Национальная платёжная система: что это значит для вас, и когда конкретно паниковать. Тонкости работы с виртуальной валютой

Глава 2. Состав и структура национальной платежной системы

2.1. Становление и развитие платежной системы в России Первое десятилетие XXI века в России ознаменовано важными достижениями в развитии платежной системы. Сформирована техническая инфраструктура, обеспечивающая соответствие мировым стандартам по скорости, безопасности

2.2. Правовые и организационные основы современной национальной платежной системы России Поступательный рост экономики Российской Федерации и повышение степени ее вовлеченности в мировую экономическую систему обуславливают высокий уровень требований, выдвигаемых к

Глава 3. Организация деятельности субъектов национальной платежной

3.1. Организация деятельности операторов по переводу денежных средств В настоящее время национальная платежная система строится в соответствии с потребностями субъектов национальной платежной системы и их клиентов в платежных услугах, при оказании которых широко

3.4. Организация деятельности операторов услуг платежной инфраструктуры Раскрывая понятие «оператор услуг платежной инфраструктуры», Федеральный закон № 161-ФЗ «О национальной платежной системе» перечисляет возможные статусы операторов, а именно – операционный

4.1. Современное состояние и развитие платежной системы Банка России Основной и важнейшей составляющей национальной платежной системы России является платежная система Банка России. Именно она служит каналом реализации денежно-кредитной и бюджетной политики

Глава 6. Организация Банком России деятельности по надзору и наблюдению в национальной платежной

6.1. Организация Банком России деятельности по надзору в национальной платежной системе Банку России принадлежит особая роль в национальной платежной системе. В соответствии с Федеральным законом № 86-ФЗ «О центральном банке Российской Федерации (Банке России)»

6.2. Организация Банком России деятельности по наблюдению в национальной платежной системе Ответственность по наблюдению за национальной платежной системой традиционно несет центральный банк государства. Наблюдение за платежными системами предполагает принятие

Сразу отмечу, что будет много букв и слов, а также придется нагружать многими нюансами из банковской сферы, и речь будет идти в основном про пластиковые карты. Поэтому для тех, кому это сложно - не читайте. Или перелистните вниз, где будут выводы.

В свое время я не внимательно отнесся к закону 161-ФЗ . Прочитав те уточнения, которые были приняты вечера Государственной Думой, вы знаете, просто ужаснулся. Нет, я предполагал ответные шаги со стороны наших законодателей в отношении международных платежных систем Visa, MasterCard. Однако подобного не ожидал увидеть. Предлагаю посмотреть почему.

Для начала взглянем на терминологию. Начнем с малого и самого очевидного, во всяком случае, для меня - "оператор платежной системы ". Вы несколько раз перечитайте это определение... Оператор тот, кто работает с чем-то или с кем-то. Как Visa и MasterCard могут работать сами с собой? В банковской сфере эти организации всегда именуются как "Платежные Системы ". Они являются оконечным процессинговым центром. Но никак не "оператором". Под это определение можно также и, например, подвести компанию "Рукард" или любой крупный банк, как "СберБанк". Последние перечисленные организации как раз и являются операторами, так как работают с платежной системой либо Visa, либо MasterCard, т.е. используют готовый продукт. Сразу же приходит на ум, а Микрософт - это оператор операционной системы Windows?

Далее, "переводы денежных средств ". Что за странный термин? Есть "Анелик", есть "WesternUnion", вот там это денежные переводы. О чем вообще идет речь, если закон изначально разрабатывался под "Национальную Платежную Систему", которая в первую очередь имеет под собой основу в виде пластиковых карт, служащих в свою очередь, для оплаты товаров и услуг, а также получения наличных средств? В банковской сфере переводы денежных средств, оплата товаров и услуг и получение наличных средств - это совершенно разные операции, которые проходят через бухгалтерию под разными "символами" (кодами). Ок, тогда давайте уже обзовем "операцию", когда вы расплачиваетесь с продавцом за товар наличными "переводом денежных средств". Как такой вариант? ** На самом деле я несколько поглумился над этим термином, формально до сих пор все платежи по пластиковым картам у нас приравнены к наличным денежным операциям и это серьезная головная боль для бухгалтеров. Вот этот вопрос нужно было решать в первом порядке.

