4.1. ВИКОНАВЕЦЬ щомісяця до ___ числа _______ місяця надсилає ЗАМОВНИКУ системою ЕП розрахунок за виконані роботи згідно з діючими тарифами. ЗАМОВНИК має здійснити оплату послуг (а також пені) не пізніше ___ робочих днів після отримання розрахунку.
5. Форс-мажор
5.1. Сторони звільняються від відповідальності за часткове або повне невиконання будь-якого з положень цієї угоди, якщо це невиконання стало наслідком причин, що знаходяться поза сферою контролю невиконувальної сторони. Такі причини включають стихійне лихо, екстремальні погодні умови, пожежі, війни, страйки, військові дії, громадські безпорядки тощо (далі - форс-мажор), але не обмежуються ними. Період звільнення від відповідальності починається з часу оголошення невиконувальною стороною форс-мажору і закінчується (чи закінчився б), якщо невиконувальна сторона вжила б заходів, яких вона і справді могла б вжити, для виходу із форс-мажору. Форс-мажор автоматично продовжує строк виконання зобов'язань на весь період його дії та ліквідації наслідків. Термін виконання зобов'язань відсувається на весь період дії форс-мажорних обставин та ліквідації наслідків. Про настання форс-мажорних обставин сторони мають інформувати одна одну невідкладно. Якщо ці обставини триватимуть більше ніж 6 місяців, то кожна із сторін матиме право відмовитись від подальшого виконання зобов'язань за цим договором і в такому разі жодна із сторін не матиме права на відшкодування іншою стороною можливих збитків.
6. Порядок змін та розірвання договору
6.1. Сторона, яка вважає за необхідне змінити чи розірвати договір, надсилає пропозиції щодо цього другій стороні за договором.
6.2. Сторона, що одержала пропозицію про зміну чи розірвання договору, має відповісти на неї не пізніше 20 днів після одержання пропозиції. Якщо сторони не досягли згоди щодо зміни чи розірвання договору, а також у разі неодержання відповіді в установлений строк (з урахуванням часу поштового обігу) зацікавлена сторона має право передавати спір на вирішення господарського суду.
7. Порядок розгляду спорів
7.1. Спори, які виникають протягом дії договору, вирішуються шляхом переговорів. У разі недосягнення згоди - в господарському суді.
8. Строк дії договору
8.1. Договір, укладений на невизначений строк, набуває чинності з дня його підписання. Дія договору припиняється у випадках, передбачених чинним законодавством України.
9. Інші умови договору
9.1. Цей договір складено у двох примірниках, які мають однакову юридичну силу, по одному для кожної із сторін.
9.2. Надання ЗАМОВНИКУ інших послуг, не передбачених умовами цього договору, оформляється додатковими угодами.
9.3. Взаємовідносини сторін, не врегульовані цим договором, регулюються чинним законодавством України.
10. Місцезнаходження, банківські реквізити, ідентифікаційні коди сторін
10.1. Місцезнаходження, банківські реквізити,
ідентифікаційний код ВИКОНАВЦЯ:
__________________________________________________________________
__________________________________________________________________
10.2. Місцезнаходження, банківські реквізити,
ідентифікаційний код ЗАМОВНИКА:
__________________________________________________________________
__________________________________________________________________
10.3. Для вирішення всіх питань, пов'язаних з виконанням цього договору, відповідальними представниками є:
від ВИКОНАВЦЯ: _________________________________________
від ЗАМОВНИКА: _________________________________________
ВИКОНАВЕЦЬ ЗАМОВНИК
М.п. М.п.
-------------------------------------
Сторони можуть змінювати передбачені цим договором умови, а також установлювати інші умови, які мають відповідати чинному законодавству України та нормативно-правовим актам Національного банку України.
( Додаток 3 із змінами, внесеними згідно з Постановою Національного банку N 495 від 04.12.2001 )
Додаток 4
до Інструкції про міжбанківські
розрахунки в Україні
Зразок
Договір N ___
про надання послуг системою електронної пошти Національного банку України
м.________ _______________
(дата)
Національний банк України (далі - ВИКОНАВЕЦЬ) в особі _______
(посада)
___________________ _________________________________, який діє на
(назва установи) (прізвище, ім'я, по батькові)
підставі _________________ від _________ N ____, з одного боку, та
(назва документа)
____________________ (далі - ЗАМОВНИК) в особі ___________________
(назва установи) (посада)
____________________________, який діє на підставі _______________
(прізвище, ім'я, по батькові) (назва документа)
від ______ N ____, з другого боку, уклали договір про таке.
1. Предмет договору
1.1. ВИКОНАВЕЦЬ підключає ЗАМОВНИКА до системи електронної пошти Національного банку України (далі - система ЕП) та забезпечує передачу інформації засобами системи ЕП до/від ЗАМОВНИКА.
2. Права та зобов'язання сторін
2.1. ВИКОНАВЕЦЬ має право:
2.1.1. Запроваджувати нові програмно-технічні та технологічні засоби, розроблені для удосконалення послуг, що надаються ЗАМОВНИКУ.
2.1.2. Тимчасово зупиняти надання послуг ЗАМОВНИКУ в разі порушення ним технології роботи в системі ЕП.
2.2. ЗАМОВНИК має право:
2.2.1. Передавати інформацію іншим абонентам системи ЕП засобами системи ЕП, якщо це не суперечить чинному законодавству та нормативно-правовим актам Національного банку України.
2.3. ВИКОНАВЕЦЬ бере на себе зобов'язання:
2.3.1. Підключити ЗАМОВНИКА до системи ЕП і передавати інформацію засобами системи ЕП до/від ЗАМОВНИКА згідно з розпорядком роботи вузла системи ЕП ВИКОНАВЦЯ та за умови функціонування каналів зв'язку.
