Указание Банка России от 20 мая 2016 г. N 4023-У "О требованиях к сохранности и защите информации, полученной в процессе деятельности кредитного рейтингового агентства" (документ не действует)

4.1. Разработку внутренних документов, предусмотренных настоящим Указанием и регламентирующих порядок обеспечения сохранности и защиты информации.

4.2. Меры по сохранности информации, которые должны обеспечивать хранение информации на территории Российской Федерации и предусматривать возможность восстановления информации в случае ее умышленного (случайного) разрушения (искажения) или выхода из строя средств вычислительной техники, в том числе путем создания резервных копий информации в электронном виде с периодичностью, установленной кредитным рейтинговым агентством, но не реже одного раза в семь дней.

Меры по сохранности информации должны предусматривать размещение резервных копий информации в местах, отличных от мест размещения носителей информации.

4.3. Меры по защите информации, которые должны предусматривать в том числе:

обеспечение защиты информации при управлении доступом к информации и при регистрации фактов такого доступа;

обеспечение защиты информации на всех этапах функционирования автоматизированных систем обработки информации, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования (далее - объекты информационной инфраструктуры);

обеспечение защиты информации средствами антивирусной защиты;

обеспечение защиты информации при использовании информационно-телекоммуникационных сетей общего пользования;

обеспечение защиты информации при назначении и распределении прав доступа к информации;

обнаружение инцидентов информационной безопасности и реагирование на них;

мониторинг и анализ эффективности защиты информации (далее - мониторинг);

обеспечение непрерывности деятельности автоматизированных систем обработки информации и возможности восстановления информации;

проведение самостоятельной или с привлечением сторонней организации оценки эффективности выполнения кредитным рейтинговым агентством требований к защите информации, установленных законодательством Российской Федерации, в том числе настоящим Указанием, не реже одного раза в два года.

Меры по защите информации должны осуществляться кредитным рейтинговым агентством в соответствии с законодательством Российской Федерации о техническом регулировании.

4.4. Меры по недопущению воздействия на объекты информационной инфраструктуры, в результате которого нарушается их функционирование.

4.5. Меры по обеспечению сохранности и защиты информации при взаимодействии с третьими лицами, которым предоставляется доступ к информации.

4.6. Меры по совершенствованию методов и средств обеспечения сохранности и защиты информации.

4.7. Меры по обеспечению документирования деятельности, направленной на обеспечение сохранности и защиты информации, и по хранению информации.

4.8. Иные дополнительные меры, направленные на сохранность и защиту информации.

6.1. Состав информации, включая договоры кредитного рейтингового агентства, протоколы (записи) встреч представителей кредитного рейтингового агентства с представителями рейтингуемых лиц, переписку представителей кредитного рейтингового агентства с рейтингуемыми лицами, отчетность и иную информацию рейтингуемых лиц, представленную кредитному рейтинговому агентству, информацию, связанную с подготовкой и осуществлением рейтинговых действий, в том числе материалы анализа, проводимого рейтинговыми аналитиками, включая рейтинговые отчеты, материалы заседаний рейтинговых комитетов.

6.2. Состав лиц, ответственных за хранение и уничтожение информации, место и форму хранения информации.

6.3. Порядок работы с информацией, содержащий процедуры: документирования информации, в том числе в ходе подготовки и проведения заседаний рейтингового комитета, методологического комитета, работы органов внутреннего контроля;

хранения информации в течение срока, предусмотренного законодательством Российской Федерации, но не менее пяти лет, уничтожения информации;

предоставления доступа к информации и объектам информационной инфраструктуры работникам кредитного рейтингового агентства и третьим лицам, в том числе установления состава лиц, имеющих право такого доступа, и прав доступа каждого из этих лиц;

регистрации действий, связанных с предоставлением права доступа к информации и объектам информационной инфраструктуры;

идентификации и авторизации лиц, имеющих право доступа к информации и объектам информационной инфраструктуры, регистрации действий указанных лиц в ходе работы с информацией;

применения способов, методов и средств защиты информации с описанием указанных способов, методов и средств защиты информации.

Кредитным рейтинговым агентством могут быть дополнительно установлены иные процедуры работы с информацией.

6.4. Порядок проведения мониторинга, периодических проверок мероприятий по сохранности и защите информации и объектов информационной инфраструктуры, в том числе для предусмотренной пунктом 4.3 настоящего Указания оценки эффективности выполнения кредитным рейтинговым агентством требований к защите информации (далее - проверка), требования к содержанию отчетов о результатах мониторинга и результатах проверки (далее - отчеты), порядок и периодичность представления отчетов контрольному органу, а также их рассмотрения контрольным органом.

В случаях, когда контрольным органом является не совет директоров (наблюдательный совет) и не коллегиальный исполнительный орган кредитного рейтингового агентства, отчеты, кроме контрольного органа, для сведения представляются также совету директоров (наблюдательному совету) кредитного рейтингового агентства, а при его отсутствии - коллегиальному исполнительному органу кредитного рейтингового агентства.

6.5. Процедуры по предупреждению, выявлению и предотвращению нарушений порядка обеспечения сохранности и защиты информации, в том числе при работе с информацией, а также порядок взаимодействия структурного подразделения (работника), ответственного за обеспечение сохранности и защиты информации, с контрольным органом при выявлении указанных нарушений.