Не буду уже придираться к терминологии, это нерационально. Перейдем к непосредственно отношениям.

Платежная система и ее участники

Термины и определения.

Платежная система - организация, предоставляющая технологии для облегчения обслуживания клиентов как физических, так и юридических лиц в кредитной организации с помощью средств идентификации (инструментов), в частности таких, как пластиковые карты.

Эмитент - кредитная организация, которая лицензирована Платежной системой для выпуска инструментов по осуществлению клиентами работы со своими денежными средствами, в данном случае пластиковых карт.

Эквайер - кредитная организация, которая занимается обслуживанием клиентов, владельцев пластиковых карт банков-эмитентов.

Агрегатор - организация, осуществляющая перевод денежных средств, оплату за товары и услуги владельцев пластиковых карт банка-эмитента. (Например, Assist, CyberPlat, Хронопей, Элекснет).

Процессинговый центр - структура позволяющая осуществлять операции в соответствии с правилами Платежной системы.

Итак, есть Банк. Этот банк хочет стать эмитентом определенной Платежной системы. Соответственно, что приходя в эту Платежную Систему, ему предлагается стандартный договор. Далее в ходе переговоров учитываются различные нюансы, такие как рейтинг банка, его финансовое состояние, количество клиентов. В соответствии с договоренностями определяется план количества эмитированных карт, скажем за год. Банк проходит сертификацию. И размещает начальные операционные средства на корреспондентском счете Платежной системы. Эти средства необходимы для того, чтобы можно было проводить клиринговые расчеты, как с Платежной системой, так и с банками-эквайерами. Это оффлайн. И подобные расчеты проводятся раз в день, обычно. По правилам платежных систем задержка в подобных расчетах не должна превышать более трех дней. Наличие "несгораемой" суммы на счете Платежной системы сделано для того, чтобы оперативно рассчитаться с другими участниками программы или по-другому, банками-эквайерами.

В правилах международных Платежных систем также есть другое правило: банк-эквайер не может брать комиссию при операциях выдачи наличных (исключение, о, да, бывшая локальная система STB), а также при совершении операций с помощью пластиковых карт в торгово-сервисных предприятиях (последнее не может делать также и банк-эмитент). Исключение составляют такой тип операций, как именно перевод денежных средств, по типу оплаты коммунальных платежей или штрафов, или перевода с карты на карту.

Каждый участник международной Платежной системы имеет свой, как это говорится, "skill", т.е. рейтинг. Дело в том, что в договорах это прописано. Что это означает? То, что при достижения череcчур низкого рейтинга за некоторый период времени или слишком частых нарушений правил Платежной системы данного участника из нее исключают. Есть такое понятие как "чарджбек". И за каждое необоснованное выставление претензий банки несут собственные потери, т.к. за арбитраж Платежная система снимает свою комиссию на судебные издержки. Именно поэтому клиенту банков зачастую трудно доказать свою правоту.

Большую часть из того, что я описал, относится к "бэк-офису", т.е. бухгалтерским операциям и клирингу, когда клиент уже совершил операцию или выставил претензию за необоснованность списания средств со своего счета.

Для тех, кто все же нашел смелость для себя и дочитал до этого момента, продолжу. "Бэк-офис" и "Фронт-офис" - две составляющие процессингого центра. "Фронт-офис" - это та система, которая позволяет вам быстро получить денежные наличные средства, товар или услугу так, как если бы вы расплачивались наличными. Ни одна, ни другая часть отдельно друг от друга не могут существовать и всегда находятся в единстве.

