Ключовий суб'єкт інформаційного захисту зобов'язаний розробити додатково до передбачених у пункті 11 розділу III цього Положення такі внутрішні документи з питань захисту інформації, кіберзахисту та інформаційної безпеки під час надання платіжних послуг:
1) політику резервного копіювання, яка повинна містити порядок виконання процедур резервного копіювання критичних даних, регламент перевірки цілісності та працездатності резервних копій;
2) політику обмеження використання змінних носіїв інформації;
3) політику захисту від шкідливого програмного забезпечення (далі - ПЗ), зловмисного коду та вірусів.