«О внесении изменений в некоторые нормативные правовые акты Национального банка Кыргызской Республики по вопросу аудита информационной безопасности»

Постановление Правления

Национального банка

Кыргызской Республики

от 12 апреля 2024 года

№ 2024-П-12/17-2-(НПА)

О внесении изменений в некоторые нормативные правовые акты

Национального банка Кыргызской Республики

по вопросу аудита информационной безопасности

В соответствии со статьями 5, 9 и 64 конституционного Закона Кыргызской Республики «О Национальном банке Кыргызской Республики» Правление Национального банка Кыргызской Республики постановляет:

1. Внести изменения в следующие постановления Правления Национального банка Кыргызской Республики (прилагаются):

- «Об утверждении Положения «О требованиях к формированию финансовой отчетности коммерческих банков Кыргызской Республики» от 12 марта 2010 года № 6/2;

- «Об утверждении Положения «О критериях системности коммерческих банков и небанковских финансово-кредитных организаций» от 8 июня 2017 года № 2017-П-12/23-9-(НПА);

- «Об утверждении Положения «О минимальных требованиях к внешнему аудиту банков и других финансово-кредитных организаций, лицензируемых Национальным банком Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-2-(НПА);

- «Об утверждении Правил формирования системы внутреннего контроля и внутреннего аудита в банках и небанковских финансово-кредитных организациях, лицензируемых и регулируемых Национальным банком Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-3-(НПА);

- «Об утверждении Положения «О минимальных требованиях по управлению рисками в банках Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-8-(НПА).

2. Настоящее постановление вступает в силу с 1 июля 2024 года.

3. Юридическому управлению:

- со дня получения соответствующих документов в течение 3 (трех) рабочих дней опубликовать настоящее постановление на официальном интернет-сайте Национального банка Кыргызской Республики;

- после официального опубликования направить настоящее постановление в Министерство юстиции Кыргызской Республики для внесения в Государственный реестр нормативных правовых актов Кыргызской Республики.

4. Управлению методологии надзора после официального опубликования в течение 3 (трех) рабочих дней довести настоящее постановление до сведения ОЮЛ «Союз банков Кыргызстана», коммерческих банков, ОАО «Государственный банк развития Кыргызской Республики», структурных подразделений, областных управлений и Представительства Национального банка Кыргызской Республики в Баткенской области.

5. Контроль за исполнением настоящего постановления возложить на члена Правления Национального банка Кыргызской Республики, курирующего управление методологии надзора.

Председатель К. Боконтаев

Приложение

к постановлению Правления

Национального банка

Кыргызской Республики

от 12 апреля 2024 года

№ 2024-П-12/17-2-(НПА)

Изменения в некоторые нормативные правовые акты

Национального банка Кыргызской Республики

по вопросу аудита информационной безопасноти

1. Внести в постановление Правления Национального банка Кыргызской Республики «Об утверждении Положения «О требованиях к формированию финансовой отчетности коммерческих банков Кыргызской Республики» от 12 марта 2010 года № 6/2 следующие изменения:

в Положении «О требованиях к формированию финансовой отчетности коммерческих банков Кыргызской Республики», утвержденном вышеуказанным постановлением:

- в первом предложении пункта 26 исключить слово «/или»;

- в первом предложении пункта 31 исключить слово «/или».

2. Внести в постановление Правления Национального банка Кыргызской Республики «Об утверждении Положения «О критериях системности коммерческих банков и небанковских финансово-кредитных организаций» от 8 июня 2017 года № 2017-П-12/23-9-(НПА) следующие изменения:

в Положении «О критериях системности коммерческих банков и небанковских финансово-кредитных организаций», утвержденном вышеуказанным постановлением:

- пункт 10 дополнить абзацами следующего содержания:

«Качественные характеристики, применяемые для оценки системной значимости банков в банковской системе, определяются на основе следующей информации:

а) количество корреспондентских счетов и обороты по ним;

б) количество выпущенных в обращение/действующих карт и объем транзакций;

в) наличие мобильных кошельков/приложений, интернет-банкинга и систем быстрых платежей;

г) участие в реализации государственных программ;

д) доля непроцентных доходов в структуре доходов банка;

е) доля государственных средств в банке и связь банка с государством;

ж) доля иностранных средств в капитале банка;

з) доступность и обширность сети банкоматов, терминалов.»;

- первое предложение второго абзаца пункта 13 после слов «отчетных периодов» дополнить словом «(ежеквартально)».

