Оценка соответствия требованиям Положения Банка России №851-П

1. О чем и для кого: общая информация о Положении Банка России №851-П

2. Требования в части оценки соответствия 851-П и отличия от №683-П

3. Этапы работ по оценке соответствия требованиям Положения Банка России №851-П

4. Результаты работ по №851-П и отчетность

• Положение Банка России №851-П «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» (далее – 851-П) зарегистрировано Минюстом РФ 6 марта 2025 года.

• Требования положения распространяется на кредитные организации.

• 851-П пришел на смену 683-П и продолжает / изменяет / дополняет его.

• Как и 683-П, новое Положение 851-П устанавливает требования в части обеспечения защиты информации при осуществлении противодействия переводам денежных средств без согласия клиента.

• Обновленные требования (за исключением отдельных положений) вступают в силу с 29 марта 2025 года.

Иные требования 851-П подробно описаны по ссылке в исходном тексте Положения.

Теперь о ключевых изменениях, отличиях от замененного Положения 683-П:

• Положение 851-П в первую очередь добавляет отдельные пункты требований, касающиеся филиалов иностранных банков, а именно в части определения для них уровней защиты информации по ГОСТ Р 57580.1-2017: 
• С 1 октября 2025 года до 31 декабря 2026 года – минимальный уровень защиты информации, не ниже третьего уровня соответствия требованиям ГОСТ 57580.1-2017.

• После 1 января 2027 года – стандартный уровень защиты информации, не ниже четвертого уровня соответствия требованиям ГОСТ 57580.1-2017.

• Оценка должна проводиться с привлечением сторонней организации не реже одного раза в два года.

• В соответствии с требованиями Положения 851-П нужно обеспечивать защиты информации банковской тайны в электронных сообщениях.

• С 01.10.2025 регистрации дополнительно подлежат следующие данные о действиях клиентов на этапе их идентификации, аутентификации и авторизации: 1) дата и время начала и окончания соединения в рамках сессии на транспортном уровне; 2) ip-адрес и порт устройства, с использованием которого осуществлен доступ к АС/ПО кредитной организации; 3) ip-адрес и порт АС/ПО кредитной организации; 4) геолокационные данные устройства клиента (при наличии).

• Как и в новых ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022 в рамках реализации мер защиты информации необходимо соблюдать цикл PDCA (планирование, реализация, контроль и совершенствование).

• Необходимо использовать ПО прошедшее оценку уровня доверия (далее - ОУД) не ниже 5 уровня, а для системно-значимых – не ниже 4 уровня.

• Банк должен осуществлять проверку принадлежности абонентского номера телефона.

• С 01.10.2025 банк должен регистрировать дату и время, ip-адреса и сетевые порты, а также геолокацию устройства при аутентификации клиента.

• С 01.10.2025 банки должны обеспечить возможность направления заявлений об осуществлении переводов без согласия клиента или с согласием, но под влиянием обмана. Системно-значимые банки должны реализовать эту возможность в банковских приложениях.

• Определены конкретные сроки предоставления информации об инциденте на каждом из этапов реагирования на него (приложение 2).

• Сбор сведений об информационной инфраструктуре Банка.
  

• Сбор сведений о существующей документации в области обеспечения защиты информации. Анализ документов и получение свидетельств аудита.

• Интервьюирование ответственного персонала.

• Обследование объектов информационной инфраструктуры в области аудита.

• Анализ собранной информации и проведение оценки соответствия.

• Предварительная оценка соответствия – подсчет баллов по факту.

• Разработка рекомендаций по доработке системы обеспечения информационной безопасности – либо не достигнута целевая оценка, либо предоставляется для оценки (промежуточный итог – результат предварительной оценки соответствия).

• Внесение изменений в соответствии с рекомендациями (выполняется заказчиком или с привлечением исполнителя).

• Расчет итоговой оценки по ГОСТ Р 57580.2-2018 по результатам всех доработок.

• Подготовка отчетных документов по результатам выполнения оценки соответствия требованиям Положения Банка России №851-П.

4. Результат работ по оценке соответствия №851-П

По результатам выполнения работ будет подготовлен Отчет о проведенной оценке соответствия в соответствии с ГОСТ Р 57580.2-2018, содержащий выводы о степени соответствия требованиям Положения Банка России №851-П и помощь в подготовке отчета для Банка России по форме методических рекомендаций 3-МР от 06.03.2025.