Требования Банка России

Что такое оценка соответствия требованиям Положения Банка России № 821-П

Положение Банка России № 821-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» устанавливает обязательные требования по защите информации для организаций, участвующих в платежных и расчетных процессах.

В числе прочего Положение 821-П требует от ответственных финансовых организаций:

  • Применять меры защиты информации в соответствии с определенным уровнем защиты информации (уровень ЗИ), установленным стандартом ГОСТ Р 57580.1-2017;
  • Проходить ежегодное тестирование на проникновение (пентест) и анализ уязвимостей объектов информационной инфраструктуры;
  • Проходить оценку соответствия уровня ЗИ в соответствии с ГОСТ Р 57580.2-2018;
  • Обеспечивать безопасность применяемого в выделенном сегменте прикладного ПО на уровне не ниже ОУД 4;
  • Использовать сертифицированные средства защиты информации;
  • Использовать сертифицированные средства электронной подписи при передаче электронных сообщений между участниками платежной системы;
  • Регулярно проходить оценку соответствия (не реже 1 раза в 2 года) с участием компании лицензиата ФСТЭК.

Периодичность и критерии

Ключевые требования Положения 821-П

Контрольные требования охватывают независимую оценку, техническую проверку и безопасность прикладного программного обеспечения.

1 раз в 2 года независимая оценка соответствия ГОСТ Р 57580.1-2017 при участии лицензиата ФСТЭК.
Ежегодно проводится тестирование на проникновение.
ОУД 4 минимальный оценочный уровень доверия для ежегодного анализа уязвимостей прикладного ПО.
≥ 0,85 целевое значение при итоговом расчете показателей, если соответствующий уровень защиты требует его достижения.

Область применения

На кого распространяется действие Положения 821-П

Требования Положения Банка России № 821-П распространяются на кредитные организации, а именно на:

операторов по переводу денежных средств (ОПДС);
банковских платежных агентов (субагентов);
операторов услуг информационного обмена (ОУИО);
поставщиков платежных приложений;
операторов платежных систем (ОПС);
операторов услуг платежной инфраструктуры (ОУПИ);
операторов электронных платформ (ОЭП).
Нужна консультация по услуге?

Определим границы оценки, состав объектов инфраструктуры и перечень исходных материалов.

Порядок работ

Этапы, состав работ и результаты

  1. Сбор свидетельств, «инвентаризация», интервьюирование ответственных сотрудников

    Формирование полного реестра объектов информационной инфраструктуры, задействованных при осуществлении переводов денежных средств (серверы, СКЗИ, сетевое оборудование, АРМ, средства виртуализации, каналы связи, системы хранения данных). Определение границ выделенных сегментов сети и их роли в платежных процессах.

    Запрос и первичный анализ организационно-распорядительной документации (политики ИБ, регламенты, инструкции, модели угроз, планы действий, акты предыдущих проверок) и свидетельств (лицензии, сертификаты, аттестаты соответствия) на используемые средства защиты.

    Проведение интервью с сотрудниками, ответственными за администрирование, эксплуатацию и контроль защиты информации (руководители подразделений ИБ, системные администраторы, операторы СКЗИ, специалисты по реагированию на инциденты) с целью уточнения фактических процедур, их наличие статус в документах и выявления расхождения между регламентами и реальной практикой.

  2. Обследование объектов информационной инфраструктуры в соответствии с техническими мерами защиты информации по ГОСТ Р 57580.1-2017

    Инструментальная проверка фактической реализации технических мер защиты: настройки межсетевых экранов, антивирусов, СОВ, СКЗИ, системы управления доступом, журналов регистрации, контроля целостности, параметров аутентификации и пр. Проверка проводится в том числе с использованием специализированного ПО (сканеры уязвимостей, средства анализа конфигураций).

  3. Анализ собранной информации и проведение предварительной оценки соответствия

    Систематизация всех полученных данных, полученных на предыдущих этапах, сопоставление фактического состояния с частными требованиями Положения 821-П и качественными требованиями стандарта ГОСТ Р 57580.1-2017, подготовка перечня несоответствий и рекомендаций.

    По итогам экспертами выполняется расчет показателей по методике ГОСТ Р 57580.2-2018 для предварительной оценки соответствия: вычисляются частные и обобщающие показатели по всем направлениям, формируется предварительный интегральный балл.

  4. Итоговая оценка по ГОСТ Р 57580.2-2018 по результатам всех доработок, разработка итогового отчета для представления в Банк России

    Повторная проверка в части выявленных ранее несоответствий после внесенных заказчиком рекомендованных изменений. Повторный расчет показателей, формирование финального интегрального балла по каждому направлению. Проверка достижения необходимого значения (≥0,85 или выше, в зависимости от уровня защиты).

    Формирование полного пакета отчетных материалов в соответствии по установленным регулятором формам (акты оценки, сводные таблицы показателей, заключения о соответствии, протоколы проверок, подтверждение использования сертифицированных СКЗИ).

    В случае проведения работ в комплексе с тестированием на проникновение к отчету прикладывается отчет о результатах проведения данных работ.

Предмет регулирования

Что регулирует Положение 821-П Банка России

Обновление регулирования

Ключевые изменения и отличия от Положения 719-П

Требования и отличия Положения 821-П
Контроль соответствия

Требования в части оценки соответствия 821-П

  • Не реже 1 раза в 2 года проходить независимую оценку соответствия ГОСТ Р 57580.1-2017 при участии лицензиата ФСТЭК (Постановление Правительства № 79).
  • Ежегодно проводить тестирование на проникновение.
  • Ежегодно проводить анализ уязвимостей прикладного программного обеспечения по оценочному уровню доверия не ниже 4-го (ОУД-4).
Защита и процессы

Иные требования 821-П

  • Организация использования криптографии, в т.ч. электронной подписи.
  • Реализация уровня защиты по ГОСТ 57580.1 и периодического аудита на соответствие.
  • Проведение тестирования на проникновение.
  • Использование ПО, прошедшего сертификацию или оценку уровня доверия (ОУД-4 или ОУД-5 в зависимости от применяемого уровня защиты информации).
  • Выполнение требований 187-ФЗ (КИИ), выполнение требований 152-ФЗ (ПДн).
  • Информирование Банка России об обнаруженных инцидентах.
  • Реализация технологических мер защиты информации по ГОСТ 57580.1-2017.
  • Внутренняя регламентация реализованных мер и процессов защиты информации.
Новые и уточненные нормы

Ключевые отличия от Положения 719-П

  • Введение новой категории организаций — операторов электронных платформ, с отдельной главой 7.
  • П.7.1 — выполнение требований главы 2 Положения № 757-П для операторов финансовых платформ.
  • П.7.2 — выполнение требований главы 3 Положения № 757-П для операторов информаци