Зарегистрировано в Министерстве юстиции Кыргызской Республики
19 марта 2009 года. Регистрационный номер 32-09
Утверждено
постановлением Правления
Национального банка
Кыргызской Республики
от 11 февраля 2009 года N 7/4
В редакции с изменениями
(№ 2017-П-14\23-11-(ПС)
от 08.06.2017г.)
ПОЛОЖЕНИЕ
об узле коллективного пользования SWIFT
1. Общие положения
2. Основные принципы функционирования УКП SWIFT
3. Основные требования по обеспечению безопасности
и надежности функционирования УКП SWIFT
4. Основные требования по подключению участников к УКП SWIFT
5. Основные требования по предоставлению доступа
участников к интерфейсу/серверу SWIFT
Приложение 1. Функции координатора и персонала УКП SWIFT
1. Общие положения
1.1. (Утратил силу в соответствии с постановлением Правления Национального банка от 08 июня 2017 года № 2017-П-14\23-11-(ПС).
1.2. SWIFT (Society for Worldwide Interbank Financial Telecommunication) - сообщество всемирных межбанковских финансовых телекоммуникаций. Телекоммуникационная сеть SWIFT обеспечивает надежную и безопасную передачу данных и сообщений для проведения трансграничных и внутренних платежей между членами сообщества SWIFT.
1.3. Настоящее Положение определяет основные понятия и принципы функционирования Узла коллективного пользования SWIFT (далее УКП SWIFT), а также основные требования к подключению и доступу участников к интерфейсам/серверам SWIFT и предоставлению оператором УКП SWIFT услуг по поддержке УКП SWIFT.
1.4. УКП SWIFT представляет собой аппаратно-программный комплекс, обеспечивающий участникам доступ к телекоммуникационной сети SWIFT.
1.5. Оператором УКП SWIFT, осуществляющим поддержку и функционирование УКП SWIFT, является Национальный банк. Услуги оператора УКП SWIFT могут быть переданы другой организации при выполнении ею требований, установленных настоящим Положением, а также в соответствии с правилами и условиями SWIFT.
1.6. Участниками УКП SWIFT являются банки - члены сообщества SWIFT, использующие техническую инфраструктуру оператора УКП SWIFT.
1.7. Взаимоотношения участников в процессе функционирования и эксплуатации УКП SWIFT, распределение рисков, ответственность, права и обязанности устанавливаются в многостороннем соглашении и/или двухсторонних договорах, заключенных между участниками и оператором УКП SWIFT (далее договора).
2. Основные принципы функционирования УКП SWIFT
2.1. Поддержка и функционирование УКП SWIFT обеспечивается оператором УКП SWIFT совместно с провайдерами связи и передачи данных. При этом:
а) оператор УКП SWIFT обеспечивает поддержку и функционирование ПО, оборудования интерфейса/сервера SWIFT и сетевого оборудования в соответствии с договорами;
б) провайдеры связи и передачи данных обеспечивают поддержку и функционирование каналов связи УКП SWIFT в соответствии с условиями, установленными в договоре между оператором УКП SWIFT и провайдером связи.
2.2. Техническая инфраструктура УКП SWIFT включает в себя:
а) аппаратно-программный комплекс оператора УКП SWIFT (основной и резервный) с подключением шифровального оборудования;
б) телекоммуникационное оборудование и каналы связи (основной и резервный) от Участников до оператора УКП SWIFT и до точки доступа к сети SWIFT.
2.3. Обслуживание технической инфраструктуры УКП SWIFT осуществляется специалистами по сопровождению оператора УКП SWIFT (далее персонал УКП SWIFT).
2.4. Функционирование УКП SWIFT обеспечивается:
а) технической инфраструктурой УКП SWIFT;
б) персоналом УКП SWIFT;
в) правилами и рекомендациями, регулирующими работу с телекоммуникационной сетью SWIFT, разработанными сообществом SWIFT (далее документы SWIFT);
г) нормативными правовыми актами, регулирующими работу с УКП SWIFT, разработанными Национальным банком (далее - нормативные правовые акты Национального банка);
д) договорами.
2.5. Оператор УКП SWIFT предоставляет участникам услуги в пределах полученных лицензий на использование ПО интерфейса/сервера SWIFT.
