757‑П: Приведение в соответствие и оценка для НФО

Аудит соответствия общим требованиям 757-П

Цель проведения работ

Cоответствие общим требованиям Положения ЦБ РФ № 757-П.

Формат проведения работ

Аудит соответствия системы защиты информации требованиям положения 757-П проводится с целью определения выполнения пунктов настоящего положения, в которых определены требования к обеспечению защиты информации:

п. 1. – требования к обеспечению защиты информации, получаемой, подготавливаемой, обрабатываемой, передаваемой и хранимой в автоматизированных системах, используемых некредитной финансовой организацией;

п. 2. – доведение до клиентов рекомендаций по защите информации от воздействия вредоносного кода;

п. 3. – требования к обеспечению защиты информации с помощью СКЗИ (63-ФЗ, 152-ФЗ, ПП № 1119, Приказ ФСБ № 66, Приказ ФСБ № 378);

п. 4. – требования к оценке влияния аппаратных, программно-аппаратных и программных средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявляемых к ним требований в соответствии с ПКЗ-2005;

п. 6. – требования к обеспечению проведения оценки соответствия определенного уровня защиты информации;

п. 7. – требования по хранению отчета, составленного проверяющей организацией по результатам оценки определенного уровня защиты;

п. 8. – требования к обеспечению уровня соответствия;

п.10. – требования к обеспечению защиты электронных сообщений;

п.11. – требования к обеспечению регламентации, реализации, контролю (мониторингу) технологии безопасной обработки защищаемой информации;

п.12. – требования к обеспечению регистрации результатов действий, связанных с осуществлением доступа к защищаемой информации;

п.13. – требования к регистрации инцидентов, связанных с нарушениями требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков;

п.14. – требования к хранению информации и регистрации данных, связанных с осуществлением доступа к защищаемой информации;

п.15. – требования по информированию Банка России;

В ходе аудита проводятся следующие работы:

• осуществляется сбор свидетельств (документы, технические данные и пр.);
• анализируется организационно-распорядительная документация;
• анализируются настройки прикладного и системного программного обеспечения, средств антивирусной защиты, средств криптографической защиты информации;
• проводится интервью с сотрудниками проверяемой организации;
• проводится визуальное наблюдение на объектах проверяемой организации (при необходимости);
• разработка организационно-распорядительной документации для повышения уровня соответствия ГОСТ Р 57580.1-2017 на основании 757-П повторно проводится аудит соответствия требований Положения 757-П к системе обеспечения информационной безопасности;
• согласовывается предварительный отчет с результатами аудита, выводами о соответствии требованиям Положения к системе обеспечения информационной безопасности.

Результат и отчетная документация:

1. Отчет о проведенных работах по общим требованиям 757-П;
2. Обоснование и рекомендации по повышению уровня соответствия (если требуются).

Оценка соответствия по ГОСТ Р 57580

Цель проведения работ

В соответствии с п. 5 Положения 757-П защита информации в отношении автоматизированных систем, ПО, СВТ, телекоммуникационного оборудования, эксплуатация которых осуществляется некредитной финансовой организацией, должна осуществляться в соответствии с требованиями ГОСТ Р 57580.1–2017.

Формат проведения работ

Работы по обследованию проводятся дистанционно на основании документации и интервью.

В ходе оценки проводятся следующие работы: 

• определяется область оценки (перечень ИС, объектов доступа, персонала);
• осуществляется сбор свидетельств (документы, технические данные и пр.), которые необходимы для оценки мер, процессов и направлений;
• анализируется организационно-распорядительная документация;
• анализируются настройки сетевого, телекоммуникационного оборудования, программного обеспечения, средств защиты информации (систем DLP, SIEM, PROXY, межсетевых экранов), автоматизированных систем, прикладного программного обеспечения;
• проводится интервью сотрудников проверяемой организации;
• проводится визуальное наблюдение на объектах проверяемой организации (при необходимости);
• оценивается выбор мер и их реализация;
• разработка организационно-распорядительной документации для повышения уровня соответствия ГОСТ Р 57580.1-2017 на основании 757-П (при необходимости);
• Осуществляется сбор свидетельств (документы, технические данные и пр.), которые необходимы для оценки мер, процессов и направлений;
• Рассчитывается числовое значение итоговой оценки соответствия по методике ГОСТ Р 57580.2-2018;
• Согласовывается полученный результат.