3. Внести в постановление Правления Национального банка Кыргызской Республики «Об утверждении Положения о минимальных требованиях к внешнему аудиту банков и других финансово-кредитных организаций, лицензируемых Национальным банком Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-2-(НПА) следующие изменения:

в Положении о минимальных требованиях к внешнему аудиту банков и других финансово-кредитных организаций, лицензируемых Национальным банком Кыргызской Республики, утвержденном вышеуказанным постановлением:

- в пункте 3:

пятый абзац изложить в следующей редакции:

«Внешний аудит информационной безопасности – независимая комплексная проверка внешним аудитором технических регламентов и требований банка, позволяющих обеспечить безопасность и защиту информации и самих банковских систем от неправомерного вмешательства и иных угроз (рисков).»;

дополнить абзацами следующего содержания:

«DDoS-атака (distributed denial of service) – целенаправленная атака путем подачи большого количества запросов в целях прекращения или затруднения работы информационной системы.

Anti-fraud системы – программные комплексы для предотвращения мошеннических транзакций.

Sql-инъекция - уязвимость, которая позволяет атакующему использовать фрагмент вредоносного кода на языке структурированных запросов (SQL) для манипулирования базой данных и получения доступа к информации.

Dmz-зона – часть локальной сети, предназначенная для размещения сетевых устройств взаимодействующих с внешними сетями, в частности с сетью интернет.»;

- второй абзац пункта 11 изложить в следующей редакции:

«При заключении договора на проведение аудиторской проверки финансовой отчетности должны быть включены требования, изложенные в главе 5 настоящего Положения, и в договоре на проведение аудита информационной безопасности – требования, изложенные в главе 6 настоящего Положения.»;

- пункт 21 изложить в следующей редакции:

«21. Руководитель аудита информационной безопасности для проведения внешнего аудита информационной безопасности должен обладать:

- квалификационным сертификатом (одним из CISA, CISM, CISSP и т.д.);

- опытом аудита информационных систем и/или информационной безопасности финансово-кредитных организаций.»;

- наименование главы 6 «Аудит информационных систем» изложить в следующей редакции: «6. Аудит информационной безопасности»;

- пункт 37 изложить в следующей редакции:

«37. Банки должны проводить внешний аудит информационной безопасности минимум один раз в два года. Срок проведения внешнего аудита информационной безопасности определяется из расчета двух последовательных лет с даты проведения последнего внешнего аудита информационной безопасности.

При этом системно значимые банки, определяемые по количественным показателям в соответствии с Положением «О критериях системности коммерческих банков и небанковских финансово-кредитных организаций», а также банки, которые предоставляют дистанционные финансовые услуги (если объем данных операций свыше 10% от активов банка), должны проводить внешний аудит информационной безопасности ежегодно.

В случае получения банком сертификации в соответствии с международным стандартом ISO 27001 «Система менеджмента информационной безопасности» и последующего соответствия этому стандарту внешний аудит информационной безопасности может проводиться раз в три года.

Банк должен проводить внешний аудит информационной безопасности дочерней компании, предоставляющей услуги по разработке финансовых технологий для реализации банковских услуг. Аудит информационной безопасности банка и его дочерней компании, предоставляющей услуги по разработке финансовых технологий для реализации банковских услуг, должен осуществляться одной аудиторской организацией.»;

- главу 6 «Аудит информационных систем» дополнить пунктами 37-1, 37-2, 37-3, 37-4 и 37-5 следующего содержания:

«37-1. В программе внешнего аудита, помимо соблюдений требований Положения о требованиях по обеспечению информационной безопасности в коммерческих банках Кыргызской Республики, дополнительно отражаются следующие вопросы/разделы:

- защита важной информации: шифрование данных (сокрытие данных по картам клиентов банка) и предотвращение утечек, управление неструктурированными данными (например, видео- и аудиозаписи), использование защищенных протоколов обмена с третьими лицами, использование многофакторной аутентификации, использование сертификатов безопасности;

- безопасность инфраструктуры: оценка обеспеченностью серверными и сетевыми ресурсами, оценка защиты виртуальных ресурсов и комплексной защиты от направленных атак, проверка наличия установки актуальных версий операционных систем и патчей безопасности, наличие использования банком внешних облачных ресурсов и другие;

- мониторинг: оценка управления инцидентами и цифровыми расследованиями инцидентов, анализ управления учетными записями и удаленным доступом к инфраструктуре, контроль привилегированных пользователей, анализ полноты логов систем для цифровых расследований;

- защита от взломов и мошенничества: использование anti-fraud систем, защита от DDoS-атак и sql-инъекций, использование нагрузочных тестов на отказ в обслуживании, защита систем от межсайтового скриптинга и другие;

- защита приложений и баз данных: оценка защищённости баз данных, оценка мер безопасности программного кода приложений банка и использование автоматизированных инструментов проверки уязвимости кода, таких как статический и динамический анализаторы (SAST и DAST), в том числе мобильного и интернет-банкинга, в случае наличия в банке внутренней разработки программного обеспечения;

- сетевая безопасность: оценка топологии сети на предмет выделения подсети с серверами, POS-терминалами и банкоматами, подсети администрирования для привилегированных пользователей, наличия dmz-зон, наличия актуальных версий операционных систем и патчей безопасности; изучение полноты настроек систем предотвращения сетевых вторжений и сетевых аномалий; наличие межсетевых экранов и сканеров безопасности с актуальными подписками.

