Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка «Об утверждении Требований к обеспечению информационной безопасности банков, организаций, осуществляющих отдельные виды банковских операций, и банковских холдингов»

kk-KZ · official · sha256:87b9fc8b16e88306d8ab05a9a0b8a8baddcf909036a579e8e821be11175940feKK-KZ

1. "Банктердің, Қазақстан Республикасының бейрезидент-банктері филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптарды, Ақпараттық жүйелердегі бұзушылықтар, іркілістер туралы мәліметтерді қоса алғанда, ақпараттық қауіпсіздіктің оқыс оқиғалары туралы ақпаратты беру қағидалары мен мерзімдерін бекіту туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2018 жылғы 27 наурыздағы № 48 қаулысы (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 16772 болып тіркелген).

Ссылаются нормы: assert-h5907c3c79d263ac274d6ffbd62bc093e4385a7cb67d6645b71137a8f107a0bed

kk-KZ · official · sha256:f5904c84cb53148516fb63556b88295bad9383dd5e4b665d99f512f4a367af1eKK-KZ

2. "Қазақстан Республикасының кейбір нормативтік құқықтық актілеріне қаржы нарығын реттеу мәселелері бойынша өзгерістер енгізу туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2019 жылғы 19 қарашадағы № 203 қаулысымен (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 19641 болып тіркелген) бекітілген Қазақстан Республикасының қаржы нарығын реттеу мәселелері бойынша өзгерістер енгізілетін нормативтік құқықтық актілері тізбесінің 3-тармағы.

Ссылаются нормы: assert-he81384b28fa856f0431c5195a91f87f2d9c1e36234e296b5c293ac2056b88261

kk-KZ · official · sha256:1055b7f1e669b23b41acd9a242930a3d204ba33db5854f4d4dbacb21f38f55edKK-KZ

3. "Банктердің және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптарды, Ақпараттық жүйелердегі бұзушылықтар, іркілістер туралы мәліметтерді қоса алғанда, ақпараттық қауіпсіздіктің оқыс оқиғалары туралы ақпаратты беру қағидалары мен мерзімдерін бекіту туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2018 жылғы 27 наурыздағы № 48 қаулысына өзгеріс енгізу туралы" Қазақстан Республикасының Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2020 жылғы 3 тамыздағы № 72 қаулысы (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 21069 болып тіркелген).

Ссылаются нормы: assert-hfbc48424e1972975ab39537957de1f01bee63e960b348dc995dda94f6b21e7b7

kk-KZ · official · sha256:65669b925a630f8d7e415a0246f9d6e08963107f9cad4f2d7c12b1006b42ca4eKK-KZ

4. "Қазақстан Республикасының кейбір нормативтік құқықтық актілеріне Қазақстан Республикасының бейрезидент-банктері филиалдарының, Қазақстан Республикасының бейрезидент-сақтандыру (қайта сақтандыру) ұйымдары филиалдарының, Қазақстан Республикасының бейрезидент-сақтандыру брокерлері филиалдарының және микроқаржылық қызметті жүзеге асыратын ұйымдардың қызметін реттеу мәселелері бойынша өзгерістер мен толықтырулар енгізу туралы" Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2021 жылғы 17 ақпандағы № 34 қаулысымен (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 22239 болып тіркелген) бекітілген Өзгерістер мен толықтырулар енгізілетін Қазақстан Республикасының бейрезидент-банктері филиалдарының, Қазақстан Республикасының бейрезидент-сақтандыру (қайта сақтандыру) ұйымдары филиалдарының, Қазақстан Республикасының бейрезидент-сақтандыру брокерлері филиалдарының және микроқаржылық қызметті жүзеге асыратын ұйымдардың қызметін реттеу мәселелері бойынша нормативтік құқықтық актілері тізбесінің 13-тармағы.

Ссылаются нормы: assert-hfc570df2cf18722dee3af6d17c8c4113657445f3296ce0ce434e384c34c2da41

kk-KZ · official · sha256:9b02928cf1396b1d047b629a39b7afa59b9b9c5f3e1c594d7dfdb257f40a0f90KK-KZ

5. "Қазақстан Республикасының кейбір нормативтік құқықтық актілеріне қаржы нарығындағы ақпараттық қауіпсіздікті реттеу мәселелері бойынша өзгерістер енгізу туралы" Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2022 жылғы 29 сәуірдегі № 30 қаулысымен (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 27949 болып тіркелген) бекітілген Өзгерістер енгізілетін Қазақстан Республикасының қаржы нарығындағы ақпараттық қауіпсіздікті реттеу мәселелері бойынша нормативтік құқықтық актілері тізбесінің 1-тармағы.

Ссылаются нормы: assert-hbbf70dcdbf60a2965189e0c513cd441585c3a75e6c8f4a12cab58befb924bda4

kk-KZ · official · sha256:08fe49b335785a07f021360224d8af2fb0c6363c4b857ccc54f8e7b6cf580da8KK-KZ

6. "Банктердің, Қазақстан Республикасының бейрезидент-банктері филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптарды, Ақпараттық жүйелердегі бұзушылықтар, іркілістер туралы мәліметтерді қоса алғанда, ақпараттық қауіпсіздіктің оқыс оқиғалары туралы ақпаратты беру қағидалары мен мерзімдерін бекіту туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2018 жылғы 27 наурыздағы № 48 қаулысына толықтыру енгізу туралы" Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2023 жылғы 17 қазандағы № 75 қаулысы (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 33560 болып тіркелген).

Ссылаются нормы: assert-h2f35403f915c5a7565920c1095c9824492acf2de4875fd92cbf5fb64fff7edc8

kk-KZ · official · sha256:d15806fe3cb98a46a2d86d61d3afd10c03d70a0602b5746f5239a2d7fafc99c0KK-KZ

7. "Қазақстан Республикасының кейбір нормативтік құқықтық актілеріне ақпараттық қауіпсіздік мәселелері бойынша өзгерістер мен толықтырулар енгізу туралы" Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2025 жылғы 20 тамыздағы № 38 қаулысымен (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 36711 болып тіркелген) бекітілген Қазақстан Республикасының ақпараттық қауіпсіздік мәселелері бойынша өзгерістер мен толықтырулар енгізілетін нормативтік құқықтық актілері тізбесінің 1-тармағы.

Ссылаются нормы: assert-h56afc44eda36181f66495d95cd97faaf5e6fad26f1c5b8cb9e54237f53bfa9cb

kk-KZ · official · sha256:50d57837f854f20868711b2a9bc799379740e7b5897a99e7d60c02863dda1cbbKK-KZ

1. Осы Банктердің, Қазақстан Республикасының бейрезидент банктері филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптар (бұдан әрі – Талаптар) "Қазақстан Республикасындағы банктер және банк қызметі туралы" Қазақстан Республикасының Заңы 55-бабының 2 және 10-тармақтарына сәйкес әзірленді және банктердің, Қазақстан Республикасының бейрезидент банктері филиалдарының (бұдан әрі – банк) және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың (бұдан әрі – ұйым) ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптарды белгілейді.

kk-KZ · official · sha256:f9934e66f912ff7eb63a58317bd5fe282a6ac9515e19559ddd99bf6db271928eKK-KZ

10. Банктің, ұйымның басқару органы бюджетті қалыптастыру кезінде банктің, ұйымның ақпараттық қауіпсіздігін қамтамасыз ету үшін ресурстарға қажеттілікті ескереді.

kk-KZ · official · sha256:7d71dadf602823bbc54a4be0145f3e6d4ff710208c8b308b8eeb7819d0eec5bdKK-KZ

100. Ақпараттық жүйені өнеркәсіптік пайдалануға енгізудің алдында онда қалыпты жағдай бойынша орнатылған қауіпсіздік теңшеулері банкте, ұйымда белгіленген ақпараттық қауіпсіздікке қойылатын талаптарына сәйкес келетін теңшеулерге өзгертіледі. Көрсетілген теңшеулер тестілеу кезінде пайдаланылатын құпиясөздерге ауыстыруды, сондай-ақ барлық тестілік есептік жазбаларды алып тастауды қамтуға тиіс.

kk-KZ · official · sha256:070655fed5bd39965e6f44b585ff7afb01e54877ef23cd84ea6f5cc82ba2af78KK-KZ

101. Артықшылық берілген есептік жазбалардың пайдаланылуын бақылау: 1) ақпараттық жүйелер әкімшілерінің тізбесін жасау және бекіту (операциялық жүйе, дерекқорды басқару жүйесі, қосымша); 2) ақпараттық жүйелерді әкімшілендіру функцияларын орындау кезінде қосарланған бақылауды енгізу және (немесе) артықшылық берілген есептік жазбалардың пайдаланылуын бақылаудың арнайы кешендерін енгізу арқылы қамтамасыз етіледі.

Ссылаются нормы: EstNeobespechennyeMeryPrivilegirovannyh, KontrolPrivilegirovannyhPolnyy, NeobespechennayaMeraPrivilegirovannyh, assert-h2a2a3e195016c5b1996e2c487dd53fabfc79ad8d4aa3b738e305901a9453b3c9, assert-ha3398060449ff9a418a999b3bb1bb22091c49f8aede14ee0d545af90c8065960

kk-KZ · official · sha256:db645eedf49a70b6cbbb70f4ce43803d0fca030ae38a3074c9c629e597851d07KK-KZ

102. Банктің, ұйымның ақпараттық жүйелері техникалық қолдаумен қамтамасыз етіледі, оның құрамына тиісті ақпараттық жүйенің жаңартуларын, оның ішінде қауіпсіздік жаңартуларын ұсыну қызметтері кіреді. 7-параграф. Қызметкерлермен жұмыс жүргізу процесіне қойылатын талаптар

kk-KZ · official · sha256:b0d7961df5f1d29e1d8022ada16b60818699fc2c4f597c926dca1c36aae78419KK-KZ

103. Жұмысқа қабылдау кезінде банктің, ұйымның жаңа қызметкері қорғалатын ақпаратты жария етпеу туралы міндеттемеге қол қояды. Міндеттеме қызметкердің жеке ісіне тігіледі.

Ссылаются нормы: RabotaSPersonalomNadlezhashchaya

kk-KZ · official · sha256:47991baf0afe70a4beee357c2bdde51a1bd9655bf5174cbfd28feae5d8dbf3ffKK-KZ

104. Жаңа қызметкер жұмысқа қабылданған кезде ол жұмысқа қабылданған сәттен бастап 5 (бес) жұмыс күнінен кешіктірмей ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі негізгі талаптармен (кіріспе нұсқаулық) қолын қоя отырып танысады. Танысу нәтижелері тиісті нұсқаулық журналында немесе нұсқаулықтан өткенін растайтын жеке құжатта тіркеледі. Нұсқаулықтан өткенін растайтын жеке құжат қызметкердің жеке ісіне тігіледі.

Ссылаются нормы: SrokOznakomleniyaSoblyuden

kk-KZ · official · sha256:ab08cd5c50ce1204796c6da502d7bb63a8c324d7d7121ef57bec63ecc1e8ff2cKK-KZ

105. Қызметкерді ақпараттық қауіпсіздікке қойылатын талаптармен танысқанға дейін оған маңызды емес ақпараттық активтерге ғана кіруге рұқсат етіледі.

kk-KZ · official · sha256:54faf1c09b9597724f5a0ecc328cf7e0911ba78b8fe1f4e0adb864a4178460ecKK-KZ

106. Банктің, ұйымның қызметкерімен жасасқан еңбек шартында ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі талаптарды сақтау туралы міндеттеме қамтылады.

kk-KZ · official · sha256:e62170327c087c28f9948dd88f1b0c808a746245714e0f326713abb67c43d6dfKK-KZ

107. Банк, ұйым қызметкерлердің ақпараттық қауіпсіздікті қамтамасыз ету мәселелері жөнінде хабардар болуын арттыру бағдарламасын әзірлейді. Бұл ретте қызметкерлердің хабардар болуын арттырудың мынадай әдістері қолданылуы мүмкін: 1) банктің, ұйымның ішкі құжаттарымен, сондай-ақ оларға енгізілген өзгерістермен және толықтырулармен танысу; 2) банктің, ұйымның атқарушы органы бекітетін банк, ұйым қызметкерлеріне тест жүргізу жоспарына сәйкес банктің, ақпараттық қауіпсіздік жөніндегі ұйымның ішкі құжаттарының талаптарын білуге арналған тест жүргізу; 3) банк, ұйым айқындаған әдістер.

kk-KZ · official · sha256:de0fbb43a97e0a09bd3e8a9ffec1dec8d3c7c04b8239345fc2531148c5865c12KK-KZ

108. Нұсқаулық жүргізу кезінде сондай-ақ хабардар болуды арттыру жөніндегі одан кейінгі іс-шаралар өткізу кезінде: 1) ақпараттық қауіпсіздікті қамтамасыз ету әдістері; 2) Қазақстан Республикасының банктік заңнамасында тыйым салынған ақпаратты таратуға тыйым салу; 3) банктің, ұйымның ақпараттық жүйелерінде құрылатын, сақталатын және өңделетін кез келген ақпаратты мониторингтеуді жүзеге асыруға банктің, ұйымның құқығы туралы ереже; 4) ақпараттық қауіпсіздікті қамтамасыз етуге қойылатын талаптар белгіленетін ішкі құжаттарды бұзғаны үшін көзделген жауапкершілік туралы талаптар.

kk-KZ · official · sha256:91bbd97d2d52c422bf63e6c416d2e056fae476f4957cbb158328181c00381d53KK-KZ

109. Банк, ұйым ақпараттық қауіпсіздік, ақпараттық қауіпсіздік тәуекелдерін басқару бөлімшелері және ішкі аудит бөлімшесі қызметкерлерінің біліктілігін көтеруді мыналарды жүргізу арқылы қамтамасыз етеді: 1) ішкі іс-шаралар (лекциялар, семинарлар); 2) сырттай оқыту (курстарға, семинарларға қатысу – әрбір қызметкер үшін үш жылда кемінде бір реттен).

kk-KZ · official · sha256:b2cf30de0e3bdd42e1af7b8588e686f853119b4e9610d5183c24c7fa4bfb6ce8KK-KZ

11. Банктің, ұйымның басқару органы қорғалатын ақпараттың тізбесін, оның ішінде қызметтік, коммерциялық немесе өзге де заңмен қорғалатын құпия болып табылатын мәліметтер туралы ақпаратты (бұдан әрі – қорғалатын ақпарат) қамтитын тізбені және қорғалатын ақпаратпен жұмыс тәртібін бекітеді.

kk-KZ · official · sha256:4ff0358da44d71081a56a2a1986a47c672ef1a109658ce7e3a08846ae59f0255KK-KZ

110. Қызметкер жұмыстан босатылған кезде, ақпараттық қауіпсіздікті қамтамасыз ету мақсатында мыналар бойынша іс-шаралар жүзеге асырылады: 1) банктің, ұйымның құжаттары мен ақпараттық активтерін қабылдау-өткізу; 2) куәліктерді, рұқсат қағаздарын және рұқсат ету құжаттарын тапсыру; 3) жұмыстан босатылатын қызметкерлермен конфиденциалды ақпаратты жария етпеу туралы нұсқама жүргізу; 4) ақпараттық жүйелерде есептік жазбаларды оқшаулау немесе жою. 8-параграф. Ақпараттық жүйелерде аудиторлық із жүргізу процесіне қойылатын талаптар

kk-KZ · official · sha256:774e23fd07504c500ea077f8b23ec22efef2285baa0c00e7d4fbe896ff8901fdKK-KZ

111. Ақпараттық жүйенің АТ-менеджері ұйымдастырушылық және техникалық деңгейде аудиторлық іздің жүргізілуін және өзгермеуін қамтамасыз етеді.

kk-KZ · official · sha256:196b10a69758dad4f62126c3e5bb855b8ad777dc888ed7a52063e1543191c279KK-KZ

112. Банктің, ұйымның ақпараттық активтерінде аудиторлық із жүргізу функциясы пайдаланылады, ол мыналарды көрсетеді: 1) ақпараттық активте қосылғыштарды орнату, сәйкестендіру, аутентификациялау және іске қосу (сәтті және сәтсіз) оқиғалары; 2) қауіпсіздік теңшеулерін түрлендіру оқиғалары; 3) пайдаланушылардың топтарын және олардың өкілеттіктерін түрлендіру оқиғасы; 4) пайдаланушылардың есептік жазбаларын және олардың өкілеттіктерін түрлендіру оқиғасы; 5) ақпараттық жүйедегі жаңартуларды және (немесе) өзгерістерді орнатуды көрсететін оқиға; 6) аудиттің өлшемдерінің өзгеру оқиғасы; 7) жүйелік өлшемдердің өзгерістер оқиғасы.

kk-KZ · official · sha256:16cf41d38142de1f201f66ea6aa3548227aa93fab691be3c81160e8c9a300ad4KK-KZ

113. Аудиторлық із форматы мынадай ақпаратты қамтиды: 1) іс-қимыл жасайтын пайдаланушының сәйкестендіргіші (логині); 2) іс-қимыл жасау күні және уақыты; 3) пайдаланушының жұмыс станциясының атауы және (немесе) іс-қимыл жасалған IP мекенжайы; 4) іс-қимыл жүргізілген объектілердің атауы; 5) жасалған іс-қимылдың түрі және атауы; 6) іс-қимылдың нәтижесі (сәтті және сәтсіз).

Ссылаются нормы: EstOtsutstvuyushchiePolya, FormatSledaPolnyy, OtsutstvuyushcheePole, assert-h0ee2ac2ed38049e3b95d602621713bb623092f8e2620b1c8a881a61ef3b956f2, assert-h28da0eaa7815b1a8f1ff5da23c9e5d5a71b759049b86d065dec9e9b7cc274414, assert-h3496a4f8e717ce37b317e578f959f3f566b2db78a8055ab7e24d65471a602607, assert-h39f206f27ee551db687bc577f9ce3e67d242e06f62804dcce1b13ce683b58310, assert-h495f3b9e70bd61c5a130a864ad7615fce36f63a1c9335cd65a81c1b4518a4f0f, assert-ha054eb2951c01fa954faa9e67bc58fe9dcf9d5337de6a0b74588dd5956f6ba37

kk-KZ · official · sha256:be505847c84446ae2bc760e4e54e233214f15f4dfe60cda94a289fcc87374973KK-KZ

114. Аудиторлық ізді сақтау мерзімі жедел қолжетімділікте кемінде 3 (үш) айды және архивтік қолжетімділікте кемінде 1 (бір) жылды не жедел қолжетімділікте кемінде 1 (бір) жылды құрайды. 9-параграф. Вирусқа қарсы қорғауды қамтамасыз ету процесіне қойылатын талаптар

Ссылаются нормы: SrokSledaOperativnyyIArhivnyy, SrokSledaTolkoOperativnyy

kk-KZ · official · sha256:1fd67148651b668da5b7f854db96bfde416e43b73aefd752d4465fb316364d7aKK-KZ

115. Банк, ұйым лицензиялық вирусқа қарсы бағдарламалық қамтылымды немесе жұмыс стансаларында, ноутбуктарда, мобилді құрылғыларда, сол сияқты серверлерде, банкоматтарда және банктік киоскілерде бағдарламалық ортаның тұтастығы мен тұрақтылығын қамтамасыз ететін жүйелерді пайдаланады.

Ссылаются нормы: AntivirusnayaZashchitaNadlezhashchaya

kk-KZ · official · sha256:e0e4e5034eeca6ec6cc45e07c43364ff5811e636c66c666b19e01589f4777814KK-KZ

116. Банк, ұйым пайдаланатын вирусқа қарсы бағдарламалық қамтылым төмендегі талаптарға сәйкес келеді 1) белгілі сигнатурлар негізінде вирустарды анықтау; 2) эвристикалық талдау негізінде (вирустарға тән командалар мен тәртіптік талдауды іздестіру) вирустарды анықтау; 3) қосу кезінде ауыстырылатын тасымалдағыштарды сканерлеу; 4) кесте бойынша вирусқа қарсы базаны сканерлеуді және жаңартуды іске қосу; 5) басқарудың және мониторинг жүргізудің орталықтандырылған консолінің болуы; 6) пайдаланушы үшін вирусқа қарсы бағдарламалық қамтылымның, сондай-ақ вирусқа қарсы бағдарламалық қамтылымды жаңарту және вирустардың болмауын жоспарлы тексеру процестерінің жұмыс істеуін үзу мүмкіндігін оқшаулау; 7) виртуалды орта үшін – вирусқа қарсы бағдарламалық қамтылымның виртуалды орта қауіпсіздігінің қоса орнатылған функцияларын пайдалануы, мұндай мүмкіндіктер болмаған кезде – өндірушінің банк, ұйым пайдаланатын виртуалды орталарда вирусқа қарсы бағдарламалық қамтылымды тестіден өткізуі туралы растауы; 8) банкті, ұйымды қорғаудың периметрінен тыс пайдаланылатын мобилді құрылғылар және өзге де құрылғылар үшін желіаралық экранға шығарудың қоса орнатылған функцияларымен вирусқа қарсы бағдарламалық қамтылымды пайдалану.

Ссылаются нормы: EstNesoblyudennyeTrebovaniyaAntivirusa, NesoblyudennoeTrebovanieAntivirusa, assert-h52b91d236065e612f77999c403f1dbe655565f00c1aec6a2d34d921b6877b71d, assert-h5495c9f5a4558b2c86c7e63506a7980efb465907909cb745a24a9d470722a434, assert-h6fcea175037ec1715a100a80ca132c7f541764d9564ae2fac1bac05eb8755daf, assert-h9686e783b027ed3aa07319907491169c674f43861c4db06bbe20790ab80abb12, assert-hcbaebae90d9aacc7afb5447c58bf42c52533fdf09438724e5ada15734e2a4678, assert-hde1c9ce2dac0809e70e8c8d303c3ad5f064644024e75a3e4abc77182ea00bcc0, assert-he13c01bfe659ce9b821e18ba29cdb5904e61a101969b8c207e362338fa865ca6, assert-hf78e55e8424a2d6e5d34c68fec88e3dfaf08b43831a93cb6b1216ef7d2cbd94d

kk-KZ · official · sha256:1a411aec2b8cdc1a476ee8ba82581f6a966b74b0664523fd232019af60233d8cKK-KZ

117. Бағдарламалық ортаның тұтастығы мен тұрақтылығын қамтамасыз ететін жүйелерді пайдаланған кезде төмендегілер ең төменгі талаптар болып табылады: 1) жаңартуды және техникалық қолдауды көздейтін лицензиялық бағдарламалық қамтылымның болуы; 2) басқарудың және мониторинг жүргізудің орталықтандырылған консолінің болуы; 3) түпкілікті пайдаланушы үшін осы жүйенің жұмыс істеуін үзу үшін оқшаулау мүмкіндігінің болуы; 4) түпкілікті құрылғыларға орнату алдында вирусқа қарсы бағдарламалық қамтылым арқылы бағдарламалық ортаның бейінін тексеру мүмкіндігінің болуы; 5) қорғау шегінен тыс пайдаланылатын мобилді құрылғылар және өзге де құрылғылар үшін желіаралық экранның болуы.

kk-KZ · official · sha256:126bc1349d5db1f96126c4028f65c1287ce09a2ce51712c395da6709bd7fc5baKK-KZ

118. Вирусқа қарсы бағдарламалық қамтылымды таңдауды ақпараттық технологиялар бөлімшесі ақпараттық қауіпсіздік бөлімшесінің міндетті қатысуымен жүргізеді.

kk-KZ · official · sha256:db10cf37d70e6d5e7a3388faadfeb5794a31fa60c882d9485803cc0496eddab3KK-KZ

119. Вирусқа қарсы бағдарламалық қамтылымды пайдаланушының барлық қызметтік процестерді барынша үздіксіз қолдануын қамтамасыз етеді (кесте бойынша сканерлеу, жаңарту және басқалары). Вирусқа қарсы бағдарламалық қамтылымды жаңарту тәулігіне кемінде бір рет, компьютерді толық сканерлеу – аптасына кемінде бір рет жүргізіледі. 10-параграф. Ақпараттық жүйелердің жаңартуларын және осалдығын басқару процесіне қойылатын талаптар

kk-KZ · official · sha256:c5fee2726648eb4cf0a60870ce20a6e36c8843ca3cd82ba0c92033dceed4fdb4KK-KZ

12. Банктің, ұйымның атқарушы органы қайта қарау тәртібі мен кезеңділігі банктің, ұйымның ішкі құжаттарында айқындалатын ақпараттық қауіпсіздікті басқару процесін регламенттейтін ішкі құжаттарды бекітеді.

kk-KZ · official · sha256:c854476f37b6dce9a096a9558b3ce8707e1c915eb972a0544e540f0ab0e6494fKK-KZ

120. Ақпараттық жүйенің АТ-менеджері банктің, ұйымның ақпараттық активтерінің қауіпсіздік жаңартуларын уақытылы орнатуды қамтамасыз етеді.

kk-KZ · official · sha256:c174f9c1ee9631b67633aa18740ccf1631b1e75061ea9786e18ccf5e1d27f9ecKK-KZ

121. Маңызды осалдықтарды жоятын ақпараттық жүйелерді жаңартулар ақпараттық қауіпсіздік бөлімшесімен келісілген жағдайларды қоспағанда, оларды жариялау және өндіруші таратқан күннен бастап бір айдан кешіктірмей орнатылады.

Ссылаются нормы: SrokObnovleniyaSoblyuden

kk-KZ · official · sha256:1083354f9c62457aa22fa6c6775307033837a35e299eb6831982b3ccdfd159e1KK-KZ

122. Ақпараттық жүйелерді жаңартулар өнеркәсіптік ортаға орнатылғанға дейін тестілеу ортасында сынақтан өтеді.

Ссылаются нормы: ObnovlenieNadlezhashchee

kk-KZ · official · sha256:f0e3a5b72ee61f2e40a0ba9ea17ba3fd141a61f9fece25ad97151133c5a2efcaKK-KZ

123. Ақпараттық қауіпсіздік жүйесімен келісу бойынша жаңартуларды орнату мүмкіндігі болмаған жағдайда, ақпараттық жүйенің АТ-менеджері түзету шараларын жүзеге асырады.

kk-KZ · official · sha256:b55385b1c89a14529a68580ddbf78ad75b440086ad8f53b9f41216a74ffcbf71KK-KZ

124. Ақпараттық қауіпсіздік бөлімшесі ақпараттық активтерді мамандандырылған бағдарламалық қамтылымды пайдалана отырып, осалдықтың болуына сканерлеуді (бұдан әрі – сканерлеу) (қорғаныстың техникалық талдауы) қамтамасыз етеді. Банктің, ұйымның ақпараттық активтерін сканерлеу 6 (алты) айда кемінде бір рет жоспарлы негізде жүргізіледі. Сканерлеуді банктің, ұйымның қызметкерлері және (немесе) сырттан мамандандырылған компаниялар жүргізе алады. Сканерлеудің нәтижелері анықталған осалдықтарды жою бойынша түзету шаралары жөнінде ұсынымдарды көрсете отырып, ақпараттық қауіпсіздіктің жағдайы туралы есеп түрінде қалыптастырылады.

kk-KZ · official · sha256:6949ed976d1af911ffc4bae0390a15d37997b8065a7d81076b14627cb740ab54KK-KZ

125. Ақпараттық жүйенің АТ-менеджері анықталған осалдықтарды жою бойынша түзету шараларын іске асыруды қамтамасыз етеді. Осалдықтарды жою бойынша жұмыстар аяқталысымен ақпараттық жүйенің АТ-менеджері анықталған осалдықтардың жойылғаны туралы растаманы ақпараттық қауіпсіздік бөлімшесіне ұсынады. 11-параграф. Ақпаратты криптографиялық қорғау құралдарын пайдалану процесіне қойылатын талаптар

kk-KZ · official · sha256:7a4a5903b630d19259079391104e7d09566a556b42c1771772c2c8f30caa3139KK-KZ

126. Ақпаратты криптографиялық қорғау құралдарын пайдалану процесін банктің, ұйымның ақпараттық қауіпсіздік бөлімшесінің келісімі бойынша ақпараттық технологиялар бөлімшесі мыналарды қоса алғанда, бірақ олармен шектелмей: 1) ақпаратты криптографиялық қорғау құралдарының сипаттамасын (жүйенің атауы, криптоалгоритм, кілттің ұзындығы); 2) ақпаратты криптографиялық қорғау құралдарын пайдалану саласын; 3) ақпаратты криптографиялық қорғау құралдарын күйге келтірудің сипаттамасын; 4) негізгі ақпаратты басқару: генерация, қауіпсіз беру (кілт пен қорғалатын ақпаратты беру үшін түрлі арналарды пайдалану талаптары есебімен кілттерді алмастыру), сақтау, пайдалану және жою тәртібін; 5) негізгі ақпарат әшкереленген кездегі іс-әрекетті; 6) ақпаратты криптографиялық қорғау құралдарын соңғы пайдаланушылардың пайдалану тәртібін; 7) ақпаратты криптографиялық қорғау құралдарына әкімшілендіруге және негізгі ақпаратты басқаруға жіберілген тұлғалар тізбесін айқындайды. 12-параграф. Деректерді өңдеу орталықтарының нақты қауіпсіздігін қамтамасыз ету процесіне қойылатын талаптар

Ссылаются нормы: EstOtsutstvuyushchieSostavlyayushchieSkzi, OtsutstvuyushchayaSostavlyayushchayaSkzi, ProcessSkziPolnyy, assert-h2d6079ed16f80ecde5e56f06f999292163989b2e313ffbbee69311933283cf35, assert-ha975b09a1cd273985bebbd5d6ea0c207053d5e604fe9d4e3ccd393c0de9b7109, assert-hbdc8309c7bb13fa8d41502e38a22c326baa0f52a79571024d6dd144878c71fea, assert-hbf3014dabea3a03ac910f97f69dd9388539579ce354e7ec9edd2fafc5d08444b, assert-hd5c7c51b876a6a72abd8a3cb6b73b18d9d6ea10d589f4497f0a81faacddbb27c, assert-he562b5976e8332584973a1168ad807ee7b79d7f61dfa1218e10b7b8661a6e6ae, assert-hfa41ac85967a92782fe3711de184ff791505a79d9011473a61578f8910e9f472

kk-KZ · official · sha256:3572f7dbfe61ee27a930fe806c8e12a788b3d7f4dfd4e438ab7e003894048efcKK-KZ

127. Банктің, ұйымның деректерді өңдеу орталықтары техникалық қауіпсіздіктің мынадай жүйелерімен: 1) қолжетімділікті бақылау және басқару жүйесімен; 2) күзет сигнализациясымен; 3) өрт сигнализациясымен; 4) автоматты өрт сөндіру жүйесімен; 5) температура мен ылғалдылықтың белгіленген өлшемдерін ұстап тұру жүйесімен; 6) бейнебақылау жүйесімен жарақтандырылады. Серверлік және коммуникациялық жабдық үздіксіз қуат көздері арқылы электр қуаты жүйесіне қосылады. Банкте, ұйымда деректерді өңдеу орталығы болмаған жағдайда аталған тармақтың талаптары банктің, ұйымның ақпараттық инфрақұрылымы жүйесі мен құрамдастары орналастырылған банктің, ұйымның үй-жайына қолданылады.

