Как часто банки Кыргызстана должны проводить аудит информационной безопасности?

Документ принят 12 апреля текущего года для снижения операционного риска по информационным системам и информационной безопасности банка. Об этом сообщила пресс-служба Национального банка КР. 

В положении «О минимальных требованиях к внешнему аудиту банков и других финансово-кредитных организаций, лицензируемых Национальным банком Кыргызской Республики», пункт 3 пятый абзац изложен в следующей редакции: 

«Внешний аудит информационной безопасности – независимая комплексная проверка внешним аудитором технических регламентов и требований банка, позволяющих обеспечить безопасность и защиту информации и самих банковских систем от неправомерного вмешательства и иных угроз (рисков)». 

и дополнен абзацами следующего содержания: 

• «DDoS-атака (distributed denial of service) - целенаправленная атака путем подачи большого количества запросов в целях прекращения или затруднения работы информационной системы. 
• Anti-fraud системы - программные комплексы для предотвращения мошеннических транзакций. 
• Sql-инъекция - уязвимость, которая позволяет атакующему использовать фрагмент вредоносного кода на языке структурированных запросов (SQL) для манипулирования базой данных и получения доступа к информации. 
• Dmz-зона - часть локальной сети, предназначенная для размещения сетевых устройств взаимодействующих с внешними сетями, в частности с сетью интернет».

«Банки должны проводить внешний аудит информационной безопасности минимум один раз в два года. При этом системно значимые банки, определяемые по количественным показателям в соответствии с положением «О критериях системности коммерческих банков и небанковских финансово-кредитных организаций», а также банки, которые предоставляют дистанционные финансовые услуги (если объем этих операций более 10% от активов банка), должны проводить внешний аудит информационной безопасности ежегодно. При получении банком сертификации согласно международным стандартом ISO 27001 «Система менеджмента информационной безопасности», внешний аудит информационной безопасности может проводиться один раз в три года», - говорится в документе. 

Также отмечается, что аудит информационной безопасности банка и его дочерней компании, предоставляющей услуги по разработке финансовых технологий для реализации банковских услуг, должен осуществляться одной аудиторской компанией.

Постановление вступит в силу с 1 июля 2024 года. Более подробно с документом можно ознакомиться по ссылке.