Тип: Постанова
№ 106
Дата: 12 травня 1995 р.
Статус: Не визначено
ПРАВЛІННЯ НАЦІОНАЛЬНОГО БАНКУ УКРАЇНИ
ПОСТАНОВА
N 106 від 12.05.95 м.Київ
Про затвердження "Вимог Національного банку України до програмного комплексу "Операційний день банку" (ОДБ)"
{ Щодо втрати чинності Постанови див. Лист Національного банку N 18-213/3008 ( v3008500-08 ) від 10.09.2008 }
З метою підвищення надійності та безпеки внутрішньої роботи банків-учасників системи електронних платежів (СЕП) Національного банку України та відповідно до статті 54 Закону України "Про банки і банківську діяльність" ( 872-12 ) Правління ПОСТАНОВЛЯЄ:
1. Затвердити "Вимоги Національного банку України до програмного комплексу "Операційний день банку" (ОДБ)" (додається) як нормативний документ Національного банку України.
2. Довести цей документ до усіх банків-учасників СЕП, розробників програмного забезпечення "Операційний день банку" та систем "клієнт-банк", запропонувати банкам-учасникам СЕП до 01.07.96 р. привести свої програмні комплекси ОДБ у відповідність до вимог Національного банку України щодо програмного комплексу "Операційний день банку".
3. Департаменту інформатизації (А.С.Савченко) до 01.09.95 р. створити робочу групу, виділити необхідну техніку та розробити методики виконання експертних оцінок щодо відповідності програмних комплексів ОДБ та систем "клієнт-банк" "Вимогам Національного банку України до програмного комплексу "Операційний день банку" (ОДБ)"
4. Департаменту інформатизації (А.С.Савченко) розпочати з 01.10.95 р. виконання експертних оцінок програмних продуктів, що працюють у банках-учасниках СЕП.
5. Контроль за виконанням цієї постанови покласти на директора департаменту інформатизації (А.С.Савченко) та службу захисту електронних банківських документах Національного банку України (І.А.Безбородько).
Голова Правління В.А.Ющенко
Затверджено Правлінням Національного банку України від 12 травня 1995 року N 106
Вимоги Національного банку України до програмного комплексу "Операційний день банку" (ОДБ)"
Під ОДБ у цьому документі розуміється та частина програмного комплексу автоматизації роботи банку-учасника системи електронних платежів (СЕП) України, яка:
- веде внутрішню базу даних, що містить інформацію про обслуговування розрахункових рахунків клієнтів, про стан коррахунку в НБУ та іншу;
- має можливість здійснювати платіжні операції через СЕП;
- може мати систему "клієнт-банк", як складову частину, або взаємодіяти з нею.
НБУ висуває кілька вимог, яким має відповідати наведений вище програмний комплекс (ОДБ). Дотримання цих вимог в повному обсязі повинно забезпечити:
- систематизацію механізмів обміну платіжними документами між комерційними банками та СЕП;
- цілісність та інформаційну безпеку стикування ОДБ з СЕП;
- надійність сукупного функціонування ОДБ і СЕП;
- розширення асортименту інформаційних послуг СЕП.
Вимоги до ОДБ розподіляються на такі групи:
1. Вимоги до інтерфейсу з АРМ-3 СЕП.
2. Вимоги щодо інформаційної безпеки підготовки файлів інтерфейсу з СЕП у середовищі ОДБ.
3. Вимоги до ОДБ щодо внутрішньої інформаційної безпеки банку.
4. Вимоги щодо інформаційної безпеки системи "клієнт-банк".
1. Вимоги до інтерфейсу з АРМ-3 СЕП
1.1. ОДБ комерційного банку обмінюється інформацією з СЕП через єдину копію АРМ-3 СЕП тільки за допомогою файлів, структура та функціональне призначення яких описані в документі "Інтерфейс між ОДБ і АРМ-3 системи електронних платежів (СЕП)".
1.2. ОДБ не звертається безпосередньо до внутрішніх баз АРМ-3 СЕП, а саме, не виконує ніяких операцій читання та модифікації баз даних АРМ-3.
1.3. ОДБ веде внутрішній довідник банків-учасників СЕП на базі файла ^U.
1.4. ОДБ протягом банківського дня веде внутрішнє значення кореспондентського рахунку (КР) і порівнює його інформацією про стан коррахунку в регіональній розрахунковій палаті (РРП), яка надається у файлах СЕП (^K, ^V).
На початок банківського дня внутрішнє значення КР в ОДБ повинно співпадати зі значенням КР в РРП та зі значенням КР на кінець попереднього банківського дня.
Протягом банківського дня внутрішнє (що прогнозується) значення КР в ОДБ відрізняється від значення КР в РРП на величину оборотів за файлами початкових/зворотних платежів, обробка яких в ОДБ і/або РРП не завершена.
