабочих дней со дня указанных изменений.

2.21.4. Избрание (назначение) лиц, указанных в частях 4 и 5 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ, избрание (назначение), включая временное исполнение должностных обязанностей, которых требует предварительного согласия Банка России, — не позднее 3 рабочих дней со дня принятия уполномоченным органом оператора финансовой платформы решения о назначении (об избрании) указанных лиц с приложением копии протокола заседания (решения) уполномоченного органа управления оператора финансовой платформы (выписки из него) в виде файла в формате *.pdf.

2.21.6. Возложение временного исполнения обязанностей лиц, указанных в частях 4 и 5 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ, избрание (назначение), включая временное исполнение должностных обязанностей, которых требует предварительного согласия Банка России, — не позднее 10 рабочих дней со дня окончания квартала, в котором лицо временно исполняло указанные обязанности (в отношении всех случаев временного исполнения обязанностей лиц, указанных в частях 4 и 5 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ, избрание (назначение), включая временное исполнение должностных обязанностей, которых требует предварительного согласия Банка России, в течение квартала), с приложением документов, в соответствии с которыми лица временно исполняли обязанности лиц, указанных в частях 4 и 5 статьи 9 Федерального закона от 20 июля 2020 года № 211-ФЗ, избрание (назначение), включая временное исполнение должностных обязанностей, которых требует предварительного согласия Банка России, в виде файлов в формате *.pdf.

2.23. Банк России должен внести изменения в реестр операторов финансовых платформ не позднее 3 рабочих дней, следующих за днем получения уведомления об изменении сведений об операторе финансовой платформы и прилагаемых к нему документов.

2.25. В случае получения от любого лица запроса о предоставлении информации о наличии (об отсутствии) сведений в реестре операторов финансовых платформ Банк России должен направить выписку из реестра операторов финансовых платформ, содержащую сведения, предусмотренные пунктом 2.19 настоящего Положения, либо сообщить об отсутствии в реестре операторов финансовых платформ запрашиваемых сведений не позднее 7 рабочих дней со дня получения указанного запроса способом, которым данный запрос был направлен в Банк России.

Глава 3. Требования к порядку регистрации Банком России изменений в правила финансовой платформы

3.1. Для регистрации изменений в правила финансовой платформы оператор финансовой платформы должен представить в Банк России документы, предусмотренные частью 4 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, подписанные усиленной квалифицированной электронной подписью лица, осуществляющего функции единоличного исполнительного органа (иного уполномоченного лица) оператора финансовой платформы, в соответствии с порядком взаимодействия.

Копия решения уполномоченного органа оператора финансовой платформы об утверждении изменений в правила финансовой платформы должна быть представлена в Банк России в виде файла в формате *.pdf.

3.2. В случае представления документов, предусмотренных частью 4 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, не в полном объеме, Банк России должен направить оператору финансовой платформы уведомление, предусмотренное частью 5 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, а в случае выявления в указанных документах нарушения требований к их оформлению, установленных пунктом 3.1 настоящего Положения, — уведомление с указанием нарушений требований к оформлению документов (далее при совместном упоминании — уведомление о предоставлении исправленных документов) в срок не позднее 5 рабочих дней со дня получения документов, предусмотренных частью 4 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ.

В случае направления Банком России уведомления о предоставлении исправленных документов днем получения Банком России документов, предусмотренных частью 4 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, является день предоставления оператором финансовой платформы в Банк России документов в соответствии с указанным уведомлением.

3.4. В случае непредставления или представления не в полном объеме оператором финансовой платформы документов, указанных в уведомлении о предоставлении исправленных документов, в срок, предусмотренный пунктом 3.3 настоящего Положения, Банк России не позднее 7 рабочих дней со дня окончания указанного срока должен направить в соответствии с порядком взаимодействия оператору финансовой платформы уведомление о прекращении рассмотрения поступивших документов для регистрации изменений в правила финансовой платформы.

3.5. В случае наличия одного из оснований для отказа в регистрации изменений в правила финансовой платформы, указанных в части 6 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, Банк России должен принять решение об отказе в регистрации изменений в правила финансовой платформы.

3.6. Решение Банка России о регистрации (об отказе в регистрации) изменений в правила финансовой платформы должно быть оформлено в виде уведомления о регистрации (об отказе в регистрации) указанных изменений, содержащего дату принятия Банком России решения, а в случае принятия Банком России решения об отказе в регистрации изменений в правила финансовой платформы — также обоснование принятия Банком России указанного решения.