2.5.1. Существует два способа подключения Участников к УКП SWIFT:
а) с использованием инфраструктуры УКП SWIFT для подготовки сообщений SWIFT (shared SAA&SAG);
б) с использованием собственных серверов для подготовки сообщений SWIFT (shared SAG).
2.6. В случае использования инфраструктуры УКП SWIFT для подготовки сообщений SWIFT доступ пользователей Участника к интерфейсу/серверам SWIFT осуществляется через рабочие станции SWIFT (далее терминалы SWIFT). Поддержка и функционирование соответствующего терминала SWIFT обеспечивается персоналом по сопровождению каждого участника самостоятельно.
2.6.1. В случае использования собственных серверов для подготовки сообщений SWIFT доступ пользователей участника к интерфейсу/серверам SWIFT осуществляется через терминалы SWIFT, подключенные к собственным серверам подготовки сообщений SWIFT. Поддержка и функционирование соответствующих серверов и терминалов SWIFT обеспечивается персоналом по сопровождению каждого участника самостоятельно.
2.7. Взаимодействие участников с персоналом УКП SWIFT по организационным вопросам осуществляется через координатора УКП SWIFT.
2.8. Координатор и персонал УКП SWIFT назначаются внутренними документами оператора УКП SWIFT и включают основной и дублирующий состав. В случае отсутствия какого-либо специалиста основного состава его функции должен выполнять специалист из дублирующего состава.
2.9. Персонал УКП SWIFT должен включать:
а) системного администратора;
б) администратора ПО интерфейса/сервера SWIFT;
в) сетевого администратора;
г) администратора безопасности УКП SWIFT.
Основные функции координатора и персонала УКП SWIFT приведены в Приложении 1 к настоящему Положению.
2.10. Координатор и персонал УКП SWIFT не имеют доступа к терминалам SWIFT/серверам SWIFT участника и не несут ответственности за формирование и отправку SWIFT сообщений участника.
2.11. Каждый участник должен иметь основной и дублирующий состав специалистов SWIFT, выполняющих функции по формированию и отправке сообщений по сети SWIFT согласно требованиям SWIFT. Состав специалистов SWIFT и распределение их функций (ролей) по отправке сообщений в SWIFT утверждается внутренними документами участника.
2.12. Участник несет ответственность за все риски, связанные с операционной деятельностью специалистов SWIFT при формировании и отправке SWIFT сообщений (ошибки специалистов, несанкционированный доступ, мошенничество и т.д.).
2.13. Регламент, порядок проведения работ и взаимодействия персонала УКП SWIFT и участников, условия подключения, расчет стоимости услуг и порядок оплаты, распределение ответственности сторон устанавливаются в договорах между оператором УКП SWIFT и участниками с учетом настоящего Положения.
2.14. Деятельность УКП SWIFT подлежит обязательной сертификации на соответствие требованиям SWIFT, для организаций, предоставляющих услуги подключения других участников SWIFT через общую инфраструктуру.
3. Основные требования по обеспечению безопасности и надежности функционированияУКП SWIFT
3.1. Безопасность и надежность функционирования УКП SWIFT должны обеспечиваться в соответствии со следующими принципами:
а) защита от операционных рисков и рисков среды функционирования;
б) конфиденциальность и целостность данных участников;
в) непрерывность доступа участников к интерфейсу/серверу SWIFT;
г) ежегодный аудит на соответствие требованиям SWIFT.
3.2. Защита от операционных рисков и рисков среды функционирования должны обеспечиваться наличием:
а) основного и дублирующего персонала с достаточной квалификацией для обеспечения поддержки и функционирования УКП SWIFT;
б) отдельного сегмента локальной сети для терминалов/серверов SWIFT участников;
в) резервного аппаратного и ПО интерфейса/сервера SWIFT;
г) резервного канала связи;
д) оборудования по обеспечению бесперебойного электрического питания;
е) средств по защите от несанкционированного доступа участников и персонала УКП SWIFT к интерфейсу/серверу SWIFT;
ж) специального помещения с ограниченным доступом и оборудованным охранно-пожарной сигнализацией.
