Глава 1. Общие положения

1.1. В целях нейтрализации угроз безопасности, актуальных при обработке, включая сбор и хранение, биометрических персональных данных, их проверке и передаче информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, определенных Указанием Банка России N 4859-У, Публичного акционерного общества "Ростелеком" N 01/01/782-18 от 9 июля 2018 года "О перечне угроз безопасности, актуальных при обработке, включая сбор и хранение, биометрических персональных данных, их проверке и передаче информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации в государственных органах, банках и иных организациях, указанных в абзаце первом части 1 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" в Единой биометрической системе" (далее - Указание Банка России N 4859-У) Банк России доводит до сведения кредитных организаций (далее - банки) следующие рекомендации по обеспечению информационной безопасности.

1.2. Настоящие рекомендации по обеспечению информационной безопасности банкам рекомендуется применять при использовании ЕБС на следующих технологических участках.

1.2.1. В процессе сбора биометрических персональных данных физических лиц для целей передачи в ЕБС:

на технологическом участке сбора биометрических персональных данных физических лиц;

на технологическом участке передачи собранных биометрических персональных данных физических лиц между структурными подразделениями банка;

на технологическом участке обработки собранных биометрических персональных данных физических лиц с целью передачи в ЕБС с использованием Единой системы межведомственного электронного взаимодействия (далее - СМЭВ);

на технологическом участке передачи биометрических персональных данных физических лиц в ЕБС с использованием СМЭВ.

1.2.2. В процессе обработки запросов физических лиц и их персональных данных, а также информации о степени соответствия в целях проведения идентификации физического лица без его личного присутствия с использованием биометрических персональных данных (далее - удаленная идентификация):

на технологическом участке удаленной идентификации клиента - физического лица;

на технологическом участке проверки результатов удаленной идентификации клиента - физического лица в Единой системе идентификации и аутентификации (далее - ЕСИА) и ЕБС;

на технологическом участке взаимодействия банка с ЕСИА и ЕБС.

1.3. Банкам рекомендуется обеспечивать защиту информации при использовании ЕБС с применением средств криптографической защиты информации, имеющих подтверждение соответствия требованиям, установленным федеральным органом исполнительной власти в области обеспечения безопасности (далее - СКЗИ), разработанных и эксплуатируемых в соответствии с Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденным приказом Федеральной службы безопасности Российской Федерации от 9 февраля 2005 года N 66, зарегистрированным Министерством юстиции Российской Федерации 3 марта 2005 года N 6382, 25 мая 2010 года N 17350 (далее - Положение ПКЗ-2005), и технической документацией на СКЗИ.