Что регулирует Положение Банка России № 851-П

Положение № 851-П устанавливает обязательные правила защиты информации при осуществлении банковской деятельности. Основная цель регулирования — противодействие переводам денежных средств без согласия клиента, а также защита информации, которая обрабатывается в автоматизированных системах кредитной организации.

Кому нужна оценка по 851-П

Услуга предназначена для организаций, на которые распространяется регулирование Банка России в части защиты информации при осуществлении банковской деятельности:

кредитных организаций;

небанковских кредитных организаций;

иностранных банков, работающих в России через филиалы;

Этапы оценки по 851-П

  1. Сбор исходных данных

    Определяется состав объектов проверки. Анализируются сведения об информационной инфраструктуре, автоматизированных системах, процессах обработки защищаемой информации, а также действующих внутренних документах.

    После этого формируется перечень объектов оценки и список материалов, необходимых для дальнейшей работы.

  2. Анализ документации

    Изучаются локальные нормативные акты, политики, регламенты, модели угроз, документы по управлению доступом, реагированию на инциденты и эксплуатации средств защиты информации.

    По результатам анализа фиксируются документальные несоответствия, недостающие свидетельства и зоны, где требуется доработка внутренних материалов.

  3. Интервьюирование ответственных сотрудников

    Проводятся интервью с представителями ИБ, ИТ, владельцами процессов, внутренним контролем и другими ответственными подразделениями.

    Это позволяет сопоставить документы с фактической практикой и выявить расхождения между регламентами и реальным выполнением мер защиты.

  4. Обследование инфраструктуры

    Проверяются автоматизированные системы, технологические участки, процессы регистрации событий, управление доступом, средства защиты информации и другие элементы инфраструктуры, связанные с 851-П.

    После этого этапа становится понятно, как меры защиты реализованы на практике и какие участки требуют дополнительной проверки или доработки.

  5. Расчет показателей соответствия

    На основании собранных данных проводится оценка по ГОСТ Р 57580.2-2018 и рассчитываются показатели защищенности.

    После расчета определяется текущий уровень соответствия и перечень положений, по которым есть отклонения.

  6. Подготовка рекомендаций

    Для выявленных несоответствий формируются рекомендации: какие документы нужно доработать, какие процессы изменить, какие технические или организационные меры внедрить.

    Рекомендации оформляются в виде плана корректирующих мероприятий с приоритетами и понятной последовательностью действий.

  7. Сопровождение устранения несоответствий

    При необходимости специалисты СБК помогают устранить выявленные нарушения: доработать документы, настроить процессы, подготовить недостающие свидетельства и повторно проверить реализацию мер защиты.

    Такой формат снижает риск повторного выявления тех же нарушений при последующей проверке или запросе регулятора.

  8. Подготовка итогового отчета

    По итогам работ формируется отчет. В нем фиксируются результаты проверки, уровень соответствия, выявленные несоответствия, выводы и рекомендации.

    Отчет можно использовать для внутреннего контроля, планирования доработок и подготовки отчетности в Банк России.

Нужна консультация по услуге?

Что вы получите по итогам работ

По результатам независимой оценки защиты информации вы получаете:

01

отчет о проведенной проверке;

02

выводы о соблюдении Положения Банка России № 851-П;

03

расчет уровня соответствия по ГОСТ Р 57580.2-2018;

04

перечень выявленных несоответствий;

05

описание рисков, связанных с нарушением регуляторных норм;

06

рекомендации по устранению замечаний;

07

план корректирующих мероприятий;

08

консультационную поддержку по подготовке сведений для отчетности;

09

при необходимости — сопровождение внедрения корректирующих мер.

Итоговый результат — не только подтверждение текущего уровня соответствия. Вы получаете понятный план действий для повышения зрелости процессов информационной безопасности.

Какие риски помогает закрыть оценка соответствия № 851-П

Проверка помогает выявить нарушения и слабые места, которые могут повлиять на соблюдение норм Банка России, устойчивость процессов ИБ, а также корректность отчетности.

В рамках работ анализируются риски, связанные с:

компрометации электронных сообщений, в связи с недостатками криптографической защиты и подмены идентификационного модуля на клиентской стороне;
последствиями комплаенс-несоответствием (штрафные санкции и регуляторные предписания в связи с несоответствием, несвоевременное реагирование на предписания со стороны регулятора);
использованием несертифицированного оборудования или ПО;
отсутствием подтверждающих документов и свидетельств внедрения мер защиты;
несоответствиями в процессах обработки защищаемой информации;
недостаточной регистрацией действий работников и клиентов;
нарушениями в управлении инцидентами защиты информации;
пробелами в защите прикладного ПО и автоматизированных систем;
некорректной подготовкой сведений для отчетности;
отсутствием плана устранения выявленных нарушений.

Результаты проверки нужны не только для подтверждения соответствия. Они помогают управлять рисками ИБ на уровне процессов, инфраструктуры, документов и отчетных материалов.

Что проверяется в рамках работ

В рамках аудита анализируются документы, процессы, инфраструктура, автоматизированные системы и фактическое выполнение мер защиты информации.

Проверка может включать:

  • локальные нормативные документы по информационной безопасности;
  • описание объектов информационной инфраструктуры;
  • процессы обработки защищаемой информации;
  • автоматизированные системы и прикладное ПО;
  • технологические участки банковских операций;
  • меры идентификации, аутентификации и авторизации;
  • регистрацию действий работников и клиентов;
  • процессы фиксации и расследования инцидентов ИБ;
  • соответствие ГОСТ Р 57580.1-2017;
  • расчет показателей по ГОСТ Р 57580.2-2018;
  • внедрение технологических мер защиты информации;
  • безопасность прикладного программного обеспечения;
  • готовность данных для отчетности по форме 0409071.

Регуляторная база

При проведении работ учитываются:

  • Положение Банка России № 851-П;
  • ГОСТ Р 57580.1-2017;
  • ГОСТ Р 57580.2-2018;
  • Указание Банка России № 6406-У в части отчетности по форме 0409071;
  • Методические рекомендации Банка России 3-МР от 06.03.2025;
  • правила защиты информации при использовании СКЗИ;
  • порядок фиксации и информирования об инцидентах защиты информации;
  • законодательство о безопасности критической информационной инфраструктуры, если объекты организации относятся к КИИ.