Банк России не позднее срока, предусмотренного частью 3 статьи 16 Федерального закона от 20 июля 2020 года № 211-ФЗ, должен направить в соответствии с порядком взаимодействия оператору финансовой платформы уведомление о регистрации (об отказе в регистрации) изменений в правила финансовой платформы.

В случае принятия Банком России решения о регистрации изменений в правила финансовой платформы указанные правила должны быть размещены Банком России на его официальном сайте в сети «Интернет» не позднее рабочего дня, следующего за днем направления оператору финансовой платформы уведомления об их регистрации.

Глава 4. Заключительные положения

4.1. Настоящее Положение вступает в силу по истечении 10 дней после дня его официального опубликования.

Председатель Центрального банка Российской Федерации Э. С. Набиуллина

Приложение 1 к Положению Банка России от 3 декабря 2020 года № 742-П «О требованиях по защите информации, которые должно выполнять юридическое лицо, намеревающееся получить статус оператора финансовой платформы, о ведении Банком России реестра операторов финансовых платформ и о требованиях к порядку регистрации Банком России изменений в правила финансовой платформы»

(Форма)

| Руководитель (уполномоченное лицо) соискателя | | | --- | --- |

|  | (фамилия, имя, отчество (последнее - при наличии) |
|  |  |
|  | (дата, подпись) |

Порядок заполнения документа, подтверждающего выполнение юридическим лицом, намеревающимся получить статус оператора финансовой платформы, требований по защите информации

1. Объектом оценки, предусмотренной разделом 1 документа, подтверждающего выполнение юридическим лицом, намеревающимся получить статус оператора финансовой платформы, требований по защите информации (далее — Документ о защите информации), являются технологии обработки защищаемой информации при формировании (подготовке), передаче и приеме электронных сообщений (указаний), удостоверении права клиентов распоряжаться денежными средствами, ценными бумагами или иным имуществом, совершении финансовых сделок с использованием финансовой платформы, предусмотренной пунктом 1 части 1 статьи 2 Федерального закона от 20 июля 2020 года № 211-ФЗ (далее — финансовые операции), учете результатов их осуществления, хранении электронных сообщений (указаний) и информации о совершенных финансовых операциях на основе анализа рисков.

Заполнение раздела 1 Документа о защите информации осуществляется на основе оценки соответствия выполнения соискателем технологических мер защиты информации, перечисленных в таблице 1 настоящего порядка, проведенной в соответствии с подпунктами 1.1 - 1.5 настоящего пункта.

Таблица 1

1.1. В строке 1.1 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации ( E_{\text{ТМП}} ), которое рассчитывается по формуле:

E_{\text{ТМП}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{По}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Пп}_{i}}}{2N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 1 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 1 настоящего порядка;

E_{\text{По}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации по вопросу определения области применения меры защиты информации, где значение равно «1», если область применения меры защиты информации определена («да»), значение равно «0», если область применения меры защиты информации не определена («нет»);

E_{\text{Пп}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации по вопросу определения порядка применения меры защиты информации, где значение равно «1», если порядок применения меры защиты информации определен («да»), значение равно «0», если порядок применения меры защиты информации не определен («нет»).

1.2. В строке 1.2 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации ( E_{\text{ТМР}} ), которое рассчитывается по формуле:

E_{\text{ТМР}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Рм}_{i}}}{N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 1 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 1 настоящего порядка;

E_{\text{Рм}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации, равное следующим показателям:

1 — «да» («постоянно», «всегда», «в полном объеме»);

0.75 — «в основном да» («почти постоянно», «почти всегда», «почти в полном объеме»);

0.5 — «частично» («отчасти да», «не всегда», «в некоторых случаях»);

0.25 — «в основном нет» («непостоянно», «почти никогда»);

0 — «нет» («никогда», «ни в каких случаях»).

1.3. В строке 1.3 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации ( E_{\text{ТМК}} ), которое рассчитывается по формуле:

E_{\text{ТМК}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Ко}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кп}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кз}_{i}}}{3N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 1 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 1 настоящего порядка;

E_{\text{Ко}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля области применения меры защиты информации, где значение равно «1», если контроль области применения меры защиты информации обеспечен («да»), значение равно «0», если контроль области применения меры защиты информации не обеспечен («нет»);

E_{\text{Кп}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля должного применения меры защиты информации, где значение равно «1», если контроль должного применения меры защиты информации обеспечен («да»), значение равно «0», если контроль должного применения меры защиты информации не обеспечен («нет»);

E_{\text{Кз}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля знаний работников соискателя в части применения меры защиты информации, где значение равно «1», если контроль знаний работников соискателя в части применения меры защиты информации обеспечен («да»), значение равно «0», если контроль знаний работников соискателя в части применения меры защиты информации не обеспечен («нет»).