Результат и отчетная документация:

1. Отчет, составленный в строгом соответствии п. 8 ГОСТ Р 57580.2-2018;
2. Рекомендации по снижению рисков информационной безопасности и повышению уровня соответствия;
3. Опись документов (копий документов) на бумажных носителях, прилагаемых к отчету по результатам оценки соответствия ЗИ;
4. Опись машинных носителей информации, а также результатов вычисления по каждому из них хэш-функции, реализованной в соответствии с ГОСТ Р 34.11.

Суть 757-П

25 июня 2021 года было опубликовано Положение Банка России № 757-П от 20 апреля 2021 г. № 757-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”. Зарегистрировано в Минюсте РФ 15 июня 2021 г. Регистрационный № 63880. С выходом данного Положения отменяется действие Положение Банка России от 17 апреля 2019 г. № 684-П.

Скачать Положение 757-П можно по ссылке ( pdf).

Иными словами, можно сказать, что Положение № 757-П вышло на замену Положения № 684-П, и устанавливает новые обязательные для Некредитных Финансовых Организаций требования по защите информации при осуществлении деятельности в сфере финансовых рынков, конкретизирует особенности обеспечения защиты информации при осуществлении деятельности оператора финансовой платформы, регистратора финансовых транзакций, оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов, а также оператора обмена таких активов, введены дополнительные технологические меры в части использования ЕИС персональных данных, а также ЕСИА, установлены дополнительные требования к порядку информирования Банка России. Однако, новые требования не распространяются на лиц, осуществляющих актуарную деятельность.

Аналогичное Положение под номером 683-П принято в отношении банков.

Для того, чтобы разобраться с тем, как адаптироваться к новым реалиям регуляции необходимо четко разобрать содержание 757-П и выделить главное.

Какая информация должна защищаться по 757-П?

Некредитные финансовые организации в целях противодействия осуществлению незаконных финансовых операций при осуществлении деятельности в сфере финансовых рынков, предусмотренной частью первой статьи 761 Федерального закона от 10 июля 2002 года № 86-ФЗ “О Центральном банке Российской Федерации (Банке России)”, должны осуществлять защиту следующей информации, получаемой, подготавливаемой, обрабатываемой, передаваемой и хранимой в автоматизированных системах, используемых некредитными финансовыми организациями (далее соответственно – автоматизированные системы, защищаемая информация, защита информации):

• информации, содержащейся в документах, составляемых при осуществлении финансовых операций в электронном виде работниками некредитных финансовых организаций и (или) клиентами некредитных финансовых организаций (далее – электронные сообщения);
• информации, необходимой некредитным финансовым организациям для авторизации своих клиентов в целях осуществления финансовых операций и удостоверения права клиентов распоряжаться денежными средствами, ценными бумагами или иным имуществом;
• информации об осуществленных некредитными финансовыми организациями и их клиентами финансовых операциях;
• ключевой информации средств криптографической защиты информации, используемой некредитными финансовыми организациями и их клиентами при осуществлении финансовых операций (далее – криптографические ключи).

В случае если защищаемая информация содержит персональные данные, некредитные финансовые организации должны применять меры по обеспечению безопасности персональных данных при их обработке в соответствии со статьей 19 Федерального закона от 27 июля 2006 года № 152-ФЗ “О персональных данных” (Собрание законодательства Российской Федерации, 2006, № 31, ст. 3451; 2021, № 1, ст. 54) (далее – Федеральный закон «О персональных данных»).

На кого распространяются требования 757-П?

Все без исключения некредитные финансовые организации должны выполнять пункты 1.1-1.3 757-П. Содержание данных пунктов указывает на большой объем требований по работе со средствами криптографической защиты.

Важно!

Мероприятия по организации работы со средствами криптозащиты аналогичны банковским и требуют проведения значительных работ со стороны НФО или привлекаемыми организациями.

Далее 757-П, а именно пункты 1.4-1.15, содержат требования для тех НФО, которые обязаны реализовать усиленный, стандартный и минимальный уровни защиты информации в соответствии с ГОСТ Р 57580.1-2017.

Некредитные финансовые организации, реализующий любой уровень (усиленный, стандартный, минимальный), должны обеспечивать доведение до своих клиентов рекомендаций по защите информации от воздействия программных кодов, приводящего к нарушению штатного функционирования средства вычислительной техники (далее – вредоносный код), в целях противодействия незаконным финансовым операциям.

