Глава 2. Требования к защите информации и операционной надежности, которым должно соответствовать юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария

2.1. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано осуществлять защиту информации в отношении эксплуатируемых им автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования (далее при совместном упоминании - объекты информационной инфраструктуры) в соответствии с требованиями разделов 1 - 9 национального стандарта Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер" <1> (далее - ГОСТ Р 57580.1-2017).

--------------------------------

<1> Утвержден и введен в действие 1 января 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст (М., ФГУП "Стандартинформ", 2017).

Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано обеспечивать уровень защиты информации не ниже стандартного согласно пункту 6.7 раздела 6 ГОСТ Р 57580.1-2017, а также уровень соответствия не ниже четвертого согласно подпункту "д" пункта 6.9 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия" <2> (далее - ГОСТ Р 57580.2-2018).

--------------------------------

<2> Утвержден и введен в действие 1 сентября 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года N 156-ст (М., ФГУП "Стандартинформ", 2018).

Оценка соответствия уровня защиты информации должна осуществляться с привлечением организаций, имеющих лицензию на проведение работ и услуг, предусмотренных подпунктами "б", "д" или "е" пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации <3>, в соответствии с требованиями разделов 1 - 9 ГОСТ Р 57580.2-2018.

--------------------------------

<3> Утверждено постановлением Правительства Российской Федерации от 3 февраля 2012 года N 79 "О лицензировании деятельности по технической защите конфиденциальной информации".

2.2. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария и планирующее учитывать цифровые валюты и (или) цифровые права на адресах-идентификаторах, администрируемых этим юридическим лицом, обязано обеспечивать использование аппаратных модулей безопасности, прошедших процедуру оценки соответствия требованиям, установленным федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при осуществлении регулирования в соответствии с пунктом "ш" части первой статьи 13 Федерального закона от 3 апреля 1995 года N 40-ФЗ "О федеральной службе безопасности", для осуществления процесса формирования и эксплуатации ключей доступа к адресам-идентификаторам (частей ключа доступа к адресам-идентификаторам), и иной ключевой информации указанных аппаратных модулей безопасности.

2.3. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано обеспечивать регистрацию технологических участков, являющихся результатами выполнения действий, связанных с осуществлением доступа к защищаемой информации, при идентификации, аутентификации и авторизации своих клиентов в целях осуществления ими сделок и операций с цифровыми валютами и (или) цифровыми правами, при формировании (подготовке), передаче и приеме электронных сообщений, при оказании услуг по учету цифровых валют и (или) цифровых прав в пользу своих депонентов, при осуществлении клиентами сделок и операций с цифровыми валютами и (или) цифровыми правами, учете результатов их осуществления (при наличии учета), при хранении электронных сообщений и информации об осуществленных сделках и операциях с цифровыми валютами, цифровыми правами (далее при совместном упоминании - технологические участки), включая регистрацию действий своих работников и клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения, а именно:

в отношении работника - даты (день, месяц, год) и времени (часы, минуты, секунды) осуществления сделок и операций с цифровыми валютами, цифровыми правами, в отношении клиента - факта совершения действий в целях осуществления сделок и операций с цифровыми валютами, цифровыми правами;

присвоенного работнику (клиенту) идентификатора, позволяющего идентифицировать работника (клиента) в автоматизированной системе, программном обеспечении;

сведений, идентифицирующих технологический участок;

в отношении работника - результата осуществления сделок и операций с цифровыми валютами, цифровыми правами, в отношении клиента - факта совершения действий в целях осуществления сделок и операций с цифровыми валютами, цифровыми правами;

информации, используемой для идентификации устройства, с применением которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления сделок и операций с цифровыми валютами и (или) цифровыми правами: сетевого адреса компьютера и (или) коммуникационного устройства (маршрутизатора) работника (клиента), международного идентификатора абонента-клиента (индивидуальный номер абонента-клиента - физического лица), международного идентификатора пользовательского оборудования (оконечного оборудования) клиента - физического лица, номера телефона и (или) иного идентификатора устройства клиента.

