Письмо Банка России от 11.06.2024 № 34-8-1-2/1817

«Об управлении рисками при осуществлении профессиональной деятельности»

Профессиональные участники рынка ценных бумаг, осуществляющие деятельность по ведению реестра владельцев ценных (далее — Регистраторы), оказывают услуги, направленные на учет и хранение конфиденциальной информации в отношении прав собственности по ценным бумагам акционерных обществ, включая хозяйственные общества, имеющие стратегическое значение для обеспечения обороны страны и безопасности государства <1>. Также Регистраторы обязаны организовать систему управления рисками, содержащую систему мониторинга рисков такого регистратора, обеспечивающую своевременное доведение необходимой информации до сведения органов управления регистратора <2>.

---

<1> Статья 6 Федерального закона от 29.04.2008 № 57-ФЗ «О порядке осуществления иностранных инвестиций в хозяйственные общества, имеющие стратегическое значение для обеспечения обороны страны и безопасности государства».

<2> Пункт 1.1 Указания Банка России от 21.08.2017 № 4501-У «О требованиях к организации профессиональным участником рынка ценных бумаг системы управления рисками, связанными с осуществлением профессиональной деятельности на рынке ценных бумаг и с осуществлением операций с собственным имуществом, в зависимости от вида деятельности и характера совершаемых операций» (далее — Указание № 4501-У).

Исходя из изложенного, Банк России проанализировав практику взаимодействия Регистраторов с юридическими лицами, являющимися поставщиками (разработчиками) программного обеспечения, необходимого для работы критически важных процессов Регистраторов (далее — Поставщик), рекомендует Регистраторам при осуществлении своей деятельности, для минимизации рисков профессионального участника, принимать во внимание следующее.

1. При выборе Поставщика для последующего заключения и (или) продления с ним договора о поставке (разработке) программного обеспечения и (или) технической поддержки поставляемого программного обеспечения (далее — договор), следует запрашивать у Поставщика или иным образом получать информацию, необходимую для анализа наличия ресурсов, компетенций, разрешений (лицензий) у такого Поставщика, а также информацию для оценки возможных рисков такого Поставщика. Указанная информация должна учитываться при выборе соответствующего Поставщика и последующем заключении с ним договора.

2. При заключении и (или) продлении договора с Поставщиком целесообразно включать в договор, в том числе следующие условия:

• об обеспечении в отношении поставляемого (разрабатываемого) программного обеспечения, указанного в пункте 1.8 Положения Банка России от 20.04.2021 № 757-П <3>, сертификации в системе сертификации Федеральной службы по техническому и экспортному контролю или оценки соответствия по требованиям к оценочному уровню доверия (далее — ОУД) не ниже, чем ОУД 4, в соответствии с требованиями национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности», утвержденного приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 года № 1340-ст «Об утверждении национального стандарта» (М., ФГУП «Стандартинформ», 2014) (далее — ГОСТ Р ИСО/МЭК 15408-3-2013) при каждом внесении изменений в исходный текст программного обеспечения, реализующий технологию обработки защищаемой информации в соответствии с пунктом 1.10 настоящего Положения Банка России № 757-П <4>;

---

<3> Положение Банка России от 20.04.2021 № 757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций».

<4> Настоящая рекомендация актуальна и для случаев самостоятельной разработки Регистратором используемого им программного обеспечения.

• требования к уровню и качеству предоставления услуг с учетом требований по обеспечению информационной безопасности и защите конфиденциальной информации;
• требования к созданию условий непрерывности предоставления услуг (требования к Service Level Agreement, SLA) и к инструментам по мониторингу этого уровня;
• требования об обязательном информировании Регистратора в течение предусмотренного договором времени после выявления ошибок (уязвимостей) поставленного (разработанного) программного обеспечения, а также о мерах, принятых Поставщиком для их устранения;
• требования о наличии у Поставщика защищенных зон разработки и тестирования программного обеспечения;
• иные требования, позволяющие эффективно организовать выявление, анализ и оценку рисков Регистратора (например, статический и динамический анализ кода).

3. При реализации требований и мероприятий, предусмотренных Указанием № 4501-У, необходимо идентифицировать риск невозможности предоставления услуг по технической поддержке поставляемого программного обеспечения Поставщиком Регистратору как риск, который может привести к невозможности непрерывного осуществления дальнейшей деятельности профессионального участника <5>. Информация о выявленном риске, а также перечень мероприятий по снижению риска или его исключению должны доводиться до сведения органов управления Регистратора, которым следует обеспечить надлежащий контроль за выполнением соответствующих процессов и мероприятий <6>.

---

<5> Пункт 1.2 Указания № 4501-У.

<6> Пункты 1.1 и 2.4 Указания № 4501-У.

4. Банк России, участвуя в реализации мер по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации, контролирует планы перехода субъектов критической информационной инфраструктуры <7>. Планирование позволяет Банку России и финансовым организациям осуществлять организацию и контроль за процессом перехода, а также учитывать и планировать необходимые расходы и риски. Исходя из указанного опыта, Регистраторам, при планировании деятельности на будущий период, в том числе в части перехода на преимущественное применение доверенных программно-аппаратных комплексов, следует учитывать необходимость развития программно-технических средств Регистратора в соответствии с требованиями законодательства Российской Федерации, потребностями клиентов Регистратора, а также текущими тенденциями развития бизнеса и новых технологий. Для этих целей целесообразно разрабатывать и утверждать стратегию или планы соответствующего развития программно-технических средств Регистратора на период, превышающий 1 год.

---

<7> Указ Президента Российской Федерации от 30 марта 2022 г. № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации», Постановление Правительства РФ от 14.11.2023 № 1912 «О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации».

5. Регистратор, в своей деятельности, в том числе при взаимодействии с Поставщиком, обязан обеспечить соблюдение конфиденциальности информации <8>.

---

<8> Статьи 8.6 и 8.6-1 Федерального закона от 22.04.1996 № 39-ФЗ «О рынке ценных бумаг».

Дополнительно обращаем внимание Регистраторов на обязанность выполнения требований к операционной надежности в отношении взаимодействия с поставщиками услуг в сфере информационных технологий <9>, а также на Методические рекомендации по управлению риском информационной безопасности и обеспечению операционной надежности от 21 марта 2024 года № 7-МР, разработанные в целях содействия реализации требований к операционной надежности.

---

<9> Пункт 1.7 Положения Банка России от 15.11.2021 № 779-П «Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ „О Центральном банке Российской Федерации (Банке России)“, в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)».

---