2.3.2. Надавати ЗАМОВНИКУ консультації щодо підготовки до роботи в системі ЕП та консультувати надалі з питань усунення непередбачених та екстремальних ситуацій протягом дії договору.
2.3.3. Передавати ЗАМОВНИКУ нові версії програмно-технічних та технологічних засобів, розроблених для удосконалення послуг, що надаються ЗАМОВНИКУ.
2.3.4. Своєчасно повідомляти ЗАМОВНИКА про тимчасове зупинення надання послуг.
2.4. ЗАМОВНИК бере на себе зобов'язання:
2.4.1. Діяти згідно з чинним законодавством та нормативно-правовими актами Національного банку України.
2.4.2. Дотримуватися технологічної дисципліни в системі ЕП.
2.4.3. Забезпечувати наявність необхідних технічних та програмних засобів системи ЕП згідно з вимогами ВИКОНАВЦЯ.
2.4.4. Забезпечувати належне збереження наданих ВИКОНАВЦЕМ програмних засобів і не передавати їх третім особам.
2.4.5. Використовувати під час роботи в системі ЕП лише офіційно придбані та зареєстровані за цим користувачем у розробників або в уповноважених ними установах та погоджені з ВИКОНАВЦЕМ програмні продукти.
2.4.6. Своєчасно оплачувати послуги ВИКОНАВЦЯ.
2.4.7. У разі виникнення екстремальних та непередбачених ситуацій узгоджувати план дій щодо їх усунення з ВИКОНАВЦЕМ.
2.4.8. Узгоджувати з ВИКОНАВЦЕМ унесення будь-яких змін в офіційно надане і супроводжуване ВИКОНАВЦЕМ програмно-інформаційне забезпечення системи ЕП (крім змін, передбачених параметрами настройки вузла ЗАМОВНИКА).
2.4.9. Своєчасно інформувати ВИКОНАВЦЯ про зміни місцезнаходження, телефонів, прізвищ відповідальних осіб тощо. В обов'язковому порядку відповідати на запити ВИКОНАВЦЯ щодо надання інформації, яка використовується для оперативної взаємодії із ЗАМОВНИКОМ.
2.4.10. Не передавати отриману системою ЕП інформацію третім особам, якщо це суперечить чинному законодавству України та нормативно-правовим актам Національного банку України.
2.4.11. Сплачувати ВИКОНАВЦЕВІ передбачену діючими тарифами суму за проведений фахівцями ВИКОНАВЦЯ аналіз нестандартних ситуацій, які виникли в роботі системи ЕП унаслідок помилок або навмисних порушень з боку персоналу ЗАМОВНИКА.
2.4.12. Сплачувати ВИКОНАВЦЕВІ передбачену діючими тарифами суму за проведений фахівцями ВИКОНАВЦЯ аналіз нестандартних ситуацій, які виникли в ЗАМОВНИКА та призвели до порушень у роботі інформаційно-обчислювальної мережі Національного банку України.
3. Відповідальність сторін
3.1. У разі прострочення оплати наданих послуг ЗАМОВНИК сплачує ВИКОНАВЦЕВІ суму боргу з урахуванням установленого індексу інфляції за весь час прострочення та три проценти річних з простроченої суми.
3.2. За затримку оплати наданих послуг ЗАМОВНИК сплачує ВИКОНАВЦЕВІ пеню у розмірі ____ відсотків від суми простроченого платежу за кожний день прострочення, але не більше подвійної облікової ставки Національного банку України, що діяла в період, за який сплачується пеня.
Плата за послуги та пеня не нараховуються, якщо тимчасове зупинення надання послуг системою ЕП триває більше місяця.
3.3. У разі заподіяння шкоди функціонуванню системи ЕП ЗАМОВНИК відшкодовує ВИКОНАВЦЮ завдані збитки.
3.4. ВИКОНАВЕЦЬ не несе відповідальності за зміст інформації, яка готується абонентами системи ЕП.
4. Порядок розрахунків
4.1. ВИКОНАВЕЦЬ щомісяця до _____ числа ______ місяця надсилає ЗАМОВНИКУ системою ЕП розрахунок за виконані роботи згідно з діючими тарифами. ЗАМОВНИК має здійснити оплату послуг (а також пені) не пізніше ____ робочих днів після отримання розрахунку.
5. Форс-мажор
5.1. Сторони звільняються від відповідальності за часткове або повне невиконання будь-якого з положень цієї угоди, якщо це невиконання стало наслідком причин, що знаходяться поза сферою контролю невиконувальної сторони. Такі причини включають стихійне лихо, екстремальні погодні умови, пожежі, війни, страйки, військові дії, громадські безпорядки тощо (далі - форс-мажор), але не обмежуються ними. Період звільнення від відповідальності починається з часу оголошення невиконувальною стороною форс-мажору і закінчується (чи закінчився б), якщо невиконувальна сторона вжила б заходів, яких вона і справді могла б вжити, для виходу із форс-мажору. Форс-мажор автоматично продовжує строк виконання зобов'язань на весь період його дії та ліквідації наслідків. Термін виконання зобов'язань відсувається на весь період дії форс-мажорних обставин та ліквідації наслідків. Про настання форс-мажорних обставин сторони мають інформувати одна одну невідкладно. Якщо ці обставини триватимуть більше ніж 6 місяців, то кожна із сторін матиме право відмовитись від подальшого виконання зобов'язань за цим договором і в такому разі жодна із сторін не матиме права на відшкодування іншою стороною можливих збитків.
6. Порядок змін та розірвання договору
6.1. Сторона, яка вважає за потрібне змінити чи розірвати договір, надсилає пропозиції щодо цього другій стороні за договором.
