Требования Банка России

Что такое оценка соответствия по 802-П

Оценка соответствия по 802-П — это анализ состояния системы защиты информации в инфраструктуре, связанной с участием в платежной системе Банка России и Системе быстрых платежей.

В рамках работ изучаются выделенные сегменты вычислительных сетей, объекты информационной инфраструктуры, внутренние документы, процессы ИБ, организационные и технические меры защиты.

Оценка позволяет:

  • подтвердить соответствие регулированию Банка России;
  • выявить несоответствия до запроса регулятора;
  • определить текущий уровень защиты выделенных сегментов;
  • подготовить отчетные материалы;
  • сформировать план доработок для повышения уровня защиты информации.

Область и методика

Ключевые ориентиры оценки по 802-П

Работы охватывают инфраструктуру ПС БР и СБП, а уровень соответствия определяется по требованиям профильных стандартов Банка России.

ПС БР выделенные сегменты и объекты, связанные с участием в платежной системе Банка России.
СБП инфраструктура участников и операторов Системы быстрых платежей.
ГОСТ Р 57580.1 уровни и меры защиты информации для проверяемых сегментов.
ГОСТ Р 57580.2 методика расчета показателей и определения уровня соответствия.

Область применения

На кого распространяется Положение 802-П

Оценка актуальна для организаций, которые участвуют в платежной инфраструктуре Банка России или обеспечивают обмен информацией в СБП.

Участники ПС БР Кредитные организации и их филиалы — прямые участники ПС БР; международные финансовые организации — участники ПС БР.
Операционная инфраструктура Операционные центры; платежные клиринговые центры других платежных систем.
Информационный обмен Операторы услуг информационного обмена.
Система быстрых платежей Участники и операторы СБП; операторы платежных клиринговых центров СБП.

Границы проверки

Область оценки соответствия

Оценка проводится в пределах выделенных сегментов или группы сегментов вычислительных сетей, где размещаются объекты информационной инфраструктуры, связанные с участием в ПС БР или СБП.

В зависимости от роли организации область применимых к ней требований ограничивается определенным для нее уровнем защиты информации по стандарту ГОСТ Р 57580.1-2017.

Роль организации Уровень защиты информации
Участники СБПСтандартный уровень защиты информации
ОУИО СБПСтандартный уровень защиты информации
ОПКЦ СБПУсиленный уровень защиты информации
ССНПСтандартный уровень защиты информации
Нужно определить границы оценки по 802-П?

Уточним роль организации, состав выделенных сегментов и перечень материалов для начала работ.

Порядок работ

Этапы проведения оценки по 802-П

  1. Сбор исходных данных

    На первом этапе определяется состав объектов оценки. Анализируются сведения об информационной инфраструктуре, выделенных сегментах, автоматизированных системах, внутренних документах и процессах защиты информации.

  2. Анализ документации

    Изучаются внутренние нормативные документы, политики, регламенты, модели угроз, инструкции, документы по управлению доступом, регистрации событий и реагированию на инциденты.

  3. Интервьюирование ответственных сотрудников

    Проводятся интервью с представителями ИБ, ИТ, владельцами процессов, внутренним контролем и другими ответственными подразделениями.

  4. Обследование инфраструктуры

    Проводится обследование выделенных сегментов, объектов информационной инфраструктуры, процессов регистрации событий, управления доступом, средств защиты информации и других элементов, связанных с участием в ПС БР или СБП.

  5. Расчет показателей по ГОСТ Р 57580.2-2018

    На основании собранных данных проводится расчет показателей защищенности и определяется текущий уровень соответствия.

  6. Подготовка рекомендаций

    Для выявленных несоответствий формируются рекомендации: какие документы нужно доработать, какие процессы изменить, какие технические или организационные меры внедрить.

  7. Сопровождение устранения несоответствий

    При необходимости специалисты СБК помогают устранить выявленные нарушения: доработать документы, настроить процессы, подготовить недостающие свидетельства и повторно оценить реализацию мер защиты.

  8. Подготовка итогового отчета

    По итогам работ формируется отчет. В нем фиксируются результаты оценки, уровень соответствия, выявленные несоответствия, выводы и рекомендации.

Комплект результатов

Что вы получите по итогам работ

По результатам оценки соответствия вы получаете:

отчет о проведенной оценке;
качественную оценку соответствия требованиям Положения Банка России № 802-П;
расчет показателей по ГОСТ Р 57580.2-2018;
перечень выявленных несоответствий;
перечень с описанием выявленных рисков;
рекомендации по устранению замечаний;
план корректирующих мероприятий.

Предмет регулирования

Что регулирует Положение Банка России № 802-П

Контроль рисков

Какие риски помогает закрыть аудит по 802-П

Аудит помогает выявить слабые места, которые могут повлиять на защищенность платежной инфраструктуры и корректность выполнения норм Банка России.

  • некорректной идентификацией и мошенническими переводами;
  • подменой или искажением сообщений, несанкционированным доступом к информации, нарушением аутентификации и защиты сообщений;
  • комплаенс-несоответствием и несвоевременным реагированием на предписания регулятора;
  • использованием несертифицированного оборудования или ПО;
  • неполной реализацией мер защиты информации;
  • неверно определенными границами выделенных сегментов;
  • отсутствием подтверждающих документов;
  • пробелами во внутренних нормативных документах;
  • недостаточной защитой объектов информационной инфраструктуры;
  • несоответствием уровню защиты по ГОСТ Р 57580.1-2017;
  • ошибками при расчете показателей по ГОСТ Р 57580.2-2018;
  • недостаточной фиксацией событий ИБ;
  • отсутствием плана устранения выявленных нарушений.

Результаты аудита можно использовать для внутреннего контроля, подготовки к взаимодействию с регулятором и планирования доработок системы защиты информации.

Основания для проверки

Когда нужна оценка соответствия по 802-П

Аудит по 802-П целесообразно проводить, если организация:

готовится к плановой оценке защиты информации;
участвует в ПС БР или СБП;
создает или изменяет выделенный сегмент инфраструктуры;
обновляет внутренние документы по ИБ;
меняет архитектуру платежной инфраструктуры;
внедряет новые сервисы, каналы обмена или технологические процессы;
готовится к взаимодействию с Банком России по вопросам ИБ;
хочет заранее выявить несоответствия и снизить регуляторные риски.
Нужна консультация по услуге?

Разберем текущую инфраструктуру, обязательные требования и подходящий состав работ.

Состав проверки

Что анализируется в рамках работ

Проверка объединяет анализ границ и объектов инфраструктуры, внутренних документов, процессов управления защитой и отчетных материалов.


Области анализа по 802-П
Границы и объекты

Инфраструктура ПС БР и СБП

Границы выделенных сегментов вычислительных сетей

Анализируется обоснованность выделения и корректность определения границ сегментов сети, в которых обрабатывается платежная информация и осуществляется взаимодействие с ПС БР / СБП. Оценивается наличие и правильность документального закрепления этих границ.

Объекты информационной инфраструктуры

  • серверное оборудование и вычислительные мощности, задействованные в обработке платежных сообщений;
  • средства криптографической защиты информации, используемые для подписания и