НАЙТИ ДОКУМЕНТ
Постанова № 320 від 16.08.2006Про затвердження Інструкції про міжбанківський переказ коштів в Україні в національній валюті
Текст документа по состоянию на 2 июля 2009 года
<< Назад |
<<< Главная страница
Стр. 9
згенерований ключ повинен записуватися на дві смарт-картки
(основну та резервну).
Учасник СЕП зобов'язаний забезпечити дотримання механізму
накладання (перевірки) ЕЦП згідно з вимогами цієї глави, які
унеможливлюють формування та відсилання електронного банківського
документа однією службовою особою.
Під час формування електронного банківського документа на
робочому місці операціоніста САБ відповідальна особа, яка формує
цей документ, має накладати ЕЦП на документ за допомогою свого
таємного ключа. Під час формування файла (пакета) електронних
банківських документів на робочому місці бухгалтера САБ
накладається ЕЦП на цей файл (пакет) у цілому, що забезпечує його
захист від модифікації. Сформований таким чином файл (пакет)
обробляється АРМ-СЕП, де виконується перевірка ЕЦП операціоніста
на кожному електронному банківському документі та накладається ЕЦП
АРМ-СЕП, який можуть перевірити всі учасники СЕП. Під час
оброблення файлів (пакетів) ЦОСЕП виконує перевірку підписів на
кожному електронному банківському документі та файлі (пакеті) у
цілому та після формування файлів (пакетів) відповідних платежів
накладає ЕЦП на файл (пакет) у цілому за допомогою таємного ключа
ЦОСЕП. Разом з цим на кожному електронному банківському документі
залишається ЕЦП АРМ-СЕП учасника СЕП, який відправляв цей
електронний банківський документ. Під час отримання файлів
(пакетів) відповідних платежів виконується така сама перевірка
(накладання) ЕЦП до часу остаточного оброблення документів
операціоністом САБ отримувача.
Технологія оброблення платежів у САБ учасника СЕП забезпечує
надійний розподіл доступу під час оброблення електронних
банківських документів і захист цих документів від модифікації в
локальній мережі банку. Виконання технології використання ЕЦП на
всіх етапах оброблення електронних банківських документів є
обов'язковою вимогою для всіх типів САБ, які працюють у банках
(філіях), незалежно від моделі обслуговування консолідованого
кореспондентського рахунку.
4. Для забезпечення конфіденційності інформація СЕП
обробляється АРМ-СЕП, яке включає вбудовані засоби захисту
інформації та забезпечує апаратне і програмне шифрування
(розшифрування) інформації.
Основним засобом шифрування файлів (пакетів) СЕП є АКЗІ.
Робота АКЗІ контролюється вбудованими в АРМ-СЕП програмними
засобами захисту інформації і забезпечує апаратне шифрування
(розшифрування) інформації за стандартом ГОСТ 28147.
Як резервний засіб шифрування в СЕП використовується
вбудована в АРМ-СЕП функція програмного шифрування. Для кожного
файла (пакета) СЕП, що обробляється АРМ-СЕП, генерується
одноразовий ключ шифрування для алгоритму ГОСТ 28147-89, який
обробляється відповідно до стандарту ISO 11166-94 і додається до
повідомлення в зашифрованому вигляді. Такий спосіб передавання
повідомлень забезпечує, що лише дійсний отримувач повідомлення має
змогу виконати його розшифрування.
Засоби шифрування АРМ-СЕП (як АКЗІ, так і програмне
шифрування) забезпечують сувору автентифікацію відправника та
отримувача електронного банківського документа, цілісність кожного
документа в результаті неможливості його підроблення або
несанкціонованого модифікування в шифрованому вигляді.
АРМ-СЕП в режимі реального часу забезпечує додаткову сувору
взаємну автентифікацію АРМ-СЕП учасника СЕП та ЦОСЕП під час
встановлення сеансу зв'язку.
Під час роботи АРМ-СЕП створює шифровані архіви оброблених
електронних банківських документів та захищений від модифікації
протокол роботи АРМ-СЕП, у якому фіксуються всі дії, що ним
виконуються, із зазначенням дати та часу оброблення електронних
банківських документів. Наприкінці банківського дня шифровані
архіви та протокол роботи АРМ-СЕП підлягають обов'язковому
збереженню в архіві. Цей архів використовується для надання
Національним банком інформаційних послуг відповідно до глави 6
цього розділу.