6.2. Сторона, що одержала пропозицію про зміну чи розірвання договору, має відповісти на неї не пізніше 20 днів після одержання пропозиції. Якщо сторони не досягли згоди щодо зміни чи розірвання договору, а також у разі неодержання відповіді в установлений строк (з урахуванням часу поштового обігу) зацікавлена сторона має право передавати спір на вирішення господарського суду.
7. Порядок розгляду спорів
7.1. Спори, які виникають протягом дії договору, вирішуються шляхом переговорів. У разі недосягнення згоди - в господарському суді.
8. Строк дії договору
8.1. Договір, укладений на невизначений строк, набуває чинності з дня його підписання. Дія договору припиняється у випадках, передбачених чинним законодавством України.
9. Інші умови
9.1. Цей договір складено у двох примірниках, які мають однакову юридичну силу, по одному для кожної із сторін.
9.2. Надання ЗАМОВНИКУ інших послуг, не передбачених умовами цього договору, оформляється додатковими угодами.
9.3. Взаємовідносини сторін, не врегульовані цим договором, регулюються чинним законодавством України.
10. Місцезнаходження, банківські реквізити, ідентифікаційні коди сторін
10.1. Місцезнаходження, банківські реквізити,
ідентифікаційний код ВИКОНАВЦЯ:
__________________________________________________________________
__________________________________________________________________
10.2. Місцезнаходження, банківські реквізити,
ідентифікаційний код ЗАМОВНИКА:
__________________________________________________________________
__________________________________________________________________
10.3. Для вирішення всіх питань, пов'язаних з виконанням цього договору, відповідальними представниками є:
від ВИКОНАВЦЯ: _________________________________________
від ЗАМОВНИКА: _________________________________________
ВИКОНАВЕЦЬ ЗАМОВНИК
М.п. М.п.
--------------------------------------
Сторони можуть змінювати передбачені цим договором умови, а також установлювати інші умови, які мають відповідати чинному законодавству України та нормативно-правовим актам Національного банку України.
( Додаток 4 із змінами, внесеними згідно з Постановою Національного банку N 495 від 04.12.2001 )
Додаток 5
до Інструкції про міжбанківські
розрахунки в Україні
Зразок
Договір N ___
про використання криптографічних засобів захисту інформації в інформаційно-обчислювальній мережі Національного банку України
м.________ _______________
(дата)
Національний банк України (далі - ВИКОНАВЕЦЬ) в особі _______
(посада)
___________________ _________________________________, який діє на
(назва установи) (прізвище, ім'я, по батькові)
підставі _________________ від _________ N ____, з одного боку, та
(назва документа)
____________________ (далі - ЗАМОВНИК) в особі ___________________
(назва установи) (посада)
____________________________, який діє на підставі _______________
(прізвище, ім'я, по батькові) (назва документа)
від ______ N ____, з другого боку, уклали договір про таке.
1. Предмет договору
1.1. ВИКОНАВЕЦЬ зобов'язується надати ЗАМОВНИКУ апаратно-програмні засоби криптографічного захисту інформації згідно з актом приймання-передавання для використання їх в інформаційно-обчислювальній мережі Національного банку.
2. Права та зобов'язання сторін
2.1. ВИКОНАВЕЦЬ має право:
2.1.1. Перевіряти ЗАМОВНИКА з питань:
користування, зберігання, обліку засобів захисту;
виконання організаційних та інших вимог щодо захисту інформації в інформаційно-обчислювальній мережі Національного банку.
2.1.2. Тимчасово зупиняти обслуговування ЗАМОВНИКА в разі порушень правил роботи із засобами захисту або передавання (навіть тимчасово) отриманих ЗАМОВНИКОМ засобів захисту третім особам, установам чи організаціям.
2.1.3. Запроваджувати нові програмно-технічні та технологічні засоби, розроблені для поліпшення послуг, що надаються ЗАМОВНИКУ.
2.2. ЗАМОВНИК має право:
2.2.1. Користуватися наданими засобами криптографічного захисту інформації в інформаційно-обчислювальній мережі Національного банку.
2.2.2. Отримувати від ВИКОНАВЦЯ консультації з питань, пов'язаних з експлуатацією та зберіганням засобів захисту.
2.2.3. Використовувати наданий генератор ключів для генерації ключів криптографічного захисту для робочих місць системи автоматизації банку та інформаційно-обчислювальної мережі Національного банку згідно з діючою технологією роботи.
2.3. ВИКОНАВЕЦЬ бере на себе зобов'язання:
2.3.1. Правильно та своєчасно надавати ЗАМОВНИКУ засоби захисту інформації з потрібною документацією до них та консультації з питань захисту і правил користування засобами захисту.
2.3.2. Своєчасно інформувати ЗАМОВНИКА про зміни ключової системи захисту в інформаційно-обчислювальній мережі Національного банку.
2.3.3. Забезпечувати своєчасну заміну ключової інформації для апаратури захисту згідно з графіком Національного банку України.
2.3.4. Своєчасно інформувати ЗАМОВНИКА про зміни, які планується вносити в систему захисту інформації Національного банку України.
2.3.5. Здійснювати заміну апаратури криптографічного захисту в разі виходу її з ладу та безкоштовний ремонт, крім випадків, зазначених у п.3.2 цього договору.
2.3.6. Забезпечувати своєчасну заміну генератора ключів електронного цифрового підпису в разі його пошкодження або виведення з ладу, крім випадків, зазначених у п.3.2 цього договору.
2.4. ЗАМОВНИК бере на себе зобов'язання:
2.4.1. Не передавати (навіть тимчасово) отримані ним апаратно-програмні засоби захисту інформації, які використовуються в інформаційно-обчислювальній мережі Національного банку, третім особам, установам чи організаціям.