Ах, да. А кто же у нас Агрегатор и как он вписывается в общую схему? Банк предлагает клиентам стандартный набор услуг - получи пластиковую карту и живи. Ранее вы могли с ее помощью оплачивать в крупных магазинах свои покупки, в банкомате после зачисления зарплаты снимать все свои денежные средства со счета, ну, или оставить часть до лучших времен. Теперь же, с помощью пластиковых карт можно оплачивать интернет, мобильную связь, совершать покупки в интернет-магазинах, бронировать билеты и многое другое. Все это возможно именно с помощью Агрегаторов, которые консолидировали в себе весь тот набор, который помогает картодержателю совершать необходимые ему действия, не вставая с кресла. При этом необязательно, чтобы Агрегатор был завязан на одну кредитную организацию. Главное, чтобы он выполнял все требования этих самых кредитных организаций, а, следовательно, и Платежных систем.

Оргвыводы

Те законодательные инициативы, которые вчера, были в Государственной Думе, лично меня несколько расстроили. Все же для принятия поправок или уточнений, на мой взгляд, следовало бы привлечь специалистов из сектора пластиковых карт, т.к. именно они являются основными носителями знаний технологии и правил международных платежных систем. В данной среде существуют множество устоявшихся терминов, которыми пользуются, в том числе и в договорах. В данной среде существует серьезное понимание всех технологических процессов.

И наконец, регулирование прав всех участников Платежных систем. Объединенная Расчетная Система (ОРС) была создана без поддержки государства на основе Платежных систем Visa и MasterCard и замкнула на себя все локальные транзакции российских банков участников этого объединения при совершении операций через банкоматы.

Понятно, что без помощи государства нельзя обойтись в построении Национальной Платежной Системы, это все же стратегическая вещь. Но привлечь специалистов с нашей стороны, привлечь международные Платежные системы за стол переговоров, было просто необходимо. Ведь именно сейчас тот момент, когда мы можем продавить международные Платежные системы сделать продукт комбинированным: карты будут работать и с их системой и с нашей! И потом создать официальную рабочую группу, которая бы приступила к созданию нашей системы совершенно логично. Ничего этого не было сделано. Виден только "Сбербанк" на поверхности.

Какими правилами будет руководствоваться Национальная Платежная Система (НПС)? Неясно. Здесь есть нюанс - если государство заявляет об НПС и берет на себя основные функции, то хотя бы проект договора участникам будущей системы опубликуйте. На текущий момент все определения в законе размыты. Его можно трактовать как в ту, так и в другую стороны.

Зачем ЦБ РФ понадобилось принуждать вносить средства международных Платежных систем на свои корсчета также неясно. Как будут проходить взаиморасчеты в случае форс-мажорных ситуаций, например, между участниками Платежной системы Visa? И как ЦБ разберется, кому деньги возвращать, кому нет? Договора с Платежными системами заключаются в двустороннем порядке, отсюда вопрос, а где прописан механизм участия ЦБ? Если Банк потерял кредит доверия или, как я ранее говорил, свой рейтинг, Платежная система вправе отказать в участии, но при этом обязуется уведомить Банк об этом. Это заложено в правилах. В общем, кто знает ответы на эти вопросы, будьте так добры, поделитесь своими соображениями или ссылками.

В целом, ни о чем (вот оригинал). С весьма "вольными формулировками", принимавшийся в спешке. И да, если завтра вы заметите, что с вас при обслуживании по пластиковой карте сняли чуть больше денег, не удивляйтесь - банки будут компенсировать возникшие затраты за ваш счет. Потому как перевести на корсчет Платежной системы для операционных расходов 500 тысяч долларов это одно, другое отзеркалировать эту же сумму на счет в ЦБ (Платежная система вряд ли будет этим заниматься).

Одна хорошая новость - с 2016 года все же обяжут работать международные Платежные системы с внутренними региональными процессинговыми центрами. И очень надеюсь, что Национальная Платежная Система все же обретет свои черты в виде чиповых карт.

Надеюсь, в ближайшее время, когда спадет ажиотаж, все прояснится.

