С 1 января 2022 года Положение 382-П отменено Положением Банка России от 4 июня 2020 г. N 719-П “О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств”.
Положение 719-П вступило в силу с 1 января 2022 года.
Царев Евгений Олегович
Кобец Дмитрий Андреевич
Музалевский Федор Александрович
Гончаров Андрей Михайлович
Перминов Геннадий Вадимович
Эксперт в сфере информационной безопасности
Опыт: Экспертная работа с 2011 года. Педагогический стаж с 2008 года
Все эксперты
Эксперт в сфере информационной безопасности
Опыт: Профессиональный опыт в сфере информационных технологий и информационной безопасности с 2009 года
Все эксперты
Ведущий эксперт компьютерно-технического направления
Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО «ВГУИТ»
Все эксперты
Юрист в области информационной безопасности
Опыт: Профессиональный опыт в области IT-права с 2015 года
Все эксперты
Эксперт в сфере информационной безопасности
Опыт: Экспертная работа и педагогический стаж с 2008 года
Все экспертыОценка соответствия (или аудит) по 382-П являлся одним из основных инструментов определения уровня информационной безопасности в финансовых организациях и должна была проводиться на регулярной основе (в общем случае 1 раз в 2 года).
В соответствии с требованиями самого 382-П, проводить оценку соответствия могли организации обладающие лицензией на ТЗКИ ФСТЭК России (деятельность по технической защите конфиденциальной информации).
Скачать последнюю редакцию Положения 382-П можно по здесь ( doc, pdf).
Для проведения оценки соответствия по 382-П аудитору необходимо было получить свидетельства выполнения требований. К таким свидетельствам могут относиться:
Часть материалов, такие как документы или отчеты по проведенным ранее оценкам соответствия (самооценкам), запрашивались на предварительном этапе аудита. Все остальные материалы аудитор получал на месте. Проведение аудита на месте осуществлялось в соответствии с планом.
От полноты и качества сбора и оформления свидетельств аудита зависили результаты оценки соответствия, а также общее качество отчета.
В зависимости от размера проверяемой организации, этапы могли меняться, при этом принципиально ход оценки соответствия следующий:
Работы могли быть разделены на Предварительный аудит, результатом которого являлись рекомендации по устранению несоответствий, и Итоговый аудит, результаты которого направлялись в Банк России.
Отчет по проведенной оценке соответствия должен был включать в себя:
Дополнительно могла быть разработана отчетная форма 0403202 в соответствии с 2831-У для отправки в Банк России.
Центральный Банк Российской Федерации направлял кредитным организациям Письмо № 56-2-6/46 от 30 января 2020 г., в соответствии с которым предлагалось отчитывающимся операторам после проведения оценки соответствия и направления в Банк России отчетности по форме 0403202 в соответствии с пунктом 2 Указания Банка России № 2831-У дополнительно направлять в адрес Департамента информационной безопасности Банка России следующую информацию:
Вышеуказанную информацию необходимо было направлять через личный кабинет в соответствии с главой 2 Указания Банка России от 03.11.2017 года № 4600-У «О порядке взаимодействия Банка России с кредитными организациями, некредитными финансовыми организациями и другими участниками информационного обмена при использовании ими информационных ресурсов Банка России, в том числе личного кабинета».
Также необходимо было обращать внимание на то, что дата отчёта указанная в заголовочной части формы 0403202 в качестве даты, по состоянию на которую была проведена оценка соответствия, должна совпадать с датой утверждения отчёта о результатах проведения оценки соответствия и именно она указывалась при отправке отчетности по форме 0403202.
Сторонние организации, обладающие лицензиями ФСТЭК России могут проводить следующие работы:
Обратите внимание!
Компания работает с юридическими лицами, ИП и бюджетными организациями по безналичному расчету.