2.4.2. Дотримуватися технологічної дисципліни в роботі із засобами захисту, забезпечувати їх експлуатацію і зберігання згідно з наданими ВИКОНАВЦЕМ інструкціями. Негайно інформувати ВИКОНАВЦЯ про виникнення порушень режимних умов зберігання та використання засобів захисту і вживати заходів для їх усунення.
2.4.3. Утримувати апаратно-програмні засоби захисту інформації у належному стані.
2.4.4. Забезпечувати цілісність пломб та печаток на апаратурі криптографічного захисту.
2.4.5. Не використовувати надані засоби захисту інформації для завдань, які не обумовлені наявними інструкціями.
2.4.6. Забезпечувати наявність потрібних технічних засобів для підключення апаратури захисту інформації згідно з вимогами ВИКОНАВЦЯ.
2.4.7. Забезпечувати транспортування апаратури захисту інформації до місця її встановлення у ЗАМОВНИКА та до місця її заміни у ВИКОНАВЦЯ.
2.4.8. Своєчасно оплачувати послуги ВИКОНАВЦЯ відповідно до діючих тарифів банківських послуг.
2.4.9. Передати (повернути) ВИКОНАВЦЮ засоби захисту інформації та документацію до них протягом трьох робочих днів після припинення чинності цього договору.
2.4.10. Сплачувати ВИКОНАВЦЕВІ передбачену діючими тарифами суму за повторно виявлені порушення режимних умов зберігання та використання засобів захисту в інформаційно-обчислювальній мережі Національного банку, за пошкодження пломб і печаток на блоку АЗЕГО або АЗБД, за втрату або пошкодження генератора ключів та блока апаратури захисту електронного грошового обігу.
2.4.11. У разі встановлення йому особливого режиму контролю за діяльністю в період фінансового оздоровлення (робота через "АРМ юридичної особи") перейти на програмні засоби захисту інформації та протягом трьох робочих днів повернути ВИКОНАВЦЮ комплект АЗЕГО.
2.4.12. Після відміни особливого режиму контролю за діяльністю в період фінансового оздоровлення (робота через "АРМ юридичної особи") отримати у ВИКОНАВЦЯ протягом трьох робочих днів комплект АЗЕГО та перейти на апаратні засоби захисту інформації.
3. Відповідальність сторін
3.1. ВИКОНАВЕЦЬ несе відповідальність перед ЗАМОВНИКОМ за правильне та своєчасне надання засобів захисту інформації ЗАМОВНИКУ для забезпечення можливості роботи в інформаційно-обчислювальній мережі Національного банку.
3.2. ЗАМОВНИК відшкодовує ВИКОНАВЦЕВІ фактичні збитки за втрачені засоби захисту інформації (викрадені, загублені тощо) або виведені з ладу (у результаті механічних та інших пошкоджень, пов'язаних з порушенням технології використання) у тому разі, якщо встановлено вину ЗАМОВНИКА.
3.3. У разі порушення режимних умов зберігання та використання засобів захисту інформації ЗАМОВНИК відшкодовує ВИКОНАВЦЕВІ пов'язані з цим фактичні збитки.
3.4. У разі прострочення оплати наданих послуг ЗАМОВНИК сплачує ВИКОНАВЦЕВІ суму боргу з урахуванням установленого індексу інфляції за весь час прострочення та три проценти річних з простроченої суми.
3.5. За затримку оплати наданих послуг ЗАМОВНИК сплачує ВИКОНАВЦЕВІ пеню у розмірі ___ відсотків від суми простроченого платежу за кожний день прострочення, але не більше подвійної облікової ставки Національного банку України, що діяла в період, за який сплачується пеня.
4. Порядок розрахунків
4.1. ВИКОНАВЕЦЬ щомісяця до ___ числа ________ місяця надсилає ЗАМОВНИКУ системою ЕП розрахунок за надані послуги згідно з діючими тарифами. ЗАМОВНИК має здійснити оплату послуг (а також пені) не пізніше __ робочих днів після отримання розрахунку.
5. Форс-мажор
5.1. Сторони звільняються від відповідальності за часткове або повне невиконання будь-якого з положень цієї угоди, якщо це невиконання стало наслідком причин, що знаходяться поза сферою контролю невиконувальної сторони. Такі причини включають стихійне лихо, екстремальні погодні умови, пожежі, війни, страйки, військові дії, громадські безпорядки тощо (далі - форс-мажор), але не обмежуються ними. Період звільнення від відповідальності починається з часу оголошення невиконувальною стороною форс-мажору і закінчується (чи закінчився б), якщо невиконувальна сторона вжила б заходів, яких вона і справді могла б вжити, для виходу із форс-мажору. Форс-мажор автоматично продовжує строк виконання зобов'язань на весь період його дії та ліквідації наслідків. Термін виконання зобов'язань відсувається на весь період дії форс-мажорних обставин та ліквідації наслідків. Про настання форс-мажорних обставин сторони мають інформувати одна одну невідкладно. Якщо ці обставини триватимуть більше ніж 6 місяців, то кожна із сторін матиме право відмовитись від подальшого виконання зобов'язань за цим договором і в такому разі жодна із сторін не матиме права на відшкодування іншою стороною можливих збитків.
6. Порядок змін та розірвання договору
6.1. Сторона, яка вважає за потрібне змінити чи розірвати договір, надсилає пропозиції щодо цього другій стороні за договором.
6.2. Сторона, що одержала пропозицію про зміну чи розірвання договору, має відповісти на неї не пізніше 20 днів після одержання пропозиції. Якщо сторони не досягли згоди щодо зміни чи розірвання договору, а також в разі неодержання відповіді в установлений строк (з урахуванням часу поштового обігу) зацікавлена сторона має право передавати спір на вирішення господарського суду.
7. Порядок розгляду спорів
7.1. Спори, які виникають протягом дії договору, вирішуються шляхом переговорів. У разі недосягнення згоди - в господарському суді.
