Статья 53. Требования и порядок защиты информации в платежной системе

Порядок защиты и использования средств защиты информации в платежной системе определяется настоящим Законом и правилами платежных систем.

Операторы платежных систем и поставщики платежных услуг обеспечивают:

непрерывную защиту информации о платежах на всех этапах ее формирования, обработки, передачи и хранения;

режим безопасности, достаточный для защиты конфиденциальности и целостности информации, в том числе персональных данных пользователя платежных услуг;

разграничение полномочий сотрудников при работе в информационных системах, включая среду разработки, тестирования и рабочую систему;

защиту информационных сетей, в том числе сети Интернет, а также серверов и каналов связи от возможных атак;

мониторинг доступа к конфиденциальным данным по платежам и критически важным логическим и физическим ресурсам (информационным сетям, информационным системам, базам данных, модулям защиты информации);

применение организационных мер и технических средств защиты информации, предназначенных для выявления инцидентов, связанных с нарушениями требований по обеспечению защиты информации при осуществлении платежей и переводов денежных средств;

принятие мер по реагированию на выявленные инциденты, связанные с нарушениями требований по обеспечению защиты информации;

анализ причин выявленных инцидентов, связанных с нарушениями требований к обеспечению защиты информации, проведение оценки результатов реагирования на такие инциденты.

Операторы платежных систем и поставщики платежных услуг обязаны:

применять процедуры многофакторной аутентификации пользователя платежных услуг при отправке распоряжения по каналам связи. Многофакторная аутентификация не применяется при осуществлении мобильных и бесконтактных платежей;

организовать защищенный канал связи в системах дистанционного обслуживания;

иметь возможность вести, хранить и анализировать соответствующие журналы регистрации событий;

осуществлять обмен конфиденциальными данными через сеть Интернет в рамках сеанса связи в зашифрованном виде с использованием лицензированных средств криптографической защиты информации.

Операторы платежных систем и поставщики платежных услуг могут получать доступ к необходимым персональным данным, обрабатывать и хранить их только для оказания платежных услуг, при этом они не вправе запрашивать у пользователя платежных услуг какие-либо сведения помимо тех, которые необходимы для оказания услуги.