ПОЛОЖЕНИЕ ЦЕНТРАЛЬНОГО БАНКА РОССИЙСКОЙ ФЕДЕРАЦИИ

от 20 апреля 2021 года №757-П

Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций

Настоящее Положение на основании статьи 76.4-1 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (Собрание законодательства Российской Федерации, 2002, №28, ст. 2790; 2018, №27, ст. 3950) устанавливает обязательные для некредитных финансовых организаций требования к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков, предусмотренной частью первой статьи 76.1 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (Собрание законодательства Российской Федерации, 2002, №28, ст. 2790; 2020, №31, ст. 5018), в целях противодействия осуществлению незаконных финансовых операций.

Глава 1. Общие требования к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций

1.1. Некредитные финансовые организации в целях противодействия осуществлению незаконных финансовых операций при осуществлении деятельности в сфере финансовых рынков, предусмотренной частью первой статьи 76.1 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", должны осуществлять защиту следующей информации, получаемой, подготавливаемой, обрабатываемой, передаваемой и хранимой в автоматизированных системах, используемых некредитными финансовыми организациями (далее соответственно - автоматизированные системы, защищаемая информация, защита информации):

информации, содержащейся в документах, составляемых при осуществлении финансовых операций в электронном виде работниками некредитных финансовых организаций и (или) клиентами некредитных финансовых организаций (далее - электронные сообщения);

информации, необходимой некредитным финансовым организациям для авторизации своих клиентов в целях осуществления финансовых операций и удостоверения права клиентов распоряжаться денежными средствами, ценными бумагами или иным имуществом;

информации об осуществленных некредитными финансовыми организациями и их клиентами финансовых операциях;

ключевой информации средств криптографической защиты информации, используемой некредитными финансовыми организациями и их клиентами при осуществлении финансовых операций (далее - криптографические ключи).

В случае если защищаемая информация содержит персональные данные, некредитные финансовые организации должны применять меры по обеспечению безопасности персональных данных при их обработке в соответствии со статьей 19 Федерального закона от 27 июля 2006 года №152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, №31, ст. 3451; 2021, №1, ст. 54) (далее - Федеральный закон "О персональных данных").

1.2. Обеспечение защиты информации с помощью средств криптографической защиты информации (далее - СКЗИ) некредитные финансовые организации должны осуществлять в соответствии с технической документацией на СКЗИ, а также следующими федеральными законами и нормативными правовыми актами Российской Федерации:

Федеральным законом от 6 апреля 2011 года №63-ФЗ "Об электронной подписи" (Собрание законодательства Российской Федерации, 2011, №15, ст. 2036; 2021, №9, ст. 1467) (далее - Федеральный закон "Об электронной подписи");

Федеральным законом "О персональных данных";

постановлением Правительства Российской Федерации от 1 ноября 2012 года №1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" (Собрание законодательства Российской Федерации, 2012, №45, ст. 6257);

приказом Федеральной службы безопасности Российской Федерации от 9 февраля 2005 года №66 "Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)", зарегистрированным Министерством юстиции Российской Федерации 3 марта 2005 года №6382, 25 мая 2010 года №17350 (далее - Положение ПКЗ-2005);