8. Строк дії договору
8.1. Договір, укладений на невизначений строк, набуває чинності з дня його підписання. Дія договору припиняється у випадках, передбачених чинним законодавством України.
9. Інші умови договору
9.1. Цей договір складено у двох примірниках, які мають однакову юридичну силу, по одному для кожної із сторін.
9.2. Надання ЗАМОВНИКУ інших послуг, не передбачених умовами цього договору, оформляється додатковими угодами.
9.3. Взаємовідносини сторін, не врегульовані цим договором, регулюються чинним законодавством України.
10. Місцезнаходження, банківські реквізити, ідентифікаційні коди сторін
10.1. Місцезнаходження, банківські реквізити,
ідентифікаційний код ВИКОНАВЦЯ:
__________________________________________________________________
__________________________________________________________________
10.2. Місцезнаходження, банківські реквізити,
ідентифікаційний код ЗАМОВНИКА:
__________________________________________________________________
__________________________________________________________________
10.3. Для вирішення всіх питань, пов'язаних з виконанням цього договору, відповідальними представниками є:
від ВИКОНАВЦЯ: ___________________________________________
від ЗАМОВНИКА: ___________________________________________
ВИКОНАВЕЦЬ ЗАМОВНИК
М.п. М.п.
---------------------------------
1. Сторони можуть змінювати передбачені цим договором умови, а також установлювати інші умови, що мають відповідати чинному законодавству України та нормативно-правовим актам Національного банку України.
2. Апаратура криптографічного захисту інформації є власністю Національного банку України і надається лише банківським установам, які є безпосередніми учасниками СЕП.
3. Філії, що виконують платежі через ВПС, але є учасниками інформаційно-обчислювальної мережі Національного банку, та інші установи, які є учасниками інформаційно-обчислювальної мережі Національного банку, отримують лише програмні засоби захисту. У такому разі з договору вилучаються підпункти 2.3.3, 2.3.5, 2.4.4, 2.4.6, 2.4.7, 2.4.11, 2.4.12 повністю та пункт 3.2 - частково (що стосується апаратури захисту), у пп.1.1, 2.4.1, 2.4.3 слова "апаратно-програмні" замінюються на слово "програмні".
( Додаток 5 із змінами, внесеними згідно з Постановою Національного банку N 495 від 04.12.2001 )
Додаток 6
до Інструкції про міжбанківські
розрахунки в Україні
Система захисту
банківських електронних документів в інформаційно-обчислювальній мережі Національного банку України
Система захисту банківських електронних документів складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних та організаційних заходів щодо захисту інформації в інформаційно-обчислювальній мережі Національного банку України (далі - інформаційно-обчислювальна мережа).
Система захисту банківських електронних документів базується на таких вимогах:
а) система захисту охоплює всі етапи розроблення, упровадження та експлуатації програмно-технічного забезпечення інформаційно-обчислювальної мережі;
б) система захисту включає технологічні, апаратні, програмні засоби та організаційні заходи захисту;
в) система захисту включає чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання банківських електронних документів на всіх рівнях.
На базі цього виділені такі завдання системи захисту:
а) захист від несанкціонованого розшифрування та викривлення банківських електронних документів, появи фальсифікованих банківських електронних документів на будь-якому етапі оброблення;
б) автоматичне ведення протоколу використання інформаційно-обчислювальної мережі з метою локалізації джерел появи порушень роботи;
в) захист від технічних порушень та збоїв апаратури (у тому числі збоїв та псування апаратних і програмних засобів, перешкод у каналах зв'язку);
г) створення умов роботи інформаційно-обчислювальної мережі, за яких фахівці банків - учасників інформаційно-обчислювальної мережі та Національного банку не можуть утручатись в обробленні банківських електронних документів після їх формування та забезпечення автоматичного контролю на кожному етапі оброблення.
Система захисту банківських електронних документів в інформаційно-обчислювальній мережі є єдиною для усіх інформаційних задач Національного банку і системи електронних платежів Національного банку України (далі - СЕП). Для підвищення ступеня захисту електронних розрахункових документів в СЕП використовуються додаткові засоби, включаючи бухгалтерський контроль. Технологічні та криптографічні засоби безпеки використовуються не тільки в СЕП, а й в усіх інформаційних задачах Національного банку.
1. Технологічні та бухгалтерські засоби безпеки в СЕП
Технологічний та бухгалтерський контроль у СЕП виконується програмним забезпеченням на всіх рівнях оброблення електронних розрахунквих документів, що дає змогу контролювати здійснення розрахунків протягом робочого дня, а також виконувати звіряння в кінці дня.
Технологічні засоби контролю включають:
механізм обміну квитанціями, який дає змогу однозначно ідентифікувати отримання адресатом будь-якого пакета електронних розрахункових документів та достовірність отриманої інформації в цьому пакеті;
механізм інформування банку - учасника СЕП про поточний стан його кореспондентського рахунку за підсумками сеансів оброблення платежів у розрахунковій палаті (далі - РП);
взаємообмін між банком та РП підсумковими документами в кінці дня, програмне звіряння цих підсумкових документів як у РП, так і в банку;
програмний комплекс самодіагностики, який дає змогу виявляти порушення цілісності та несуперечності баз даних програмного забезпечення РП, зіпсування яких може спричинитися через збій функціонування системи, спроб несанкціонованого доступу або фізичне зіпсування баз даних;
взаємообмін між РП та Центральною розрахунковою палатою (далі - ЦРП) звітними повідомленнями про функціонування РП у цілому;
механізм контролю програмних засобів щодо несанкціонованого модифікування робочих модулів;
механізм резервування будь-якої ланки оброблення документів у Національному банку для забезпечення швидкого відновлення роботи будь-якого програмного комплексу з мінімальними втратами інформації.
