11.1. Платежная организация принимает все меры, чтобы участники расчетов Asia Pay соблюдали конфиденциальность в отношении сведений не являющихся общедоступными о других Участниках, ставших известными им в связи с присоединением к настоящим Правилам, за исключением случаев, когда информация:
- раскрыта по требованию или с разрешения Участника расчетов, являющегося Владельцем данной информации;
- подлежит предоставлению третьим лицам в объеме, необходимом для исполнения обязательств, предусмотренных настоящими Правилами;
- требует раскрытия по основаниям, предусмотренным законодательством Республики Казахстан.
11.2. Доступ к электронному кошельку и совершение любых операций с использованием электронного кошелька возможно исключительно после аутентификации Владельца ЭД.
11.3. Аутентификация Владельца ЭД при доступе к электронному кошельку осуществляется программным обеспечением предоставляемым Платежной организацией с использованием авторизационных данных Владельца ЭД: логина, пароля, номера сотового телефона и, при необходимости, специальных SMS-сообщений.
11.4. Оператор обеспечивает бесперебойное функционирование системы Asia Pay в режиме 24/7/365 (24 часа в день, 7 дней в неделю, 365 дней в году), за исключением времени проведения профилактических работ.
11.5. Оператор обеспечивает защиту информации о средствах и методах обеспечения информационной безопасности, персональных данных и об иной информации, подлежащей обязательной защите в соответствии с законодательством Республики Казахстан, которая может стать ему известной в ходе осуществления деятельности в Платежной организации ЭД.
11.6. Участники расчетов обязуются принимать все необходимые меры для обеспечения безопасности и по защите информации и документов, обмен которыми осуществляется в Платежной организации или которые доступны Участникам расчетов в связи с использованием Платежной организации, а также с целью выявления (предотвращения) мошенничества и противодействия легализации доходов, полученных преступным путем, и финансированию терроризма.
11.7. Средства и меры предотвращения несанкционированного доступа к программно- техническим средствам, применяемые в Платежной организации, включая программно-технические средства защиты, должны обеспечивать уровень защиты информации и сохранение ее конфиденциальности в соответствии с требованиями, установленными законодательством Республики Казахстан. Участники расчетов обязуются принимать все необходимые меры по сохранению конфиденциальности, предотвращению несанкционированного использования и защите идентификационных данных от несанкционированного доступа со стороны третьих лиц.
11.8. В случае утраты авторизационных данных Участником, Оператор предоставляет ему возможность восстановления доступа к электронному кошельку путем подачи соответствующего заявления по установленной Оператором форме на интернет-ресурс Оператора. При этом неидентифицированный Владелец электронных денег – физическое лицо для восстановления доступа к электронному кошельку подает соответствующее заявление по установленной Оператором форме в любой из офисов Оператора, а также предоставлением доказательств владения и пользования электронным кошельком, доступ к которому восстанавливается (например, предоставлением перечня последних операций с использованием кошелька), при этом достаточность указанных доказательств определяется по исключительному усмотрению Оператора.
11.9. Платежная организация, действуя в качестве Оператора систем электронных денег, обеспечивает создание и функционирование системы управления информационной безопасностью, являющейся частью общей системы управления Оператора систем электронных денег, предназначенной для управления процессом обеспечения информационной безопасности.
11.10. Система управления информационной безопасностью обеспечивает защиту информационных активов Оператора систем электронных денег, допускающую минимальный уровень потенциального ущерба для бизнес-процессов Оператора систем электронных денег.
11.11. Платежная организация, действуя в качестве Оператора систем электронных денег, обеспечивает надлежащий уровень системы управления информационной безопасностью, ее развитие и улучшение.
11.12. Платежная организация, действуя в качестве Оператора систем электронных денег, в целях обеспечения конфиденциальности, целостности и доступности информации осуществляет следующие функции:
- организует систему управления информационной безопасностью, осуществляет координацию и контроль деятельности по обеспечению информационной безопасности и мероприятий по выявлению и анализу угроз, противодействию атакам и расследованию инцидентов информационной безопасности;
- обеспечивает методологическую поддержку процесса обеспечения информационной безопасности, формализует и поддерживаются в актуальном состоянии следующие процессы: Управление доступом для работников и третьих лиц, Управление изменениями в информационных активах, Управление уязвимостями, Управление инцидентами, Управление резервированием и архивированием информационных активов, Обучение и повышение осведомленности персонала.
- осуществляет выбор, внедрение и применение методов, средств и механизмов управления, обеспечения и контроля информационной безопасности в рамках своих полномочий;
- осуществляет сбор, консолидацию, хранение и обработку информации об инцидентах информационной безопасности;
- осуществляет анализ информации об инцидентах информационной безопасности;
- обеспечивает внедрение, надлежащее функционирование программно-технических средств, автоматизирующих процесс обеспечения информационной безопасности, а также предоставление доступа к ним;
- определяет ограничения по использованию привилегированных учетных записей;
- организует и проводит мероприятия по обеспечению осведомленности работников оператора систем электронных денег в вопросах информационной безопасности;
- осуществляет мониторинг состояния системы управления информационной безопасностью оператора систем электронных денег;
- периодически (но не реже одного раза в год) осуществляет информирование руководства Оператора системы электронных денег о состоянии системы управления информационной безопасностью.
11.13. Платежная организация, действуя в качестве Оператора систем электронных денег, управляет рисками информационной безопасности с указанием критериев приемлемого уровня по отношению к информационным активам.
11.14. При реализации рисков информационной безопасности разрабатывается план мероприятий, направленный на минимизацию возникновения подобных рисков.
11.15. Платежная организация предпринимает необходимые меры для обеспечения необходимой консолидации, систематизации и хранению информации об инцидентах информационной безопасности, полученная в ходе мониторинга деятельности по обеспечению информационной безопасности.
11.16. Срок хранения информации об инцидентах информационной безопасности составляет не менее 5-и (пяти) лет.
11.17. Платежная организация, действуя в качестве Оператора систем электронных денег, определяет порядок принятия неотложных мер к устранению инцидента информационной безопасности, его причин и последствий. Данный порядок подлежит регламентации в виде бизнес-процесса и утверждения его Приказом первого руководителя Платежной организации.
11.18. Платежная организация, действуя в качестве Оператора систем электронных денег, ведет журнал учета инцидентов информационной безопасности с отражением всей информации об инциденте информационной безопасности, принятых мерах и предлагаемых корректирующих мерах.
11.19. Платежная организация, действуя в качестве Оператора систем электронных денег, предоставляет в Национальный Банк информацию о следующих выявленных инцидентах информационной безопасности:
- эксплуатация уязвимостей в прикладном и системном программном обеспечении;
- несанкционированный доступ в информационную систему;
- атака «отказ в обслуживании» на информационную систему или сеть передачи данных;
- заражение сервера вредоносной программой или кодом;
- совершение несанкционированного перевода электронных денег вследствие нарушения контролей информационной безопасности;
- инцидентах информационной безопасности, несущих угрозу стабильности деятельности оператора системы электронных денег.
11.20. Указанная информация об инцидентах информационной безопасности, предоставляется Платежной организацией в возможно короткий срок, но не позднее 48 часов с момента выявления, в виде карты инцидента информационной безопасности.
11.21. Информация по обработанным инцидентам информационной безопасности представляется в электронном формате с использованием платформы Национального Банка для обмена событиями и инцидентами информационной безопасности.
11.22. Платежная организация принимает меры для фиксации каждого инцидента информационной безопасности.
11.23. Платежная организация оставляет за собой право делегировать обеспечение информационной безопасности третьей стороне.