Ссылаются нормы: CodOsnashchenPolno, EstOtsutstvuyushchieSistemy, OtsutstvuyushchayaSistema, assert-h080f482fa6bf69afe14a2066c1649ed7a207588d6d309b09d8115f9fe589480a, assert-h124938d063cafbdc5a02be5e260654fa1bcf6a265e7ae9720ce80cec3e0245d9, assert-h5b38eb3a6c1e84c4e5676566900c032ba67067a914dbf51d1d0dbfcaf005bf69, assert-h7bcda0a57cda3caa4638e8f03eff1f13433370b6e0823b1d118a4857f2666512, assert-h93f3ece6c662712c1c2875af027dd60ce933b0660e026a056adfcd11717bf626, assert-hdb2fc4cd6ef7fe5bcc837cbbad7cca7bfb3a82fc09dcd1c7ba4fe2817e1d5068

kk-KZ · official · sha256:703de85b79ea607a5f6f5c0ba77b7167a67198e3b56478ce17ad410ba3c9730dKK-KZ

128. Деректерді өңдеу орталығына қолжетімділік тізбесін ақпараттық қауіпсіздік бөлімшесінің келісімі бойынша ақпараттық технологиялар бөлімшесінің басшысы бекітетін адамдарға беріледі.

kk-KZ · official · sha256:09141ef5966e6479a82637ccc7169b9770ef41b56e0a0edb0b74313073e18c91KK-KZ

129. Банк, ұйым деректерді өңдеу орталығына кіруді бақылау және басқару жүйесінің журналын жүргізеді, ол кемінде 1 (бір) жыл сақталады.

Ссылаются нормы: SrokZhurnalaSoblyuden

kk-KZ · official · sha256:77fb96bc72b52818e46c8b2dcebdded8945ad84a8a33a5b36c98bc7c8e01c56eKK-KZ

13. Банк, ұйым алқалы органды құрады, оның құрамына ақпараттық қауіпсіздік бөлімшесінің, ақпараттық қауіпсіздіктің тәуекелдерін басқару бөлімшесінің, ақпараттық технологиялар бөлімшесінің өкілдері, сондай-ақ банктің, ұйымның алқалы органы басшысының шешімі бойынша банктің, ұйымның басқа бөлімшелерінің өкілдері кіреді немесе атқарушы орган осы тармақта көрсетілген алқалы органның құрамына қойылатын талаптарға сәйкес келген кезде атқарушы органға алқалы органның функцияларын жүктейді. Банкте, ұйымда алқалы орган құрылған жағдайда банктің, ұйымның алқалы органының басшысы болып банктің, ұйымның атқарушы органының басшысы немесе ақпараттық қауіпсіздік бөлімшесінің қызметіне жетекшілік ететін банктің, ұйымның атқарушы органының мүшесі тағайындалады.

kk-KZ · official · sha256:c2c3a3d29723e2336743d9ee39e3b0459a5aa7077bb922663c0503469e6f69d9KK-KZ

130. Деректерді өңдеу орталығының өртті автоматты сөндіру жүйесі бүкіл үй-жай көлемінің тұтануын болдырмауды қамтамасыз етеді және резервтік қорға ие.

kk-KZ · official · sha256:a34923c52c3e121b7fd35735eebc50390af905a3644ea6a7e46dbd1eeef9f6d4KK-KZ

131. Деректерді өңдеу орталығының бейне бақылау жүйесі деректерді өңдеу орталығының барлық өту орындарында, кіру орындарында бақылауды қамтамасыз етеді. Деректерді өңдеу орталығында бейнекамераларды орналастыру деректерді өңдеу орталығы үй-жайының ішінде және кіру орнының алдында бейнебақылаумен қамтамасыз етілмеген аймақтардың болуына жол бермейді.

kk-KZ · official · sha256:be399f472bd7093d203abef34a54df615bacfe81a2ffadef59fd9514cb340ed0KK-KZ

132. Деректерді өңдеу орталығының бейнебақылау жүйесі оқиғаларының жазбасы үздіксіз немесе қозғалыс детекторын пайдалана отырып жүргізіледі.

kk-KZ · official · sha256:11d718179753596867329ad1d42750b5c3c65ca581a6b5b46c8ab7ce7e0ed8c6KK-KZ

133. Деректерді өңдеу орталығының бейнебақылау жүйесінің жазбалар мұрағаты кемінде 3 (үш) ай сақталады.

Ссылаются нормы: SrokVideoarhivaSoblyuden

kk-KZ · official · sha256:7766bfb75daa507e3912b91e46740f983f01bdc78fb18c73c35640d201a1dcd5KK-KZ

134. Деректерді өңдеу орталығынан тыс орналасқан серверлерге және белсенді желілік жабдыққа заңсыз нақты кірудің алдын алу мақсатында олардың қауіпсіздігін қамтамасыз ету бойынша іс-шаралар анықталады және іске асырылады.

kk-KZ · official · sha256:f703d78905b849d7ca708ac22c6aa6848ca12b3841647897c17dd39ba80eaadfKK-KZ

135. Банктің, ұйымның ақпараттық активтеріне нақты қолжетімділікті ұсынуды банк, ұйым айқындайды. 13-параграф. Жұмыс станцияларын, ноутбуктарды және мобильдік құрылғыларды қорғауды қамтамасыз ету процесіне қойылатын талаптар

kk-KZ · official · sha256:336e755e209c476ddea4b30174bec97517b471e3278fdc15474f38532f9a5859KK-KZ

136. Банкте, ұйымда пайдаланушыларға бағдарламалық қамтылымды, жұмыс станцияларын, ноутбуктар мен перифериялық жабдықты өз бетінше орнатуды және теңшеуді жүргізуге тыйым салынатын ұйымдастырушылық және техникалық іс-шаралар анықталады және енгізіледі.

kk-KZ · official · sha256:aadc103e1cb096c5343efe04dde5b4ac2a84425ffd3c698825fdb65188440967KK-KZ

137. Жергілікті әкімшінің қолжетімділік құқығы немесе жергілікті әкімшінің қолжетімділік құқығына ұқсас құқықтар пайдаланушы орындайтын функцияларды автоматтандыратын бағдарламалық қамтылымның жұмыс істеуі үшін талап етілетін жағдайларды қоспағанда, пайдаланушыларға жергілікті әкімшінің қолжетімділік құқығы немесе осыған ұқсас қолжетімділік құқығы берілмейді.

Ссылаются нормы: ZashchitaStanciyNadlezhashchaya

kk-KZ · official · sha256:dce807c334b1319da942f26ad019e5446baf63f44d2f216ddefd5fb03a2ddd54KK-KZ

138. Пайдаланушының өз функционалдық міндеттерін бағдарламалық қамтылымды және жабдықты өз бетінше орнату және теңшеуді жүзеге асырусыз орындау мүмкіндігі болмаған жағдайда, мұндай пайдаланушыға жергілікті әкімші құқығы немесе ұқсас құқықтар беріледі.

kk-KZ · official · sha256:45e0e0953805d002cf9080265c8712765138bd771844f68f8354f19e1bb5be5aKK-KZ

139. Талаптардың 137 және 138-тармақтарында көрсетілген пайдаланушылардың тізбесін ақпараттық қауіпсіздік бөлімшесімен келісу бойынша ақпараттық технологиялар бөлімшесінің басшысы қалыптастырады, жаңартады және бекітеді. Ақпараттық қауіпсіздік бөлімшесі пайдаланушылардың Талаптардың 137 және 138-тармақтарында көрсетілген қолжетімділік құқықтарын бақылауды жүзеге асырады.

kk-KZ · official · sha256:342ec976b971f2db9ab395cc263dc33eebbd23ce6f50c81db10e87c0e2bb6880KK-KZ

14. Ақпараттық қауіпсіздік бөлімшесі банк, ұйым ақпаратының конфиденциалдылығын, тұтастығын және қолжетімділігін қамтамасыз ету мақсатында мынадай функцияларды жүзеге асырады: 1) ақпараттық қауіпсіздікті басқару жүйесін құрады, банк, ұйым бөлімшелерінің ақпараттық қауіпсіздікті және қауіптерді анықтау және талдау, шабуылдарға қарсы іс-қимыл жасау және ақпараттық қауіпсіздіктің оқыс оқиғаларын тергеу жөніндегі іс-шараларды қамтамасыз ету бойынша қызметін үйлестіруді және бақылауды жүзеге асырады; 2) банктің, ұйымның ақпараттық қауіпсіздік саясатын әзірлейді; 3) банктің, ұйымның ақпараттық қауіпсіздікті қамтамасыз ету процесін әдіснамалық қолдауды қамтамасыз етеді; 4) өз өкілеттіктері шеңберінде банктің, ұйымның ақпараттық қауіпсіздігін басқару, қамтамасыз ету және бақылау әдістерін, құралдары мен тетіктерін таңдауды, енгізуді және қолдануды жүзеге асырады; 5) ақпараттық қауіпсіздік оқыс оқиғалары туралы ақпаратты жинауды, шоғырландыруды, сақтауды және өңдеуді жүзеге асырады; 6) ақпараттық қауіпсіздік оқыс оқиғалары туралы ақпаратты талдауды жүзеге асырады; 7) алқалы органның ақпараттық қауіпсіздік жөніндегі мәселелер бойынша шешім қабылдауы үшін ұсыныстар дайындайды; 8) банктің, ұйымның ақпараттық қауіпсіздігін қамтамасыз ету процесін автоматтандыратын бағдарламалық-техникалық құралдарды енгізуді және олардың тиісінше жұмыс істеуін, сондай-ақ оларға қолжетімділікті қамтамасыз етеді; 9) артықшылық берілген есептік жазбаларды пайдалану бойынша ақпараттық қауіпсіздік талаптарын айқындайды; 10) банк, ұйым қызметкерлерінің ақпараттық қауіпсіздік мәселелері саласында хабардар болуын арттыру бойынша іс-шараларды өткізуді қамтамасыз етеді; 11) банктің, ұйымның ақпараттық қауіпсіздікті басқару жүйесінің жай-күйін мониторингтеуді жүзеге асырады; 12) банктің, ұйымның ақпараттық қауіпсіздікті басқару жүйесінің жай-күйі туралы банктің, ұйымның басшылығын хабардар етуді жүзеге асырады.

kk-KZ · official · sha256:811fc26fa42c32a22a18d918817bcc6a5533c1650b9cfddb62ba9ea0bf6adbaaKK-KZ

140. Ақпараттық технологиялар бөлімшесі банктің, ұйымның корпоративтік желісіндегі жұмыс станцияларын, ноутбуктар мен мобильді құрылғыларды есепке алуды қамтамасыз етеді, бұл осы жұмыс станциясының орналасқан жерін немесе ноутбуктың, мобильді құрылғының тиесілігін дәл анықтауға мүмкіндік береді.

kk-KZ · official · sha256:73d82fa2c54949979bc12518c7b01ced3a97178e76814895f1b9a4e01efe5253KK-KZ

141. Мобильді құрылғылар, ноутбуктар банктің, ұйымның ақпараттық активтеріне банкті, ұйымды қорғау шегінен тыс қосылған жағдайда, бұл құрылғыларда ақпараттық активтерге қорғаныс қолжетімділігін қамтамасыз ететін арнайы бағдарламалық қамтылым (байланыс арнасын шифрлеу, екі факторлы аутентификациялауды қамтамасыз ету, мобильді құрылғыдан деректерді қашықтан жою) орнатылады.

kk-KZ · official · sha256:ca35e4f8d13dcf2571b32a03e999177483f8d81554dfe6e115dce79c5022fe23KK-KZ

142. Банктің, ұйымның ақпараттық активтерін өңдеу үшін банк, ұйым қызметкерлерінің жеке ноутбуктарын және мобильді құрылғыларын қолдану кезінде берілген ноутбуктар мен мобильді құрылғыларға жеке деректерді және банктің, ұйымның ақпараттық активтерін өңдеу ортасын жіктеуді қамтамасыз ететін арнайы бағдарламалық қамтылым орнатылады.

kk-KZ · official · sha256:de6af6604d87317d99a913a0f8f7a132c6477d244ab496dc35e6f76d6b4b02c8KK-KZ

143. Банктің, ұйымның ноутбукта және мобильдік құрылғыларда орналасқан бүкіл ақпараты шифрленген түрде сақталады. 10-тарау. Банктің, ұйымның қашықтан қызмет көрсететін бағдарламалық қамтылымының қауіпсіздігіне қойылатын талаптар

kk-KZ · official · sha256:c77ac9e20b295b5dc0b62ad18c3ae9e1a58fe3b65171e58ffdafd8d4bd0117c1KK-KZ

144. Банктің, ұйымның қашықтан қызмет көрсету бағдарламалық қамтылымына: 1) веб-қосымшалар серверлерінің бағдарламалық қамтылымы (бұдан әрі – веб-қосымша); 2) мобильді құрылғыларға арналған бағдарламалық қамтылым (бұдан әрі – мобильді қосымша); 3) бағдарламалық интерфейстердің бағдарламалық қамтылымы (бұдан әрі – серверлік ҚБҚ) кіреді.

Ссылаются нормы: assert-h58179722ec17e26671c93913321037bb4e362b644d81010c6f99cda86943ad76, assert-h9fdcc38d4d9168dc27781863493fe4f288276b0f60343f6f986632ba47e81af5, assert-hc93d94dc5ae766f65214d30b1a2a6a1c61ce93abb261ea4605b9127d1c3fff2b

kk-KZ · official · sha256:e77b3988e363469ebaa85c8fac96c76c94225b940bf3de489c8f5e7b5fdca3f9KK-KZ

145. Қашықтан қызмет көрсететін бағдарламалық қамтылымын әзірлеу және (немесе) пысықтауды банк, ұйым бағдарламалық қамтылымды әзірлеу және (немесе) пысықтау тәртібін, әзірлеу кезеңдерін және олардың қатысушыларын регламенттейтін банктің, ұйымның ішкі құжаттарына сәйкес жүзеге асырады.

kk-KZ · official · sha256:3f627d882a369bb14b57708b383ac4d659e7e351b9df5317d86ea95f78c9c2b4KK-KZ

146. Банктің, ұйымның қашықтан қызмет көрсету бағдарламалық қамтылымын әзірлеу және (немесе) пысықтау бөгде ұйымға және (немесе) үшінші тұлғаға берілген жағдайда, банк, ұйым бөгде ұйымның және (немесе) үшінші тұлғаның осы тараудың және ішкі құжаттардың талаптарын орындауын қамтамасыз етеді, қашықтан қызмет көрсететін бағдарламалық қамтылым қауіпсіздігінің жағдайы үшін жауап береді.

kk-KZ · official · sha256:b6e04185de9257e1b8c9b77bc0c93b3498bb791bfde366e226bb3f03a72f4b06KK-KZ

147. Банкте, ұйымда әзірленетін қашықтан қызмет көрсететін бағдарламалық қамтылымның бастапқы кодтарын сақтау резервтік көшірме жасауды қамтамасыз ете отырып, банктің, ұйымның аясында орналастырылатын мамандандырылған код репозиторияларын басқару жүйесінде жүзеге асырылады.

kk-KZ · official · sha256:5fa757d6a25cf7fb69ef82000db340303a22f40f6c9873c02c7d3b95e1427cc0KK-KZ

148. Банкте, ұйымда қабылданған қашықтан қызмет көрсететін бағдарламалық қамтылымды әзірлеу және (немесе) пысықтау тәсіліне қарамастан, қауіпсіздікті тестілеу міндетті кезең болып табылады, оның барысында кемінде мынадай іс-шаралар жүзеге асырылады: 1) бастапқы кодты статикалық талдау; 2) құрауыштарды және бөгде кітапханаларды талдау.

Ссылаются нормы: AnalizyProvedeny, EstNeprovedennyeAnalizy, NeprovedennyyAnaliz, assert-h888e43efd2328076f9d389bbbbb80bf7de7e6b2adf7c4546b83ba38c1c49d6f6, assert-h9eae7f2087965dc8ee2ac1b5a2008039f5b8b813686fb7bb048ebe36014f38ef

kk-KZ · official · sha256:f5efb466235d9d02da11c4a774ede29812f31744f310cc3caad45c3b778fdf85KK-KZ

149. Банктің, ұйымның қашықтан қызмет көрсететін бағдарламалық қамтылымының бастапқы кодын статикалық талдау тексерілетін бағдарламалық қамтылымда қолданылатын барлық бағдарламалау тілінің талдауын қолдайтын, бастапқы кодты статикалық талдау сканерін пайдаланумен жүргізіледі, оның функцияларына мынадай осалдықтарды анықтау кіреді, бірақ олармен шектелмейді: 1) зиянды кодтың кіруіне мүмкіндік беретін тетіктердің болуы; 2) осал операторларды және бағдарламалау тілдерінің функцияларын пайдалану; 3) әлсіз және осал криптографиялық алгоритмдерді қолдану; 4) белгілі бір жағдайларда қызмет көрсетуден бас тартуды немесе қосымшаның жұмысын айтарлықтай баяулатуды тудыратын кодты пайдалану; 5) қосымшаны қорғау жүйелерін айналып өту тетіктерінің болуы; 6) кодта құпияларды ашық түрде пайдалану; 7) қосымшаның қауіпсіздігін қамтамасыз ету үлгілері мен тәжірибелерін бұзу.

Ссылаются нормы: EstNeohvachennyePriznaki, NeohvachennyyPriznak, StaticheskiyAnalizPolnyy, assert-h21e90d79b66d34e029a581ca77cdf98b2b2d4fc73371108ff7f3b327d8a1ae74, assert-h288eaec2022332560cfe744ccf0356cb279f59305c49f6e96c1f30838d287750, assert-h3b677a13952f47cdecc8586d3ae0aee70d22a27800c60f2c03c7cce189db84c1, assert-h3e1342847552eab76e491f923c477ac6d9188c48b6411196e7510cbed443798c, assert-h7674c9c4665d4113fb1e277a8609cf7ffb7f613bf6597d988325a94560b12402, assert-hb8291aac7b895608b4d8f16cf757b29e8d401e5321b588a056a8dca4dcb15b76, assert-hd5c0423b7923e0cf1cbfc992346362b3b7df4b867ffee73f8e38100d5ee0f642

kk-KZ · official · sha256:2fa7c0d5c71d050dbba0c592fda36269e56b7fe58029e031e701cc022b53cb20KK-KZ

15. Банк, ұйым ақпараттық қауіпсіздік бөлімшесіне техникалық қауіпсіздікті қамтамасыз ету бойынша функцияларды жүктеу мүмкіндігін айқындайды. Ақпараттық қауіпсіздік бөлімшесі олардың негізгі функцияларымен мүдделер қайшылығына әкелетін функцияларды, оның ішінде алаяқтыққа қарсы іс-қимыл жөніндегі функцияларды жүзеге асырмайды.

kk-KZ · official · sha256:dc45ef9e3993d77f32958cb734d276f2a642ea39cf7af66b62a21aff54b31217KK-KZ

150. Банктің, ұйымның қашықтан қызмет көрсететін бағдарламалық қамтылымының құрауыштарын және (немесе) бөгде кітапханаларын талдау құрауыштың және (немесе) бөгде кітапхананың қолданылатын нұсқасына тән белгілі осалдықтарды анықтау мақсатында, сондай-ақ құрауыштар және (немесе) бөгде кітапханалар және олардың нұсқалары арасындағы тәуелділіктерді бақылау үшін жүргізіледі.

kk-KZ · official · sha256:325fce21ebe6945c062a5fce126e214d470150e0d799fa8bacbad66b8afb0730KK-KZ

151. Банк, ұйым анықталған осалдықтарды атқарушы орган бекіткен ішкі құжатта айқындалған тәртіппен жою жөнінде түзету шараларының іске асырылуын қамтамасыз етеді. Бұл ретте, маңызды осалдықтар қашықтан қызмет көрсететін бағдарламалық қамтылымды және (немесе) оның жаңа нұсқаларын пайдалануға енгізгенге дейін жойылады.

kk-KZ · official · sha256:0243ee7f890dfd93effb5caa3ce8c520cb32a0629e7c0a8001a6ea3c894f2200KK-KZ

152. Банк, ұйым ақпараттық қауіпсіздік бөлімшесімен келісілгеннен кейін қашықтан қызмет көрсететін бағдарламалық қамтылымды және (немесе) оның жаңа нұсқаларын пайдалануға енгізуді жүзеге асырады.

kk-KZ · official · sha256:100ac847a16a1986bb4e30b3c5b1ddcc8f89bc76e082158835f900ae95c0d91aKK-KZ

153. Банк, ұйым қашықтан қызмет көрсететін бағдарламалық қамтылымның бастапқы кодтарының және соңғы 3 (үш) жыл ішінде пайдалануға енгізілген қауіпсіздікті тестілеу нәтижелерінің барлық нұсқаларын жедел режимде сақтауды және оларға қол жеткізуді қамтамасыз етеді.

kk-KZ · official · sha256:1def95b770c3bbd54e3ab0ec4d78a8762e149f88d66ae504c6ca285824783493KK-KZ

154. Қашықтан қызмет көрсететін бағдарламалық қамтылымның клиенттік және серверлік тараптары арасында деректер алмасу Transport Layer Security (Транспорт Лейер Секьюрити) шифрлеу хаттамасының 1.2-ден төмен болмайтын нұсқасын пайдалана отырып шифрленеді.

kk-KZ · official · sha256:a67fd94c4cf7e00d7cd6cf740cc166bbd699189e5b14fee228e5ff648ebd7249KK-KZ

155. Банктің, ұйымның мобильді қосымшасында клиентті бастапқы тіркеу кезінде Сәйкестендіру деректерімен алмасу орталығы (бұдан әрі – СДАО) арқылы немесе банктің, ұйымның құрылғылары арқылы алынған биометриялық деректерді пайдалана отырып, клиентті биометриялық сәйкестендіруді жүзеге асырады.

Ссылаются нормы: DostupKlientaNadlezhashchiy

kk-KZ · official · sha256:bf2ae0349b87cf67c789d0b260e6003fccf713eb10fb6e88522cee3ca5155109KK-KZ

156. Мобильді қосымшаға кіру кодын (құпиясөзді) өзгерту СДАО растаған немесе банктің, ұйымның құрылғылары арқылы алынған биометриялық деректерді пайдалана отырып, клиентті биометриялық сәйкестендіруді қолданумен жүзеге асырылады.

kk-KZ · official · sha256:296e4ec3abda880de68f4914502e062fa31052515670e4927b06a3e04d9d4464KK-KZ

157. Банкте, ұйымда клиенттің атына осыған дейін тіркелмеген мобильді құрылғы арқылы клиентті мобильді қосымшада аутентификация кезінде банк, ұйым СДАО растаған немесе банктің, ұйымның құрылғылары арқылы алынған биометриялық деректерді пайдалана отырып, клиентті биометриялық сәйкестендіруді жүргізеді.

kk-KZ · official · sha256:e45fe189e6be48415acbf04d98e71b78c59fe95b7886a603accffcea05a20c50KK-KZ

158. Қашықтан қызмет көрсететін бағдарламалық қамтылымда клиентті сәйкестендіру және аутентификациялау банктің, ұйымның ішкі құжаттарында белгіленген қауіпсіздік рәсімдеріне сәйкес екі факторлы (үш фактордың екеуін қолдану: білім, иелену, ажырамастық) аутентификациялау әдістерін қолдана отырып жүзеге асырылады.

kk-KZ · official · sha256:ef778e652d90d4462503157f225ec39e2b227bd31307f836d07fec393219cca4KK-KZ

159. Қашықтан қызмет көрсететін бағдарламалық қамтылымды кроссдомендік аутентификациялау тетігін ақпараттық қауіпсіздік жөніндегі бөлімше келіседі.

kk-KZ · official · sha256:e4cfa231fd20592e8a67ff4750d2cd01e63c522d8acefa6dd82a5b0678f6d298KK-KZ

16. Ақпараттық технологиялар бөлімшесі мынадай функцияларды жүзеге асырады: 1) банктің, ұйымның ақпараттық инфрақұрылымы схемасының өзектілігін әзірлейді және қолдау жасайды; 2) ақпараттық технологиялар жөніндегі бөлімшеге жатпайтын ақпараттық жүйелердің АТ-менеджерлері кіруге рұқсат беретін мамандандырылған ақпараттық активтерді қоспағанда, банктің, ұйымның ақпараттық активтеріне банктің, ұйымның ақпараттық активтерін пайдаланатын банктің, ұйымның қызметкері (бұдан әрі-пайдаланушы) қол жеткізуді қамтамасыз етеді; 3) ақпараттық қауіпсіздік талаптарын ескере отырып, банктің, ұйымның жүйелік және қолданбалы бағдарламалық қамтылымының үлгі баптауларын қалыптастыруды және конфигурациялауды қамтамасыз етеді; 4) банктің, ұйымның ішкі құжаттарына сәйкес ақпараттық инфрақұрылымның үзіліссіз жұмыс істеуі, банктің ақпараттық жүйелері деректерінің конфиденциалдылығы, тұтастығы және қолжетімділігі (ақпаратты резервтеуді және (немесе) архивтеуді және резервтік көшіруді қоса алғанда) бойынша белгіленген талаптардың орындалуын қамтамасыз етеді; 5) ақпараттық жүйелерді таңдау, ендіру, әзірлеу және тестілеуден өткізу кезінде ақпараттық қауіпсіздік талаптарының сақталуын қамтамасыз етеді.

kk-KZ · official · sha256:5145153b196fef392fbb2dc9873c90e714e42dbef696c77758c3b6f0f33f12e1KK-KZ

160. Веб-қосымша мыналарды: 1) веб-қосымшаның тек банкке, ұйымға тиесілілігін сәйкестендіруді (домендік аты, логотиптері, корпоративтік түстері); 2) браузердің жадында іске қосылу деректерін сақтауға тыйым салуды; 3) енгізілген құпияларды бүркемелеуді; 4) клиенттің іске қосылу парақшасында веб-қосымшаны пайдалану кезінде сақтау ұсынылатын кибергигиенаны қамтамасыз ету шаралары туралы хабардар етуді; 5) қате туралы ең төменгі жеткілікті ақпаратты бере отырып, клиенттің интерфейсінде конфиденциалды деректердің көрсетілуіне жол бермей қателер мен ерекшеліктерді қауіпсіз тәсілмен өңдеуді қамтамасыз етеді.

Ссылаются нормы: EstNeobespechennyeTrebovaniyaVeb, NeobespechennoeTrebovanieVeb, VebPrilozhenieSootvetstvuet, assert-h29c10d8e08695bc00f8385a20023723e72ca813d50a4df1c836ac1bdb6e96ec5, assert-h3a83e1a72afff13a56751826ae4adf5f8705965cff6e7cf20c9cf283bf3de318, assert-h46d473d10edbc7f25c2013a843469e2c6539e87378c96e9427e758f4f9161997, assert-hb8526fad70471bdb9a29b00603693852e9fa458acd9f77e23eb0d7c3930882ee, assert-hf273f72f6fa0eae27a09a1f2397482e126a6f3f06613456233a2674846befb93

kk-KZ · official · sha256:370fa5396edfba138451637ca1c3cc930b7b6f4d026b61232445e6b5a25642bdKK-KZ

161. Мобильді қосымша мыналарды: 1) мобильді қосымшаның тек қана банкке, ұйымға тиесілігін сәйкестендіруді (қосымшалардың ресми дүкеніндегі деректер, логотиптер, корпоративтік түстер); 2) операциялық жүйенің тұтастығын бұзу және (немесе) қорғау тетіктерін айналып өту белгілері анықталған, қашықтан басқару процестерін анықтаған жағдайда банктің, ұйымның қашықтан қызмет көрсету функционалын бұғаттауды; 3) клиентті мобильді қосымшаның жаңартуларының бар екендігі туралы хабардар етуді; 4) маңызды осалдықтарды жою қажет болған жағдайда, мобильді қосымшаның жаңартуларын мәжбүрлеп орнату немесе оларды орнатқанға дейін мобильді қосымшаның функционалын бұғаттау мүмкіндігін; 5) конфиденциалды деректерді мобильді қосымшаның қорғалған контейнерінде немесе жүйелік есептік деректерді сақтау орнында сақтауды; 6) конфиденциалды деректерді кэштеуді алып тастауды; 7) мобильді қосымшаның резервтік көшірмелерінен ашық түрдегі конфиденциалды деректерді алып тастауды; 8) клиентті мобильді қосымшаны пайдалану кезінде басшылыққа алу ұсынылатын кибергигиенаны қамтамасыз етудің әдістері туралы хабардар етуді; 9) клиентті оның есептік жазбасындағы іске қосылу оқиғалары, құпиясөзді өзгерту және (немесе) қалпына келтіру, банк, ұйым тіркеген мобильді телефон нөмірінің өзгеруі туралы хабардар етуді; 10) ақшалай қаражатпен операцияларды жүзеге асыру барысында клиенттің рұқсаты болған жағдайда банктің, ұйымның серверлік ҚБҚ-ға мобильді құрылғының геолокациялық деректерін беру не мұндай рұқсаттың жоқ екендігі туралы ақпарат беруді қамтамасыз етуді; 11) клиент рұқсаты болған кезде банк, ұйым айқындайтын тәртіппен мобильді құрылғының микрофонына белсенді қолжетімділік анықталған жағдайда ақшалай қаражатпен операцияларын жүзеге асыру функционалын бұғаттау не банктің серверлік ҚБҚ-на осындай рұқсаттың жоқ екендігі туралы ақпаратты беруді қамтамасыз етеді.