Усі технологічні засоби контролю, вбудовані в програмне забезпечення, не можуть бути відключені. У разі виникнення нестандартної ситуації або підозри на несанкціонований доступ вони повідомляють працівників РП та ЦРП, що дає змогу для оперативного втручання в таку ситуацію.
Бухгалтерські засоби контролю включають:
підсумкові документи дня в РП та ЦРП, які містять повну технологічну й бухгалтерську інформацію та аналіз балансу;
підсумкові документи ЦРП, які містять бухгалтерську інформацію про стан функціонування СЕП;
засоби аналізу причин відсутності балансу.
2. Криптографічний захист інформації
Апаратно-програмні засоби криптографічного захисту інформації в СЕП забезпечують автентифікацію адресата та відправника електронних розрахункових документів і службових повідомлень СЕП, гарантують їх абсолютну достовірність та цілісність через неможливість підроблення або викривлення документів у шифрованому вигляді або за наявності електронного цифрового підпису.
Реалізація апаратно-програмних засобів криптографічного захисту виконується з урахуванням вимог міжнародних стандартів та має позитивні експертні оцінки державних служб України.
Криптографічний захист інформації має охоплювати всі етапи оброблення банківських електронних документів, починаючи з часу їх створення до зберігання в архівах банку. Використання різних криптографічних алгоритмів на різних етапах оброблення банківських електронних документів дає змогу забезпечити принцип нерозривності захисту інформації в банківській системі, а також відокремлене оброблення інформації стосовно різних задач інформатизації Національного банку.
Основною метою криптографічного захисту інформації в інформаційно-обчислювальній мережі є забезпечення конфіденційності та цілісності електронної банківської інформації, а також суворої автентифікації учасників СЕП та фахівців банківських установ, які беруть участь у підготовці та обробленні банківських електронних документів.
2.1. Ідентифікація учасників інформаційно-обчислювальної мережі
Для забезпечення розв'язання завдань суворої автентифікації учасників інформаційно-обчислювальної мережі розроблено систему ідентифікації користувачів, яка є основою системи розподілу ключів криптографічного захисту.
Кожна банківська установа з точки зору захисту інформації має трибайтний ідентифікатор, перший знак якого є літерою відповідної території, де розташована ця банківська установа; другий та третій знаки є унікальним ідентифікатором банківської установи в межах цієї території. Ці ідентифікатори узгоджені з адресами системи електронної пошти Національного банку України і є унікальними в межах банківської системи України.
Трибайтні ідентифікатори є основою для ідентифікації робочих місць у банківських установах та ідентифікаторів ключів для усіх робочих місць банківської установи. Ідентифікатор ключів робочих місць складається з шести символів, з яких три перші є ідентифікаторами банківської установи, четвертий символ визначає тип робочого місця (операціоніст, бухгалтер тощо), п'ятий та шостий символи - ідентифікатор конкретного робочого місця (тобто службової особи, яка відповідає за оброблення платіжної інформації на цьому робочому місці). Ідентифікатор банківської установи, вбудований у програму генерації ключів, не може бути змінений у банківській установі. Таким чином забезпечується захист від підроблення ключів від імені інших банківських установ.
Відповідні ідентифікатори ключів записуються в електронні картки, які є носіями ключової інформації для апаратного шифрування.
2.2. Захист інформації від модифікації з одночасною суворою автентифікацією
Для забезпечення нерозривності захисту платіжної інформації з часу її формування система захисту СЕП та інших інформаційних задач включає механізми формування/перевірки електронного цифрового підпису (далі - ЕЦП) на базі несиметричного алгоритму RSA. Для забезпечення роботи цього алгоритму кожна банківська установа отримує від служб захисту інформації територіальних управлінь Національного банку персональний генератор ключів з вбудованим ідентифікатором цієї банківської установи. За допомогою цього генератора ключів банківська установа має змогу генерувати ключі для усіх робочих місць, які працюють з банківськими електронними документами. Для забезпечення захисту ключової інформації (а саме відкритих ключів) від викривлення та підроблення, відкриті ключі ЕЦП повинні надсилатись до служби захисту інформації Національного банку для сертифікації (крім ключів для робочих місць операціоністів та інших, що використовуються лише всередині системи автоматизації банку (далі - САБ).
Технологія накладання/перевірки ЕЦП у СЕП створена таким чином, щоб одна службова особа не мала змоги відіслати або прийняти електронний розрахунковий документ. Під час формування електронного розрахункового документу на робочому місці операціоніста службова особа, яка формує цей документ, має накладати ЕЦП на документ за допомогою свого таємного ключа. Під час формування файла пакета електронних розрахункових документів на робочому місці бухгалтера накладається ЕЦП на цей пакет документів, причому цей підпис забезпечує захист від модифікації пакета документів у цілому. Сформований таким чином платіжний файл обробляється АРМ-НБУ, де виконується перевірка ЕЦП операціоніста на кожному електронному розрахунковому документі та накладається ЕЦП АРМ-НБУ, який можуть перевірити всі банківські установи - учасники СЕП. При обробленні платіжних файлів на АРМ-2 виконується перевірка підписів на файл у цілому та після формування файлів зворотних платежів накладається ЕЦП на файл у цілому за допомогою таємного ключа АРМ-2. При отриманні зворотних платіжних файлів виконується схожий процес перевірки/накладання ЕЦП до часу остаточного оброблення документів операціоністом.
Ця технологія оброблення платежів у банківській установі забезпечує надійний розподіл доступу при обробленні електронних розрахункових документів та захист цих документів від модифікації у локальній мережі банку. Виконання технології використання ЕЦП на всіх етапах оброблення електронних розрахункових документів є обов'язковою вимогою для усіх типів САБ, які працюють у банківських установах, незалежно від моделі обслуговування консолідованого кореспондентського рахунку. Додаткові вимоги щодо технології та безпеки роботи внутрішніх платіжних систем банку та систем "клієнт-банк" установлюються Національним банком.
