Стоковые изображения от Depositphotos
Постановлением Агентства по регулированию и развитию финансового рынка от 17 октября 2023 года изменены Требования к обеспечению информационной безопасности банков, филиалов банков-нерезидентов РК и организаций, осуществляющих отдельные виды банковских операций, передает Arnapress.kz со ссылкой на Zakon.kz.
Требования дополнены новой главой по обеспечению безопасности программного обеспечения дистанционного оказания услуг банка, организации.
Программное обеспечение дистанционного оказания услуг банка, организации включает:
Разработка и доработка программного обеспечения дистанционного оказания услуг осуществляется банком, организацией в соответствии с внутренними документами, регламентирующими порядок разработки, этапы разработки и их участников.
Хранение исходных кодов программного обеспечения дистанционного оказания услуг, разрабатываемых в банке, осуществляется в специализированных системах управления репозиториями кода, размещаемых в периметре защиты банка, организации, с обеспечением резервного копирования.
Независимо от принятого в банке или организации подхода к разработке или доработке программного обеспечения дистанционного оказания услуг, обязательным этапом является тестирование безопасности, в ходе которого осуществляются, как минимум, следующие мероприятия:
Статический анализ исходного кода программного обеспечения дистанционного оказания услуг банка, организации проводится с использованием сканера статического анализа исходных кодов, поддерживающего анализ всех используемых языков программирования в проверяемом программном обеспечении, в функции которого входит выявление следующих уязвимостей, но не ограничиваясь:
Анализ компонентов или сторонних библиотек программного обеспечения дистанционного оказания услуг банка, организации проводится с целью выявления известных уязвимостей, присущих используемой версии компонента или сторонней библиотеки, а также отслеживания зависимостей между компонентами и сторонними библиотеками и их версиями.
Предусматривается, что банк (организация) обеспечивают реализацию корректирующих мер по устранению выявленных уязвимостей. При этом критичные уязвимости устраняются до ввода в эксплуатацию программного обеспечения дистанционного оказания услуг или его новых версий.
Ввод в эксплуатацию программного обеспечения дистанционного оказания услуг и его новых версий осуществляется после согласования с подразделением по информационной безопасности.
Хранение и доступ в оперативном режиме ко всем версиям исходных кодов программного обеспечения дистанционного оказания услуг и результатов тестирования безопасности, которые были введены в эксплуатацию хранятся в течение последних трех лет.
Обмен данными между клиентской и серверной сторонами программного обеспечения дистанционного оказания услуг шифруется с использованием версии протокола шифрования Transport Layer Security (Транспорт Лэйер Секьюрити) не ниже 1.2.
При первичной регистрации клиента в мобильном приложении банк, организация осуществляют биометрическую идентификацию клиента посредством Центра обмена идентификационными данными (ЦОИД) или с использованием биометрических данных.
Изменение кода доступа (пароля) к мобильному приложению также осуществляется с применением биометрической идентификации клиента с использованием биометрических данных, подтвержденных ЦОИД или полученных посредством устройств банка.
Идентификация и аутентификация клиента в программном обеспечении дистанционного оказания услуг осуществляется с применением способов двухфакторной аутентификации (использованием двух из трех факторов: знания, владения, неотъемлемости) в соответствии с процедурами безопасности, установленными внутренними документами.
Механизм кроссдоменной аутентификации программного обеспечения дистанционного оказания услуг согласовывается с подразделением по информационной безопасности.
Веб-приложение обеспечивает:
Мобильное приложение обеспечивает:
Банк (организация) обеспечивает на своей стороне:
Постановление вводится в действие с 4 ноября 2023 года.
Фото: pixabay.com
По сообщению сайта Arna Press