Ссылаются нормы: EstNeobespechennyeTrebovaniyaMobilnogo, MobilnoePrilozhenieSootvetstvuet, NeobespechennoeTrebovanieMobilnogo, assert-h165c68bc33c32d798d44973bfb9b156deb76062ddcc9af81c14f6cff57627c81, assert-h2df935a6110f5be1f5d1a13c2ed25f80ec572b0b935a09b158a9511dcca04d7f, assert-h3677c47f7138513fd96b7c1ad01cf2e4c906cb17137e179e5bc7bc23cabc6780, assert-h49bfc52c5e1740180d83ba58e13f4879cfe262496148f12dbbb5673a7a02c4fe, assert-h56672bdcd5c13020e84ee92f4b85384ea140dc8cd7aad201e6a0855fa9ef4183, assert-h5af7deda3160721c8ae1b3e39b4d07e3e27790acc7722dfddb8605b49e45f188, assert-h5db9e58453b0f91ff7d00b5e246d8736ea029918a8a1037d0ee82b025f97057a, assert-h8e5fe22ab8285a0d5c388bfebffc5e93ad9664b8d2b4dbe8c139b50bd3fc3aef, assert-h9dabdf6166eda37742b385ebb6282c193a0009ae7bf82cdcba19ec43c60a6521, assert-hd86ead09afdb721aa00f558e9da96b2d2308fec9d0e229f724fb14af08e62120, assert-hfa6d7034179fe458a2c34f42432daf977579943532c51c2ba6d5e37b5102ccde

kk-KZ · official · sha256:3ee21841a2e2092cac4822f3418a29b44e07bff8406fb2449d14e966c0ec05efKK-KZ

162. Банк, ұйым өз тарапында: 1) жауапта конфиденциалды деректердің жария болуына жол бермей, проблеманы анықтау үшін ең аз қажетті ақпарат ұсына отырып, қателер мен ерекшеліктерді қауіпсіз тәсілмен өңдеуді; 2) мобильді қосымшаларды және олармен байланысты құрылғыларды сәйкестендіруді және аутентификациялауды; 3) жалған сұрау салулармен және зиянды код инъекциялары шабуылдарының алдын алу үшін деректердің жарамдылығын тексеруді; 4) банкте, ұйымда тіркелген құрылғыларда клиенттердің мобильді қосымшаларында қашықтан басқару процестерін анықтау оқиғаларының және операциялық жүйенің тұтастығын бұзу және (немесе) қорғау тетіктерін айналып өту белгілерінің, сондай-ақ клиенттердің мобильді қосымшаларының функционалын бұғаттау жөніндегі іс-қимылдардың жазбаларын сақтау; 5) аутентификациялаудың сәтсіз әрекеттері туралы және клиенттерге осы әрекеттер жөнінде хабарлау туралы жазбаларды сақтау.

kk-KZ · official · sha256:d5729dbcc15b3077e145b5033c23d949488eee214f4874b8c9f0384f9305d30eKK-KZ

17. Банк, ұйым Талаптардың 14 және 16-тармақтарында көрсетілген жекелеген функцияларды банктің, ұйымның бөлімшелеріне беру мүмкіндігін айқындайды.

kk-KZ · official · sha256:3f25deb7630d42004addf03150e21d571a06de64dfcbdb4f6a82857c522bca7bKK-KZ

18. Қауіпсіздік жөніндегі бөлімше мынадай функцияларды жүзеге асырады: 1) банкте, ұйымда физикалық және техникалық қауіпсіздік шараларын іске асырады, оның ішінде өткізу және объектішілік режимді ұйымдастырады; 2) банк, ұйым қызметкерлерін жұмысқа қабылдау және жұмыстан босату кезінде ақпараттық қауіпсіздік қатерлерінің туындау тәуекелдерін барынша азайтуға бағытталған профилактикалық іс-шараларды жүргізеді.

kk-KZ · official · sha256:814d994a41fd2a9589230ec9961e84de6418d8659723ae5cf8609f8e5860aad0KK-KZ

19. Қызметкерлермен жұмыс жүргізу жөніндегі бөлімше мынадай функцияларды жүзеге асырады: 1) банк, ұйым қызметкерлерінің, сондай-ақ қызмет көрсету туралы шарт бойынша жұмысқа тартылған адамдардың, тағылымдамадан, іс-тәжірибеден өтушілердің конфиденциалды ақпаратты жария етпеу туралы міндеттемелерге қол қоюын қамтамасыз етеді; 2) банк, ұйым қызметкерлерінің ақпараттық қауіпсіздік саласында хабардар болуын арттыру процесін ұйымдастыруға қатысады; 3) уәкілетті органды банктің, ұйымның ақпараттық қауіпсіздік жөніндегі бөлімшесінің қызметкерлерін жұмысқа қабылдау және (немесе) олармен еңбек қатынастарын бұзу туралы уәкілетті органның ақпараттық қауіпсіздіктің оқиғалары мен оқыс оқиғалары туралы ақпаратты өңдеуге арналған автоматтандырылған жүйесі арқылы немесе банктің, ұйымның ресми хатымен қағаз тасымалдағышта үш жұмыс күнінен кешіктірілмейтін мерзімде хабардар етеді.

kk-KZ · official · sha256:2009a2a42cf17d6551b1e2208b325631800d88bd6ce3959bf3635b88de219a36KK-KZ

2. Талаптарда "Ақпараттандыру туралы" Қазақстан Республикасының Заңында көзделген ұғымдар, сондай-ақ мынадай ұғымдар пайдаланылады: 1) ақпараттандыру саласындағы ақпараттық қауіпсіздік (бұдан әрі – ақпараттық қауіпсіздік) – электрондық ақпараттық ресурстардың, ақпараттық жүйелердің және ақпараттық-коммуникациялық инфрақұрылымның сыртқы және ішкі қатерлерден қорғалуының жай-күйі; 2) ақпараттық актив – ақпараттың және оны сақтауға және (немесе) өңдеуге пайдаланылатын ақпараттық-коммуникациялық инфрақұрылым объектісінің жиынтығы. Ақпараттық актив маңызды және маңызды емес болып бөлінеді және банк олардың құпиялылығын, тұтастығын, қолжетімділігін бұзудан болған зиян деңгейі негізінде айқындайды; 3) ақпараттық жүйенің/активтің АТ-менеджері – банктің, ұйымның ақпараттық жүйені/активті ақпараттық жүйенің/активтің бизнес-иесінің талаптарына сәйкес келетін күйде ұстап тұруға жауапты қызметкері немесе бөлімшесі (қызметкерлері немесе бөлімшелері); 4) ақпараттық жүйенің немесе шағын жүйенің бизнес-иесі – банктің, ұйымның ақпараттық жүйені немесе шағын жүйені автоматтандыратын негізгі бизнес-процестің иесі болып табылатын бөлімшесі (қызметкері); 5) ақпараттық-коммуникациялық инфрақұрылым (бұдан әрі – ақпараттық инфрақұрылым) – электрондық ақпараттық ресурстарды қалыптастыру және оларға қолжетімділік беру мақсатында технологиялық ортаның жұмыс істеуін қамтамасыз етуге арналған ақпараттық-коммуникациялық инфрақұрылым объектілерінің жиынтығы; 6) ақпараттық-коммуникациялық инфрақұрылымды қорғау шегі – банктің, ұйымның ақпараттық-коммуникациялық инфрақұрылымын сыртқы ақпараттық желілерден оқшаулайтын және ақпараттық қауіпсіздік қауіпінен қорғауды іске асыратын бағдарламалық-аппараттық құралдардың жиынтығы; 7) ақпараттық қауіпсіздік қатері – ақпараттық қауіпсіздік оқыс оқиғаларының пайда болуының алғышарттарын туындататын жағдайлардың және факторлардың жиынтығы; 8) ақпараттық қауіпсіздік оқыс оқиғасы – ақпараттық-коммуникациялық инфрақұрылымның немесе оның жекелеген объектілерінің жұмысында жеке немесе сериялық туындайтын, олардың тиісінше жұмыс істеуіне қауіп келтіретін іркілістер және (немесе) электрондық ақпараттық ресурстарды заңсыз алу, көшіру, тарату, жаңғырту, жою немесе бұғаттау үшін жағдайлар; 9) ақпараттық қауіпсіздік оқыс оқиғалары туралы ақпарат – ақпараттық-коммуникациялық инфрақұрылымның немесе оның жекелеген объектілерінің жұмысында жеке немесе сериялық туындайтын, олардың тиісінше жұмыс істеуіне қауіп келтіретін және (немесе) электрондық ақпараттық ресурстарды заңсыз алуға, көшіруге, таратуға, жаңғыртуға, жою немесе бұғаттауға жағдайлар жасайтын іркілістер туралы ақпарат; 10) ақпараттық қауіпсіздік тәуекелі – банктің, ұйымның ақпараттық активтері құпиялылығының бұзылуы, тұтастығының немесе қолжетімділігінің қасақана бұзылуы салдарынан залалдың ықтимал пайда болуы; 11) ақпараттық қауіпсіздікті қамтамасыз ету – банктің, ұйымның ақпараттық активтерінің конфиденциалдылық, тұтастық және қолжетімділік күйін ұстап тұруға бағытталған процесс; 12) ақпаратты штаттық тасымалдаушы – ақпараттық-коммуникациялық инфрақұрылым объектісінің құрамдас бөлігі болып табылатын және оған тұрақты қосылған ақпарат тасымалдаушы; 13) алдын ала орнатылған есептік жазбалар – ақпараттық жүйелерді өндірушілер орнатқан есептік жазбалар; 14) артықшылықты есептік жазба –есептік жазбаларды жасау, жою және оларға кіру құқықтарын өзгерту артықшылықтары бар ақпараттық жүйедегі есептік жазба; 15) әкімшілендіру және мониторинг консолі – ақпараттық жүйені қашықтан басқаруды жүзеге асыруға мүмкіндік беретін жұмыс станциясы; 16) банктің, ұйымның деректерді өңдеу орталығы – банктің, ұйымның ақпараттық жүйелерінің жұмысын қамтамасыз ететін серверлер орналастырылған, арнайы бөлінген үй-жай; 17) бизнес-процесс – сыртқы немесе ішкі тұтынушы үшін белгілі бір өнімді немесе қызметті жасауға бағытталған өзара байланысты іс-шаралар немесе міндеттер жиынтығы; 18) бизнес-процестің иесі – банктің, ұйымның бизнес-процестің жұмыс істеу цикліне және банктің, ұйымның бизнес-процеске тартылған бөлімшелерінің қызметін үйлестіруге жауап беретін бөлімшесі (қызметкері); 19) виртуалды орта – аппараттық іске асырудан абстракцияланған және бір нақты ресурста орындалатын есептеуіш процестердің бір-бірінен қисынды оқшаулануын да қамтамасыз ететін есептеу ресурстары немесе олардың қисынды бірігуі; 20) гипервизор – бірнеше операциялық жүйені сол бір серверде немесе компьютерде құруға және іске қосуға мүмкіндік беретін бағдарламалық немесе аппараттық-бағдарламалық қамтылым; 21) деректер беру хаттамасы – желіге қосылған екі және одан көп құрылғы арасында қосу мен айырбастауды жүзеге асыруға мүмкіндік беретін қағидалар мен іс-қимылдар жиынтығы; 22) желіаралық экран – ақпараттық инфрақұрылымның берілген қағидаларға сәйкес ол арқылы өтетін желілік трафикке бақылау мен сүзгіден өткізуді жүзеге асыратын элементі; 23) жұмыс станциясы – банктің, ұйымның ақпараттық активін пайдаланушының стационарлық дербес компьютері; 24) комплаенсбақылау бөлімшесі – банктің, ұйымның және оның қызметкерлерінің Қазақстан Республикасы заңнамасының, банктің, ұйымның ішкі құжаттарының, сондай-ақ банктің, ұйымның қызметіне ықпал ететін шет мемлекеттер заңнамасының талаптарын сақтамауы салдарынан банкте, ұйымда шығындардың туындауын болғызбау жөніндегі функцияларды жүзеге асыратын бөлімше; 25) кіру – банктің, ұйымның ақпараттық активтерін пайдалану мүмкіндігі; 26) қауіпсіздіктің топтық саясаттары – ақпараттық жүйелердің құралдары арқылы іске асырылған ақпараттық қауіпсіздік қағидаларының үлгі жиынтықтары; 27) қосымша – ақпараттық жүйе пайдаланушысының қолданбалы бағдарламалық қамтылымы; 28) резервтік көшірме – деректер зақымдалған немесе бұзылған жағдайда оларды түпнұсқада немесе жаңадан орналастырылған орнында қалпына келтіруге арналған ақпарат жеткізгіштегі деректер көшірмесі; 29) сигнатуралар – бағдарламалық кодты сәйкестендіретін деректер жиынтығы; 30) техникалық қауіпсіздікті қамтамасыз ету – техникалық құралдарды (күзет және өрт сигнализациясы, кіруді бақылау және басқару, бейнебақылау, өрт сөндіру, деректерді өңдеу орталығында температуралық режим мен ылғалдылықты бақылау жүйелерін) пайдалана отырып банктің, ұйымның қауіпсіздігін қамтамасыз ету процесі; 31) технологиялық есептік жазба – ақпарат жүйесіндегі ақпараттық жүйелердің өзара іс-қимыл жасауы кезінде аутентификациялауға арналған есептік жазба; 32) түзету шарасы – ақпараттық қауіпсіздікті қамтамасыз ету барысында болған проблеманы не оның бұзылу салдарын түзетуге бағытталған ұйымдастыру және техникалық іс-шараларының жиынтығы; 33) уәкілетті орган – қаржы нарығы мен қаржы ұйымдарын реттеу, бақылау және қадағалау жөніндегі уәкілетті орган.

kk-KZ · official · sha256:87731d67d18fb5ee9337992bbf123fc88f8e01388eb59a2b80005d36e387aa88KK-KZ

20. Заң бөлімшесі банктің, ұйымның ақпараттық қауіпсіздікті қамтамасыз ету мәселелері бойынша ішкі құжаттарының құқықтық сараптамасын жүргізеді.

kk-KZ · official · sha256:ad26ae8758bececcd995bc3520ac3a69534077174f716559e428e00e62bf1c61KK-KZ

21. Комплаенс-бақылау бөлімшесі банктің, ұйымның заң бөлімшесімен бірлесіп, Талаптардың 11-тармағында көзделген қорғалатын ақпараттың тізбесіне енгізуге жататын ақпараттың барлық түрлерін айқындайды.

kk-KZ · official · sha256:b6eb7bd087e749994de3e0d5ee11296c98247d1cf48f6c9385c749fa258144b2KK-KZ

22. Ішкі аудит бөлімшесі банктің, ұйымның ішкі аудит жүйесін ұйымдастыруды реттейтін банктің, ұйымның ішкі құжаттарына сәйкес банктің, ұйымның ақпараттық қауіпсіздікті басқару жүйесінің жай-күйін бағалауды жүргізеді.

kk-KZ · official · sha256:5ff61679a802b4a946c4309d4fc908bbc7e67381b5ee682c1721c5310d59cf2eKK-KZ

23. Банктің, ұйымның ақпараттық қауіпсіздік тәуекелдерін басқару бөлімшесі банктің, ұйымның ішкі құжаттарына сәйкес функцияларды жүзеге асырады.

kk-KZ · official · sha256:3e1c8b0b2194ea47389a644dfee0fd9bf35c901bf2d6b40fb51ab7ccd8339acbKK-KZ

24. Банктің, ұйымның құрылымдық бөлімшелерінің басшылары: 1) қызметкерлердің банктің, ұйымның ақпараттық қауіпсіздікке қойылатын талаптарды (бұдан әрі - ақпараттық қауіпсіздікке қойылатын талаптары) қамтитын ішкі құжаттарымен танысуын қамтамасыз етеді; 2) олар басқаратын бөлімшелерде ақпараттық қауіпсіздікті қамтамасыз ету үшін дербес жауапкершілік атқарады; 3) конфиденциалды ақпаратты жария етпеу туралы келісімдер жасасуды және банктің, ұйымның бөлімшесі мұндай келісімдерді, шарттарды жасасуға бастамашы болған жағдайларда, ақпараттық қауіпсіздікті қамтамасыз ету туралы талаптарды келісімдерге, қызметтер көрсету/жұмыстарды орындау шарттарына енгізуді қамтамасыз етеді.

kk-KZ · official · sha256:0942107b1c0afc98611ce67ca46898dee4feaf9de2ac0aaed6eb111740dd9365KK-KZ

25. Ақпараттық жүйелердің немесе шағын жүйелердің бизнес-иелері: 1) ақпараттық жүйелерді құру, енгізу, түрлендіру, пайдалану және банктің, ұйымның клиенттері мен бөлімшелеріне өнімдер мен қызметтерді ұсыну кезінде, сондай-ақ мемлекеттік органдардың ақпараттық жүйелерін қоса алғанда, ақпараттық жүйелерді сыртқы ақпараттық жүйелермен біріктіру кезінде ақпараттық қауіпсіздікке қойылатын талаптардың сақталуына жауап береді; 2) ақпараттық жүйелерге кіру матрицаларының жаңартылуын қалыптастырады және қолдайды.

kk-KZ · official · sha256:b52505a69a37be0e3c4b1a177deb6dc11461f012ed98962b0f8adf2db14d86bdKK-KZ

26. Банктің, ұйымның құрылымдық бөлімшелерінің қызметкерлері: 1) банкте, ұйымда қабылданған ақпараттық қауіпсіздік талаптарының орындалуы үшін жауап береді; 2) өздерінің функционалдық міндеттері шеңберінде олар өзара іс-әрекет жасайтын үшінші тұлғалардың ақпараттық қауіпсіздік талаптарын орындауын, оның ішінде аталған талаптарды үшінші тұлғалармен жасалған шарттарға енгізу арқылы бақылайды; 3) өзінің тікелей басшысына және ақпараттық қауіпсіздік бөлімшесіне банктің, ұйымның ақпараттық активтерімен жұмыс істеу кезіндегі барлық күдікті жағдайлар мен бұзушылықтар туралы хабарлайды.

kk-KZ · official · sha256:9651af8f0dde98cc4aa477a09c9dc1a4c9534b4d2b1af0ef24d26d307d692de7KK-KZ

27. Егер банктің, ұйымның ақпараттық қауіпсіздігін қамтамасыз ету функциялары тысқары ұйымдарға берілсе, атқарушы органының ақпараттық қауіпсіздік мәселелеріне жетекшілік ететін мүшесі ақпараттық қауіпсіздікті қамтамасыз етуге жауапты болып табылады.

kk-KZ · official · sha256:93290d538824b0905ccad7350a251087e15391ad9b9427af92e659091ea6a243KK-KZ

28. Банк, ұйым жыл сайын есепті жылдан кейінгі жылдың 10 қаңтарынан кешіктірмей уәкілетті органға ақпараттық қауіпсіздікті басқару жүйесінің жай-күйі және оның Талаптарға сәйкестігі туралы ақпарат (бұдан әрі – АҚБЖ туралы ақпарат) береді.

kk-KZ · official · sha256:374f20264005a20884b7d7270a9eddf3073f7ff6437e87e6bb0febeaf208e649KK-KZ

29. АҚБЖ туралы ақпарат еркін нысанда жасалады және ұсынылатын деректердің конфиденциалдығы мен түзетілмеуін қамтамасыз ететін криптографиялық қорғау құралдарымен ақпаратты кепілді жеткізудің тасымалдау жүйесін пайдалана отырып, немесе ақпараттық қауіпсіздік оқиғалары мен оқыс-оқиғалары туралы ақпаратты өңдеуге арналған уәкілетті органның автоматтандырылған жүйесі арқылы уәкілетті органға ұсынылады.

kk-KZ · official · sha256:0e9f8c0ee126fdcb1c9186cc585ed69ea3a82b4102766c18eef8a57badc8a477KK-KZ

3. Банктердің, ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге мынадай талаптар қойылады: 1) ақпараттық қауіпсіздікті басқару жүйесін ұйымдастыруға қойылатын талаптар; 2) банктің, ұйымның ақпараттық активтерін санаттарға бөлуге қойылатын талаптар; 3) банктің, ұйымның ақпараттық активтеріне қолжетімділікті ұйымдастыруға қойылатын талаптар; 4) ақпараттық инфрақұрылымның қауіпсіздігін қамтамасыз етуге қойылатын талаптар; 5) ақпаратты криптографиялық қорғау құралдарына қойылатын талаптар; 6) үшінші тұлғалардың банктің, ұйымның ақпараттық активтеріне қол жеткізуі кезінде ақпараттық қауіпсіздікті қамтамасыз етуге қойылатын талаптар; 7) ақпараттық қауіпсіздік жай-күйін ішкі тексеруге қойылатын талаптар; 8) ақпараттық қауіпсіздікті басқару жүйесінің процестеріне қойылатын талаптар. 2-тарау. Ақпараттық қауіпсіздікті басқару жүйесін ұйымдастыруға қойылатын талаптар

Ссылаются нормы: assert-h075550fa9590ab2e7418770a44405155342f2f9d6569c6cd187cb23ae5f626d3, assert-h23a8065ab230493662237c1993591d81a2074a05ffc4312a1700097287222cd6, assert-h6aad2998049b992f51d5e067694d1b08d830ba6313d022ce3e00bd2ad2078499, assert-h6eb96d96778bd3a8eefe435d3b105c18732fe1201b5e63f1e3c2624a7bb164c1, assert-h8034fc50e987e5a9c964c5fce0cb343133ce5ae148eb869329a23ba67fa4fe17, assert-h9b43432c5de13ff04005190d7a4a3f153d124ec17fd46a84a743d3308fe83abc, assert-hb4c6e64432d4c177aeda9b67b914cc3949f6928154eaa6834fcdbc78fb689902, assert-he99bdde870aa0414b82904df03a78d4b58c59c4187b8452009aba449744d4f7d

kk-KZ · official · sha256:f9a2411a279c6bc7d83b21443bf7352a5c62430cf12d1e5ad4f63866984796ebKK-KZ

30. АҚБЖ туралы ақпаратта мыналар: 1) банктің, ұйымның ақпараттық қауіпсіздікті басқару жүйесінің қолданылу шегі және олардың функционалының Талаптарға сәйкестігін көрсете отырып, оның қатысушылары; 2) ақпараттық қауіпсіздікті басқару жүйесін құруды және оның жұмыс істеуін реттейтін құжаттардың болуы; 3) ақпараттық қауіпсіздікті қамтамасыз ету үшін пайдаланылатын бағдарламалық-техникалық құралдарының болуы және сандық құрамы; 4) операторлармен жасалған қызметтер көрсету туралы шарттарда ақпараттық қауіпсіздікті қамтамасыз ету бойынша талаптардың және міндеттемелердің болуы; 5) деректер өңдеудің резервтік орталықтарының болуы, материалдық-техникалық жабдықталуы және дайындығы; 6) банктің, ұйымның ақпараттық қауіпсіздікті басқару жүйесін және ақпараттық активтерін Талаптарға сәйкестендіру бойынша жүргізілген іс-шаралар туралы мәліметтер қамтылады.

kk-KZ · official · sha256:1583649af19f00f7bfd89a53f69a2341ea841348b4e37655bfe9b0d636dcd8a1KK-KZ

31. Уәкілетті орган банктің, ұйымның Талаптарға сәйкестігін бағалауды 3 (үш) жылда кемінде бір рет жүзеге асырады.

kk-KZ · official · sha256:c78f7908243a2691f5237c2dc16760685b96a245b8e4b938ce4f6a8a4c9d3ddaKK-KZ

32. Банк, ұйым банктің, ұйымның ақпараттық қауіпсіздігін басқару жүйесінің жай-күйіне банктің, ұйымның атқарушы органы айқындайтын көлемде "Ақпараттық қауіпсіздік, киберқауіпсіздік және құпиялылықты қорғау. Ақпараттық қауіпсіздік менеджменті жүйелері. Талаптар" СТ ISO/IEC 27001-2023 Қазақстан Республикасының ұлттық стандартына немесе "Information security, cybersecurity and privacy protection – Information security management systems - Requirements" (Информэйшн секьюрити, сайберсекьюрити энд прайвэси протекшн. Информэйшн секьюрити мэнэджмент системс - Реквайрментс) ISO/IEC 27001:2022 халықаралық стандартына (Ақпараттық қауіпсіздік, киберқауіпсіздік және жеке өмірді қорғау - Ақпараттық қауіпсіздік менеджменті жүйелері - Талаптар) сәйкес келуіне 3 (үш) жылда кемінде бір рет сыртқы тексеруді жүргізеді. 3-тарау. Ақпараттық активтерді санатқа жатқызуға қойылатын талаптар

kk-KZ · official · sha256:c3f60e9e49c52a3167ae9c207116ae5aa748ae1c71c4583cdc8a0180c2f5e956KK-KZ

33. Банк, ұйым олардың иелерін көрсете отырып, маңызды ақпараттық активтердің тізбесін қалыптастырады.

Ссылаются нормы: KritichnyyAktivNeVPerechne, PerechenKritichnyhNadlezhashchiy

kk-KZ · official · sha256:860e95b9039d1d0ce8d4171bb6bd4897caf14bab0c9c794a79b01072902e6460KK-KZ

34. Банк, ұйым Талаптарға сәйкес маңызды санатына жатқызылған ақпараттық активтердің, сондай-ақ осы активтер кіретін ақпараттық жүйелердің ақпараттық қауіпсіздігін қамтамасыз етеді.

kk-KZ · official · sha256:04b66c235557829595076861c3a97bbfa57b1efab0c621e9ed0bf2b71b5bc8beKK-KZ

35. Маңызды емес санатына жатқызылған ақпараттық активтерді, сондай-ақ тұтастай осы активтерден тұратын ақпараттық жүйелерді қорғау әдістері мен құралдарын банк, ұйым дербес айқындайды. 4-тарау. Ақпараттық активтерге кіруді ұйымдастыруға қойылатын талаптар

kk-KZ · official · sha256:85516feccb094f11f8adbc25fd6715fa86cc045878beb4ea012401a3f0665e8dKK-KZ

36. Банктің, ұйымның қызметкерлеріне ақпаратқа кіру олардың функционалдық міндеттерін айқындайтын көлемде беріледі.

Ссылаются нормы: OrganizaciyaDostupaNadlezhashchaya

kk-KZ · official · sha256:c15ee59128cd55ee7f93995233e353613c21200dd13865977779794a4f9d25e5KK-KZ

37. Банктің, ұйымның ақпараттық жүйелеріне кіруіне рұқсат беру ақпараттық жүйелерді пайдаланушылардың кіру құқықтарының олардың функционалдық міндеттеріне сәйкестігін қамтамасыз ету үшін рөлдерді қалыптастыру және енгізу жолымен жүргізіледі. Мұндай рөлдердің жиынтығы банк, ұйым электрондық нысанда немесе қағаз тасымалдағышта қалыптастыратын ақпараттық жүйеге кіру матрицасы болып табылады.

kk-KZ · official · sha256:3a1854809f2d2578f4c3b2bf9de29ada6ee75150e0d236415febfab888ded1faKK-KZ

38. Банктің, ұйымның ақпараттық жүйелеріне кіру матрицаларын құру және пайдалану процесі Талаптардың 9-тарауына сәйкес банктің, ұйымның ішкі құжатында айқындалады.

kk-KZ · official · sha256:d662276c974ca07468887c15e6210c106a0308564b1866cb58c0f4e4af7e68b5KK-KZ

39. Банктің, ұйымның ақпараттық жүйелеріне кіру ақпараттық жүйелерді пайдаланушыларды сәйкестендіру және аутентификациялау арқылы жүзеге асырылады. Банктің, ұйымның ақпараттық жүйелерін пайдаланушыларды сәйкестендіру және аутентификациялау мынадай тәсілдердің бірі арқылы: 1) "есептік жазба (сәйкестендіруші) – құпиясөз" деген жұпты енгізу немесе екі факторлы аутентификациялау тәсілдерін қолдану арқылы (үш фактордың ішінен екеуін қолданумен: білім, иелік ету, ажырамастық); 2) биометриялық және (немесе) криптографиялық және (немесе) аппараттық аутентификациялау тәсілдерін пайдалану арқылы жүргізіледі.

Ссылаются нормы: DostupCherezAutentifikaciyu, assert-h46dfac621fc07fc58ef87bee27ff9b96c56995284c11d97f29c27a54fedafbfc, assert-h7658304fbfb84d8bc279af2767f904cfb439c3fcad8bfae28ae7c6c130533995

kk-KZ · official · sha256:3f67b7e1e3223c0a4a4776a79273a66cb9d10ff412ab852e883825f1872f869eKK-KZ

4. Банктің, ұйымның бірінші басшысы ақпараттық қауіпсіздікті қамтамасыз ету процесін басқаруға арналған банкті, ұйымды басқарудың жалпы жүйесінің бір бөлігі болып табылатын ақпараттық қауіпсіздікті басқару жүйесін құруды, оның жұмыс істеуін және жақсартуды қамтамасыз етеді.

Ссылаются нормы: SostavUchastnikovPolnyy

kk-KZ · official · sha256:e715bd8d8dc5075353b0b049725a2cdb0a3a0ee7256b3d54858dd6b501d62cc4KK-KZ

40. Банктің, ұйымның ақпараттық жүйелерінде тек пайдаланушылардың дербестендірілген есептік жазбалары пайдаланылады.

kk-KZ · official · sha256:44fa316d9b0d191c62fa88f7d572fad95c3acbe7a1e0bf54d68d55eb283863fdKK-KZ

41. Технологиялық есептік жазбалар ақпараттық қауіпсіздік бөлімшесі басшысының келісімі бойынша ақпараттық технологиялар бөлімшесінің басшысы бекітетін, оларды пайдалануға және өзектілігі үшін дербес жауапты адамдарды көрсете отырып, әрбір ақпараттық жүйе үшін осындай есептік жазбалардың тізбесіне сәйкес пайдаланылады.

kk-KZ · official · sha256:8a9af062856d728cede7448943b97b9f233439f31a7546f36a71c53e5cd480acKK-KZ

42. Банктің, ұйымның ақпараттық жүйелерінде Талаптардың 9-тарауына сәйкес банк, ұйым айқындайтын есептік жазбаларды және құпиясөздерді басқару, сондай-ақ пайдаланушылардың есептік жазбаларын оқшаулау бойынша функциялар пайдаланылады. 5-тарау. Ақпараттық инфрақұрылымның қауіпсіздігін қамтамасыз етуге қойылатын талаптар

kk-KZ · official · sha256:38708375b2a7c90bd3682372e95a03cc3458a7f54912b8b41dd44b04bd2471b6KK-KZ

43. Банктің, ұйымның ақпараттық технологиялар бөлімшесі мыналарды: 1) элементтерінің нақты орналасқан жерін көрсете отырып, ақпараттық инфрақұрылымның жалпы схемасын қалыптастыру және бекіту процесін; 2) ақпараттық активті немесе ақпараттық активтер тобын конфигурациялау құқығы берілген банктің, ұйымның жауапты қызметкерлерін (бұдан әрі – әкімшілер) тағайындау процесін; 3) мынадай: операциялық жүйелердің; дерекқорды басқару жүйелерін; телекоммуникациялық құрылғыларды; ақпараттық жүйелерді; ақпараттық инфрақұрылымның тораптары мен соңғы нүктелерін, жұмыс станцияларын, оның ішінде қорғау аясының шегінен тыс тасымалдау және пайдалану үшін ыңғайлы нысанда жасалған дербес компьютерлерді (бұдан әрі – ноутбук) және операциялық жүйенің мобильді нұсқасы негізінде жұмыс істейтін жеке пайдаланылатын электрондық құрылғыларды (бұдан әрі - мобильді құрылғы) құжаттамалау және типтік теңшеулерін бекіту процесін әзірлейді және оларды іске асыруды қамтамасыз етеді.

Ссылаются нормы: EstNerazrabotannyeProcessy, NerazrabotannyyProcess, ProcessyInfrastrukturyRazrabotany, assert-h1c007a31fc14b815a8945de7b3241f2f38691a68ee2be0117787e02176b12187, assert-hb4824b8a3cc77b20d93aaa0ccb05debd55a585bd8109f48e07e91056024b42c0, assert-heb3c0d7d6fd2e97d91d4563fce8643298c844a0e0640753bd20b6634ec1a7482

kk-KZ · official · sha256:67dd12a7900626e4a980e68b23626682300a6b894815b64aca969c8d5397173eKK-KZ

44. Ақпараттық қауіпсіздік бөлімшесі банктің, ұйымның ақпараттық активтеріндегі жүйелік және конфигурациялық файлдардың, сондай-ақ аудиторлық із журналдарының қауіпсіздік теңшеулерінің және тұтастығының өзгеруін бақылау жүйесін ұйымдастыруды қамтамасыз етеді.

kk-KZ · official · sha256:6a9b8df4b0b01b32a1d70d94c5a3995aa8c061bfb3d88315d11a789b31d27243KK-KZ

45. Банк, ұйым авторизацияланбаған құрылғылардың не теңшеулері банктің, ұйымның ішкі құжатында белгіленген ақпараттық қауіпсіздікті қамтамасыз ету тәртібіне қайшы келетін құрылғылардың ақпараттық инфрақұрылымына кіру тәуекелін төмендететін ұйымдастыру іс-шараларын жүргізеді және (немесе) бағдарламалық-техникалық құралдарды орнатады.

kk-KZ · official · sha256:f941013888e52279b830ce4ddb215c1c939862514b6705fc92bfab5564af1605KK-KZ

46. Банктің, ұйымның әрбір ақпараттық активі үшін ақпараттық жүйенің немесе шағын жүйенің кем дегенде бизнес-иесі, сондай-ақ АТ-менеджері және (немесе) әкімшісі анықталады.