Захист електронної банківської інформації в локальних обчислювальних мережах банківських установ складається з суворого виконання службовими особами технологічних операцій з формування та оброблення електронних розрахункових документів та організаційних заходів щодо обмеження доступу до електронної розрахункової інформації.
Захист інформації в локальних обчислювальних мережах забезпечується використанням надійних сертифікованих програм оброблення електронних розрахункових документів та програм дозволу доступу до конкретних одиниць інформації адміністратором локальної мережі, охороною приміщення та іншими організаційними заходами.
Відповідальність за виконання вимог захисту в локальних мережах покладається на службових осіб цих банківських установ.
2.3. Забезпечення конфіденційності інформації
Усі файли, що циркулюють в інформаційно-обчислювальній мережі та містять конфіденційну інформацію, мають бути оброблені АРМ-НБУ. Цей програмно-апаратний комплекс є єдиним шлюзом до всіх задач пакетного оброблення інформації Національного банку і в першу чергу СЕП. Виконання системних вимог та вимог щодо розміщення програмного комплексу АРМ-НБУ є обов'язковим.
АРМ-НБУ включає до свого складу вбудовані засоби захисту, що забезпечують конфіденційність інформації під час її пересилання каналами зв'язку. Вбудовані засоби захисту забезпечують два режими шифрування АРМ-НБУ: апаратне та програмне.
Основним засобом шифрування платіжних файлів є апаратура захисту електронного грошового обігу (далі - АЗЕГО). Робота цієї апаратури захисту контролюється вбудованою в АРМ-НБУ бібліотекою захисту і забезпечує апаратне шифрування інформації, що відповідає ГОСТ 28147-89.
Як резервний засіб шифрування в СЕП використовується вбудована в АРМ-НБУ функція програмного шифрування, що також відповідає ГОСТ 28147-89 та міжнародному стандарту ISO 11166-94. Для інформаційних систем Національного банку програмне шифрування є основним засобом шифрування. Для кожного службового або інформаційного повідомлення, що обробляється АРМ-НБУ, генерується сеансовий ключ шифрування для алгоритму ГОСТ 28147-89, який обробляється відповідно до стандарту ISO 11166-94. Такий спосіб передавання повідомлень гарантує, що тільки дійсний адресат повідомлення має змогу виконати дешифрування повідомлення.
Засоби шифрування банківської інформації (як АЗЕГО, так і резервне програмне шифрування) забезпечують автентифікацію адресата та відправника банківського електронного документа, його абсолютну достовірність та цілісність через неможливість його підроблення або викривлення в шифрованому вигляді. При роботі засобів шифрування банківської інформації ведуться шифровані архіви оброблених банківських електронних документів. Ці архіви веде АРМ-НБУ в каталозі відкритого робочого дня разом із захищеним від модифікації протоколом роботи. Наприкінці робочого дня шифровані архіви та протоколи роботи АРМ-НБУ підлягають обов'язковому архівуванню. Цей архів використовується службою захисту інформації Національного банку для надання інформаційних послуг відповідно до додатка 7.
2.4. Ключова система
Використання стандартизованих криптографічних алгоритмів у системі захисту інформації гарантує задану криптостійкість, при цьому криптографічні алгоритми не становлять таємниці. Основою криптографічного захисту є ключова система та самі ключі, тому інформація про це має закритий характер і розголошенню не підлягає.
Побудова ключової системи виконується службою захисту інформації Національного банку згідно з діючою системою захисту. Ключова система вміщує ключі асиметричного шифрування, що генеруються в банківських установах за допомогою наданих генераторів ключів та ключів симетричного шифрування, що використовуються для апаратного шифрування.
Ключова інформація та пароль дозволу роботи з апаратурою шифрування зберігається в електронній картці, що унеможливлює підроблення ключової інформації та гарантує її захист від несанкціонованого використання при виконанні адміністративних вимог щодо зберігання та використання електронних карток. Електронні картки виготовляються службою захисту інформації Національного банку персонально для кожної банківської установи та розповсюджуються серед банківських установ - учасників СЕП службами захисту інформації територіальних управлінь Національного банку.
Ключова інформація для програмного шифрування та для ЕЦП має генеруватися безпосередньо службовою особою банківської установи в присутності адміністратора захисту інформації (адміністратора банківської безпеки) за допомогою генератора ключів, який надається службою захисту територіального управління Національного банку. Генератори ключів є персональними, мають вбудований ідентифікатор банківської установи, який не може бути вилучений або змінений. Генератори мають можливість запису таємного ключа на носії двох видів - на дискету або на Touch Memory. Надійнішим засобом зберігання таємного ключа є Touch Memory, де додатково вбудований захист від копіювання ключової інформації з одного носія на інший. Захист паролем таємних ключів, які зберігаються на дискетах, обов'язковий, що забезпечує додатковий захист від спроб несанкціонованого використання скопійованих таємних ключів. Довжина пароля становить шість символів і не може бути зменшена.
Усім службовим особам банківських установ - учасників СЕП у своїй роботі треба суворо дотримуватись інструкцій і правил користування та зберігання апаратури захисту, правил користування та зберігання електронних носіїв з ключовою інформацією, правил листування та ведення діловодства з питань захисту.
Генерація ключової інформації для апаратури захисту, її транспортування, контроль за її обліком і використанням, контроль за використанням апаратури захисту, технічно - експлуатаційне обслуговування та ремонт апаратури захисту, а також сертифікація відкритих ключів покладаються тільки на службу захисту інформації Національного банку.