Акцентированные области внешнего аудита должны регулярно пересматриваться банком в зависимости от актуальности. Национальный банк вправе дополнительно рекомендовать банку включить в планируемый внешний аудит акцентированные области по результатам предыдущего аудита и/или при наличии инцидентов по информационной безопасности.

37-2. Техническое задание для внешнего аудита должно утверждаться/согласовываться ответственными лицами банка по информационной безопасности и информационным технологиям.

37-3. Банк при необходимости может проводить целевой аудит компонентов информационных систем на этапе создания, внедрения и экплуатации новых информационных систем. Однако целевой аудит не исключает проведения внешнего аудита информационной безопасности.

37-4. Целевой аудит может быть самостоятельно внепланово инициирован банком и проведен в качестве узкоспециализированного аудита, направленного на отдельный элемент инфраструктуры, для оценки бизнес-процесса либо на соответствие конкретным критериям как быстродействие, безопасность, надежность, производительность или признанным международным стандартам (PCI DSS, COBIT, ITIL, ISO, NIST и другие).

37-5. При внедрении банком нового приложения для удаленного доступа клиентов (мобильный и интернет-банкинг) банк должен провести целевой внешний аудит безопасности программного кода в случае наличия в банке внутренней разработки программного обеспечения. Результаты целевого аудита должны быть предоставлены в Национальный банк в течение 10 дней после получения отчета аудита.»;

- пункт 38 изложить в следующей редакции:

«38. В ходе и для целей аудита информационной безопасности внешний аудитор должен:

а) обозначить сроки проведения аудита, область аудита (проверяемые информационные системы, процессы, документы), подходы и применяемые инструменты аудита;

б) осуществить анализ и оценку соответствия информационных систем и процессов банка требованиям:

- нормативных правовых актов Национального банка в части информационной безопасности;

- внутренних политик/процедур информационных систем банка, утвержденных руководством банка.»;

- пункт 39 изложить в следующей редакции:

«39. При проведении внешнего аудита информационной безопасноси как минимум необходимо:

а) оценить внутренние документы по обеспечению информационной безопасности на предмет их необходимости, достаточности и соответствия требованиям законодательства Кыргызской Республики, нормативных правовых актов Национального банка;

б) изучить стратегические документы банка, бизнес-планы, политики и процедуры по управлению рисками информационной безопасности в целях оценки их адекватности, достаточности и актуальности;

в) оценить систему управления информационной безопасности и систему управления операционными рисками;

г) оценить систему обеспечения непрерывности деятельности информационных систем и планов восстановления информационных систем в случае чрезвычайных ситуаций;

д) оценить риски, связанные с угрозами нарушения информационной безопасности в отношении активов банка, идентификацировать уязвимости информационных систем;

е) рассмотреть степень защищенности информационных систем в филиалах, если в них наблюдается низкий уровень централизации и размещены критические элементы инфраструктуры;

ж) оценить систему управления доступом и распределения ролей в автоматизированных системах;

з) оценить уровень осведомленности персонала банка в области информационной безопасности и меры банка по информированию персонала;

и) рассмотреть вопросы соблюдения требований законодательства в отношении прав интеллектуальной собственности и использования лицензионных программных продуктов;

к) оценить выполнение рекомендаций предыдущих внешних аудиторских проверок в виде разработки новых или совершенствования действующих внутренних процедур банка, а также мер по улучшению системы защищенности информационных систем;

л) оценить систему управления рисками поставщиков услуг по критичным информационным системам банка в случае передачи банком бизнес-процессов по управлению информационными технологиями на аутсорсинг.»;

- главу 6 «Аудит информационных систем» дополнить пунктом 39-1 следующего содержания:

«39-1. По результатам аудита информационной безопасности внешний аудитор представляет оценку текущего состояния информационных систем и степень их защищенности.