2.4. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано обеспечивать тестирование объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры, а также устранение выявленных уязвимостей в порядке и сроки, установленные в разрабатываемых этим юридическим лицом документах, регламентирующих процедуры нейтрализации угроз безопасности информации.

2.5. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано обеспечивать использование для осуществления сделок и операций с цифровыми валютами и (или) цифровыми правами прикладного программного обеспечения автоматизированных систем и приложений, распространяемых этим юридическим лицом своим клиентам для совершения действий в целях осуществления сделок и операций с цифровыми валютами и (или) цифровыми правами (далее - прикладное программное обеспечение автоматизированных систем и приложений), а также программного обеспечения, обрабатывающего защищаемую информацию при приеме электронных сообщений к исполнению в автоматизированных системах и приложениях с использованием информационно-телекоммуникационной сети "Интернет" (далее соответственно - сеть "Интернет", отдельное программное обеспечение), прошедших сертификацию в системе сертификации Федеральной службы по техническому и экспортному контролю в соответствии с Положением о сертификации средств защиты информации <4> (далее - сертификация), или получивших оценку соответствия по требованиям к оценочному уровню доверия (далее - ОУД) не ниже, чем ОУД 4, предусмотренный пунктом 7.6 раздела 7 национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности" <5>.

--------------------------------

<4> Утверждено постановлением Правительства Российской Федерации от 26 июня 1995 года N 608 "О сертификации средств защиты информации".

<5> Утвержден и введен в действие 1 сентября 2014 года приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 года N 1340-ст (М.: ФГУП "Стандартинформ", 2014).

Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, вправе не проводить сертификацию или оценку соответствия разработанных им прикладного программного обеспечения автоматизированных систем и приложений и отдельного программного обеспечения (за исключением прикладного программного обеспечения, взаимодействующего с СКЗИ), если оно обеспечило сертификацию процессов безопасной разработки прикладного программного обеспечения автоматизированных систем и приложений и отдельного программного обеспечения (за исключением прикладного программного обеспечения, взаимодействующего с СКЗИ) в системе сертификации Федеральной службы по техническому и экспортному контролю на соответствие требованиям в части реализации безопасного жизненного цикла разработки программного обеспечения и приложений, указанным в разделах 4 и 5 национального стандарта Российской Федерации ГОСТ Р 56939-2024 "Защита информации. Разработка безопасного программного обеспечения. Общие требования" <6>, при осуществлении полномочий в соответствии с подпунктами 13, 13(2) пункта 8, подпунктом 9 пункта 9 Положения о Федеральной службе по техническому и экспортному контролю <7>.

--------------------------------

<6> Утвержден и введен в действие 20 декабря 2024 года приказом Федерального агентства по техническому регулированию и метрологии от 24 октября 2024 года N 1504-ст (М.: ФГБУ "Институт стандартизации", 2024).

<7> Утверждено Указом Президента Российской Федерации от 16 августа 2004 года N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю".

2.6. Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано обеспечивать применение механизмов, реализующих систему защиты от информационных угроз, направленных на отказ в обслуживании на уровне вычислительной сети, в том числе механизмов, обеспечивающих непрерывную работу объектов информационной инфраструктуры.

Юридическое лицо, намеревающееся получить право на осуществление деятельности цифрового депозитария, обязано определить организационную структуру этого юридического лица, задействованную в обеспечении выполнения указанных в абзаце первом настоящего пункта требований к операционной надежности, функций подразделений, обеспечивающих выполнение требований к операционной надежности, этого юридического лица (в том числе в части принятия решений, касающихся выполнения требований к операционной надежности, с обеспечением исключения конфликта интересов) и обеспечивающую контроль за выполнением требований к операционной надежности в рамках порядка организации и осуществления этим юридическим лицом внутреннего контроля.