Об утверждении Положения о порядке обеспечения сохранности электронных записей в учетных регистрах (2739-сон)

11.12.2015

Постановление

Министерства по развитию информационных технологий и коммуникаций Центра по координации и развитию рынка ценных бумаг при Госкомконкуренции Республики Узбекистан

[Зарегистрировано Министерством юстиции Республики Узбекистан 11 декабря 2015 г. Регистрационный № 2739]

В соответствии с Законом Республики Узбекистан «О рынке ценных бумаг» Министерство по развитию информационных технологий и коммуникаций и Центр по координации и развитию рынка ценных бумаг при Госкомконкуренции Республики Узбекистан постановляют:

1. Утвердить Положение о порядке обеспечения сохранности электронных записей в учетных регистрах, согласно приложению.

2. Настоящее постановление вступает в силу по истечении трех месяцев со дня его официального опубликования.

Министр по развитию информационных технологий и коммуникаций Х. МИРЗАХИДОВ

г. Ташкент,

12 ноября 2015 г.,

№ 139-мх

Генеральный директор Центра по координации и развитию рынка ценных бумаг при Госкомконкуренции Б. АТАХАНОВ

г. Ташкент,

12 ноября 2015 г.,

№ 2015-20

ПРИЛОЖЕНИЕ к постановлению Министерства по развитию информационных технологий и коммуникаций, Центра по координации и развитию рынка ценных бумаг при Госкомконкуренции Республики Узбекистан от 12 ноября 2015 года №№ 139-мх, 2015-20

ПОЛОЖЕНИЕ

о порядке обеспечения сохранности электронных записей в учетных регистрах

Настоящее Положение в соответствии с законами Республики Узбекистан «О рынке ценных бумаг», «Об электронной цифровой подписи» и «Об электронном документообороте» устанавливает порядок обеспечения сохранности электронных записей в учетных регистрах Центрального депозитария ценных бумаг и инвестиционного посредника.

Глава 1. Общее положение

1. В настоящем Положении применяются следующие основные понятия:

ответственный сотрудник — сотрудник Центрального депозитария ценных бумаг или инвестиционного посредника, уполномоченный и ответственный за внесение, просмотр и изменение электронных записей, а также за администрирование учетных регистров, локальной сети передачи данных, защиту информации и антивирусное обеспечение;

электронная запись — запись в электронной форме в учетных регистрах Центрального депозитария ценных бумаг и инвестиционного посредника;

учетные регистры — установленная стандартами депозитарных операций система записей по хранению ценных бумаг и учету прав на ценные бумаги у инвестиционного посредника и в Центральном депозитарии ценных бумаг;

программно-технический комплекс — набор технических и программных средств, используемых Центральным депозитарием ценных бумаг и инвестиционным посредником при выполнении возложенных на них задач по обеспечению сохранности электронных записей в учетных регистрах;

пользователи программно-техническим комплексом (далее — пользователи) — ответственные сотрудники и другие лица, пользующиеся правами доступа к учетным регистрам и передачи информации, содержащейся в них;

чувствительная информация — информация, подлежащая защите вследствие того, что ее раскрытие, модификация, уничтожение или сокрытие может нанести ущерб участникам рынка ценных бумаг;

использование инсайдерской информации на рынке ценных бумаг — использование для приобретения либо реализации ценных бумаг информации, которая не была раскрыта (распространена) и может предоставить преимущество одному участнику рынка ценных бумаг над другими, поскольку раскрытие (распространение) данной информации может оказать существенное влияние на изменение стоимости ценных бумаг.

Глава 2. Организационные меры по обеспечению сохранности электронных записей

2. Руководитель Центрального депозитария ценных бумаг и инвестиционного посредника (далее — руководитель) назначает ответственных сотрудников и принимает другие организационные меры по обеспечению сохранности, конфиденциальности, целостности и достоверности электронных записей.

3. Руководитель составляет с каждым ответственным сотрудником письменное соглашение-обязательство об ответственности за соблюдение требований и правил работы с информацией, а также за разглашение конфиденциальной, чувствительной и иной информации, раскрытие (распространение) которой может привести к использованию инсайдерской информации на рынке ценных бумаг.

4. Центральный депозитарий ценных бумаг и инвестиционные посредники должны иметь утвержденную политику в области информационной безопасности, предусматривающую основные положения, цели и задачи, объекты защиты, угрозы информационной безопасности, реагирования на нарушения информационной безопасности, распределение ответственности, порядок пересмотра и актуализации политики в области информационной безопасности.

5. Центральный депозитарий ценных бумаг и инвестиционные посредники должны иметь утвержденные планы мероприятий, инструкции, регламентирующие действия ответственных сотрудников, направленные на защиту и неразглашение конфиденциальной, чувствительной и иной информации, раскрытие (распространение) которой может привести к использованию инсайдерской информации на рынке ценных бумаг, а также оперативное восстановление функционирования системы программно-технического комплекса (далее — система) в случае возникновения непредвиденных обстоятельств, угрожающих информационной безопасности и устранение последствий таких ситуаций.

6. Руководитель обязан обеспечить предотвращение несанкционированного доступа к учетным регистрам и передачи информации, содержащейся в них, лицам, не имеющим права доступа к указанной информации, путем принятия следующих мер:

определение круга пользователей;

принятие различных уровней доступа и разрешенных функций для каждого пользователя;

определение периодичности и порядка смены паролей доступа пользователей.

