Опубликованы «Методические рекомендации по управлению риском информационной безопасности и обеспечению операционной надежности» 7-МР

 

На сайте Банка России опубликованы «Методические рекомендации по управлению риском информационной безопасности и обеспечению операционной надежности» 7-МР от 21.03.2024.

Этот документ разъяснил порядок внедрения ГОСТ 57580.3-2022 и ГОСТ 57580.4-2022 по управлению рисками реализации информационных угроз и обеспечения операционной надежности кредитных и финансовых организаций.

В документе определено, что требования относительно новых частей ГОСТ основываются на реализации требований Положений Банка России 716-П, 787-П, 779-П, которые определяют систему обеспечения операционной надежности и управления операционными рисками в целях безопасности и бесперебойности банковских (финансовых) операций.

В соответствии с рекомендациями определен порядок внедрения 3 и 4 части ГОСТа.

1. Всем кредитным организациям следует подготовить планы внедрения и соответствия указанных стандартов, выбрать соответствующие организационные и технические меры в части управления рисками ИБ и обеспечения операционной надежности.
2. Для банков с размером активов более 500 млрд. рублей необходимо соответствовать усиленному уровню защиты как по риску ИБ (716-П и ГОСТ 57580.3) и по обеспечению операционной надежности (787-П и ГОСТ 57580.4) и сделать необходимо до 31.12.2025.
3. Банкам с универсальной лицензией и активами менее 500 млрд. рублей необходимо соответствовать усиленном уровню защиты ИБ и стандартному уровню защиты в части обеспечения операционной надежности.
4. Всем остальным кредитным организация достаточно стандартного уровня защиты и по ИБ и по операционной надежности.
5. Срок внедрения ГОСТ 3 и 4 части для всех остальных и кредитных организаций с универсальной лицензией, у которых активы меньше 500 млрд. рублей, до 31.12.2026.

Для НФО определен порядок соответствия ГОСТ 57580.4 в соответствии с 779-П в области операционной надежности, а также имеются отсылки к 757-П, связанные с обеспечением защиты информации финансовых операций.

Причем также необходимо определить планы по внедрению 4 части ГОСТа и выбора мер, которые представлены в нем.

Для центральных контрагентов, центрального депозитария регистраторов финансовых транзакций необходимо соблюдение усиленного уровня защиты в части обеспечения операционной надежности.

Стандартному уровню защиты операционной надежности по ГОСТ 57580.4-2022 должны соответствовать специализированные депозитарии инвестфондов, ПИФ и НПФ, сами НПФ, клиринговые организации и организаторы торговли, операторы инвестиционных и финансовых платформ, страховые организации.

Всем вышеперечисленным НФО необходимо внедрить соответствие ГОСТ 57580.4-2022 до 31.12.2026.

Остальным НФО необходимо соответствовать минимальному уровню в части обеспечения операционной надежности по стандарту до 31.12.2027.

К остальным НФО, которым предстоит сложный и интересный путь соответствия ГОСТ в течении 3,5 лет относятся:

• Управляющие компании инвестфондов
• ПИФов и НПФов
• Форекс-дилеры
• Операторы ИС, осуществляющие выпуск цифровых финактивов и операторы их обмена
• Общества взаимного страхования и страховые брокеры

Внедрение требований ГОСТ 57580.3 и 57580.4 в соответствии с указанным 7-МР определило для кредитных и финансовых организаций тот необходимый уровень соответствия и диапазон временных рамок на планирование и внедрение стандартов.