3.3. Конфиденциальность и целостность данных участников (информация входящих/исходящих сообщений, шифровальных и идентификационных ключей и т.п.) должны обеспечиваться наличием:
а) разграничения доступа каждого специалиста SWIFT участника к интерфейсу/серверу SWIFT строго в соответствии с документами SWIFT;
б) строгого распределения ответственности персонала УКП SWIFT по обеспечению конфиденциальности и целостности данных участников в соответствии с внутренними документами оператора УКП SWIFT;
в) проведения ежедневного контроля со стороны оператора УКП SWIFT за технологическим процессом эксплуатации УКП SWIFT (контроль за соблюдением процедур формирования и отправки сообщений, конфиденциальности, хранения данных, несанкционированного доступа к ним) и оперативное реагирование по выявленным нарушениям.
3.4. Оператор УКП SWIFT предоставляет участникам одинаковый уровень защиты конфиденциальности, целостности данных и доступности к интерфейсу/серверу SWIFT.
3.5. Непрерывность доступа участников к интерфейсу/серверу SWIFT должна обеспечиваться круглосуточным функционированием УКП SWIFT за исключением времени выполнения регламентных работ и периода времени восстановления в случаях возникновения нештатной ситуации в функционировании комплекса УКП SWIFT согласно условиям договоров.
3.6. При возникновении нештатной ситуации в функционировании комплекса УКП SWIFT оператор УКП SWIFT уведомляет об этом участников в соответствии со сроками и условиями договоров.
3.7. При необходимости приема/передачи срочных платежей, до устранения причины возникновения нештатной ситуации участники должны использовать альтернативные каналы передачи данных в соответствии с условиями договоров.
4. Основные требования по подключению участников к УКП SWIFT
4.1. Подключение участников к УКП SWIFT осуществляет оператор УКП SWIFT.
4.2. Основными требованиями для подключения участника к УКП SWIFT являются:
1) вступление в члены сообщества SWIFT (осуществляется банком самостоятельно в соответствии с процедурами, предусмотренными сообществом SWIFT);
2) заключение с оператором УКП SWIFT договора на подключение к УКП SWIFT и его эксплуатации;
3) установка и подключение терминала SWIFT/сервера SWIFT, включающее проведение следующих мероприятий:
а) закупка и установка оборудования терминала SWIFT/сервера SWIFT с программным обеспечением SWIFT, в соответствии с документами SWIFT и условиями договора на подключение к УКП SWIFT и его эксплуатации;
б) организация для работы терминала SWIFT/сервера SWIFT с интерфейсом/сервером SWIFT отдельной сети, независимой от общей локальной сети банка;
в) обеспечение безопасной среды функционирования терминала SWIFT/сервера SWIFT (специальное помещение с ограниченным доступом и оборудованным охранно-пожарной сигнализацией и др.);
г) организация альтернативного средства передачи данных в качестве резервного для обеспечения отправки/получения сообщений при возникновении нештатных ситуаций в работе УКП SWIFT, либо обязательная установка такого средства в случае его отсутствия;
д) установка основного и резервного каналов связи от терминала SWIFT/сервера SWIFT к УКП SWIFT с использованием VPN канала, обеспечивающей передачу данных в соответствии с условиями договора на подключение к УКП SWIFT и его эксплуатации;
е) обучение персонала работе с интерфейсом/сервером SWIFT;
ж) проведение тест-тренингового режима работы терминала SWIFT/сервера SWIFT;
з) ввод в промышленную эксплуатацию терминала SWIFT/сервера SWIFT.
4.3. В случае не соблюдения участником основных требований для подключения к УКП SWIFT оператор УКП SWIFT, предварительно уведомив участника, может приостановить действия по подключению к УКП SWIFT и не несет ответственности за возможные последствия.