Наприкінці банківського дня внутрішнє значення КР в ОДБ повинно співпадати зі значенням КР в РРП.
1.5. Протягом банківського дня ОДБ виконує звірення інформації про файли ^A, ^B, що існує в ОДБ, з інформацією про них, яка надається у файлах ^T, ^K, ^Z, ^V.
В разі завершення банківського дня ОДБ виконується підсумкове звірення взаємодії СЕП і ОДБ: за файлом ^Z - за кожним файлом окремо, за файлом ^V - за платіжками та за файлами.
Метою звірення є:
а) виявляти суперечності у інформації в РРП і ОДБ, щодо:
- розбіжностей у реквізитах файла (дата та час формування, кількість інформаційних рядків, суми за пакетом, кодів завершення обробки файлу, електронного підпису;
- появи інформації про пакети, які не надсилалися (^A) або не приймалися (^B) в ОДБ;
б) слідкувати за нерозривністю та несуперечністю значення КР в РРП і ОДБ.
1.6. Завершення обробки файла ^A у СЕП, і, відповідно, завершення проводок (транзакцій) в ОДБ за платежами цього файла виконується тільки після одержання підтвердження про прийняття цього файла в РРП з нульовими кодами завершення, яке надається у файлі ^T. У разі необхідності завершення обробки файла ^A може бути також виконане на підставі інформації про файл ^A у файлах ^K і ^V, яка дублює зміст файла ^T.
1.7. Завершення обробки прийнятого пакету зворотних платіжних документів (^B), який нормально підтверджений квитанцією ^S, і, відповідно, завершення проводки виконується лише після одержання підтвердження про зміну коррахунку в РРП за цим файлом, яке надходить у файлі ^K з нульовими кодами завершення про цей файл. У разі необхідності завершення обробки файлу ^B може бути також виконане на підставі інформації про файл ^B у файлах ^K і ^V, яка дублює зміст файлу ^S.
1.8. ОДБ, які підтримують обслуговування 1-ї моделі консолідованого коррахунку для головного банку, виконують у всіх філіях головного банку, які працюють у 1-й моделі, такі звірення:
- нерозривності технічного коррахунку та його відповідності відісланим/прийнятим файлам (по файлах ^K, ^F, ^T);
- відповідність переліку відісланих/прийнятих файлів платежам філії (за файлами ^K і ^V).
1.9. У разі появи будь-яких розбіжностей в інформації, виявлених при перевірках пп.1.4, 1.5, 1.8, ОДБ однозначно, негайно та надійно інформує банківський персонал і блокує обмін інформацією з СЕП до отримання дозволу на продовження роботи.
1.10. ОДБ надає можливість виведення (друку) реєстрів платіжних документів СЕП (як відісланих, так і одержаних) з розшифровкою закодованих реквізитів типу "Призначення платежу" і "Допоміжні реквізити" і, при необхідності, з усіма реквізитами інформаційного рядку файлів ^A, ^B (крім електронного підпису та контрольної суми).
1.11. В ОДБ кожному клієнту надано унікальний ідентифікаційний код клієнта в межах України (ідентифікаційний код з "Державного реєстру звітних/статистичних одиниць України", "Державного реєстру фізичних осіб-платників" чи інший, згідно діючому законодавству України).
При формуванні початкових платежів ОДБ повинен автоматично заносити ідентифікаційний код клієнта-відправника платежу в електронний платіжний документ після звірення його з ідентифікаційним кодом, який указав клієнт в платіжному документі.
При отриманні зворотних платежів ОДБ повинен автоматично заносити ідентифікаційний код клієнта-отримувача платежу в електронний платіжний документ.
ОДБ не надає можливості ручного вводу або коригування ідентифікаційного коду клієнта в електронному платіжному документі.
2. Вимоги щодо інформаційної безпеки підготовки файлів інтерфейсу з СЕП в середовищі ОДБ
2.1. В ОДБ повинно бути виділено відокремлене автоматизоване робоче місце (умовна назва "АРМ бухгалтера електронних платежів", на якому відповідальний працівник банку може виконувати такі функції:
- перегляд та друк всіх файлів і платіжних документів, якими обмінювались ОДБ та АРМ-3 протягом банківського дня;
- перевірка електронного підпису від АРМ-2 СЕП файлів ^T, ^B, ^V, ^K;
- створення квитанції ^S на відповідний файл ^B або хоча б накладання електронного підпису на адресу АРМ-2 на файл ^S, який був створений іншим функціональним блоком ОДБ;
- накладання електронного підпису на адресу АРМ-2 СЕП на файли ^A, в разі передачі файлу ^A в АРМ-3 СЕП.
2.2. АРМ бухгалтера електронних платежів забезпечує автоматичне ведення протоколу (та захист цього протоколу від модифікації) найбільш критичних моментів роботи АРМ бухгалтера електронних платежів (вхід, формування пакетів платіжних документів, проводки, відкат та інші); архівування цього протоколу в разі закриття банківського дня.
