Различия 382-п и 719-п

Кратко

719-П более строгий и обширный документ, чем 382-П. Это достигается не только большим количеством отсылочных требований (ГОСТ 57580, ПКЗ-2005 и т.д.), но и подробной проработкой прямых требований, касающихся, например, применения сертифицированных СКЗИ и способов контроля со стороны Банка России.

Общая информация

Положение Банка России 719-П приходит на смену 382-П. Подробное сравнение требований предоставлено в Таблице № 1 в конце статьи. Положение 719-П является усовершенствованной версией 382-П.

Некоторые группы требований, которые содержит 382-П имеются и в 719-П, а именно:

• Область применения данных положений распространяется на обеспечение безопасности информации при осуществлении переводов денежных средств (защищаемая информация);
• 719-П имеет больше конкретных требований по применению, чем 382-П однако основные организации (операторы по переводу денежных средств, операторы услуг платежной инфраструктуры, операторы платежных систем и банковские платежные агенты и субагенты) одни и те же.
• Требования к проведению оценки соответствия сторонней организацией, имеющей соответствующие лицензии (различаются только областью применения документа);
• Требования по ежегодному тестированию на проникновение и анализу уязвимостей информационной безопасности (различаются только областью применения документа);
• Требования по безопасности прикладного программного обеспечения;
• Требования по регистрации событий ЗИ, действий работников и клиентов организации (различаются только областью применения документа);
• Требования к применению СКЗИ (различаются только областью применения документа);
• Требования к применению электронной подписи (в обоих случаях применение ЭП в соответствии с 63 ФЗ);

Различия 382-п и 719-п

Однако, имеются и некоторые отличия от отменяемого с 1-го января 2022-го года 382-П:

• Расширен перечень организаций, на которых распространяется действие 719-П (в 382-П их меньше). Добавлены операторы услуг информационного обмена и поставщики платежных приложений, для которых указаны требования по защите информации.
• Требования по защите информации указаны в ГОСТ 57580.1, а не в самом Положении как раньше (однако, часть требований остались в самом Положении (общие для всех и частные для некоторых).
• Оценка соответствия проводится по ГОСТ 57580.2.
• Операторы по переводу денежных средств должны провести сертификацию прикладного программного обеспечения автоматизированных систем и приложений по уровню доверия не ниже 5-го, а для значимых и системно значимых кредитных организаций – не ниже 4-го уровня.
• Добавили жесткие требования к банковским платежных агентам и субагентам.
• Добавили необходимость вычисления значения показателя, характеризующего уровень переводов денежных средств без согласия клиента, формируемого на ежеквартальной основе.
• Добавили обязанность подтверждать принадлежность клиентам e-mail, на которые отправляются выписки и подтверждения перевода денежных средств.
• Расширены требования по применению технологий обработки защищаемой информации;
• Введены требования к защите персональных данных;
• Требования к применению электронной подписи существенно расширены;

Расширена область применения документа, теперь под регулирование попадают:

Оператор услуг информационного обмена (ОУИО) — организации, оказывающие российским кредитным организациям услуги обмена информацией при переводе средств с помощью электронных средств платежа между кредитной организацией и ее клиентами или между кредитной организацией и иностранным поставщиком платежных услуг.

Поставщик платежных приложений (ППП) — организации-разработчики, предоставляющие клиентам российских банков-партнеров программное обеспечение для осуществления переводов с помощью платежных карт.

Платежный агрегатор (ПА) — это платформа для приема денег на сайте. Она отвечает за перевод средств со счета покупателя на счет продавца. В основе сервиса лежит платежный шлюз.

Сравнение требований 719-П и 382-П

Таблица № 1