Ссылаются нормы: EstNeopredelennyeRoli, NeopredelennayaRol, RoliPoAktivuOpredeleny, assert-hd5087a7d64932e881e992babae529baab4315c7a5e33fffda1ce4b5348000821, assert-hefa8a53685329acb9738b76758986248b1de059ebc4dd842d2fb079d0b32541a

kk-KZ · official · sha256:ffc983346a22efc4a318592c7481cdd7af5412fe2f449f20b3ce1cd010b3c761KK-KZ

47. Ақпараттық инфрақұрылым объектілерін құруға (жаңғыртуға) техникалық тапсырмаларды әзірлеу кезінде ақпараттық жүйенің немесе шағын жүйенің бизнес-иесі ақпараттық қауіпсіздік талаптарын ескереді.

kk-KZ · official · sha256:5af8c585e4e92187341201d264cd96270c4a363df7c92c8bff736df1a14c3450KK-KZ

48. Банк, ұйым ақпараттық жүйенің жұмыс істеуге қабілетті көшірмесін қалпына келтіруді қамтамасыз ететін ақпараттық жүйелер деректерінің, олардың файлдарының және теңшеулерінің резервтік сақталуын қамтамасыз етеді. Ақпаратты резервтік көшіру, сақтау, қалпына келтіру тәртібі мен кезеңділігін, резервтік көшірмелерден маңызды ақпараттық жүйелердің жұмыс істеу қабілетін қалпына келтіруді тестілеуден өткізу кезеңділігін банк, ұйым айқындайды.

kk-KZ · official · sha256:40dc5168f9282996421e59d8f8600a1f97cbf60b5b48fd7c4680c953005e425fKK-KZ

49. Банк, ұйым ақпараттық инфрақұрылымды вирусқа қарсы қорғауды Талаптардың 9-тарауына сәйкес банк, ұйым айқындаған тәртіппен қамтамасыз етеді.

kk-KZ · official · sha256:4679589a64e1284c613b22ec056795d945fcbc6b3f4c37ca4f0eebee75543af0KK-KZ

5. Ақпараттық қауіпсіздікті басқару жүйесі банктің, ұйымның бизнес-процестері үшін ықтимал залалдың ең төмен деңгейін көздейтін банктің, ұйымның ақпараттық активтерін қорғауды қамтамасыз етеді.

kk-KZ · official · sha256:7a9c12de42b5927b2f5c196751650366c4983ee6bef2add81cba758badd67df6KK-KZ

50. Банктің, ұйымның деректерді өңдеу орталықтарының заттай қауіпсіздігін қамтамасыз ету тәртібін Талаптардың 9-тарауына сәйкес банк, ұйым айқындайды.

kk-KZ · official · sha256:bb96c63fa86c0607b5a150aff57227349c969275ebb3046a432c0000c32b542cKK-KZ

51. Банк, ұйым қызметкерлерінің жұмыс станцияларына, ноутбуктеріне және корпоративтік мобильді құрылғыларына олардың функционалдық міндеттеріне сәйкес бағдарламалық қамтылым орнатылады.

kk-KZ · official · sha256:15c2330794bd726bb6c2e8bdc00b790812ecc5f7d8bcd9f1cfad1bbbac5095deKK-KZ

52. Ақпараттық технологиялар бөлімшесі банкте, ұйымда пайдалануға рұқсат етілетін бағдарламалық қамтылымның тізбесін қалыптастырады және жаңартады. Бағдарламалық қамтылым ақпараттық қауіпсіздік бөлімшесі тексеру жүргізгеннен кейін тізбеге енгізіледі.

kk-KZ · official · sha256:ec8ea094f35c9f7a1c408ccda7e1753f94b0d92fd3d946a1375244eabca0923eKK-KZ

53. Банк, ұйым Талаптардың 9-тарауына сәйкес банктің, ұйымның жұмыс станцияларын, ноутбуктар мен мобильді құрылғыларын, сондай-ақ ақпарат тасымалдағыштарының және желілік ресурстарын қорғауды қамтамасыз ететін ұйымдық және техникалық шараларды айқындайды. 6-тарау. Ақпаратты криптографиялық қорғау құралдарына қойылатын талаптар

kk-KZ · official · sha256:261b406d5dcbc67b9562510a841f08fadd0a6cb76a64797ce5975b7439d1a5c1KK-KZ

54. Ақпараттық жүйенің бизнес-иесі ақпаратты криптографиялық қолдау құралдарын енгізу және қолдау процесін ақпараттық қауіпсіздік бөлімшесімен келіседі.

Ссылаются нормы: KriptograficheskayaZashchitaNadlezhashchaya

kk-KZ · official · sha256:b7b60127635b1a0fb22646382db8fda3e155a9d39596ed0fd041377dbae9023eKK-KZ

55. Банк, ұйым Талаптардың 9-тарауына сәйкес ақпаратты криптографиялық қорғау құралдарын пайдалану тәртібін айқындайды. Банк, ұйым олардың мақсатын, оларда іске асырылатын криптографиялық алгоритмдерді, ақпараттық жүйенің атауын, ақпаратты криптографиялық қорғау құралдарын пайдаланатын ақпараттық жүйенің иесін көрсете отырып, қолданылатын ақпаратты криптографиялық қорғау құралдарының тізбесін бекітеді. 7-тарау. Үшінші тұлғалардың банктің, ұйымның ақпараттық активтеріне кіруі кезінде ақпараттық қауіпсіздікті қамтамасыз етуге қойылатын талаптар

kk-KZ · official · sha256:98366a485eb82110eb52d5458c6b245e7f5b02711c312cf661b733d47390e273KK-KZ

56. Банк, ұйым банктің, ұйымның қызметкерлері немесе клиенттері болып табылмайтын үшінші тұлғалардың (бұдан әрі – үшінші тұлғалар) банктің, ұйымның ақпараттық активтеріне кіру кезінде ақпараттық қауіпсіздікті қамтамасыз етеді.

kk-KZ · official · sha256:41ab21b0a25ce27291fd089d88a0c4258c852256a224dd493430e569a0caf102KK-KZ

57. Үшінші тұлғалардың банктің, ұйымның ақпараттық активтеріне кіру рұқсаты Қазақстан Республикасының заңнамасында көзделген жағдайларды қоспағанда, ақпараттық қауіпсіздік талаптарын сақтау туралы талаптарды қамтитын келісім, шарт негізінде жүргізілетін жұмыстарда айқындалатын кезеңге және көлемде беріледі. Үшінші тұлғалармен жасалатын ақпараттық қауіпсіздік талаптарын сақтау туралы келісімдерде, шарттарда конфиденциалдылық туралы ережелер, ақпараттық қауіпсіздіктің бұзылуы салдарынан туындаған шығынды қайтару туралы, сондай-ақ үшінші тұлғалардың араласуы салдарынан болған ақпараттық жүйелердің жұмысындағы іркілістер және үшінші тұлғалардың әрекетінен немесе әрекетсіздігінен болған олардың қауіпсіздігін бұзуы салдарынан туындаған зиянды өтеу туралы талаптар қамтылады.

Ссылаются нормы: DostupTretegoLicaNadlezhashchiy

kk-KZ · official · sha256:16df84d2f3fd3994078afdb9c9d3d44efe659ba124275ac6ea040447e66f12a6KK-KZ

58. Банктің, ұйымның қызметіне тексеруді жүзеге асырған не тиісті кіру рұқсаты немесе ақпарат ұсынғанға дейін уәкілетті орган ақпарат сұратқан кезде уәкілетті орган өкілдерінің өкілеттіктері тексеріледі.

kk-KZ · official · sha256:9c5b61d7c11d7ceeeff1fa041737f534bf000c462316feaae0baae51629e7b90KK-KZ

59. Үшінші тұлғалардың қызметін бақылауды қамтамасыз ету мақсатында мынадай ұйымдастыру және (немесе) бағдарламалық-техникалық шаралар көзделеді: 1) үшінші тұлғалар қызметінің нәтижесін тексеру; 2) үшінші тұлғалардың қызметін банк, ұйым қызметкерлерінің қатысуымен ғана жүзеге асыру; 3) үшінші тұлғалардың іс-қимылдары бойынша аудиторлық ізді жүргізу; 4) банктің, ұйымның ақпараттық активтеріне кіру сессиясын жазу.

Ссылаются нормы: EstNepredusmotrennyeMery, KontrolTretegoLicaPolnyy, NepredusmotrennayaMera, ObespechitKontrolTretegoLica, SubektObespechivaetKontrolTretegoLica, assert-h45666a78b7412ff994028b7df987a0aa9ccc1548f52329c70f152d871374ed07, assert-h694e58a7a3fe6de3698f28d754e1b19e819bec02b9bc5900b356432512304d56, assert-h8f09f0e601ca1425415d9bc4b58e73fd733197030588ca43c6231e09021d004e, assert-hc01e82a0b6df5faa6f9d341cc5a151c123aaa723ed692f1a53c5f92a11b85445

kk-KZ · official · sha256:eb665c982610e5b479ab05a7a6c2e14cf79a44bdea9fa216bc247b3f64d4bd75KK-KZ

6. Банк, ұйым ақпараттық қауіпсіздікті басқару жүйесінің тиісті деңгейін, оны дамытуды және жақсартуды қамтамасыз етеді.

Ссылаются нормы: SistemaUpravleniyaNadlezhashchaya

kk-KZ · official · sha256:3d89ce30a129fcbf12da14cfcf9c1ce371232865c305ca1ee687fd3f0ed026a7KK-KZ

60. Үшінші тұлғаларға банктің, ұйымның ақпараттық активтерінің бір бөлігін беру (серверлік қуаттарды тысқары деректерді өңдеу орталықтарына орналастыру, деректерді өңдеу және/немесе сақтаудың сыртқы сервистерін пайдалану) жағдайында ақпараттық қауіпсіздікті қамтамасыз етудің мынадай шаралары қабылданады: 1) үшінші тұлғамен жасалған тиісті келісімде, шартта банктің, ұйымның ақпараттық активтерін қорғау жөніндегі талаптарды және банктің, ұйымның осындай талаптардың орындалуын тексеру құқығын, сондай-ақ қауіпсіздікті және ақпараттық жүйелердің жұмыс істеу қабілетінің бұзылуы салдарынан туындаған шығынды қайтару туралы талаптарды көрсету; 2) Қазақстан Республикасының азаматтық, банк заңнамасына, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасына сәйкес үшінші тұлғаларға беруге жол берілмейтін ақпаратқа үшінші тұлғалардың қол жеткізу мүмкіндігін болдырмау. Бұлттық сервистерді пайдалану кезінде осы мақсаттар үшін банк, ұйым тарапынан ақпаратты жариялаумен, ақпаратты шифрланған түрде сақтау әдісі қолданылады. Бұл ретте шифрлау кілті банкте, ұйымда сақталады. 8-тарау. Ақпараттық қауіпсіздіктің жай-күйіне ішкі тексерулер жүргізуге қойылатын талаптар

Ссылаются нормы: PeredachaAktivovDopustima

kk-KZ · official · sha256:421aedbd845258dc93a0eb1e7455a73aea784910f8eed62d596bb8d0343bf64bKK-KZ

61. Ақпараттық қауіпсіздіктің жай-күйі мынадай тексеру жүргізу арқылы бағаланады: 1) ақпараттық қауіпсіздік бөлімшесі – атқарушы органның ақпараттық қауіпсіздік бөлімшесіне жетекшілік ететін мүшесі бекітетін жоспарға сәйкес, сондай-ақ банктің, ұйымның басқару органы басшысының жеке өкімі бойынша; 2) ішкі аудит бөлімшесі – банктің, ұйымның ішкі аудит жүйесін ұйымдастыруды реттейтін банктің, ұйымның ішкі құжаттарына сәйкес аудиторлық тексерулердің жылдық жоспары шеңберінде.

Ссылаются нормы: EstNeprovedennyeProverki, NeprovedennayaProverka, SostoyanieOcenivalos, assert-h7a762ab357a73082afe9e8df8697ced09875aecce5213004b7d3ae1ab93012e0, assert-hb70487ae1d3b12993c1ff098e466cb111df536d6721bde6e96eae9c3cf56b89a

kk-KZ · official · sha256:9be829007adc5cf7e0278a9dba2be597c646a3a5c87130068a0907fd274095f6KK-KZ

62. Ақпараттық қауіпсіздік бөлімшесі тексерудің нәтижесі бойынша тексеру материалдарын тіркей отырып, есеп жасайды, оны банктің, ұйымның тексерілетін бөлімшесіне мәлімет үшін жібереді. 9-тарау Ақпараттық қауіпсіздікті басқару жүйесінің процестеріне қойылатын талаптар 1-параграф. Ақпараттық жүйелерге кіруді ұйымдастыру процесіне қойылатын талаптар

Ссылаются нормы: OtchetnostOProverkeNadlezhashchaya

kk-KZ · official · sha256:d2d3df8d9811afadd68a2c5959e190730611fb2ed712c5bac73c4f97e00d9d9cKK-KZ

63. Ақпараттық жүйеге кіру матрицасын құру процесін банк, ұйым белгіленген тәртіппен жүзеге асырады және мынадай кезеңдерден тұрады: 1) ақпараттық жүйенің бизнес-иесі банктің, ұйымның ақпараттық жүйесіне кіру матрицасын құруға және белсенділігін қамтамасыз етеді; 2) бизнес-процестің иесі ақпараттық жүйенің АТ-менеджерімен бірлесе отырып, қызметкерлердің функционалдық міндеттерінде айқындалатын көлемде ақпараттық жүйеде рөлдердің қалыптасуын және өзектілігін қамтамасыз етеді; 3) қалыптастырылған рөлдер ақпараттық жүйенің бизнес-иесімен келісіледі; 4) банк, ұйым қолданыстағы автоматтандырылған бақылауларды айналып өтуге мүмкіндік беретін кірудің қайшылықты құқықтарын рөлдерде алып тастауды қамтамасыз етеді; 5) ақпараттық жүйенің АТ-менеджері ақпараттық жүйеде рөлдерді іске асырады; 6) ақпараттық жүйенің немесе шағын жүйенің бизнес-иесі және бизнес-процестің иесі құрылған рөлдерді тестілеуден өткізеді; 7) ақпараттық жүйенің АТ-менеджері ақпараттық жүйеге рөлдерді енгізеді.

Ссылаются нормы: EstNevypolnennyeEtapy, MatricaDostupaSozdana, NevypolnennyyEtap, TrebovaniyaDostupaPrimenimy, assert-h23aa95fa3395698c77c3243fc154737cbe33453a3ac4c7cf5fdf59eed38745dd, assert-h5569fbbc0ab98d87cf030132ddbc955d1d94095bc7b70dd613a976899c19aadf, assert-h73fba21b104ca6d4699881b58c8313c9c1be01211cf2e45c3a4e766f0135a911, assert-h80eedc5b0f6c3d244e25a03663717518ebfee31324613ccc1af210ccd6342e6d, assert-hae422e3b879331577310056453304ac8f5de12153d52c7f948a37a933d915a89, assert-hc58a92fbdb3a39d89a242bcdcc2843f1f1e40d683bb226500f2ffacfe177cd65, assert-hede222eaa3c1b4263ffe12d914063cdf23bfce93c7b3bd8f29fa2d88c4c8d2f9

kk-KZ · official · sha256:512dd50ef696a8bdfd5818849763a57a2b65c252c56107819f72b9dc0830db8dKK-KZ

64. Ақпараттық жүйеге кіру матрицасына өзгерістер мен толықтыруларды енгізу Талаптардың 63-тармағында белгіленген тәртіппен жүзеге асырылады.

kk-KZ · official · sha256:c4166bd5bb3e292f1bfe4f974699ed887dc0bf9f9b6a3bac0d37e80ef0e475dcKK-KZ

65. Банктің, ұйымның ақпараттық жүйесіне кіруді басқарудың тетігі мыналарды: 1) жаңа пайдаланушыны қосымша деңгейінде тіркеу мүмкіндігін; 2) пайдаланушыларға ақпараттық жүйелерге рольдер арқылы ғана кіру құқықтарын тағайындауды; 3) пайдаланушыларға ақпараттық жүйенің немесе шағын жүйенің бизнес-иесімен келісе отырып және ақпараттық қауіпсіздік бөлімшесіне хабарлай отырып, ақпараттық жүйеде бар рөлге қосымша жекелеген құқықтар беруді; 4) пайдаланушылардың рольдеріне ілеспе қызмет көрсетуді (құру, өзгерту, жою); 5) транзакциялық жүйелер үшін бірдей есептік деректер арқылы әр түрлі аппараттық құралдардан (компьютерлерден) бірмезгілде кіруді оқшаулау мүмкіндігін; 6) аудиторлық із жүргізуді қамтамасыз етеді.

Ссылаются нормы: EstNeobespechennyeSvoystva, MehanizmDostupaPolnyy, NeobespechennoeSvoystvo, assert-h1a83aa017080e882c37ed2e45bc9b26ad80ade712e7b4b471c64b5701da5ff2e, assert-h9d1bb07100e0324889ef40e75db21c1e86b5a1bac4e375101191dde47555a4e8, assert-h9e272d680e90578a74d2dc4c2a593b1442b24a23953505ba325ab77e6935372e, assert-ha3bae5982428013f0831cf1a9972dfb6c3081e00f322046f76ba1ad34400b9a1, assert-haaecf7beac7dc648ff8c8220f24b75a9265cdc31d0bb371797ea54c8a097fc6f, assert-hcdb70b8b69c4ba178bd1a93cf9fa737b0124d2bbf316c237f8997bb9ae925b3f

kk-KZ · official · sha256:b1d76a6d3aad1c4f2d9b71a895452370aff33fb9a4a3fbeeeac8f7dfe5c87e0cKK-KZ

66. Банктің, ұйымның ақпараттық жүйесінің деректеріне кіруді басқару тетігі мыналарды қамтиды: 1) пайдаланушыларға ақпараттық жүйенің деректеріне қосымша арқылы ғана кіруді қамтамасыз ету; 2) ақпараттық жүйенің деректеріне қосымшаны айналып өтіп, кіруді ұсыну ақпараттық қауіпсіздік бөлімшесімен келісу бойынша жүзеге асырылады; 3) ақпараттық технологиялар бөлімшесінің қосымшаны айналып өтіп, деректерге тікелей кіруге рұқсат берілген пайдаланушылар тізбесін қалыптастыруы және жаңартуы.

kk-KZ · official · sha256:a0eeac7d803ab4d4e3d02f8db4b8f260a8f18bf419757a094a7e2af9edab620cKK-KZ

67. Қызметкердің функционалдық міндеттері өзгерген кезде қолда бар кіру құқықтары ажыратылады және оның жаңа функционалдық міндеттеріне сәйкес жаңа кіру құқықтары тағайындалады. Қызметкер жұмыстан босатылған кезде жұмыстан босатылған күннен бастап бір тәуліктен асырмай оның барлық есептік жазбалары ажыратылады.

kk-KZ · official · sha256:c713aa33dfe7eb55c90dafc46627dc568546a8d850a507927a95326234f72d99KK-KZ

68. Ақпараттық қауіпсіздік бөлімшесі кіру матрицаларына сәйкес ақпараттық жүйелерге кіру құқықтарының дұрыстығына тексеру, сондай-ақ жұмыстан босатылған қызметкерлердің кіру құқықтарының ажыратылуына бақылау жүргізеді.

kk-KZ · official · sha256:721cc6d7f88430cbf743c4af5f22a2e2142ba18bd37ac3d759f89ef19cc1792dKK-KZ

69. Ақпараттық жүйелердің және шағын жүйелердің бизнес-иелері ақпараттық жүйелерге кіру рөлдері мен құқықтарын қайта қарауды банктің, ұйымның мүдделі бөлімшелерін тарта отырып, жылына кемінде бір рет жүргізеді.

Ссылаются нормы: EzhegodnostPeresmotraSoblyudena

kk-KZ · official · sha256:f491b0abc1f22a5b1cc20a0ff051b68b3dd2dc4d9b6b696f4eba3aa9ec363cb7KK-KZ

7. Банктің, ұйымның ақпараттық қауіпсіздігін басқару жүйесінің қатысушылары: 1) басқару органы; 2) атқарушы органы; 3) ақпараттық қауіпсіздікті қамтамасыз ету міндеттері бойынша шешімдер қабылдауға уәкілетті алқалы орган (бұдан әрі – алқалы орган); 4) ақпараттық қауіпсіздік бөлімшесі; 5) ақпараттық технологиялар бөлімшесі; 6) қауіпсіздік бөлімшесі; 7) қызметкерлермен жұмыс жүргізу бөлімшесі; 8) заң бөлімшесі; 9) комплаенс-бақылау бөлімшесі; 10) ішкі аудит бөлімшесі; 11) ақпараттық қауіпсіздік тәуекелдерін басқару бөлімшесі болып табылады. Бөлімшелердің осы тармақтың бірінші бөлігінің 4), 5), 6), 7), 8), 9), 10) және 11) тармақшаларында көрсетілген функцияларын ұйымда осы тармақтың бірінші бөлігінде көрсетілген бөлімшелер не мұндай бөлімшелер болмаған жағдайда, ұйымның жауапты қызметкерлері жүзеге асырады.

Ссылаются нормы: EstOtsutstvuyushchieUchastniki, OtsutstvuyushchiyUchastnik, assert-h0aacfbd97b9af381839135c464143e054aa1245bce6309c81d3f8a5b4a840854, assert-h0b37bc107cf0e42e2426a8599c8cdfaf90a5445e2588afe8eb419b5737ddfb2c, assert-h2910727523f8c80ddb54f87685cc812348c5f2697024561a3b142f11bba761b7, assert-h4ab475b6988a4616117dcd7edb5380263a307614bc0ddcd090ecb68f35b0c6a5, assert-h57c0cff2582976eced97432d402f5a44ffdbfc5293ae22c9d0977e1572c26b44, assert-h88593421b3a9e3c2fa3807630730797e97250b0e0434deb1a73ce4a68e0e6ec8, assert-h8cf01824e0034cda24c74c18d7634700331db6adf646bdd9dbf3f1f00d79b9b3, assert-hb82ca865d92c372791e280394aeea87892c16302319e7b235a96c5cca807b98b, assert-hc202d3249284920d20ef9f532ac96424947e154796d267d4cb29d106182045a7, assert-hc278d4f663e3f80c5946a83b3c0abafc27e444cacc858b9e0e3324a33939548b, assert-hf1bc83eca31e88fe0fc88a3dff605420bf37644f19bb56373d8134ca737c23f6

kk-KZ · official · sha256:99d5772c70258aa261843968f1e35db2796db78b1b52265de85f05ef8536f51bKK-KZ

70. Банкте, ұйымдарда осы параграфтың бір немесе бірнеше талабын іске асыруға техникалық мүмкіндіктер болмаған кезде, ақпараттық қауіпсіздік тәуекелдерінің әсерін ішінара немесе толық болдырмау бойынша қосымша техникалық және ұйымдастыру шаралары түріндегі өтеу шараларын қолданады. 2-параграф. Пайдаланушылардың ақпараттық жүйелердегі құпиясөздерін және есептік жазбаларын оқшаулауды басқару процесіне қойылатын талаптар

Ссылаются нормы: KompensiruyushchieMerySnimayutTrebovaniya

kk-KZ · official · sha256:61e3a25203683390357b04a31e59c163bda027b02dca34a7524847fc3b75021dKK-KZ

71. Банктің, ұйымның ақпараттық жүйелерінде пайдаланушылардың құпиясөздерін және есептік жазбаларын оқшаулауды басқару жөніндегі функцияның мынадай өлшемдері қолданылады: 1) құпиясөздің ең қысқа ұзындығы – осы өлшемнің мәні 8 символдан тұрады. Құпиясөзді осы өлшемге сәйкестігін тексеру құпиясөз ауысқан сайын жүргізіледі, сәйкес келмеген жағдайда – пайдаланушыға хабарлама жіберіледі; 2) құпиясөздің күрделілігі – құпиясөзде кемінде символдардың үш тобының: кішкентай әріптер, бас әріптерінің, цифрлық мәндердің, арнайы символдардың болуын тексеру мүмкіндігі. Құпиясөздің осы өлшемге сәйкестігін тексеру құпиясөз ауысқан сайын жүргізіледі, сәйкес келмеген жағдайда – пайдаланушыға хабарлама жіберіледі; 3) құпиясөздің тарихы – жаңа құпиясөз кемінде алдыңғы жеті құпиясөзді қайталамайды. Құпиясөздің осы өлшемге сәйкестігін тексеру құпиясөз ауысқан сайын жүргізіледі, сәйкес келмеген жағдайда – пайдаланушыға хабарлама жіберіледі; 4) құпиясөздің ең қысқа пайдалану мерзімі – 1 (бір) жұмыс күні; 5) құпиясөздің ең ұзақ пайдалану мерзімі – күнтізбелік 60 (алпыс) күннен аспайды. Құпиясөздің осы өлшемге сәйкестігін тексеру ақпараттық жүйеге кірген сайын және құпиясөз ауысқан кезде жүргізіледі. Құпиясөздің ең ұзақ пайдалану мерзімі аяқталғанға дейін күнтізбелік 7 (жеті) күн және одан аз күн қалған жағдайда пайдаланушыға тиісті хабарлама жіберіледі. Құпиясөздің ең ұзақ қолданылу мерзімі аяқталғаннан кейін ақпараттық жүйе кіруді оқшаулайды және құпиясөзді міндетті түрде ауыстыруды талап етеді; 6) ақпараттық жүйеге бірінші рет кіру кезінде, не әкімші құпиясөзді ауыстырғаннан кейін ақпараттық жүйе пайдаланушыдан бұл рәсімді орындамау мүмкіндігінсіз құпиясөзді ауыстыруды сұратуға тиіс. Осы қағида құпиясөздің қолданылу мерзімі туралы қағидадан басым болады; 7) ақпараттық жүйеде пайдаланушының белсенділігі күнтізбелік 30 (отыз) күннен аса болмаған жағдайда, оның есептік жазбасы автоматты түрде оқшауланады; 8) дұрыс емес құпиясөзді қатарынан бес рет енгізген кезде пайдаланушының есептік жазбасы уақытша оқшауланады; 9) пайдаланушы 30 (отыз) минуттан аса белсенді болмаған кезде ақпараттық жүйе пайдаланушының жұмыс істеу сеансын автоматты түрде аяқтайды, не пайдаланушының аутентификациялық деректерін енгізген кезде ғана оқшалаусыздандыру мүмкіндігімен жұмыс станциясын оқшаулайды.

Ссылаются нормы: BlokirovkaSessiiSoblyudena, EstNesoblyudennyeParametry, IstoriyaParolyaSoblyudena, MaksimalnyySrokSoblyuden, MinimalnayaDlinaSoblyudena, NesoblyudennyyParametr, ParametryParolyaSoblyudeny, PyatikratnyyVvodSoblyuden, SlozhnostParolyaSoblyudena, TrebovaniyaParolyaPrimenimy, assert-h061a3cd99c68dc417d8b4eb1d06e6d287a9ab898e9f4e0a27d9f0e49f65c3e90, assert-h2f97f13fea78c2693f519f63515802d198f3043dc9257a613b602e85c45a6c29, assert-h531cf949339b2852bddec0d4e2f2e5467aa0fe0dc0f6c773e6d2466a3386d7c2, assert-h6f3c3e773db10a02d603df054eb418630aae916d9bf8540b1a8aaa3c05c73731, assert-h7c19d4721548d4e04b3f2d3f2e9b695d2f649aa20b1c02efb036c3b903c88b36, assert-h986ae74b8f3345d9b3bcc577484ceb5479e5e69116c78caa5d296b85cadb96ca

kk-KZ · official · sha256:55087ed28f5ad67c0a54ff81f3072cb4ffa273bde4ac3f0cb8570eefacced267KK-KZ

72. Талаптардың 71-тармағының талаптары мынадай: 1) ақпараттық жүйе Талаптардың 71-тармағының талаптарына сәйкес келетін ақпараттық жүйемен аутентификациялау бөлігінде ықпалдастырылған; 2) бір ақпараттық жүйенің функциялары басқа ақпараттық жүйеде авторизацияланбаған кіру тәуекелін барынша азайтқан жағдайларда қолданылмайды.

Ссылаются нормы: IntegraciyaSnimaetTrebovaniya, MinimizaciyaRiskaSnimaetTrebovaniya

kk-KZ · official · sha256:da278d7df5c8a1f63f9c28219e61c4497a578b8fbace0eaae93792761a9d2adcKK-KZ

73. Банк, ұйым құпиясөздерді және есептік жазбаларды басқару процесін айқындайды және мыналарды қамтиды: 1) ақпараттық жүйелер әкімшілерінің ақпараттық жүйелерді пайдаланушылардың есептік жазбаларын басқару және олардың құпиясөздерін ауыстыру; 2) есептік жазбаларды құруға өтінімдерді беру және қарау, сондай-ақ штаттан тыс оқиға туындаған кезде құпиясөзді өзгерту; 3) есептік жазбаларды өзгертуге немесе жоюға өтінімдер беру; 4) есептік жазбаларды құруға, өзгертуге немесе жоюға өтінім беретін тұлғаларды сәйкестендіру, сондай-ақ құпиясөзді өзгерту; 5) құпиясөздерді үшінші тұлғаларға, ақпараттық жүйелерді басқарушыларға және банктің, ұйымның өзге де қызметкерлеріне заңсыз беруге тыйым салу; 6) пайдаланушыны дәлме-дәл сәйкестендіруді қамтамасыз ету кезінде көрсетілген уақыт аралығында ақпараттық қауіпсіздік бөлімшесімен келісім бойынша қызметтің үздіксіздігін қамтамасыз ету мақсатында бөтен есептік жазбаға қол жеткізуді ұсынуды қоспағанда, ақпараттық жүйелерде бөтен есептік жазбалармен жұмыс істеуге жол бермеу болып табылады. 3-параграф. Ақпарат қауіпсіздігін қамтамасыз ету процесіне қойылатын талаптар

Ссылаются нормы: EstOtsutstvuyushchieSostavlyayushchieProcessa, OtsutstvuyushchayaSostavlyayushchayaProcessa, ProcessParoleyPolnyy, assert-h422f92555332e5bc011795cebdb7973e025cf42a2d2d0d8299e316255a23465e, assert-h627c8525b67a72a18f19e3b930bd1cc52ed6100174f3d57b7e80a6bfc38817cb, assert-h9f455dc529c13300a9855566ecc7f916e3f6eb5996af72f2bef5756462581b53, assert-ha2fcb615b1b4308c4dbc4e3718871f9298d3173b83c78b3a04532cc8cf27169d, assert-hb1be4395c5f6c6660829e584d300b365eaf80206b40726b08ece208a8fa30ca0, assert-hbedaf8036372f82006989ceb9977cf818a8c40933577133db573f85f83e9e962

kk-KZ · official · sha256:be5e79e1155d66906fd3bdc7bf13c5e7d56c1529398ab03318acb3ade2ee8d76KK-KZ

74. Интернетті және электрондық поштаны пайдаланған кезде ақпаратты қорғау процесін банк, ұйым мынадай әдістердің кез келгенін пайдалана отырып, бірақ олармен шектелмей айқындайды: 1) ұйымдастырушылық: банк, ұйым айқындайтын шектеулер, қызметкерлердің хабардар болуын қамтамасыз ету, Интернет желісіне, жедел хабарламалар қызметіне, бұлттық сервистерге, IP-телефонияға және сыртқы электрондық почтаға кіру рұқсаты бар қызметкерлердің санын шектеу; 2) бағдарламалық-техникалық: пайдаланушылар санын және олардың интернет-ресурстарына кіруін шектеу, Интернетке, оның ішінде жедел хабарламалар қызметі, IP-телефония және сыртқы электрондық почта арқылы берілетін ақпаратты бақылау, Интернетке кіруді терминалдық сервер арқылы беру, желі сегменттерін бөлу, сыртқы электрондық почтаның архивін жүргізу (сақтау мерзімін банк, ұйым айқындайды, осы архивтегі ақпаратты өзгертуге немесе жоюға кіруді шектеу), банктің, ұйымның ақпараттық инфрақұрылымының қорғау шегіне бағытталған шабуылдарға қарсы іс-қимыл жасау жүйелерін пайдалану, жіберілетін ақпаратты шифрлау.

Ссылаются нормы: ZashchitaInternetaObespechena, assert-h2b4b200b059900918261e7eaae54ee2898222c45f514700e4eb067d5dbb4be15, assert-hac37315ed54aaf3753ba1179d98349c7b085bf4d2d4f3516372ac450eb6d810a

kk-KZ · official · sha256:b48417cf009b298cf613ca3c5f363d42e449c693bd561a8a06d58af7e30abe14KK-KZ

75. Сыртқы электрондық ақпаратты тасымалдағыштарды пайдаланған кезде ақпаратты қорғау үшін мынадай әдістердің кез келгені қолданылады, бірақ олармен шектелмейді: 1) ұйымдастырушылық: банк, ұйым айқындайтын шектеулер, қызметкерлердің хабардар болуын қамтамасыз ету, сыртқы ақпарат тасымалдағыштарға жазба жасауға кіру рұқсаты бар қызметкерлердің санын шектеу; 2) бағдарламалық-техникалық: ақпаратты сыртқы тасымалдағыштарға жазуды шектеуді, бақылауды және шифрлауды қамтамасыз ететін бағдарламалық-техникалық құралдарды пайдалану; банк, ұйым қызметкерлерінің жұмыс станцияларында немесе серверлерде пайдаланылмайтын енгізу-шығару порттарын және сыртқы тасымалдағышта жазба жасау құрылғыларын ажырату.