Специально для сайта "Война и Мир", Well

1. Оператором платежной системы может являться кредитная организация, организация, не являющаяся кредитной организацией и созданная в соответствии с законодательством Российской Федерации, Банк России или ВЭБ.РФ.

2. Оператор платежной системы, являющийся кредитной организацией, Банком России или ВЭБ.РФ, может совмещать свою деятельность с деятельностью оператора по переводу денежных средств, оператора услуг платежной инфраструктуры и с иной деятельностью, если это не противоречит законодательству Российской Федерации.

(см. текст в предыдущей редакции)

3. Оператор платежной системы, не являющийся кредитной организацией, может совмещать свою деятельность с деятельностью оператора услуг платежной инфраструктуры (за исключением расчетного центра) и с иной деятельностью, если это не противоречит законодательству Российской Федерации.

4. Банк России осуществляет деятельность оператора платежной системы на основании настоящего Федерального закона в соответствии с нормативными актами Банка России и заключаемыми договорами.

5. Оператор платежной системы обязан:

1) определять правила платежной системы, организовывать и осуществлять контроль за их соблюдением участниками платежной системы, операторами услуг платежной инфраструктуры;

2) осуществлять привлечение операторов услуг платежной инфраструктуры, за исключением случая, если оператор платежной системы совмещает функции оператора услуг платежной инфраструктуры, исходя из характера и объема операций в платежной системе, вести перечень операторов услуг платежной инфраструктуры, обеспечивать бесперебойность оказания услуг платежной инфраструктуры участникам платежной системы, а также информировать Банк России, участников платежной системы о случаях и причинах приостановления (прекращения) оказания услуг платежной инфраструктуры в день такого приостановления (прекращения) в порядке

(см. текст в предыдущей редакции)

3) организовывать систему управления рисками в платежной системе в соответствии со статьей 28 настоящего Федерального закона, осуществлять оценку и управление рисками в платежной системе, обеспечивать бесперебойность функционирования платежной системы в порядке , установленном Банком России;

(см. текст в предыдущей редакции)

4) обеспечивать возможность досудебного и (или) третейского рассмотрения споров с участниками платежной системы и операторами услуг платежной инфраструктуры в соответствии с правилами платежной системы.

6. Оператор платежной системы, не являющийся кредитной организацией, обязан привлечь в качестве расчетного центра кредитную организацию, которая не менее одного года осуществляет перевод денежных средств по открытым в этой кредитной организации банковским счетам.

7. Организация, намеревающаяся стать оператором платежной системы, должна направить в Банк России регистрационное заявление по форме и в порядке , которые установлены Банком России.

8. К регистрационному заявлению кредитной организации, намеревающейся стать оператором платежной системы, прилагаются следующие документы:

1) решение органа управления кредитной организации об организации платежной системы;

2) бизнес-план развития платежной системы на ближайшие два календарных года с указанием целей и планируемых результатов организации платежной системы, включая анализ рыночных и инфраструктурных факторов;

4) перечень операторов услуг платежной инфраструктуры, которые будут привлекаться для оказания услуг платежной инфраструктуры в платежной системе.

9. Организация, не являющаяся кредитной организацией, намеревающаяся стать оператором платежной системы, должна соответствовать следующим требованиям:

1) обладать чистыми активами в размере не менее 10 миллионов рублей;

2) физические лица, занимающие должности единоличного исполнительного органа и главного бухгалтера такой организации, должны иметь высшее экономическое, высшее юридическое образование или высшее образование в сфере информационных и коммуникационных технологий, а при наличии иного высшего образования - опыт руководства отделом или иным подразделением кредитной организации или оператора платежной системы не менее двух лет;

(см. текст в предыдущей редакции)

3) физические лица, занимающие должности единоличного исполнительного органа и главного бухгалтера такой организации, не должны иметь судимость за преступления в сфере экономики, а также фактов расторжения трудового договора с ними по инициативе работодателя на основании, предусмотренном пунктом 7 части первой статьи 81 Трудового кодекса Российской Федерации, в течение двух лет, предшествовавших дню подачи в Банк России регистрационного заявления.

