О чём:
Стандарт описывает систему мер защиты информации при удалённом подтверждении личности клиента в финансовых сервисах. Ключевое нововведение — введение уровней доверия идентификации (УДИ) и аутентификации (УДА). Документ носит рекомендательный характер и направлен на повышение защищённости граждан от мошенничества при дистанционных операциях.
Направление нормативного акта:
Информационная безопасность в финансовой сфере; защита персональных данных и финансовых операций при удалённой идентификации клиентов.
Вид нормативного акта:
Стандарт Банка России (СТО — стандарт организации).
Наименование нормативного акта:
Безопасность финансовых (банковских) операций. Обеспечение безопасности финансовых сервисов при проведении дистанционной идентификации и аутентификации. Состав мер защиты информации.
Реквизиты нормативного акта:
Обозначение стандарта: СТО БР БФБО‑1.8‑2024.
Дата утверждения: 21.03.2024.
Дата вступления в силу: 01.07.2024.
Регулятор: Банк России.
Статус нормативного акта:
Действует (с датой вступления в силу 01.07.2024); носит рекомендательный характер для финансовых организаций.
Основные положения:
Устанавливает три уровня доверия идентификации (УДИ):
- УДИ 1 — низкий уровень (некоторая уверенность);
- УДИ 2 — средний уровень (умеренная уверенность);
- УДИ 3 — высокий уровень (значительная уверенность).
Определяет критерии для каждого УДИ (верификация данных, уникальность, связь идентификатора с клиентом и др.).
Регламентирует:
- требования к протоколу взаимодействия между службой идентификации и получателем услуг;
- меры защиты информации при дистанционной идентификации;
- порядок аудита и хранения журналов событий.
Предусматривает выбор УДИ на основе оценки операционного риска для каждой финансовой операции.
Связь с другими стандартами:
- ГОСТ Р 57580.1‑2017 (базовый состав мер защиты информации);
- ГОСТ Р 70262.1‑2022 (уровни доверия идентификации);
- ГОСТ Р 57580.3‑2022 (управление риском информационных угроз).
Ссылка на действующий нормативный акт:
Ссылка для ознакомления с нормативным актом
Требования определённые нормативным актом:
Не включен в сводную таблицу требований (в разработке).