Ссылаются нормы: ZashchitaNositeleyObespechena

kk-KZ · official · sha256:83e5e90de9e241f5e035aa21b7e658feb6737d7f50528c8904ed2bc31d34a16fKK-KZ

76. Қағаз тасымалдағыштарды пайдалану кезінде ақпаратты қорғау үшін мынадай әдістердің кез келгені пайдаланылады, бірақ олармен шектелмейді: 1) ұйымдастырушылық: банк, ұйым айқындайтын шектеулер, қызметкерлердің хабардар болуын қамтамасыз ету, қорғалатын ақпарат қамтылған құжаттармен жұмыс жасауға кіру рұқсаты бар қызметкерлердің санын шектеу; 2) бағдарламалық-техникалық: ақпаратты қағаз тасымалдағыштарына шығаруды бақылауды қамтамасыз ететін бағдарламалық-техникалық құралдарды пайдалану.

kk-KZ · official · sha256:61185e365328aa919e8179de50faf11957c06fd35658d639b9cac0f36423c87fKK-KZ

77. Штаттық ақпарат тасымалдағыштар жоғалған жағдайда, ақпаратты қорғау үшін мынадай әдістердің кез келгені пайдаланылады, бірақ олармен шектелмейді: 1) ұйымдастырушылық: банк, ұйым айқындайтын шектеулер, банктің, ұйымның шегінің нақты қауіпсіздігін қамтамасыз ету, қызметкерлердің хабардар болуын қамтамасыз ету, ақпарат тасымалдағыштарын жарамсыз ету нормалары; 2) бағдарламалық-техникалық: жүйелік блоктарды ашуды бақылайтын құралдарды пайдалану, жұмыс станцияларында, серверлерде ақпаратты шифрлау, дерекқорын басқару жүйелерінде ақпаратты шифрлау немесе токендеу (түпнұсқа деректерді кездейсоқ деректер (токен) жинағын пайдалана отырып қандай да бір суррогатпен ауыстыру).

kk-KZ · official · sha256:6d0b764983100c1918a7359f7857680edc930631a941e6921999b8608871a143KK-KZ

78. Қорғалатын ақпаратты жою оны қалпына келтіруді болдырмайтын әдістермен, тасымалдағыштың түріне байланысты аталған ақпарат жоюдың мына әдістерінің кез келгенін пайдалана отырып, жүргізіледі: 1) ақпарат тасымалдағышты нақты жою; 2) ақпарат тасымалдағышқа электромагниттік әсер ету (магниттік тасымалдағыштар үшін); 3) электрондық ақпаратты мамандандырылған бағдарламалық құралдармен бағдарламалық жою. 4-параграф. Ақпараттық инфрақұрылымның қорғау шегінің қауіпсіздігін қамтамасыз ету процесіне қойылатын талаптар

kk-KZ · official · sha256:1f57b84bfc0341411026904a357f73a210782c291b662d8c94ba9d910d3d238dKK-KZ

79. Банк, ұйым ақпараттық-коммуникациялық инфрақұрылымының қорғау шегін (бұдан әрі – қорғау шегі) айқындайды. Ақпараттық технологиялар бөлімшесі қорғау шегінің схемасын және қорғау шегінің қауіпсіздігін қамтамасыз ету құралдары басқарушыларының тізбесін бекітеді және жұмыс істейтін жағдайда қолдайды.

Ссылаются нормы: PerimetrZashchishchen

kk-KZ · official · sha256:0a9dd88a66a17788cca96dbb82938889475f4507044e6ac7a0f7dfe8aa47cbf3KK-KZ

8. Банк, ұйым ақпараттық қауіпсіздікті басқару жүйесін құру және оның жұмыс істеуі кезінде ақпараттық қауіпсіздік бөлімшесінің және ақпараттық технологиялар бөлімшесінің тәуелсіздігін оларды банктің, ұйымның атқарушы органының әртүрлі мүшелеріне немесе банктің, ұйымның атқарушы органының тікелей басшысына қарату арқылы қамтамасыз етеді.

kk-KZ · official · sha256:7d1c26ce7b35306b64c85bf9e2aa43ad8e0a5b3bab0471e01a91fc543e2d73ccKK-KZ

80. Банктің, ұйымның қорғау шегінен шығатын қалалық телефон желісімен қосылғыштарды қоспағанда, телекоммуникациялық қосылғыштар.

kk-KZ · official · sha256:3f0c29578023fa6cf40df8c5249e53f14334fb7463d248693088269d4ab3477dKK-KZ

81. Телекоммуникациялық қосылғыштарды шифрлау ақпараттық қауіпсіздік жөніндегі бөлімшемен келісілген әдістермен жүргізіледі.

kk-KZ · official · sha256:d378724d2fe1547f98098234021884cad5fb21045fb4483f952af7ebbf177aa3KK-KZ

82. Талаптардың 80 және 81-тармақтарында көрсетілген телекоммуникациялық қосылғыштарды шифрлаумен бірге берілетін ақпаратты шифрлау қолданылады.

kk-KZ · official · sha256:0fe55a9d081ae72b90598b8f9299f39fc2535d839407a34c9907773fdf1ad584KK-KZ

83. Қорғау шегінде ақпараттық инфрақұрылымға кіруді шектеу үшін желіаралық экрандар орнатылады.

kk-KZ · official · sha256:832c9e103b6673c2be7f5c7c388937d5e52a9dae6dac606527b9da260df7129aKK-KZ

84. Желіаралық экрандар орнатылған кіру қағидалары банктің, ұйымның ақпараттық активтерінің жұмыс істеп тұру үшін пайдаланылмаған қосылғыштарды оқшаулауға теңшеледі. Көрсетілген қағидалар ақпараттық қауіпсіздік бөлімшесімен келісіледі. Қорғау шегіне жасалған шабуылдарды анықтау және көрсету үшін басып кіруді анықтау және алдын алу құралдары пайдаланылады.

kk-KZ · official · sha256:33493b79508ac9ae11178a18eed2f58131aae3f125d884712786fd1c319992c6KK-KZ

85. Банк, ұйым "қызмет көрсетуден бас тарту" сияқты шабуылдарды болдырмау шараларын қолдануды қамтамасыз етеді. Аталған шараларды іске асыру кезінде қорғау шегін қамтамасыз ету жүйесінің штаттық тетіктері және (немесе) қорғау шегінің қауіпсіздігін қамтамасыз етудің қосымша әдісі пайдаланылады.

kk-KZ · official · sha256:cfd3f7e8dfe3bd59b34f40b40b509d86412fe51b59bc5b9b637b66445c740a31KK-KZ

86. Банктің, ұйымның ақпараттық активтеріне қорғау шегінен тыс жерден кіруді пайдаланушыны аутентификациялау арқылы қорғау шегінде шифрленген арна бойынша ғана ұсынылады. Қорғау шегінен тыс жерден ақпараттық жүйелерге кіру екі факторлық аутентификациялау әдісін пайдалана отырып қана ұсынылады (үш фактордың ішінен екеуін пайдалану арқылы: "мен нені білем", "менде не бар", "мен кіммін").

kk-KZ · official · sha256:5c89548f78839930e4dd28216f348f2a0142d62cb8f9e81aa2d70cdfb91f36c3KK-KZ

87. Пайдаланушыларға Интернет желісінің ресурстарына кірудің, сондай-ақ сыртқы электрондық поштаны пайдаланудың қауіпсіздігін қамтамасыз ету үшін тиісті шлюздер орнатылады, олар мыналарды: 1) трафикті зиянды кодтан тазалауды; 2) деструктивті функциялары бар Интернет ресурсты бұғаттауды; 3) пошта трафигін спамнан тазалауды қамтамасыз етеді; 4) кіріс электрондық поштаны жөнелтушінің домендік атауын аутентификациялауды және криптографиялық алгоритмдерді пайдалана отырып, шығыс электрондық поштаның домендік атауын аутентификациялау мүмкіндігін қамтиды.

kk-KZ · official · sha256:b2fc0c9fd702e3f59bc5acad609764e915a5012453aeddf48cea14460c74108fKK-KZ

88. Қорғау шегінің қауіпсіздігін қамтамасыз ету құралының конфигурациясы өндірушілердің ұсынымдарын ескере отырып орындалады және банк, ұйым айқындаған кезеңділікпен қайта қаралады. Алдын ала белгіленген есептік жазбаларға құпиясөздер міндетті тәртіпте өзгертіледі. Пайдаланылмаған, алдын ала белгіленген есептік жазбалар бұғатталады немесе жойылады.

kk-KZ · official · sha256:d9b9aad8c3639e49cc510fc0af06dd7d75c4186d8566aebf8e0d084decf5406cKK-KZ

89. Осы саладағы тәуелсіз сыртқы сарапшылар банк, ұйым айқындаған кезеңділікпен ақпараттық инфрақұрылымға рұқсатсыз кіруге тестілеу жүргізеді. Осы тестілеудің шегінде, жүйелік және қолданбалы бағдарламалық қамтылымның осал жерлерін іздестіру және пайдалану мүмкіндіктерінен басқа "қызмет көрсетуден бас тарту" шабуылына ұқсатып жүктеме тестілеу жүргізіледі. 5-параграф. Ақпараттық инфрақұрылымды қорғауды қамтамасыз ету процесіне қойылатын талаптар

kk-KZ · official · sha256:afb87aabb00ccd6e4ab1fc626964a0957e00ab978d649b73baa03ec9bde436acKK-KZ

9. Банктің, ұйымның басқару органы ақпараттық қауіпсіздік саясатын бекітеді, онда мыналар: 1) ақпараттық қауіпсіздікті басқару жүйесін құрудың мақсаттары, міндеттері және негізгі қағидаттары; 2) ақпараттық қауіпсіздікті басқару жүйесінің қолданылу саласы; 3) банктің, ұйымның ақпараттық активтерінде жасалатын, сақталатын және өңделетін ақпаратқа қолжетімділікті басқаруға қойылатын талаптар; 4) ақпараттық қауіпсіздікті және ақпараттық қауіпсіздік қатерлерін анықтау мен талдау, шабуылдарға қарсы іс-қимыл және оқыс оқиғаларды тексеру жөніндегі іс-шараларды қамтамасыз ету жөніндегі қызметті мониторингтеуді жүзеге асыруға қойылатын талаптар; 5) ақпараттық қауіпсіздік оқыс оқиғалары туралы ақпаратты жинауды, шоғырландыруды және сақтауды жүзеге асыруға қойылатын талаптар; 6) ақпараттық қауіпсіздіктің оқыс оқиғалары туралы ақпаратқа талдау жүргізуге қойылатын талаптар; 7) банк, ұйым қызметкерлерінің өздеріне жүктелген функционалдық міндеттерді атқару кезінде ақпараттық қауіпсіздікті қамтамасыз етуге жауапкершілігі айқындалады.

Ссылаются нормы: EstNeopredelennyePredmety, NeopredelennyyPredmet, PolitikaPolnaya, assert-h195406a81e21663e149661b22345ff0f988366436190d71fa746ea2c288b048f, assert-h37fbf333acaf6a047237cbb84736fcfb646b0448a13c305346ad216a2566930b, assert-h5707ddf73131e85030eae7f453ef0a4107b48e23465f5b1a01d30fcace5b9fbf, assert-haa3c1770d4d3e2c1cfa70ca9c54d5d5aa2c27e04a704d49689cced56091b70ed, assert-haabb016b308250e350f4a6f180146d9432abbe4d7035349e4d9d5cd778bcba92, assert-hd6afd9a3f68eff931680a860af32f699a485ce5eeef9756f0a0ff3755a27cd0d, assert-he87aa9357d77a73fe2647103c2bbd2ad7634ae6c84532e17e7ac4c1fa2c0ac39

kk-KZ · official · sha256:cb61f5761bb91a8d7d3d0bf4a8c51d6e0d2f63530bfa10ecfd3888455b71cbb5KK-KZ

90. Ақпараттық жүйенің АТ-менеджері ақпараттық активтің жүйелік уақытын эталондық уақыттың орталықтандырылған дереккөзімен үйлестіруді қамтамасыз етеді.

kk-KZ · official · sha256:c803372b1c41b7fd05a61530e9292b30c657c5124f35d319456f785f2a30654cKK-KZ

911. Ақпараттық технологиялар бөлімшесі ішкі желілік инфрақұрылымды кемінде мынадай сегменттерге: 1) клиенттік (пайдаланушылық); 2) серверлік (инфрақұрылымдық); 3) әзірлемелер (бар болса); 4) тестілік бөлуді қамтамасыз етеді.

Ссылаются нормы: EstNevydelennyeSegmenty, NevydelennyySegment, SegmentaciyaPolnaya, assert-h36cac6351911bc5773bc110d559f2721ebf7cfc7fbf8f10fc3fe7f9bad13ea7b, assert-hab288ff64b08a8925f3784b2ebb542f13b1acc36a90b66e6c673b67abc2c7926, assert-hc67da1c8e3e8940609976b389cc799a2fecfa32f52e9b0a297177c8e381880bc

kk-KZ · official · sha256:e196491147ae555e2852fca5f30b1aa18dbdaafa0e2ff0f799632967f8466b91KK-KZ

92. Желілік инфрақұрылым сегменттері арасында ақпараттық активтердің жұмыс істеуі үшін пайдаланылмаған қосылғыштарды оқшаулауға рұқсат беру қағидалары теңшеледі.

kk-KZ · official · sha256:8c14533cac5b99e7e4cb392b964fb41b211c03723dedb45980523c3eeb63e13eKK-KZ

93. Банк, ұйым ақпараттық инфрақұрылымды қорғау мақсатында банктің, ұйымның ақпараттық инфрақұрылымындағы болжанбаған (аномальді) белсенділікті анықтауға мүмкіндік беретін әдістерді немесе жүйелерді қолданады.

kk-KZ · official · sha256:87db221f5e6ba95da73be93f76563c9bb8982677783d3c578f07495bc82e47d1KK-KZ

94. Банк, ұйым ақпараттық инфрақұрылымның түпкілікті құрылғыларына қауіпсіздіктің қажетті теңшеуін орнатуға мүмкіндік беретін операциялық жүйелердің, желілік архитектуралардың немесе бағдарламалық қамтылымның мүмкіндіктерін пайдалана отырып қауіпсіздіктің топтық саясаттарын құру және қолдану жөніндегі ұйымдық және (немесе) техникалық шараларды қолданады. Қауіпсіздіктің топтық саясатынан ақпараттық инфрақұрылымның түпкілікті құрылғыларын алып тастау ақпараттық технологиялар бөлімшесімен келісіледі.

kk-KZ · official · sha256:8c663a4d0c4a580de7317f545a3b3d79a5aaa9efaf34445aed87bc1fe01d72dfKK-KZ

95. Банктің, ұйымның бірнеше ақпараттық активтерін бір серверде немесе гипервизорда орналастырған кезде осы серверде немесе гипервизорда орналастырылған барынша күрделі ақпараттық активке сәйкес келетін деңгейде қорғау қамтамасыз етіледі. 6-параграф. Ақпараттық жүйелерді қорғауды қамтамасыз ету процесіне қойылатын талаптар

kk-KZ · official · sha256:75576c6920a0c50d2d7fc519db805ee38dc9638e95a9718b68baa4e35250e0abKK-KZ

96. Ақпараттық жүйелерді өнеркәсіптік пайдалану ортасында әзірлеу және пысықтау жүзеге асырылмайды.

Ссылаются нормы: ZashchitaSistemNadlezhashchaya

kk-KZ · official · sha256:7879c895637ee77804c15023a921395ee6b02e725d68b023c49f02f8f1bef5d0KK-KZ

97. Әзірлеу, тестілеу және өнеркәсіптік пайдалану орталары осы орталардың кез келгеніне енгізілген өзгерістер басқа ортада орналасқан ақпараттық жүйеге әсер етпейтіндей етіп бір-бірінен бөлінеді.

kk-KZ · official · sha256:3420a3479d5a86e063ef26a0e5d9d08f623194d960b94d1e3f38100f9b4c1216KK-KZ

98. Қорғалатын ақпаратты әзірлеу және тестілеу ортасында пайдаланған жағдайда оларды қорғау бойынша тиісті шаралар қолданылады.

kk-KZ · official · sha256:775513e496aafb899fe754774e937a2834bceb5cced50ab8dd5ab2b7e9656aebKK-KZ

99. Банктің, ұйымның және әзірлеуді жүзеге асыратын тысқары ұйымдардың ақпараттық технологиялар бөлімшесі қызметкерлерінің ақпараттық жүйенің өзгерістерін өнеркәсіптік ортаға ауыстыру өкілеттіктері, сондай-ақ өнеркәсіптік ортадағы ақпараттық жүйелерге әкімшілік кіру рұқсаты жоқ.

kk-KZ · official · sha256:6fa85ed3a561fbdb5a296b1254c72fcc587543dc2ce9a3f5bfb5ce3c01004d30KK-KZ

1. Қоса беріліп отырған Банктердің, Қазақстан Республикасының бейрезидент банктері филиалдарының және банк операцияларының жекелеген түрлерін жүзеге асыратын ұйымдардың ақпараттық қауіпсіздігін қамтамасыз етуге қойылатын талаптар бекітілсін.

kk-KZ · official · sha256:a9ba927f435dc2b5303dede0e6bcc28f40f552cff5274f288b68a0b9f66c2172KK-KZ

2. Осы қаулыға қосымшаға сәйкес тізбе бойынша Қазақстан Республикасының Ұлттық Банкі Басқармасы қаулысының және Қазақстан Республикасының Қаржы нарығын реттеу және дамыту агенттігі Басқармасының кейбір қаулыларының, сондай-ақ Қазақстан Республикасының Ұлттық Банкі Басқармасы қаулысының және Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігінің Басқармасы кейбір қаулыларының жекелеген құрылымдық элементтерінің күші жойылды деп танылсын.

Ссылаются нормы: PozitsiyaPerechnyaUtratilaSilu

kk-KZ · official · sha256:8b423c714018131180ce65feedb47f5fbe315bdba8360caba732e57aa5de041eKK-KZ

3. Ақпараттық және киберқауіпсіздік департаменті Қазақстан Республикасының заңнамасында белгіленген тәртіппен: 1) Заң департаментімен бірлесіп осы қаулыны Қазақстан Республикасының Әділет министрлігінде мемлекеттік тіркеуді; 2) осы қаулыны ресми жарияланғаннан кейін Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігінің ресми интернет-ресурсына орналастыруды; 3) осы қаулы мемлекеттік тіркелгеннен кейін он жұмыс күні ішінде Заң департаментіне осы тармақтың 2) тармақшасында көзделген іс-шараның орындалуы туралы мәліметтерді ұсынуды қамтамасыз етсін.

kk-KZ · official · sha256:c0af03a41dd574802767df2ba0c6072b52640902e2f9edaad9f35224a3fa2ecbKK-KZ

4. Осы қаулының орындалуын бақылау Қазақстан Республикасының Қаржы нарығын реттеу және дамыту агенттігі Төрағасының жетекшілік ететін орынбасарына жүктелсін.

kk-KZ · official · sha256:d87bcbc14b583e44400eae925b660fd0b9ee3c5a1c2ca536ce81a59c5fc5257eKK-KZ

5. Осы қаулы алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі.

ru-KZ · official · sha256:53f13d51696d2932e7195844b6922e29d2e1ab598c77eb9daf55cf8939e6389c

1. Постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48 "Об утверждении Требований к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций, Правил и сроков предоставления информации об инцидентах информационной безопасности, включая сведения о нарушениях, сбоях в информационных системах" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 16772).

Ссылаются нормы: assert-h5907c3c79d263ac274d6ffbd62bc093e4385a7cb67d6645b71137a8f107a0bed

ru-KZ · official · sha256:372303294124b02d8a5f92091371b19f57639910a075d796df9242195ce696a4

2. Пункт 3 Перечня нормативных правовых актов Республики Казахстан по вопросам регулирования финансового рынка, в которые вносятся изменения, утвержденного постановлением Правления Национального Банка Республики Казахстан от 19 ноября 2019 года № 203 "О внесении изменений в некоторые нормативные правовые акты Республики Казахстан по вопросам регулирования финансового рынка" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 19641).

Ссылаются нормы: assert-he81384b28fa856f0431c5195a91f87f2d9c1e36234e296b5c293ac2056b88261

ru-KZ · official · sha256:15f42f14ce50a54605518ac780046adf90f113a2c14316a27efb23391171b02c

3. Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 3 августа 2020 года № 72 "О внесении изменения в постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48 "Об утверждении Требований к обеспечению информационной безопасности банков и организаций, осуществляющих отдельные виды банковских операций, Правил и сроков предоставления информации об инцидентах информационной безопасности, включая сведения о нарушениях, сбоях в информационных системах" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 21069).

Ссылаются нормы: assert-hfbc48424e1972975ab39537957de1f01bee63e960b348dc995dda94f6b21e7b7

ru-KZ · official · sha256:e6282790609bbb6779d376a68f832a96135ac55b61f4380d00e98f50927e8241

4. Пункт 13 Перечня нормативных правовых актов Республики Казахстан по вопросам регулирования деятельности филиалов банков-нерезидентов Республики Казахстан, филиалов страховых (перестраховочных) организаций-нерезидентов Республики Казахстан, филиалов страховых брокеров-нерезидентов Республики Казахстан и организаций, осуществляющих микрофинансовую деятельность, в которые вносятся изменения и дополнения, утвержденного постановлением Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 17 февраля 2021 года № 34 "О внесении изменений и дополнений в некоторые нормативные правовые акты Республики Казахстан по вопросам регулирования деятельности филиалов банков-нерезидентов Республики Казахстан, филиалов страховых (перестраховочных) организаций-нерезидентов Республики Казахстан, филиалов страховых брокеров-нерезидентов Республики Казахстан и организаций, осуществляющих микрофинансовую деятельность" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 22239).

Ссылаются нормы: assert-hfc570df2cf18722dee3af6d17c8c4113657445f3296ce0ce434e384c34c2da41

ru-KZ · official · sha256:dccde2526f926e449661c438c9bc9299ec79459586bab70de2a5471dc8e18b91

5. Пункт 1 Перечня нормативных правовых актов Республики Казахстан по вопросам регулирования информационной безопасности на финансовом рынке, в которые вносятся изменения, утвержденного постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 29 апреля 2022 года № 30 "О внесении изменений в некоторые нормативные правовые акты Республики Казахстан по вопросам регулирования информационной безопасности на финансовом рынке" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 27949).

Ссылаются нормы: assert-hbbf70dcdbf60a2965189e0c513cd441585c3a75e6c8f4a12cab58befb924bda4

ru-KZ · official · sha256:76ae9a1e237222080b4be054f33e8548e345f7319a06ff8179d7f427c4cdbf39

6. Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 17 октября 2023 года № 75 "О внесении дополнения в постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48 "Об утверждении Требований к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций, Правил и сроков предоставления информации об инцидентах информационной безопасности, включая сведения о нарушениях, сбоях в информационных системах" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 33560).

Ссылаются нормы: assert-h2f35403f915c5a7565920c1095c9824492acf2de4875fd92cbf5fb64fff7edc8

ru-KZ · official · sha256:7b1320df877c2ab4463e4aa52600553f946844668fc7d0543fc5f45ffe2b67fb

7. Пункт 1 Перечня нормативных правовых актов Республики Казахстан по вопросам информационной безопасности, в которые вносятся изменения и дополнения, утвержденного постановлением Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 20 августа 2025 года № 38 "О внесении изменений и дополнений в некоторые нормативные правовые акты Республики Казахстан по вопросам информационной безопасности" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов под № 36711).

Ссылаются нормы: assert-h56afc44eda36181f66495d95cd97faaf5e6fad26f1c5b8cb9e54237f53bfa9cb

ru-KZ · official · sha256:c9d60513f3db9ed708589912beb3b6fcdbc0e690f9b7205bea39ce27df25b414

1. Настоящие Требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковский операций (далее – Требования), разработаны в соответствии с пунктами 2 и 10 статьи 55 Закона Республики Казахстан "О банках и банковской деятельности в Республике Казахстан" и устанавливают требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан (далее – банк) и организаций, осуществляющих отдельные виды банковских операций (далее – организация).

ru-KZ · official · sha256:681afccd4005dc1532ade3ebded9a2991088147cc65b27e189a6afe5a00d03a3

10. Орган управления банка, организации при формировании бюджета учитывает потребности в ресурсах для обеспечения информационной безопасности банка, организации.

ru-KZ · official · sha256:988953bd19e309ace2a4afede776ba586ad87d27dfd64ca85b39d063f8f0544d

100. Перед вводом в промышленную эксплуатацию информационной системы в ней изменяются настройки безопасности, установленные по умолчанию, на настройки, соответствующие требованиям к информационной безопасности, установленным в банке, организации. Указанные настройки включают замену паролей, используемых при тестировании, а также удаление всех тестовых учетных записей.

ru-KZ · official · sha256:7316770d875fe01db1801bf8ce1a4aa0a39de4da9b0cbc915e7d39621c75362e

101. Контроль использования привилегированных учетных записей обеспечивается путем: 1) составления и утверждения перечня администраторов информационных систем (операционная система, система управления базами данных, приложение); 2) введения двойного контроля при исполнении функций администрирования информационных систем и (или) внедрения специальных комплексов контроля использования привилегированных учетных записей.

Ссылаются нормы: EstNeobespechennyeMeryPrivilegirovannyh, KontrolPrivilegirovannyhPolnyy, NeobespechennayaMeraPrivilegirovannyh, assert-h2a2a3e195016c5b1996e2c487dd53fabfc79ad8d4aa3b738e305901a9453b3c9, assert-ha3398060449ff9a418a999b3bb1bb22091c49f8aede14ee0d545af90c8065960

ru-KZ · official · sha256:06bfda12003a9c7994c8f84e3be8193105ba4831bcc954e3d20ad534e392b518

102. Информационные системы банка, организации обеспечиваются технической поддержкой, в состав которой входят услуги по предоставлению обновлений соответствующей информационной системы, в том числе обновлений безопасности. Параграф 7. Требования к процессу работы с персоналом

ru-KZ · official · sha256:5a7abc0dc9fc05b390149091deb76ffdffd81a94f84733d5fa1021ef7c29adb7

103. При приеме на работу новый работник банка, организации подписывает обязательство о неразглашении защищаемой информации. Обязательство приобщается к личному делу работника.

Ссылаются нормы: RabotaSPersonalomNadlezhashchaya

ru-KZ · official · sha256:baac4d4fa9d1b9660298e31b879517310ea54aa3db97454537d1bf1a3979b6df

104. При приеме на работу нового работника, не позднее 5 (пяти) рабочих дней с момента приема на работу, он ознакамливается под подпись с основными требованиями к обеспечению информационной безопасности (вводный инструктаж). Результат ознакомления фиксируется в соответствующем журнале инструктажа или ином документе, подтверждающем прохождение инструктажа. Отдельный документ, подтверждающий прохождение инструктажа, приобщается к личному делу работника.

Ссылаются нормы: SrokOznakomleniyaSoblyuden

ru-KZ · official · sha256:8e8ed4e2c9c6bc70a8229bd6c0b39838f7c19f33f7438ce4ff4720a013f789ca

105. До ознакомления работника с требованиями к информационной безопасности ему предоставляется доступ только к некритичным информационным активам.

ru-KZ · official · sha256:a05f8f6c47a2b800024e9c9f1cbb42d2aad0cd75fbc636905599df68bee240ec

106. Трудовой договор, заключаемый с работником банка, организации, содержит обязательство о соблюдении требований по обеспечению информационной безопасности.

ru-KZ · official · sha256:1a0d8b593966051187b566e91cd419e8744fa8c89729b05bea035c7a038f4d9f

107. Банком, организацией разрабатывается программа повышения осведомленности работников в вопросах обеспечения информационной безопасности. При этом применяются следующие методы повышения осведомленности работников: 1) ознакомление с внутренними документами банка, организации, а также с внесенными в них изменениями и дополнениями; 2) проведение тестирования работников на знание требований внутренних документов банка, организации по информационной безопасности в соответствии с планом проведения тестирования работников банка, организации, утверждаемым исполнительным органом банка, организации; 3) методы, определенные банком, организацией.

ru-KZ · official · sha256:0769a89d299f6f66674bd77493a385c236f47341bc84f5c632776b866c6d86cf

108. При инструктаже, а также и при дальнейших мероприятиях по повышению осведомленности освещаются: 1) методы обеспечения информационной безопасности; 2) запрет на распространение информации, запрещенной банковским законодательством Республики Казахстан; 3) положения о полномочиях банка, организации осуществлять мониторинг любой информации, создаваемой, хранимой и обрабатываемой в информационных системах банка, организации; 4) условия об ответственности, предусмотренной за нарушение внутренних документов банка, организации, устанавливающих требования к обеспечению информационной безопасности.

ru-KZ · official · sha256:1d83a82d94a87a4c751c88c87fb34662c84d248ade48601b382d776dbf6610f3

109. Банк, организация обеспечивают повышение квалификации работников подразделений по информационной безопасности, по управлению рисками информационной безопасности и внутреннего аудита путем проведения: 1) внутренних мероприятий (лекции, семинары); 2) внешнего обучения (посещение курсов, семинаров – не реже одного раза в три года для каждого работника).

ru-KZ · official · sha256:e55fb7319fdd2ef10a27bc4b99e2fec3603169de403e5ec726c8620b2df9def0

11. Орган управления банка, организации утверждает перечень защищаемой информации, включающий в том числе информацию о сведениях, составляющих служебную, коммерческую или иную охраняемую законом тайну (далее – защищаемая информация), и порядок работы с защищаемой информацией.

ru-KZ · official · sha256:9aef3ac619b0b7b84567ea6f8ce97fa18445c37106641813858845e25f4699e3

110. При увольнении работника в целях обеспечения информационной безопасности осуществляются мероприятия по: 1) приему - передаче документов и информационных активов банка, организации; 2) сдаче удостоверений, пропусков и разрешительных документов; 3) проведению инструктажа с увольняющимся работником по неразглашению конфиденциальной информации; 4) блокировке или удалению учетных записей в информационных системах. Параграф 8. Требования к процессу ведения аудиторского следа в информационных системах

ru-KZ · official · sha256:71ab89436a4e86099cd783e4490195b11b626382c0b9ca57458e253b5fabc94e

111. ИТ-менеджер информационной системы обеспечивает ведение и неизменность аудиторского следа, как на организационном, так и на техническом уровне.

ru-KZ · official · sha256:df387a0c05156749d686b30420fcb67252e2e2c11f48df03bf9ee2fb3878be5a

112. В информационных активах банка, организации используется функция ведения аудиторского следа, которая отражает следующее: 1) события установления соединений, идентификации, аутентификации и авторизации в информационном активе (успешные и неуспешные); 2) события модификации настроек безопасности; 3) события модификации групп пользователей и их полномочий; 4) события модификации учетных записей пользователей и их полномочий; 5) события, отражающие установку обновлений и (или) изменений в информационной системе; 6) события изменения параметров аудита; 7) события изменений системных параметров.

ru-KZ · official · sha256:bb97d87f2f579950c87abb66a93abbc9fd8934734472d5135339b66b215c8cbd

113. Формат аудиторского следа включает следующую информацию: 1) идентификатор (логин) пользователя, совершившего действие; 2) дата и время совершения действия; 3) наименование рабочей станции пользователя и (или) IP адрес, с которого совершено действие; 4) название объектов, с которыми проводилось действие; 5) тип или название совершенного действия; 6) результат действия (успешно или не успешно).

