Подготовка к внедрению ГОСТ Р 57580.3-2022

ГОСТ Р 57580.3-2022 устанавливает требования к составу и содержанию мер по управлению риском реализации информационных угроз для уровней защиты, которые применяются финансовыми организациями в рамках планирования, реализации, контроля и совершенствования системы управления таким риском, а также системам управления, определенных в рамках семейств стандартов ОН и ЗИ комплекса стандартов.

Подготовка к внедрению ГОСТ Р 57580.3 – это исследование компании Заказчика, которое нацелено на содействие соблюдению требований к системе управления рисками информационных угроз в предприятиях финансового сектора. Рассматривается в качестве дополнения к нормативным актам Банка России.

Кого коснется ГОСТ Р 57580.3

Положения настоящего стандарта предназначены для использования кредитными и некредитными финансовыми организациями.

Основное направление документа нацелено на снижение рисков информационной безопасности, в том числе репутационных потерь как самих организаций, так и всей финансовой системы.

В соответствии с 7-МР от 21.03.2024, содержащие в себе рекомендации к срокам и порядку внедрения указанного стандарта для различных организаций, а также уровня защиты в части управления риском информационной безопасности, кредитным организациям рекомендуется осуществить внедрение ГОСТ Р 57580.3.

Как проводится подготовка к внедрению ГОСТ Р 57580.3

Стоит отметить, сохранность информации организации, является основополагающей задачей.

В рамках данной услуги, проводится проверка в отношении ряда процессов по управлению риском реализации информационных угроз и обеспечения операционной надежности:

• Система управления рисками реализации информационных угроз, в т.ч. системы организации и управления информационных угроз и операционной надежностью
• Планирование системы управления риском, осуществляемое через определение политики управления рисками, выявление и идентификация риска, организация ресурсного (кадрового и финансового) обеспечения
• Реализация системы управления риском, основанные на выборе, разработке и применению мероприятий по реагированию на угрозы, а также организация защиты от информационных угроз
• Контроль системы управления риском через проведение профессиональной и самооценки, сценарного анализа, тестирования, отчетности и мониторинга
• Совершенствование системы управления риском, осуществляемое через обеспечение контрольным показателям уровня риска (КПУР) принятым фактическим
• Классификация событий риска информационных угроз и событий операционной надежности
• Контрольные показатели уровня риска (сигнальных и контрольных), соотношение между плановыми и фактическими
• Учёт, управление и классификация элементов критичной архитектуры, взаимосвязей и взаимозависимости бизнес- и технологических процессов, их структура
• Проверка операционной надежности бизнес- и технологических процессов, что позволяет проводить сценарный анализ возможных угроз
• Защита объектов критичной архитектуры от вероятных угроз, возникающих в среде дистанционной работы
• Применение и обмен информацией, для обеспечения операционной надежности финансовой организации

При проведении работ, также осуществляется анализ соответствия системы управления операционной надежностью (Стандарт предусматривает систему управления, основанную на цикле Деминга — планирование, реализацию, контроль, совершенствование процессов). От заказчика требуется учитывать, что настоящий вид работ ориентирован на полное и глубокое изучение системы обеспечения операционной надежности в проверяемой Организации.

Услуга имеет ряд преимуществ, а именно:

• Низкая стоимость
• Выезд квалифицированных специалистов в организацию Заказчика для анализа ситуации «на местах»

Что получает заказчик после подготовки к внедрению ГОСТ Р 57580.3

По итогам анализа Заказчику предоставляется отчет, содержащий информацию о соответствии Организации требованиям ГОСТ Р 57580.3, а также рекомендации по улучшению системы обеспечения операционной надежности.

Также компания RTM Group готова оказать помощь в:

• Организации деятельности по классификации объектов информатизации на разных системных уровнях;
• Классификации защищаемой информации;
• Определении процедур по применению и контролю стандартов конфигурирования политик защиты информации;
• Разработке структуры реагирования на инциденты информационной безопасности;
• Разработке процедур реагирования в результате реализации информационных угроз от поставщиков услуг;
• Определении порядка восстановления функционирования бизнес- и технологических процессов, впоследствии реализации инцидентов;
• Определении в распорядительных документах Организации порядка проведения анализа и тестирования готовности Организации противодействовать реализации информационных угроз;
• Разработке отдельного плана ОНиВД или внедрение положений в уже существующий, при переходе сотрудников Организации на удаленный формат работы;
• Организации оценки возможности применения информации об актуальных сценариях реализации информационных угроз.

Почему RTM Group?

• Компания RTM Group гарантирует конфиденциальность всех процессов и результатов оценки, а также строго соблюдает все юридические требования и стандарты, в том числе закон «Об оценочной деятельности в Российской Федерации» №135-ФЗ.
• Наши аудиторы обладают существенным опытом в области обеспечения информационной безопасности и управления рисками, и опираются в своей работе на разработанные ведущими мировыми организациями по стандартизации направлений ИБ практиками (ISO, ISACA, NIST, CERT, SANS, PСI SSC).
• Эксперты знакомы со спецификой работы, которая отвечает требованиям ЦБ РФ и ФСТЭК.
• Мы готовы предоставить вам консультации и помощь в любых вопросах.

• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности
• Вопросы правомерности той или иной деятельности — неотъемлемая часть работы юристов RTM Group
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты