Обязательно ли проводить оценку по 802-П?

Да, для участников ПС БР, а также СБП оценка проводится в соответствии с регулированием Банка России. Она нужна для подтверждения уровня защиты информации и выявления несоответствий в выделенных сегментах инфраструктуры.

Как часто нужно проводить оценку?

Оценку проводят не реже одного раза в два года. Также ее целесообразно выполнять после существенных изменений в инфраструктуре, выделенных сегментах, процессах обработки информации или применяемых средствах защиты.

Можно ли привлечь консультанта для устранения несоответствий?

Да. Доработки могут выполняться силами вашей организации или с привлечением внешнего исполнителя. При необходимости специалисты СБК помогают подготовить документы, настроить процессы и повторно оценить реализацию мер защиты.

Что изменилось после вступления в силу 802-П?

Положение 802-П заменило 747-П, что актуализировало правила защиты информации для участников платежной системы Банка России и СБП. В документе уточнены подходы к выделенным сегментам, оценке по ГОСТ Р 57580.2-2018 и применению мер защиты информации.

Оценка соответствия требованиям Положения Банка России № 802-П

Проводим независимую оценку соответствия требованиям Положения Банка России №802-П для участников платежной системы Банка России и Системы быстрых платежей.

Работы проводятся в выделенных сегментах ПС БР и СБП по требованиям Положения №802-П ЦБ РФ по стандарту ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018. По результатам работ разрабатывается отчет для представления в Центральный Банк Российской Федерации.

Узнать стоимость услуги

Оценка соответствия требованиям Положения Банка России № 802-П

Требования Банка России

Что такое оценка соответствия по 802-П

Оценка соответствия по 802-П — это анализ состояния системы защиты информации в инфраструктуре, связанной с участием в платежной системе Банка России и Системе быстрых платежей.

В рамках работ изучаются выделенные сегменты вычислительных сетей, объекты информационной инфраструктуры, внутренние документы, процессы ИБ, организационные и технические меры защиты.

Оценка позволяет:

подтвердить соответствие регулированию Банка России;
выявить несоответствия до запроса регулятора;
определить текущий уровень защиты выделенных сегментов;
подготовить отчетные материалы;
сформировать план доработок для повышения уровня защиты информации.

Область и методика

Ключевые ориентиры оценки по 802-П

Работы охватывают инфраструктуру ПС БР и СБП, а уровень соответствия определяется по требованиям профильных стандартов Банка России.

ПС БР выделенные сегменты и объекты, связанные с участием в платежной системе Банка России.

СБП инфраструктура участников и операторов Системы быстрых платежей.

ГОСТ Р 57580.1 уровни и меры защиты информации для проверяемых сегментов.

ГОСТ Р 57580.2 методика расчета показателей и определения уровня соответствия.

Область применения

На кого распространяется Положение 802-П

Оценка актуальна для организаций, которые участвуют в платежной инфраструктуре Банка России или обеспечивают обмен информацией в СБП.

Участники ПС БР Кредитные организации и их филиалы — прямые участники ПС БР; международные финансовые организации — участники ПС БР.

Операционная инфраструктура Операционные центры; платежные клиринговые центры других платежных систем.

Информационный обмен Операторы услуг информационного обмена.

Система быстрых платежей Участники и операторы СБП; операторы платежных клиринговых центров СБП.

Границы проверки

Область оценки соответствия

Оценка проводится в пределах выделенных сегментов или группы сегментов вычислительных сетей, где размещаются объекты информационной инфраструктуры, связанные с участием в ПС БР или СБП.

В зависимости от роли организации область применимых к ней требований ограничивается определенным для нее уровнем защиты информации по стандарту ГОСТ Р 57580.1-2017.

Роль организации	Уровень защиты информации
Участники СБП	Стандартный уровень защиты информации
ОУИО СБП	Стандартный уровень защиты информации
ОПКЦ СБП	Усиленный уровень защиты информации
ССНП	Стандартный уровень защиты информации

Нужно определить границы оценки по 802-П?

Уточним роль организации, состав выделенных сегментов и перечень материалов для начала работ.

Порядок работ

Этапы проведения оценки по 802-П

Сбор исходных данных

На первом этапе определяется состав объектов оценки. Анализируются сведения об информационной инфраструктуре, выделенных сегментах, автоматизированных системах, внутренних документах и процессах защиты информации.