По результатам аудита дочерней компании, предоставляющей услуги по разработке финансовых технологий для реализации банковских услуг, составляются отчеты на отдельной или консолидированной основе.»;

- пункт 40 изложить в следующей редакции:

«40. В аудиторском заключении должна быть отражена информация в соответствии с Международными стандартами аудита и требованиями Национального банка, в том числе рекомендации, которые должны быть включены в программу аудита.»;

- подпункт 1 пункта 41 изложить в следующей редакции:

«1) представить Национальному банку заверенную копию аудиторского заключения вместе с финансовой отчетностью и письмом аудитора к руководству банка, включая рекомендации внешнего аудитора, за пять рабочих дней до дня проведения годового общего собрания акционеров;»;

- пункт 42 изложить в следующей редакции:

«42. По завершении аудита информационной безопасности банк обязан представить Национальному банку заверенную копию аналитического отчета по результатам аудита информационной безопасности и письмо руководству в течение 5 (пяти) рабочих дней.

Аналитический отчет по результатам аудита информационной безопасности должен содержать как минимум информацию о масштабах аудита, использованных подходах аудита, информацию по исполнению рекомендаций предыдущих аудитов, краткие выводы о выявленных рисках, рекомендации, общее заключение по итогам аудита.»;

- пункт 49 дополнить абзацем следующего содержания:

«В случае выявления рисков и недостатков в деятельности банка Национальный банк вправе дополнительно рекомендовать внешнему аудитору включить в программу аудита и оценки проверку указанных вопросов.»;

- девятый абзац пункта 53 изложить в следующей редакции:

«- оценки системы управления рисками информационной безопасности как категории операционного риска.»;

- пункт 54 изложить в следующей редакции:

«54. В соответствии с законодательством Кыргызской Республики Национальный банк вправе потребовать от банка проведения внепланового аудита.

Национальный банк вправе назначить проведение внепланового целевого аудита в банке при возникновении событий/инцидентов информационной безопасности, приведших к фактам мошенничества, кражам, взлому системы и иным угрозам, которые могут принести существенные убытки банку в результате недостатков в системе управления информационной безопасностью.

При этом услуги аудиторской организации оплачиваются банком.»;

- пункт 57 дополнить четвертым абзацем следующего содержания:

«- оперативно принимать меры по устранению выявленных аудиторской проверкой недостатков по информационной безопасности в целом, в том числе по рискам и угрозам, которые могут привести к убыткам и потерям в банке.».

4. Внести в постановление Правления Национального банка Кыргызской Республики «Об утверждении Правил формирования системы внутреннего контроля и внутреннего аудита в банках и небанковских финансово-кредитных организациях, лицензируемых и регулируемых Национальным банком Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-3-(НПА) следующие изменения:

в Правилах формирования системы внутреннего контроля и внутреннего аудита в банках и небанковских финансово-кредитных организациях, лицензируемых и регулируемых Национальным банком Кыргызской Республики, утвержденных вышеуказанным постановлением:

- третий абзац подпункта 2 пункта 24 изложить в следующей редакции:

«- программный контроль, который осуществляется встроенными в прикладные программы автоматизированными процедурами, а также выполняемыми вручную процедурами, контролирующими обработку банковских операций и других сделок (контрольное редактирование, контроль логического доступа, внутренние процедуры резервирования и восстановления данных, контроль создания транзитных счетов (счета, на которых временно хранятся средства), контроль записей, удаленных вручную в информационных системах и т.п.).»;

- пункт 25 дополнить одиннадцатым абзацем следующего содержания:

«- осуществления регулярного контроля операций, проводимых через транзитные счета.».

5. Внести в постановление Правления Национального банка Кыргызской Республики «Об утверждении Положения «О минимальных требованиях по управлению рисками в банках Кыргызской Республики» от 15 июня 2017 года № 2017-П-12/25-8-(НПА) следующее изменение:

в Положении «О минимальных требованиях по управлению рисками в банках Кыргызской Республики», утвержденном вышеуказанным постановлением:

- главу 10 «Операционный риск» дополнить пунктами 72-1 и 72-2 следующего содержания:

«72-1. При возникающих событиях/инцидентах информационной безопасности, приведших к простоям автоматизированной системы или других критичных информационных систем банка с недоступностью дистанционных банковских услуг более 30 минут, банк не позднее 60 минут с момента события/инцидента должен информировать Национальный банк по каналам взаимодействия и допонительно направить не позднее 1 рабочего дня со дня события/инцидента официальное письмо в Национальный банк с подробным описанием события/инцидента и о мерах, предпринимаемых банком для устранения причин.

72-2. В случае простоя автоматизированной системы или других критичных информационных систем банка с недоступностью дистанционных банковских услуг более 60 минут банк не позднее 90 минут с момента события/инцидента должен информировать население с помощью доступных ему каналов связи или средств массовой информации о времени устранения технических неполадок.».