5. Основою криптографічного захисту є ключова інформація та
ключі.
Ключова інформація містить ключі асиметричного
криптографічного алгоритму, що генеруються учасником СЕП за
допомогою наданих генераторів ключів та АРМ-СЕП для АКЗІ, а також
ключів, що використовуються для апаратного шифрування у формі
захищених записів на смарт-картках АКЗІ. Ключова інформація під
час роботи АКЗІ використовується виключно всередині смарт-картки,
що унеможливлює підроблення та перехоплення ключової інформації.
Департамент інформатизації виготовляє АКЗІ та смарт-картки для
кожного учасника СЕП на замовлення територіального управління, яке
надає їх учасникам СЕП відповідно до умов договору.
Ключова інформація для програмного шифрування та для ЕЦП має
генеруватися безпосередньо відповідальною особою банку (філії) у
присутності адміністратора захисту інформації банку (філії) за
допомогою генератора ключів, який надається учаснику СЕП
територіальним управлінням. Генератори ключів є персональними для
кожного учасника СЕП, мають убудований унікальний ідентифікатор
учасника СЕП, який не може бути вилучений або змінений. Генератори
мають змогу запису таємного ключа на носії двох видів - на дискету
або на Touch Memory, у якому додатково вбудований захист від
копіювання ключової інформації з одного носія на інший. Таємні
ключі, які зберігаються на дискетах, обов'язково мають бути
захищені паролем, що забезпечує додатковий захист від спроб
несанкціонованого використання скопійованих таємних ключів.
Довжина пароля становить шість символів і не може бути зменшена.
Підготовка генераторів ключів, АКЗІ зі смарт-картками,
контроль за їх обліком і використанням, техніко-експлуатаційне
обслуговування та ремонт АКЗІ, а також сертифікація відкритих
ключів покладаються на Департамент інформатизації.
Глава 4.
Організаційні заходи інформаційної безпеки
1. Учасник СЕП має забезпечувати дотримання адміністративних
вимог щодо безпечного використання, зберігання та обліку засобів
захисту інформації, розподілу повноважень між службовими особами
банку (філії), які беруть участь в обробленні електронних
банківських документів.
2. Усі засоби захисту інформації Національного банку, що
використовуються в СЕП, надаються учасникам СЕП територіальними
управліннями за умови виконання таких вимог:
укладення договору про використання криптографічних засобів
захисту інформації в системі електронних платежів Національного
банку України (додаток 6) між банком (філією) і територіальним
управлінням тієї області, у якій розташований банк (філія),
незалежно від моделі обслуговування консолідованого
кореспондентського рахунку;
забезпечення відповідності приміщень, у яких обробляються
електронні банківські документи, використовуються та зберігаються
в неробочий час засоби захисту інформації, вимогам до приміщень
учасників СЕП, які використовують засоби захисту інформації
Національного банку, що визначені нормативно-правовими актами
Національного банку щодо правил організації захисту електронних
банківських документів;
призначення службових осіб, які відповідають за зберігання та
використання засобів захисту інформації з поданням належно
завіреної копії наказу про призначення до територіального
управління;
подання листа-доручення про отримання конкретних засобів
захисту інформації.
Засоби захисту інформації для банку (філії) виготовляються
Департаментом інформатизації на замовлення територіального
управління. Замовлення на виготовлення засобів захисту інформації
має подаватися не пізніше ніж за 10 календарних днів до включення
банку (філії) до Довідника учасників СЕП.
У разі виключення банку (філії) з Довідника учасників СЕП або
переходу на роботу в СЕП за моделлю обслуговування консолідованого
кореспондентського рахунку, яка передбачає використання власної
внутрішньобанківської платіжної системи, банк (філія) зобов'язаний
повернути засоби захисту інформації територіальному управлінню
згідно з укладеним договором.
3. Банк (філія) - учасник СЕП не має права передавати засоби
захисту інформації іншій установі.
