Статья 215-1. Нарушение банковского законодательства Республики Казахстан в сфере обеспечения кибербезопасности

1. Нарушение банковского законодательства Республики Казахстан в сфере обеспечения кибербезопасности, выразившееся в:

1) необеспечении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, резервного хранения данных цифровых систем, включающих критичные информационные активы, их файлов и настроек, которые обеспечивают восстановление работоспособной копии цифровой системы;

2) непринятии банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, при передаче третьим лицам критичных информационных активов банка, филиала банка – нерезидента Республики Казахстан, организации, осуществляющей отдельные виды банковских операций, мер по исключению возможности доступа третьих лиц к информации, передача которой третьим лицам не допускается в соответствии с гражданским, банковским законодательством Республики Казахстан, законодательством Республики Казахстан о персональных данных и их защите;

3) непроведении подразделением по кибербезопасности и (или) подразделением внутреннего аудита банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, проверок деятельности структурных подразделений банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, в части оценки состояния кибербезопасности;

4) отсутствии у банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, шифрования телекоммуникационных соединений (за исключением соединений с городской телефонной сетью), выходящих за периметр защиты цифровой инфраструктуры;

5) несоблюдении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, правил доступа, установленных на межсетевых экранах, требований по блокированию соединений, не используемых для функционирования информационных активов банка, филиала банка – нерезидента Республики Казахстан, организации, осуществляющей отдельные виды банковских операций, и (или) отсутствии на периметре защиты цифровой инфраструктуры средств обнаружения и предотвращения вторжений;

6) предоставлении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, пользователям доступа к критичным информационным активам банка, филиала банка – нерезидента Республики Казахстан, организации, осуществляющей отдельные виды банковских операций, находящимся внутри периметра защиты цифровой инфраструктуры, по незашифрованному каналу из-за пределов периметра защиты цифровой инфраструктуры и (или) предоставлении пользователям доступа к цифровым системам, включающим критичные информационные активы, из-за пределов периметра защиты цифровой инфраструктуры без использования методов двухфакторной аутентификации;

7) необеспечении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, безопасности доступа пользователей к ресурсам сети Интернет и (или) безопасности использования внешней электронной почты;

8) отсутствии в банках, филиалах банков – нерезидентов Республики Казахстан, организациях, осуществляющих отдельные виды банковских операций, перечня администраторов цифровых систем, включающих критичные информационные активы, и (или) двойного контроля при исполнении функций администрирования цифровых систем, включающих критичные информационные активы, и (или) специальных комплексов контроля использования привилегированных учетных записей;

9) отсутствии в критичных информационных активах банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, функции аудиторского следа, отражающей события установления соединений, идентификации, аутентификации и авторизации в критичном информационном активе, события модификации настроек безопасности, события модификации групп пользователей и их полномочий, события модификации учетных записей пользователей и их полномочий, события, отражающие установку изменений в цифровой системе, события изменения параметров аудита, события изменений системных параметров;

10) непроведении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, полугодового сканирования критичных информационных активов на наличие уязвимостей и (или) отсутствии результатов сканирования в виде отчета о состоянии кибербезопасности с указанием рекомендаций о корректирующих мерах по устранению выявленных уязвимостей;

11) необеспечении банками, филиалами банков – нерезидентов Республики Казахстан, организациями, осуществляющими отдельные виды банковских операций, надлежащего функционирования службы реагирования на инциденты кибербезопасности, выразившемся в отсутствии перечня событий кибербезопасности, подлежащих мониторингу, источников таких событий, периодичности, порядка и методов мониторинга событий кибербезопасности и (или) отсутствии документов, сведений и фактов, подтверждающих реализацию порядка реагирования на инциденты кибербезопасности;

12) неосуществлении службой реагирования на инциденты кибербезопасности банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, мониторинга и анализа событий кибербезопасности и (или) классификации и приоритизации инцидентов кибербезопасности;

13) необеспечении службой реагирования на инциденты кибербезопасности банков, филиалов банков – нерезидентов Республики Казахстан, организаций, осуществляющих отдельные виды банковских операций, консолидации, систематизации, хранения, целостности и сохранности информации об инцидентах кибербезопасности в журнале учета инцидентов кибербезопасности с отражением информации об инциденте кибербезопасности, принятых мерах и предлагаемых корректирующих мерах, – влечет штраф на субъектов среднего предпринимательства и некоммерческие организации в размере ста восьмидесяти, на субъектов крупного предпринимательства и филиалы банков – нерезидентов Республики Казахстан – в размере двухсот пятидесяти месячных расчетных показателей.

2. Нарушение банковского законодательства Республики Казахстан в сфере обеспечения кибербезопасности, выразившееся в отсутствии в банках, филиалах банков – нерезидентов Республики Казахстан реализованных процессов по формированию и последующей актуализации перечня критичных информационных активов и (или) отсутствии реализованных процессов по оценке рисков кибербезопасности для критичных информационных активов, – влечет штраф на субъектов среднего предпринимательства в размере ста восьмидесяти, на субъектов крупного предпринимательства и филиалы банков – нерезидентов Республики Казахстан – в размере двухсот пятидесяти месячных расчетных показателей.