1.4. В строке 1.4 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации ( E_{\text{ТМС}} ), которое рассчитывается по формуле:

E_{\text{ТМС}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Си}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Сн}_{i}}}{2N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 1 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 1 настоящего порядка;

E_{\text{Си}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации, где значение равно «1», если анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации осуществляется («да»), значение равно «О», если анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации не осуществляется («нет»);

E_{\text{Сн}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации, где значение равно «1», если анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации осуществляется, значение равно «0», если анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации не осуществляется («нет»).

1.5. В строке 1.5 Документа о защите информации указывается значение обобщающего показателя уровня оценки соответствия по направлению «Технологические меры» (ЕТМ), которое рассчитывается по формуле:

E_{\text{ТМ}} = 0,2E_{\text{ТМП}} + 0,4E_{\text{ТМР}} + 0,25E_{\text{ТМК}} + 0,15E_{\text{ТМС}},

где:

E_{\text{ТМП}} — значение оценки, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации, рассчитанное в соответствии с подпунктом 1.1 настоящего пункта;

E_{\text{ТМР}} — значение оценки, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации, рассчитанное в соответствии с подпунктом 1.2 настоящего пункта;

E_{\text{ТМК}} — значение оценки, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации, рассчитанное в соответствии с подпунктом 1.3 настоящего пункта;

E_{\text{ТМС}} — значение оценки, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации, рассчитанное в соответствии с подпунктом 1.4 настоящего пункта.

2. Объектом оценки, предусмотренной разделом 2 Документа о защите информации, является прикладное программное обеспечение автоматизированных систем и приложений, распространяемых соискателем своим клиентам для осуществления действий в целях совершения финансовых операций, а также программное обеспечение, обрабатывающее защищаемую информацию при приеме электронных сообщений (указаний) к исполнению в автоматизированных системах и приложениях с использованием сети «Интернет».

Заполнение раздела 2 Документа о защите информации осуществляется на основе проведенной в соответствии с подпунктами 2.1 - 2.5 настоящего пункта оценки соответствия выполнения мер, предусмотренных таблицей 2 настоящего порядка.

Таблица 2

2.1. В строке 2.1 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации ( E_{\text{ПОП}} ), которое рассчитывается по формуле:

E_{\text{ПОП}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{По}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Пп}_{i}}}{2N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 2 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 2 настоящего порядка;

E_{\text{По}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации по вопросу определения области применения меры защиты информации, где значение равно «1», если область применения меры защиты информации определена («да»), значение равно «0», если область применения меры защиты информации не определена («нет»);

E_{\text{Пп}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации по вопросу определения порядка применения меры защиты информации, где значение равно «1», если порядок применения меры защиты информации определен («да»), значение равно «0», если порядок применения меры защиты информации не определен («нет»).

2.2. В строке 2.2 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации ( E_{\text{ПОР}} ), которое рассчитывается по формуле:

E_{\text{ПОР}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Рм}_{i}}}{N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 2 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 2 настоящего порядка;

E_{\text{Рм}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации, равное следующим показателям:

1 — «да» («постоянно», «всегда», «в полном объеме»);

0.75 — «в основном да» («почти постоянно», «почти всегда», «почти в полном объеме»);

0.5 — «частично» («отчасти да», «не всегда», «в некоторых случаях»);

0.25 — «в основном нет» («непостоянно», «почти никогда»);

0 — «нет» («никогда», «ни в каких случаях»).

2.3. В строке 2.3 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса контроля реализации мер защиты информации ( E_{\text{ПОК}} ), которое рассчитывается по формуле:

E_{\text{ПОК}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Ко}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кп}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кз}_{i}}}{3N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 2 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 2 настоящего порядка;

E_{\text{Ко}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля области применения меры защиты информации, где значение равно «1», если контроль области применения меры защиты информации обеспечен («да»), значение равно «0», если контроль области применения меры защиты информации не обеспечен («нет»);

E_{\text{Кп}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля должного применения меры защиты информации, где значение равно «1», если контроль должного применения меры защиты информации обеспечен («да»), значение равно «0», если контроль должного применения меры защиты информации не обеспечен («нет»);

E_{\text{Кз}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации по вопросу контроля знаний работников соискателя в части применения меры защиты информации, где значение равно «1», если контроль знаний работников соискателя в части применения меры защиты информации обеспечен («да»), значение равно «0», если контроль знаний работников соискателя в части применения меры защиты информации не обеспечен («нет»).