Работа с физическими лицами временно не осуществляется.
| Наименование услуги | Стоимость |
|---|---|
|
Консультация |
Бесплатно |
|
Для ОПС, ОПДС: Аудит соответствия общим требованиям 719-П (без ОУД4) Возможно проведения аудита соответствия общим требованиям в 3 этапа: GAP-анализ, разработка ОРД, проведение финального этапа аудита общих требований 719-П. |
от 300 000 руб. |
|
Для Платежных агентов: Аудит соответствия общим требованиям 719-П (без ОУД4) Возможно проведения аудита соответствия общим требованиям в 3 этапа: GAP-анализ, разработка ОРД, проведение финального этапа аудита общих требований 719-П. |
от 300 000 руб. |
|
Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчету. |
|
Надо ли в БПА проводить внешний аудит на соответствие требованиям 382-П?
Владислав
В соответствии с п.1.2 Положения 382 – П: Оператор по переводу денежных средств обеспечивает выполнение банковскими платежными агентами требований к обеспечению защиты информации при осуществлении переводов денежных средств. Оператор по переводу денежных средств обеспечивает контроль соблюдения банковскими платежными агентами требований к защите информации при осуществлении переводов денежных средств.
То есть, банковским платежным агентам не обязательно проходить аудит на соответствие требованиям Положения 382 – П. В то же время никто не запрещает банковским платежным агентам для проведения работ по обеспечению защиты информации при осуществлении переводов денежных средств привлекать организации, имеющие лицензии на деятельность по технической защите конфиденциальной информации
Кобец Дмитрий Андреевич
Есть ли какие-то требования к обеспечению безопасности журналов учета (особенно интересует электронный вид)? Есть ли регламент ведения? Как хранить журналы? (учет СКЗИ)
Олег
Существует несколько основных нормативных документов, регулирующих отношения, возникающие при разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну (далее — информация конфиденциального характера).
Это, в том числе: Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ — 2005) (в ред. приказа ФСБ РФ от 12.04.2010 N 173) и утверждённая Приказом ФАПСИ от 13 июня 2001г. №152 «Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (далее по тексту Инструкция). В Положении ПКЗ — 2005 нет информации про журналы учета СКЗИ. В п.п.26,27 Инструкции сказано: «Журналы поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (приложения №1, 2 к Инструкции) ведут органы криптографической защиты и обладатели конфиденциальной информации. Все полученные обладателем конфиденциальной информации экземпляры СКЗИ, эксплуатационной и технической документации к ним, ключевых документов должны быть выданы под расписку в соответствующем журнале поэкземплярного учета пользователям СКЗИ, несущим персональную ответственность за их сохранность».
Таким образом, ни в одном из вышеперечисленных документов, регламентирующих правила: создания, ввода в эксплуатацию, эксплуатации, хранения, вывод из эксплуатации СКЗИ, не определены требования к обеспечению безопасности самого журнала поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (для обладателя конфиденциальной информации). Можно лишь предположить, что требования к обеспечению безопасности данного журнала должны быть такими же, как и к учтённой в нём информации, то есть его необходимо хранить в шкафах (ящиках, хранилищах) индивидуального пользования в условиях, исключающих бесконтрольный доступ к ним, а также их непреднамеренное уничтожение. Если Журнал ведётся в электронном виде, то необходимо исключить несанкционированный доступ к нему, используя организационные и технические меры защиты информации
Гончаров Андрей Михайлович
Здравствуйте!
Существует ли какая-то утвержденная методика ЦБ на проведение пентеста в банке?
Алексей
Здравствуйте!
Банком России утверждены рекомендательные требования к проведению тестирования на проникновение систем (пентест) содержащиеся в Положениях Банка России 382-П и 683-П.
Согласно 382-П: «2.5.5.1. Оператору по переводу денежных средств, оператору услуг платежной инфраструктуры на стадиях создания и эксплуатации объектов информационной инфраструктуры необходимо обеспечить: (в ред. Указания ЦБ РФ от 07.05.2018 N 4793-У).»
Согласно 683-П: «3.2. Кредитные организации должны обеспечить ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.»
Также существуют международные стандарты пентеста, которые имеют рекомендательный характер.