Учасник СЕП має забезпечити реєстрацію в окремому журналі
такої інформації:
облік апаратних та програмних засобів захисту інформації із
зазначенням нормативно-правових актів Національного банку, що
регулюють порядок їх використання;
перелік службових осіб, відповідальних за користування та
зберігання отриманих засобів захисту інформації;
перелік службових осіб, на яких згідно з наказом керівника
банку (філії) покладено виконання криптографічного захисту
електронних банківських документів.
Глава 5.
Контроль за виконанням вимог щодо захисту
інформації банками (філіями)
1. Для забезпечення контролю за виконанням вимог щодо захисту
інформації банками (філіями) територіальні управління мають
виконувати планові та позапланові перевірки всіх учасників СЕП, що
використовують засоби захисту інформації Національного банку.
Планові перевірки учасників СЕП мають виконуватися не менше
одного разу на два роки. Підставою для виконання позапланових
перевірок є створення банку (філії), переведення на будь-яку
модель обслуговування консолідованого кореспондентського рахунку,
зміна місцезнаходження тощо. Банк (філія) протягом трьох робочих
днів має повідомити територіальне управління, у якому він отримав
засоби захисту інформації, про зміну свого місцезнаходження та
зміну розміщення робочих місць, на яких використовуються засоби
захисту інформації.
2. На письмову вимогу територіального управління службові
особи учасника СЕП, відповідальні за здійснення захисту
електронних банківських документів, зобов'язані надавати письмову
або усну інформацію про стан засобів захисту інформації та їх
використання, а також інформацію про стан захисту інформації в
програмному забезпеченні САБ (у тому числі системи "клієнт-банк"),
про технологію оброблення електронних банківських документів і
систему захисту інформації під час їх оброблення.
Глава 6.
Інформаційні послуги щодо достовірності інформації
за електронними банківськими документами
1. У разі виникнення спорів Національний банк надає банкам
(філіям) інформаційні послуги щодо достовірності інформації за
електронними банківськими документами.
2. Комплексом апаратно-програмних засобів криптографічного
захисту СЕП передбачено формування в учасника СЕП шифрованого
архіву, у якому зберігаються всі зашифровані та надіслані, а також
одержані та розшифровані електронні банківські документи.
Розшифрування інформації, що зберігається в архіві, здійснюється
лише шляхом застосування ключа, який зберігається в Національному
банку.
3. За наявності копії шифрованого архіву учасника СЕП
Національний банк розшифровує цей архів та з абсолютною
достовірністю визначає:
ідентифікатор банку - учасника СЕП, який надіслав
(зашифрував) електронний банківський документ;
ідентифікатор банку - учасника СЕП, якому адресовано
електронний банківський документ;
дату, годину та хвилину виконання шифрування електронного
банківського документа;
дату, годину та хвилину розшифрування електронного
банківського документа;
відповідність усіх електронних цифрових підписів, якими був
захищений від модифікації електронний банківський документ.
Під час використання АКЗІ додатково визначаються:
номер апаратури захисту, на якій виконувалося шифрування або
розшифрування електронного банківського документа;
номер смарт-картки, якою користувалися під час шифрування або
розшифрування електронного банківського документа.
4. Національний банк надає послуги щодо розшифрування
інформації за електронними банківськими документами, якщо учасники
СЕП:
кожного робочого дня формують і надійно зберігають архіви
роботи АРМ-СЕП, до яких мають входити журнали програмного та
апаратного шифрування та захищені від модифікації протоколи роботи
АРМ-СЕП;
подають копії архівів АРМ-СЕП за відповідний банківський
день.
5. Якщо між учасниками СЕП виникли спори з питань, пов'язаних
з електронними банківськими документами, то Національний банк
надає послуги щодо розшифрування інформації за електронними
банківськими документами в разі:
невиконання автентифікації або розшифрування електронного
банківського документа;
відмови від факту одержання електронного банківського
документа;
відмови від факту формування та надсилання електронного
банківського документа;
ствердження, що одержувачу надійшов електронний банківський
документ, а насправді він не надсилався;
ствердження, що електронний банківський документ був
сформований та надісланий, а він не формувався або було надіслане
інше повідомлення;
виникнення спору щодо змісту одного й того самого
електронного банківського документа, сформованого та надісланого
відправником і одержаного та правильно автентифікованого
одержувачем;
роботи з архівом учасника СЕП під час проведення ревізій
тощо.