Ссылаются нормы: EstOtsutstvuyushchiePolya, FormatSledaPolnyy, OtsutstvuyushcheePole, assert-h0ee2ac2ed38049e3b95d602621713bb623092f8e2620b1c8a881a61ef3b956f2, assert-h28da0eaa7815b1a8f1ff5da23c9e5d5a71b759049b86d065dec9e9b7cc274414, assert-h3496a4f8e717ce37b317e578f959f3f566b2db78a8055ab7e24d65471a602607, assert-h39f206f27ee551db687bc577f9ce3e67d242e06f62804dcce1b13ce683b58310, assert-h495f3b9e70bd61c5a130a864ad7615fce36f63a1c9335cd65a81c1b4518a4f0f, assert-ha054eb2951c01fa954faa9e67bc58fe9dcf9d5337de6a0b74588dd5956f6ba37

ru-KZ · official · sha256:7b8d8aae3bc8e1a9c0cfc5399f1c91e97d623d6b65553d24f96ff7609223ca62

114. Срок хранения аудиторского следа составляет не менее 3 (трех) месяцев в оперативном доступе и не менее 1 (одного) года в архивном доступе либо не менее 1 (одного) года в оперативном доступе. Параграф 9. Требования к процессу обеспечения антивирусной защиты

Ссылаются нормы: SrokSledaOperativnyyIArhivnyy, SrokSledaTolkoOperativnyy

ru-KZ · official · sha256:95125bc98f689235b9150e7ad50cf1d4321202a0e5af290d28a289dd581e4691

115. Банк, организация используют лицензионное антивирусное программное обеспечение или системы, обеспечивающие целостность и неизменность программной среды, как на рабочих станциях, ноутбуках, мобильных устройствах, так и на серверах, банкоматах и банковских киосках.

Ссылаются нормы: AntivirusnayaZashchitaNadlezhashchaya

ru-KZ · official · sha256:87dc37b50267b7d9afd89b995cb7b1c80c08e79f79ad3b5dd69faab3918ca8b3

116. Используемое банком, организацией антивирусное программное обеспечение соответствует следующим требованиям: 1) обнаружение вирусов на основе известных сигнатур; 2) обнаружение вирусов на основе эвристического анализа (поиска характерных для вирусов команд и поведенческого анализа); 3) сканирование сменных носителей при подключении; 4) запуск сканирования и обновления антивирусной базы по расписанию; 5) наличие централизованной консоли администрирования и мониторинга; 6) блокирование для пользователя возможности прерывания функционирования антивирусного программного обеспечения, а также процессов обновления антивирусного программного обеспечения и плановой проверки на отсутствие вирусов; 7) для виртуальной среды – использование антивирусным программным обеспечением встроенных функций безопасности виртуальных сред, при отсутствии таких возможностей – подтверждение производителя о тестировании антивирусного программного обеспечения в виртуальных средах, используемых банком, организацией; 8) для мобильных устройств и иных устройств, используемых вне периметра защиты банка, организации, использование антивирусного программного обеспечения со встроенной функцией межсетевого экранирования.

Ссылаются нормы: EstNesoblyudennyeTrebovaniyaAntivirusa, NesoblyudennoeTrebovanieAntivirusa, assert-h52b91d236065e612f77999c403f1dbe655565f00c1aec6a2d34d921b6877b71d, assert-h5495c9f5a4558b2c86c7e63506a7980efb465907909cb745a24a9d470722a434, assert-h6fcea175037ec1715a100a80ca132c7f541764d9564ae2fac1bac05eb8755daf, assert-h9686e783b027ed3aa07319907491169c674f43861c4db06bbe20790ab80abb12, assert-hcbaebae90d9aacc7afb5447c58bf42c52533fdf09438724e5ada15734e2a4678, assert-hde1c9ce2dac0809e70e8c8d303c3ad5f064644024e75a3e4abc77182ea00bcc0, assert-he13c01bfe659ce9b821e18ba29cdb5904e61a101969b8c207e362338fa865ca6, assert-hf78e55e8424a2d6e5d34c68fec88e3dfaf08b43831a93cb6b1216ef7d2cbd94d

ru-KZ · official · sha256:90f645ae9af98a0a9be552cf725a0bbe453d187399fe9395227f2a6743058689

117. При использовании систем, обеспечивающих целостность и неизменность программной среды, минимальными требованиями являются: 1) наличие лицензионного программного обеспечения, предусматривающего обновление и техническую поддержку; 2) наличие централизованной консоли администрирования и мониторинга; 3) наличие возможности блокирования для конечного пользователя возможности прерывания функционирования данной системы; 4) наличие возможности проверки образа программной среды антивирусным программным обеспечением перед установкой на конечные устройства; 5) наличие межсетевого экрана для мобильных устройств и иных устройств, используемых вне периметра защиты.

ru-KZ · official · sha256:4a9c684de27b4cf0ac261125bfe8c585d280faa7ef034ec335d51eda9737c2c6

118. Выбор антивирусного программного обеспечения проводится подразделением по информационным технологиям при обязательном участии подразделения по информационной безопасности.

ru-KZ · official · sha256:739a2be7c3643fa1a3f1e7417b721931b2d9180e6771c437540d5abffef10b7d

119. Антивирусное программное обеспечение максимально исключает прерывание пользователем всех служебных процессов. Обновление антивирусного программного обеспечения производится не реже одного раза в сутки, полное сканирование компьютера – не реже одного раза в неделю. Параграф 10. Требования к процессу управления обновлениями и уязвимостями информационных активов

ru-KZ · official · sha256:7c027241599247e0c97917b32d9370c207048a010a11240fedc1a4d43d4341e6

12. Исполнительный орган банка, организации утверждает внутренние документы, регламентирующие процесс управления информационной безопасностью, порядок и периодичность пересмотра которых определяется внутренними документами банка, организации.

ru-KZ · official · sha256:b409ca7adfeb2c269146825849230f97164605f7a41d2597e0e64c6d912d71ae

120. ИТ-менеджер информационной системы обеспечивает своевременную установку обновлений безопасности информационных активов банка, организации.

ru-KZ · official · sha256:7987d549cc9319647e956a956f88dad06c484e416e118020b8f77267682cca2a

121. Обновления безопасности информационных активов, устраняющие критичные уязвимости, устанавливаются не позднее одного месяца со дня их публикации и распространения производителем, за исключением случаев, согласованных с подразделением по информационной безопасности.

Ссылаются нормы: SrokObnovleniyaSoblyuden

ru-KZ · official · sha256:fefff447b62d331af1bb521c617588eaa10202792ef2204f0195f8d13c59d3f8

122. Обновления информационных активов до установки в промышленную среду проходят испытания в тестовой среде.

Ссылаются нормы: ObnovlenieNadlezhashchee

ru-KZ · official · sha256:1dda66e14a5a85219081619c165f880d27f0b30462e35283df84ecaaa0b02407

123. В случае невозможности установки обновлений по согласованию с подразделением по информационной безопасности, ИТ-менеджер информационной системы реализует корректирующие меры.

ru-KZ · official · sha256:20da27c7a6430280f0ff5fd4ecfcf6825410faa7a5bc1bdcd793c316245c1c54

124. Подразделение по информационной безопасности обеспечивает сканирование (технический анализ защищенности) информационных активов на наличие уязвимостей с использованием специализированного программного обеспечения (далее – сканирование). Сканирование информационных активов банка, организации проводится на плановой основе не реже одного раза в 6 (шесть) месяцев. Сканирование проводится работниками банка, организации и (или) внешними специализированными организациями. Результаты сканирования формируются в виде отчета о состоянии информационной безопасности с указанием рекомендаций о корректирующих мерах по устранению выявленных уязвимостей.

ru-KZ · official · sha256:f45bf5bd1fc46b5bbcec0f2d0cc7242559ca20d1907a809aace79683f1528094

125. ИТ-менеджер информационной системы обеспечивает реализацию корректирующих мер по устранению выявленных уязвимостей. По окончании работ по устранению уязвимостей ИТ-менеджер информационной системы представляет в подразделение по информационной безопасности подтверждение об устранении выявленных уязвимостей. Параграф 11. Требования к процессу использования средств криптографической защиты информации

ru-KZ · official · sha256:cf6f06cde7e08bbdca9f8a6c63153084c17a84ca4656d486a29658720b2d6e31

126. Процесс использования средств криптографической защиты информации определяется подразделением по информационным технологиям по согласованию с подразделением по информационной безопасности банка, организации, включая, но не ограничиваясь: 1) описание средства криптографической защиты информации (наименование системы, криптоалгоритм, длина ключа); 2) область применения средства криптографической защиты информации; 3) описание настройки средства криптографической защиты информации; 4) порядок управления ключевой информацией: генерации, безопасной передачи (обмена ключами, с учетом требования использования различных каналов для передачи ключа и защищаемой информации), хранения, использования и уничтожения; 5) действия при компрометации ключевой информации; 6) порядок использования средства криптографической защиты информации конечными пользователями; 7) перечень лиц, допущенных к администрированию средства криптографической защиты информации и управлению ключевой информацией. Параграф 12. Требования к процессу обеспечения физической безопасности центров обработки данных

Ссылаются нормы: EstOtsutstvuyushchieSostavlyayushchieSkzi, OtsutstvuyushchayaSostavlyayushchayaSkzi, ProcessSkziPolnyy, assert-h2d6079ed16f80ecde5e56f06f999292163989b2e313ffbbee69311933283cf35, assert-ha975b09a1cd273985bebbd5d6ea0c207053d5e604fe9d4e3ccd393c0de9b7109, assert-hbdc8309c7bb13fa8d41502e38a22c326baa0f52a79571024d6dd144878c71fea, assert-hbf3014dabea3a03ac910f97f69dd9388539579ce354e7ec9edd2fafc5d08444b, assert-hd5c7c51b876a6a72abd8a3cb6b73b18d9d6ea10d589f4497f0a81faacddbb27c, assert-he562b5976e8332584973a1168ad807ee7b79d7f61dfa1218e10b7b8661a6e6ae, assert-hfa41ac85967a92782fe3711de184ff791505a79d9011473a61578f8910e9f472

ru-KZ · official · sha256:93dde88b82b548a1ed284795ed4ef82764d46b84c468f6069bc60d1cec3064d0

127. Центр обработки данных банка, организации оснащается следующими системами технической безопасности: 1) системой контроля и управления доступом; 2) охранной сигнализацией; 3) пожарной сигнализацией; 4) системой автоматического пожаротушения; 5) системой поддержания заданных параметров температуры и влажности; 6) системой видеонаблюдения. Серверное и коммуникационное оборудование подключается к системе электропитания через источники бесперебойного питания. В случае отсутствия в банке, организации центра обработки данных, требования настоящего пункта распространяются на помещения банка, организации, в которых размещены системы и компоненты информационной инфраструктуры банка, организации.

Ссылаются нормы: CodOsnashchenPolno, EstOtsutstvuyushchieSistemy, OtsutstvuyushchayaSistema, assert-h080f482fa6bf69afe14a2066c1649ed7a207588d6d309b09d8115f9fe589480a, assert-h124938d063cafbdc5a02be5e260654fa1bcf6a265e7ae9720ce80cec3e0245d9, assert-h5b38eb3a6c1e84c4e5676566900c032ba67067a914dbf51d1d0dbfcaf005bf69, assert-h7bcda0a57cda3caa4638e8f03eff1f13433370b6e0823b1d118a4857f2666512, assert-h93f3ece6c662712c1c2875af027dd60ce933b0660e026a056adfcd11717bf626, assert-hdb2fc4cd6ef7fe5bcc837cbbad7cca7bfb3a82fc09dcd1c7ba4fe2817e1d5068

ru-KZ · official · sha256:183d11b95f40a8cfdda8562acc9f2d5d5b0de3cd651a6702cea06bcb36abac9a

128. Доступ в центр обработки данных предоставляется лицам, перечень которых утверждается руководителем подразделения по информационным технологиям по согласованию с подразделением по информационной безопасности.

ru-KZ · official · sha256:746103c96a87d12724dd6f5ead255e591c2e9177f76d42da19d815b9f8b9409a

129. Банк, организация ведут журнал системы контроля и управления доступом в центр обработки данных, который хранится не менее 1 (одного) года.

Ссылаются нормы: SrokZhurnalaSoblyuden

ru-KZ · official · sha256:b1b42dd924fe3f761223d1e5b2e23b5026e0a01a993d4234d9120fea2424bd94

13. Банк, организация создают коллегиальный орган, в состав которого входят представители подразделения по информационной безопасности, подразделения по управлению рисками информационной безопасности, подразделения по информационным технологиям, а также по решению руководителя коллегиального органа банка, организации представители иных подразделений банка, организации или возлагают на исполнительный орган функции коллегиального органа при соответствии исполнительного органа требованиям к составу коллегиального органа, указанным в настоящем пункте. В случае создания в банке, организации коллегиального органа руководителем коллегиального органа банка, организации назначается руководитель исполнительного органа банка, организации либо член исполнительного органа банка, организации, курирующий деятельность подразделения по информационной безопасности.

ru-KZ · official · sha256:61f5b3964ffbcdb953fbf1ca9139eee6d935fc4e88d4e7f67b26cba5f3e633c6

130. Система автоматического пожаротушения центра обработки данных обеспечивает устранение возгорания по всему объему помещения и имеет резервный запас.

ru-KZ · official · sha256:29bfc44b48982e10be1273281847397141396c97045957fe13841f1475f8db07

131. Система видеонаблюдения центра обработки данных обеспечивает наблюдение за всеми проходами, входами в центр обработки данных. В центре обработки данных расстановка видеокамер исключает наличие зон внутри помещения центра обработки данных и перед его входом, не покрытых видеонаблюдением.

ru-KZ · official · sha256:d5a7772e3c2d0ba4d71b0ec36b27d4b2b96e764685c7c7223f61c9cc554fd3c1

132. Запись событий системой видеонаблюдения центра обработки данных ведется непрерывно или с использованием детектора движения.

ru-KZ · official · sha256:1b91712fe7e7dbaecad2e1426ca30c0ec8f98e13103e95d458d0a42f36f0ef8b

133. Архив записей системы видеонаблюдения центра обработки данных хранится не менее 3 (трех) месяцев.

Ссылаются нормы: SrokVideoarhivaSoblyuden

ru-KZ · official · sha256:27b2241989d4e364f887e9b6191eb3e2fe5414b503997f46777006c5bd585070

134. В целях предотвращения несанкционированного физического доступа к серверам и активному сетевому оборудованию, находящемуся вне центра обработки данных, определяются и реализуются меры по обеспечению их безопасности.

ru-KZ · official · sha256:1ba886200b77a9690a4bd2b65c75ec04e24a81862e35815e9da05d293b7ee96a

135. Предоставление физического доступа к информационным активам банка, организации определяется банком, организацией. Параграф 13. Требования к процессу обеспечения защиты рабочих станций, ноутбуков и мобильных устройств работников

ru-KZ · official · sha256:975f9a750f8b30d1b5051e80a1b68091772319cdcc0bdc7c56aad47775736141

136. В банке, организации определяются и внедряются организационные и технические меры, запрещающие пользователям проводить самостоятельно установку и настройку программного обеспечения, рабочих станций, ноутбуков и периферийного оборудования.

ru-KZ · official · sha256:f913851cd819ba843cbfdb92051ea103780bfded92dbd720470f65c4253de523

137. Пользователям не предоставляются права доступа локального администратора или аналогичные права доступа, за исключением случаев, когда права доступа локального администратора или права, аналогичные правам доступа локального администратора, требуются для функционирования программного обеспечения, автоматизирующего функции, исполняемые пользователем.

Ссылаются нормы: ZashchitaStanciyNadlezhashchaya

ru-KZ · official · sha256:a4ec11573a78c542d3d925e3f6d775feaaf609c7af1f7e03f49b9e04bd83640e

138. В случае невозможности исполнения пользователем его функциональных обязанностей без осуществления самостоятельной установки и настройки программного обеспечения и оборудования, такому пользователю предоставляются права локального администратора или аналогичные права.

ru-KZ · official · sha256:8e0634c38520157210a1c8c4479d39fe4f7dc41a45a42e781d716abf80ed6ae5

139. Перечень пользователей, указанных в пунктах 137 и 138 Требований, формируется, актуализируется и утверждается руководителем подразделения по информационным технологиям по согласованию с подразделением по информационной безопасности. Подразделение по информационной безопасности осуществляет контроль использования прав доступа пользователей, указанных в пунктах 137 и 138 Требований.

ru-KZ · official · sha256:02d837925f47319a8b4d2beb21ada444b539479cdbf61bd7a0138fae2ee8a9a5

14. Подразделение по информационной безопасности в целях обеспечения конфиденциальности, целостности и доступности информации банка, организации осуществляет следующие функции: 1) организует систему управления информационной безопасностью, осуществляет координацию и контроль деятельности подразделений банка, организации по обеспечению информационной безопасности и мероприятий по выявлению и анализу угроз, противодействию атакам и расследованию инцидентов информационной безопасности; 2) разрабатывает политику информационной безопасности банка, организации; 3) обеспечивает методологическую поддержку процесса обеспечения информационной безопасности банка, организации; 4) осуществляет выбор, внедрение и применение методов, средств и механизмов управления, обеспечения и контроля информационной безопасности банка, организации в рамках своих полномочий; 5) осуществляет сбор, консолидацию, хранение и обработку информации об инцидентах информационной безопасности; 6) осуществляет анализ информации об инцидентах информационной безопасности; 7) подготавливает предложения для принятия коллегиальным органом решений по вопросам информационной безопасности; 8) обеспечивает внедрение, надлежащее функционирование программно-технических средств, автоматизирующих процесс обеспечения информационной безопасности банка, организации, а также предоставление доступа к ним; 9) определяет требования информационной безопасности по использованию привилегированных учетных записей; 10) обеспечивает проведение мероприятий по повышению осведомленности работников банка, организации в области информационной безопасности; 11) осуществляет мониторинг состояния системы управления информационной безопасностью банка, организации; 12) осуществляет информирование руководства банка, организации о состоянии системы управления информационной безопасностью банка, организации.

ru-KZ · official · sha256:86e9e6f31f3ebe875ca89cb055daf386d59ae29b54d866ce47ff363f56ebbdf5

140. Подразделение по информационным технологиям обеспечивает учет рабочих станций, ноутбуков и мобильных устройств в корпоративной сети банка, организации, который позволяет точно идентифицировать местонахождение данной рабочей станции или принадлежность ноутбука, мобильного устройства.

ru-KZ · official · sha256:de9f7747ea080bed607795c20c10f37e55551cf991a475ab144bb552f4c51c7f

141. В случае подключения мобильных устройств, ноутбуков к информационным активам банка, организации из-за пределов периметра защиты банка, организации на данных устройствах устанавливается специальное программное обеспечение, обеспечивающее защищенный доступ к информационным активам (шифрование канала связи, обеспечение двухфакторной аутентификации, дистанционное удаление данных с мобильного устройства).

ru-KZ · official · sha256:4c530d15f2200c2fec37348fb396855fc1fd0d976a3d70b2fef97c56163446d1

142. При использовании для обработки информационных активов банка, организации личных ноутбуков и мобильных устройств работников банка, организации, на данные ноутбуки и мобильные устройства устанавливается специальное программное обеспечение, обеспечивающие разделение сред обработки личных данных и информационных активов банка, организации.

ru-KZ · official · sha256:41d544f97d84d08b5b17f8d925bc4507d28fc97d831c4a94e2bf98576ad5d80b

143. Вся информация банка, организации, размещенная на ноутбуках и мобильных устройствах, хранится в зашифрованном виде. Глава 10. Требования к обеспечению безопасности программного обеспечения дистанционного оказания услуг банка, организации

ru-KZ · official · sha256:d7dea98c386925b8356c69951e3fed292ba7f594b2c186821f942a99090e16ab

144. Программное обеспечение дистанционного оказания услуг банка, организации включает: 1) программное обеспечение серверов веб-приложений (далее – веб-приложение); 2) программное обеспечение для мобильных устройств (далее – мобильное приложение); 3) программное обеспечение серверов программных интерфейсов (далее – серверное ППО).

Ссылаются нормы: assert-h58179722ec17e26671c93913321037bb4e362b644d81010c6f99cda86943ad76, assert-h9fdcc38d4d9168dc27781863493fe4f288276b0f60343f6f986632ba47e81af5, assert-hc93d94dc5ae766f65214d30b1a2a6a1c61ce93abb261ea4605b9127d1c3fff2b

ru-KZ · official · sha256:12394d892ab139651b9a1526ed20c8c31aae67f66166ea69bbb9deb10c1a56f1

145. Разработка и (или) доработка программного обеспечения дистанционного оказания услуг осуществляется банком, организацией в соответствии с внутренними документами банка, организации, регламентирующими порядок разработки и (или) доработки программного обеспечения, этапы разработки и их участников.

ru-KZ · official · sha256:08275874f93c926303e353b3b448087c0d1519fe53f4cbe157ddc3880b43bb0b

146. В случае, если разработка и (или) доработка программного обеспечения дистанционного оказания услуг банка, организации передана сторонней организации и (или) третьему лицу, банк, организация обеспечивает исполнение сторонней организацией и (или) третьим лицом требований настоящей главы и внутренних документов, отвечает за состояние безопасности программного обеспечения дистанционного оказания услуг.

ru-KZ · official · sha256:44dd7c87fb2945e3aa0b8d290226165e58641aad00989795c01b5aa2d1940bc0

147. Хранение исходных кодов программного обеспечения дистанционного оказания услуг, разрабатываемых в банке, организации, осуществляется в специализированных системах управления репозиториями кода, размещаемых в периметре защиты банка, организации, с обеспечением резервного копирования.

ru-KZ · official · sha256:f1ed3e9d3af362cc0bb1e47a42862d4271ab2062067b46e2477b6bec8b80d733

148. Независимо от принятого в банке, организации подхода к разработке и (или) доработке программного обеспечения дистанционного оказания услуг, обязательным этапом является тестирование безопасности, в ходе которого осуществляются, как минимум, следующие мероприятия: 1) статический анализ исходного кода; 2) анализ компонентов и сторонних библиотек.

Ссылаются нормы: AnalizyProvedeny, EstNeprovedennyeAnalizy, NeprovedennyyAnaliz, assert-h888e43efd2328076f9d389bbbbb80bf7de7e6b2adf7c4546b83ba38c1c49d6f6, assert-h9eae7f2087965dc8ee2ac1b5a2008039f5b8b813686fb7bb048ebe36014f38ef

ru-KZ · official · sha256:2b78bd01fa00bc55657717319c595ddfb1e195afc530487a2ace65db0d847efa

149. Статический анализ исходного кода программного обеспечения дистанционного оказания услуг банка, организации проводится с использованием сканера статического анализа исходных кодов, поддерживающего анализ всех используемых языков программирования в проверяемом программном обеспечении, в функции которого входит выявление следующих уязвимостей, но не ограничиваясь: 1) наличие механизмов, допускающих инъекции вредоносного кода; 2) использование уязвимых операторов и функций языков программирования; 3) использование слабых и уязвимых криптографических алгоритмов; 4) использование кода, вызывающего при определенных условиях отказ в обслуживании или существенное замедление работы приложения; 5) наличие механизмов обхода систем защиты приложения; 6) использование в коде секретов в открытом виде; 7) нарушение шаблонов и практик обеспечения безопасности приложения.

Ссылаются нормы: EstNeohvachennyePriznaki, NeohvachennyyPriznak, StaticheskiyAnalizPolnyy, assert-h21e90d79b66d34e029a581ca77cdf98b2b2d4fc73371108ff7f3b327d8a1ae74, assert-h288eaec2022332560cfe744ccf0356cb279f59305c49f6e96c1f30838d287750, assert-h3b677a13952f47cdecc8586d3ae0aee70d22a27800c60f2c03c7cce189db84c1, assert-h3e1342847552eab76e491f923c477ac6d9188c48b6411196e7510cbed443798c, assert-h7674c9c4665d4113fb1e277a8609cf7ffb7f613bf6597d988325a94560b12402, assert-hb8291aac7b895608b4d8f16cf757b29e8d401e5321b588a056a8dca4dcb15b76, assert-hd5c0423b7923e0cf1cbfc992346362b3b7df4b867ffee73f8e38100d5ee0f642

ru-KZ · official · sha256:1026ac2fdb56ac8a331f0f541add60011b73d2f24383d7cc513f0c00df681150

15. Банк, организация определяют возможность возложения на подразделение по информационной безопасности функций по обеспечению технической безопасности. Подразделение по информационной безопасности не осуществляет функции, влекущие конфликт интересов с их основными функциями, в том числе функции по противодействию мошенничеству.

ru-KZ · official · sha256:7922754f253a4fa0beea570a9236617edbe62494daf3e4ae8fcd38007f193e3a

150. Анализ компонентов и (или) сторонних библиотек программного обеспечения дистанционного оказания услуг банка, организации проводится с целью выявления известных уязвимостей, присущих используемой версии компонента и (или) сторонней библиотеки, а также отслеживания зависимостей между компонентами и (или) сторонними библиотеками и их версиями.

ru-KZ · official · sha256:128568185166ea93cc7adcbbc58d943b516fe6cf3e50c6c275c8d4607bf634f0

151. Банк, организация обеспечивают реализацию корректирующих мер по устранению выявленных уязвимостей в порядке, определенном внутренним документом, утвержденным исполнительным органом. При этом критичные уязвимости устраняются до ввода в эксплуатацию программного обеспечения дистанционного оказания услуг и (или) его новых версий.

ru-KZ · official · sha256:e91116d4f96a547e95e590b411afdc565714e316bff91d08d3c49f9cf3bc61f6

152. Банк, организация осуществляют ввод в эксплуатацию программного обеспечения дистанционного оказания услуг и (или) его новых версий после согласования с подразделением по информационной безопасности.

ru-KZ · official · sha256:55411d0b21af118733b88b0e685d889f00382ce2b89b37e91ff3728b1aabdb47

153. Банк, организация обеспечивают хранение и доступ в оперативном режиме ко всем версиям исходных кодов программного обеспечения дистанционного оказания услуг и результатов тестирования безопасности, которые были введены в эксплуатацию в течение последних 3 (трех) лет.

ru-KZ · official · sha256:57f2a09c09ef585c7ad8d11167b4f4ac2ce75e114087ff8de28355fa5dd224da

154. Обмен данными между клиентской и серверной сторонами программного обеспечения дистанционного оказания услуг шифруется с использованием версии протокола шифрования Transport Layer Security (Транспорт Лэйер Секьюрити) не ниже 1.2.

ru-KZ · official · sha256:4ec0cf1c61de16a210808274883907b24935f8df82b5982682ce523181ff8f05

155. При первичной регистрации клиента в мобильном приложении банк, организация осуществляют биометрическую идентификацию клиента посредством Центра обмена идентификационными данными (далее - ЦОИД) или с использованием биометрических данных, полученных посредством устройств банка, организации.

Ссылаются нормы: DostupKlientaNadlezhashchiy

ru-KZ · official · sha256:724d00602d224a23f406a44363d5359ad1115de20a4891555ec24b10028baade

156. Изменение кода доступа (пароля) к мобильному приложению осуществляется с применением биометрической идентификации клиента с использованием биометрических данных, подтвержденных ЦОИД или полученных посредством устройств банка, организации.

ru-KZ · official · sha256:92cb072b99ac8fb48231fbdfb03226202cd88bffe9c8ae083a83b42b783ad6e6

157. При аутентификации клиента в мобильном приложении на ранее не зарегистрированном за клиентом в банке, организации мобильном устройстве банк, организация проводят биометрическую идентификацию клиента с использованием биометрических данных, подтвержденных ЦОИД или полученных посредством устройств банка, организации.

ru-KZ · official · sha256:1b3627997e3394699b6338b0a0497e4c5155f54bc88e87917a0a387e4f4f888a

158. Идентификация и аутентификация клиента в программном обеспечении дистанционного оказания услуг осуществляется с применением способов двухфакторной аутентификации (использованием двух из трех факторов: знания, владения, неотъемлемости) в соответствии с процедурами безопасности, установленными внутренними документами банка, организации.

ru-KZ · official · sha256:2385339ea456c19427e29f759033b1239c6012836b9e9575aeb2b7ab82266445

159. Механизм кроссдоменной аутентификации программного обеспечения дистанционного оказания услуг согласовывается с подразделением по информационной безопасности.

ru-KZ · official · sha256:8bed8887b7408d4f776c2752c94910f719c5ebd3e9387007c9968394e586ca8b

16. Подразделение по информационным технологиям осуществляет следующие функции: 1) разрабатывает и поддерживает актуальность схемы информационной инфраструктуры банка, организации; 2) обеспечивает предоставление доступа работникам банка, организации, использующим информационные активы банка, организации (далее – пользователь) к информационным активам банка, организации, за исключением специализированных информационных активов, доступ к которым предоставляется ИТ-менеджерами информационных систем, не относящимися к подразделению по информационным технологиям; 3) обеспечивает формирование типовых настроек и конфигурирование системного и прикладного программного обеспечения банка, организации с учетом требований информационной безопасности; 4) обеспечивает исполнение требований по непрерывности функционирования информационной инфраструктуры, конфиденциальности, целостности и доступности данных информационных систем банка, организации (включая резервирование и (или) архивирование и резервное копирование информации) в соответствии с внутренними документами банка, организации; 5) обеспечивает соблюдение требований информационной безопасности при выборе, внедрении, разработке и тестировании информационных систем.

ru-KZ · official · sha256:28b6fee79323363533eabe63ceb48d24ed34f2044c57e623be909c9da54d6173

160. Веб-приложение обеспечивает: 1) однозначность идентификации принадлежности веб-приложения банку, организации (доменное имя, логотипы, корпоративные цвета); 2) запрет на сохранение в памяти браузера авторизационных данных; 3) маскирование вводимых секретов; 4) информирование на странице авторизации клиента о мерах обеспечения кибергигиены, которым рекомендуется следовать при использовании веб-приложения; 5) обработку ошибок и исключений безопасным способом, не допуская отображение в интерфейсе клиента конфиденциальных данных, предоставляя минимально достаточную информацию об ошибке.

Ссылаются нормы: EstNeobespechennyeTrebovaniyaVeb, NeobespechennoeTrebovanieVeb, VebPrilozhenieSootvetstvuet, assert-h29c10d8e08695bc00f8385a20023723e72ca813d50a4df1c836ac1bdb6e96ec5, assert-h3a83e1a72afff13a56751826ae4adf5f8705965cff6e7cf20c9cf283bf3de318, assert-h46d473d10edbc7f25c2013a843469e2c6539e87378c96e9427e758f4f9161997, assert-hb8526fad70471bdb9a29b00603693852e9fa458acd9f77e23eb0d7c3930882ee, assert-hf273f72f6fa0eae27a09a1f2397482e126a6f3f06613456233a2674846befb93

ru-KZ · official · sha256:89d1eb15907a2f77f3215720041e87bfeb72630c4a646c40962e297e70dcb19d

161. Мобильное приложение обеспечивает: 1) однозначность идентификации принадлежности мобильного приложения банку, организации (данные в официальном магазине приложений, логотипы, корпоративные цвета); 2) блокировку функционала по оказанию дистанционных услуг банка, организации в случае обнаружения признаков нарушения целостности и (или) обхода защитных механизмов операционной системы, обнаружения процессов удаленного управления; 3) уведомление клиента о наличии обновлений мобильного приложения; 4) возможность принудительной установки обновлений мобильного приложения или блокировки функционала мобильного приложения до их установки в случаях необходимости устранения критичных уязвимостей; 5) хранение конфиденциальных данных в защищенном контейнере мобильного приложения или хранилище системных учетных данных; 6) исключение кэширования конфиденциальных данных; 7) исключение из резервных копий мобильного приложения конфиденциальных данных в открытом виде; 8) информирование клиента о методах обеспечения кибергигиены, которым рекомендуется следовать при использовании мобильного приложения; 9) информирование клиента о событиях авторизации под его учетной записью, изменения и (или) восстановления пароля, изменения, зарегистрированного банком, организацией номера мобильного телефона; 10) в ходе осуществления операций с денежными средствами - передачу в серверное ППО банка, организации геолокационных данных мобильного устройства при наличии разрешения от клиента либо передачу информации об отсутствии такого разрешения; 11) блокировку функционала по осуществлению операций с денежными средствами в случае обнаружения активного доступа к микрофону мобильного устройства в порядке, определяемом банком, организацией, при наличии разрешения от клиента либо передачу в серверное ППО банка, организации информации об отсутствии такого разрешения.

