Суб'єкт інформаційного захисту повинен до початку своєї діяльності розробити такі внутрішні документи з питань захисту інформації, кіберзахисту та інформаційної безпеки в під час надання платіжних системах:послуг:
{Абзац перший пункту 11 розділу III із змінами, внесеними згідно з Постановою Національного банку № 119 від 13.06.2022 }
1) політику інформаційної безпеки, що включає мету, завдання та загальні принципи забезпечення захисту інформації, кіберзахисту та інформаційної безпеки, перелік об'єктів, що підлягають захисту, моделі загроз та моделі порушників, основні положення щодо забезпечення захисту інформації, кіберзахисту та інформаційної безпеки, відповідальність за дотримання положень політики та контроль за її дотриманням;
2) документи, що визначають повноваження та відповідальність персоналу з питань забезпечення захисту інформації, кіберзахисту та інформаційної безпеки;
3) вимоги щодо захисту особистих ключів підписувачів від НСД;
4) методику відновлення та захисту критичних даних у разі втрати, компрометації чи пошкодження криптографічних ключів або носіїв критичних даних.
До критичних даних належать:
електронні документи на переказ;
платіжні інструкції в електронній формі;
паролі;
вразливі платіжні дані (індивідуальна облікова інформація, особисті криптографічні ключі, паролі доступу, коди операцій, інша інформація, що зазначається в платіжній інструкції та за допомогою якої можуть вчинятися шахрайські дії);
персональні дані;
архіви всіх цих даних;
5) вимоги до паролів, що не суперечать вимогам, визначеним у пункті 12 розділу III цього Положення.
{Підпункт 4 пункту 11 розділу III в редакції Постанови Національного банку № 119 від 13.06.2022 }
5) вимоги до паролів, що не суперечать вимогам, визначеним у пункті 12 розділу III цього Положення;
6) вимоги до захисту платіжних інструкцій в електронній формі від несанкціонованого знищення та модифікації.
{Підпункт 6 пункту 11 розділу III доповнено новим підпунктом згідно з Постановою Національного банку № 119 від 13.06.2022 }