Оценка соответствия 821-П для платежного контура и переводов денежных средств

Определяем, какую роль ваша организация выполняет при переводе денег, выясняем, какие именно требования Положения № 821-П к вам применимы, и составляем перечень всех технологических участков, автоматизированных систем, программ, компьютерной техники и телекоммуникационного оборудования, которые попадают в область проверки.

Анализируем, как у вас устроены процессы: идентификация, аутентификация и авторизация клиентов; формирование, подтверждение, передача и приём электронных сообщений; подтверждение права клиента распоряжаться деньгами; исполнение и учёт переводов; хранение электронных сообщений и сведений о совершённых переводах.

Смотрим, есть ли у вас необходимые меры защиты информации и работают ли они на практике на объектах информационной инфраструктуры. Проверяем, как документально закреплена технология обработки защищаемых данных, как контролируется её выполнение, кто за что отвечает. Также проверяем наличие подтверждающих материалов: внутренних документов, настроек средств защиты, журналов, отчётов и других доказательств того, что установленные требования выполнены

Проверяем, как предоставляете доступ сотрудникам и клиентам к защищаемой информации и как его контролируете. Изучаем механизмы идентификации, аутентификации и авторизации, а также то, как ведётся регистрация (журналирование) действий работников, клиентов и участников информационного обмена. Отдельно оцениваем, насколько полно записываются данные: можно ли по ним установить время, результат, участника и объект совершённого действия

Проверяем, как выполняются требования к программному обеспечению автоматизированных систем и клиентских приложений, с помощью которых формируются, передаются, принимаются и обрабатываются электронные сообщения. Анализируем результаты предыдущих проверок этого ПО и факт устранения выявленных недостатков. Конкретные пункты зависят от вида вашей организации

Проверяем, проводилось ли обязательное ежегодное тестирование на возможность проникновения в информационную инфраструктуру и анализ уязвимостей её объектов. Смотрим состав проверенного периметра, результаты этих работ, планы устранения недостатков и подтверждение того, что недостатки действительно исправлены

Оцениваем, насколько платёжные сообщения защищены от искажения, подмены, переадресации, несанкционированного ознакомления и уничтожения. Проверяем аутентификацию входящих сообщений, взаимную аутентификацию участников обмена, а также возможность для клиента проконтролировать реквизиты распоряжения. Эти требования применяются, если они актуальны для вашей организации

Проверяем, как требования защиты информации закреплены в вашей работе с банковскими платёжными агентами, субагентами, операторами услуг информационного обмена и поставщиками платёжных приложений. Анализируем договоры, порядок контроля за соблюдением требований, получение сведений об инцидентах, проведение оценок соответствия, тестирований на проникновение и анализа уязвимостей у этих организаций

Проверяем, как вы выявляете, регистрируете и обрабатываете инциденты защиты информации, как обмениваетесь сведениями о них с участниками перевода, как информируете Банк России. Смотрим наличие подтверждающих материалов по расследованию и устранению последствий инцидентов

Для переводов, которые проводятся через Интернет, мы проверяем двухфакторную аутентификацию клиентов, контроль реквизитов распоряжений, временны́е ограничения на подтверждение операций, выявление небезопасно модифицированных мобильных устройств, а также ограничения по суммам, получателям, времени, географии, устройствам и видам услуг.