Глава 2 посвящена Особенностям обеспечения защиты информации при осуществлении деятельности оператора финансовой платформы, регистратора финансовых транзакций.

Глава 3 посвящена Особенностям обеспечения защиты информации при осуществлении деятельности оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператора обмена цифровых финансовых активов.

Какие НФО должны соответствовать ГОСТ Р 57580.1-2017?

Усиленный уровень

Требования по усиленному уровню защиты информации должны соблюдать:

• центральные контрагенты;
• центральный депозитарий;
• регистраторы финансовых транзакций.

Стандартный уровень

Самая обширная часть НФО должна соблюдать требования, соответствующие стандартному уровню защиты информации по ГОСТ Р 57580.1-2017. В частности, стандартному уровню должны соответствовать:

1. специализированные депозитарии инвестиционных фондов, паевых инвестиционных фондов и негосударственных пенсионных фондов, размер активов которых, обслуживаемых по договорам об оказании услуг специализированного депозитария, составляет более одного триллиона рублей;
2. клиринговые организации;
3. организаторы торговли;
4. страховые организации, стоимость активов которых в течение последних шести календарных месяцев подряд по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, превышала двадцать миллиардов рублей;
5. негосударственные пенсионные фонды, осуществляющие деятельность по обязательному пенсионному страхованию;
6. негосударственные пенсионные фонды, осуществляющие деятельность по негосударственному пенсионному обеспечению, размер средств пенсионных резервов которых в течение последних шести календарных месяцев подряд по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, превышал десять миллиардов рублей;
7. репозитарии, не являющиеся регистраторами финансовых транзакций;
8. брокеры, дилеры, управляющие, депозитарии и регистраторы, определившие хотя бы по одному из показателей деятельности, указанных в графе 2 приложения к Положению Банка России от 27 июля 2015 года № 481-П “О лицензионных требованиях и условиях осуществления профессиональной деятельности на рынке ценных бумаг, ограничениях на совмещение отдельных видов профессиональной деятельности на рынке ценных бумаг, а также о порядке и сроках представления в Банк России отчетов о прекращении обязательств, связанных с осуществлением профессиональной деятельности на рынке ценных бумаг, в случае аннулирования лицензии профессионального участника рынка ценных бумаг”, зарегистрированному Министерством юстиции Российской Федерации 25 августа 2015 года № 38673, 29 июля 2016 года № 43030, 20 октября 2017 года № 48630, 22 января 2019 года № 53485, 26 января 2021 года № 62231 (далее – Положение Банка России № 481-П), в качестве годового диапазона квартальный диапазон, указанный в графе 5 приложения к Положению Банка России № 481-П, по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации;
9. брокеры, дилеры, управляющие, депозитарии и регистраторы, указанные в абзаце десятом подпункта 2.1.11 пункта 2.1 Положения Банка России № 481-П;
10. операторы инвестиционной платформы, которые в течение трех последних кварталов по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, осуществляли оказание услуг более чем ста тысячам лиц, с которыми заключены договоры об оказании услуг по привлечению инвестиций и (или) договоры об оказании услуг по содействию в инвестировании;
11. операторы финансовой платформы, которые в течение трех последних кварталов по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, осуществляли оказание услуг более чем ста тысячам лиц, с которыми заключены договоры об оказании услуг оператора финансовой платформы;
12. операторы информационных систем, в которых осуществляется выпуск цифровых финансовых активов, осуществлявшие в течение трех последних кварталов по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, оказание услуг более чем двадцати пяти тысячам лиц, с которыми заключены договоры об оказании услуг оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов;
13. операторы обмена цифровых финансовых активов, которые в течение трех последних кварталов по состоянию на 31 декабря года, предшествующего дате определения уровня защиты информации, осуществляли оказание услуг более чем двадцати пяти тысячам лиц, с которыми заключены договоры об оказании услуг оператора обмена цифровых финансовых активов.

