Оценка соответствия требованиям Положения Банка России №757‑П

1. О чем и для кого: общая информация о Положении Банка России №757-П

2. Требования в части оценки соответствия 757-П

3. Изменения в 757-П относительно 684-П

4. Этапы работ по оценке соответствия требованиям Положения Банка России №757-П

5. Результаты работ по №757-П и отчетность

1. О чем и для кого: общая информация о Положении Банка России №757-П

• Положение Банка России №757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций».

• Требования положения распространяется на некредитные финансовые организации, а именно на: Операторов по переводу денежных средств (далее - ОПДС), Банковских платежных агентов (субагентов) (далее - БПА), Операторов услуг информационного обмена (далее – ОУИО), Поставщиков платежных приложений (далее - ППП), Операторов платежных систем (далее - ОПС), Операторов услуг платежной инфраструктуры (далее - ОУПИ), Операторов электронных платформ (далее - ОЭП).

2. Требования в части оценки соответствия 757-П

• Оценка по требованиям ГОСТ Р 57580.1 в рамках 757-П. Для стандартного и усиленного уровня ЗИ: не реже одного раза в 2 года проходить независимую оценку соответствия требованиям ГОСТ Р 57580.1 с участием компании лицензиата ФСТЭК.

• Некредитные финансовые организации, реализующие стандартный и усиленный уровень ЗИ должны осуществлять ежегодное тестирование объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.

• Для стандартного и усиленного уровня ЗИ: обеспечить использование прикладного программное обеспечения, прошедшего сертификацию в системе ФСТЭК или или оценку соответствия по требованиям к оценочному уровню доверия не ниже, чем ОУД 4 (п. 1.8. 757-П). Для стандартного уровня ЗИ - не ниже 4-го уровня доверия, для усиленного уровня ЗИ - не ниже 5-го уровня доверия (в соответствии с Приказом ФСТЭК от 2 июня 2020 года N 76). Для минимального уровня ЗИ: самостоятельно определить необходимость сертификации или оценки соответствия прикладного программного обеспечения автоматизированных систем и приложений (п. 1.8. 757-П).

1. НФО обязаны ежегодно проверять актуальный уровень защиты информации (не позднее первого рабочего дня календарного года).
   

2. Расширился список организаций, применяющих усиленный уровень защиты информации по ГОСТ Р 57580.1-2017.

3. Расширился список организаций, применяющих стандартный уровень защиты информации по ГОСТ Р 57580.1-2017.

4. Введен конкретный список НФО, обязанных применять минимальный уровень защиты информации по ГОСТ Р 57580.1-2017 (в 684-П необходимость применения ГОСТ Р 57580.1-2017 определялась самой организацией, если она не подпадала под стандартный или усиленный уровень защиты информации).

• Сбор сведений об информационной инфраструктуре Банка.

• Сбор сведений о существующей документации в области обеспечения защиты информации. Анализ документов и получение свидетельств аудита.

• Интервьюирование ответственного персонала.

• Обследование объектов информационной инфраструктуры в области аудита.

• Анализ собранной информации и проведение оценки соответствия.

• Предварительная оценка соответствия – подсчет баллов по факту.

• Разработка рекомендаций по доработке системы обеспечения информационной безопасности – либо не достигнута целевая оценка, либо предоставляется для оценки (промежуточный итог – результат предварительной оценки соответствия).

• Внесение изменений в соответствии с рекомендациями (выполняется заказчиком или с привлечением исполнителя).

• Расчет итоговой оценки по ГОСТ Р 57580.2-2018 по результатам всех доработок.

• Подготовка отчетных документов по результатам выполнения оценки соответствия требованиям Положения Банка России №757-П.

4. Результат работ по оценке соответствия №757-П