10. К регистрационному заявлению организации, не являющейся кредитной организацией, намеревающейся стать оператором платежной системы, прилагаются следующие документы:

1) учредительные документы;

2) решение уполномоченного органа такой организации об организации платежной системы;

3) бизнес-план развития платежной системы на ближайшие два календарных года с указанием целей и планируемых результатов организации платежной системы, включая анализ рыночных и инфраструктурных факторов;

4) правила платежной системы, соответствующие требованиям настоящего Федерального закона;

5) перечень операторов услуг платежной инфраструктуры, которые будут привлекаться для оказания услуг платежной инфраструктуры в платежной системе;

6) письменное согласие кредитной организации, в том числе в форме заключенного с ней договора, стать расчетным центром платежной системы с учетом требований части 6 настоящей статьи;

7) документы, содержащие сведения о размере чистых активов организации, с приложением форм бухгалтерской отчетности, составленной на последнюю отчетную дату, предшествующую дате представления документов в Банк России для регистрации. Указанные формы отчетности должны быть подписаны единоличным исполнительным органом организации и главным бухгалтером (их заместителями);

11. В срок, не превышающий 30 календарных дней со дня получения регистрационного заявления от организации, намеревающейся стать оператором платежной системы, Банк России принимает решение о регистрации указанной организации в качестве оператора платежной системы или решение об отказе в такой регистрации.

12. В случае принятия решения о регистрации организации в качестве оператора платежной системы Банк России присваивает организации регистрационный номер, включает информацию о ней в реестр операторов платежных систем, который является общедоступным, и направляет организации регистрационное свидетельство по форме , установленной Банком России, в срок не позднее пяти рабочих дней с даты принятия указанного решения. Порядок ведения реестра операторов платежных систем устанавливается Банком России.

13. Организация, направившая в Банк России регистрационное заявление, вправе стать оператором платежной системы со дня получения регистрационного свидетельства Банка России.

14. Оператор платежной системы обязан указывать свой регистрационный номер при предоставлении информации о платежной системе.

15. Платежная система должна иметь наименование, указанное в правилах платежной системы, содержащее слова "платежная система". Ни одна организация в Российской Федерации, за исключением организации, зарегистрированной в реестре операторов платежных систем, не может использовать в своем наименовании (фирменном наименовании) слова "платежная система" или иным образом указывать на осуществление деятельности оператора платежной системы. Операторы услуг платежной инфраструктуры, участники платежной системы вправе указывать на принадлежность к платежной системе в соответствии с правилами платежной системы. Банк России вправе использовать слова "платежная система" в отношении платежной системы Банка России.

16. Оператор платежной системы, не являющийся кредитной организацией, обязан соблюдать требования, предусмотренные частью 9 настоящей статьи, в течение всего времени осуществления деятельности оператора платежной системы.

17. Банк России отказывает кредитной организации в регистрации в качестве оператора платежной системы в случае:

18. Банк России отказывает организации, не являющейся кредитной организацией, в регистрации в качестве оператора платежной системы в случае:

3) несоответствия разработанных правил платежной системы требованиям настоящего Федерального закона.

19. В случае отказа в регистрации в качестве оператора платежной системы Банк России в письменной форме уведомляет об этом организацию, направившую регистрационное заявление, с указанием оснований отказа и приложением представленных для регистрации документов в срок не позднее пяти рабочих дней с даты принятия решения об отказе в регистрации.

20. Организация, являющаяся оператором платежной системы, намеревающаяся стать оператором другой платежной системы, обязана направить в Банк России дополнительное регистрационное заявление по форме и в порядке , которые установлены Банком России, с указанием регистрационного номера в реестре операторов платежных систем.

21. К дополнительному регистрационному заявлению кредитной организации, являющейся оператором платежной системы, намеревающейся стать оператором другой платежной системы, прилагаются документы, предусмотренные частью 8 настоящей статьи.