Минимальный уровень

В Положении 757-П появился перечень организаций, который должны реализовывать минимальный уровень защиты информации. К таким организациям относятся:

1. специализированные депозитарии инвестиционных фондов, паевых инвестиционных фондов и негосударственных пенсионных фондов, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
2. брокеры, дилеры, управляющие, депозитарии и регистраторы, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
3. управляющие компании инвестиционных фондов, паевых инвестиционных фондов и негосударственных пенсионных фондов;
4. форекс-дилеры;
5. операторы финансовой платформы, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
6. операторы информационных систем, в которых осуществляется выпуск цифровых финансовых активов, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
7. операторы обмена цифровых финансовых активов, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
8. страховые организации, не указанные в перечне организаций, реализующих стандартный уровень защиты информации;
9. общества взаимного страхования;
10. страховые брокеры;

Что делать не попадающим под ГОСТ 57580 в соответствии с 757-П?

Выделяется отдельная группа НФО, для которой 757-П является обязательным, но при этом они не подпадают под усиленный, стандартный или минимальный уровень защиты по ГОСТ Р 57580.1-2017.

К таковым относятся:

1. Бюро кредитных историй
2. Микрофинансовые организации
3. Рейтинговые агентства
4. Ломбарды
5. Кредитные потребительские кооперативы
6. Жилищные накопительные кооперативы
7. Сельскохозяйственные кредитные потребительские кооперативы

Такие НФО должны выполнять требования пунктов 1.1-1.3, пункта 1.4.1 (в части ежегодного определения уровня) и пункта 1.8 (в части самостоятельного определения необходимости сертификации и оценки соответствия прикладного программного обеспечения).

Важно!

На данную категорию НФО не распространяется требование проводить внешнюю оценку соответствия (аудит) по требованиям ГОСТ Р 57580

Фактически нужно:

1. Выделить и описать защищаемую информацию
2. Довести до клиентов рекомендации по антивирусной защите
3. Обеспечить работу с криптографией в соответствии с законом об электронной подписи, 66 приказом ФСБ России и пр.
4. Создать ежегодную процедуру определения уровня защиты информации
5. Определить необходимость сертификации или оценку соответствия (ОУД 4, ГОСТ Р ИСО/МЭК 15408-3-2013)

Данные работы могут быть выполнены специалистами RTM Group одним этапом в сроки и цены указанные ниже.

Как выполнить требования 757-П по усиленному, стандартному и минимальному уровню защиты информации?

Оптимальным для приведения в соответствие требованиям 757-П и ГОСТа 57580.1 является разделение работ на 2 проекта.

Проект №1 — Результатом которого будет частичное соответствие требованиям ГОСТа 57580.1 и четкий план приведения в соответствие

Данный проект оптимально разделить на 3 этапа:

Этап 1. Обследование внутренних информационных систем на предмет выявления ИС подпадающих под защиту в соответствии с Положением Банка России от 20 апреля 2021 г. № 757-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”

На данном этапе Исполнитель выявляет ИС, а также информацию, защита которых должна быть осуществлена в соответствии с требованиями ГОСТ Р 57580.1-2017.

Проведение GAP-анализа на соответствие ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» и Положению от 20 апреля 2021 г. № 757-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”

На данном этапе:

• составляется перечень применимых мер по защите информации по ГОСТ Р 57580.1-2017;
• оценивается выполнение мер по защите информации по ГОСТ Р 57580.1-2017 (с комментариями);
• оценивается выполнение требований Положения от 20 апреля 2021 г. № 757-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”

По результатам данного этапа готовится оценка степени соответствия ГОСТ Р 57580.1-2017, а также план приведения в соответствие.

Этап 2. Разработка Политики информационной безопасности и Частных политик (Положений)

На данном этапе Исполнитель готовит базовые документы по защите информации включая, но не ограничиваясь:

• Политика информационной безопасности;
• Частная политика (положение) по антивирусной защите;
• Частная политика (положение) по криптографической защите;
• Частная политика (положение) по защите сети Интернет;
• Частная политика (положение) по управлению инцидентами информационной безопасности;
• и пр.

Точный перечень документов определяется по результатам Этапа 1.

Этап 3. На данном этапе: Рассчитывается числовое значение итоговой оценки соответствия по методике ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия».

