Оценка соответствия требованиям Положения Банка России №802‑П

Для получения оценки стоимости и сроков реализации работ по Оценке соответствия требованиям Положения Банка России №802-П для Вашей организации, направьте нам запрос через форму обратной связи.

Эксперты FBK CyberSecurity проводят оценку соответствия финансовой организации требованиям Положения Банка России от 25.07.2022 № 802-П «О требованиях к защите информации в платежной системе Банка России».

На этой странице вы найдете информацию:

1. О чем и для кого: общая информация о Положении Банка России №802-П

2. Изменения в Положении Банка России №802-П относительно замененного им Положения Банка России №747-П

3. Требования в части оценки соответствия 802-П

4. Этапы работ по оценке соответствия требованиям Положения Банка России №802-П

5. Результаты работ по №802-П и отчетность 

• Положение Банка России №802-П устанавливает обязательные требования к защите информации для прямых участников платежной системы Банка России (ПС БР), включая кредитные организации и их филиалы, международные финансовые организации, операционные центры, платежные клиринговые центры других платежных систем, а также операторов услуг информационного обмена, которые участвуют в переводах денежных средств с использованием сервиса быстрых платежей (СБП)

• Документ направлен на организацию защищенного взаимодействия и эксплуатации платежной системы Банка России, с особым акцентом на информационную безопасность выделенной инфраструктуры, обеспечение защиты информации согласно ГОСТ Р 57580.1 и достижение определенного уровня соответствия.

• 747-П ссылался в своих требованиях по обеспечению защитных мер на Положение 382-П (отменено). 802-П в свою очередь отсылает к положению №719. На данный момент 719-П отменено, вместо него действует Положение Банка России №821-П.

• Нормативной база Положения 802-П актуализирована.

• Учтены разъяснения Банка России, данные к утратившему силу положению 747-П.

• Актуализирован перечень угроз и рисков информационной безопасности.

3. Требования в части оценки соответствия 802-П

• "Оценка соответствия должна проводиться в пределах выделенных сегментов (группы сегментов) вычислительных сетей, указанных в пунктах 3 - 6 настоящего Положения" (п. 20 Положения 802-П);

• "Оценка соответствия должна проводиться в соответствии с положениями раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.2-2018" (п. 20 Положения 802-П);

• "Оценка соответствия должна проводиться не реже одного раза в два года" (п. 20 Положения 802-П);

• "... должны обеспечивать для объектов информационной инфраструктуры, размещенных в отдельных выделенных сегментах (группах сегментов) вычислительных сетей, указанных в пунктах 3-6 настоящего Положения, уровень соответствия не ниже четвертого, предусмотренного подпунктом "д" пункта 6.9 раздела 6 ГОСТ Р 57580.2-2018" (п. 20 Положения 802-П).

• "Контроль за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств Банк России осуществляет в отношении участников обмена и ОПКЦ СБП в соответствии с главой 7 Положения Банка России N 719-П" (п. 21 Положения 802-П).

• ОУИО СБП - стандартного уровня (2) ЗИ.

• ОПКЦ СБП - усиленный уровень (1) ЗИ.

• ССНП - стандартного уровня (2) ЗИ.

Требования к ВНД. Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП во внутренних документах должны определить состав и порядок применения организационных мер защиты информации, состав и порядок использования технических СЗИ.

4. Этапы работ по оценке соответствия требованиям Положения Банка России №802-П

• Сбор сведений об информационной инфраструктуре Банка.

• Сбор сведений о существующей документации в области обеспечения защиты информации. Анализ документов и получение свидетельств аудита.

• Интервьюирование ответственного персонала.

• Обследование объектов информационной инфраструктуры в области аудита.

• Анализ собранной информации и проведение оценки соответствия.

• Предварительная оценка соответствия – подсчет баллов по факту.

• Разработка рекомендаций по доработке системы обеспечения информационной безопасности – либо не достигнута целевая оценка, либо предоставляется для оценки (промежуточный итог – результат предварительной оценки соответствия).

• Внесение изменений в соответствии с рекомендациями (выполняется заказчиком или с привлечением исполнителя).

• Расчет итоговой оценки по ГОСТ Р 57580.2-2018 по результатам всех доработок.

• Подготовка отчетных документов по результатам выполнения оценки соответствия требованиям Положения Банка России №802-П.