Ссылаются нормы: EstNeobespechennyeTrebovaniyaMobilnogo, MobilnoePrilozhenieSootvetstvuet, NeobespechennoeTrebovanieMobilnogo, assert-h165c68bc33c32d798d44973bfb9b156deb76062ddcc9af81c14f6cff57627c81, assert-h2df935a6110f5be1f5d1a13c2ed25f80ec572b0b935a09b158a9511dcca04d7f, assert-h3677c47f7138513fd96b7c1ad01cf2e4c906cb17137e179e5bc7bc23cabc6780, assert-h49bfc52c5e1740180d83ba58e13f4879cfe262496148f12dbbb5673a7a02c4fe, assert-h56672bdcd5c13020e84ee92f4b85384ea140dc8cd7aad201e6a0855fa9ef4183, assert-h5af7deda3160721c8ae1b3e39b4d07e3e27790acc7722dfddb8605b49e45f188, assert-h5db9e58453b0f91ff7d00b5e246d8736ea029918a8a1037d0ee82b025f97057a, assert-h8e5fe22ab8285a0d5c388bfebffc5e93ad9664b8d2b4dbe8c139b50bd3fc3aef, assert-h9dabdf6166eda37742b385ebb6282c193a0009ae7bf82cdcba19ec43c60a6521, assert-hd86ead09afdb721aa00f558e9da96b2d2308fec9d0e229f724fb14af08e62120, assert-hfa6d7034179fe458a2c34f42432daf977579943532c51c2ba6d5e37b5102ccde

ru-KZ · official · sha256:3fef1a74bb1de870221522c353d0c5643345746f3dc90a2382026eb0cf902dc4

162. Банк, организация обеспечивают на своей стороне: 1) обработку ошибок и исключений безопасным способом, не допуская в ответе раскрытия конфиденциальных данных, предоставляя минимально достаточную информацию для диагностики проблемы; 2) идентификацию и аутентификацию мобильных приложений и связанных с ними устройств; 3) проверку данных на валидность для предотвращения атак с подделкой запросов и инъекций вредоносного кода; 4) хранение записей событий обнаружения процессов удаленного управления и признаков нарушения целостности и (или) обхода защитных механизмов операционной системы в мобильных приложениях клиентов на устройствах, зарегистрированных в банке, организации, а также действий по блокировке функционала мобильных приложений клиентов; 5) хранение записей о неудачных попытках аутентификации и об информировании клиентов об этих попытках.

ru-KZ · official · sha256:fbaa87b13cbc802f281b1791f7bc44ec236b8a06cb6becc63c0b617f00500f0f

17. Банк, организация определяют возможность делегирования подразделениям банка, организации отдельных функций, указанных в пунктах 14 и 16 Требований.

ru-KZ · official · sha256:0de9226eb98ae088efaae5f7fd8ce9602eb3e55ce2e6482071bbfb2189f2e25e

18. Подразделение по безопасности осуществляет следующие функции: 1) реализует меры физической и технической безопасности в банке, организации, в том числе организует пропускной и внутриобъектовый режим; 2) проводит профилактические мероприятия, направленные на минимизацию рисков возникновения угроз информационной безопасности при приеме на работу и увольнении работников банка, организации.

ru-KZ · official · sha256:f46c722d3e9dcc4d15698c99aa1cc42455db2a8aa2318ce933a8ad06bfad67b7

19. Подразделение по работе с персоналом осуществляет следующие функции: 1) обеспечивает подписание работниками банка, организации, а также лицами, привлеченными к работе по договору об оказании услуг, стажерами, практикантами обязательств о неразглашении конфиденциальной информации; 2) участвует в организации процесса повышения осведомленности работников банка, организации в области информационной безопасности. 3) уведомляет уполномоченный орган о приеме на работу и(или) расторжении трудовых отношений с работниками подразделения по информационной безопасности банка, организации в срок не позднее трех рабочих дней посредством автоматизированной системы уполномоченного органа, предназначенной для обработки информации о событиях и инцидентах информационной безопасности или на бумажном носителе официальным письмом банка, организации.

ru-KZ · official · sha256:ee6dd0ff81b0ab7806af3d31382b5d86cf8b9cab944868d463a469d65e68a543

2. В Требованиях используются понятия, предусмотренные Законом Республики Казахстан "Об информатизации", а также следующие понятия: 1) информационная безопасность в сфере информатизации (далее – информационная безопасность) – состояние защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз; 2) информационный актив – совокупность информации и объекта информационно-коммуникационной инфраструктуры, используемого для ее хранения и (или) обработки. Информационный актив подразделяется на критичный и не критичный и определяется банком на основании уровня убытков от нарушения их конфиденциальности, целостности, доступности; 3) ИТ-менеджер информационной системы/актива – работник или подразделение (работники или подразделения) банка, организации ответственные за поддержание информационной системы/актива в состоянии, соответствующем требованиям бизнес-владельца информационной системы/актива; 4) бизнес-владелец информационной системы или подсистемы – подразделение (работник) банка, организации, являющееся (являющийся) владельцем основного бизнес-процесса, который автоматизирует информационная система или подсистема; 5) информационно-коммуникационная инфраструктура (далее – информационная инфраструктура) – совокупность объектов информационно-коммуникационной инфраструктуры, предназначенных для обеспечения функционирования технологической среды в целях формирования электронных информационных ресурсов и предоставления доступа к ним; 6) периметр защиты информационно-коммуникационной инфраструктуры – совокупность программно-аппаратных средств, отделяющих информационно-коммуникационную инфраструктуру банка, организации от внешних информационных сетей и реализующих защиту от угроз информационной безопасности; 7) угроза информационной безопасности – совокупность условий и факторов, создающих предпосылки к возникновению инцидента информационной безопасности; 8) инцидент информационной безопасности – отдельно или серийно возникающие сбои в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающие угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования электронных информационных ресурсов; 9) информация об инцидентах информационной безопасности – информация об отдельно или серийно возникающих сбоях в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающих угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования электронных информационных ресурсов; 10) риск информационной безопасности — вероятное возникновение ущерба вследствие нарушения конфиденциальности, преднамеренного нарушения целостности или доступности информационных активов банка, организации; 11) обеспечение информационной безопасности – процесс, направленный на поддержание состояния конфиденциальности, целостности и доступности информационных активов банка, организации; 12) штатный носитель информации – носитель информации, являющийся составной частью объекта информационно-коммуникационной инфраструктуры и подключенный к нему на постоянной основе; 13) предустановленные учетные записи – учетные записи информационных систем, установленные их производителями; 14) привилегированная учетная запись – учетная запись в информационной системе, обладающая привилегиями создания, удаления и изменения прав доступа учетных записей; 15) консоль администрирования и мониторинга – рабочая станция, позволяющая осуществлять удаленное управление информационной системой; 16) центр обработки данных банка, организации – специально выделенное помещение, в котором размещены серверы, обеспечивающие работу информационных систем банка, организации; 17) бизнес-процесс – совокупность взаимосвязанных мероприятий или задач, направленных на создание определенного продукта или услуги для внешнего или внутреннего потребителя; 18) владелец бизнес-процесса – подразделение (работник) банка, организации, отвечающее (отвечающий) за жизненный цикл бизнес-процесса и координацию деятельности подразделений банка, организации, вовлеченных в бизнес-процесс; 19) виртуальная среда – вычислительные ресурсы или их логическое объединение, абстрагированное от аппаратной реализации, и обеспечивающее при этом логическую изоляцию друг от друга вычислительных процессов, выполняемых на одном физическом ресурсе; 20) гипервизор – программное или аппаратно-программное обеспечение, позволяющее создавать и запускать одновременно несколько операционных систем на одном и том же сервере или компьютере; 21) протокол передачи данных – набор правил и действий, позволяющий осуществлять соединение и обмен данными между двумя и более включенными в сеть устройствами; 22) межсетевой экран – элемент информационной инфраструктуры, осуществляющий контроль и фильтрацию проходящего через него сетевого трафика в соответствии с заданными правилами; 23) рабочая станция – стационарный персональный компьютер пользователя информационного актива банка, организации; 24) подразделение по комплаенс-контролю - подразделение, осуществляющее функции по предотвращению возникновения потерь в банке, организации вследствие несоблюдения банком, организацией и его работниками требований законодательства Республики Казахстан, внутренних документов банка, организации, а также законодательства иностранных государств, оказывающего влияние на деятельность банка, организации; 25) доступ – возможность использования информационных активов банка, организации; 26) групповые политики безопасности – реализованные средствами информационных систем типовые наборы правил информационной безопасности; 27) приложение – прикладное программное обеспечение пользователя информационной системы; 28) резервная копия – копия данных на носителе информации, предназначенная для восстановления данных в оригинальном или новом месте их расположения в случае их повреждения или разрушения; 29) сигнатуры – набор данных, идентифицирующих программный код; 30) обеспечение технической безопасности – процесс обеспечения безопасности банка, организации с использованием технических средств (системы охранной и пожарной сигнализации, контроля и управления доступом, видеонаблюдения, пожаротушения, контроля температурного режима и влажности в центре обработки данных); 31) технологическая учетная запись – учетная запись в информационной системе, предназначенная для аутентификации при взаимодействии информационных систем; 32) корректирующая мера – набор организационных и технических мероприятий, направленных на исправление существующей проблемы в процессе обеспечения информационной безопасности либо последствий ее нарушения; 33) уполномоченный орган – уполномоченный орган по регулированию, контролю и надзору финансового рынка и финансовых организаций.

ru-KZ · official · sha256:338033990e6e03610d2cbd36f944aeae48743f75532def1c4332a76099251f8c

20. Юридическое подразделение осуществляет правовую экспертизу внутренних документов банка, организации по вопросам обеспечения информационной безопасности.

ru-KZ · official · sha256:c29cbd24d04398e34472fe287e66b3a21dcf011e85d6a407e95ddd6a35a16744

21. Подразделение по комплаенс-контролю совместно с юридическим подразделением банка, организации определяет виды информации, подлежащие включению в перечень защищаемой информации, предусмотренный пунктом 11 Требований.

ru-KZ · official · sha256:0f7f53b84274ec846845fb352635ff2bccb4f8d404684ff4d071b3c963f069af

22. Подразделение внутреннего аудита проводит оценку состояния системы управления информационной безопасностью банка, организации в соответствии с внутренними документами банка, организации, регламентирующими организацию системы внутреннего аудита банка, организации.

ru-KZ · official · sha256:d8d089e66f1d0760d37a0ef2c94c79c8b18197ef551c99b51a2d9e3626cbb4f4

23. Подразделение по управлению рисками информационной безопасности банка, организации осуществляет функции в соответствии с внутренними документами банка, организации.

ru-KZ · official · sha256:36e57781013827039b40ef42ae9c97c145418543d3c38ecea8f6a2dc6f115d00

24. Руководители структурных подразделений банка, организации: 1) обеспечивают ознакомление работников с внутренними документами банка, организации, содержащими требования к информационной безопасности (далее – требования к информационной безопасности); 2) несут персональную ответственность за обеспечение информационной безопасности в возглавляемых ими подразделениях; 3) обеспечивают заключение соглашений о неразглашении конфиденциальной информации и включение условий об обеспечении информационной безопасности в соглашения, договоры на оказание услуг/выполнение работ в случаях, когда подразделение банка, организации выступает инициатором заключения таких соглашений, договоров.

ru-KZ · official · sha256:e5d1b4764052b42fb12e755c838cc0fd8b94fdc9ed0ffe2dbbddb18337ed93f9

25. Бизнес-владельцы информационных систем или подсистемы: 1) отвечают за соблюдение требований к информационной безопасности при создании, внедрении, модификации, эксплуатации информационных систем и предоставлении продуктов и услуг клиентам и подразделениям банка, организации, а также при интеграции информационных систем с внешними информационными системами, включая информационные системы государственных органов; 2) формируют и поддерживают актуальность матриц доступа к информационным системам.

ru-KZ · official · sha256:5a391b0ff4383cc06b956fd64d0786cf68c1c75bb62fb5106a04835d6b7f5a48

26. Работники структурных подразделений банка, организации: 1) отвечают за соблюдение требований к информационной безопасности, принятых в банке, организации; 2) контролируют исполнение требований к информационной безопасности третьими лицами, с которыми они взаимодействуют в рамках своих функциональных обязанностей, в том числе путем включения указанных требований в соглашения, договоры с третьими лицами; 3) извещают своего непосредственного руководителя и подразделение по информационной безопасности обо всех подозрительных ситуациях и нарушениях при работе с информационными активами банка, организации.

ru-KZ · official · sha256:220ef3ef73c5f8d22a08c8d1f8bfd1e54c23987c98781e50c2def3e6b474d413

27. В случае, если отдельные функции обеспечения информационной безопасности банка, организации переданы сторонним организациям, член исполнительного органа, курирующий вопросы информационной безопасности, является ответственным за обеспечение информационной безопасности банка, организации.

ru-KZ · official · sha256:e609c532aa57834dc6062c5798f073f892a631a42139e83a43ca72540e921217

28. Банк, организация ежегодно, не позднее 10 января года, следующего за отчетным годом, представляют в уполномоченный орган информацию о состоянии системы управления информационной безопасностью и ее соответствии Требованиям (далее – информация о СУИБ).

ru-KZ · official · sha256:8b025d34caf7acb3e3f405f64d99354574cfc126fec3d4fa8636541c3a775ba4

29. Информация о СУИБ составляется в произвольной форме и представляется в уполномоченный орган в электронном формате с использованием транспортной системы гарантированной доставки информации с криптографическими средствами защиты, обеспечивающей конфиденциальность и некорректируемость представляемых данных, или посредством автоматизированной системы уполномоченного органа, предназначенной для обработки информации о событиях и инцидентах информационной безопасности или на бумажном носителе.

ru-KZ · official · sha256:d1aa355eba164523b0cfa46980eb2a59e2580fe1b3042142bd5a6dd8d084e025

3. К обеспечению информационной безопасности банков, организаций предъявляются следующие требования: 1) требования к организации системы управления информационной безопасностью; 2) требования к категорированию информационных активов банка, организации; 3) требования к организации доступа к информационным активам банка, организации; 4) требования к обеспечению безопасности информационной инфраструктуры; 5) требования к средствам криптографической защиты информации; 6) требования к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации; 7) требования к проведению внутренних проверок состояния информационной безопасности; 8) требования к процессам системы управления информационной безопасностью. Глава 2. Требования к организации системы управления информационной безопасностью

Ссылаются нормы: assert-h075550fa9590ab2e7418770a44405155342f2f9d6569c6cd187cb23ae5f626d3, assert-h23a8065ab230493662237c1993591d81a2074a05ffc4312a1700097287222cd6, assert-h6aad2998049b992f51d5e067694d1b08d830ba6313d022ce3e00bd2ad2078499, assert-h6eb96d96778bd3a8eefe435d3b105c18732fe1201b5e63f1e3c2624a7bb164c1, assert-h8034fc50e987e5a9c964c5fce0cb343133ce5ae148eb869329a23ba67fa4fe17, assert-h9b43432c5de13ff04005190d7a4a3f153d124ec17fd46a84a743d3308fe83abc, assert-hb4c6e64432d4c177aeda9b67b914cc3949f6928154eaa6834fcdbc78fb689902, assert-he99bdde870aa0414b82904df03a78d4b58c59c4187b8452009aba449744d4f7d

ru-KZ · official · sha256:5c82b09e162b503bd4a305335db9b8e61c1a8f9486b72cdc8dac11d82062c22d

30. Информация о СУИБ включает сведения о (об): 1) области действия системы управления информационной безопасностью банка, организации и ее участниках с указанием соответствия их функционала Требованиям; 2) наличии документов, регламентирующих создание и функционирование системы управления информационной безопасностью; 3) наличии и количественном составе программно-технических средств, используемых для обеспечения информационной безопасности; 4) имеющихся в договорах о предоставлении услуг, заключенных с операторами связи, условий и обязательств по обеспечению информационной безопасности; 5) наличии, материально-технической обеспеченности и готовности резервных центров обработки данных; 6) проведенных мероприятиях по приведению системы управления информационной безопасностью и информационных активов банка, организации в соответствие с Требованиями.

ru-KZ · official · sha256:bb51fdb9e58d8d729ab34696e4765f672a0388f933f7ffbb9b299d23d50d1b96

31. Уполномоченный орган осуществляет оценку соответствия банка, организации Требованиям не реже одного раза в 3 (три) года.

ru-KZ · official · sha256:6e75081b7b3effa4f3b79526bb457617119405afa232d7c3664e843cdd91b51b

32. Банк, организация проводят внешнюю проверку состояния системы управления информационной безопасностью банка, организации в объеме, определяемом исполнительным органом банка, организации, на соответствие национальному стандарту Республики Казахстан СТ ISO/IEC 27001-2023 "Информационная безопасность, кибербезопасность и защита конфиденциальности. Системы менеджмента информационной безопасности. Требования" или международному стандарту ISO/IEC 27001:2022 "Information security, cybersecurity and privacy protection – Information security management systems - Requirements" (Информэйшн секьюрити, сайберсекьюрити энд прайвэси протекшн. Информэйшн секьюрити мэнэджмент системс - Реквайрментс) (Информационная безопасность, кибербезопасность и защита частной жизни - Системы менеджмента информационной безопасности - Требования) не реже одного раза в 3 (три) года. Глава 3. Требования к категорированию информационных активов

ru-KZ · official · sha256:5bc1acdfe5d18cfddbd6aef510aec82677afcb32ed2e0e720c077144bf364817

33. Банк, организация формируют перечень критичных информационных активов с указанием их владельцев.

Ссылаются нормы: KritichnyyAktivNeVPerechne, PerechenKritichnyhNadlezhashchiy

ru-KZ · official · sha256:a2dac90accc04621fb601169ee4c1ce3483c050aa18d0ff91f467c74d7fd62ec

34. Банк, организация обеспечивают информационную безопасность информационных активов банка, организации, отнесенных к категории критичных, а также информационных систем, включающих эти активы, в соответствии с Требованиями.

ru-KZ · official · sha256:4d24ff6277aa9389caeb21360467f97f59b15de297a4c7ef6ee4db1be1f4d97e

35. Методы и средства защиты информационных активов, отнесенных к категории некритичных, а также информационных систем, полностью состоящих из этих активов, определяются банком, организацией самостоятельно. Глава 4. Требования к организации доступа к информационным активам

ru-KZ · official · sha256:2791d231364a1e838cbdd82f67c5705ca518147d74939702ae2b20a48a9afa74

36. Доступ к информации предоставляется работникам банка, организации в объеме, определяемом их функциональными обязанностями.

Ссылаются нормы: OrganizaciyaDostupaNadlezhashchaya

ru-KZ · official · sha256:555dfd282e93c3869015ecf62f09dbeb3b1dadc3227d5c7dff1ef646bbe89568

37. Предоставление доступа к информационным системам банка, организации производится путем формирования и внедрения ролей для обеспечения соответствия прав доступа пользователей информационных систем их функциональным обязанностям. Совокупность таких ролей представляет собой матрицы доступа к информационной системе, которая формируется банком, организацией в электронной форме или на бумажном носителе.

ru-KZ · official · sha256:f7e35a4bc69cf1fe91d533f8ff5deb361026aa108905eea5b67afa0487748404

38. Процесс создания и использования матриц доступа в информационные системы банка, организации определяется банком, организацией в соответствии с главой 9 Требований.

ru-KZ · official · sha256:8bac59b25c1a491a6b6ec12f26c3b44b3e86371a026db9a2e105a90ea6083aa5

39. Доступ к информационным системам банка, организации осуществляется путем идентификации и аутентификации пользователей информационных систем. Идентификация и аутентификация пользователей информационных систем банка, организации производится одним из следующих способов: 1) посредством ввода пары "учетная запись (идентификатор) – пароль" или с применением способов двухфакторной аутентификации (использованием двух из трех факторов: знания, владения, неотъемлемости); 2) с использованием способов биометрической и (или) криптографической и (или) аппаратной аутентификации.

Ссылаются нормы: DostupCherezAutentifikaciyu, assert-h46dfac621fc07fc58ef87bee27ff9b96c56995284c11d97f29c27a54fedafbfc, assert-h7658304fbfb84d8bc279af2767f904cfb439c3fcad8bfae28ae7c6c130533995

ru-KZ · official · sha256:a27d3237a6619bd022eac416d6f8ed058eac62b3ec086dc658de24bcdf354cfc

4. Первый руководитель банка, организации обеспечивает создание, функционирование и улучшение системы управления информационной безопасностью, являющейся частью общей системы управления банка, организации, предназначенной для управления процессом обеспечения информационной безопасности.

Ссылаются нормы: SostavUchastnikovPolnyy

ru-KZ · official · sha256:1f25ad6afc0e5a6dbb0e12efe495da5eac14f7a43ee890e7d6ac954329d3786f

40. В информационных системах банка, организации используются только персонализированные пользовательские учетные записи.

ru-KZ · official · sha256:6439abe4356bd8aa0dee42b7c61f9ea25441f96c6bc61cd3064ae00174615087

41. Технологические учетные записи используются в соответствии с перечнем таких учетных записей для каждой информационной системы с указанием лиц, персонально ответственных за их использование и актуальность, утверждаемым руководителем подразделения по информационным технологиям по согласованию с руководителем подразделения по информационной безопасности.

ru-KZ · official · sha256:a88f4894db453eeb249f715eefa45c51702a4c64a94e6fed601c93bc02c1c3ba

42. В информационных системах банка, организации применяются функции по управлению учетными записями и паролями, а также блокировке учетных записей пользователей, определяемые банком, организацией в соответствии с главой 9 Требований. Глава 5. Требования к обеспечению безопасности информационной инфраструктуры

ru-KZ · official · sha256:8456a587d1353c30f07142af0083704b882d35a8c131948cef9179f7f55bc2d2

43. Подразделение по информационным технологиям банка, организации разрабатывает следующие процессы и обеспечивает их реализацию: 1) процесс формирования и утверждения общей схемы информационной инфраструктуры с указанием физического расположения ее элементов; 2) процесс назначения ответственных работников банка, организации, наделенных правами конфигурирования информационного актива или группы информационных активов (далее – администраторов); 3) процесс документирования и утверждения типовых настроек: операционных систем; систем управления базами данных; телекоммуникационных устройств; информационных систем; узлов и конечных точек информационной инфраструктуры, рабочих станций, персональных компьютеров, исполненных в форме, удобной для переноски и использования в том числе, за пределами периметра защиты (далее – ноутбук) и электронных устройств индивидуального пользования, функционирующих на основе мобильной версии операционной системы (далее – мобильное устройство).

Ссылаются нормы: EstNerazrabotannyeProcessy, NerazrabotannyyProcess, ProcessyInfrastrukturyRazrabotany, assert-h1c007a31fc14b815a8945de7b3241f2f38691a68ee2be0117787e02176b12187, assert-hb4824b8a3cc77b20d93aaa0ccb05debd55a585bd8109f48e07e91056024b42c0, assert-heb3c0d7d6fd2e97d91d4563fce8643298c844a0e0640753bd20b6634ec1a7482

ru-KZ · official · sha256:f0d851d9b5106dce0228c3dc67147bc6d09ef4c7f7804dcdb6f2a14d4533c27e

44. Подразделение по информационной безопасности обеспечивает организацию системы контроля изменения настроек безопасности и целостности системных и конфигурационных файлов, а также журналов аудиторского следа в информационных активах банка, организации.

ru-KZ · official · sha256:6525ca7e6e00f33b13d92acd81c400f20ab8b2819aa637288df0b77572e29e67

45. Банком, организацией проводятся организационные мероприятия и (или) устанавливаются программно-технические средства, снижающие риск доступа к информационной инфраструктуре неавторизованных устройств либо устройств, настройки которых не соответствует установленному внутренним документом банка, организации порядку обеспечения информационной безопасности.

ru-KZ · official · sha256:8ecf55f6e0e3cdf683fc33d81f925b48e9c0fdfb5fe916b0a47e499c03ce46de

46. Для каждого информационного актива банка, организации определяются, как минимум, бизнес-владелец информационной системы или подсистемы, а также ИТ-менеджер и (или) администратор.

Ссылаются нормы: EstNeopredelennyeRoli, NeopredelennayaRol, RoliPoAktivuOpredeleny, assert-hd5087a7d64932e881e992babae529baab4315c7a5e33fffda1ce4b5348000821, assert-hefa8a53685329acb9738b76758986248b1de059ebc4dd842d2fb079d0b32541a

ru-KZ · official · sha256:a5a368cf24749b12f860e0209be46eee0f6ea8185295db714adf8d9cf09a1b16

47. При разработке технических заданий на создание (модернизацию) объектов информационной инфраструктуры бизнес-владелец информационной системы или подсистемы учитывает требования к информационной безопасности.

ru-KZ · official · sha256:61813581129b129b01b4b8d1d5c7aa6c72f3b9dbc3e712d490692a5344216e0b

48. Банк, организация обеспечивают резервное хранение данных информационных систем, их файлов и настроек, которое обеспечивает восстановление работоспособной копии информационной системы. Порядок и периодичность резервного копирования, хранения, восстановления информации, периодичность тестирования восстановления работоспособности информационных систем из резервных копий определяется банком, организацией.

ru-KZ · official · sha256:130cbeed75046ccf021499c10842e2d896c7cd9a5adb7b7bdad9625c8e6d895a

49. Банк, организация обеспечивают антивирусную защиту информационной инфраструктуры в порядке, определяемом банком, организацией в соответствии с главой 9 Требований.

ru-KZ · official · sha256:f29a30b262e4109d87a47bc16cc5104774589f1a6a426feddf07c7f44482ddbf

5. Система управления информационной безопасностью обеспечивает защиту информационных активов банка, организации, предусматривающую минимальный уровень потенциального ущерба для бизнес-процессов банка, организации.

ru-KZ · official · sha256:5a3066ad82c66d540ca3647fa4a994aca370a69e2e0676c551eff5dc0ad41160

50. Порядок обеспечения физической безопасности центров обработки данных банка, организации определяется банком, организацией в соответствии с главой 9 Требований.

ru-KZ · official · sha256:9c8b65e717631d909ce730d0fdbe8e38e38b07ae036d8d243a1d3f8546464e94

51. На рабочие станции, ноутбуки и корпоративные мобильные устройства работников банка, организации устанавливается программное обеспечение в соответствии с их функциональными обязанностями.

ru-KZ · official · sha256:4dee13d6a3b94e97d56e77991b5992186079de0aca968653324ce042e6cd2676

52. Подразделение по информационным технологиям формирует и актуализирует перечень программного обеспечения, разрешенного к использованию в банке, организации. Программное обеспечение включается в перечень после проведения проверки подразделением по информационной безопасности.

ru-KZ · official · sha256:1bf3a9f4de8fc8e9bdac7348f5bf8fb2c6c94dae2e354c5a51ab1cd072e4e3bb

53. Организационные и технические меры, обеспечивающие защиту рабочих станций, ноутбуков и мобильных устройств банка, организации, а также носителей информации и сетевой инфраструктуры определяются банком, организацией в соответствии с главой 9 Требований. Глава 6. Требования к средствам криптографической защиты информации

ru-KZ · official · sha256:7731bcb5dbf60786a15129cf1da9cbabb5a51965fe5191436d24b5d8e6119d08

54. Процесс внедрения и поддержки средств криптографической защиты информации согласовывается бизнес-владельцем информационной системы с подразделением по информационной безопасности.

Ссылаются нормы: KriptograficheskayaZashchitaNadlezhashchaya

ru-KZ · official · sha256:56fd7cb199bfd67f94565da1eb1507c03f40ffeebe58ac1c263e8888abe75d42

55. Порядок использования средств криптографической защиты информации определяется банком, организацией в соответствии с главой 9 Требований. Перечень применяемых средств криптографической защиты информации с указанием их назначения, реализованных в них криптографических алгоритмов, наименования информационной системы, владельца информационной системы, использующей средства криптографической защиты информации определяет банк, организация. Глава 7. Требования к обеспечению информационной безопасности при доступе третьих лиц к информационным активам банка, организации

ru-KZ · official · sha256:116e409ea8225e2201bd162a863de65bb11f90c98ea8745ce5c76c459aefc7a6

56. Банк, организация обеспечивает информационную безопасность при доступе к информационным активам банка, организации лиц, не являющихся работниками или клиентами банка, организации (далее – третьи лица).

ru-KZ · official · sha256:7c7caae19bef125fa8e0eefba9400afcecf3afe6556dcd33110d3e737bb33c91

57. Доступ к информационным активам банка, организации третьих лиц предоставляется на период и в объеме, определяемыми проводимыми работами на основании соглашения, договора, включающего условия о соблюдении требований к информационной безопасности, за исключением случаев, предусмотренных законодательством Республики Казахстан. В соглашениях, договорах, заключаемых с третьими лицами, содержатся положения о конфиденциальности, условия о возмещении ущерба, возникшего вследствие нарушения информационной безопасности, а также сбоев в работе информационных систем и нарушения их безопасности, вызванных действием или бездействием третьих лиц.

Ссылаются нормы: DostupTretegoLicaNadlezhashchiy

ru-KZ · official · sha256:fc479f5a36fca708763f8351d187c965e7ef5d86cd25560f39e89bee34474ce2

58. При осуществлении проверки деятельности банка, организации либо при запросе информации уполномоченным органом до предоставления соответствующего доступа или информации проверяются полномочия представителей уполномоченного органа.

ru-KZ · official · sha256:f999b785e6395342ad0f4c64ba0ab8f5e4261f9e9478da0a54f065094de6ef1a

59. В целях обеспечения контроля деятельности третьих лиц предусматриваются, как минимум, одна из следующих организационных и (или) программно-технических мер: 1) проверка результата деятельности третьих лиц; 2) осуществление деятельности третьих лиц только в присутствии работников банка, организации; 3) ведение аудиторского следа по действиям третьих лиц; 4) запись сессии доступа к информационным активам банка, организации.

Ссылаются нормы: EstNepredusmotrennyeMery, KontrolTretegoLicaPolnyy, NepredusmotrennayaMera, ObespechitKontrolTretegoLica, SubektObespechivaetKontrolTretegoLica, assert-h45666a78b7412ff994028b7df987a0aa9ccc1548f52329c70f152d871374ed07, assert-h694e58a7a3fe6de3698f28d754e1b19e819bec02b9bc5900b356432512304d56, assert-h8f09f0e601ca1425415d9bc4b58e73fd733197030588ca43c6231e09021d004e, assert-hc01e82a0b6df5faa6f9d341cc5a151c123aaa723ed692f1a53c5f92a11b85445

ru-KZ · official · sha256:bdb167f9b4439157926cc74fbca5a260a5ae9ed93e07266b22a4ab6a5f16c4a4

6. Банк, организация обеспечивают надлежащий уровень системы управления информационной безопасностью, ее развитие и улучшение.