22. К дополнительному регистрационному заявлению организации, не являющейся кредитной организацией, являющейся оператором платежной системы, намеревающейся стать оператором другой платежной системы, прилагаются документы, предусмотренные пунктами 2 - 8 части 10 настоящей статьи.

23. Банк России принимает решение о регистрации организации, являющейся оператором платежной системы, намеревающейся стать оператором другой платежной системы, или решение об отказе в такой регистрации в срок, не превышающий 30 календарных дней со дня получения дополнительного регистрационного заявления.

24. В случае принятия решения о регистрации организации, являющейся оператором платежной системы, в качестве оператора другой платежной системы Банк России включает информацию в реестр операторов платежных систем без присвоения нового регистрационного номера и направляет организации уведомление по форме , установленной Банком России, в срок не позднее пяти рабочих дней с даты принятия соответствующего решения.

25. Организация вправе стать оператором другой платежной системы со дня получения уведомления Банка России о регистрации организации, являющейся оператором платежной системы, в качестве оператора другой платежной системы.

26. Не позднее дня, следующего за днем получения уведомления Банка России, организация обязана направить в Банк России ранее выданное регистрационное свидетельство.

27. Банк России направляет организации новое регистрационное свидетельство с указанием платежных систем, оператором которых является организация, на следующий рабочий день после дня получения от организации ранее выданного регистрационного свидетельства.

28. Банк России принимает решение об отказе в регистрации кредитной организации, являющейся оператором платежной системы, в качестве оператора другой платежной системы при непредставлении документов, предусмотренных частью 8 настоящей статьи.

29. Банк России принимает решение об отказе в регистрации организации, не являющейся кредитной организацией, являющейся оператором платежной системы, в качестве оператора другой платежной системы при непредставлении документов, предусмотренных пунктами 2 - 8 части 10 настоящей статьи, либо при несоответствии оператора платежной системы установленным требованиям.

30. При изменении сведений об операторе платежной системы, указанных при его регистрации, оператор платежной системы обязан уведомить Банк России по установленной им форме в течение трех рабочих дней после дня наступления таких изменений. На основании полученного уведомления оператора платежной системы Банк России в течение трех рабочих дней со дня его получения вносит соответствующие изменения в реестр операторов платежных систем.

31. Банк России вправе принимать решения об исключении сведений об организации из реестра операторов платежных систем по следующим основаниям и в следующие сроки:

1) на основании заявления оператора платежной системы с указанием им рабочего дня, в который сведения об организации исключаются из реестра операторов платежных систем, - в рабочий день, указанный в заявлении, но не ранее дня представления заявления оператора платежной системы;

3) в случае установления Банком России при осуществлении надзора факта существенного несоответствия сведениям, на основании которых осуществлялась регистрация оператора платежной системы, - в рабочий день, следующий за днем принятия решения Банком России;

33. При исключении сведений об организации из реестра операторов платежных систем Банк России вносит соответствующую запись в реестр операторов платежных систем и не позднее дня, следующего за днем такого исключения, направляет организации уведомление об исключении сведений о ней из реестра операторов платежных систем, за исключением случая, предусмотренного пунктом 5 части 31 настоящей статьи. Не позднее дня, следующего за днем получения уведомления Банка России, организация обязана возвратить Банку России свое регистрационное свидетельство.

34. Со дня, следующего за днем получения оператором платежной системы, не являющимся кредитной организацией, уведомления об исключении сведений из реестра операторов платежных систем, осуществление переводов денежных средств в рамках платежной системы прекращается, а переводы денежных средств, осуществление которых было начато до указанного дня, должны быть завершены центральным платежным клиринговым контрагентом и (или) расчетным центром в течение срока, установленного частью 5 статьи 5 настоящего Федерального закона. В отношении значимых платежных систем срок прекращения осуществления и завершения переводов денежных средств может быть увеличен Банком России, но не более чем до одного месяца.

35. Порядок завершения переводов денежных средств центральным платежным клиринговым контрагентом и (или) расчетным центром в случае отзыва у них лицензий на осуществление банковских операций определяется федеральным законом.