3. Організаційні заходи інформаційної безпеки
Надійна робота системи захисту неможлива без дотримання адміністративних вимог щодо безпечного використання, зберігання та обліку засобів захисту. Значну увагу треба звертати в першу чергу розподілу повноважень між службовими особами банківської установи, що беруть участь в обробленні електронних розрахункових документів.
3.1. Призначення відповідальних службових осіб у банківських установах та розподіл повноважень
У кожній банківській установі, що використовує засоби захисту інформації Національного банку, наказом керівника має бути призначена службова особа, яка виконує обов'язки адміністратора захисту інформації (адміністратора банківської безпеки). Адміністратор захисту інформації не може виконувати ніяких операцій оброблення електронних розрахункових документів. Адміністратор захисту інформації має бути підпорядкований керівнику банківської установи або його заступнику з питань автоматизації або комп'ютерних технологій. Для банківських установ з невеликою чисельністю працівників у разі неможливості призначення окремої службової особи обов'язки адміністратора захисту інформації має виконувати заступник керівника банківської установи. Не рекомендується сумісництво обов'язків адміністратора захисту інформації з обов'язками службової особи, яка займається питаннями захисту інформації, що становить державну таємницю, або забезпечує фізичний захист приміщень банківської установи.
До обов'язків адміністратора захисту інформації входить:
забезпечення та контроль виконання режимних вимог до приміщень, де обробляються банківські електронні документи, працюють та зберігаються засоби захисту інформації;
отримання, зберігання, облік та постійний контроль за використанням засобів захисту інформації;
забезпечення можливості генерації ключів службовими особами, які відповідають за оброблення платежів, з обов'язковим контролем використання та зберігання ключів користувачами;
забезпечення своєчасної сертифікації ключів у службі захисту інформації Національного банку;
забезпечення своєчасного оновлення таблиць відкритих ключів на робочих місцях САБ та зберігання архівів відкритих ключів;
спілкування зі службою захисту інформації територіального управління Національного банку з питань захисту інформації та впровадження удосконалень у діючу систему захисту та нових засобів захисту інформації;
надання роз'яснень щодо захисту інформації службі захисту інформації територіального управління Національного банку і службі захисту інформації Національного банку на їх запити;
постійний контроль (та в разі потреби - аудит) за обробленням повідомлень у САБ, удосконаленням системи захисту САБ.
До роботи із засобами захисту інформації допускаються службові особи, які вивчили інструкції та правила користування засобами захисту інформації і наказом керівника банківської установи призначені виконувати відповідні обов'язки щодо захисту банківських електронних документів.
Банківські установи - учасники СЕП за порушення правил користування засобами захисту банківських електронних документів, що призвели до порушення функціонування СЕП або завдали збитків Національному банку, несуть відповідальність згідно з чинним законодавством.
Службові особи за порушення правил користування засобами захисту несуть відповідальність згідно з чинним законодавством.
У кожній банківській установі призначаються службові особи, відповідальні за криптографічний захист відповідно до схеми оброблення електронної банківської інформації, але з обов'язковим розподілом повноважень з урахуванням таких вимог:
3.1.1. Адміністратор захисту інформації не може брати участі в обробленні банківських електронних документів.
3.1.2. Заборонено сумісництво повноважень таким чином, щоб одна службова особа могла сформувати та відіслати електронний розрахунковий документ в СЕП, тобто не можна суміщати обов'язки операціоніста, бухгалтера та адміністратора АРМ-НБУ або операціоніста та бухгалтера.
3.1.3. У разі відсутності достатньої кількості працівників допускається таке сумісництво обов'язків:
адміністратора захисту інформації та адміністратора САБ;
адміністратора захисту інформації та адміністратора вузла системи електронної пошти;
адміністратора захисту інформації та адміністратора локальної мережі;
адміністратора АРМ-НБУ та адміністратора вузла системи електронної пошти (адміністратора локальної мережі або локальної мережі та вузла системи електронної пошти);
адміністратора АРМ-НБУ та операціоніста;
бухгалтера та адміністратора вузла системи електронної пошти (адміністратора локальної мережі або вузла системи електронної пошти та локальної мережі);
адміністратора САБ та адміністратора локальної мережі (адміністратора вузла системи електронної пошти або вузла системи електронної пошти та локальної мережі).
3.2. Порядок отримання засобів захисту інформації
Усі засоби захисту інформації Національного банку, що використовуються в інформаційно-обчислювальній мережі, надаються банківським установам тільки службами захисту інформації територіальних управлінь Національного банку.
Умовами для надання засобів захисту інформації є:
укладення договору про використання криптографічних засобів захисту інформації в інформаційно-обчислювальній мережі Національного банку України (додаток 5) між банківською установою та територіальним управлінням Національного банку тієї області, де територіально розташована банківська установа, незалежно від моделі обслуговування консолідованого кореспондентського рахунку;
виконання режимних вимог щодо приміщень, де обробляються банківські електронні документи, працюють та зберігаються засоби захисту інформації, про що складається спільний акт перевірки режимних вимог службою захисту інформації територіального управління Національного банку та банківською установою;
призначення службових осіб, які відповідають за зберігання та використання засобів захисту інформації (копія наказу надається службі захисту інформації територіального управління Національного банку);
лист-доручення на отримання конкретних засобів захисту інформації.
Засоби захисту інформації для новоствореного банку виготовляються службою захисту інформації Національного банку на замовлення служби захисту інформації територіального управління Національного банку. Замовлення на виготовлення засобів захисту інформації має бути подане не пізніше ніж за 10 днів до фактичного включення банківської установи в СЕП.
У разі встановлення особливого режиму контролю за діяльністю банку в період фінансового оздоровлення (робота через "АРМ юридичної особи") він повинен перейти на програмні засоби захисту інформації та повернути комплект АЗЕГО службі захисту інформації територіального управління Національного банку протягом трьох робочих днів.