Что такое оценка соответствия ГОСТ Р 57580

В рамках оценки соответствия проводится анализ документации, обследование информационной инфраструктуры, интервьюирование ответственных сотрудников и сопоставление реализованных мер защиты с требованиями стандарта и Методическими рекомендациями 3-МР Банка России.

Этапы проведения оценки соответствия ГОСТ Р 57580

  1. Сбор исходных данных

    Действия: сбор сведений об ИТ-инфраструктуре и документации.

  2. Анализ документации и интервью

    Действия: анализ документов, интервьюирование ответственных лиц.

  3. Обследование инфраструктуры

    Действия: обследование/анализ объектов ИТ-инфраструктуры и ИБ-процессов.

  4. Предварительная оценка соответствия и разработка рекомендаций

    Действия: анализ степени соответствия, разработка перечня доработок, необходимых для получения требуемой оценки.

  5. Итоговая оценка и подготовка отчетности для Банка России

    Действия: подсчет баллов по 3-МР, оформление отчетов по ГОСТ Р 57580.2-2018.

По итогам работ заказчик получает

Результаты оказания услуги и преимущества для бизнеса

Отчет
содержащий оценку соответствия законодательным требованиям
Формализованный отчет
по ГОСТ Р 57580.2-2018
Выводы
о степени соответствия требованиям ГОСТ Р 57580.1-2017
Подтверждение
корректности выбора уровня ЗИ
Рекомендации
по повышению зрелости системы ИБ
Снижение
регуляторных и операционных рисков

Для кого стандарт ГОСТ Р 57580 является обязательным

Стандарт 57580.1-2017 обязателен к применению для:

кредитных организаций;
некредитных финансовых организаций;
организаций, осуществляющих деятельность на финансовых рынках;
участников платежных систем Банка России.

Сам стандарт содержит описание технических и организационных мер ЗИ, а обязательность требований к применению данных мер и контроля соответствия установлена Положениями Банка России (для кредитных организаций это №821-П, 802-П и 851-П, а для некредитных финансовых организаций — 757-П).

Нужна консультация по услуге?

Нормативная база и источники требований

Требования к проведению оценки
Регуляторная база

Нормативная база и источники требований

Требования к организациям соблюдать соответствие уровням защиты информации и порядок их применения, определенные в ГОСТ Р 57580.1, устанавливаются рядом положений Центрального Банка России (ЦБ РФ):

  • Положение Банка России № 851-П от 30 января 2025 г. «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента».
  • Положение Банка России № 821-П от 17 августа 2023 г. «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».
  • Положение Банка России № 802-П от 25 июля 2022 г. «О требованиях к защите информации в платежной системе Банка России».
  • Положение Банка России № 757-П от 20 апреля 2021 г. «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций».
Уровень защиты информации

Уровни защиты информации

ГОСТ Р 57580.1-2017 определяет три уровня защиты информации:

  • минимальный;
  • стандартный;
  • усиленный.

Они отличаются набором защитных мер, которые финансовая организация должна применять. Уровень защиты информации финансовая организация определяет для себя самостоятельно. Сведения об этом передаются в Банк России. Уровень защиты информации может меняться со временем в зависимости от изменений в организации. Об этом можно узнать в процессе регулярной оценки соответствия.

В зависимости от уровня защиты организации предписывается определенная периодичность прохождения независимой оценки соответствия с привлечением лицензиата ФСТЭК.

Частота проведения оценки

Периодичность оценки соответствия

Требования к частоте прохождения независимой оценки соответствия определяются в Положениях Банка России и связаны с требуемым уровнем защиты информации:

  • для усиленного уровня защиты информации — 1 раз в год;
  • для стандартного уровня защиты информации — 1 раз в 2 года;
  • для минимального уровня защиты информации доступна самооценка.

Сами же требования о необходимости прохождения оценки соответствия закреплены в Положениях Банка России (821-П, 851-П, 802-П, 757-П).