По результатам проведенных работ оформляется отчет, составленный в строгом соответствии п. 8 ГОСТ Р 57580.2-2018, в частности, содержащий, в том числе:

• перечень неоцениваемых областей оценки соответствия ЗИ (процессов системы ЗИ, подпроцессов системы ЗИ, направлений ЗИ, мер ЗИ) с обоснованием их исключения из области оценки соответствия ЗИ;
• обоснование применения компенсирующих мер ЗИ при невозможности реализации отдельных выбранных мер ЗИ;
• числовое значение итоговой оценки соответствия ЗИ, характеризующей соответствие ЗИ проверяемой организации установленным требованиям на дату завершения оценки соответствия ЗИ;
• опись документов (копий документов) на бумажных носителях, прилагаемых к отчету по результатам оценки соответствия ЗИ, с указанием общего количества томов приложений, количества и наименований документов, а также количества листов в каждом из них;
• опись машинных носителей информации, прилагаемых к отчету по результатам оценки соответствия ЗИ, с указанием их реквизитов (наименование, тип, учетный номер и т.п.) и содержащихся на них файлов данных, а также результатов вычисления по каждому из них хэш-функции, реализованной в соответствии с ГОСТ Р 34.11.

Предоставленный отчет может быть предъявлен Банку России.

Ниже представлен пример коммерческого предложения (Проект №1) для тех НФО, которые реализуют стандартный или усиленный уровень ГОСТ 57580.

Проект №2 — Итоговое приведение в соответствие требованиям 757-П.

Данный проект является результирующим. Детальный план работ определяется в зависимости от содержания плана приведения в соответствие 757-П (разрабатывается по итогу Проекта №1).

Ниже представлен пример коммерческого предложения (Проект №2) для тех НФО, которые реализуют стандартный или усиленный уровень ГОСТ 57580. Для тех, кому ГОСТ не нужен, объем работ будет значительно меньше (как было указано выше).

Оценка по ГОСТ Р 57580 для некредитных финансовых организаций

Ключевым элементом всей конструкции является обязательность проведения внешней оценки соответствия (аудита) сторонней организацией. В качестве внешней организации необходимо привлекать лицензиата ФСТЭК России (пункты б, д, е лицензии на техническую защиту конфиденциальной информации).

Как указано выше 757-П выделяет из всех некредитных финансовых организаций 3 группы НФО, которые должны соответствовать усиленному, стандартному или минимальному уровню защиты информации по ГОСТ Р 57580.1-2017. Именно такие НФО обязаны проводить внешнюю оценку соответствия по методике, указанной в ГОСТ Р 57580.2-2018.

Оценка соответствия уровня защиты информации некредитными финансовыми организациями, реализующими усиленный уровень защиты информации, должна осуществляться не реже одного раза в год, некредитными финансовыми организациями, реализующими стандартный уровень защиты информации, – не реже одного раза в три года.

Когда 757-П вступает в силу?

Положение вступает в силу с 01 июля 2021 года, однако часть положений содержат отсрочку. В частности:

1. Некредитные финансовые организации, реализующие усиленный и стандартный уровни защиты информации, должны обеспечить уровень соответствия не ниже третьего уровня соответствия, предусмотренного подпунктом “г” пункта 6.9 ГОСТ Р 57580.2-2018 с 1 января 2022 года.
2. Некредитные финансовые организации, реализующие усиленный и стандартный уровни защиты информации, должны обеспечить уровень соответствия не ниже четвертого уровня соответствия, предусмотренного подпунктом “д” пункта 6.9 ГОСТ Р 57580.2-2018 с 1 июля 2023 года.
3. Требования безопасности для операторов финансовой платформы и регистраторов финансовых транзакций, а также требования безопасности для оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператора обмена цифровых финансовых активов вступают в силу с 1 января 2022 года.
4. Требования ГОСТ Р 57580.1-2017, соответствующие минимальному уровню защиты информации, должны соблюдать следующие некредитные финансовые организации с 1 июля 2022 года.

Дополнительные услуги по 757-П

Сторонние организации, обладающие лицензиями ФСТЭК России, могут проводить следующие работы:

1. Проведение комплекса работ по обеспечению защиты информации для некредитных финансовых организаций
2. Тестирование объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры
3. Оценка соответствия программного обеспечения по ОУД4 и ГОСТ 15408-3

Почему RTM Group?

• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности
• Оценки соответствия и внедрение по ГОСТ Р 57580 проводятся экспертами обладающими большим опытом проведения оценок соответствия по СТО БР ИББС, ISO 27001 и 382-П, авторами профессиональных курсов по банковской безопасности, включая 719-П и ГОСТ Р 57580.1
• Сроки проведения оценки соответствия от 2 недель до 3 месяцев (в зависимости от сложности и количества объектов)
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты