О внесении изменений и дополнения в некоторые нормативные правовые акты Республики Казахстан по вопросам сокращения разрешительных документов и упрощения разрешительных процедур Постановление Правления Национального Банка Республики Казахстан от 30 мая 2016 года № 146. Зарегистрировано в Министерстве юстиции Республики Казахстан 6 сентября 2016 года № 14208

В соответствии с законами Республики Казахстан от 2 июля 2003 года "О рынке ценных бумаг" и от 6 июля 2004 года "О кредитных бюро и формировании кредитных историй в Республике Казахстан" Правление Национального Банка Республики Казахстан ПОСТАНОВЛЯЕТ:

1. Внести в постановление Правления Национального Банка Республики Казахстан от 24 февраля 2012 года № 58 "Об утверждении Правил осуществления клиринговой деятельности по сделкам с финансовыми инструментами" (зарегистрированное в Реестре государственной регистрации нормативных правовых актов под № 7555, опубликованное 23 июня 2012 года в газете "Казахстанская правда" № 199-200 (27018-27019)) следующее дополнение:

в Правилах осуществления клиринговой деятельности по сделкам с финансовыми инструментами, утвержденных указанным постановлением:

дополнить пунктом 24-1 следующего содержания:

"24-1. Клиринговая организация в течение 10 (десяти) рабочих дней со дня утверждения правил клиринговой организации либо внесения в них изменений и (или) дополнений уведомляет об этом уполномоченный орган с приложением подтверждающих документов.".

2. Внести в постановление Правления Национального Банка Республики Казахстан от 27 мая 2015 года № 91 "Об утверждении Требований к использованию информационно-коммуникационных технологий и обеспечению информационной безопасности при организации деятельности кредитных бюро, поставщиков информации и получателей кредитных отчетов" (зарегистрированное в Реестре государственной регистрации нормативных правовых актов под № 11669, опубликованное 30 июля 2015 года в информационно-правовой системе "Әділет" республиканского государственного предприятия на праве хозяйственного ведения "Республиканский центр правовой информации Министерства юстиции Республики Казахстан") следующие изменения:

в Требованиях к использованию информационно-коммуникационных технологий и обеспечению информационной безопасности при организации деятельности кредитных бюро, поставщиков информации и получателей кредитных отчетов, утвержденных указанным постановлением:

подпункт 11) пункта 2 изложить в следующей редакции:

"11) ввод в промышленную эксплуатацию - процесс выполнения организационно-технических мероприятий по подготовке информационной системы и начало функционирования данной системы в промышленных условиях;";

пункт 8 изложить в следующей редакции:

"8. Процесс разработки, внедрения и сопровождения информационных систем включает в себя определение этапов разработки, порядка внесения изменений, приема, тестирования и ввода в промышленную эксплуатацию, требования к документированию всех этапов.";

пункты 14, 15 и 16 изложить в следующей редакции:

"14. Для подтверждения соответствия требованиям, предъявляемым к участникам системы формирования кредитных историй и их использования (за исключением кредитного бюро, субъекта кредитной истории), поставщик информации или получатель кредитных отчетов направляет в уполномоченный орган заявление на бумажном носителе, заполненное в произвольной форме.

Соблюдение организацией организационно-технических, технологических требований по защите программного обеспечения, соответствие используемых информационных систем установленными Требованиями и законодательством Республики Казахстан условиям и требованиям подтверждаются комиссией уполномоченного органа путем составления акта о соответствии требованиям, предъявляемым к участникам системы формирования кредитных историй и их использования (за исключением субъекта кредитной истории) по форме согласно приложению 1 к Требованиям (далее - акт о соответствии).

Акт о соответствии согласовывается всеми членами комиссии, после чего направляется на подписание представителю проверяемой организации. Если один из членов комиссии не согласен с принятым решением и не подписывает акт о соответствии, он представляет в письменной форме информацию о причинах своего отказа комиссии и прилагает их к акту о соответствии.

Акт о соответствии считается составленным при наличии двух третей подписей о согласовании членов комиссии уполномоченного органа.

Соблюдение микрофинансовой организацией, субъектом естественной монополии организационно-технических, технологических требований по защите программного обеспечения, соответствие используемых информационных систем установленными Требованиями и законодательством Республики Казахстан условиям и требованиям подтверждаются уполномоченным органом путем представления заключения о соответствии требованиям, предъявляемым к микрофинансовым организациям или субъектам естественной монополии, по форме согласно приложению 2 к Требованиям (далее - заключение уполномоченного органа).

15. Обмен информацией между поставщиками информации (за исключением микрофинансовых организаций, субъектов естественных монополий), получателями кредитных отчетов и кредитными бюро осуществляется при наличии акта о соответствии с положительным заключением.

Обмен информацией между поставщиками информации, являющимися микрофинансовыми организациями, субъектами естественных монополий, получателями кредитных отчетов и кредитными бюро осуществляется при наличии положительного заключения уполномоченного органа.

16. Входящий и исходящий трафики обеспечиваются криптографической защитой (за исключением исходящего трафика субъектов естественной монополии).";

пункты 29, 30 и 31 изложить в следующей редакции:

"29. К помещению ограниченного доступа поставщиков информации (за исключением микрофинансовой организации, субъекта естественной монополии) и получателей кредитных отчетов предъявляются требования, установленные подпунктами 1), 3), 4), 5) и 6) пункта 28 Требований, доступ в помещение ограничивается списком ответственных лиц, и все их посещения регистрируются в журнале посещений с указанием фамилии, имени, отчества (при его наличии), должности, даты, времени и цели посещения.

К помещению ограниченного доступа микрофинансовой организации предъявляются требования, установленные в подпунктах 1), 3), 4) и 5) пункта 28 Требований, доступ в помещение ограничивается списком ответственных лиц, и все их посещения регистрируются в журнале посещений с указанием фамилии, имени, отчества (при его наличии), должности, даты, времени и цели посещения.

При наличии общей системы охранной сигнализации в здании, в котором расположена микрофинансовая организация, отдельная охранная сигнализация на помещение ограниченного доступа микрофинансовой организации не требуется.

Для субъектов естественной монополии, не требуется организация помещения ограниченного доступа. При этом к помещению, где размещено рабочее место ответственного лица субъекта естественных монополий, предъявляются требования, установленные подпунктом 3) пункта 28 Требований.

30. К рабочему месту ответственного лица предъявляются следующие требования:

1) программное обеспечение устанавливается на специально выделенном персональном компьютере, имеющем паспорт, в котором указано его месторасположение, конфигурация, а также аппаратные и программные средства, установленные на нем. Паспорт оформляется за подписью руководителя организации и хранится у ответственного лица;

2) не допускаются эксплуатация персонального компьютера ответственного лица и установка на нем программных средств, не связанных с целями подготовки, обработки, передачи или ведения электронных документов в рамках участия в информационной системе;

3) персональный компьютер ответственного лица имеет комплекс защиты, включающий в себя:

средства идентификации и аутентификации пользователей;

возможность ведения системных журналов в течение срока хранения электронных документов с целью контроля деятельности, связанной с доступом к компьютеру и действиями пользователей;

4) наличие одного системного имени пользователя (ответственного лица), по которому идентифицируется пользователь, которое при входе в информационную систему должно соответствовать одному физическому лицу;

5) программное обеспечение, установленное на персональном компьютере, является лицензионным;

6) доступ к сетевым ресурсам и внешним носителям, а также к портам ввода-вывода информации с персонального компьютера оператора отключен, в том числе и в настройках базовой системы ввода-вывода;

7) системный блок, порты ввода-вывода информации персонального компьютера опечатываются либо пломбируются администратором. Процесс опечатывания (пломбирования) фиксируется в специальном журнале с указанием фамилии, имени, отчества (при его наличии), должности, даты, времени и цели нанесения пломбы (печати). Для ноутбуков разрешается использовать только отключение устройств в базовой системе ввода-вывода без опечатывания портов. Вынос из здания компьютеров и ноутбуков разрешается в случае проведения профилактических и ремонтных работ, которые проводятся на основании заявки ответственного лица руководителю службы информационной безопасности;

8) порядок доступа к иным ресурсам (дисковое пространство, директории базы данных и резервные копии базы данных), выделенным для накопления в них информации в целях передачи в информационную среду с использованием системы защиты, получения информации из информационной среды, хранения, архивирования либо другой обработки информации, исключает возможность несанкционированного доступа к этим ресурсам;

9) доступ к рабочему месту ответственного лица и в помещение ограниченного доступа осуществляется в соответствии с его должностными обязанностями.

31. Рабочее место оператора поставщиков информации (за исключением субъектов естественной монополии) и получателей кредитных отчетов размещается в помещении ограниченного доступа и отвечает требованиям, установленным пунктом 28 Требований.

Рабочее место ответственного лица субъектов естественной монополии, соответствует требованиям, предусмотренным подпунктами 1) и 5) пункта 30 Требований.";

пункт 34 изложить в следующей редакции:

"34. Внедрение и ввод в промышленную эксплуатацию (разработка или адаптация готового продукта) программного обеспечения кредитным бюро выполняется на основании технического задания, утвержденного его первым руководителем, при этом необходимо наличие соответствующих сертификатов на механизмы безопасности. Разработчики информационной системы кредитного бюро имеют опыт разработки аналогичных систем не менее 2 (двух) лет.";

пункты 40, 41, 42 и 43 изложить в следующей редакции:

"40. Организация (за исключением микрофинансовой организации, субъекта естественной монополии) соблюдают следующие требования обеспечения безопасности информации:

1) наличие защищенного канала передачи данных с шифрованием трафика с помощью аппаратных граничных маршрутизаторов;

2) наличие системы обнаружения (предотвращения) атак из сети интернет в компьютерную сеть организации с помощью межсетевого экрана;

3) наличие системы криптографической защиты компьютеров с помощью криптоключей и систем идентификации пользователя;

4) наличие аппаратного сетевого анализатора трафика по идентификатору управления доступом к носителю сетевых карт пользователей;

5) наличие системы резервного копирования на внешние и (или) съемные носители информации.