Результат
Перечень объектов оценки и список материалов, необходимых для дальнейшей работы.
Анализ документации

Изучаются внутренние нормативные документы, политики, регламенты, модели угроз, инструкции, документы по управлению доступом, регистрации событий и реагированию на инциденты.

Результат
Документальные несоответствия, недостающие свидетельства и зоны, где требуется доработка внутренних материалов.
Интервьюирование ответственных сотрудников

Проводятся интервью с представителями ИБ, ИТ, владельцами процессов, внутренним контролем и другими ответственными подразделениями.

Результат
Сопоставление документов с фактической практикой и выявление расхождений между регламентами и реальным выполнением мер защиты.
Обследование инфраструктуры

Проводится обследование выделенных сегментов, объектов информационной инфраструктуры, процессов регистрации событий, управления доступом, средств защиты информации и других элементов, связанных с участием в ПС БР или СБП.

Результат
Фактическая картина реализации мер защиты и перечень участков, требующих доработки.
Расчет показателей по ГОСТ Р 57580.2-2018

На основании собранных данных проводится расчет показателей защищенности и определяется текущий уровень соответствия.

Результат
Зафиксированные отклонения и факторы, влияющие на итоговый результат оценки.
Подготовка рекомендаций

Для выявленных несоответствий формируются рекомендации: какие документы нужно доработать, какие процессы изменить, какие технические или организационные меры внедрить.

Результат
План корректирующих мероприятий с приоритетами и понятной последовательностью действий.
Сопровождение устранения несоответствий

При необходимости специалисты СБК помогают устранить выявленные нарушения: доработать документы, настроить процессы, подготовить недостающие свидетельства и повторно оценить реализацию мер защиты.

Ценность
Снижение риска повторного выявления тех же нарушений при последующем взаимодействии с регулятором.
Подготовка итогового отчета

По итогам работ формируется отчет. В нем фиксируются результаты оценки, уровень соответствия, выявленные несоответствия, выводы и рекомендации.

Результат
Отчет для внутреннего контроля, планирования доработок и подготовки к взаимодействию с Банком России.

Комплект результатов

Что вы получите по итогам работ

По результатам оценки соответствия вы получаете:

отчет о проведенной оценке;

качественную оценку соответствия требованиям Положения Банка России № 802-П;

расчет показателей по ГОСТ Р 57580.2-2018;

перечень выявленных несоответствий;

перечень с описанием выявленных рисков;

рекомендации по устранению замечаний;

план корректирующих мероприятий.

Предмет регулирования

Что регулирует Положение Банка России № 802-П

Положение № 802-П устанавливает правила защиты информации для участников платежной системы Банка России, а также организаций, связанных с переводами денежных средств через СБП.

Документ регулирует защиту информации в выделенных сегментах вычислительных сетей, порядок применения организационных и технических мер, требования к внутренним документам, а также оценку по ГОСТ Р 57580.2-2018.

802-П заменило ранее действовавшее Положение № 747-П. В документе актуализированы подходы к защите информации, перечень угроз и рисков, требования к участникам ПС БР и организациям, работающим с сервисом быстрых платежей.

Контроль рисков

Какие риски помогает закрыть аудит по 802-П

Аудит помогает выявить слабые места, которые могут повлиять на защищенность платежной инфраструктуры и корректность выполнения норм Банка России.

некорректной идентификацией и мошенническими переводами;
подменой или искажением сообщений, несанкционированным доступом к информации, нарушением аутентификации и защиты сообщений;
комплаенс-несоответствием и несвоевременным реагированием на предписания регулятора;
использованием несертифицированного оборудования или ПО;
неполной реализацией мер защиты информации;
неверно определенными границами выделенных сегментов;
отсутствием подтверждающих документов;
пробелами во внутренних нормативных документах;
недостаточной защитой объектов информационной инфраструктуры;
несоответствием уровню защиты по ГОСТ Р 57580.1-2017;
ошибками при расчете показателей по ГОСТ Р 57580.2-2018;
недостаточной фиксацией событий ИБ;
отсутствием плана устранения выявленных нарушений.

Результаты аудита можно использовать для внутреннего контроля, подготовки к взаимодействию с регулятором и планирования доработок системы защиты информации.