5. Основные требования по предоставлению доступа участников к интерфейсу/серверу SWIFT
5.1. Для получения доступа к интерфейсу/серверу SWIFT участник должен соблюдать следующие требования:
1) назначить состав специалистов SWIFT, которые непосредственно должны принимать участие в эксплуатации УКП SWIFT;
2) распределить права доступа к интерфейсу/серверу SWIFT и ответственность каждого специалиста строго в соответствии с документами SWIFT;
3) обеспечивать соответствующий уровень защиты информации терминала SWIFT/сервера SWIFT от несанкционированного доступа;
4) обеспечивать поддержку и функционирование терминала SWIFT/сервера SWIFT и нести ответственность за все риски, связанные со сбоями оборудования, ПО, каналов связи терминала SWIFT/сервера SWIFT, операционной деятельностью персонала (ошибки операторов, несанкционированный доступ, мошенничество);
5) разработать и утвердить внутренние процедуры формирования и отправки сообщений, соблюдения конфиденциальности, хранения данных и предотвращения несанкционированного доступа к ним в соответствии с нормативными документами SWIFT, нормативными правовыми актами Национального банкаи договорами, а также порядок работы персонала при возникновении нештатных ситуаций в процессе эксплуатации терминала SWIFT/сервера SWIFT;
6) поддерживать в рабочем состоянии резервное средство передачи данных для обеспечения отправки/получения сообщений при возникновении нештатных ситуаций в работе УКП SWIFT;
7) предоставлять условия и необходимую информацию оператору УКП SWIFT для проведения технической экспертизы терминала SWIFT/сервера SWIFT и каналов связи на соответствие настоящим требованиям.
5.2. Для обеспечения соответствующего уровня защиты информации необходимо, чтобы:
1. распределение обязанностей персонала, имеющих доступ к терминалу SWIFT/серверу SWIFT, осуществлялось в соответствии с документами SWIFT;
2. осуществлялся систематический контроль со стороны оператора УКП SWIFT и участника за выполнением требований предоставления доступа персонала к терминалу SWIFT/серверу SWIFT в соответствии с установленными внутренними процедурами участника;
3. было предусмотрено для участников шифрование трафика от терминала SWIFT/сервера SWIFT до УКП SWIFT.
5.3. В случае нарушения данных требований оператор УКП SWIFT, предварительно уведомив участник, может приостановить доступ участника к интерфейсу/серверу SWIFT и не несет ответственности за возможные последствия.
Приложение 1
к Положению "Об узле коллективного
пользования SWIFT", утвержденного
постановлением Правления
Национального банка
Кыргызской Республики
от 11 февраля 2009 года N 7/4
ФУНКЦИИ координатора и персонала УКП SWIFT
1. Координатор УКП SWIFT не имеет доступа к интерфейсу/серверу SWIFT, выполняет функции мониторинга работы УКП SWIFT и координирует взаимодействие участников и персонала УКП SWIFT. Данные функции включают:
а) координацию процесса заключения договоров с поставщиками услуг УКП SWIFT, контроль за исполнением договоров по организационным моментам;
б) координацию работ по разработке и совершенствованию нормативной базы, регулирующей порядок работы УКП SWIFT;
в) анализ рисков в УКП SWIFT;
г) организацию встреч персонала, обслуживающего УКП SWIFT и участников для совместного решения возникших проблем при работе, по мере необходимости;
д) сверку текущих расходов по оплате за SWIFT, в соответствии с договорами и тарифами на услуги, подготовку распоряжений на оплату, подготовку предложений по расходам УКП SWIFT;
е) предоставление интересующим сторонам информации о работе УКП SWIFT, по мере необходимости;
ж) сбор и анализ информации по вопросу подключения коммерческих банков к УКП SWIFT и по мере необходимости, разработку мероприятий по их подключению;
з) разработку предложений по развитию УКП SWIFT.
2. Системный администратор не имеет доступа к интерфейсу/серверу SWIFT, осуществляет администрирование операционной системы серверного оборудования. Администрирование операционной системы серверного оборудования включает в себя выполнение следующих функциональных обязанностей:
а) проведение инсталляций операционной системы серверов SWIFT, пакетов обновления (Patches) системы и сопутствующего ПО, необходимого для работы серверного оборудования SWIFT;
б) контроль за состоянием и функционированием операционной системы и аппаратной части серверного оборудования SWIFT;
в) восстановление работоспособности серверного оборудования SWIFT и операционной системы в случае возникновения нештатной ситуации в соответствии с внутренними процедурами восстановления;
г) (Утратил силу в соответствии с постановлением Правления Национального банка от 08 июня 2017 года № 2017-П-14\23-11-(ПС);
д) контроль за сохранностью информации на серверах и дисковом массиве SWIFT;
е) периодическое выполнение резервного копирования информации и операционной системы в соответствии с процедурами резервного копирования, установленными оператором УКП SWIFT и должностной инструкцией системного администратора;
ж) настройка параметров безопасности в соответствии с требованиями, утвержденными SWIFT и Администраторами ИБ;
з) планирование развития аппаратных и системных программных средств;
и) ведение документации, описывающей состояние серверов применительно к системному администрированию, сбор статистики по использованию серверных ресурсов;
к) оптимизация производительности серверов;
л) соблюдение требований информационной безопасности, утвержденных SWIFT и Администраторами ИБ при работе с административными паролями.
