НАЦІОНАЛЬНИЙ БАНК УКРАЇНИ Департамент інспектування банків
ЛИСТ
01.09.2011 N 42-108/12130-10397
Банкам України
Про запровадження перевірок банків з питань ІТ-ризику
На виконання постанови Правління Національного банку України "Про набрання чинності стандартами з управління інформаційною безпекою в банківській системі України" від 28.10.2010 N 474 ( v0474500-10 ) (далі - Постанова N 474) банки України повинні до 01.10.2011 впровадити системи управління інформаційною безпекою (далі - СУІБ) відповідно до стандартів Національного банку (1) (далі - Стандарти).
_______________ (1) СОУ Н НБУ 65.1 СУІБ 1.0:2010 "Методи захисту в банківській діяльності. Система управління інформаційною безпекою. Вимоги" (ISO/IES 27001:2005, MOD) і СОУ Н НБУ 65.1 СУІБ 2.0:2010 "Методи захисту в банківській діяльності. Звід правил для управління інформаційною безпекою" (ISO/IES 27002:2005, MOD).
Враховуючи вищевикладене, інформуємо Вас, що починаючи з 01.10.2011 Національний банк України розпочинає перевірки ІТ-ризику як складової операційно-технологічного ризику під час проведення інспекційних перевірок банків України (далі - Перевірки ІТ-ризику).
Інформаційною основою перевірки ІТ-ризику є Стандарти, які ґрунтуються на міжнародних стандартах ISO/IES 27001:2005 та ISO/IES 27002:2005, з додаванням вимог щодо захисту інформації, зумовлених конкретними потребами банківської діяльності та правовими вимогами, передбаченими нормативно-правовими актами Національного банку.
Перевірки ІТ-ризику будуть здійснюватись відповідно до розроблених Національним банком Методичних рекомендацій щодо впровадження системи управління інформаційною безпекою та методики оцінки ризиків відповідно до стандартів Національного банку України (далі - Методичні рекомендації).
Звертаємо Вашу увагу, що Національний банк відповідно до статті 66 Закону України "Про банки і банківську діяльність" ( 2121-14 ) (далі - Закон про банки) здійснює адміністративне регулювання діяльності банків шляхом надання рекомендацій щодо їх діяльності. У разі порушення банками банківського законодавства, нормативно-правових актів Національного банку України, його вимог, встановлених відповідно до статті 66 Закону про банки, зокрема щодо Стандартів СУІБ і ІТ-ризику, або здійснення ризикової діяльності шляхом ігнорування управлінням ІТ-ризиками, що можуть загрожувати інтересам вкладників чи інших кредиторів банку, Національний банк України має право застосувати адекватні заходи впливу.
Заступник Голови Національного банку України І.В.Соркін