Методологии тестирования защищенности:
Open Source Security Testing Methodology Manual (OSSTMM);
Information Systems Security Assessment Framework (ISSAF);
NIST 800-42 Guideline on Network Security Testing;
OWASP Testing Guide;
Wireless Penetration Testing Framework.По результатам пентеста составляется отчет, который включает в себя помимо прочего список выявленных уязвимостей и рекомендации по их устранению.
При выполнении рекомендаций осуществляется повышение устойчивости системы за счет снижения рисков информационной безопасности и соответствие требованиям Законам Российской Федерации (пример: «Закон о персональных данных»), а также требованиям по информационной безопасности Банка России (382-П).
Кобец Дмитрий Андреевич
Здравствуйте!
Подскажите, как оценивается показатель п.113, если позапрошлая оценка была выполнена с опозданием, не через 2 года, а через 2,5 года?
Анатолий
При проведении оценки соответствия по требованиям Положения Банка России от 9 июня 2012г. №382-П специалистами ООО «РТМ Технологии» рассматривается дата предоставления Клиентом формы 0403203 в подразделение ЦБ РФ по результатам проведения прошлой оценки (или самооценки), либо формы 0403202, если Клиент получил Лицензию не более 2,5 лет назад. В Договоре на проведение оценки соответствия по требованиям Положения Банка России от 9 июня 2012г. №382-П определяется срок окончания проведения оценки соответствия. Если запланированная дата укладывается в двухлетний срок со дня окончания проведения прошлой оценки соответствия по требованиям Положения №382-П, то п.113 оценивается как 1, в противном случае – 0. Позапрошлая оценка не берётся во внимание.
Кобец Дмитрий Андреевич
В какой срок нужно отправлять отчет по аудиту 382-П в ЦБ? И где об этом написано?
Игорь
Отчет по аудиту 382-П необходимо направлять в подразделение ЦБ РФ не позднее тридцати рабочих дней со дня завершения проведения оценки соответствия (даты отчета). Данная информация содержится в документе ЦБ РФ: Указание Банка России от 9 июня 2012 г. № 2831-У «Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств».
Гончаров Андрей Михайлович
Подскажите, что должен содержать отчет по 382-П?
Максим
В соответствии с Положением №382-П, отчет включает в себя:
- заполненную форму 1, установленную приложением 1 к Положению №382-П и содержащую оценки выполнения требований к обеспечению защиты информации;
- заполненную форму 2, установленную приложением 1 к Положению №382-П и содержащую оценки выполнения требований к обеспечению защиты информации;
- сроки проведения оценки соответствия;
- сведения о сторонней организации (наименование и местонахождение).
К отчёту прилагаются: Интервью и Перечень документов, использованных в качестве свидетельств.
Музалевский Федор Александрович
В каких случаях показатель может быть «н/о» — нет оценки?
Сергей
В соответствии с Положением 382 – П показатель может быть н/о (неоцениваемый) в случае, если выполнение требования по данному пункту не является обязанностью субъекта платежной системы. Например, оцениваемая организация является оператором по переводу денежных средств, а требование распространяется на оператора платёжной системы. Организационная структура организации может допускать отсутствие в платежном технологическом процессе требований, например, защита информации с применением банкоматов и платежных терминалов. То есть, если устройства ТУ ДБО отсутствуют в организации, то в соответствующий показатель оценивается как н/о.
Кобец Дмитрий Андреевич
«21. Информацию о наличии/отсутствии банковских платежных агентов (субагентов);» — требуется официальная справка?
Виктор
Справка не требуется, можно просто ответить. Этот ответ будет оформлен как интервью.
Алтухов Артём Валерьевич
«16. Выписки из штатных расписаний сотрудников отделов ИБ, ИТ, операционистов в Головном офисе и в филиалах;»
Можно уточнить, требуются только ФИО и должности указанных сотрудников?
Виктор
Да, ФИО и должности указанных сотрудников будет вполне достаточно.