3. Администратор ПО интерфейса/сервера SWIFT имеет доступ к интерфейсу/серверу SWIFT, осуществляет инсталляцию и сопровождение аппаратно-программного комплекса (АПК) SWIFT и выполняет следующие функции:
а) инсталляция и администрирование системного и прикладного ПО клиентской части ПО SWIFT;
б) контроль за состоянием и функционированием ПО SWIFT;
в) восстановление работоспособности ПО SWIFT, в случае возникновения нештатных ситуаций, в соответствии с внутренней процедурой восстановления совместно с системным администратором;
г) периодическое выполнение архивирования ПО, базы данных приложения, журнала событий, базы данных сообщений SWIFT в соответствии с процедурами создания архивов, установленными оператором УКП SWIFT и должностной инструкцией администратора ПО интерфейса/сервера SWIFT;
д) формирование различных отчетов о функционировании интерфейса/сервера SWIFT, каналов связи УКП SWIFT и т.д.;
е) контроль журнала событий интерфейса/сервера SWIFT.
4. Сетевой администратор не имеет доступа к интерфейсу/серверу SWIFT, осуществляет администрирование сетевого и коммуникационного оборудования УКП SWIFT и выполняет следующие функции:
а) установка и настройка сетевого оборудования локальной сети УКП SWIFT;
б) установка и настройка коммуникационного оборудования УКП SWIFT;
в) контроль за состоянием сетевого и коммуникационного оборудования и восстановление работоспособности в случаях возникновения нештатной ситуации;
г) (Утратил силу в соответствии с постановлением Правления Национального банка от 08 июня 2017 года № 2017-П-14\23-11-(ПС);
д) (Утратил силу в соответствии с постановлением Правления Национального банка от 08 июня 2017 года № 2017-П-14\23-11-(ПС).
5. Администратор безопасности УКП SWIFT имеет доступ к интерфейсу/серверу SWIFT, осуществляет обеспечение конфиденциальности и безопасности доступа участников к интерфейсу/серверу SWIFT и выполняет следующие функции:
а) Офицера безопасности АПК УКП SWIFT при инсталляции и/или изменении конфигурации АПК УКП SWIFT, а также при работе с криптографическим оборудованием SWIFT и обслуживанием необходимых сертификатов УКП SWIFT;
б) осуществляет регистрацию новых участников в АПК УКП SWIFT и новых ролей в соответствии с требованиями, установленными в нормативных документах SWIFT относительно соблюдения режима информационной безопасности при формировании и отправке сообщений через SWIFT;
в) осуществляет разграничение полномочий и обеспечение конфиденциальности данных участников и администраторов УКП SWIFT в соответствии с их ролями и функциями, выполняемыми в SWIFT;
г) осуществляет контроль обеспечения информационной безопасности и защиты от несанкционированного доступа в АПК УКП SWIFT;
д) проводит ежедневный мониторинг системных журналов и контроль за работой участников (включая контроль за соблюдением процедур формирования и отправки сообщений, конфиденциальности, хранения данных, несанкционированного доступа к ним) и администраторов УКП SWIFT согласно установленным процедурам по соблюдению информационной безопасности при работе с интерфейсом/сервером SWIFT;
е) по обнаруженным фактам нарушений проводит работу по установлению их причины;
ж) оперативно предоставляет участникам информацию по выявленным нарушениям в процессе работы с интерфейсом/сервером SWIFT;
з) разрабатывает нормативные акты, инструкции, требования по соблюдению информационной безопасности при работе с интерфейсом/сервером SWIFT;
и) разрабатывает требования к каналам связи и коммуникациям, обеспечивающим безопасность работы участников с интерфейсом/сервером SWIFT.
6. Координатор и персонал УКП SWIFT в своей деятельности руководствуются документами SWIFT, нормативными правовыми актами Национального банка, внутренними процедурами оператора УКП SWIFT и договорами.