36. Оператор платежной системы обязан представлять в Банк России изменения правил платежной системы, изменения перечня операторов услуг платежной инфраструктуры не позднее 10 дней со дня внесения соответствующих изменений.

37. Операторы платежных систем могут заключить договор о взаимодействии своих платежных систем при условии отражения порядка такого взаимодействия в правилах платежных систем.

38. Деятельность оператора платежной системы, в рамках которой осуществляется перевод денежных средств между операторами по переводу денежных средств, находящимися на территории Российской Федерации, может осуществляться только организацией, созданной в соответствии с законодательством Российской Федерации и соответствующей требованиям настоящего Федерального закона.

39. Оператор по переводу денежных средств, за исключением Банка России, у которого открыты банковские счета не менее трех других операторов по переводу денежных средств и между этими счетами осуществляются переводы денежных средств в течение трех месяцев подряд в размере , превышающем значение, установленное Банком России, обязан обеспечить в соответствии с требованиями настоящей статьи направление в Банк России заявления о регистрации оператора платежной системы в течение 30 дней после дня начала соответствия указанному требованию. По истечении четырех месяцев после дня начала соответствия указанному требованию осуществление перевода денежных средств между банковскими счетами операторов по переводу денежных средств, открытыми у такого оператора по переводу денежных средств, допускается только в рамках платежной системы. Требования настоящей части не распространяются на операторов по переводу денежных средств, являющихся расчетными центрами платежных систем, операторы платежных систем которых зарегистрированы Банком России, в части переводов денежных средств, осуществляемых в рамках указанных платежных систем.

40. Банк России направляет организации, осуществляющей деятельность оператора платежной системы и не направившей в Банк России регистрационное заявление в соответствии с настоящей статьей, требование о регистрации такой организации в качестве оператора платежной системы. Указанная организация обязана направить в Банк России регистрационное заявление не позднее 30 календарных дней со дня получения такого требования либо прекратить осуществление деятельности оператора платежной системы.

Возможно, вы уже слышали про национальную платёжную систему . Изначально планировалось, что эта штука станет альтернативой международным платёжным системам. В частности, в 1998 году Виза и Мастеркард прекратили делать переводы по своим картам из-за кризиса – а их, между прочим, 85% рынка банковского пластика.

Но в самом законе акцент в итоге сделали на выводе из тени электронных платежей , которые раньше никак не контролировались, и собственно предоставлении регуляторам возможности контролировать действия банков в области безналичных денежных переводов. Сейчас речь снова зашла о полноценном создании национальной платежной системы, поэтому есть смысл ждать скорых поправок относительно блокировки передачи данных в США и других соответствующих требований.

Чтобы участвовать во всём этом, нужно проделать реально сложную работу с IT и ИБ, причём выполнить и проверить её может только организация с соответствующей лицензией. У нас такая лицензия есть, поэтому ниже я коротко обозначу основные проблемы в такого рода работах, с которыми мы уже столкнулись.

Что такое НПС?

Благодаря принятию этого закона наши властные структуры планируют контроль за любыми безналичными денежными переводами.

Что это значит?

• операторов по переводу денежных средств
• банковских платежных агентов/субагентов
• платежных агентов
• организаций Почты России
• операторов платежных систем
• операторов услуг платежной инфраструктуры

Как это касается лично вас?

Как регулируется?

Сейчас деятельность финансовых организаций в области ИБ регулируется следующими основными документами:

• Серией стандартов 27 (как ИСО так и ГОСТ Р). Сейчас они рекомендательные, но по ПП822 может быть принято решение об обязательном соблюдении их требований.
• Стандарты Центробанка России. Федеральным Законом от 27.12.2002 № 184-ФЗ «О техническом регулировании» установлен рекомендательный статус стандартов и иных документов по стандартизации. Однако в соответствии с ним же при присоединении к стандарту по добровольному решению организации, они становятся обязательными.
• Cтандарты международных платежных систем - PCI DSS. Теоретически возможны штрафы за несоблюдение (пока случаев в России нет), но зато бывают отказы в согласовании проектов. PCI DSS, фактически - конкретные технические требования.
• Закон «О персональных данных», естественно обязательный для выполнения, санкции по закону предусмотрены, на текущий момент планируется увеличение санкций и расширение состава правонарушений по нарушениям в области обработки/защиты персональных данных со стороны РКН.
• И последний – это 161 ФЗ «О национальной платежной системе», принятый 27 июня 2011 года, и группа подзаконных нормативных актов, принятых в соответствии с ним – это и Постановление правительства, и документы ЦБ. Является обязательным.

Правила игры примерно такие:

Насколько сырые документы?

Или вот более отдалённый пример, показывающий ряд особенностей таких оповещений. Один из банков просто сохранил платную услугу оповещения, второй начал оповещать бесплатно (но вот одноразовый пароль к данным – в платной части этой услуги), третий раздал клиентам терминалы для генерации паролей, но «переместил» их стоимость в другие услуги так, что её теперь сложно найти без подготовки. И, в целом, это только начало. Кто сталкивался, знает, сколько там неясных мест в плане технического и организационного регламента. Документы требуют очень детальной проработки, и это, как мне кажется, дело не одного месяца или даже года.

Что важно знать, если вы – потенциальный участник НПС

• Участники НПС обязаны защищать информацию
• Правительство РФ устанавливает требования к защите информации
• Требования к защите информации и контроль их выполнения также устанавливает Банк России, пока по факту это единственный регулятор
• Вводится система управления рисками для снижения вероятности перебоев в функционировании ПС.
• Ключевая цель защиты информации в ПС – обеспечение бесперебойности функционирования ПС
• В случае хищения денежных средств со счета клиента банк при определенных условиях обязан возместить полную сумму похищенных средств.

А теперь все будущие проблемы организаций одним списком

• Появились новые требования к защите информации в НПС от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, распространения и др. На соблюдение конфиденциальности информации, на реализацию права на доступ к информации. Им нужно следовать.
• Необходимо в принципе иметь службу ИБ.
• Важно определить порядок доступа к объектам инфраструктуры ПС,
• Нужно включить в обязанности работников выполнения требований ИБ,
• Обязательно определить угрозы ИБ и уязвимости,
• Нужно провести анализ рисков ИБ и начать ими управлять,
• Нужно постоянно выявлять инциденты ИБ и реагировать на них, и соответственно ежемесячно отчитываться об этом перед ЦБ.
• Необходимо обеспечить защиту информации при использовании интернета и пр.
• Необходимо разработать и реализовать систему защиты информации в информационных системах.
• Организовать и провести мероприятия по контролю и оценке соответствия не реже 1 раза в 2 года и опять же отчитаться об этом перед ЦБ.

• СЗИ от НСД
• Антивирус
• Межсетевой экран
• IDS/IPS
• Средство анализа защищенности

Что делать, доктор?

А если у меня всё уже есть?

Делаются следующие вещи:

• Оценка соответствия требованиям к защите информации по 161-ФЗ
• Разработка рекомендаций по приведению СОИБ в соответствие требованиям 161-ФЗ
• Разработка и совершенствование существующей ОРД по обеспечению ИБ
• Инвентаризация информационных активов, анализ и описание бизнес-процессов
• Проведение оценки рисков ИБ
• Техническое проектирование системы ИБ
• Внедрение технических средств защиты информации
• Анализ защищенности информационных систем и тестирование на проникновение
• Повышение осведомленности по вопросам обеспечения ИБ
• Выстраивание процессов управления инцидентами.

Таким образом, оценивая актуальную угрозу информационной безопасности, мы строим модели угроз, в которых прописаны, какие угрозы актуальны и как мы их собираемся закрывать. Это могут быть как технические меры, так и организационные, важно при этом, чтобы соблюдался принцип экономической целесообразности выбора той или иной защитной меры.

Наша цель при проведении таких