Алтухов Артём Валерьевич
Мы предоставляем документы с датой с начала 2018 года? (самооценка была в середине 2018)
По действующим нормативным документам предоставляем только актуальные на текущий момент (или всю историю развития и обновлений с начала 2018 года)?
Виталий
По свидетельствам требуются актуальные документы, действующие по настоящее время. Они могут быть датированы как более ранним сроком так и быть новыми.
Алтухов Артём Валерьевич
Что значит ТУ ДБО? Что такое Акт классификации ТУ ДБО?
Валерия
ТУ ДБО – терминальные устройства дистанционного банковского обслуживания (банкоматы и платежные терминалы). В соответствии с 382-П должна проводиться классификация ТУ ДБО по некоторым критериям:
— попытки несанкционированного доступа;
— возможность осуществления воздействия, которое приводит к отказам, сбоям, повреждению ТУ ДБО;
— особенности конструкции ТУ ДБО (внутри стены, либо нет и т.д.)
— места установки ТУ ДБО (на улице, в охраняемом помещении и т.д.).
Результаты классификации фиксируются Актом классификации ТУ ДБО, где описывается каждый банкомат/платежный терминал.
Федюнина Анастасия Валерьевна
По ОУД4 нужно ДБО или еще и АБС?
Дмитрий
Если мы говорим про 683-П, то там ДБО предусмотрено однозначно, а АБС предусмотрен в том случае, если он обрабатывает клиентские платежи. По 382-П и по 719-П предусмотрены требования и к АБС, и к ДБО. Исходя из комментариев ЦБ нужно смотреть на архитектуру каждого банка. Таким образом по анализу уязвимостей ОУД4 — ДБО точно, АБС возможно, в зависимости от архитектуры.
Музалевский Федор Александрович
Банком приобретается новое мобильное приложение, когда надо проводить пентест?
Ольга
Пентест надо проводить (согласно 382-П, 683-П) ежегодно. Если мы смотрим ГОСТ 57580 там есть отдельные пункты жизненного цикла, и пентест также требуется проводить ежегодно либо при смене инфраструктуры. Но если Вами приобретается новое мобильное приложение, то оно должно пройти (на данный момент) анализ уязвимостей по ОУД4, это не пентест, но другое требование. С точки зрения Банка России, анализ уязвимостей должен быть проведен до того, как Вы запускаете приложение в эксплуатацию.
Музалевский Федор Александрович
Надо ли делать оценку по 382-П в этом году?
Максим
Оценку по 382-П надо делать тем, у кого предыдущая оценка была в 2019 г. На эту тему есть комментарии представителей ЦБ, и из календаря понятно, что 382-П достаточно полноценно действует до 31 декабря данного года. Соответственно, те, у кого отчет был отправлен в 2019 г. как раз должны в 2021 г. отправить его еще раз.
Музалевский Федор Александрович
Оценивались по 382-П в конце 2019, отчитывались в январе 2020, как быть?
Владимир
Необходимо смотреть дату отчета, поскольку по 382-П есть 30 календарных дней на отправку, то надо смотреть дату отчета, которая фиксирует дату окончания аудита. Если у вас аудит был закончен в конце 2019 г., то и очередной аудит надо закончить в конце 2021 г., а отправлять уже в 2022 г. В 382-П четко сказано «обеспечивает проведение оценки не реже 1 раза в 2 года», поэтому если в этом году не выполнять 382-П — это будет нарушение. При этом многое зависит от лояльности проверяющего инспектора ЦБ. Но не стоит давать им лишний повод усомниться в чем-либо.
Кобец Дмитрий Андреевич
Примут ли отчет в 22-м? по 382-П :)
Владимир
Гарантируем, что примут.
Принять — примут, что скажут в ответ — не знаем, но примут точно.
Музалевский Федор Александрович
Для работ по 382-П требуется привлечение внешних организаций с лицензией на ТЗКИ?
Антон
Да, требуется привлечение внешнего лицензиата.
Музалевский Федор Александрович