6. Національний банк надає учасникам СЕП письмові відповіді
щодо порушених питань.
Директор Департаменту
платіжних систем Н.Г.Лапко
Додаток 1
до Інструкції
про міжбанківський переказ
коштів в Україні
в національній валюті
ДОГОВІР N ___
про кореспондентський рахунок
у Національному банку України
(Зразок)
м. ______________ _______________
(дата)
Національний банк України (далі - Виконавець) в особі
__________ _______________________ ______________________________,
(посада) (найменування установи) (прізвище, ім'я, по батькові)
який діє на підставі _________________________ від _______ N ___,
(назва документа)
та ____________________ (далі - Замовник) в особі ________________
(найменування банку) (посада)
__________________________________________________________________
(найменування філії, якщо договір укладає філія)
____________________________________________, який діє на підставі
(прізвище, ім'я, по батькові)
__________________________ від __________ N ____ (далі - Сторони),
(назва документа)
уклали цей договір про таке.
1. Предмет договору
1.1. Виконавець відкриває Замовнику кореспондентський рахунок
для здійснення переказу коштів через систему електронних платежів
Національного банку України (далі - СЕП).
1.2. Відкриття (переоформлення, закриття) кореспондентського
рахунку здійснюється відповідно до вимог Інструкції про
міжбанківський переказ коштів в Україні в національній валюті.
2. Права та обов'язки Сторін
2.1. Виконавець має право:
одержувати фінансову звітність та іншу інформацію від
Замовника в строки та в обсягах, передбачених нормативно-правовими
актами Національного банку України;
виконувати платіжні вимоги, документи про обмеження права
Замовника розпоряджання кореспондентським рахунком у разі
прийняття рішення про арешт коштів відповідно до законодавства
України, у порядку, передбаченому нормативно-правовими актами
Національного банку України;
здійснювати, керуючись статтею 73 Закону України "Про
Національний банк України" ( 679-14 ), списання в безспірному
порядку заборгованості з кореспондентського рахунку Замовника, що
виникла в результаті невиконання зобов'язань у визначений
кредитним договором строк. Списання в безспірному порядку
заборгованості здійснюється до повного її погашення;
здійснювати договірне списання коштів з кореспондентського
рахунку Замовника в разі:
ненадходження від Замовника оплати за виконані Виконавцем
роботи та надані послуги в сумі та в строк, що обумовлені в цьому
договорі та в договорах (1) про розрахунково-інформаційне
обслуговування в системі електронних платежів Національного банку
України і надання послуг системою електронної пошти Національного
банку України від ____ N ___; про використання криптографічних
засобів захисту інформації в інформаційній мережі Національного
банку України від ____ N ___ (2);
надходження електронного розрахункового повідомлення від
територіального управління, що обслуговує філію Замовника (у разі
роботи філії за консолідованим кореспондентським рахунком банку),
відповідно до зобов'язань Замовника, що обумовлені в розділі 2
цього договору.
_______________
(1) Якщо договори укладаються неодночасно або Замовник працює
за відповідною моделлю обслуговування консолідованого
кореспондентського рахунку, то з метою зазначення реквізитів
договорів, за якими має здійснюватися договірне списання коштів,
потрібно укласти додаткові договори.
(2) Якщо в зазначених договорах Виконавцем є Центральна
розрахункова палата, то списання коштів здійснює територіальне
управління після отримання електронного розрахункового
повідомлення Центральної розрахункової палати.
2.2. Замовник має право:
самостійно розпоряджатися коштами, що обліковуються на його
кореспондентському рахунку, крім випадків обмеження права
розпоряджання рахунком, установлених законодавством України.
2.3. Виконавець бере на себе обов'язки:
відкрити кореспондентський рахунок Замовнику за умови подання
| Стр.1 | Стр.2 | Стр.3 | Стр.4 | Стр.5 | Стр.6 | Стр.7 | Стр.8 | Стр.9 | Стр.10 | Стр.11 | Стр.12 | Стр.13 | Стр.14 |
<< Назад |
<<< Главная страница
|