7. Руководитель обязан обеспечить:

управление информационной безопасностью в соответствии с государственными стандартами Республики Узбекистан;

недопущение воздействия на технические средства обработки и хранения учетных регистров, в результате которого нарушается их работа;

наличие необходимых технических средств, аппаратных ресурсов и систем резервирования;

периодическое обучение ответственных сотрудников требованиям политики в области информационной безопасности, инструкций, регламентирующих действия ответственных сотрудников в случае возникновения обстоятельств, угрожающих информационной безопасности;

постоянный контроль за обеспечением уровня защищенности учетных регистров;

непрерывность работы программно-технического комплекса в течение операционного дня;

принятие мер по привлечению к соответствующей ответственности лиц, осуществивших несанкционированный доступ к системе.

Глава 3. Технические меры по обеспечению сохранности электронных записей

8. Электронные записи ведутся в учетных регистрах с использованием программно-технического комплекса.

9. Программно-технический комплекс должен обеспечивать:

идентификацию, аутентификацию, авторизацию и регистрацию пользователей посредством персональной электронной цифровой подписи и (или) логина и пароля пользователей при получении доступа к учетным регистрам;

предоставление пользователям доступа к учетным регистрам в соответствии с их уровнем доступа и функциями по проведению операций в них;

возможность организации доступа к учетным регистрам только с определенных автоматизированных рабочих мест;

ведение автоматизированного журнала регистрации пользователей по факту входа и (или) выхода из системы, проведения операций в учетных регистрах, а также регистрации попыток несанкционированного доступа к системе с фиксацией времени каждого события;

своевременное обнаружение попыток и фактов несанкционированного доступа к учетным регистрам;

блокирование системы в случае попыток несанкционированного доступа к ней;

автоматизированный запрос пользователей сменить пароль с определенной периодичностью, устанавливаемой администратором системы либо по его запросу;

хранение резервных копий учетных регистров в шифрованном виде;

возможность оперативного восстановления учетных регистров, модифицированных или уничтоженных вследствие несанкционированного доступа к ним либо вследствие сбоя в работе программно-технического комплекса.

10. Помещения, в которых размещены серверные оборудования программно-технического комплекса, должны быть оснащены системой контроля доступа.

11. С целью обеспечения сохранности электронных записей в Центральном депозитарии ценных бумаг используется следующая трехуровневая схема резервирования учетных регистров:

первый уровень — резервирование реализуется на основном сервере с зеркалированием учетных регистров в режиме реального времени. Резервирование данного уровня служит для автоматического и оперативного восстановления работы системы в случае ее отказа;

второй уровень — резервирование реализуется в режиме реального времени на репликационном сервере, являющемся полной копией основного сервера, располагающегося в отдельном помещении;

третий уровень — резервирование реализуется на отдельном сервере, располагающегося на расстоянии не менее трех километров от основного сервера, в котором создается архивная копия учетных регистров автоматически один раз в сутки по окончанию операционного дня.

Каждый следующий уровень резервирования служит для восстановления работы системы при неэффективности предыдущего уровня резервирования.

12. На каждом уровне резервирования могут создаваться несколько резервных серверов, отвечающих требованиям схемы резервирования данного уровня.

13. Допускается использование дополнительных уровней резервирования с целью повышения отказоустойчивости и надежности системы.

14. В целях изучения состояния работ по резервированию учетных регистров решением руководителя создается соответствующая комиссия из числа ответственных сотрудников.

Персональный состав комиссии, права, обязанности и ответственность ее членов, порядок проведения изучения определяются решением руководителя.

15. Комиссия ежеквартально, в том числе с выездом на место, в случае если резервирование реализуется на отдельном сервере, расположенном на расстоянии, изучает состояние работ по резервированию и по результатам изучения составляет протокол.

Протокол составляется в течение двух рабочих дней после окончания изучения и подписывается всеми членами комиссии.

В протоколе должны быть отражены:

состав комиссии, с полным указанием Ф.И.О. ее членов;

дата и место составления протокола;

наименование, дата и номер документа, являющегося основанием для проведения изучения;

размер зарезервированной информации, хранящейся на различных уровнях резервирования;

результаты изучения;

рекомендации по устранению выявленных недостатков.

16. Размещение основного сервера и резервирование любого уровня допускается только на территории Республики Узбекистан.

17. Серверное оборудование и рабочие станции Центрального депозитария ценных бумаг должны быть оснащены локальными источниками бесперебойного питания с требуемой мощностью и временем автономной работы с учетом времени, необходимого для перехода на резервное электропитание.

Серверное оборудование и рабочие станции инвестиционного посредника должны быть оснащены локальными источниками бесперебойного питания с требуемой мощностью и временем автономной работы не менее 30 минут.

18. Источник бесперебойного питания серверного оборудования Центрального депозитария ценных бумаг должен иметь горячий резерв в виде второго аналогичного источника бесперебойного питания.

19. Резервирование электропитания программно-технического комплекса Центрального депозитария ценных бумаг реализуется наличием основного ввода электропитания от электрической подстанции и резервного ввода электропитания от автономного резервного генератора.

Резервный генератор должен обеспечить подачу электропитания в течение тридцати минут при отсутствии электропитания от других источников и должен быть обеспечен запасом горючего, достаточным для работы генератора в течение не менее одних суток.

Глава 4. Заключительные положения

20. Руководители и ответственные сотрудники несут ответственность за сохранность, конфиденциальность, целостность и достоверность электронных записей в установленном законодательством порядке.

21. Лица, виновные в нарушении требований настоящего Положения, несут ответственность в соответствии с законодательством.