2.4. В строке 2.4 Документа о защите информации указывается значение оценки, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации ( E_{\text{ПОС}} ), которое рассчитывается по формуле:

E_{\text{ПОС}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Си}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Сн}_{i}}}{2N} ,

где:

i — порядковый номер оцениваемой меры защиты информации, указанной в таблице 2 настоящего порядка;

N — общее количество мер защиты информации, указанных в таблице 2 настоящего порядка;

E_{\text{Си}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружение инцидентов защиты информации, где значение равно «1», если анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации осуществлен («да»), значение равно «0», если анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации не осуществлен («нет»);

E_{\text{Сн}_{i}} — значение оценки i-й меры защиты информации, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации, где значение равно «1», если анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации осуществлен («да»), значение равно «0», если анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации не осуществлен («нет»).

2.5. В строке 2.5 Документа о защите информации указывается значение обобщающего показателя уровня оценки соответствия по направлению «Безопасность программного обеспечения» ( E_{\text{ПО}} ), которое рассчитывается по формуле:

E_{\text{ПО}} = 0,2E_{\text{ПОП}} + 0,4E_{\text{ПОР}} + 0,25E_{\text{ПОК}} + 0,15E_{\text{ПОС}},

где:

E_{\text{ПОП}} — значение оценки, характеризующей выполнение требований, в рамках процесса планирования применения мер защиты информации, рассчитанное в соответствии с подпунктом 2.1 настоящего пункта;

E_{\text{ПОР}} — значение оценки, характеризующей выполнение требований, в рамках процесса реализации мер защиты информации, рассчитанное в соответствии с подпунктом 2.2 настоящего пункта;

E_{\text{ПОК}} — значение оценки, характеризующей выполнение требований, в рамках процесса контроля применения мер защиты информации, рассчитанное в соответствии с подпунктом 2.3 настоящего пункта;

E_{\text{ПОС}} — значение оценки, характеризующей выполнение требований, в рамках процесса совершенствования применения мер защиты информации, рассчитанное в соответствии с подпунктом 2.4 настоящего пункта.

3. Заполнение сведений раздела 3 Документа о защите информации осуществляется в соответствии с требованиями к методике оценки соответствия защиты информации, установленными разделом 7 ГОСТ Р 57580.2-2018.

3.1. В рамках направления «Безопасность информационной инфраструктуры» соискателем проводится оценка применения организационных и технических мер процесса системы защиты информации, указанных в ГОСТ Р 57580.1-2017.

Объектом оценки применения организационных и технических мер процесса системы защиты информации в рамках направления «Безопасность информационной инфраструктуры» являются автоматизированные системы, программное обеспечение, средства вычислительной техники, телекоммуникационного оборудования, эксплуатация которых осуществляется соискателем.

3.2. Оценка выполнения соискателем требований по защите информации по направлению «Безопасность информационной инфраструктуры» осуществляется соискателем с привлечением сторонних организаций, имеющих лицензию на проведение работ и услуг, предусмотренных подпунктами «б», «д» или «е» пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 года № 79 «О лицензировании деятельности по технической защите конфиденциальной информации» (Собрание законодательства Российской Федерации, 2012, № 7, ст. 863; 2016, № 26, ст. 4049).

4. В строке 4.1 Документа о защите информации указывается значение итогового показателя уровня оценки соответствия (RОС), которое приравнивается к среднеарифметическому значению обобщающих показателей оценки соответствия по направлениям «Технологические меры» (ЕТМ), «Безопасность программного обеспечения» (ЕПО) и итоговой оценки соответствия R раздела 3 Документа о защите информации.

Приложение № 2 к Положению Банка России от 3 декабря 2020 года № 742-П «О требованиях по защите информации, которые должно выполнять юридическое лицо, намеревающееся получить статус оператора финансовой платформы, о ведении Банком России реестра операторов финансовых платформ, и о требованиях к порядку регистрации Банком России изменений в правила финансовой платформы»

(Форма)

| | | --- | | (инициалы, фамилия, подпись руководителя (уполномоченного лица) соискателя, дата подписания) |

<1> Заполняется в отношении лица, осуществляющего функции единоличного исполнительного органа соискателя, его заместителя.

<2> Заполняется в отношении лица, осуществляющего функции главного бухгалтера соискателя, его заместителя.

оператора финансовой платформы,

| Руководитель (уполномоченное лицо)
оператора финансовой платформы | | | --- | --- |

|  | (фамилия, имя, отчество (последнее - при наличии) |
|  |  |
|  | (дата, подпись) |