Основания для проверки

Когда нужна оценка соответствия по 802-П

Аудит по 802-П целесообразно проводить, если организация:

готовится к плановой оценке защиты информации;

участвует в ПС БР или СБП;

создает или изменяет выделенный сегмент инфраструктуры;

обновляет внутренние документы по ИБ;

меняет архитектуру платежной инфраструктуры;

внедряет новые сервисы, каналы обмена или технологические процессы;

готовится к взаимодействию с Банком России по вопросам ИБ;

хочет заранее выявить несоответствия и снизить регуляторные риски.

Нужна консультация по услуге?

Разберем текущую инфраструктуру, обязательные требования и подходящий состав работ.

Состав проверки

Что анализируется в рамках работ

Проверка объединяет анализ границ и объектов инфраструктуры, внутренних документов, процессов управления защитой и отчетных материалов.

Области анализа по 802-П

Границы и объекты

Инфраструктура ПС БР и СБП

Границы выделенных сегментов вычислительных сетей

Анализируется обоснованность выделения и корректность определения границ сегментов сети, в которых обрабатывается платежная информация и осуществляется взаимодействие с ПС БР / СБП. Оценивается наличие и правильность документального закрепления этих границ.

Объекты информационной инфраструктуры

серверное оборудование и вычислительные мощности, задействованные в обработке платежных сообщений;
средства криптографической защиты информации, используемые для подписания и шифрования межбанковских сообщений;
сетевое оборудование, каналы связи и шлюзы, через которые осуществляется обмен с ПС БР / СБП;
рабочие станции и терминалы сотрудников, имеющих доступ к платежным системам.

Применяемые технические средства защиты

межсетевые экраны и системы обнаружения вторжений (IDS/IPS);
антивирусные средства;
средства контроля целостности программной среды;
СКЗИ с функциями электронной подписи и шифрования;
средства защиты среды виртуализации при наличии;
правила корреляции SIEM.

Регламенты и управление

Документы и процессы защиты информации

Внутренние нормативные документы

политики ИБ — общая и специальная;
регламенты обеспечения безопасности при эксплуатации сегментов ПС БР и СБП;
модели угроз и нарушителя;
инструкции по администрированию и эксплуатации средств защиты;
инструкции по действиям персонала в нештатных ситуациях.

Правила и принципы организации ИБ

распределение ответственности и ролей в области ИБ;
порядок допуска персонала к критическим системам;
организация обучения и повышения квалификации сотрудников;
процедуры внутреннего контроля и аудита.

Порядок управления доступом

идентификация и аутентификация пользователей, в том числе двухфакторная;
разграничение прав доступа по принципу минимально необходимых привилегий;
управление учетными записями, включая блокировку и удаление неиспользуемых аккаунтов.

События, инциденты и результат

Контроль и отчетные материалы

Регистрация и учет событий ИБ

состав регистрируемых событий: входы и выходы, изменения прав, операции с платежными сообщениями, сбои СКЗИ;
целостность и защита журналов аудита от несанкционированного изменения;
сроки хранения и порядок предоставления журналов для проверок регулятором.

Реагирование на инциденты

процедуры выявления, классификации и устранения инцидентов ИБ;
регламенты взаимодействия с Банком России, в том числе уведомление в течение 3 часов;
планы восстановления работоспособности после атак или сбоев.

Расчет и отчетность

Анализируются исходные данные и методология расчета числовых показателей по ГОСТ Р 57580.2-2018, а также готовность и полнота пакета отчетных документов: актов, заключений, протоколов и сводных таблиц показателей.

Регуляторная база

Документы и нормативная база

При проведении работ учитываются:

Документ	Что учитывается при оценке
Положение Банка России № 802-П	Требования к защите информации для участников ПС БР и организаций, связанных с переводами денежных средств через СБП.
Положение Банка России № 821-П	Связанные требования к защите информации при осуществлении переводов денежных средств.
ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018	Уровни и меры защиты информации, а также методика расчета показателей соответствия.
Методические рекомендации и разъяснения Банка России	Подходы к проведению оценки и подготовке подтверждающих материалов.
Внутренние нормативные документы организации	Закрепление границ, ролей, процессов и порядка применения организационных мер защиты.
Документы по защите информации, управлению доступом и реагированию на инциденты	Подтверждение фактической реализации мер и готовности к контролю и восстановлению.