Ссылаются нормы: SistemaUpravleniyaNadlezhashchaya

ru-KZ · official · sha256:f3fece6f51c0f9821079d4e48f87f576cfd95c91930a11ea5a9493acbe2cf2fa

60. В случае передачи третьим лицам информационных активов банка, организации (размещение серверных мощностей в сторонних центрах обработки данных, использование внешних сервисов обработки и/или хранения данных) предпринимаются следующие меры обеспечения информационной безопасности: 1) отражение в соответствующем соглашении, договоре с третьим лицом требований по защите информационных активов банка, организации и права проверки банком, организацией исполнения таких требований, а также условий о возмещении ущерба, возникшего вследствие нарушения информационной безопасности и работоспособности информационных систем; 2) исключение возможности доступа третьих лиц к информации, передача которой третьим лицам не допускается в соответствии с гражданским, банковским законодательством Республики Казахстан, законодательством Республики Казахстан о персональных данных и их защите. При использовании облачных сервисов для этих целей применяется метод хранения информации в зашифрованном виде с раскрытием информации на стороне банка, организации. При этом ключ шифрования хранится в банке, организации. Глава 8. Требования к проведению внутренних проверок состояния информационной безопасности

Ссылаются нормы: PeredachaAktivovDopustima

ru-KZ · official · sha256:6e81daaa6a79977b969a869e0cf90e3644fb9c55458dbd172f3c7c578968732c

61. Состояние информационной безопасности оценивается путем проведения проверок: 1) подразделением по информационной безопасности – в соответствии с планом, утверждаемым членом исполнительного органа, курирующим подразделение по информационной безопасности, а также по отдельному распоряжению руководителя исполнительного органа или руководителя органа управления банка, организации; 2) подразделением внутреннего аудита – в рамках годового плана аудиторских проверок в соответствии с внутренними документами банка, организации, регламентирующими организацию системы внутреннего аудита банка, организации.

Ссылаются нормы: EstNeprovedennyeProverki, NeprovedennayaProverka, SostoyanieOcenivalos, assert-h7a762ab357a73082afe9e8df8697ced09875aecce5213004b7d3ae1ab93012e0, assert-hb70487ae1d3b12993c1ff098e466cb111df536d6721bde6e96eae9c3cf56b89a

ru-KZ · official · sha256:942035434d0ab502a9485dd2da4291afa10ea714ccb75a2d38e8ab51811d0023

62. По результатам проверки подразделением по информационной безопасности составляется отчет с приложением материалов проверки, который доводится до сведения проверяемого подразделения банка, организации. Глава 9. Требования к процессам системы управления информационной безопасностью Параграф 1. Требования к процессу организации доступа к информационным системам

Ссылаются нормы: OtchetnostOProverkeNadlezhashchaya

ru-KZ · official · sha256:f8eb83bff9b74a8f6bdb9b03fda119d84dd537b3725a78ee427358b81859e982

63. Процесс создания матрицы доступа к информационной системе осуществляется в порядке, определяемом банком, организацией, и состоит из следующих этапов: 1) бизнес-владелец информационной системы обеспечивает формирование и актуальность матрицы доступа к информационной системе банка, организации; 2) владелец бизнес-процесса совместно с ИТ-менеджером информационной системы обеспечивают формирование и актуальность ролей в информационной системе в объеме, определяемом функциональными обязанностями работников; 3) сформированные роли согласовываются с бизнес-владельцем информационной системы; 4) банк, организация обеспечивает исключение в ролях конфликтующих прав доступа, позволяющих обойти существующие автоматизированные контроли; 5) ИТ-менеджер информационной системы реализует роли в информационной системе; 6) бизнес-владелец информационной системы или подсистемы и владелец бизнес-процесса тестируют созданные роли; 7) ИТ-менеджер информационной системы внедряет роли в информационной системе.

Ссылаются нормы: EstNevypolnennyeEtapy, MatricaDostupaSozdana, NevypolnennyyEtap, TrebovaniyaDostupaPrimenimy, assert-h23aa95fa3395698c77c3243fc154737cbe33453a3ac4c7cf5fdf59eed38745dd, assert-h5569fbbc0ab98d87cf030132ddbc955d1d94095bc7b70dd613a976899c19aadf, assert-h73fba21b104ca6d4699881b58c8313c9c1be01211cf2e45c3a4e766f0135a911, assert-h80eedc5b0f6c3d244e25a03663717518ebfee31324613ccc1af210ccd6342e6d, assert-hae422e3b879331577310056453304ac8f5de12153d52c7f948a37a933d915a89, assert-hc58a92fbdb3a39d89a242bcdcc2843f1f1e40d683bb226500f2ffacfe177cd65, assert-hede222eaa3c1b4263ffe12d914063cdf23bfce93c7b3bd8f29fa2d88c4c8d2f9

ru-KZ · official · sha256:3405a260c7493065728f99cb5d3895c357cfccaf50d362391ba5fd9620295dc5

64. Внесение изменений и дополнений в матрицу доступа к информационной системе осуществляется в порядке, установленном пунктом 63 Требований.

ru-KZ · official · sha256:24d62c7d7e1d1f9f011563b52b7f0373ecf328b37a9b6f5fa2cead9a50d62f5f

65. Механизм управления доступом информационной системы банка, организации обеспечивает: 1) возможность регистрации нового пользователя на уровне приложения; 2) назначение пользователям прав на доступ к информационным системам только через роли; 3) предоставление пользователям отдельных прав в дополнение к имеющейся роли в информационной системе по согласованию с бизнес-владельцем информационной системы или подсистемы и с уведомлением подразделения по информационной безопасности; 4) сопровождение ролей пользователей (создание, изменение, удаление); 5) возможность блокирования одновременного доступа под одними учетными данными с различных аппаратных средств (компьютеров) для транзакционных систем; 6) ведение аудиторского следа.

Ссылаются нормы: EstNeobespechennyeSvoystva, MehanizmDostupaPolnyy, NeobespechennoeSvoystvo, assert-h1a83aa017080e882c37ed2e45bc9b26ad80ade712e7b4b471c64b5701da5ff2e, assert-h9d1bb07100e0324889ef40e75db21c1e86b5a1bac4e375101191dde47555a4e8, assert-h9e272d680e90578a74d2dc4c2a593b1442b24a23953505ba325ab77e6935372e, assert-ha3bae5982428013f0831cf1a9972dfb6c3081e00f322046f76ba1ad34400b9a1, assert-haaecf7beac7dc648ff8c8220f24b75a9265cdc31d0bb371797ea54c8a097fc6f, assert-hcdb70b8b69c4ba178bd1a93cf9fa737b0124d2bbf316c237f8997bb9ae925b3f

ru-KZ · official · sha256:ed30de0900f5a1dc9162e30fd091a44200bf8ccd87a60172ac5f5721adb859e9

66. Механизм управления доступом к данным информационной системы банка, организации включает: 1) обеспечение доступа к данным информационной системы через приложение; 2) предоставление доступа к данным информационной системы напрямую, минуя приложение, осуществляется по согласованию с подразделением по информационной безопасности; 3) формирование и актуализацию подразделением по информационным технологиям перечня пользователей, которым предоставлен доступ к данным напрямую, минуя приложение.

ru-KZ · official · sha256:7df7a62ca50f0c58ad120a215ffba1c4f5bcca565d54de06889f66e68a5c6cf4

67. При изменении функциональных обязанностей работника отключаются все имеющиеся права доступа и присваиваются новые права доступа, соответствующие его новым функциональным обязанностям. При увольнении работника не более, чем через сутки с даты увольнения отключаются все его учетные записи.

ru-KZ · official · sha256:a2df40203afbfc609d20c0feba5eb520490bee0b5718504e866c8d87287cb7b4

68. Подразделением по информационной безопасности производится проверка корректности прав доступа к информационным системам в соответствии с матрицей доступа, а также контроль отключения прав доступа уволенным работникам.

ru-KZ · official · sha256:2d509a4783fb968b821b88610cf26aaec9a0ad54b97b7240a6cc261ecb0a3e95

69. Пересмотр ролей и прав доступа к информационным системам производится не реже одного раза в год бизнес-владельцами информационных систем или подсистем с привлечением заинтересованных подразделений банка, организации.

Ссылаются нормы: EzhegodnostPeresmotraSoblyudena

ru-KZ · official · sha256:1cb37da3d6451f7fc230e1592e59fdca2794696ce1c8f83f61ef2991bd3c0da2

7. Участниками системы управления информационной безопасностью банка, организации являются: 1) орган управления; 2) исполнительный орган; 3) коллегиальный орган, уполномоченный принимать решения по задачам обеспечения информационной безопасности (далее – коллегиальный орган); 4) подразделение по информационной безопасности; 5) подразделение по информационным технологиям; 6) подразделение по безопасности; 7) подразделение по работе с персоналом; 8) юридическое подразделение; 9) подразделение по комплаенс-контролю; 10) подразделение внутреннего аудита; 11) подразделение по управлению рисками информационной безопасности. Функции подразделений, указанные в подпунктах 4), 5), 6), 7), 8), 9), 10) и 11) части первой настоящего пункта, в организации осуществляются подразделениями, указанными в части первой настоящего пункта, либо в случае отсутствия данных подразделений ответственными работниками организации.

Ссылаются нормы: EstOtsutstvuyushchieUchastniki, OtsutstvuyushchiyUchastnik, assert-h0aacfbd97b9af381839135c464143e054aa1245bce6309c81d3f8a5b4a840854, assert-h0b37bc107cf0e42e2426a8599c8cdfaf90a5445e2588afe8eb419b5737ddfb2c, assert-h2910727523f8c80ddb54f87685cc812348c5f2697024561a3b142f11bba761b7, assert-h4ab475b6988a4616117dcd7edb5380263a307614bc0ddcd090ecb68f35b0c6a5, assert-h57c0cff2582976eced97432d402f5a44ffdbfc5293ae22c9d0977e1572c26b44, assert-h88593421b3a9e3c2fa3807630730797e97250b0e0434deb1a73ce4a68e0e6ec8, assert-h8cf01824e0034cda24c74c18d7634700331db6adf646bdd9dbf3f1f00d79b9b3, assert-hb82ca865d92c372791e280394aeea87892c16302319e7b235a96c5cca807b98b, assert-hc202d3249284920d20ef9f532ac96424947e154796d267d4cb29d106182045a7, assert-hc278d4f663e3f80c5946a83b3c0abafc27e444cacc858b9e0e3324a33939548b, assert-hf1bc83eca31e88fe0fc88a3dff605420bf37644f19bb56373d8134ca737c23f6

ru-KZ · official · sha256:a14b30f4d97fb63143123fc056ae2aeb0530ea710295ffeb333790679c5d4a93

70. При отсутствии технической возможности реализации одного или нескольких требований настоящего параграфа в банке, организации применяются компенсирующие меры в виде дополнительных технических и организационных мер по частичному или полному исключению влияния рисков информационной безопасности. Параграф 2. Требования к процессу управления паролями и блокировками учетных записей пользователей в информационных системах

Ссылаются нормы: KompensiruyushchieMerySnimayutTrebovaniya

ru-KZ · official · sha256:1897b61f3edceb6957a0cf229ec28d41464cf5589ae3dce269bff0c1615174f3

71. В информационных системах банка, организации применяются следующие параметры функции по управлению паролями и блокировками учетных записей пользователей: 1) минимальная длина пароля – значение данного параметра составляет не менее 8 символов. Проверка пароля на соответствие данному параметру производится при каждой смене пароля, в случае несоответствия – выдается уведомление пользователю; 2) сложность пароля – возможность проверки наличия в пароле как минимум трех групп символов: строчных букв, заглавных букв, цифровых значений, специальных символов. Проверка пароля на соответствие данному параметру производится при каждой смене пароля, в случае несоответствия – выдается уведомление пользователю; 3) история пароля –- новый пароль не повторяет как минимум семь предыдущих паролей. Проверка пароля на соответствие данному параметру производится при каждой смене пароля, в случае несоответствия выдается уведомление пользователю; 4) минимальный срок действия пароля – 1 (один) рабочий день; 5) максимальный срок действия пароля – не более 60 (шестидесяти) календарных дней. Проверка пароля на соответствие данному параметру производится при каждом входе в информационную систему и смене пароля. В случае, если до истечения максимального срока действия остается 7 (семь) и менее календарных дней, пользователю выдается соответствующее уведомление. По истечении максимального срока действия пароля информационная система блокирует доступ и требует обязательную смену пароля; 6) при первом входе в информационную систему либо после смены пароля администратором информационная система запрашивает у пользователя смену пароля с невозможностью отклонить данную процедуру. Данное правило превалирует над правилом о сроке действия пароля; 7) в случае отсутствия активности пользователя в информационной системе более 30 (тридцати) календарных дней его учетная запись автоматически блокируется; 8) при последовательном пятикратном вводе неправильного пароля учетная запись пользователя временно блокируется; 9) при неактивности пользователя более 30 (тридцати) минут информационная система автоматически завершает сеанс работы пользователя либо блокирует рабочую станцию или ноутбук с возможностью разблокировки только при вводе аутентификационных данных пользователя.

Ссылаются нормы: BlokirovkaSessiiSoblyudena, EstNesoblyudennyeParametry, IstoriyaParolyaSoblyudena, MaksimalnyySrokSoblyuden, MinimalnayaDlinaSoblyudena, NesoblyudennyyParametr, ParametryParolyaSoblyudeny, PyatikratnyyVvodSoblyuden, SlozhnostParolyaSoblyudena, TrebovaniyaParolyaPrimenimy, assert-h061a3cd99c68dc417d8b4eb1d06e6d287a9ab898e9f4e0a27d9f0e49f65c3e90, assert-h2f97f13fea78c2693f519f63515802d198f3043dc9257a613b602e85c45a6c29, assert-h531cf949339b2852bddec0d4e2f2e5467aa0fe0dc0f6c773e6d2466a3386d7c2, assert-h6f3c3e773db10a02d603df054eb418630aae916d9bf8540b1a8aaa3c05c73731, assert-h7c19d4721548d4e04b3f2d3f2e9b695d2f649aa20b1c02efb036c3b903c88b36, assert-h986ae74b8f3345d9b3bcc577484ceb5479e5e69116c78caa5d296b85cadb96ca

ru-KZ · official · sha256:28b520ea6f77a239f6e23e0a4bac5c88a19e111a2a9dadb3d1856edb1b5b2f1d

72. Требования пункта 71 Требований не применяются в случаях, когда: 1) информационная система интегрирована в части аутентификации с информационной системой, соответствующей требованиям пункта 71 Требований; 2) функции одной информационной системы минимизируют риск неавторизованного доступа в другой информационной системе.

Ссылаются нормы: IntegraciyaSnimaetTrebovaniya, MinimizaciyaRiskaSnimaetTrebovaniya

ru-KZ · official · sha256:ac6803d509f05bfdd05c5475a7ce03da4413495a37b3326f66e9e4937ab9e67b

73. Процесс управления паролями и учетными записями определяется банком, организацией и включает: 1) управление администраторами информационных систем учетными записями пользователей информационных систем и сменой их паролей; 2) подачу и рассмотрение заявок на создание учетных записей, а также изменения пароля при возникновении нештатной ситуации; 3) подачу заявок на изменение или удаление учетных записей; 4) идентификацию лиц, подающих заявки на создание, изменение или удаление учетных записей, а также изменение пароля; 5) недопущение неправомерной передачи паролей третьим лицам, а также администраторам информационных систем и иным работникам банка, организации; 6) недопущение работы в информационных системах под чужими учетными записями, за исключением предоставления доступа к чужой учетной записи в целях обеспечения непрерывности деятельности по согласованию с подразделением по информационной безопасности в указанный промежуток времени при обеспечении точной идентификации пользователя. Параграф 3. Требования к процессу обеспечения безопасности информации

Ссылаются нормы: EstOtsutstvuyushchieSostavlyayushchieProcessa, OtsutstvuyushchayaSostavlyayushchayaProcessa, ProcessParoleyPolnyy, assert-h422f92555332e5bc011795cebdb7973e025cf42a2d2d0d8299e316255a23465e, assert-h627c8525b67a72a18f19e3b930bd1cc52ed6100174f3d57b7e80a6bfc38817cb, assert-h9f455dc529c13300a9855566ecc7f916e3f6eb5996af72f2bef5756462581b53, assert-ha2fcb615b1b4308c4dbc4e3718871f9298d3173b83c78b3a04532cc8cf27169d, assert-hb1be4395c5f6c6660829e584d300b365eaf80206b40726b08ece208a8fa30ca0, assert-hbedaf8036372f82006989ceb9977cf818a8c40933577133db573f85f83e9e962

ru-KZ · official · sha256:d7f19e26faf5f07192f052dc2b4fb86241352ab619ca01b0799f8cdfccd845a2

74. Процесс защиты информации при использовании Интернета и электронной почты определяется банком, организацией и включает любой из следующих методов, но не ограничиваясь ими: 1) организационный: обеспечение осведомленности персонала, ограничение количества работников, имеющих доступ к Интернету, службам мгновенных сообщений, облачным сервисам, IP-телефонии и внешней электронной почте; 2) программно-технический: ограничение количества пользователей и их доступа к интернет-ресурсам, контроль информации, передаваемой в Интернет, в том числе по службам мгновенных сообщений, IP-телефонии и внешней электронной почте, предоставление доступа в Интернет через терминальный сервер, разделение сегментов сети, ведение архива внешней электронной почты (срок хранения определяется банком, организацией, ограничение доступа на изменение или удаление информации в данном архиве), использование систем противодействия атакам, направленным на периметр защиты информационной инфраструктуры банка, организации, шифрование передаваемой информации.

Ссылаются нормы: ZashchitaInternetaObespechena, assert-h2b4b200b059900918261e7eaae54ee2898222c45f514700e4eb067d5dbb4be15, assert-hac37315ed54aaf3753ba1179d98349c7b085bf4d2d4f3516372ac450eb6d810a

ru-KZ · official · sha256:dbdb4318e872d0649fe19702e8958ba38d4ffe9906c775feffcdc4b1fb2cf90e

75. Для защиты информации при использовании внешних носителей электронной информации применяются любой из следующих методов, включая, но не ограничиваясь ими: 1) организационный: обеспечение осведомленности персонала, ограничение количества работников, имеющих доступ к записи на внешние носители информации; 2) программно-технический: использование программно-технических средств, обеспечивающих ограничение, контроль и шифрование записи информации на внешние носители, отключение неиспользуемых портов ввода-вывода и устройств записи внешних носителей на рабочих станциях персонала банка, организации и серверах.

Ссылаются нормы: ZashchitaNositeleyObespechena

ru-KZ · official · sha256:bb31e039facf2abd9c48564ae5b52219066880ca2baaea199eb2b00ea53da7f9

76. Для защиты информации при использовании бумажных носителей применяются любой из следующих методов, включая, но не ограничиваясь ими: 1) организационный: ограничения, определяемые банком, организацией, обеспечение осведомленности персонала, ограничение количества работников, имеющих доступ к работе с документами, содержащими защищаемую информацию; 2) программно-технический: использование программно-технических средств, обеспечивающих контроль вывода информации на бумажные носители.

ru-KZ · official · sha256:000d9432b65b29d9329e646f1ce91bacd93a65f76dfd309b09fe9ae281199d9f

77. Для защиты информации в случае утраты штатных носителей информации применяются любой из следующих методов, включая, но не ограничиваясь ими: 1) организационный: ограничения, определяемые банком, организацией, обеспечение физической безопасности периметра банка, организации, обеспечение осведомленности персонала, нормы утилизации носителей информации; 2) программно-технический: использование средств, контролирующих вскрытие системных блоков, шифрование информации на рабочих станциях, серверах, шифрование или токенизация (замена оригинальных данных на суррогат с использованием набора случайных данных (токена) информации в системах управления базами данных.

ru-KZ · official · sha256:746132959acb5bd8953ed5ab7c6370c897cc6eef5a4808c477532ec16e331823

78. Уничтожение защищаемой информации производится методами, исключающими ее восстановление, с использованием любого из следующих методов уничтожения информации в зависимости от типа носителя: 1) физическое уничтожение носителя информации; 2) электромагнитное воздействие на носитель информации (для магнитных носителей); 3) программное уничтожение электронной информации специализированными программными средствами. Параграф 4. Требования к процессу обеспечения безопасности периметра защиты информационной инфраструктуры

ru-KZ · official · sha256:8fbb931029adda4a9ba65d92a6c3aa3ce49d24a083c155b00476e9bc85fa25cb

79. Банком, организацией определяются периметр защиты информационно-коммуникационной инфраструктуры (далее – периметр защиты). Подразделением по информационным технологиям утверждаются и поддерживаются в актуальном состоянии схема периметра защиты и перечень администраторов средств обеспечения безопасности периметра защиты.

Ссылаются нормы: PerimetrZashchishchen

ru-KZ · official · sha256:6e2798415662c9b42f9225bcffcf61c693a1e3a67c7e93625c581d04cbbca052

8. Банк, организация при создании и функционировании системы управления информационной безопасностью обеспечивают независимость подразделения по информационной безопасности и подразделения по информационным технологиям посредством их подчинения разным членам исполнительного органа банка, организации или напрямую руководителю исполнительного органа банка, организации.

ru-KZ · official · sha256:e8fd669f016471246e26b3b196983dcd9fca3e253871388e1c659c535134caa1

80. Телекоммуникационные соединения, за исключением соединений с городской телефонной сетью, выходящие за периметр защиты банка, организации, подлежат шифрованию.

ru-KZ · official · sha256:ea4f991d8ccafe2b88daff5612dc8a18275798afde02f52682a599913e55c61a

81. Шифрование телекоммуникационных соединений производится методами, согласованными с подразделением по информационной безопасности.

ru-KZ · official · sha256:bf0fd735d137d92c7e30708f8061a304448cc651afa2d430e77b3b2c1b957d38

82. Наравне с шифрованием телекоммуникационных соединений, указанных в пунктах 80 и 81 Требований, используется шифрование передаваемой информации.

ru-KZ · official · sha256:0f7f3973704fdbe66a8aee0bf09b7a4003d6c57af42e8f324a9af2a050b777ff

83. Для ограничения доступа к информационной инфраструктуре на периметре защиты устанавливаются межсетевые экраны.

ru-KZ · official · sha256:2edd075dc600daa361032ceddfc513510a800df05a23ee78eaf3666c44d70263

84. Правила доступа, установленные на межсетевых экранах, настраиваются на блокирование соединений, неиспользуемых для функционирования информационных активов банка, организации. Указанные правила согласовываются с подразделением по информационной безопасности. Для выявления и отражения атак на периметр защиты используются средства обнаружения и предотвращения вторжений.

ru-KZ · official · sha256:3226f309eb6da4fdf9ccc24aedc49ac6ffa23690ae6808b377d2c8389725d278

85. Банк, организация обеспечивают применение мер предотвращения атак типа "отказ в обслуживании". При реализации указанных мер используются штатные механизмы систем обеспечения безопасности периметра защиты и (или) дополнительные способы обеспечения безопасности периметра защиты.

ru-KZ · official · sha256:c30c9ffff247ed0b6a50b2b8e1ae368be24f9ffb42b542a3dec168b7a46a75f0

86. Доступ пользователей к информационным активам банка, организации, находящимся внутри периметра защиты, из-за пределов периметра защиты предоставляется только по зашифрованному каналу с аутентификацией пользователя на периметре защиты. Доступ пользователей к информационным системам из-за пределов периметра защиты предоставляется только с использованием методов двухфакторной аутентификации (использованием двух из трех факторов: "что я знаю", "что я имею", "что я есть сам").

ru-KZ · official · sha256:9210f0c272fa90df48c2127b0abe542c5d50e4d5bc3734fc11ca61de251f9240

87. Для обеспечения безопасности доступа пользователей к ресурсам Интернета, а также использования внешней электронной почты устанавливаются соответствующие шлюзы, обеспечивающие: 1) очистку трафика от вредоносного кода; 2) блокировку ресурсов Интернета, содержащих деструктивные функции; 3) очистку почтового трафика от спама; 4) аутентификацию доменного имени отправителя входящей электронной почты и возможность аутентификации доменного имени исходящей электронной почты с использованием криптографических алгоритмов.

ru-KZ · official · sha256:ef6ef04abc7acb9c5d59a6a0fed4f878f76f836cb99861f70f2338eb7e22b2b8

88. Конфигурация средств обеспечения безопасности периметра защиты выполняется с учетом рекомендаций производителей и пересматривается с периодичностью, определяемой банком, организацией. В обязательном порядке изменяются пароли на предустановленные учетные записи. Неиспользуемые предустановленные учетные записи блокируются или удаляются.

ru-KZ · official · sha256:a569cefcdbe9dda66cfe599322d409af3201fbf306bbbbffa54a800e3df2f9a9

89. С периодичностью, определяемой банком, организацией, проводится тестирование на проникновение в информационную инфраструктуру независимыми внешними экспертами в данной области. В рамках данного тестирования, кроме поиска и попыток эксплуатации уязвимостей системного и прикладного программного обеспечения, проводятся нагрузочные тесты, включая имитацию атак "отказ в обслуживании". Параграф 5. Требования к процессу обеспечения защиты информационной инфраструктуры

ru-KZ · official · sha256:630198b3f24de5f6793202237118b29890143ea1c1ee26d98b1c315a85aa1b28

9. Орган управления банка, организации утверждает политику информационной безопасности, которая определяет: 1) цели, задачи и основные принципы построения системы управления информационной безопасностью; 2) область действия системы управления информационной безопасностью; 3) требования к управлению доступом к создаваемой, хранимой и обрабатываемой информации в информационных активах банка, организации; 4) требования к осуществлению мониторинга деятельности по обеспечению информационной безопасности и мероприятий по выявлению и анализу угроз, противодействию атакам и расследованию инцидентов информационной безопасности; 5) требования к осуществлению сбора, консолидации и хранения информации об инцидентах информационной безопасности; 6) требования к проведению анализа информации об инцидентах информационной безопасности; 7) ответственность работников банка, организации за обеспечение информационной безопасности при исполнении возложенных на них функциональных обязанностей.

Ссылаются нормы: EstNeopredelennyePredmety, NeopredelennyyPredmet, PolitikaPolnaya, assert-h195406a81e21663e149661b22345ff0f988366436190d71fa746ea2c288b048f, assert-h37fbf333acaf6a047237cbb84736fcfb646b0448a13c305346ad216a2566930b, assert-h5707ddf73131e85030eae7f453ef0a4107b48e23465f5b1a01d30fcace5b9fbf, assert-haa3c1770d4d3e2c1cfa70ca9c54d5d5aa2c27e04a704d49689cced56091b70ed, assert-haabb016b308250e350f4a6f180146d9432abbe4d7035349e4d9d5cd778bcba92, assert-hd6afd9a3f68eff931680a860af32f699a485ce5eeef9756f0a0ff3755a27cd0d, assert-he87aa9357d77a73fe2647103c2bbd2ad7634ae6c84532e17e7ac4c1fa2c0ac39

ru-KZ · official · sha256:f4c869f990d6cde9f788d05faa659049c6eae487a8cae62293644bde9275c2cb

90. ИТ-менеджер информационной системы обеспечивает синхронизацию системного времени информационного актива с централизованным источником эталонного времени.

ru-KZ · official · sha256:72cec32f21136d9957f5a379c81339b680ae8370ba340cbd05c6050399de6f1f

91. Подразделение по информационным технологиям обеспечивает разделение внутренней сетевой инфраструктуры как минимум на следующие сегменты: 1) клиентский (пользовательский); 2) серверный (инфраструктурный); 3) разработки (при наличии); 4) тестовый.

Ссылаются нормы: EstNevydelennyeSegmenty, NevydelennyySegment, SegmentaciyaPolnaya, assert-h36cac6351911bc5773bc110d559f2721ebf7cfc7fbf8f10fc3fe7f9bad13ea7b, assert-hab288ff64b08a8925f3784b2ebb542f13b1acc36a90b66e6c673b67abc2c7926, assert-hc67da1c8e3e8940609976b389cc799a2fecfa32f52e9b0a297177c8e381880bc

ru-KZ · official · sha256:00386a088fea317be08818883c7310af130f11bb3cb1bb7b4c7c4eb8fa27d0df

92. Между сегментами сетевой инфраструктуры настраиваются правила доступа на блокирование соединений, неиспользуемых для функционирования информационных активов банка, организации.

ru-KZ · official · sha256:4ba2c322a6d91e327ed94a301e91168bc7fe7b4270952a175cc3594b4eb287f0

93. Банк, организация в целях защиты информационной инфраструктуры используют методы или системы, позволяющие выявлять непредвиденную (аномальную) активность в информационной инфраструктуре банка, организации.

ru-KZ · official · sha256:f8e7cec4325416b119006a4a570064cfec0806e35eb9ef7ff363887717f68093

94. Банком, организацией используются организационные и (или) технические меры по созданию и применению групповых политик безопасности с использованием возможностей операционных систем, сетевой архитектуры или программного обеспечения, позволяющие устанавливать на конечных устройствах информационной инфраструктуры настройки безопасности. Исключение конечных устройств информационной инфраструктуры из групповых политик безопасности согласуется с подразделением по информационной безопасности.

ru-KZ · official · sha256:b455caaafdd8c7438a4f233ff66ffef280d619e2bd870d9864bb70ce77aedb45

95. При размещении на одном сервере или гипервизоре нескольких информационных активов банка, организации, обеспечивается защита на уровне, соответствующем максимально критичному информационному активу, размещенному на данном сервере или гипервизоре. Параграф 6. Требования к процессу обеспечения защиты информационных систем

ru-KZ · official · sha256:22361453bd816f0bbb0a17fd8dea63c6f9867b2baadcd1948837915d3b01dc2f

96. Разработка и доработка информационных систем не осуществляется в среде промышленной эксплуатации.

Ссылаются нормы: ZashchitaSistemNadlezhashchaya

ru-KZ · official · sha256:a06a7f6538797308d3c29dc09278e6475c59b177cae1f1e8fb6bc209d9979369

97. Среды разработки, тестирования и промышленной эксплуатации отделяются друг от друга таким образом, чтобы изменения, внесенные в любую из этих сред, не оказывали влияния на информационную систему, расположенную в другой среде.

ru-KZ · official · sha256:b939b915bd2dc8538749f55b6d0369cb1b9d1a101e80f93b6fa4b107cdd86ddf

98. В случае использования в среде разработки и тестирования защищаемой информации, предпринимаются соответствующие меры по их защите.

ru-KZ · official · sha256:478ed32d7d3d20ee5ea45bd108a168f16fe61f0c9cc8ca0233d58096ded515fb

99. Работники подразделения по информационным технологиям банка, организации и сторонних организаций, осуществляющие разработку, не имеют полномочий на перенос изменений информационной системы в промышленную среду, а также административный доступ к информационным системам в промышленной среде.

ru-KZ · official · sha256:0734481dc5a52860893282cd794c7fdb27001f7132db71ff9199ade2f685372a

1. Утвердить прилагаемые Требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций.

ru-KZ · official · sha256:3e650a654379301b55a57068f5f1f64713734c711a39b723abab99504c5e09c1

2. Признать утратившими силу постановление Правления Национального Банка Республики Казахстан и некоторые постановления Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка, а также отдельные структурные элементы постановления Правления Национального Банка Республики Казахстан и некоторых постановлений Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка по перечню согласно приложению к настоящему постановлению.

Ссылаются нормы: PozitsiyaPerechnyaUtratilaSilu

ru-KZ · official · sha256:9a31b3dac07ab2bbd0d83ecfd2d645f5db4745a705e5629c9b7c76362c9e5e21

3. Департаменту информационной и кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить: 1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан; 2) размещение настоящего постановления на официальном интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования; 3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

ru-KZ · official · sha256:f0c5a44caa3eff6eb74215cecdc8bdd8e8ddd328835d612285873c11db906cf2

4. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

ru-KZ · official · sha256:e4dd19be2a87ad2a81a3f554386a84e47cbdbeef5c4267d0fde83027adaa17c4

5. Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.