2.3. ОДБ забезпечує неможливість доступу з інших машин (терміналів), у тому числі з робочих міст операціоністів, до пакетів платіжних документів, сформованих АРМ бухгалтера електронних платежів для відправлення в АРМ-3 і отриманих від АРМ-3, та модифікацію цих пакетів. АРМ бухгалтера фіксує спроби несанкціонованого доступу до баз даних і пакетів платіжних документів.
3. Вимоги до ОДБ щодо внутрішньої інформаційної безпеки банку
3.1. ОДБ забезпечує розподіл доступу до системних ресурсів (з допомогою програмних засобів або парольного захисту), який організований за принципом надання мінімальної кількості повноважень, які необхідні для роботи даного користувача.
3.2. ОДБ забезпечує ідентифікацію користувача на кожному робочому місці.
3.3. ОДБ блокує роботу програмного забезпечення на кожному робочому місці при багаторазовій спробі неправильного вводу пароля.
3.4. ОДБ забезпечує автоматичне ведення протоколу (та захист цього протоколу від модифікації) парольних входів в ОДБ з кожного робочого місця і передачу платіжних документів відповідно до технологічної схеми обробки електронних платіжних документів в ОДБ; автоматичне архівування протоколів наприкінці дня.
3.5. ОДБ забезпечує можливість ідентифікації точки введення та проходження платежу в ОДБ від одного виконавця до другого відповідно до технологічної схеми обробки електронних платіжних документів (для платежів, які надходять від операціоністів, АРМ-3, АРМ клієнтів банку), і включення програмних модулів накладення/перевірки електронного підпису на кожному робочому місці для захисту платіжних документів від модифікації та їх суворої аутентифікації. Для ОДБ, які працюють у захищених середовищах, що мають міжнародний сертифікат або сертифікат державних служб України, і які забезпечують наведений вище захист власними засобами, включення програмних модулів накладення/перевірки електронного цифрового підпису операціоністів необов'язкове.
3.6. ОДБ має бути створено таким чином, щоб виконувався контроль цілісності програмного забезпечення внутрішніми програмними засобами ОДБ під час запуску програми. Наявність внутрішніх програмних засобів контролю цілісності для ОДБ, які працюють у захищених середовищах, що мають міжнародний сертифікат або сертифікат державних служб України, і які забезпечують програмного забезпечення власними засобами, необов'язкова.
3.7. ОДБ забезпечує неможливість нефіксованих відкатів на попередні дні з перерахунком (корекцією) балансів операційних днів.
3.8. ОДБ забезпечує перевірку усіх початкових платіжних документів (включаючи внутрібанківську проводку) протягом банківського дня на унікальність (неповторність) пари реквізитів: номер особистого рахунку клієнта-відправника та номер платіжного документа (реквізит "Номер (операційний) платежу" інформаційного рядка файла ^A).
3.9. ОДБ забезпечує коректну обробку транзакції після апаратних та програмних збоїв, відкатів та подібного, протягом операційного дня (з точки зору подвоєння та втрати інформації).
4. Вимоги щодо інформаційної безпеки системи "клієнт-банк"
4.1. Система "клієнт-банк" не може мати можливості безпосередньої передачі або приймання платіжних документів в АРМ-3 банку або АРМ іншого клієнта, минуючи АРМ операціоніста (бухгалтера).
4.2. Система "клієнт-банк" забезпечує механізм звірення (квитовки) файлів початкових і зворотних платежів між банком (АРМ операціоніста або бухгалтера) і АРМ клієнта, підготовку виписки про платіжні операції з клієнтом в банку протягом банківського дня та звірення цієї інформації з інформацією із АРМ клієнта наприкінці дня.
4.3. Система "клієнт-банк" забезпечує передачу повідомлень між клієнтом та банком у зашифрованому вигляді за допомогою сертифікованих засобів захисту.
4.4. Система "клієнт-банк" забезпечує автоматичне ведення протоколу (та захист цього протоколу від модифікації) передавання платіжних документів між банком і клієнтом як у банку, так і в АРМ клієнта; автоматичне архівування протоколів наприкінці дня.
4.5. АРМ клієнта системи "клієнт-банк" забезпечує механізм звірення (квитовки) зворотних платіжних документів і виписки за платіжними операціями клієнта.
4.6. АРМ клієнта системи "клієнт-банк" забезпечує накладання електронних цифрових підписів головного бухгалтера та керівника підприємства (установи) на кожному електронному платіжному дорученні клієнта; банківська частина системи "клієнт-банк" забезпечує перевірку наведених електронних підписів на кожному електронному платіжному дорученні клієнта.
4.7. АРМ клієнта забезпечує автоматичне ведення поточного стану власного рахунку в банку, враховуючи проведені початкові та зворотні платежі.